風(fēng)險(xiǎn)評估實(shí)施步驟(存儲(chǔ)版)
【正文】 風(fēng)險(xiǎn)統(tǒng)計(jì)和結(jié)論等內(nèi)容；（9）風(fēng)險(xiǎn)處理計(jì)劃：對評估結(jié)果中不可接受的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處理計(jì)劃，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施，明確責(zé)任、進(jìn)度、資源，并通過對殘余風(fēng)險(xiǎn)的評價(jià)確保所選擇安全措施的有效性；（10）風(fēng)險(xiǎn)評估記錄：根據(jù)組織的風(fēng)險(xiǎn)評估程序文件，記錄對重要資產(chǎn)的風(fēng)險(xiǎn)評估過程。風(fēng)險(xiǎn)評估流程風(fēng)險(xiǎn)評估流程包括系統(tǒng)調(diào)研、資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別（包括現(xiàn)有控制措施確認(rèn)）、風(fēng)險(xiǎn)綜合分析以及風(fēng)險(xiǎn)控制計(jì)劃六個(gè)階段。風(fēng)險(xiǎn)綜合分析是根據(jù)對系統(tǒng)資產(chǎn)識(shí)別，威脅分析，脆弱性評估的情況及收集的數(shù)據(jù)，定性和定量地評估系統(tǒng)安全現(xiàn)狀及風(fēng)險(xiǎn)狀況，評價(jià)現(xiàn)有保障措施的運(yùn)行效能及對風(fēng)險(xiǎn)的抵御程度。3．請局方給所有資產(chǎn)賦值（雙方確認(rèn)資產(chǎn)賦值）4．請局方指定安全管理問卷調(diào)查（訪談）人員，管理、員工、安全主管各一人。四、管理評估階段1．提供現(xiàn)有的安全管理規(guī)范和管理制度。五、技術(shù)評估階段1．提出掃描申請2．每日制定第二天的日工作計(jì)劃，包括掃描評估、人工評估、問卷調(diào)查等詳細(xì)計(jì)劃。2．清晰明確的日工作計(jì)劃才能使當(dāng)日工作有條不紊。3．撰寫加固方案和安全建議。六、數(shù)據(jù)整理1．工作整理。9．逢周末進(jìn)行周工作總結(jié)。2．訪談?dòng)涗泦蝺?nèi)容需要與被訪談人進(jìn)行確認(rèn)及簽字。==工作輸出1．《總體項(xiàng)目進(jìn)度甘特圖》2．《評估階段工作計(jì)劃表》==備注1．掃描評估、人工評估、問卷調(diào)查在可能的情況下可以同期進(jìn)行；《工作計(jì)劃表》交項(xiàng)目經(jīng)理參考，以便配合。二、確定工作范圍1．請局方按合同范圍提供《資產(chǎn)表》，也即掃描評估范圍。脆弱性識(shí)別是對系統(tǒng)中涉及的重要資產(chǎn)可能被對應(yīng)威脅利用的脆弱性進(jìn)行識(shí)別，并對其等級(jí)進(jìn)行評估，形成脆弱性識(shí)別表。物理環(huán)境 包括 UPS、變電設(shè)備、空調(diào)、門禁等。對于風(fēng)險(xiǎn)評估過程中形成的相關(guān)文件，還應(yīng)規(guī)定其標(biāo)識(shí)、儲(chǔ)存、保護(hù)、檢索、保存期限以及處置所需的控制。脆弱性由于很多弱點(diǎn)反映的是同一方面的問題，應(yīng)綜合考慮這些弱點(diǎn)，最終確定這一方面的脆弱性嚴(yán)重程度。資產(chǎn)的脆弱性具有隱蔽性，有些弱點(diǎn)只有在一定條件和環(huán)境下才能顯現(xiàn)，這是脆弱性識(shí)別中最為困難的部分。加權(quán)方法可根據(jù)組織的業(yè)務(wù)特點(diǎn)確定。在風(fēng)險(xiǎn)評估過程中，還需要綜合考慮以下三個(gè)方面，以形成在某種評估環(huán)境中各種威脅出現(xiàn)的頻率：（1) 以往安全事件報(bào)告中出現(xiàn)過的威脅及其頻率的統(tǒng)計(jì)；（2) 實(shí)際環(huán)境中通過檢測工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計(jì)；（3) 近一兩年來國際組織發(fā)布的對于整個(gè)社會(huì)或特定行業(yè)的威脅及其頻率統(tǒng)計(jì)，以及發(fā)布的威脅預(yù)警。脆弱性識(shí)別時(shí)的數(shù)據(jù)應(yīng)來自于資產(chǎn)的所有者、使用者，以及相關(guān)業(yè)務(wù)領(lǐng)域的專家和軟硬件方面的專業(yè)等人員。五 已有安全措施的確認(rèn)組織應(yīng)對已采取的安全措施的有效性進(jìn)行確認(rèn)，對有效的安全措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止安全措施的重復(fù)實(shí)施。評估內(nèi)容重要服務(wù)器的安全配置 登錄安全檢測；用戶及口令安全檢測；共享資源安全檢測；系統(tǒng)服務(wù)安全檢測；系統(tǒng)安全補(bǔ)丁檢測；日志記錄審計(jì)檢測；木馬檢測。
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號(hào)-1