風險評估實施方案-預覽頁
【正文】 范性，可以便與項目的跟蹤和控制。風險評估服務遵循標準在整個評估過程中，本公司遵循和參照最新、最權威的信息安全標準，作為評估實施的依據(jù)。信息安全風險評估是信息系統(tǒng)安全保障機制建立過程中的一種評價方法，其結果為信息安全更顯管理提供依據(jù)。信息安全風險評估是信息安全保障體系建立過程中的重要的評價方法和決策機制，只有通過全面的風險評估，才能讓客戶對自身信息安全的狀況做出準確的判斷。一、風險評估概述風險服務的重要性對于構建一套良好的信息安全系統(tǒng)，需要對整個系統(tǒng)的安全風險有一個清晰的認識。安全是整體的體系建設過程，根據(jù)安全的木桶原理，組織網(wǎng)絡的整個安全最大強度取決于最短最脆弱的那根木頭，所以說在安全建設的過程中，如果不仔細的找到最短的那根木頭，而盲目的在外面加釘子，并不能改善整體強度。他要評估資產面臨的威脅以及威脅利用脆弱性導致安全事件的可能性，并結合安全事件所涉及的資產價值來判斷安全事件一旦發(fā)生對組造成的影響。二、風險評估服務介紹本公司遵循公認的ISO 2700GB/T 209842007信息安全風險評估規(guī)范以及國際信息安全等級保護指南等安全標準知道風險評估的工作，針對資產重要程度分別提供不同的頻率和方式的風險評估，幫助客戶了解客觀真實的自身網(wǎng)絡系統(tǒng)安全現(xiàn)狀，規(guī)劃適合自己網(wǎng)絡系統(tǒng)環(huán)境的安全策略，并根據(jù)科學合理的安全策略來實施后續(xù)的安全服務、選型與部署安全產品以及建立有效的安全管理規(guī)章制度，從而全面完整的解決可能存在的各種風險隱患。（2）標準性原則服務設計和實施的全過程均依據(jù)國內或國際的相關標準進行。（6）最小影響原則服務工作盡可能小的影響信息系統(tǒng)的正常運行，不會對現(xiàn)有業(yè)務造成顯著影響。風險評估圍繞其基本要素展開，在對這些要素的評價過程中需要充分考慮業(yè)務戰(zhàn)略、資產價值、安全需求、安全事件、殘余風險等與這些基本要素相關的各類屬性。風險分析主要內容為：對資產進行識別，并對資產的重要性進行賦值；對威脅進行識別，描述威脅的屬性，并對威脅出現(xiàn)的頻率賦值；對資產的脆弱性進行識別，并對具體資產的脆弱性的嚴重程度賦值；根據(jù)威脅和脆弱性的識別結果判斷安全事件；根據(jù)脆弱性的嚴重程度及安全事件所作用資產的重要性計算安全事件的損失；根據(jù)安全事件發(fā)生的可能性以及安全事件的損失，計算安全事件一旦發(fā)生對組的影響，即風險值。（2）風險識別階段a）信息資產識別資產是組織直接賦予了價值因而需要保護的東西。不同的信息資產具有不同的安全屬性，機密性、完整性和可用性分別反映了資產在三個不同方面的特性。威脅可能源于對組織信息直接或間接地攻擊，例如非授權的泄露、篡改、刪除等，在機密性、完整性或可用性等方面造成傷害。值得注意的是，脆弱性本身不會造成損失，它只是一種條件或環(huán)境、可能導致被威脅利用而造成資產損失。對于那些卻認為不適當?shù)目刂坪瞬槭欠駪蝗∠?，火星和用更合適的控制代替。比較明顯的例子是防火墻的訪問控制措施。從上述的定義可以看出，風險評估的策略是首先選定某項資產、評估資產價值挖掘并評估資產面臨的威脅、挖掘并評估資產存在的脆弱性、評估該資產的風險、進而得出整個評估目標的風險。因此，必須充分考慮各種可能的影響及其危害并準備好相應地應對措施，盡可能減小對目標系統(tǒng)正常運行的干擾，從而減小
公司管理相關推薦
鄂ICP備17016276號-1