第06講 octave風險評估方法(文件)
【正文】 S所面臨的威脅： ?訪問非授權數(shù)據(jù) ?蓄意的輸入錯誤數(shù)據(jù) ?斷電、洪水 ?? ?系統(tǒng)事故 ?其它在研討會中被人提出的可能威脅事件 過程 3（ MedSite） ? 列舉影響： ?員工蓄意輸入錯誤數(shù)據(jù)，可能導致： ? 影響員工的工作情緒和積極性； ? 影響病人的生命； ?斷電、洪水等，可能導致： ? 醫(yī)院不能提供及時有效的醫(yī)療服務 ?其它被人提出來的可能影響 過程 3（ MedSite） ? PIDS的安全需要： ?可用性 ? PIDS需要保持每天 24小時可用； ?保密性 ? 信息需要保密； ? 對于非法的信息訪問，一經(jīng)發(fā)現(xiàn)要起訴到法院 ?完整性 ? ?? 過程 3（ MedSite） 高層領導研討 安全意識和培訓 員工了解他們的安全責任和在信息安全中扮演的角色，這些情況已經(jīng)記入文檔并得到確認。參加過程 4中研討會的人員主要是風險評估小組的分析人員。 ? 識別關鍵的組件類別。而且，災難恢復時要消耗大量資源確定哪些信息丟失或損壞了 業(yè)務中斷 PIDS罷工，醫(yī)院就沒法有效運作了。 家庭電腦 ………… 防火墻 ………… PIDS服務器 ………… ECDS服務器 ………… 路由器 ………… 要檢查的組件列表 過程 6：評估選定的組件 ? 數(shù)據(jù)收集、分析，確定風險 ? 本階段任務： ?對選定的組件，使用脆弱性評估工具 ? 在進行本階段的研討會之前，掌握脆弱性情況 ? 運行脆弱性評估工具 ? 準備初步的脆弱性總結報告 ?復查脆弱性信息，給出最后的總結報告 ? 討論提煉初步脆弱性報告，給出最終報告 過程 6：評估選定的組件（ MedSite） 關鍵組件 IP地址 掃描完成？ 辦公室電腦 ………… YES 家庭電腦 ………… NO。 ? 確定重要資產(chǎn)所面臨的威脅 ； 過程 4：創(chuàng)建威脅文件（ MedSite ） ? 確認重要資產(chǎn) ?紙制藥單， 選中原因 ?PIDS， 選中原因 ?個人電腦， 選中原因 ?ECDS，急診護理數(shù)據(jù)系統(tǒng) ? 候選的重要資產(chǎn)來源于前三個階段與各階層領導和員工的研討 ? 建議確定 5個左右的重要資產(chǎn) 過程 4：創(chuàng)建威脅文件（ MedSite ） ? PIDS系統(tǒng)的資產(chǎn)威脅文件 ? 以標準的格式給出，在 OCTAVE中叫做“普通威脅文件”，是一種樹狀的表格 PIDS 網(wǎng)絡訪問 內(nèi)部 外部 偶然的 蓄意的 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務中斷 數(shù)據(jù)泄露 偶然的 蓄意的 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務中斷 數(shù)據(jù)泄露 資產(chǎn) 訪問方式 威脅源 動機 威脅后果 PIDS ABC Systems貨源不足 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務中斷 資產(chǎn) 威脅源 威脅后果 斷電 洪水、火災 …… 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務中斷 OCTAVE 方法（ Method） ? 風險評估的準備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎設施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 階段 2：識別基礎設施脆弱性 ? 過程 5：標識關鍵組件 ? 過程 6：評估所選組件 過程 5：標識關鍵組件 ? 依據(jù)過程 4中給出的威脅信息，決定怎樣評估與重要資產(chǎn)相關的信息系統(tǒng)基礎設施，如計算機、網(wǎng)絡設備等。這些情況已經(jīng)記入文檔并得到確認。 OCTAVE 方法（ Method） ? 風險評估的準備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎設施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 階段 1：建立基于資產(chǎn)的威脅文件 ? 過程 1：標識高層管理知識； ? 過程 2：標識業(yè)務區(qū)域知識； ? 過程 3：標識一般員工知識； ? 過程 4：創(chuàng)建威脅文件； 過程 3 ? 前三過程，評估組分別與高層領導、中層領導和一般員工進行研討會，聽取他們對什么是重要的信息資產(chǎn)，以及當前保護狀況的看法。天 過程 2 至少 4名來自評估涉及的業(yè)務區(qū)域的中層領導 189。如果評估范圍選的過大評估小組獲取和分析風險相關的信息將會變的非常困難。 ? 小組成員應具備充分的能力，并且勝任主持評估過程的工作。還鏈接若干小型數(shù)據(jù)庫，保存患者信息、診斷記錄、檢查結果、帳單等信息 ?一個獨立的提供商： ABC Systems，提供MedSite的大部分 IT設備，并對 MedSite的 IT人員給予培訓。 OCTAVE 方法（ Method） ? OCTAVE方法強調(diào)人員的交流和協(xié)作，依靠多次的研討會來獲取信息 ?前 3個過程，研討會參與者主要是評估組和組織各個管
教學課件相關推薦
鄂ICP備17016276號-1