【正文】 評(píng)估指南 》 中所提供的方法。 組建適當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估管理與實(shí)施團(tuán)隊(duì)，以支持整個(gè)過程的推進(jìn)4．選擇方法 應(yīng)考慮評(píng)估的目的、范圍、時(shí)間、效果、人員素質(zhì)等因素來選擇具體 的風(fēng)險(xiǎn)判斷方法，使之能夠與組織環(huán)境和安全要求相適應(yīng)?？梢韵确謩e對(duì)資產(chǎn)在以上各方面的重要程度進(jìn)行評(píng)估，然后通過一定的方法進(jìn)行綜合 ,可得資產(chǎn)的綜合價(jià)值（ 加權(quán)評(píng)估）風(fēng)險(xiǎn)評(píng)估流程賦值 標(biāo)識(shí) 定 義5 極高 包含 組織 最重要的秘密，關(guān)系未來 發(fā) 展的前途命運(yùn)， 對(duì)組織 根本利益有著決定性影響，如果泄漏會(huì)造成災(zāi) 難 性的 損 害 4 高 包含 組織 的重要秘密，其泄露會(huì)使 組織 的安全和利益遭受 嚴(yán) 重 損 害3 中等 包含 組織 的一般性秘密，其泄露會(huì)使 組織 的安全和利益受到 損 害2 低 包含 僅 能在 組織 內(nèi)部或在 組織 某一部 門 內(nèi)部公開的信息，向外 擴(kuò) 散有可能 對(duì)組織 的利益造成 損 害1 可忽略 包含可 對(duì) 社會(huì)公開的信息，公用的信息 處 理 設(shè)備 和系 統(tǒng)資 源等資產(chǎn)機(jī)密性賦值表風(fēng)險(xiǎn)評(píng)估流程3. 威脅識(shí)別與評(píng)估(1)威脅識(shí)別 威脅是構(gòu)成風(fēng)險(xiǎn)的必要組成部分，因而威脅識(shí)別是風(fēng)險(xiǎn)識(shí)別的必要環(huán)節(jié)，威脅識(shí)別的任務(wù)是對(duì)組織資產(chǎn)面臨的威脅進(jìn)行全面的 標(biāo)識(shí) 。 管理脆弱點(diǎn) 又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān) 。需要注意的是，不正確的、起不到應(yīng)有作用的或沒有正確實(shí)施的安全措施本身就可能是一個(gè)弱點(diǎn)。 風(fēng)險(xiǎn)評(píng)估流程5. 已有安全措施的確認(rèn) 對(duì)已采取的安全措施進(jìn)行確認(rèn)，至少有兩個(gè)方面的意義。風(fēng)險(xiǎn)評(píng)估流程（ 1）風(fēng)險(xiǎn)計(jì)算威脅識(shí)別脆弱性識(shí)別威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)的重要性安全事件的損失風(fēng)險(xiǎn)值資產(chǎn)識(shí)別安全事件的可能性風(fēng)險(xiǎn)評(píng)估流程影響分析 影響分析，安全事件對(duì)組織的影響可體現(xiàn)在以下方面： p直接經(jīng)濟(jì)損失 :風(fēng)險(xiǎn)事件可能引發(fā)直接的經(jīng)濟(jì)損失，如交易密碼失竊、電子合同的篡改（完整性受損）、公司帳務(wù)資料的篡改等，這類損失本易于計(jì)算。不同類型的安全事件，其可能性影響因素也有點(diǎn)不同。 從風(fēng)險(xiǎn)評(píng)估過程整體上看，風(fēng)險(xiǎn)評(píng)估方法有： 基于資產(chǎn)驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、威脅驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、脆弱點(diǎn)驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、基于案例的風(fēng)險(xiǎn)評(píng)估方法 等?；疑到y(tǒng)理論是研究和解決灰色系統(tǒng)分析、建模、預(yù)測(cè)和控制的理論。主成分分析的思想是通過一定的變換，用較少的指標(biāo)來代替原先較多的指標(biāo)，從而達(dá)到簡(jiǎn)化問題的處理與分析的目的。建立風(fēng)險(xiǎn)等級(jí)劃分方法，結(jié)果見圖所示 這種方法的好處就是能夠更好的區(qū)分 “高損失、低可能性 ”及 “低損失、高可能性 ”兩種不同安全事件的風(fēng)險(xiǎn)。與風(fēng)險(xiǎn)矩陣法和威脅分級(jí)法不同，本方法將控制措施的采用引入風(fēng)險(xiǎn)的評(píng)價(jià)之中。