風(fēng)險(xiǎn)評(píng)估實(shí)施方案(存儲(chǔ)版)
【正文】 進(jìn)行保護(hù)，通過(guò)分析信息資產(chǎn)的脆弱性來(lái)確定威脅可能利用那些弱點(diǎn)來(lái)破壞其安全性。風(fēng)險(xiǎn)評(píng)估實(shí)施流程本公司在進(jìn)行風(fēng)險(xiǎn)評(píng)估服務(wù)過(guò)程中，將嚴(yán)格參照GB/T 209842007《信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》國(guó)家標(biāo)準(zhǔn)所定義的服務(wù)流程規(guī)范來(lái)實(shí)施，整個(gè)實(shí)施流程如下圖所示：信息安全風(fēng)險(xiǎn)評(píng)估實(shí)施流程（1） 準(zhǔn)備階段風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備過(guò)程是進(jìn)行風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)，是整個(gè)風(fēng)險(xiǎn)評(píng)估過(guò)程有效性的保證。安全屬性的不同通常也意味著安全控制、保護(hù)功能需求的不同。脆弱性的出現(xiàn)有各種原因，例如可能是軟件開(kāi)發(fā)過(guò)程中的質(zhì)量問(wèn)題，也可能是系統(tǒng)管理員配置方面的，也可能是管理方面的。（3）風(fēng)險(xiǎn)分析階段a）殘余風(fēng)險(xiǎn)分析殘余風(fēng)險(xiǎn)分析將根據(jù)在識(shí)別階段對(duì)資產(chǎn)、脆弱性、威脅識(shí)別的結(jié)果，結(jié)合現(xiàn)有安全控制措施分析的結(jié)果，確定信息系統(tǒng)的殘余風(fēng)險(xiǎn)；然后結(jié)合殘余風(fēng)險(xiǎn)對(duì)業(yè)務(wù)影響性的分析，確定殘余風(fēng)險(xiǎn)的處置計(jì)劃并給出合理的風(fēng)險(xiǎn)處置建議。下表給出了平復(fù)過(guò)程中可能的風(fēng)險(xiǎn)與控制方式。這些影響包括信息泄露、業(yè)務(wù)停頓或處理能力受損等。一般來(lái)說(shuō)，安全措施的使用將減少脆弱性，但安全措施的確認(rèn)并不需要與脆弱性識(shí)別過(guò)程那樣具體到每個(gè)資產(chǎn)、組件的弱點(diǎn)，而是一類具體措施的集合。c）脆弱性識(shí)別脆弱性和信息資產(chǎn)緊密相連，它可能被威脅利用/引起資產(chǎn)損失或傷害。組織的信息資產(chǎn)是組織資產(chǎn)中與信息開(kāi)發(fā)、存儲(chǔ)、轉(zhuǎn)移、分發(fā)等過(guò)程直接、密切相關(guān)的部分。每個(gè)要素有各自的屬性，資產(chǎn)的屬性是資產(chǎn)價(jià)值；威脅的屬性是威脅出現(xiàn)的頻率；脆弱性的屬性是資產(chǎn)弱點(diǎn)的嚴(yán)重程度。（5）整體性原則服務(wù)的范圍和內(nèi)桶整體全面，設(shè)計(jì)的IT運(yùn)行的各個(gè)層面，避免由于遺漏造成未來(lái)的安全隱患。風(fēng)險(xiǎn)評(píng)估服務(wù)的收益l 風(fēng)險(xiǎn)評(píng)估可以幫助客戶：l 準(zhǔn)確了解租住的信息安全現(xiàn)狀；l 明晰組織的信息安全需求；l 制定組織信息系統(tǒng)的安全策略和風(fēng)險(xiǎn)解決方案；l 指導(dǎo)組織未來(lái)的信息安全建設(shè)和投入；l 建立組織自身的信息安全管理框架。近幾年隨著幾次計(jì)算機(jī)蠕蟲(chóng)病毒的大規(guī)模肆虐攻擊，很對(duì)用戶的網(wǎng)絡(luò)都遭受了不同程度的攻擊，仔細(xì)分析就會(huì)發(fā)現(xiàn)，幾乎所有的用戶都部署了防病毒軟件和類似的安全防護(hù)系統(tǒng)，越來(lái)越多的用戶發(fā)現(xiàn)淡村的安全產(chǎn)品已經(jīng)不能滿足現(xiàn)在的安全防護(hù)體系的需求了。風(fēng)險(xiǎn)評(píng)估服務(wù)的目的及其意義信息安全風(fēng)險(xiǎn)是指人為或自然的威脅利用信息系統(tǒng)及其團(tuán)里體系中存在的脆弱性導(dǎo)致安全事件的發(fā)生及其對(duì)組織造成的影響。這些安全標(biāo)準(zhǔn)包括：安全技術(shù)標(biāo)準(zhǔn)：l GB 17859：計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則l GB 18336（ISO 15408）：信息技術(shù)安全技術(shù)信息技術(shù)風(fēng)險(xiǎn)評(píng)估準(zhǔn)則（等同于Common Criteria for Information Technology Security Evaluation ，簡(jiǎn)稱CC ）l CVE：Common Vulnerabilities ＆ Exposures，通用脆弱性標(biāo)準(zhǔn)。風(fēng)險(xiǎn)評(píng)估要識(shí)別資產(chǎn)相關(guān)要素的關(guān)系，從而判斷資產(chǎn)面臨的風(fēng)險(xiǎn)大小。風(fēng)險(xiǎn)評(píng)估作為一種戰(zhàn)略型的考慮，其結(jié)果將受到組織的業(yè)務(wù)需求及戰(zhàn)略目標(biāo)、文化、業(yè)務(wù)流程、安全要求/規(guī)模和結(jié)構(gòu)的影響。此階段的工作就是通過(guò)考察組織信息資產(chǎn)的三種不同的安全屬性，從而更好地反映信息資產(chǎn)的價(jià)值，以便于進(jìn)一步考察資產(chǎn)相關(guān)的弱
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1