ch4信息安全風險評估-全文預覽
【正文】 ? 弱點嚴重性程度 V1=2 ? 安全事件損失值 =5 ? 由于安全事件損失值將參與風險事件值的計算，為了構建風險矩陣，需對安全事件損失進行等級劃分 ? 該安全事件損失等級為 1 使用矩陣法計算風險值示例 ? 3計算風險值 ? 首先由安全事件發(fā)生可能性和安全事件損失構建安全風險矩陣 ? 然后對照表，確定安全風險值 ? 安全事件發(fā)生可能性等級為 2 ? 安全事件損失等級為 1 ? 安全風險值 =6 ? 結果判定，確定風險等級劃分 ? 根據上述計算方法，計算資產的其他風險值，并根據風險等級劃分表，確定風險等級 使用相乘法計算風險值 ? 相乘法主要用于兩個或多個要素值確定一個要素值的情形 ? 相乘法的原理 z=f(x,y)=xXy ? 也可以相乘后開平方或取模運算等。 ? 安全措施的選擇應從管理和技術兩個方面考慮 殘余風險評估 ? 在對于不可接受的風險選擇適當安全措施后，為確保安全措施的有效性，可再進行評估，以判斷實施安全措施后的殘余風險是否已經降低到可接受的水平。 ? 2風險計算 ? 根據以上評估產生的結果，計算出每項信息資產的風險值 風險計算原理 ? 風險值 =R(A,T,V)=R(L(T,V),F(Ia， Va)) ? R：安全風險計算函數 ? A：資產 ? T：威脅 ? V：脆弱性 ? Ia：安全事件所作用的資產價值 ? Va：脆弱性嚴重程度 ? L：威脅利用資產的脆弱性導致安全事件的可能性 ? F：安全事件發(fā)生后造成的損失 ? 評估者可根據自身情況選擇相應的風險計算方法來計算風險值，如矩陣法或相乘法。 ? 脆弱性識別可以以資產為核心，針對每一項需要保護的資產，識別可能被威脅利用的弱點；也可以從物理、網絡、系統、應用等層次進行識別，然后與資產、威脅對應起來。 資產分類 資產賦值 ? 資產價值應根據資產在保密性、完整性和可用性上的賦值等級，經過綜合評定得出。 ? 檢查評估通常都是定期的、抽樣進行的評估模式 ? 檢查評估缺點： ? 間隔時間較長，如一年一次，通常還是抽樣進行 ? 不能貫穿一個部門信息系統生命周期的全過程，很難對信息系統的整體風險狀況作出完整的評價 風險評估的兩種方式 ? 2 檢查評估 ? 檢查評估應覆蓋但不限于以下內容： ? 自評估方法的檢查 ? 自評估過程記錄檢查 ? 自評估結果跟蹤檢查 ? 現有安全措施的檢查 ? 系統輸入輸出控制的檢查 ? 軟硬件維護制度及實施狀況的檢查 ? 突發(fā)事件應對措施的檢查 ? 數據完整性保護措施的檢查 ? 審計追蹤的檢查 風險評估的兩種方式 ? 無論是自評估，還是檢查評估，都可以委托風險評估服務技術支持方實施，如國家測評認證機構或安全企業(yè)公司。 ? 風險評估（ Risk Assessment）：對信
試題試卷相關推薦
鄂ICP備17016276號-1