風(fēng)險(xiǎn)評(píng)估實(shí)施方案-免費(fèi)閱讀
【正文】 因此，必須充分考慮各種可能的影響及其危害并準(zhǔn)備好相應(yīng)地應(yīng)對(duì)措施，盡可能減小對(duì)目標(biāo)系統(tǒng)正常運(yùn)行的干擾，從而減小損失。比較明顯的例子是防火墻的訪問控制措施。值得注意的是，脆弱性本身不會(huì)造成損失，它只是一種條件或環(huán)境、可能導(dǎo)致被威脅利用而造成資產(chǎn)損失。不同的信息資產(chǎn)具有不同的安全屬性，機(jī)密性、完整性和可用性分別反映了資產(chǎn)在三個(gè)不同方面的特性。風(fēng)險(xiǎn)分析主要內(nèi)容為：對(duì)資產(chǎn)進(jìn)行識(shí)別，并對(duì)資產(chǎn)的重要性進(jìn)行賦值；對(duì)威脅進(jìn)行識(shí)別，描述威脅的屬性，并對(duì)威脅出現(xiàn)的頻率賦值；對(duì)資產(chǎn)的脆弱性進(jìn)行識(shí)別，并對(duì)具體資產(chǎn)的脆弱性的嚴(yán)重程度賦值；根據(jù)威脅和脆弱性的識(shí)別結(jié)果判斷安全事件；根據(jù)脆弱性的嚴(yán)重程度及安全事件所作用資產(chǎn)的重要性計(jì)算安全事件的損失；根據(jù)安全事件發(fā)生的可能性以及安全事件的損失，計(jì)算安全事件一旦發(fā)生對(duì)組的影響，即風(fēng)險(xiǎn)值。（6）最小影響原則服務(wù)工作盡可能小的影響信息系統(tǒng)的正常運(yùn)行，不會(huì)對(duì)現(xiàn)有業(yè)務(wù)造成顯著影響。二、風(fēng)險(xiǎn)評(píng)估服務(wù)介紹本公司遵循公認(rèn)的ISO 2700GB/T 209842007信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范以及國際信息安全等級(jí)保護(hù)指南等安全標(biāo)準(zhǔn)知道風(fēng)險(xiǎn)評(píng)估的工作，針對(duì)資產(chǎn)重要程度分別提供不同的頻率和方式的風(fēng)險(xiǎn)評(píng)估，幫助客戶了解客觀真實(shí)的自身網(wǎng)絡(luò)系統(tǒng)安全現(xiàn)狀，規(guī)劃適合自己網(wǎng)絡(luò)系統(tǒng)環(huán)境的安全策略，并根據(jù)科學(xué)合理的安全策略來實(shí)施后續(xù)的安全服務(wù)、選型與部署安全產(chǎn)品以及建立有效的安全管理規(guī)章制度，從而全面完整的解決可能存在的各種風(fēng)險(xiǎn)隱患。安全是整體的體系建設(shè)過程，根據(jù)安全的木桶原理，組織網(wǎng)絡(luò)的整個(gè)安全最大強(qiáng)度取決于最短最脆弱的那根木頭，所以說在安全建設(shè)的過程中，如果不仔細(xì)的找到最短的那根木頭，而盲目的在外面加釘子，并不能改善整體強(qiáng)度。信息安全風(fēng)險(xiǎn)評(píng)估是信息安全保障體系建立過程中的重要的評(píng)價(jià)方法和決策機(jī)制，只有通過全面的風(fēng)險(xiǎn)評(píng)估，才能讓客戶對(duì)自身信息安全的狀況做出準(zhǔn)確的判斷。風(fēng)險(xiǎn)評(píng)估服務(wù)遵循標(biāo)準(zhǔn)在整個(gè)評(píng)估過程中，本公司遵循和參照最新、最權(quán)威的信息安全標(biāo)準(zhǔn)，作為評(píng)估實(shí)施的依據(jù)。風(fēng)險(xiǎn)評(píng)估對(duì)象及內(nèi)容本公司風(fēng)險(xiǎn)評(píng)估服務(wù)主要包括以下內(nèi)容：（1） 物理環(huán)境安全性評(píng)估（2） 網(wǎng)絡(luò)架構(gòu)安全性評(píng)估（3） 主機(jī)系統(tǒng)設(shè)備安全性評(píng)估l 服務(wù)器系統(tǒng)l 桌面主機(jī)l 網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)）（4） 應(yīng)用系統(tǒng)安全性評(píng)估l 通用應(yīng)用服務(wù)（WEB、FTP、Mail、DNS等）l 專用業(yè)務(wù)系統(tǒng)（B/S、C/S）l 數(shù)據(jù)庫（5） 機(jī)密數(shù)據(jù)安全控制保障評(píng)估（機(jī)密信息的生成、傳遞、存儲(chǔ)等過程）（6） 信息安全管理組織架構(gòu)和理性評(píng)估（7） 信息安全管理制度及安全性評(píng)估（8） 人員安全管理狀況評(píng)估（9） 安全產(chǎn)品和技術(shù)應(yīng)用狀況有效性及合理性評(píng)（10） 對(duì)應(yīng)重大緊急安全事件的處理能力評(píng)估（11） ……風(fēng)險(xiǎn)評(píng)估方法為了確切、真實(shí)地反映信息系統(tǒng)現(xiàn)狀，本公司在風(fēng)險(xiǎn)評(píng)估過程中使用到的方法有顧問訪談、工具掃描、專家經(jīng)驗(yàn)分析、實(shí)地勘察、滲透測(cè)試、策略審查六種，如下圖所示：圖 風(fēng)險(xiǎn)評(píng)估方法成果輸出l 《風(fēng)險(xiǎn)評(píng)估安全現(xiàn)狀綜合分析報(bào)告》l 《風(fēng)險(xiǎn)評(píng)估安全解決方案》四、風(fēng)險(xiǎn)評(píng)估服務(wù)框架及流程風(fēng)險(xiǎn)要素關(guān)系信息是一種資產(chǎn)，資產(chǎn)所有者應(yīng)對(duì)信息資產(chǎn)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1