ch4信息安全風險評估-預覽頁
【正文】 ment）：對信息或信息處理設施的威脅、影響和脆弱點及三者發(fā)生的可能性的評估。第四章 信息安全風險評估 本章學習目標 ?了解風險評估的概念、特點和內涵； ? 熟悉風險評估的過程及應注意的問題； ? 了解如何選擇恰當的風險評估方法； ? 掌握典型的風險評估方法； ?了解風險評估實施準備 ? GB/T 209842023《 信息安全技術 信息安全風險評估規(guī)范 》 ? 相關概念 ? 資產（ Asset）：任何對組織有價值的事如，是安全策略保護的對象。 ? 風險（ Risk）：特定的威脅利用資產的一種或一組薄弱點，導致資產的丟失或損害的潛在可能性，即特定威脅事件的可能性與后果的結合。 ? 優(yōu)點 ? 有利于保密 ? 有利于發(fā)揮行業(yè)和部門內人員的業(yè)務特長 ? 有利于降低風險評估的費用 ? 有利于提高本單位的風險評估能力與信息安全知識 風險評估的兩種方式 ? 1自評估 ? 缺點： ? 如果沒有統(tǒng)一的規(guī)范要求，在缺乏信息系統(tǒng)安全風險評估專業(yè)人才的情況下，自評估的結果可能不深入、不規(guī)范、不到位 ? 自評估中，可能會存在某些不利的干預，從而影響風險評估結果的客觀性，降低評估結果的置信度 ? 某些時候，即使自評估的結果比較樂觀，也必須與管理層進行溝通 風險評估的兩種方式 ? 2 檢查評估 ? 檢查評估是由信息安全主管部門或業(yè)務部門發(fā)起的一種評估活動，旨在依據已經頒布的法規(guī)或標準，檢查被評估單位是否滿足了這些法規(guī)或標準。 第二步 風險因素評估 ? 1資產評估 ? 識別信息資產，包括數據、軟件、硬件、設備、服務、文檔等，制定 《 信息資產列表 》 ? 保密性、完整性、可用性是評價資產的三個安全屬性 ? 風險評估中資產的價值不是以資產的經濟價值來衡量，而是由資產在這三個屬性上的達成程度或者其安全屬性未達成時所造成的影響程度來決定的。 ? 威脅分析包括：潛在威脅分析、威脅審計和入侵檢測分析、綜合分析 ? 威脅賦值應根據威脅發(fā)生的可能性和威脅產生的影響程度綜合確定 威脅出現頻率（發(fā)生的可能性）的賦值 第二步 風險因素評估 ? 3弱點評估 ? 脆弱點（ Vulnerability）：是指資產或資產組中能被威脅利用的弱點。對有效的安全措施繼續(xù)保持，對確認為不適當的安全措施應核實是否應被取消或對其進行修正，或用更合適的安全措施替代。 ? 風險處理計劃中應明確采取的彌補脆弱性的安全措施、預期效果、實施條件、進度安排、責任部門等。 使用矩陣法計算風險值 ? 對于 z值的計算，可以采取以下計算公式 ? Zij=xi+yj 或 ? Zij=xiXyj 或 ? Zij=aXxi+bXyj， a， b為正常數 ? Zij的計算需要根據實際情況確定，矩陣內 zij的值不一定遵循統(tǒng)一的計算公式，但必須具有統(tǒng)一的增減趨勢，即如果 f是遞增函數， zij的值應隨著 xi和 yj的值遞增，反
教學課件相關推薦
鄂ICP備17016276號-1