信息安全風(fēng)險評估與風(fēng)險管理課件-預(yù)覽頁
【正文】 ? 資產(chǎn)重要性等級 威脅識別 ? 威脅分類 ? 威脅來源分類 ? 威脅賦值 脆弱性識別 ? 識別內(nèi)容 ：技術(shù)脆弱性涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個層面的安全問題。 2023 已有安全措施確認(rèn) ? 安全措施的確認(rèn)應(yīng)評估其有效性，即是否真正地降低了系統(tǒng)的脆弱性，抵御了威脅。 2023 信息系統(tǒng)生命周期各階段的風(fēng)險評估 規(guī)劃階段的風(fēng)險評估 設(shè)計階段的風(fēng)險評估 實施階段的風(fēng)險評 運行維護(hù)階段的風(fēng)險評估 廢棄階段的風(fēng)險評估 ? 每個階段的實施內(nèi)容稍有不同，目的和方法一致。 2023 附錄 風(fēng)險的計算方法 ? 矩陣法 ：通過構(gòu)造兩兩要素計算矩陣，得到第三個要素的判斷值，是一種基于經(jīng)驗的判斷方法。 2023 一、風(fēng)險評估中的概念及模型 二、風(fēng)險評估標(biāo)準(zhǔn) 三、風(fēng)險評估流程與方法 四、風(fēng)險評估的輸出結(jié)果 五、風(fēng)險管理 六、總結(jié) 目錄 27 All rights reserved 169。 28 All rights reserved 169。定量分析方法一般適用于： ? a）確立威脅發(fā)生概率； ? b）預(yù)測系統(tǒng)風(fēng)險發(fā)生概率； ? c）確立系統(tǒng)總體風(fēng)險評價等。 ? 例如： ? 網(wǎng)上政務(wù)安信息系統(tǒng)安全保障要求 ? HIS系統(tǒng)安全保障要求 ? 實際固化了前期的資產(chǎn)識別、威脅分析，僅做審核、結(jié)論性判斷。 2023 資產(chǎn)識別的類型 34 All rights reserved 169。 對信息資產(chǎn)進(jìn)行賦值的目的是為了更好地反映資產(chǎn)的價值 ， 以便于進(jìn)一步考察資產(chǎn)相關(guān)的弱點 、 威脅和風(fēng)險屬性 ， 并進(jìn)行量化 。 機(jī)密性價值較低，潛在影響可以忍受，較容易彌補(bǔ) 3 資產(chǎn)對防止信息非授權(quán)泄露、破壞方面的要求一般 機(jī)密性價值中等，潛在影響重大，但可以彌補(bǔ) 4 資產(chǎn)對防止信息非授權(quán)泄露、破壞方面的要求較高 機(jī)密性價值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 5 資產(chǎn)對防止信息非授權(quán)泄露、破壞方面的要求很高 機(jī)密性價值非常關(guān)鍵，具有致命性的潛在影響 例：對應(yīng)用軟件，其機(jī)密性表現(xiàn)在 配置數(shù)據(jù)失密、賬號口令信息失密、關(guān)鍵算法失密等。 完整性價值較低，潛在影響可以忍受，較容易彌補(bǔ) 3 資產(chǎn)對防止信息非授權(quán)修改、破壞方面的要求一般 完整性價值中等，潛在影響重大，但可以彌補(bǔ) 4 資產(chǎn)對防止信息非授權(quán)修改、破壞方面的要求較高 完整性價值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 5 資產(chǎn)對防止信息非授權(quán)修改、破壞方面的要求很高 完整性價值非常關(guān)鍵，具有致命性的潛在影響 例：對應(yīng)用軟件，其完整性表現(xiàn)在 配置數(shù)據(jù)被修改、軟件被修改、數(shù)據(jù)被修改 37 All rights reserved 169。 38 All rights reserved 169。 2023 分析威脅與 C,I,A之間的關(guān)系 例如 :電腦遭遇黒客入侵 資產(chǎn)是電腦 威脅是黒客攻擊 薄弱點是口令強(qiáng)度不夠等 在考慮此威脅發(fā)生時 ,對此資產(chǎn)而言 ,最先遭破壞的是完整性 ,其次才是保密性或可用性 。 