信息安全風(fēng)險(xiǎn)評(píng)估流程-預(yù)覽頁(yè)
【正文】 業(yè)內(nèi)有多種說法，從國(guó)標(biāo) 《 評(píng)估指南 》 對(duì)信息安全風(fēng)險(xiǎn)評(píng)估的表述中看出，評(píng)估涉及資產(chǎn)、威脅、脆弱性和風(fēng)險(xiǎn)四個(gè)主要因素。 ?信息安全風(fēng)險(xiǎn)評(píng)估從管理的角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及存在的脆弱性。并為信息系統(tǒng)的建設(shè)和改造提供依據(jù)，幫助信息安全建設(shè)者正確判斷系統(tǒng)存在風(fēng)險(xiǎn)與漏洞，并采取適當(dāng)補(bǔ)救措施。 四、風(fēng)險(xiǎn)評(píng)估流程 信息安全風(fēng)險(xiǎn)評(píng)估的典型過程主要分為風(fēng)險(xiǎn)評(píng)估準(zhǔn)備、資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別、已有安全措施確認(rèn)和風(fēng)險(xiǎn)分析六個(gè)階段。建立評(píng)估團(tuán)隊(duì)后，由評(píng)估工作人員進(jìn)行現(xiàn)場(chǎng)調(diào)研，由被評(píng)估方介紹網(wǎng)絡(luò)構(gòu)建情況，安全管理制度和采取的安全防護(hù)措施以及業(yè)務(wù)運(yùn)行情況。風(fēng)險(xiǎn)評(píng)估中的資產(chǎn)價(jià)值不是以資產(chǎn)的經(jīng)濟(jì)價(jià)值來衡量，而是由資產(chǎn)在這三個(gè)安全屬性上的達(dá)成程度或其安全屬性未達(dá)成時(shí)所造成的影響程度來決定的。在實(shí)際工作中，具體的資產(chǎn)分類方法可根據(jù)具體的評(píng)估對(duì)象和要求，由評(píng)估者靈活把握。為了確保收集到的威脅信息客觀準(zhǔn)確，威脅問卷調(diào)查的對(duì)象要覆蓋被評(píng)估對(duì)象的領(lǐng)導(dǎo)層、技術(shù)主管、網(wǎng)絡(luò)管理人員、系統(tǒng)管理人員、安全管理人員和普通員工等。威脅識(shí)別完成后還應(yīng)該對(duì)威脅發(fā)生的可能性進(jìn)行評(píng)估，列出威脅清單，描述威脅屬性，并對(duì)威脅出現(xiàn)的頻率賦值。 四、風(fēng)險(xiǎn)評(píng)估流程 脆弱性識(shí)別是風(fēng)險(xiǎn)評(píng)估工作過程中最為復(fù)雜、較難把握的環(huán)節(jié)，同時(shí)也是非常重要的環(huán)節(jié)，對(duì)評(píng)估工作小組成員的專業(yè)技術(shù)水平要求較高。為了分析脆弱性影響的嚴(yán)重程度，最好對(duì)關(guān)鍵資產(chǎn)的脆弱性進(jìn)行深度檢測(cè)和驗(yàn)證，比如關(guān)鍵服務(wù)的身份認(rèn)證等。 四、風(fēng)險(xiǎn)評(píng)估流程 a) 脆弱性識(shí)別 脆弱性識(shí)別可以以資產(chǎn)為核心，針對(duì)每一項(xiàng)需要保護(hù)的資產(chǎn) ,識(shí)別可能被威脅利用的弱點(diǎn)，并對(duì)脆弱性的嚴(yán)重程度進(jìn)行評(píng)估；也可以從物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用等層次進(jìn)行識(shí)別，然后與資產(chǎn)、威脅對(duì)應(yīng)起來。 脆弱性識(shí)別所采用的方法：?jiǎn)柧碚{(diào)查、工具檢測(cè)、人工核查、文檔查閱、滲透性測(cè)試等。對(duì)有效的安全措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止安全措施的重復(fù)實(shí)施。安全措施識(shí)別與確認(rèn)，應(yīng)由評(píng)估小組的安全控制措施識(shí)別小組、安全設(shè)備管理人員及安全設(shè)備廠家技術(shù)人員共同參與。風(fēng)險(xiǎn)分析階段需要完成的工作主要有 3項(xiàng)：風(fēng)險(xiǎn)計(jì)算、形成風(fēng)險(xiǎn)評(píng)估報(bào)告和給出風(fēng)險(xiǎn)控制建議。 風(fēng)險(xiǎn)只能被預(yù)防、避免、降低、轉(zhuǎn)移或接受，而不可能完全消除。 b) 風(fēng)險(xiǎn)結(jié)果判斷 為實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)的控制與管理，可以對(duì)風(fēng)險(xiǎn)評(píng)估的結(jié)果進(jìn)行等級(jí)化處理。 五、風(fēng)險(xiǎn)評(píng)估工作的要點(diǎn) 第一，各級(jí)領(lǐng)導(dǎo)對(duì)評(píng)估工作的重視。項(xiàng)目組主要包括項(xiàng)目領(lǐng)導(dǎo)小組、項(xiàng)目負(fù)責(zé)人和項(xiàng)目工作小組。對(duì)于規(guī)避技術(shù)性評(píng)估所帶來的風(fēng)險(xiǎn)，例如進(jìn)行漏洞掃描有時(shí)引起掃描對(duì)象宕機(jī)等，在制訂各種技術(shù)性評(píng)估方案時(shí)，應(yīng)當(dāng)由被評(píng)估方和評(píng)估方共同審核確認(rèn)，盡量避免采取可能造成不良影響的操作，最好事先經(jīng)過測(cè)試。 五、風(fēng)險(xiǎn)評(píng)估工作的要點(diǎn) 第五，提供評(píng)估所必須的保障條件。特殊需要的專業(yè)技術(shù)人員可以根據(jù)評(píng)估工作的需要臨時(shí)抽調(diào)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1