【正文】 施的選取風(fēng)險(xiǎn)評(píng)估的目的不僅是獲取組織面臨的有關(guān)風(fēng)險(xiǎn)信息，更重要的是采取適當(dāng)?shù)拇胧踩L(fēng)險(xiǎn)控制在可接受的范圍內(nèi)。v每個(gè)階段風(fēng)險(xiǎn)評(píng)估的具體實(shí)施應(yīng)根據(jù)該階段的特點(diǎn)有所側(cè)重v有條件時(shí)，應(yīng)采用風(fēng)險(xiǎn)評(píng)估工具開展風(fēng)險(xiǎn)評(píng)估活動(dòng) 信息安全 風(fēng)險(xiǎn)評(píng) 估流程 信息系統(tǒng)生命周期各階段評(píng)估?規(guī)劃階段的風(fēng)險(xiǎn)評(píng)估（詳見 GB/T 20984—2023 ） ?設(shè)計(jì)階段的風(fēng)險(xiǎn)評(píng)估（詳見 GB/T 20984—2023 ） ?實(shí)施階段的風(fēng)險(xiǎn)評(píng)估（詳見 GB/T 20984—2023 ）?運(yùn)行維護(hù)階段的風(fēng)險(xiǎn)評(píng)估（詳見 GB/T 20984—2023 ）?廢棄階段的風(fēng)險(xiǎn)評(píng)估（詳見 GB/T 20984—2023 ） 信息安全 風(fēng)險(xiǎn)評(píng) 估流程 風(fēng)險(xiǎn)評(píng)估的工作形式 分為自評(píng)估和檢查評(píng)估兩種形式。檢查評(píng)估也可在自評(píng)估實(shí)施的基礎(chǔ)上，對(duì)關(guān)鍵環(huán)節(jié)或重點(diǎn)內(nèi)容實(shí)施抽樣評(píng)估 信息安全 風(fēng)險(xiǎn)評(píng) 估流程 風(fēng)險(xiǎn)評(píng)估的工作形式 ?檢查評(píng)估 包括以下內(nèi)容 a）自評(píng)估隊(duì)伍及技術(shù)人員審查； b）自評(píng)估方法的檢查； c）自評(píng)估過程控制與文檔記錄檢查； d）自評(píng)估資產(chǎn)列表審查； e）自評(píng)估威脅列表審查； f）自評(píng)估脆弱性列表審查； g）現(xiàn)有安全措施有效性檢查； h）自評(píng)估結(jié)果審查與采取相應(yīng)措施的跟蹤檢查； i）自評(píng)估技術(shù)技能限制未完成項(xiàng)目的檢查評(píng)估； j）上級(jí)關(guān)注或要求的關(guān)鍵環(huán)節(jié)和重點(diǎn)內(nèi)容的檢查評(píng)估； k）軟硬件維護(hù)制度及實(shí)施管理的檢查； l）突發(fā)事件應(yīng)對(duì)措施的檢查； 信息安全 風(fēng)險(xiǎn)評(píng) 估方法 概述 信息安全風(fēng)險(xiǎn)評(píng)估是通過采用一定的方法對(duì)組織面臨的風(fēng)險(xiǎn)進(jìn)行識(shí)別，并分析風(fēng)險(xiǎn)對(duì)組織帶來的影響以及其發(fā)生的可能性大小，然后通過一定的綜合評(píng)價(jià)方法來評(píng)估組織面臨的風(fēng)險(xiǎn)，并選取適當(dāng)?shù)拇胧﹣砜刂骑L(fēng)險(xiǎn)。 從風(fēng)險(xiǎn)分析方法來看，風(fēng)險(xiǎn)評(píng)估方法可分為兩大類：定量方法與定性方法。 信息安全 風(fēng)險(xiǎn)評(píng) 估方法 人工智能是 20世紀(jì)中期產(chǎn)生的并正在迅速發(fā)展的新興邊緣學(xué)科 ,它是探索和模擬人的智能和思維過程的規(guī)律 ,并進(jìn)而設(shè)計(jì)出類似人的某些智能化的科學(xué)。在信息世界，由于數(shù)據(jù)的短缺或事物本身的特性，很多現(xiàn)象是 “灰色 ”的，其意義是指其中含有已知的、未知的與非確定的種種信息。 (3)TOPSIS法 信息安全 風(fēng)險(xiǎn)評(píng) 估方法 信息安全 風(fēng)險(xiǎn)評(píng) 估方法(4) 層次分析法是將決策問題的有關(guān)元素分解成目標(biāo)、準(zhǔn)則、方案等層次，在此基礎(chǔ)上進(jìn)行定量和定性分析的一種決策方法。