第06講 octave風險評估方法-全文預覽
【正文】 理層次的員工，目的是全面了解資產(chǎn)、威脅、脆弱性、現(xiàn)有安全措施等信息 ?后面過程中的研討會主要由評估組或?qū)I(yè)人員參與，目的是討論、分析已有資料，并給出結(jié)論。 ? 遵從 OCTAVE準則的方法不只一種。 IT的參與 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表（續(xù)） 原則 原則解釋 屬性 集體合作 評估領(lǐng)導小組應該由各個部門的人員組成；當評估小組的人員能力不夠分析某資產(chǎn)的時候，要隨時補充專業(yè)人士，以增進專業(yè)能力；所有參與的人要通力協(xié)作 估小組 力 IT的參與 OCTAVE 的原則、屬性和輸出 ? 什么是輸出（ Output）？ ?每一評估階段的階段性成果，它們決定了在每一個評估階段中，評估領(lǐng)導小組和其它參與評估的人員必須完成的一些任務(wù)（正式這些任務(wù)產(chǎn)生了輸出）。 務(wù) 的目錄 向前看 用發(fā)展的眼光看待問題，要考慮隨著時間和環(huán)境變化而引起的當前不確定的風險 中關(guān)注風險 集中精力在少數(shù)關(guān)鍵資產(chǎn)上 不可能面面俱到，什么都保護。 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表 原則 原則解釋 屬性 自評估 風險評估由組織內(nèi)部人來執(zhí)行 的評估小組 能力 可適應措施 風險評估需要得到諸如已有安全措施、威脅來源等的列表，這些列表的內(nèi)容可以隨著環(huán)境變化和技術(shù)的進步而加以變更。 ? 原則共有 10條，分成 3類 ?信息安全風險評估原則 ? 自評估、可適應措施、已定義的過程、 評估過程連續(xù)性 ?風險管理原則 ? 向前看、集中精力在少數(shù)關(guān)鍵資產(chǎn)上、整體管理 ?組織和文化原則 ? 開放交流、全局觀念、集體合作 OCTAVE 的原則、屬性和輸出 OCTAVE 的原則、屬性和輸出 ? 什么是屬性（ Attribute）？ ? 屬性：評估的一些顯著特點和特征 ? 是對評估的一些要求 。 ?確定各個重要資產(chǎn)相關(guān)的信息技術(shù)組件； ?確定每一個這樣的組件的抗攻擊的能力 OCTAVE評估的 3個階段 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 ?確定出每個重要信息資產(chǎn)所面臨的風險； ?決定能夠?qū)@些風險做些什么； ?制定出組織保護策略和風險消減計劃以降低組織重要信息資產(chǎn)的風險 OCTAVE 的原則、屬性和輸出 ? 什么是原則（ Principal）？ ?原則：驅(qū)動風險評估的一些基本概念和存在于風險評估過程背后的原理性內(nèi)容。信息安全工程學 六、 OCTAVE風險評估方法 需要大家知道的 ? 什么是 OCTAVE？ ?什么是 OCTAVE準則（ Criterion） ? ?什么是 OCTAVE方法（ Method）？ ?二者的關(guān)系？ ? OCTAVE的三個階段 主要資料來源 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準則（ Criterion） ? OCTAVE方法（ Method） 什么是 OCTAVE？ ? Operationally Critical Threat, Asset, and Vulnerability Evaluation ? 卡內(nèi)基 梅隆大學，軟件工程學院（ SEI） ? 定義了一套唯一的準則，說明 OCTAVE風險評估的原則、屬性，和評估應該輸出的信息 ? 可以有多種符合 OCTAVE準則的評估方法，只要依照該方法進行的評估能夠輸出 OCTAVE準則要求的輸出信息。實際上是對與該資產(chǎn)相對應的信息系統(tǒng)組件的脆弱性分析。自評估的概念意味著組織內(nèi)部的人士是領(lǐng)導評估開展和制定決策的最佳人選。 ? 例如 ， “ 從組織內(nèi)部選擇一些跨部門的工作人員構(gòu)成評估領(lǐng)導小組 ” 是 OCTAVE的一個屬性 ， 存在于這項屬性背后的原則就是 “ 自評估 ” 原則 。 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表（續(xù)） 原則 原則解釋 屬性 為風險管理的良性循環(huán)打好基礎(chǔ) 要按照標準的步驟評估，依據(jù)評估結(jié)果而制定的戰(zhàn)略和計劃要能經(jīng)的起時間和環(huán)境變化的考驗。 全局觀念 要廣泛征求每個人的意見，綜合考慮每個方面的因素，以確定什么信息資產(chǎn)對組織是重要的。 ? OCTAVE方法完全遵從前面介紹的 OCTAVE準則，即它遵守所有原則，具備所有屬性，并且提供規(guī)定的輸出。對于 OCTAVE方法來說，這些信息與OCTAVE準則中規(guī)定的輸出是一致的。 一個案例 ? MedSite的信息系統(tǒng)： ?患者信息系統(tǒng)（ PIDS），包括 PIDS服務(wù)器，局域網(wǎng)，終端 PC等。 ? 評估小組主持評估過程的進行，并分析信息，給出結(jié)論。但是評估范圍不應過大。在各個階段的各個過程中都要執(zhí)行多個任務(wù)，進行多次研討會，每個過程中都會涉及評估組以外的參與者 風險評估的準備 各個過程的參與者 過程 參與者 時間安排 過程 1 至少 3名高層領(lǐng)導 189。 MedSite的風險評估準備 ? 評估參與人員 ? 高層領(lǐng)導（參與過程 1）： ? Peter，院長； ? White，分管診療業(yè)務(wù)的副院長； ? ，分
教學課件相關(guān)推薦
鄂ICP備17016276號-1