信息安全風險評估流程-全文預覽
【正文】 做好風險評估工作，特別要注意以下五方面的工作： 五、風險評估工作的要點 第三，注意評估過程中的風險控制。風險評估工作只有得到各級領導的廣泛認同和支持，才能順利地開展并卓有成效地進行，獲得客觀、真實和有效的評估結(jié)果，作為今后信息安全建設的重要參考依據(jù)。 c) 風險處理計劃 對不可接受的風險應根據(jù)導致該風險的脆弱性制定風險處理計劃。高風險和嚴重風險是不可接受的，必須選擇實施相應的對策來消減。風險計算是針對每一項信息資產(chǎn)、根據(jù)其自身存在的脆弱性列表、所面臨的威脅列表，考慮資產(chǎn)自身在信息系統(tǒng)中的重要程度（資產(chǎn)賦值），依據(jù)風險計算公式，計算出該信息資產(chǎn)的風險值，最終形成風險列表。 四、風險評估流程 安全措施可分為預防性安全措施和保護性安全措施兩種。對確認為不適當?shù)陌踩胧摵藢嵤欠駪蝗∠驅(qū)ζ溥M行修正，或采用更合適的安全措施予以替代。 b) 脆弱性賦值 根據(jù)對資產(chǎn)的損害程度、技術(shù)實現(xiàn)的難易程度、弱點的流行程度，采用等級方式對已識別的脆弱性的嚴重程度進行賦值。脆弱性識別的依據(jù)可以是國際或國家安全標準，也可以是行業(yè)規(guī)范、應用流程的安全要求。識別完成之后，還要對具體資產(chǎn)的脆弱性嚴重程度進行賦值。脆弱性分為管理脆弱性和技術(shù)脆弱性。 四、風險評估流程 a) 威脅分類 威脅可以通過威脅主體、資源、動機、途徑等多種屬性來描述，造成威脅的因素可分為人為因素和環(huán)境因素。顧問訪談要針對不同的訪談對象制訂不同的訪談提綱。 b) 資產(chǎn)賦值 根據(jù)資產(chǎn)在保密性、完整性、可用性上的不同要求，對資產(chǎn)進行保密性賦值、完整性賦值、可用性賦值。 資產(chǎn)識別主要通過向被評估方發(fā)放資產(chǎn)調(diào)查表來完成。評估工作小組根據(jù)調(diào)研情況撰寫信息安全風險評估工作方案。 1. 風險評估準備 2. 資產(chǎn)識別 3. 威脅識別 4. 脆弱性識別 5. 已有安全措施確認 6. 風險分析 四、風險評估流程 該階段的主要任務是制訂評估工作計劃，包括評估目標、評估范圍、制訂信息安全風險評估工作方案，并根據(jù)評估工作需要，組建評估團隊，明確各方職責。 ?風險評估可以科學地分析和理解信息系統(tǒng)在保密性、完整性、可用性等方面的工作，只有正確、全面地了解理解安全風險后才能決定如何處理安全風險，從而在信息安全的投資，信息安全措施的選擇，信息安全保障體系的建設做出合理的決策。評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性地抵御安全威脅的防護措施，為防范和化解信息安全風險，或?qū)L險控制在可以接受的水平，最大限度地保障網(wǎng)絡正常運行和信息安全提供科學依據(jù)。信息安全風險評估流程 培訓講師： jindaly 培訓日期： 一、風險評估概述 二、風險評估目的 三、風險評估范圍 四、風險評估流程 五、風險評估工作要點 一、風險評估概述 ?信息安全風險評估的概念在
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1