【正文】 乘積，計(jì)算結(jié)果如表54所示。,表55 風(fēng)險(xiǎn)評(píng)估表,7.2.4 快速風(fēng)險(xiǎn)評(píng)估法 1．風(fēng)險(xiǎn)二值法 ——只區(qū)分可接受風(fēng)險(xiǎn)和不可接受風(fēng)險(xiǎn)。,8.1 規(guī)劃階段的信息安全風(fēng)險(xiǎn)評(píng)估 在信息系統(tǒng)的規(guī)劃階段，確定信息系統(tǒng)的目的、范圍和需求，分析和論證可行性，提出總體方案。對(duì)設(shè)計(jì)方案的評(píng)估著重以下幾方面： 1．設(shè)計(jì)方案是否符合系統(tǒng)建設(shè)規(guī)劃，并得到最高管理者的認(rèn)可； 2．設(shè)計(jì)方案是否對(duì)系統(tǒng)建設(shè)后面臨的威脅進(jìn)行了分析。,——開發(fā)與技術(shù)/產(chǎn)品獲取過程的評(píng)估要點(diǎn)包括： 1．法律、政策、適用標(biāo)準(zhǔn)和指導(dǎo)方針：直接或間接影響信息系統(tǒng)安全需求的特定法律；影響信息系統(tǒng)安全需求、產(chǎn)品選擇的政府政策、國際或國家標(biāo)準(zhǔn)； 2．信息系統(tǒng)的功能需要：安全需求是否有效地支持系統(tǒng)的功能； 3．成本效益風(fēng)險(xiǎn) ：是否根據(jù)信息系統(tǒng)的資產(chǎn)、威脅和脆弱性的分析結(jié)果，確定在符合相關(guān)法律、政策、標(biāo)準(zhǔn)和功能需要的前提下選擇最合適的安全措施； 4．評(píng)估保證級(jí)別，是否明確系統(tǒng)建設(shè)后應(yīng)進(jìn)行怎樣的測(cè)試和檢查，從而確定是否滿足項(xiàng)目建設(shè)、實(shí)施規(guī)范的要求。 4．風(fēng)險(xiǎn)計(jì)算：根據(jù)風(fēng)險(xiǎn)計(jì)算的相關(guān)方法，對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)進(jìn)行定性或定量的風(fēng)險(xiǎn)分析，描述不同資產(chǎn)的風(fēng)險(xiǎn)高低狀況。對(duì)廢棄資產(chǎn)的處理過程應(yīng)在有效的監(jiān)督之下實(shí)施，同時(shí)對(duì)廢棄的執(zhí)行人員進(jìn)行安全教育。 上機(jī)實(shí)驗(yàn) 實(shí)驗(yàn)項(xiàng)目1：OCTAVE Method、OCTAVES 實(shí)驗(yàn)?zāi)康模毫私馐褂肙CTAVE Method、OCTAVES進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。,2．使用風(fēng)險(xiǎn)綜合評(píng)價(jià)法，計(jì)算風(fēng)險(xiǎn)評(píng)估表58中的影響值和風(fēng)險(xiǎn)值。,本階段應(yīng)重點(diǎn)對(duì)廢棄資產(chǎn)對(duì)組織的影響進(jìn)行分析，并根據(jù)不同的影響制定不同的處理方式。 2．威脅評(píng)估：應(yīng)全面地分析威脅的可能性和影響程度。 ——目的：是根據(jù)系統(tǒng)安全需求和運(yùn)行環(huán)境對(duì)系統(tǒng)開發(fā)、實(shí)施過程進(jìn)行風(fēng)險(xiǎn)識(shí)別，并對(duì)系統(tǒng)建成后的安全功能進(jìn)行驗(yàn)證。,8 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估,8.2 設(shè)計(jì)階段的信息安全風(fēng)險(xiǎn)評(píng)估 在信息系統(tǒng)的設(shè)計(jì)階段：依據(jù)總體方案，設(shè)計(jì)信息系統(tǒng)的實(shí)現(xiàn)結(jié)構(gòu)（包括功能劃分、接口協(xié)議和性能指標(biāo)等）和實(shí)施方案（包括實(shí)現(xiàn)技術(shù)、設(shè)備選型和系統(tǒng)集成等）。 