它是在沒有或不用樣品所述類別信息的情況下，依據(jù)對(duì)樣品采集的數(shù)據(jù)的內(nèi)在結(jié)構(gòu)以及相互間的關(guān)系，在樣品間相似性度量的基礎(chǔ)上，對(duì)樣品進(jìn)行分類的一種方法 信息安全 風(fēng)險(xiǎn)評(píng) 估方法 定量方法 定量方法試圖用具體的貨幣表示形式的損失值來分析和度量風(fēng)險(xiǎn)，定量方法主要有基于期望損失的風(fēng)險(xiǎn)評(píng)估方法與基于期望損失效用的風(fēng)險(xiǎn)評(píng)估方法等。建立風(fēng)險(xiǎn)等級(jí)劃分方法，結(jié)果見圖所示 這種方法的好處就是能夠更好的區(qū)分 “高損失、低可能性 ”及 “低損失、高可能性 ”兩種不同安全事件的風(fēng)險(xiǎn)。1．風(fēng)險(xiǎn)矩陣測(cè)量這種方法的特點(diǎn)是事先建立資產(chǎn)價(jià)值、威脅等級(jí)和脆弱性等級(jí)的一個(gè)對(duì)應(yīng)矩陣，預(yù)先將風(fēng)險(xiǎn)等級(jí)進(jìn)行了確定。與風(fēng)險(xiǎn)矩陣法和威脅分級(jí)法不同，本方法將控制措施的采用引入風(fēng)險(xiǎn)的評(píng)價(jià)之中。 資產(chǎn)識(shí)別與評(píng)估 通過分析多媒體教學(xué)系統(tǒng)在硬件、軟件、信息、有關(guān)人員等方面的資產(chǎn)信息，并考察這些資產(chǎn)的價(jià)值以及對(duì)信息系統(tǒng)的關(guān)鍵程度。而隨后進(jìn)行的風(fēng)險(xiǎn)分析主要考察風(fēng)險(xiǎn)導(dǎo)致的影響及出現(xiàn)的可能性的大小可能性分析主要依據(jù)威脅評(píng)估等級(jí)。它要評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對(duì)組織造成的影響。 習(xí)題1. 什么是信息安全風(fēng)險(xiǎn)評(píng)估？它由哪些基本步驟組成？2. 信息資產(chǎn)可以分為哪幾類？請(qǐng)分別舉出一兩個(gè)例子說明。9. 常用的定性與定量的風(fēng)險(xiǎn)分析方法有哪些？各有什么特點(diǎn)？。5. 風(fēng)險(xiǎn)評(píng)估方法分為哪幾種？其優(yōu)缺點(diǎn)分別是什么？6. 請(qǐng)寫出風(fēng)險(xiǎn)計(jì)算公式，并解釋其中各項(xiàng)所代表的含義。 本章對(duì)信息安全風(fēng)險(xiǎn)評(píng)估的有關(guān)概念、策略、流程以及方法進(jìn)行詳細(xì)闡述，并通過一簡(jiǎn)單案例說明風(fēng)險(xiǎn)評(píng)估過程。 安全措施的選取 對(duì)風(fēng)險(xiǎn)級(jí)別為 “高 ”以上的，應(yīng)重點(diǎn)考慮采取相應(yīng)的安全措施，而對(duì)風(fēng)險(xiǎn)級(jí)別為低的可以不用處理，而對(duì)風(fēng)險(xiǎn)級(jí)別為 “中 ”的可有選擇的處理。為提高效率，脆弱性識(shí)別還應(yīng)結(jié)合威脅識(shí)別的結(jié)果，重點(diǎn)考察可能導(dǎo)致安全事件的威脅 脆弱性對(duì)，在脆弱性識(shí)別后，再依據(jù)脆弱性的嚴(yán)重程度對(duì)脆弱性進(jìn)行評(píng)估。本節(jié)以多媒體教學(xué)系統(tǒng)這一簡(jiǎn)單信息系統(tǒng)為例講述詳細(xì)風(fēng)險(xiǎn)評(píng)估的實(shí)施過程。2．威脅分級(jí)法這種方法是直接考慮威脅、威脅導(dǎo)致的安全事件對(duì)資產(chǎn)產(chǎn)生的影響以及威脅導(dǎo)致安全事件發(fā)生的可能性來確定風(fēng)險(xiǎn)。定性方法一般基于一定的定量方法，在定量方法的基礎(chǔ)上進(jìn)行裁剪和簡(jiǎn)化。若風(fēng)險(xiǎn)事件 E造成的相對(duì)損失為 loss，其發(fā)生的可能性為 L， loss和 L均為取值在 [0,1]區(qū)間定量值。主成分分析的思想是通過一定的變換，用較少的指標(biāo)來代替原先較多的指標(biāo)，從而達(dá)到簡(jiǎn)化問題的處理與分析的目的。不同綜合評(píng)價(jià)方法有不同的處理方法，常用的綜合評(píng)價(jià)方法有綜合指數(shù)法、功效評(píng)分法、TOPSIS法、層次分析法、主成份分析法、聚類分析法等(1)綜合指數(shù)法是多指標(biāo)系統(tǒng)的一種評(píng)價(jià)方法。 