如果資產(chǎn)值為 2，威脅為 “低 ”，脆弱點(diǎn)為 “高 ”，則風(fēng)險(xiǎn)值為 4。風(fēng)險(xiǎn)的計(jì)算方法，可以是影響值與可能性之積，也可以是之和，或利用前面所述的效用函數(shù)來計(jì)算，具體算法由用戶來定。然后對(duì)威脅造成的影響進(jìn)行分析，在這里對(duì)威脅的影響進(jìn)行了分類型的考慮。最后分析是否采用了能夠減小威脅的控制措施。經(jīng)識(shí)別與分析后，有關(guān)資產(chǎn)及其關(guān)鍵程度如下表。若風(fēng)險(xiǎn)事件發(fā)生后，造成關(guān)鍵硬件毀壞，風(fēng)險(xiǎn)影響級(jí)別為 “很高 ”；若未損壞硬件，但系統(tǒng)不能使用，課堂教學(xué)無法進(jìn)行，風(fēng)險(xiǎn)影響級(jí)別為 “高 ”，若未損壞硬件，但造成系統(tǒng)使用不方便，課堂教學(xué)效果受影響，風(fēng)險(xiǎn)影響級(jí)別為 “中 ”，若對(duì)課堂教學(xué)基本無影響，則風(fēng)險(xiǎn)影響級(jí)別為 “低 ”。R9 惡 意代 碼 中 定期升 級(jí) 病毒 庫(kù)R10 人 員 疾病或其他原 因 導(dǎo) 致不能及 時(shí) 到崗中 配 備 多個(gè)人 員備 用R11 中 配 備 多個(gè)人 員備 用風(fēng)險(xiǎn)評(píng)估案例 由于無論采用什么安全措施，多媒體教學(xué)系統(tǒng)都會(huì)因某種原因而不能正常工作，為保證課堂教學(xué)能夠正常進(jìn)行，在多媒體課室，應(yīng)同時(shí)提供進(jìn)行傳統(tǒng)教學(xué)所需的條件，但多媒體教學(xué)系統(tǒng)不能正常工作時(shí)，可用傳統(tǒng)教學(xué)方式替代。以上安全風(fēng)險(xiǎn)對(duì)應(yīng)的安全措施如下表所示。而隨后進(jìn)行的風(fēng)險(xiǎn)分析主要考察風(fēng)險(xiǎn)導(dǎo)致的影響及出現(xiàn)的可能性的大小。 對(duì)多媒體教學(xué)系統(tǒng)，其安全需求主要表現(xiàn)為系統(tǒng)的可用性，而完整性、機(jī)密性安全需求很低，通常不會(huì)涉及到，因而風(fēng)險(xiǎn)評(píng)估主要圍繞系統(tǒng)的可用性展開，風(fēng)險(xiǎn)評(píng)估的目的是通過分析系統(tǒng)面臨的影響系統(tǒng)可用性的安全風(fēng)險(xiǎn)，并選取相應(yīng)的安全措施降低風(fēng)險(xiǎn)。本例中采用加法。在這種方法中，識(shí)別威脅的類型是很重要的。風(fēng)險(xiǎn)計(jì)算方法資產(chǎn) 威 脅 描述 影響（ 資產(chǎn) ）值威 脅發(fā) 生可能性 (c)風(fēng)險(xiǎn)測(cè) 度 風(fēng)險(xiǎn) 等 級(jí) 劃分某個(gè) 資產(chǎn) 威 脅 A 5 2 10 2威 脅 B 2 4 8 3威 脅 C 3 5 15 1威 脅 D 1 3 3 5威 脅 E 4 1 4 4威 脅 F 2 4 8 3風(fēng)險(xiǎn)計(jì)算方法 然后評(píng)價(jià)威脅導(dǎo)致安全事件發(fā)生的可能性。例如，如果資產(chǎn)值為 3，威脅等級(jí)為 “高”，脆弱點(diǎn)為 “低 ”。(2)威脅分級(jí)法這種方法是直接考慮威脅、威脅導(dǎo)致的安全事件對(duì)資產(chǎn)產(chǎn)生的影響以及威脅導(dǎo)致安全事件發(fā)生的可能性來確定風(fēng)險(xiǎn)。若依據(jù)期望損失理論，將根據(jù) lossL值大小劃分等級(jí)，等級(jí)劃分方法結(jié)果如圖 29所示。 (3)TOPSIS法風(fēng)險(xiǎn)評(píng)估方法風(fēng)險(xiǎn)評(píng)估方法(4) 層次分析法是將決策問題的有關(guān)元素分解成目標(biāo)、準(zhǔn)則、方案等層次，在此基礎(chǔ)上進(jìn)行定量和定性分析的一種決策方法。 信息系統(tǒng)狀態(tài)變化規(guī)律的復(fù)雜性決定了很難用一確定的數(shù)學(xué)模型來描述，應(yīng)綜合 神經(jīng)網(wǎng)絡(luò)、智能推理，知識(shí)庫(kù)等多方面知識(shí)，建立一個(gè) 具有自學(xué)習(xí)能力的專家系統(tǒng) ，目前基于案例的風(fēng)險(xiǎn)評(píng)估方法就是這一理論的具體應(yīng)用。風(fēng)險(xiǎn)評(píng)估的 復(fù)雜性決定了風(fēng)險(xiǎn)評(píng)估方法的多樣性 。 