【正文】 存在的某些管理薄弱 環(huán)節(jié) ，尤其當(dāng)網(wǎng) 絡(luò) 與信息系統(tǒng) 中 擁 有極 為 重要的信息 資產(chǎn)時 ，都將使得面臨 復(fù) 雜環(huán) 境的網(wǎng) 絡(luò) 與信息系 統(tǒng) 潛在著若干不同程度的安全 風(fēng)險 。風(fēng)險評估策略綜合評價 雖然當(dāng)安全基線已建立的情況下，基線評估成本低、易于實施。風(fēng)險評估策略3 綜合風(fēng)險評估 基線風(fēng)險評估耗費資源少、周期短、操作簡單，但不夠準確，適合一般環(huán)境的評估；詳細風(fēng)險評估準確而細致，但耗費資源較多，適合嚴格限定邊界的較小范圍內(nèi)的評估。5．獲得支持6．準備相關(guān)的評估工具（掃描、測試、收集工具）風(fēng)險評估流程2. 資產(chǎn)識別與評價 (1) 資產(chǎn)識別 資產(chǎn)識別是風(fēng)險識別的必要環(huán)節(jié)。威脅識別可從 威脅源 進行分析，也可根據(jù)有關(guān)標準、組織所提供的 威脅參考目錄 進行分析。風(fēng)險評估流程脆弱點識別 類 型　 識別對 象 識別 內(nèi)容技 術(shù) 脆弱點物理 環(huán) 境從機房 場 地、機房防火、機房供配 電 、機房防靜 電 、機房接地與防雷、 電 磁防 護 、通信 線 路的保 護 、機房區(qū)域防 護 、機房 設(shè)備 管理等方面 進 行 識別 。 脆弱點識別將針對每一項需要保護的資產(chǎn)，找出可能被威脅利用的弱點，并對脆弱點的嚴重程度進行評估。一方面，這有助于對當(dāng)前信息系統(tǒng)面臨的風(fēng)險進行分析；另一方面，通過對當(dāng)前安全措施的確認，分析其有效性，對有效的安全措施繼續(xù)保持，以避免不必要的工作和費用，防止安全措施的重復(fù)實施。 p物理資產(chǎn)的損壞 :物理資產(chǎn)損壞的經(jīng)濟損失也很容易計算，可用更新或修復(fù)該物理資產(chǎn)的花費來度量 p業(yè)務(wù)影響 :信息安全事件會對業(yè)務(wù)帶來很大的影響，如業(yè)務(wù)中斷，這方面的經(jīng)濟損失可通過以下方式來計算，先分析由于業(yè)務(wù)中斷， 單位時間內(nèi)的經(jīng)濟損失 ，用 “單位時間損失 修復(fù)所需時間＋修復(fù)代價 ”可將業(yè)務(wù)影響表示為經(jīng)濟損失，當(dāng)然單位時間內(nèi)的經(jīng)濟損失估計有時會有一定的難度。風(fēng)險評估流程 　 一是 計 算安全事件 發(fā) 生的可能性 根據(jù)威 脅 出 現(xiàn)頻 率及脆弱性狀況， 計 算威 脅 利用脆弱性 導(dǎo) 致安全事件 發(fā) 生的可能性，即： 安全事件 發(fā) 生的可能性＝ L(威 脅 出 現(xiàn)頻 率，脆弱性 ) ＝ L(T， V )　　 二是 計 算安全事件 發(fā) 生后的 損 失 根據(jù) 資產(chǎn) 重要程度及脆弱性 嚴 重程度， 計 算安全事件 發(fā) 生后的損 失，即： 安全事件的 損 失＝ F(資產(chǎn) 重要程度，脆弱性 嚴 重程度 ) ＝ F(Ia， Va ) 三是 計 算 風(fēng)險值 根據(jù) 計 算出的安全事件 發(fā) 生的可能性以及安全事件的 損 失， 計算 風(fēng)險值 ，即： 風(fēng)險值 ＝ R(安全事件 發(fā) 生的可能性，安全事件的 損 失 )　　　　 ＝ R(L(T， V)， F(Ia， Va ))　　 　　風(fēng)險評估流程風(fēng)險等級等級 標識 描述5 極高 一旦 發(fā) 生將 產(chǎn) 生非常 嚴 重的 經(jīng)濟 或社會影響，如 組織信譽 嚴 重破壞、 嚴 重影響 組織 的正常 經(jīng)營 ， 經(jīng)濟損失重大、社會影響 惡 