信息安全風(fēng)險評估與風(fēng)險管理課件(存儲版)
【正文】 。 2023 一、風(fēng)險評估中的概念及模型 二、風(fēng)險評估標準 三、風(fēng)險評估流程與方法 四、風(fēng)險評估的輸出結(jié)果 五、風(fēng)險管理 六、總結(jié) 目錄 58 All rights reserved 169。 風(fēng)險評估的輸出結(jié)果 —— 風(fēng)險處理計劃 65 All rights reserved 169。 信息載體：支持信息處理的網(wǎng)絡(luò)平臺、通信平臺、系統(tǒng)平臺、應(yīng)用軟件等。 2023 一、風(fēng)險評估中的概念及模型 二、風(fēng)險評估標準 三、風(fēng)險評估流程與方法 四、風(fēng)險評估的輸出結(jié)果 五、風(fēng)險管理 六、總結(jié) 目錄 73 All rights reserved 169。 2023 實施風(fēng)險控制 風(fēng)險降低示意圖 威 脅 發(fā) 生 可 能 性 威脅的潛在影響 (后果 ) R— 風(fēng)險 R1 R3 R2 高 中 低 低 中 高 71 All rights reserved 169。 68 All rights reserved 169。 2023 反映了： ? 資產(chǎn)名稱 ? 資產(chǎn)面臨的威脅 ? 可能被威脅利用的脆弱電 ? 威脅發(fā)生的可能性 ? 威脅的影響程度 風(fēng)險評估的輸出結(jié)果 —— 資產(chǎn)風(fēng)險表 64 All rights reserved 169。 2023 56 All rights reserved 169。 威脅發(fā)生的可能性受下列因素的影響 : ?資產(chǎn)的吸引力 ?資產(chǎn)轉(zhuǎn)化成報酬的容易程度 ?威脅的技術(shù)含量 ?薄弱點被利用的難易程度 49 All rights reserved 169。移除？替換？增加？保留？ ? 現(xiàn)有的或已計劃好的控制是否和將要采取的安全控制相一致？ 46 All rights reserved 169。 2023 威脅的識別與評價 威脅列表 (續(xù) ): 火災(zāi) 傳輸錯誤 洪水 軟件未授權(quán)使用 硬件故障 存儲媒體未授權(quán)使用 軟件的非法進 /出口 軟件被未授權(quán)用戶使用 軟件的非法使用 軟件以未經(jīng)許可的方法使用 工業(yè)活動 用戶錯誤 閃電 故意破壞 通信電纜損壞 資源濫用 網(wǎng)絡(luò)組件的故障 盜竊 電力供應(yīng)故障 颶風(fēng) 供應(yīng)故障 通信量超載 41 All rights reserved 169。 完整性價值或潛在影響可以忽略 2 資產(chǎn)對防止信息非授權(quán)修改、破壞方面的要求有限。 通過考察三種不同安全屬性 ， 可以得出一個能夠基本反映資產(chǎn)價值的數(shù)值 。 2023 現(xiàn)有風(fēng)險評估方法綜述（ 4） 基于系統(tǒng)安全模型體系的分析方法 ? 在一般風(fēng)險評估原理的指導(dǎo)下，針對被評估信息系統(tǒng)實際情況（包括：系統(tǒng)技術(shù)特性、組織特性、資產(chǎn)情況、安全假設(shè)、脆弱點、威脅、保護措施等）建立有針對性、合理的評估安全需求； ? 同時建立評估指標體系、評估流程、評估模型，通過系統(tǒng)對評估要求的滿足程度進行判斷風(fēng)險評估的指導(dǎo)作用。 基于系統(tǒng)安全模型體系的分析方法：針對某個典型的（或固定）的系統(tǒng)，建立其安全要素的模型，以及判定某個要素的條件和內(nèi)容，有相對完善、固定的評估模型體系。 25 All rights reserved 169。 風(fēng)險評估實施 (2) 21 All rights reserved 169。 2023 風(fēng)險分析原理 威 脅 出 現(xiàn) 的 頻 率脆 弱 性 的 嚴 重 程 度資 產(chǎn) 價 值安 全 事 件 的 可 能 性安 全 事 件 的 損 失風(fēng) 險 值威 脅 識 別脆 弱 性 識 別資 產(chǎn) 識 別 18 All rights reserved 169。 目的 ? 信息系統(tǒng)所有者：使用本標準為其選擇安全措施，實施信息系統(tǒng)保護提供技術(shù)支持，依據(jù)本標準中提出的安全風(fēng)險理念選擇技術(shù)與管理控制措施； ? 風(fēng)險評估的實施者：依據(jù)本標準進行風(fēng)險評估，依據(jù)本標準的判定準則，做出科學(xué)的判斷。 2023年，國信辦在全國 4個省市和 3個行業(yè)進行風(fēng)險評估的試點工作，根據(jù)試點結(jié)果對 《 信息安全風(fēng)險評估指南 》 進行了修改。 ISO/IEC TR 13335信息技術(shù)安全管理指南 ? 提出了風(fēng)險評估的方法、步驟和主要內(nèi)容。 2023 一、風(fēng)險評估中的概念及模型 二、風(fēng)險評估標準 三、風(fēng)險評估流程與方法 四、風(fēng)險評估的輸出結(jié)果 五、風(fēng)險管理 六、總結(jié) 目錄 10 All rights reserved 169。 5 All rights reserved 169。 2023 信息安全的定義 機密性（ integrity）： ? 確保該信息僅對已授權(quán)訪問的人們才可訪問 ? 只有擁有者許可，才可被其他人訪問 完整性（ confidentiality）： ? 保護信息及處理方法的準確性和完備性； ? 不因人為的因素改變原有的內(nèi)容，保證不被非法改動和銷毀 可用性（ availability）： ? 當(dāng)要求時，即可使用信息和相關(guān)資產(chǎn)。 其他：可控性、可審查性 4 All rights reserved 169。 ? 風(fēng)險 (Risk): 特定的威脅利用資產(chǎn)的一種或一組薄弱點，導(dǎo)致資產(chǎn)的丟失或損害的潛在可能性，即特定威脅事件發(fā)生的可能性與后果的結(jié)合。 3個階段分別是建立企業(yè)范圍內(nèi)的安全需求、識別基礎(chǔ)設(shè)施脆弱性、決定安全風(fēng)險管理策略。風(fēng)險管理是評估風(fēng)險、采取步驟將風(fēng)險消減到可接受的水平并且維持這一風(fēng)險級別的過程。 13 All rights reserved 169。 2023 范圍 ? 本標準提出了風(fēng)險評估的要素、實施流程、評估內(nèi)容、評估方法及其在信息系統(tǒng)生命周期不同階段的實施要點，適用于組織開展的風(fēng)險評估工作。 2023 風(fēng)險評估實施 (1) 風(fēng)險評估的準備 ? （ 1）確定風(fēng)險評估的目標； ? （ 2）確定風(fēng)險評估的范圍； ? （ 3）組建適當(dāng)?shù)脑u估管理與實施團隊； ? （ 4）進行系統(tǒng)調(diào)研； ? （ 5）確定評估依據(jù)和方法； ? （ 6）獲得最高管理者對風(fēng)險評估工作的支持。 風(fēng)險分析 ? 計算安全事件
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1