gbt22080信息安全風(fēng)險(xiǎn)評(píng)估管理程序-免費(fèi)閱讀
【正文】 一般來(lái)說(shuō)，安全措施的實(shí)施是以減少脆弱性或降低安全事件發(fā)生可能性 德信誠(chéng) 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 為目標(biāo)的，因此，殘余風(fēng)險(xiǎn)的評(píng)估可以從脆弱性評(píng)估開(kāi)始，在對(duì)照安全措施實(shí)施前后的 脆弱性狀況后，再次計(jì)算風(fēng)險(xiǎn)值的大小。綜合安全事件所作用的資產(chǎn)價(jià)值及脆弱性的嚴(yán)重程度，判斷安全事件造成的損失對(duì)公司的影響，即安全風(fēng)險(xiǎn)。 賦值 可以根據(jù)脆弱性對(duì)資產(chǎn)的暴露程度、技術(shù)實(shí)現(xiàn)的難易程度、流行程度等，采用等級(jí)方式對(duì)已識(shí)別的脆弱性的嚴(yán)重程度進(jìn)行賦值。 表 5 脆弱性識(shí)別內(nèi)容表 類(lèi)型 識(shí)別對(duì)象 識(shí)別內(nèi)容 技術(shù)脆弱性 物理環(huán)境 從機(jī)房場(chǎng)地、機(jī)房防火、機(jī)房供配電、機(jī)房防靜電、機(jī)房接地與防雷、電磁防護(hù)、通信線(xiàn)路的保護(hù)、機(jī)房區(qū)域防護(hù)、機(jī)房設(shè)備管理等方面進(jìn)行識(shí)別 技術(shù)脆弱性 網(wǎng)絡(luò)結(jié)構(gòu) 從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、邊界保護(hù)、外部訪(fǎng)問(wèn)控制策略、內(nèi)部訪(fǎng)問(wèn)控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方面進(jìn)行識(shí)別 德信誠(chéng) 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 系統(tǒng)軟件 從補(bǔ)丁安裝、物理保護(hù)、用戶(hù)帳號(hào)、口令策略、資 源共享、事件審計(jì)、訪(fǎng)問(wèn)控制、新系統(tǒng)配置、注冊(cè)表加固、網(wǎng)絡(luò)安全、系統(tǒng)管理等方面進(jìn)行識(shí)別 應(yīng)用中間件 從協(xié)議安全、交易完整性、數(shù)據(jù)完整性等方面進(jìn)行識(shí)別 應(yīng)用系統(tǒng) 從審計(jì)機(jī)制、審計(jì)存儲(chǔ)、訪(fǎng)問(wèn)控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識(shí)別 管理脆弱性 技術(shù)管理 從物理和環(huán)境安全、通信與操作管理、訪(fǎng)問(wèn)控制、系統(tǒng)開(kāi)發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識(shí)別 組織管理 從安全策略、組織安全、資產(chǎn)分類(lèi)與控制、人員安全、符合性等方面進(jìn)行識(shí)別 在識(shí)別脆弱性的同時(shí)，評(píng)估人員應(yīng)對(duì) 已采取的安全措施的有效性進(jìn)行確認(rèn)。表 4是 威脅出現(xiàn)頻率的賦值方法。造成威脅的因素可 以 是人為 因素，也可以是環(huán)境因素， 在本評(píng)估方法中將 根據(jù)其表現(xiàn)形式 進(jìn)行分類(lèi)，詳見(jiàn)表 3。采取的措施包括： 德信誠(chéng) 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 采用適當(dāng)?shù)目刂拼胧? 避免風(fēng)險(xiǎn)； 風(fēng)險(xiǎn)轉(zhuǎn)移； 接受風(fēng)險(xiǎn)； 6 風(fēng)險(xiǎn)評(píng)估過(guò)程 風(fēng)險(xiǎn)評(píng)估的流程如圖 3所示。風(fēng)險(xiǎn)分析的主要內(nèi)容為： ? 對(duì)資產(chǎn)進(jìn)行識(shí)別，并對(duì)資產(chǎn)的價(jià)值進(jìn)行賦值； ? 對(duì)威脅進(jìn)行識(shí)別，描述威脅的屬性，并對(duì)威脅出現(xiàn)的頻率賦值； ? 對(duì)脆弱性進(jìn)行識(shí)別，并對(duì)具體資產(chǎn)的脆弱性的嚴(yán)重程度賦值； ? 根據(jù)威脅及威脅利用 脆弱性的難易程度判斷安全事件發(fā)生的可能性； ? 根據(jù)脆弱性的嚴(yán)重程度及安全事件所作用的資產(chǎn)的價(jià)值計(jì)算安全事件造成的損失； ? 根據(jù)安全事件發(fā)生的可能性以及安全事件出現(xiàn)后的損失，計(jì)算安全事件一旦發(fā)生對(duì)公司的影響，即風(fēng)險(xiǎn)值 。 4 職責(zé)和權(quán)限 信息安全領(lǐng)導(dǎo)辦公室 ? 決定實(shí)施風(fēng)險(xiǎn)評(píng)估的時(shí)間和方法 ? 指導(dǎo) 風(fēng)險(xiǎn)處理計(jì)劃的實(shí)施 與 檢查 ? 殘余風(fēng)險(xiǎn)的批準(zhǔn)。 部門(mén)信息安全主管 ? 負(fù)責(zé)本 部門(mén) 范圍內(nèi)風(fēng)險(xiǎn)評(píng)估相關(guān)活動(dòng)的組織實(shí)施 ? 負(fù)責(zé)本部門(mén)范圍內(nèi)風(fēng)險(xiǎn)處理計(jì)劃的組織實(shí)施 部門(mén)信息安全員 ? 在部門(mén)安全主管領(lǐng)導(dǎo)下，負(fù)責(zé) 本部門(mén) 風(fēng)險(xiǎn)評(píng)估相關(guān)活動(dòng)的 實(shí)施 ? 在部門(mén)安全主管領(lǐng)導(dǎo)下，負(fù)責(zé) 本部門(mén) 風(fēng)險(xiǎn)處理計(jì)劃的 實(shí)施 5 風(fēng)險(xiǎn)評(píng)估方法 風(fēng)險(xiǎn)各要素的關(guān)系 風(fēng)險(xiǎn)評(píng)估中各要素的關(guān)系如圖 1。 風(fēng)險(xiǎn)評(píng)估方法描述 本公司采用“定性與定量計(jì)算”的方法對(duì)風(fēng)險(xiǎn)進(jìn)行描述。 資產(chǎn)識(shí)別 資產(chǎn)分類(lèi) 保密性、完整性和可用性是評(píng)價(jià)資產(chǎn)的三個(gè)安全屬性。 威脅作用形式可
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1