風(fēng)險(xiǎn)評(píng)估實(shí)施步驟簡介-全文預(yù)覽
【正文】 名稱、描述、類型、重要程度、責(zé)任人/部門等； （5）威脅列表：根據(jù)威脅識(shí)別和賦值的結(jié)果，形成威脅列表，包括威脅名稱、種類、來源、動(dòng)機(jī)及出現(xiàn)的頻率等；（6）脆弱性列表：根據(jù)脆弱性識(shí)別和賦值的結(jié)果，形成脆弱性列表，包括脆弱性名稱、描述、類型及嚴(yán)重程度等； （7）已有安全措施確認(rèn)表：根據(jù)已采取的安全措施確認(rèn)的結(jié)果，形成已有安全措施確認(rèn)表，包括已有安全措施名稱、類型、功能描述及實(shí)施效果等；（8）風(fēng)險(xiǎn)評(píng)估報(bào)告：對(duì)整個(gè)風(fēng)險(xiǎn)評(píng)估過程和結(jié)果進(jìn)行總結(jié)，詳細(xì)說明被評(píng)估對(duì)象，風(fēng)險(xiǎn)評(píng)估方法，資產(chǎn)、威脅、脆弱性的識(shí)別結(jié)果，風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)統(tǒng)計(jì)和結(jié)論等內(nèi)容；（9）風(fēng)險(xiǎn)處理計(jì)劃：對(duì)評(píng)估結(jié)果中不可接受的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處理計(jì)劃，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施，明確責(zé)任、進(jìn)度、資源，并通過對(duì)殘余風(fēng)險(xiǎn)的評(píng)價(jià)確保所選擇安全措施的有效性；（10）風(fēng)險(xiǎn)評(píng)估記錄：根據(jù)組織的風(fēng)險(xiǎn)評(píng)估程序文件，記錄對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)評(píng)估過程。如矩陣法或相乘法，通過構(gòu)造經(jīng)驗(yàn)函數(shù)，矩陣法可形成安全事件發(fā)生的可能性與安全事件的損失之間的二維關(guān)系；運(yùn)用相乘法可以將安全事件發(fā)生的可能性與安全事件的損失相乘得到風(fēng)險(xiǎn)值。因此，資產(chǎn)的脆弱性賦值還應(yīng)參考技術(shù)管理和組織管理脆弱性的嚴(yán)重程度。管理脆弱性又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān)。脆弱性識(shí)別將針對(duì)每一項(xiàng)需要保護(hù)的資產(chǎn)，找出可能被威脅利用的弱點(diǎn)，并對(duì)脆弱性的嚴(yán)重程度進(jìn)行評(píng)估。而且如果系統(tǒng)足夠強(qiáng)健，再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失。1. 威脅的分類根據(jù)威脅的來源，威脅可分為軟硬件故障、物理環(huán)境威脅、無作為或操作失誤、管理不到位、惡意代碼和病毒、越權(quán)或?yàn)E用、黑客攻擊技術(shù)、物理攻擊、泄密、篡改、抵賴2. 威脅的賦值（五個(gè)等級(jí)：很低、低、中、高、很高）判斷威脅出現(xiàn)的頻率是威脅識(shí)別的重要工作，評(píng)估者應(yīng)根據(jù)經(jīng)驗(yàn)和（或）有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來進(jìn)行判斷。風(fēng)險(xiǎn)評(píng)估實(shí)施步驟一 風(fēng)評(píng)準(zhǔn)備1. 確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)2. 確定風(fēng)險(xiǎn)評(píng)估的范圍3. 組建適當(dāng)?shù)脑u(píng)估管理與實(shí)施團(tuán)隊(duì)4. 進(jìn)行系統(tǒng)調(diào)研，采取問卷調(diào)查、現(xiàn)場(chǎng)詢問等方式，至少包括以下內(nèi)容：? 業(yè)務(wù)戰(zhàn)略及管理制度? 主要的業(yè)務(wù)功能和要求? 網(wǎng)絡(luò)結(jié)構(gòu)與網(wǎng)絡(luò)環(huán)境，包括內(nèi)部鏈接好外部鏈接? 系統(tǒng)邊界? 主要的硬件、軟件? 數(shù)據(jù)和信息? 系統(tǒng)和數(shù)據(jù)的敏感性? 支持和使用系統(tǒng)的人員5. 制定方案，為之后的風(fēng)評(píng)實(shí)施提供一個(gè)總體計(jì)劃，至少包括：? 確定實(shí)施評(píng)估團(tuán)隊(duì)成員? 工作計(jì)劃及時(shí)間進(jìn)度安排6. 獲得最高管理者對(duì)風(fēng)險(xiǎn)評(píng)估工作的支持二 資產(chǎn)識(shí)別資產(chǎn)的價(jià)值是按照資產(chǎn)在保密性、完整性和可用性上達(dá)到的程度或者其未達(dá)到時(shí)造成的影響程度來決定1. 資產(chǎn)分類根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、文檔、服務(wù)、人員等類2. 資產(chǎn)的賦值（五個(gè)等級(jí)：可忽略、低、中等、高、極高）? 保密性賦值：根據(jù)資產(chǎn)在保密性上的不同要求，對(duì)應(yīng)資產(chǎn)在保密性上應(yīng)達(dá)成的不同程度或者密保性缺失時(shí)對(duì)整個(gè)組織的影響，劃分為五個(gè)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1