第06講octave風(fēng)險(xiǎn)評(píng)估方法-免費(fèi)閱讀
【正文】 例如服務(wù)器、網(wǎng)絡(luò)組件等 ? 標(biāo)識(shí)要檢查的組件（回憶一下“ 集中精力在少數(shù)關(guān)鍵資產(chǎn)上 ”的原則） ? 選擇特定組件 ? 選擇評(píng)估的方式（誰(shuí)來(lái)做評(píng)估？用到哪些工具手段？） ? 這個(gè)任務(wù)的目的就是在每個(gè)關(guān)鍵的組件類別中選擇足夠的組件，以便對(duì)重要資產(chǎn)的脆弱性有充分的了解 過(guò)程 5：標(biāo)識(shí)關(guān)鍵組件（ MedSite） System of interest 列表 資產(chǎn) System of interest PIDS PIDS系統(tǒng)本身 ECDS ECDS系統(tǒng)本身 個(gè)人計(jì)算機(jī) 計(jì)算機(jī)本身（它們也是PIDS或 ECDS的子系統(tǒng)） 過(guò)程 5：標(biāo)識(shí)關(guān)鍵組件（ MedSite） PIDS關(guān)鍵組件類別 組件類別 認(rèn)定為關(guān)鍵類別的原因 * 服務(wù)器 要管理患者信息 * 網(wǎng)絡(luò)組件 路由器和交換機(jī)，內(nèi)部網(wǎng)絡(luò)通信的基礎(chǔ)設(shè)施 * 安全組件 防火墻，對(duì)外來(lái)訪問(wèn)的主要把關(guān)設(shè)備 * 工作站 所有的內(nèi)部訪問(wèn)都是從工作站發(fā)起的 * 家庭電腦 醫(yī)生可以用它們?cè)L問(wèn)和更新患者記錄 筆記本電腦 無(wú)線組件 過(guò)程 5：標(biāo)識(shí)關(guān)鍵組件（ MedSite） 要檢查的組件 關(guān)鍵組件 IP地址 誰(shuí)來(lái)評(píng)估 工具 為什么用這種方式評(píng)估 辦公室電腦 ………… ABC Systems派人使用工具評(píng)估，MedSite的人協(xié)助 脆弱性掃描器： VRFound 這些工具是ABC Systems常用的，它們熟悉，而我們的 IT人員不熟悉。 是 否 不知道 各部門都有足夠的專家，了解各業(yè)務(wù)流程的安全執(zhí)行方式。在各個(gè)階段的各個(gè)過(guò)程中都要執(zhí)行多個(gè)任務(wù)，進(jìn)行多次研討會(huì)，每個(gè)過(guò)程中都會(huì)涉及評(píng)估組以外的參與者 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 各個(gè)過(guò)程的參與者 過(guò)程 參與者 時(shí)間安排 過(guò)程 1 至少 3名高層領(lǐng)導(dǎo) 189。 ? 評(píng)估小組主持評(píng)估過(guò)程的進(jìn)行，并分析信息，給出結(jié)論。對(duì)于 OCTAVE方法來(lái)說(shuō)，這些信息與OCTAVE準(zhǔn)則中規(guī)定的輸出是一致的。 全局觀念 要廣泛征求每個(gè)人的意見(jiàn)，綜合考慮每個(gè)方面的因素，以確定什么信息資產(chǎn)對(duì)組織是重要的。 ? 例如 ， “ 從組織內(nèi)部選擇一些跨部門的工作人員構(gòu)成評(píng)估領(lǐng)導(dǎo)小組 ” 是 OCTAVE的一個(gè)屬性 ， 存在于這項(xiàng)屬性背后的原則就是 “ 自評(píng)估 ” 原則 。實(shí)際上是對(duì)與該資產(chǎn)相對(duì)應(yīng)的信息系統(tǒng)組件的脆弱性分析。 ?確定各個(gè)重要資產(chǎn)相關(guān)的信息技術(shù)組件； ?確定每一個(gè)這樣的組件的抗攻擊的能力 OCTAVE評(píng)估的 3個(gè)階段 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險(xiǎn)控制）計(jì)劃 ?