圖52 風(fēng)險(xiǎn)分析矩陣,圖53 風(fēng)險(xiǎn)控制矩陣,8 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估,信息安全風(fēng)險(xiǎn)評(píng)估應(yīng)貫穿于信息系統(tǒng)的整個(gè)生命周期的各階段中。 例4：對(duì)風(fēng)險(xiǎn)評(píng)估表55，使用風(fēng)險(xiǎn)綜合評(píng)價(jià)法，計(jì)算影響值和風(fēng)險(xiǎn)值。 3．計(jì)算風(fēng)險(xiǎn)值 風(fēng)險(xiǎn)的計(jì)算方法，可以是影響值與可能性之積，也可以是 之和， 具體算法由用戶來定，只要滿足是增函數(shù)即可。查表52可知此威脅利用此脆弱性對(duì)資產(chǎn)所造成的風(fēng)險(xiǎn)值為5。 ——2001年1月，由希臘、德國、英國、挪威等國的多家商業(yè)公司和研究機(jī)構(gòu)共同組織開發(fā)了CORAS項(xiàng)目——安全危機(jī)系統(tǒng)的風(fēng)險(xiǎn)分析平臺(tái)，為安全要求較高的安全關(guān)鍵系統(tǒng)進(jìn)行準(zhǔn)確、清晰和高效的信息安全風(fēng)險(xiǎn)評(píng)估，提供一個(gè)框架規(guī)范和標(biāo)準(zhǔn)。,5.7.1.4 基于知識(shí)的評(píng)估和基于模型的評(píng)估 1．基于知識(shí)的評(píng)估 ——主要是依靠經(jīng)驗(yàn)進(jìn)行的，經(jīng)驗(yàn)從安全專家處獲取并憑此來解決相似場(chǎng)景的風(fēng)險(xiǎn)評(píng)估問題 。,7.1.3 定性評(píng)估和定量評(píng)估 1. 定性評(píng)估 ——是最廣泛使用的風(fēng)險(xiǎn)分析方法 ，一般只關(guān)注威脅事件所帶來的損失，而忽略事件發(fā)生的概率 。 7．風(fēng)險(xiǎn)評(píng)估文件記錄 形成風(fēng)險(xiǎn)評(píng)估過程中的相關(guān)文檔，包括風(fēng)險(xiǎn)評(píng)估報(bào)告。,2．資產(chǎn)識(shí)別 依據(jù)資產(chǎn)的分類，對(duì)評(píng)估范圍內(nèi)的資產(chǎn)逐一識(shí)別，完成對(duì)資產(chǎn)機(jī)密性、完整性和可用性的賦值，最后經(jīng)過綜合評(píng)定得出資產(chǎn)重要性等級(jí)。 2．在歷史信息以及有經(jīng)驗(yàn)的人員的判斷基礎(chǔ)上，估計(jì)此類威脅發(fā)生的現(xiàn)實(shí)可能性,3．識(shí)別并評(píng)價(jià)可能受到此類威脅發(fā)生影響的運(yùn)作和資產(chǎn)的價(jià)值、敏感度和關(guān)鍵度，以確定哪些運(yùn)作和資產(chǎn)是重要的。過程管理成為客觀的和準(zhǔn)確的實(shí)踐活動(dòng)。 2級(jí)：計(jì)劃并跟蹤的過程。,2．工程過程 安全工程是一個(gè)包括概念、設(shè)計(jì)、實(shí)現(xiàn)、測(cè)試、部署、運(yùn)行、維護(hù)、退出的完整過程。評(píng)估小組根據(jù)實(shí)際情況，開發(fā)一個(gè)整個(gè)組織范圍的的保護(hù)策略和風(fēng)險(xiǎn)削減計(jì)劃。分析小組應(yīng)識(shí)別與組織重要信息相關(guān)的資產(chǎn)，確定一組評(píng)估標(biāo)準(zhǔn)，并定義組織當(dāng)前的安全實(shí)踐狀況； 本階段主要由2個(gè)過程組成： 過程4: 建立威脅配置文件。,5.1.2 OCTAVE Method,OCTAVE Method是為大型組織（有300名以上員工的公司或組織）而設(shè)計(jì)的，但可以以此為基線或起點(diǎn)，對(duì)該方法進(jìn)行開發(fā)剪裁，使它適合于不同規(guī)模的組織、業(yè)務(wù)環(huán)境或工業(yè)部門。