風(fēng)險(xiǎn)評(píng)估流程可能性分析 總體說來，安全事件發(fā)生的可能性的因素有： 資產(chǎn)吸引力、威脅出現(xiàn)的可能性、脆弱點(diǎn)的屬性、安全措施的效能 等。相應(yīng)的風(fēng)險(xiǎn)值由 A、 T、 V的取值決定，是它們的函數(shù)，可以表示為： VR=R(A,T,V)=R(L(A,T,V)， F(A,T,V)) 其中， L(A,T,V)、 F(A,T,V)分別表示對(duì)應(yīng)安全事件發(fā)生的可能性及影響，它們也都是資產(chǎn)、威脅、脆弱點(diǎn)的函數(shù)，但其表達(dá)式很難給出。 預(yù)防性 安全措施可以降低威脅利用脆弱點(diǎn)導(dǎo)致安全事件發(fā)生的可能性。管理脆弱點(diǎn) 技 術(shù) 管理 物理和 環(huán) 境安全、通信與操作管理、 訪問 控制、系 統(tǒng) 開 發(fā) 與維護(hù) 、 業(yè)務(wù)連續(xù) 性。而且如果系統(tǒng)足夠強(qiáng)健，再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失。由于多數(shù)資產(chǎn)不能以貨幣形式的價(jià)值來衡量，資產(chǎn)評(píng)價(jià)很難以 定量 的方式來進(jìn)行，多數(shù)情況下只能以 定性 的形式，依據(jù)重要程度的不同劃分等級(jí)。風(fēng)險(xiǎn)評(píng)估流程1. 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備是整個(gè)風(fēng)險(xiǎn)評(píng)估過程有效性的保證。 風(fēng)險(xiǎn)評(píng)估策略詳細(xì)風(fēng)險(xiǎn)評(píng)估方法的優(yōu)點(diǎn)是： 有可能為所有系統(tǒng)識(shí)別出適當(dāng)?shù)陌踩胧? 詳細(xì)分析的結(jié)果可用于安全變更管理。 風(fēng)險(xiǎn)評(píng)估策略1. 基線風(fēng)險(xiǎn)評(píng)估 可以根據(jù)以下資源來選擇安全基線 ： (1) 國(guó)際標(biāo)準(zhǔn)和國(guó)家標(biāo)準(zhǔn)； (2)行業(yè)標(biāo)準(zhǔn)或推薦； (3)來自其他有類似商務(wù)目標(biāo)和規(guī)模的組織的慣例。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)要素及屬性之間存在著以下關(guān)系： 業(yè)務(wù)戰(zhàn)略依賴資產(chǎn)去實(shí)現(xiàn)；資產(chǎn)是有價(jià)值的，組織的業(yè)務(wù)戰(zhàn)略對(duì)資產(chǎn)的依賴度越高，資產(chǎn)價(jià)值就越大；資產(chǎn)價(jià)值越大則其面臨的風(fēng)險(xiǎn)越大；風(fēng)險(xiǎn)是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風(fēng)險(xiǎn)越大，并可能演變成安全事件；弱點(diǎn)越多，威脅利用脆弱點(diǎn)導(dǎo)致安全事件的可能性越大；脆弱點(diǎn)是未被滿足的安全需求，威脅要通過利用脆弱點(diǎn)來危害資產(chǎn)，從而形成風(fēng)險(xiǎn)；風(fēng)險(xiǎn)的存在及對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)導(dǎo)出安全需求；風(fēng)險(xiǎn)評(píng)估概述安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價(jià)值考慮實(shí)施成本；安全措施可抵御威脅，降低安全事件的發(fā)生的可能性，并減少影響；風(fēng)險(xiǎn)不可能也沒有必要降為零，在實(shí)施了安全措施后還會(huì)有殘留下來的風(fēng)險(xiǎn)。 安全措施的實(shí)施領(lǐng)域包括：物理環(huán)境、技術(shù)領(lǐng)域、人員、管理等，可用的安全措施包括：訪問控制機(jī)制、防病毒軟件、加密機(jī)制、數(shù)字簽名、防火墻、監(jiān)視與分析工具、冗余電力供應(yīng)、信息備份等。這些后果可能表現(xiàn)為：直接形式，如物理介質(zhì)或設(shè)備的破壞、人員的損傷、 直接的資金損失等；間接的損失如公司信用、形象受損、市場(chǎng)分額損失、法律責(zé)任等。需要注意的是，不正確的、起不到應(yīng)有作用的或沒有正確實(shí)施的安全措施本身就可能是一個(gè)脆弱點(diǎn)。 