劣4 高 一旦 發(fā) 生將 產(chǎn) 生 較 大的 經(jīng)濟 或社會影響，在一定范 圍內(nèi) 給組織 的 經(jīng)營 和 組織 信譽造成 損 害3 中 一旦 發(fā) 生會造成一定的 經(jīng)濟 、社會或生 產(chǎn)經(jīng)營 影響，但影響面和影響程度不大2 低 一旦 發(fā) 生造成的影響程度 較 低，一般 僅 限于 組織 內(nèi)部，通 過 一定手段很快能解決1 很低 一旦 發(fā) 生造成的影響幾乎不存在，通 過簡單 的措施就能彌 補風(fēng)險評估流程 風(fēng)險處理計劃 系系 統(tǒng)統(tǒng) 管理者管理者 應(yīng)綜應(yīng)綜 合考合考 慮風(fēng)險慮風(fēng)險 控制成本與控制成本與 風(fēng)風(fēng)險險 造成的影響，提出一個造成的影響，提出一個 可接受可接受 風(fēng)險風(fēng)險 范范 圍圍 。 從風(fēng)險分析方法來看，風(fēng)險評估方法可分為兩大類：定量方法與定性方法 。在信息世界，由于數(shù)據(jù)的短缺或事物本身的特性，很多現(xiàn)象是 “灰色 ”的，其意義是指其中含有已知的、未知的與非確定的種種信息。(6) 聚類分析法是解決 “物以類聚 ”，解決事務(wù)分類的一種數(shù)學(xué)方法。風(fēng)險評估方法4 定性方法 定性方法不是給出具體的貨幣形式的損失，而是用諸如 “極為嚴重、嚴重、一般、可忽略 ”等定性方法來度量風(fēng)險。風(fēng)險計算方法風(fēng)險計算方法風(fēng)險矩陣測量法威脅分級計算法風(fēng)險綜合評價法風(fēng)險計算方法1. 風(fēng)險矩陣測量法 這種方法的特點是事先建立資產(chǎn)價值、威脅等級和脆弱點等級的一個對應(yīng)矩陣，預(yù)先將風(fēng)險等級進行了確定。由上表可以推知，風(fēng)險矩陣會隨著資產(chǎn)值的增加、威脅等級的增加和脆弱點等級的增加而擴大。在本例中，將威脅的影響值確定為 5個等級，威脅發(fā)生的可能性也確定為 5個等級。比如對人員的影響、對財產(chǎn)的影響、對業(yè)務(wù)的影響。這種控制措施包括從內(nèi)部建立的和從外部保障的，并確定它們的有效性，對其賦值。 資產(chǎn)類別 名稱 關(guān) 鍵 程度硬件 多媒體 電腦 高 4投影 儀 高 4控制臺 中 3供 電設(shè)備 高 4投影幕 低 2空 調(diào) 中 3網(wǎng) 絡(luò)電纜 及接口 低 2軟 件 系 統(tǒng)軟 件 中 3課 件播放 軟 件 中 3應(yīng) 用 軟 件 中 3殺 毒 軟 件 低 2信息 多媒體 課 件 低 2演示程序 低 2人 員 課 室管理人 員 中 3技 術(shù) 支持人 員 中 3安全保 衛(wèi) 人 員 低 2風(fēng)險評估案例3 威脅識別與評估 通過對上述各類資產(chǎn)面臨的主要安全威脅進行分析，并依據(jù)其出現(xiàn)的可能性大小對各類威脅進行評估，結(jié)果如下表所示。風(fēng)險標識資產(chǎn) 威 脅 脆弱點 影響分析 影響等 級R1 多媒體系 統(tǒng)供 電 中斷 沒有 備 用 電 源 系 統(tǒng) 無法使用 高 4R2 誤 操作 老 師對 多媒體 課室使用注意事項 不熟悉硬件 損 害或 軟 件 誤刪 除很高 5R3 自然威 脅 硬件物理保 護 不夠 設(shè)備 物理破壞 很高 5R4 硬件 盜竊、物理破 壞 安全保 衛(wèi) 機制不健全 硬件被破壞或被盜 很高 5R5 火災(zāi) 未部署防火 設(shè) 施 系 統(tǒng) 被 燒 毀 很高 5R6 極端溫度及濕度未安裝空 調(diào) 及除濕 設(shè)備系 統(tǒng) 使用不正常 中 3R7 硬件故障 硬件使用壽命有限或其他原因硬件不能正常使用 高 4R8 軟 件 軟 件故障 軟 件的安裝與卸 載權(quán) 限管理機制不 嚴所需 軟 件被卸 載 ，不能正常使用高 4R9 惡 意代 碼 殺 毒 軟 件不能及時 升 級 系 統(tǒng) 運行很慢 低 2R10 人 員 疾病或其他原因 導(dǎo) 致不能及 時 到崗鑰 匙管理人 員 不可達，無 “備份 ”多媒體 課 室 門 不能及 時 打開高 4R11 多媒體技 術(shù) 支持人 員 無 “備 份 ”技 術(shù) 支持不能及 時到位中 3可能性分析主要依據(jù)威脅評估等級。