第06講octave風險評估方法(存儲版)
【正文】 ……… YES 家庭電腦 ………… NO。 ? 識別關鍵的組件類別。涉及經(jīng)濟命脈，重要； ?醫(yī)護人員資格證書：這是行醫(yī)的本錢！ 過程 3（ MedSite） ? 列舉 MedSite中 PIDS所面臨的威脅： ?訪問非授權數(shù)據(jù) ?蓄意的輸入錯誤數(shù)據(jù) ?斷電、洪水 ?? ?系統(tǒng)事故 ?其它在研討會中被人提出的可能威脅事件 過程 3（ MedSite） ? 列舉影響： ?員工蓄意輸入錯誤數(shù)據(jù)，可能導致： ? 影響員工的工作情緒和積極性； ? 影響病人的生命； ?斷電、洪水等，可能導致： ? 醫(yī)院不能提供及時有效的醫(yī)療服務 ?其它被人提出來的可能影響 過程 3（ MedSite） ? PIDS的安全需要： ?可用性 ? PIDS需要保持每天 24小時可用； ?保密性 ? 信息需要保密； ? 對于非法的信息訪問，一經(jīng)發(fā)現(xiàn)要起訴到法院 ?完整性 ? ?? 過程 3（ MedSite） 高層領導研討 安全意識和培訓 員工了解他們的安全責任和在信息安全中扮演的角色，這些情況已經(jīng)記入文檔并得到確認。 ? 挑選風險評估參與者 ?OCTAVE方法，是一個交互性很強的方法。 ? 挑選評估小組成員 ? 評估小組應由各個業(yè)務部門的人員組成，而不只是 IT部門。 ? 每個過程中有若干任務（ Activity）要執(zhí)行，執(zhí)行后會輸出一些信息。 點集中在重要資產(chǎn)上 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表（續(xù)） 原則 原則解釋 屬性 整體管理 制定安全戰(zhàn)略和計劃的時候，要放眼整個信息系統(tǒng)，在安全保護和系統(tǒng)業(yè)務能力上做權衡 IT的參與 開放交流 評估需要各部門協(xié)作；鼓勵在所有的管理層次都鼓勵交流有關風險的信息；要重視每個人的意見。 ? 屬性是由 OCTAVE原則決定的 。 OCTAVE評估的 3個階段 ? 階段 2：識別基礎設施的脆弱性 ?這一階段，將從技術層面識別關鍵資產(chǎn)的脆弱性。 ?原則決定了整個風險評估中要執(zhí)行的各種任務，并為評估過程提供了參考基準。 目錄 已定義過程 評估的過程和步驟必須是已經(jīng)定義好的和標準化的。 ?評估活動的輸出結(jié)果被按階段分配在三個評估階段中。 一個案例 ? 一個中等規(guī)模的醫(yī)院： MedSite醫(yī)院，包括幾類職能機構(gòu)： ?一個常設的行政管理機構(gòu)：院長辦公室； ?一些常設的和臨時的業(yè)務機構(gòu)，如業(yè)務科室、實驗室和下轄診所等； ?一些常設和臨時的后勤機構(gòu)； ?一個小規(guī)模（ 3人）的 IT部門，負責網(wǎng)絡和設備維護； 一個案例 ? MedSite的組織結(jié)構(gòu)： ?院長為最高領導； ?幾個分管副院長，分別分管業(yè)務、后勤等職能機構(gòu)；“高層領導”包括院長和副院長； ?每類職能機構(gòu)中有若干科室，如業(yè)務科室（內(nèi)科，外科，放射科等），后勤科室（保衛(wèi)科， IT部，后勤處等），也可以是異地的診所。 ? 小組成員應知道在什么時候補充人員，以便擴充小組的知識面。天 過程 3 3～ 4名來自評估涉及的業(yè)務區(qū)域的員工 189。 是 否 不知道 安全戰(zhàn)略 組織業(yè)務戰(zhàn)略中包含了安全考慮 是 否 不知道 安全戰(zhàn)略中充分考慮了組織戰(zhàn)略和業(yè)務目標 是 否 不知道 安全管理 為信息安全活動分配了足夠的資金和資源 是 否 不知道 簽名 ： Peter 職位 ： 院長 過程 4：創(chuàng)建威脅文件 ? 過程 4基于以上的分析內(nèi)容建立威脅文件。無權操作私人物品 防火墻 ………… YES PIDS服務器 ………… YES ECDS服務器 ………… YES 路由器 ………… YES 脆弱性評估工具使用情況 過程 6：評估選定的組件（ MedSite） 脆弱性級別 描述 高 必須 24小時內(nèi)采取措施 中 必須一個月內(nèi)采取措施 低 先不管，或以后再說 脆弱性級別 過程 6：評估選定的組件（ MedSite） 脆弱性報告 關鍵組件 IP地址 工具 脆弱點總結(jié) 辦公室電腦 ………… VRFound 3個中等脆弱點 20個低等脆弱點 家庭電腦 ………… .. 防火墻 ………… .. 3個中等脆弱點 20個低等脆弱點 PIDS服務器 ………… .. 3個中等脆弱點 20個低等脆弱點 ECDS服務器 ………… .. ……………… 路由器 ………… .. ……………… OCTAVE 方法（ Method） ? 風險評估的準備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎設施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 ? 過程 7：執(zhí)行風險分析 ? 過程 8：制定戰(zhàn)略 過程 7：執(zhí)行風險分析 ? 執(zhí)行風險分析，確定風險信息 ? 三個任務： ? 識別影響 ? 確認威脅事件造成的后果會對業(yè)務產(chǎn)生什么損害 ? 建立風險評估準則 ? 這里指的是衡量風
教學課件相關推薦
鄂ICP備17016276號-1