部分信息已知、部分信息未知的系統(tǒng)稱為灰色系統(tǒng)。 風(fēng)險(xiǎn)評(píng)估的對(duì)象以及信息系統(tǒng)的狀態(tài)具有不確定性，經(jīng)典的數(shù)學(xué)模型由于其精確性特點(diǎn)使得它很難很好的把握問題的實(shí)質(zhì)，模糊決策方法填補(bǔ)了這方面的不足。 從理論上看，風(fēng)險(xiǎn)評(píng)估方法的理論基礎(chǔ)包括：概率風(fēng)險(xiǎn)分析方法、模糊決策方法、人工智能、定性推理方法、灰色決策理論、綜合評(píng)價(jià)方法等。信息安全風(fēng)險(xiǎn)評(píng)估應(yīng)以自評(píng)估為主，自評(píng)估和檢查評(píng)估相結(jié)合、互為補(bǔ)充 ?檢查評(píng)估 是指信息系統(tǒng)上級(jí)管理部門組織或國(guó)家有關(guān)職能部門依法開展的風(fēng)險(xiǎn)評(píng)估。 信息安全 風(fēng)險(xiǎn)評(píng) 估流程 風(fēng)險(xiǎn)評(píng)估文件記錄風(fēng)險(xiǎn)評(píng)估文件包括在整個(gè)風(fēng)險(xiǎn)評(píng)估過程中產(chǎn)生的評(píng)估過程文檔和評(píng)估結(jié)果文檔，這些文檔包括： (1)風(fēng)險(xiǎn)評(píng)估方案 (2)風(fēng)險(xiǎn)評(píng)估程序 (3)資產(chǎn)識(shí)別清單 (4)重要資產(chǎn)清單 (5)威脅列表 (6)脆弱性列表 (7)已有安全措施確認(rèn)表 (8)風(fēng)險(xiǎn)評(píng)估報(bào)告 (9)風(fēng)險(xiǎn)處理計(jì)劃 (10)風(fēng)險(xiǎn)評(píng)估記錄 信息安全 風(fēng)險(xiǎn)評(píng) 估流程 信息系統(tǒng)生命周期各階段評(píng)估v風(fēng)險(xiǎn)評(píng)估應(yīng)貫穿于信息系統(tǒng)生命周期的各階段中信息系統(tǒng)生命周期各階段中涉及的風(fēng)險(xiǎn)評(píng)估的原則和方法是一致的，但由于各階段實(shí)施的內(nèi)容、對(duì)象、安全需求不同，使得風(fēng)險(xiǎn)評(píng)估的對(duì)象、目的、要求等各方面也有所不同。不同類型的安全事件，其可能性影響因素也有點(diǎn)不同 信息安全 風(fēng)險(xiǎn)評(píng) 估流程4. 風(fēng)險(xiǎn)結(jié) 果判定 ?為實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)的控制與管理，可以對(duì)風(fēng)險(xiǎn)評(píng)估的結(jié)果進(jìn)行等級(jí)化處理。安全事件對(duì)組織的影響可體現(xiàn)在以下方面： 直接經(jīng)濟(jì)損失、物理資產(chǎn)的損壞、業(yè)務(wù)影響、 法律責(zé)任、人員安全危害、信譽(yù)（形象）損失上述損失有些容易定量表示，有些則很難3．可能性分析167。在計(jì)算某個(gè)安全事件的損失時(shí)，應(yīng)將對(duì)組織的影響也考慮在內(nèi)。 信息安全 風(fēng)險(xiǎn)評(píng) 估流程 已有安全措施的確認(rèn)對(duì)已采取的安全措施進(jìn)行確認(rèn)，至少有兩個(gè)方面的意義 （ 1）有助于對(duì)當(dāng)前信息系統(tǒng)面臨的風(fēng)險(xiǎn)進(jìn)行分析 （ 2）通過對(duì)當(dāng)前安全措施的確認(rèn)，分析其有效性，對(duì)有效的安全措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止安全措施的重復(fù)實(shí)施 信息安全 風(fēng)險(xiǎn)評(píng) 估流程 風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)分析就是利用資產(chǎn)、威脅、脆弱性識(shí)別與評(píng)估結(jié)果以及對(duì)已有安全措施確認(rèn)后，采用適當(dāng)?shù)姆椒ㄅc工具 確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性 。 1 很低 如