2023 有關(guān)實物和環(huán)境安全方面的薄弱點列表 薄弱點 利用薄弱點的威脅 對建筑、房屋和辦公室實物訪問控制的不充分或疏忽 故意破壞 對于建筑、門和窗缺乏物理保護(hù) 盜竊 位于易受洪水影響的區(qū)域 洪水 未保護(hù)的儲藏庫 盜竊 缺乏維護(hù)程序或維護(hù)作業(yè)指導(dǎo) 維護(hù)人員操作失誤 缺乏定期的設(shè)備更新計劃 存儲媒體老化 設(shè)備缺乏必要防護(hù)措施 空氣中的顆粒 /灰塵 設(shè)備對溫度變化敏感或缺乏空調(diào)設(shè)備 極端溫度 (高溫或低溫 ) 設(shè)備易受電壓變化的影響、不穩(wěn)定的高壓輸電網(wǎng)、確保供電保護(hù)設(shè)施 電壓波動 44 All rights reserved 169。 2023 威脅影響分析 ? 評價威脅發(fā)生所造成的后果或潛在影響 ?不同的威脅對同一資產(chǎn)或組織所產(chǎn)生的影響不同，即導(dǎo)致的價值損失也不同，但損失的程度應(yīng)以資產(chǎn)的相對價值 (或重要度 )為限。 ?參考 《 威脅影響程度判斷準(zhǔn)則 》 47 All rights reserved 169。 2023 賦值 描述 說明 5 很高 預(yù)期在大多數(shù)情況下發(fā)生，不可避免（ 90%） （或 ≥ 1 次 /周） 4 高 （很可能） 在大多數(shù)情況下，很有可能會發(fā)生（ 50% ~ 90%） （或 ≥ 1 次 /月） 3 中等 （可能） 在某種情況下或某個時間，可能會發(fā)生（ 20% ~ 50%） （或 1 次 /半年） 2 低 （不太可能） 發(fā)生的可能性很小，不太可能（ 20%） 1 極低 僅在非常例外的情況下發(fā)生，非常罕見，幾乎不可能（ 0%~1%） 50 All rights reserved 169。 2023 實施風(fēng)險控制 風(fēng)險確認(rèn)與接受 為確保組織的信息安全，殘余風(fēng)險應(yīng)在可接受范圍內(nèi) 殘余風(fēng)險 R(r)=原有風(fēng)險 R(0)控制 ?R 殘余風(fēng)險 R（ r） =可接受風(fēng)險 R(t) 安全控制 實施 風(fēng)險確認(rèn) 接受 不接受 增加控制 53 All rights reserved 169。 2023 風(fēng)險控制要點 風(fēng)險是一個變數(shù) ! ? 要定期進(jìn)行風(fēng)險評估 ? 在以下情況進(jìn)行臨時評估 ? 當(dāng)組織新增信息資產(chǎn)時 ? 當(dāng)系統(tǒng)發(fā)生重大變更時 ? 發(fā)生嚴(yán)重信息安全事故時 57 All rights reserved 169。 2023 反映了： ? 資產(chǎn)名稱 ? 描述范圍 ? 機(jī)密性、可用性、完整性評分等級 ? 資產(chǎn)與信息安全系數(shù)關(guān)系 ? 所屬業(yè)務(wù)流程 重要資產(chǎn)賦值表 風(fēng)險評估的輸出結(jié)果 —— 重要資產(chǎn)列表 61 All rights reserved 169。 2023 反映了： ? 資產(chǎn)名稱 ? 威脅 /薄弱點 ? 風(fēng)險系數(shù) ? 風(fēng)險處理措施 ? 優(yōu)先處理等級，等。 2023 風(fēng)險管理的目的和意義 信息安全風(fēng)險管理是信息安全保障工作中的一項基礎(chǔ)性工作。 2023 風(fēng)險管理的對象與范圍 信息自身：各類以電子形式或紙面文檔方式表示的數(shù)據(jù)材料。 69 All rights reserved 169。 2023 風(fēng)險確認(rèn)與接受 為確保組織的信息安全，殘余風(fēng)險應(yīng)在可接受范圍內(nèi) 殘余風(fēng)險 R(r)=原有風(fēng)險 R(0)控制 ?R 殘余風(fēng)險 R（ r） =可接受風(fēng)險 R(t) 安全控制 實施 風(fēng)險確認(rèn) 接受 不接受 增加控制 72 All rights reserved 169。 2023 演講完畢，謝謝觀看！
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1