第06講 octave風(fēng)險(xiǎn)評(píng)估方法-預(yù)覽頁
【正文】 管醫(yī)藥的副院長； ? Alice，分管病理學(xué)研究的副院長； ? Chen，分管各下轄診所的副院長 ? 中層領(lǐng)導(dǎo)以及評(píng)估涉及的科室（參與過程 2）： ? ， IT經(jīng)理； ? Bob，門診科主任； ? Stone，住院部主任； ? Christina，病理學(xué)實(shí)驗(yàn)室主任； MedSite的風(fēng)險(xiǎn)評(píng)估準(zhǔn)備 ? 評(píng)估參與人員 ?普通職員： ? IT部， Jack、 Winston； ? 門診部， 、 Farris； ? 住院部， Alan, Joyce ? 實(shí)驗(yàn)室， Johnson, Rose MedSite的風(fēng)險(xiǎn)評(píng)估準(zhǔn)備 ? 評(píng)估日程 ?略。 是 否 不知道 各部門都有足夠的專家，了解各業(yè)務(wù)流程的安全執(zhí)行方式。主要任務(wù)如下： ? 確認(rèn)從過程 1到過程 3獲得的組織關(guān)于風(fēng)險(xiǎn)的信息； ? 將 3個(gè)過程中經(jīng)過與各階層人員的研討而得到的資產(chǎn)、威脅、已有措施等信息加以整理總結(jié)； ? 確定系統(tǒng)的重要資產(chǎn)； ? 確認(rèn)重要資產(chǎn)，并描述為什么將其作為重要資產(chǎn) ? 提煉重要資產(chǎn)的安全需要； ? 描述安全需要，并標(biāo)識(shí)優(yōu)先級(jí)。例如服務(wù)器、網(wǎng)絡(luò)組件等 ? 標(biāo)識(shí)要檢查的組件（回憶一下“ 集中精力在少數(shù)關(guān)鍵資產(chǎn)上 ”的原則） ? 選擇特定組件 ? 選擇評(píng)估的方式（誰來做評(píng)估？用到哪些工具手段？） ? 這個(gè)任務(wù)的目的就是在每個(gè)關(guān)鍵的組件類別中選擇足夠的組件，以便對(duì)重要資產(chǎn)的脆弱性有充分的了解 過程 5：標(biāo)識(shí)關(guān)鍵組件（ MedSite） System of interest 列表 資產(chǎn) System of interest PIDS PIDS系統(tǒng)本身 ECDS ECDS系統(tǒng)本身 個(gè)人計(jì)算機(jī) 計(jì)算機(jī)本身（它們也是PIDS或 ECDS的子系統(tǒng)） 過程 5：標(biāo)識(shí)關(guān)鍵組件（ MedSite） PIDS關(guān)鍵組件類別 組件類別 認(rèn)定為關(guān)鍵類別的原因 * 服務(wù)器 要管理患者信息 * 網(wǎng)絡(luò)組件 路由器和交換機(jī)，內(nèi)部網(wǎng)絡(luò)通信的基礎(chǔ)設(shè)施 * 安全組件 防火墻，對(duì)外來訪問的主要把關(guān)設(shè)備 * 工作站 所有的內(nèi)部訪問都是從工作站發(fā)起的 * 家庭電腦 醫(yī)生可以用它們?cè)L問和更新患者記錄 筆記本電腦 無線組件 過程 5：標(biāo)識(shí)關(guān)鍵組件（ MedSite） 要檢查的組件 關(guān)鍵組件 IP地址 誰來評(píng)估 工具 為什么用這種方式評(píng)估 辦公室電腦 ………… ABC Systems派人使用工具評(píng)估，MedSite的人協(xié)助 脆弱性掃描器： VRFound 這些工具是ABC Systems常用的，它們熟悉，而我們的 IT人員不熟悉。 影響列表 過程 7：執(zhí)行風(fēng)險(xiǎn)分析（ MedSite） 影響級(jí)別描述 后果 影響描述 影響級(jí)別 數(shù)據(jù)篡改 可能造成誤診，對(duì)患者生死攸關(guān) 高 使醫(yī)院信譽(yù)受損，患者不信任我們的醫(yī)術(shù) 中 …… PIDS 網(wǎng)絡(luò)訪問 內(nèi)部 外部 偶然的 蓄意的 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 偶然的 蓄意的 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 資產(chǎn) 訪問方式 威脅源 動(dòng)機(jī) 威脅后果 影響級(jí)別 中 高 高 高 高 高 高 中 中 高 高 高 高 高 中 過程 8：制定戰(zhàn)略 ? 決定如何改善安全態(tài)勢(shì) ? 六個(gè)任務(wù)： ? 匯編過程 1～ 3得到的信息 ? 鞏固保護(hù)戰(zhàn)略信息 ? 1～ 3過程得到的安全措施檢查表，組織層面脆弱性等 ? 復(fù)查風(fēng)險(xiǎn)報(bào)告 ? 建立保護(hù)戰(zhàn)略 ? 建立風(fēng)險(xiǎn)消減計(jì)劃 ? 建立控制措施列表 ? 不再詳細(xì)講 PIDS 網(wǎng)絡(luò)訪問 內(nèi)部 外部 偶然的 蓄意的 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 偶然的 蓄意的 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 資產(chǎn) 訪問方式 威脅源 動(dòng)機(jī) 威脅后果 影響級(jí)別 消減計(jì)劃 中 高 高 高 高 高 高 中 中 高 高 高 高 高 中 加強(qiáng)對(duì)操作員的培訓(xùn)，完善培訓(xùn)制度，增強(qiáng)操作熟練程度 事件發(fā)生時(shí)請(qǐng)求ABS公司協(xié)助 加強(qiáng)人員管理 思考題 ? OCTAVE準(zhǔn)則與 OCTAVE方法的關(guān)系 ? OCTAVE方法的三個(gè)階段 ? 對(duì)比 OCTAVE方法三個(gè)階段、 10個(gè)過程與前面講的風(fēng)險(xiǎn)分析 9個(gè)步驟，看看它們的互相映射關(guān)系 ? 試著自己假想一個(gè)案例，并寫出采用OCTAVE方法進(jìn)行風(fēng)險(xiǎn)評(píng)估的各階段輸出 本講結(jié)束！ 演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1