信息安全風(fēng)險(xiǎn)評(píng)估培訓(xùn)(文件)
【正文】 安全 效率曲線 安全 成本曲線要研究建設(shè)信息安全的綜合成本與信息安全風(fēng)險(xiǎn)之間的平衡，而不是要片面追求不切實(shí)際的安全不同的信息系統(tǒng)，對(duì)于安全的要求不同，不是“ 越安全越好 ”信息系統(tǒng)矛盾三角三類操作系統(tǒng)舉例信息安全保障能力成長階段成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%能力成長階段的劃分? 盲目自信階段– 普遍缺乏安全意識(shí)，對(duì)企業(yè)安全狀況不了解，未意識(shí)到信息安全風(fēng)險(xiǎn)的嚴(yán)重性? 認(rèn)知階段– 通過信息安全風(fēng)險(xiǎn)評(píng)估等，企業(yè)意識(shí)到自身存在的信息安全風(fēng)險(xiǎn)，開始采取一些措施提升信息安全水平? 改進(jìn)階段– 意識(shí)到局部的、單一的信息安全控制措施難以明顯改善企業(yè)信息安全狀況，開始進(jìn)行全面的信息安全架構(gòu)設(shè)計(jì)，有計(jì)劃的建設(shè)信息安全保障體系? 卓越運(yùn)營階段– 信息安全改進(jìn)項(xiàng)目完成后，在擁有較為全面的信息安全控制能力基礎(chǔ)上，建立持續(xù)改進(jìn)的機(jī)制，以應(yīng)對(duì)安全風(fēng)險(xiǎn)的變化，不斷提升安全控制能力各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%基本安全產(chǎn)品部署主要人員的培訓(xùn)教育建立安全團(tuán)隊(duì)制定安全方針政策評(píng)估并了解現(xiàn)狀各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%啟動(dòng)信息安全戰(zhàn)略項(xiàng)目設(shè)計(jì)信息安全架構(gòu) 建立信息安全流程完成信息安全改進(jìn)項(xiàng)目各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%信息安全流程的持續(xù)改進(jìn)追蹤技術(shù)和業(yè)務(wù)的變化怎么做風(fēng)險(xiǎn)評(píng)估？— 評(píng)估到底買辣椒水還是請(qǐng)保鏢更合適可能的攻擊信息的價(jià)值可能的損失風(fēng)險(xiǎn)評(píng)估簡要版資產(chǎn) 弱點(diǎn)影響弱點(diǎn) 威脅可能性+=當(dāng)前的風(fēng)險(xiǎn)級(jí)別風(fēng)險(xiǎn)分析方法示意圖損失的量化必須圍繞用戶的 核心價(jià)值 ，用戶的 核心業(yè)務(wù)流程 ！如何量化損失風(fēng)險(xiǎn)管理趨勢? IT安全風(fēng)險(xiǎn)成為企業(yè)運(yùn)營風(fēng)險(xiǎn)中最為重要的一個(gè)組成部分，業(yè)務(wù)連續(xù)性逐漸與安全并行考慮來源： Gartner否是否是風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備已有安全措施的確認(rèn)風(fēng)險(xiǎn)計(jì)算風(fēng)險(xiǎn)是否接受保持已有的控制措施施施施選擇適當(dāng)?shù)目刂拼胧┎⒃u(píng)估殘余風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)管理脆弱性識(shí)別威脅識(shí)別資產(chǎn)識(shí)別是否接受殘余風(fēng)險(xiǎn) 風(fēng)險(xiǎn)識(shí)別評(píng)估過程文檔評(píng)估過程文檔風(fēng)險(xiǎn)評(píng)估結(jié)果記錄評(píng)估結(jié)果文檔…………………風(fēng)險(xiǎn)評(píng)估流程等級(jí)保護(hù)下風(fēng)險(xiǎn)評(píng)估實(shí)施框架保護(hù)對(duì)象劃分和定級(jí)網(wǎng)絡(luò)系統(tǒng)劃分和定級(jí)資產(chǎn)脆弱性威脅風(fēng)險(xiǎn)分析基本安全要求等級(jí)保護(hù)管理辦法、指南信息安全政策、標(biāo)準(zhǔn)、法律法規(guī)安全需求風(fēng)險(xiǎn)列表安全規(guī)劃風(fēng)險(xiǎn)評(píng)估結(jié)合等保測評(píng)的風(fēng)險(xiǎn)評(píng)估流程60風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過程風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過程計(jì)劃計(jì)劃準(zhǔn)備準(zhǔn)備實(shí)施實(shí)施報(bào)告報(bào)告跟蹤跟蹤61評(píng)估工作各角色的責(zé)任評(píng)估工作各角色的責(zé)任評(píng)估組長 評(píng)估員 XX公司安全專責(zé)p負(fù)責(zé)管理問卷訪談和運(yùn)維問卷訪談；p組織評(píng)估活動(dòng)，控制協(xié)調(diào)進(jìn)度，保證按計(jì)劃完成評(píng)估任務(wù)；p組織召開評(píng)估會(huì)議；p代表評(píng)估小組與受評(píng)估方管理層接觸；p組織撰寫風(fēng)險(xiǎn)評(píng)估報(bào)告、現(xiàn)狀報(bào)告和安全改進(jìn)建議p提交評(píng)估報(bào)告。 p完成掃描后 ,檢查風(fēng)險(xiǎn)評(píng)估后系統(tǒng)的安全性和穩(wěn)定性62風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過程風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過程計(jì)劃計(jì)劃準(zhǔn)備準(zhǔn)備實(shí)施實(shí)施報(bào)告報(bào)告跟蹤跟蹤63制定評(píng)估計(jì)劃制定評(píng)估計(jì)劃u 評(píng)估計(jì)劃分年度計(jì)劃和具體的實(shí)施計(jì)劃，前者通常是評(píng)估策劃階段就需要完成的，是整個(gè)評(píng)估活動(dòng)的總綱，而具體的評(píng)估實(shí)施計(jì)劃則是遵照年度評(píng)估計(jì)劃而對(duì)每次的評(píng)估活動(dòng)所作的實(shí)施安排。 時(shí)間安排 ：評(píng)估時(shí)間避免與重要業(yè)務(wù)活動(dòng)發(fā)生沖突。u 評(píng)估實(shí)施計(jì)劃是對(duì)特定評(píng)估活動(dòng)的具體安排，內(nèi)容通常包括：216。評(píng)估方式 集中式評(píng)估評(píng)估時(shí)間 X年 X月 X－ X月 X日評(píng)估組織評(píng)估組長 評(píng)估組員第一小組 第二小組 評(píng)估安排日期 時(shí)間評(píng)估區(qū)域 評(píng)估內(nèi)容第一小組 第二小組 第一小組 第二小組X9:009:30 會(huì)議室 首次會(huì)議9:30
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1