根據(jù)威脅源的不同，威脅可分為：自然威脅、環(huán)境威脅、系統(tǒng)威脅、人員威脅。1. 資產(chǎn)2. 威脅3. 脆弱點(diǎn)4. 安全措施5. 安全風(fēng)險(xiǎn)6. 影響7. 需求風(fēng)險(xiǎn)評(píng)估概述 根據(jù) ISO/IEC 133351,資產(chǎn)是指任何對(duì)組織有價(jià)值的東西，資產(chǎn)包括：物理資產(chǎn)、信息 /數(shù)據(jù) 、軟件、提供產(chǎn)品和服務(wù)的能力、人員、無形資產(chǎn)。 咨詢顧問? 企業(yè)風(fēng)險(xiǎn)管理和發(fā)展策略方面的咨詢? 調(diào)查領(lǐng)導(dǎo)關(guān)心的熱點(diǎn)問題和管理薄弱環(huán)節(jié)? 典型例子 ： 兼并收購(gòu)時(shí)調(diào)查被投資公司的內(nèi)部管理和流程操作，了解薄弱環(huán)節(jié)或其他影響并購(gòu)交易的重大事項(xiàng)，從而確定管理方法和并購(gòu)策略風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)管理過程風(fēng)險(xiǎn)管理是對(duì)項(xiàng)目風(fēng)險(xiǎn)進(jìn)行識(shí)別、分析、和應(yīng)對(duì)的系統(tǒng)的過程。 第二道防線是在業(yè)務(wù)單位之上建立一個(gè)更高層次的風(fēng)險(xiǎn)管理功能，它的組成部份可能包括風(fēng)險(xiǎn)管理部門、信貸審批委員會(huì)、投資審批委員會(huì)216。 建立一個(gè)健全的、以董事會(huì)為首的公司治理結(jié)構(gòu)216。 ” 美國(guó)內(nèi)部審計(jì)師協(xié)會(huì)第三道防線：內(nèi)審單位防線216。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估 信息安全風(fēng)險(xiǎn)評(píng)估是指 依據(jù) 有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn) ，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等 安全屬性進(jìn)行評(píng)價(jià) 的過程。根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、文檔、服務(wù)、人員等類。如操作系統(tǒng)存在漏洞、數(shù)據(jù)庫(kù)的訪問沒有訪問控制機(jī)制、系統(tǒng)機(jī)房任何人都可進(jìn)入等等。例如：安裝殺毒軟件或病毒庫(kù)未及時(shí)升級(jí)操作系統(tǒng)或其他應(yīng)用軟件存在拒絕服務(wù)攻擊漏洞數(shù)據(jù)完整性保護(hù)不夠完善數(shù)據(jù)庫(kù)訪問控制機(jī)制不嚴(yán)格都屬于技術(shù)脆弱點(diǎn)系統(tǒng)機(jī)房鑰匙管理不嚴(yán)、人員職責(zé)不清、未及時(shí)注銷離職人員對(duì)信息系統(tǒng)的訪問權(quán)限等風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素 根據(jù) ISO/IEC 133351，信息安全風(fēng)險(xiǎn)是指威脅利用一個(gè)或一組資產(chǎn)的脆弱點(diǎn)導(dǎo)致組織受損的潛在性，并以威脅利用脆弱點(diǎn)造成的一系列不期望發(fā)生的事件（或稱為安全事件）來體現(xiàn)。 風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素 安全措施是指為保護(hù)資產(chǎn)、抵御威脅、減少脆弱點(diǎn)、限制不期望發(fā)生事件的影響、加速不期望發(fā)生事件的檢測(cè)及響應(yīng)而采取的各種實(shí)踐、規(guī)程和機(jī)制的總稱。如關(guān)鍵數(shù)據(jù)或系統(tǒng)的的機(jī)密性、可用性、完整性需求、法律法規(guī)的符合性需求、人員安全意識(shí)培訓(xùn)需求、信息系統(tǒng)運(yùn)行實(shí)時(shí)監(jiān)控的需求等。 在信息化建 設(shè) 中，建 設(shè) 與運(yùn) 營(yíng) 的網(wǎng) 絡(luò) 與信息系統(tǒng) 由于可能存在的系 統(tǒng)設(shè)計(jì) 缺陷、 隱 含于 軟 硬件設(shè)備 的缺陷、系 統(tǒng) 集成 時(shí)帶 來的缺陷，以及可能