第06講 octave風(fēng)險評估方法(文件)
【正文】 S所面臨的威脅： ?訪問非授權(quán)數(shù)據(jù) ?蓄意的輸入錯誤數(shù)據(jù) ?斷電、洪水 ?? ?系統(tǒng)事故 ?其它在研討會中被人提出的可能威脅事件 過程 3（ MedSite） ? 列舉影響： ?員工蓄意輸入錯誤數(shù)據(jù)，可能導(dǎo)致： ? 影響員工的工作情緒和積極性； ? 影響病人的生命； ?斷電、洪水等，可能導(dǎo)致： ? 醫(yī)院不能提供及時有效的醫(yī)療服務(wù) ?其它被人提出來的可能影響 過程 3（ MedSite） ? PIDS的安全需要： ?可用性 ? PIDS需要保持每天 24小時可用； ?保密性 ? 信息需要保密； ? 對于非法的信息訪問，一經(jīng)發(fā)現(xiàn)要起訴到法院 ?完整性 ? ?? 過程 3（ MedSite） 高層領(lǐng)導(dǎo)研討 安全意識和培訓(xùn) 員工了解他們的安全責(zé)任和在信息安全中扮演的角色，這些情況已經(jīng)記入文檔并得到確認(rèn)。參加過程 4中研討會的人員主要是風(fēng)險評估小組的分析人員。 ? 識別關(guān)鍵的組件類別。而且，災(zāi)難恢復(fù)時要消耗大量資源確定哪些信息丟失或損壞了 業(yè)務(wù)中斷 PIDS罷工，醫(yī)院就沒法有效運(yùn)作了。 家庭電腦 ………… 防火墻 ………… PIDS服務(wù)器 ………… ECDS服務(wù)器 ………… 路由器 ………… 要檢查的組件列表 過程 6：評估選定的組件 ? 數(shù)據(jù)收集、分析，確定風(fēng)險 ? 本階段任務(wù)： ?對選定的組件，使用脆弱性評估工具 ? 在進(jìn)行本階段的研討會之前，掌握脆弱性情況 ? 運(yùn)行脆弱性評估工具 ? 準(zhǔn)備初步的脆弱性總結(jié)報告 ?復(fù)查脆弱性信息，給出最后的總結(jié)報告 ? 討論提煉初步脆弱性報告，給出最終報告 過程 6：評估選定的組件（ MedSite） 關(guān)鍵組件 IP地址 掃描完成？ 辦公室電腦 ………… YES 家庭電腦 ………… NO。 ? 確定重要資產(chǎn)所面臨的威脅 ； 過程 4：創(chuàng)建威脅文件（ MedSite ） ? 確認(rèn)重要資產(chǎn) ?紙制藥單， 選中原因 ?PIDS， 選中原因 ?個人電腦， 選中原因 ?ECDS，急診護(hù)理數(shù)據(jù)系統(tǒng) ? 候選的重要資產(chǎn)來源于前三個階段與各階層領(lǐng)導(dǎo)和員工的研討 ? 建議確定 5個左右的重要資產(chǎn) 過程 4：創(chuàng)建威脅文件（ MedSite ） ? PIDS系統(tǒng)的資產(chǎn)威脅文件 ? 以標(biāo)準(zhǔn)的格式給出，在 OCTAVE中叫做“普通威脅文件”，是一種樹狀的表格 PIDS 網(wǎng)絡(luò)訪問 內(nèi)部 外部 偶然的 蓄意的 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 偶然的 蓄意的 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 資產(chǎn) 訪問方式 威脅源 動機(jī) 威脅后果 PIDS ABC Systems貨源不足 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 資產(chǎn) 威脅源 威脅后果 斷電 洪水、火災(zāi) …… 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 OCTAVE 方法（ Method） ? 風(fēng)險評估的準(zhǔn)備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎(chǔ)設(shè)施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險控制）計劃 階段 2：識別基礎(chǔ)設(shè)施脆弱性 ? 過程 5：標(biāo)識關(guān)鍵組件 ? 過程 6：評估所選組件 過程 5：標(biāo)識關(guān)鍵組件 ? 依據(jù)過程 4中給出的威脅信息，決定怎樣評估與重要資產(chǎn)相關(guān)的信息系統(tǒng)基礎(chǔ)設(shè)施，如計算機(jī)、網(wǎng)絡(luò)設(shè)備等。這些情況已經(jīng)記入文檔并得到確認(rèn)。 OCTAVE 方法（ Method） ? 風(fēng)險評估的準(zhǔn)備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎(chǔ)設(shè)施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險控制）計劃 階段 1：建立基于資產(chǎn)的威脅文件 ? 過程 1：標(biāo)識高層管理知識； ? 過程 2：標(biāo)識業(yè)務(wù)區(qū)域知識； ? 過程 3：標(biāo)識一般員工知識； ? 過程 4：創(chuàng)建威脅文件； 過程 3 ? 前三過程，評估組分別與高層領(lǐng)導(dǎo)、中層領(lǐng)導(dǎo)和一般員工進(jìn)行研討會，聽取他們對什么是重要的信息資產(chǎn)，以及當(dāng)前保護(hù)狀況的看法。天 過程 2 至少 4名來自評估涉及的業(yè)務(wù)區(qū)域的中層領(lǐng)導(dǎo) 189。如果評估范圍選的過大評估小組獲取和分析風(fēng)險相關(guān)的信息將會變的非常困難。 ? 小組成員應(yīng)具備充分的能力，并且勝任主持評估過程的工作。還鏈接若干小型數(shù)據(jù)庫，保存患者信息、診斷記錄、檢查結(jié)果、帳單等信息 ?一個獨(dú)立的提供商： ABC Systems，提供MedSite的大部分 IT設(shè)備，并對 MedSite的 IT人員給予培訓(xùn)。 OCTAVE 方法（ Method） ? OCTAVE方法強(qiáng)調(diào)人員的交流和協(xié)作，依靠多次的研討會來獲取信息 ?前 3個過程，研討會參與者主要是評估組和組織各個管
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1