確定出每個(gè)重要信息資產(chǎn)所面臨的風(fēng)險(xiǎn)； ?決定能夠?qū)@些風(fēng)險(xiǎn)做些什么； ?制定出組織保護(hù)策略和風(fēng)險(xiǎn)消減計(jì)劃以降低組織重要信息資產(chǎn)的風(fēng)險(xiǎn) OCTAVE 的原則、屬性和輸出 ? 什么是原則（ Principal）？ ?原則：驅(qū)動(dòng)風(fēng)險(xiǎn)評(píng)估的一些基本概念和存在于風(fēng)險(xiǎn)評(píng)估過(guò)程背后的原理性內(nèi)容。 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對(duì)照表 原則 原則解釋 屬性 自評(píng)估 風(fēng)險(xiǎn)評(píng)估由組織內(nèi)部人來(lái)執(zhí)行 的評(píng)估小組 能力 可適應(yīng)措施 風(fēng)險(xiǎn)評(píng)估需要得到諸如已有安全措施、威脅來(lái)源等的列表，這些列表的內(nèi)容可以隨著環(huán)境變化和技術(shù)的進(jìn)步而加以變更。 IT的參與 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對(duì)照表（續(xù)） 原則 原則解釋 屬性 集體合作 評(píng)估領(lǐng)導(dǎo)小組應(yīng)該由各個(gè)部門的人員組成；當(dāng)評(píng)估小組的人員能力不夠分析某資產(chǎn)的時(shí)候，要隨時(shí)補(bǔ)充專業(yè)人士，以增進(jìn)專業(yè)能力；所有參與的人要通力協(xié)作 估小組 力 IT的參與 OCTAVE 的原則、屬性和輸出 ? 什么是輸出（ Output）？ ?每一評(píng)估階段的階段性成果，它們決定了在每一個(gè)評(píng)估階段中，評(píng)估領(lǐng)導(dǎo)小組和其它參與評(píng)估的人員必須完成的一些任務(wù)（正式這些任務(wù)產(chǎn)生了輸出）。 OCTAVE 方法（ Method） ? OCTAVE方法強(qiáng)調(diào)人員的交流和協(xié)作，依靠多次的研討會(huì)來(lái)獲取信息 ?前 3個(gè)過(guò)程，研討會(huì)參與者主要是評(píng)估組和組織各個(gè)管理層次的員工，目的是全面了解資產(chǎn)、威脅、脆弱性、現(xiàn)有安全措施等信息 ?后面過(guò)程中的研討會(huì)主要由評(píng)估組或?qū)I(yè)人員參與，目的是討論、分析已有資料，并給出結(jié)論。 ? 小組成員應(yīng)具備充分的能力，并且勝任主持評(píng)估過(guò)程的工作。天 過(guò)程 2 至少 4名來(lái)自評(píng)估涉及的業(yè)務(wù)區(qū)域的中層領(lǐng)導(dǎo) 189。這些情況已經(jīng)記入文檔并得到確認(rèn)。 家庭電腦 ………… 防火墻 ………… PIDS服務(wù)器 ………… ECDS服務(wù)器 ………… 路由器 ………… 要檢查的組件列表 過(guò)程 6：評(píng)估選定的組件 ? 數(shù)據(jù)收集、分析，確定風(fēng)險(xiǎn) ? 本階段任務(wù)： ?對(duì)選定的組件，使用脆弱性評(píng)估工具 ? 在進(jìn)行本階段的研討會(huì)之前，掌握脆弱性情況 ? 運(yùn)行脆弱性評(píng)估工具 ? 準(zhǔn)備初步的脆弱性總結(jié)報(bào)告 ?復(fù)查脆弱性信息，給出最后的總結(jié)報(bào)告 ? 討論提煉初步脆弱性報(bào)告，給出最終報(bào)告 過(guò)程 6：評(píng)估選定的組件（ MedSite） 關(guān)鍵組件 IP地址 掃描完成？ 辦公室電腦 …
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1