,5 國外信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn),目前，國際上信息安全風(fēng)險(xiǎn)評(píng)估與管理的標(biāo)準(zhǔn)有英國BSI的BS 779美國的OCTAVE、澳大利亞/新西蘭的AS/NZS 4360、ISO/IEC TR 1333NIST SP80030等，其中BS 7799和ISO/IEC TR 13335 在第2章、AS/NZS 4360和NIST SP80030在第4章已進(jìn)行了介紹，這里介紹OCTAVE方法、SSECMM和GAO/AIMD99139。自評(píng)估和檢查評(píng)估可以依靠自身技術(shù)力量進(jìn)行，也可以委托第三方專業(yè)機(jī)構(gòu)進(jìn)行。,3．信息安全風(fēng)險(xiǎn)評(píng)估是需求主導(dǎo)和突出重點(diǎn)原則的具體體現(xiàn) 風(fēng)險(xiǎn)是客觀存在的，試圖完全消滅風(fēng)險(xiǎn)或完全避免風(fēng)險(xiǎn)是不現(xiàn)實(shí)的，要根據(jù)信息及信息系統(tǒng)的價(jià)值、威脅的大小和可能出現(xiàn)的問題的嚴(yán)重程度，以及在信息化建設(shè)不同階段的信息安全要求，堅(jiān)持從實(shí)際出發(fā)、需求主導(dǎo)、突出重點(diǎn)、分級(jí)防護(hù)，科學(xué)評(píng)估風(fēng)險(xiǎn)并有效地控制風(fēng)險(xiǎn)。,1.1 美國信息安全風(fēng)險(xiǎn)評(píng)估發(fā)展概況,1.1.1 美國信息安全風(fēng)險(xiǎn)評(píng)估發(fā)展概況 在國際上，美國是對(duì)信息安全風(fēng)險(xiǎn)評(píng)估研究歷史最長(zhǎng)和工作經(jīng)驗(yàn)最豐富的國家，一直主導(dǎo)信息技術(shù)和信息安全的發(fā)展，信息安全風(fēng)險(xiǎn)評(píng)估在美國的發(fā)展實(shí)際上也代表了風(fēng)險(xiǎn)評(píng)估的國際發(fā)展。他們?cè)谛畔踩芾矸矫娴淖龇ㄊ窃诔浞掷妹绹龑?dǎo)的科技創(chuàng)新成果的基礎(chǔ)上，加強(qiáng)預(yù)防。,3．最小影響原則 從項(xiàng)目管理層面和工具技術(shù)層面，力求將風(fēng)險(xiǎn)評(píng)估對(duì)信息系統(tǒng)的正常運(yùn)行的可能影響降低到最低限度。,4.4 信息安全風(fēng)險(xiǎn)評(píng)估的分類,在進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，應(yīng)當(dāng)針對(duì)不同的環(huán)境和安全要求選擇恰當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估種類，目前，實(shí)際操作中經(jīng)常使用的風(fēng)險(xiǎn)評(píng)估包括基線風(fēng)險(xiǎn)評(píng)估、詳細(xì)風(fēng)險(xiǎn)評(píng)估、聯(lián)合風(fēng)險(xiǎn)評(píng)估。,其核心是自主原則，即由組織內(nèi)部的人員管理和指導(dǎo)該組織的信息安全風(fēng)險(xiǎn)評(píng)估。參與者為組織的高層管理人員； ,第二階段中，對(duì)當(dāng)前信息基礎(chǔ)設(shè)施的評(píng)價(jià)，包括數(shù)據(jù)收集和分析活動(dòng)。,5.1.3 OCTAVES,OCTAVES（OCTAVE簡(jiǎn)化版）是為規(guī)模較小的組織而開發(fā)的，這里將20～80名員工的組織視為小規(guī)模的組織。,2．第2階段：識(shí)別基礎(chǔ)設(shè)施的薄弱點(diǎn) 本階段主要由1個(gè)過程組成： 過程S3：檢查與關(guān)鍵信息資產(chǎn)相關(guān)的的計(jì)算基礎(chǔ)設(shè)施。針對(duì)這三個(gè)部分SSECMM定義了11項(xiàng)關(guān)鍵過程（PA），并為每個(gè)過程定義了一