風險評估實施步驟簡介-全文預覽
【正文】 名稱、描述、類型、重要程度、責任人/部門等； （5）威脅列表：根據威脅識別和賦值的結果，形成威脅列表，包括威脅名稱、種類、來源、動機及出現的頻率等；（6）脆弱性列表：根據脆弱性識別和賦值的結果，形成脆弱性列表，包括脆弱性名稱、描述、類型及嚴重程度等； （7）已有安全措施確認表：根據已采取的安全措施確認的結果，形成已有安全措施確認表，包括已有安全措施名稱、類型、功能描述及實施效果等；（8）風險評估報告：對整個風險評估過程和結果進行總結，詳細說明被評估對象，風險評估方法，資產、威脅、脆弱性的識別結果，風險分析、風險統(tǒng)計和結論等內容；（9）風險處理計劃：對評估結果中不可接受的風險制定風險處理計劃，選擇適當的控制目標及安全措施，明確責任、進度、資源，并通過對殘余風險的評價確保所選擇安全措施的有效性；（10）風險評估記錄：根據組織的風險評估程序文件，記錄對重要資產的風險評估過程。如矩陣法或相乘法，通過構造經驗函數，矩陣法可形成安全事件發(fā)生的可能性與安全事件的損失之間的二維關系；運用相乘法可以將安全事件發(fā)生的可能性與安全事件的損失相乘得到風險值。因此，資產的脆弱性賦值還應參考技術管理和組織管理脆弱性的嚴重程度。管理脆弱性又可分為技術管理和組織管理兩方面，前者與具體技術活動相關，后者與管理環(huán)境相關。脆弱性識別將針對每一項需要保護的資產，找出可能被威脅利用的弱點，并對脆弱性的嚴重程度進行評估。而且如果系統(tǒng)足夠強健，再嚴重的威脅也不會導致安全事件，并造成損失。1. 威脅的分類根據威脅的來源，威脅可分為軟硬件故障、物理環(huán)境威脅、無作為或操作失誤、管理不到位、惡意代碼和病毒、越權或濫用、黑客攻擊技術、物理攻擊、泄密、篡改、抵賴2. 威脅的賦值（五個等級：很低、低、中、高、很高）判斷威脅出現的頻率是威脅識別的重要工作，評估者應根據經驗和（或）有關的統(tǒng)計數據來進行判斷。風險評估實施步驟一 風評準備1. 確定風險評估的目標2. 確定風險評估的范圍3. 組建適當的評估管理與實施團隊4. 進行系統(tǒng)調研，采取問卷調查、現場詢問等方式，至少包括以下內容：? 業(yè)務戰(zhàn)略及管理制度? 主要的業(yè)務功能和要求? 網絡結構與網絡環(huán)境，包括內部鏈接好外部鏈接? 系統(tǒng)邊界? 主要的硬件、軟件? 數據和信息? 系統(tǒng)和數據的敏感性? 支持和使用系統(tǒng)的人員5. 制定方案，為之后的風評實施提供一個總體計劃，至少包括：? 確定實施評估團隊成員? 工作計劃及時間進度安排6. 獲得最高管理者對風險評估工作的支持二 資產識別資產的價值是按照資產在保密性、完整性和可用性上達到的程度或者其未達到時造成的影響程度來決定1. 資產分類根據資產的表現形式，可將資產分為數據、軟件、硬件、文檔、服務、人員等類2. 資產的賦值（五個等級：可忽略、低、中等、高、極高）? 保密性賦值：根據資產在保密性上的不同要求，對應資產在保密性上應達成的不同程度或者密保性缺失時對整個組織的影響，劃分為五個
環(huán)評公示相關推薦
鄂ICP備17016276號-1