風(fēng)險(xiǎn)評(píng)估實(shí)施步驟簡(jiǎn)介(存儲(chǔ)版)
【正文】 統(tǒng)計(jì)和結(jié)論等內(nèi)容；（9）風(fēng)險(xiǎn)處理計(jì)劃：對(duì)評(píng)估結(jié)果中不可接受的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處理計(jì)劃，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施，明確責(zé)任、進(jìn)度、資源，并通過對(duì)殘余風(fēng)險(xiǎn)的評(píng)價(jià)確保所選擇安全措施的有效性；（10）風(fēng)險(xiǎn)評(píng)估記錄：根據(jù)組織的風(fēng)險(xiǎn)評(píng)估程序文件，記錄對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)評(píng)估過程。風(fēng)險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)評(píng)估流程包括系統(tǒng)調(diào)研、資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別（包括現(xiàn)有控制措施確認(rèn)）、風(fēng)險(xiǎn)綜合分析以及風(fēng)險(xiǎn)控制計(jì)劃六個(gè)階段。風(fēng)險(xiǎn)綜合分析是根據(jù)對(duì)系統(tǒng)資產(chǎn)識(shí)別，威脅分析，脆弱性評(píng)估的情況及收集的數(shù)據(jù)，定性和定量地評(píng)估系統(tǒng)安全現(xiàn)狀及風(fēng)險(xiǎn)狀況，評(píng)價(jià)現(xiàn)有保障措施的運(yùn)行效能及對(duì)風(fēng)險(xiǎn)的抵御程度。3．請(qǐng)局方給所有資產(chǎn)賦值（雙方確認(rèn)資產(chǎn)賦值）4．請(qǐng)局方指定安全管理問卷調(diào)查（訪談）人員，管理、員工、安全主管各一人。四、管理評(píng)估階段1．提供現(xiàn)有的安全管理規(guī)范和管理制度。五、技術(shù)評(píng)估階段1．提出掃描申請(qǐng)2．每日制定第二天的日工作計(jì)劃，包括掃描評(píng)估、人工評(píng)估、問卷調(diào)查等詳細(xì)計(jì)劃。2．清晰明確的日工作計(jì)劃才能使當(dāng)日工作有條不紊。3．撰寫加固方案和安全建議。六、數(shù)據(jù)整理1．工作整理。9．逢周末進(jìn)行周工作總結(jié)。2．訪談?dòng)涗泦蝺?nèi)容需要與被訪談人進(jìn)行確認(rèn)及簽字。==工作輸出1．《總體項(xiàng)目進(jìn)度甘特圖》2．《評(píng)估階段工作計(jì)劃表》==備注1．掃描評(píng)估、人工評(píng)估、問卷調(diào)查在可能的情況下可以同期進(jìn)行；《工作計(jì)劃表》交項(xiàng)目經(jīng)理參考，以便配合。二、確定工作范圍1．請(qǐng)局方按合同范圍提供《資產(chǎn)表》，也即掃描評(píng)估范圍。脆弱性識(shí)別是對(duì)系統(tǒng)中涉及的重要資產(chǎn)可能被對(duì)應(yīng)威脅利用的脆弱性進(jìn)行識(shí)別，并對(duì)其等級(jí)進(jìn)行評(píng)估，形成脆弱性識(shí)別表。物理環(huán)境 包括 UPS、變電設(shè)備、空調(diào)、門禁等。對(duì)于風(fēng)險(xiǎn)評(píng)估過程中形成的相關(guān)文件，還應(yīng)規(guī)定其標(biāo)識(shí)、儲(chǔ)存、保護(hù)、檢索、保存期限以及處置所需的控制。脆弱性由于很多弱點(diǎn)反映的是同一方面的問題，應(yīng)綜合考慮這些弱點(diǎn)，最終確定這一方面的脆弱性嚴(yán)重程度。資產(chǎn)的脆弱性具有隱蔽性，有些弱點(diǎn)只有在一定條件和環(huán)境下才能顯現(xiàn)，這是脆弱性識(shí)別中最為困難的部分。加權(quán)方法可根據(jù)組織的業(yè)務(wù)特點(diǎn)確定。在風(fēng)險(xiǎn)評(píng)估過程中，還需要綜合考慮以下三個(gè)方面，以形成在某種評(píng)估環(huán)境中各種威脅出現(xiàn)的頻率：（1) 以往安全事件報(bào)告中出現(xiàn)過的威脅及其頻率的統(tǒng)計(jì)；（2) 實(shí)際環(huán)境中通過檢測(cè)工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計(jì)；（3) 近一兩年來國(guó)際組織發(fā)布的對(duì)于整個(gè)社會(huì)或特定行業(yè)的威脅及其頻率統(tǒng)計(jì)，以及發(fā)布的威脅預(yù)警。脆弱性識(shí)別時(shí)的數(shù)據(jù)應(yīng)來自于資產(chǎn)的所有者、使用者，以及相關(guān)業(yè)務(wù)領(lǐng)域的專家和軟硬件方面的專業(yè)等人員。五 已有安全措施的確認(rèn)組織應(yīng)對(duì)已采取的安全措施的有效性進(jìn)行確認(rèn)，對(duì)有效的安全措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止安全措施的重復(fù)實(shí)施。評(píng)估內(nèi)容重要服務(wù)器的安全配置 登錄安全檢測(cè)；用戶及口令安全檢測(cè)；共享資源安全檢測(cè)；系統(tǒng)服務(wù)安全檢測(cè)；系統(tǒng)安全補(bǔ)丁檢測(cè)；日志記錄審計(jì)檢測(cè)；木馬檢測(cè)。否
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1