當(dāng)然，有條件的單位可以考慮在一課室同時配備多套多媒體教學(xué)系統(tǒng)。對風(fēng)險級別為 “高 ”以上的，應(yīng)重點考慮采取相應(yīng)的安全措施，而對風(fēng)險級別為低的可以不用處理，而對風(fēng)險級別為 “中 ”的可有選擇的處理?？赡芡?脅 脆弱點 評 估等 級供 電 中斷 沒有 備 用 電 源 高 4盜竊、物理破壞 安全保 衛(wèi) 機制不健全 很高 5疾病或其他原因 導(dǎo) 致不能及 時 到 崗課 室 鑰 匙管理人 員 無 “備 份 ” 高 4多媒體技 術(shù) 支持人 員 無 “備 份 ” 高 4誤 操作 老 師對 多媒體 課 室使用注意事項 不熟悉很高 5火災(zāi) 未部署防火 設(shè) 施 很高 5極端溫度及濕度 未安裝空 調(diào) 及除濕 設(shè)備 高 4軟 件故障 軟 件的安裝與卸 載權(quán) 限管理機制不 嚴高 4惡 意代 碼 殺 毒 軟 件不能及 時 升 級 低 2自然威 脅 硬件物理保 護 不 夠 很高 5硬件故障 硬件使用壽命有限或其他原因 高 4風(fēng)險評估案例5 風(fēng)險分析與等級劃分 根據(jù)資產(chǎn)識別、威脅識別、脆弱點識別的結(jié)果，通過考察可能出現(xiàn)的資產(chǎn) 威脅 脆弱點三元組，就可獲取系統(tǒng)面臨的安全風(fēng)險。本節(jié)以多媒體教學(xué)系統(tǒng)這一簡單信息系統(tǒng)為例講述詳細風(fēng)險評估的實施過程。在可能性和影響確定后，計算總的影響值。與風(fēng)險矩陣法和威脅分級法不同，本方法 將控制措施的采用引入風(fēng)險的評價 之中。一是準備威脅列表，讓系統(tǒng)所有者去選擇相應(yīng)資產(chǎn)的威脅，或由評估團隊的人員識別相關(guān)的威脅，進行分析和歸類。 對于每一資產(chǎn)的風(fēng)險，都將考慮資產(chǎn)價值、威脅等級和脆弱點等級。然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險。若風(fēng)險事件 E造成的相對損失為 loss，其發(fā)生的可能性為 L， loss和 L均為取值在 [0,1]區(qū)間定量值。綜合指數(shù)法通過計算各評價對象對每個指標折算指數(shù)值來實現(xiàn)不同指標值的無量綱化，并通過加權(quán)平均方法計算綜合指數(shù)值，風(fēng)險評估方法 (2) 功效評分法通過功效系數(shù)來實現(xiàn)不同指標的無量綱化，然后在利用其他方法來確定功效權(quán)值，如均權(quán)法、層次分析法、離差權(quán)法等。風(fēng)險評估方法（ 3）人工智能 人工智能是 20世紀中期產(chǎn)生的并正在迅速發(fā)展的新興邊緣學(xué)科 ,它是探索和模擬人的智能和思維過程的規(guī)律 ,并進而設(shè)計出類似人的某些智能化的科學(xué)。風(fēng)險評估流程8 風(fēng)險評估文件記錄 風(fēng)險評估文件包括在整個風(fēng)險評估過程中產(chǎn)生的評估過程文檔和評估結(jié)果文檔，這些文檔包括： (1)風(fēng)險評估計劃 (2)風(fēng)險評估程序 (3)資產(chǎn)識別清單 (4)重要資產(chǎn)清單 (5)威脅列表 (6)脆弱點列表 (7)已有安全措施確認表 (8)風(fēng)險評估報告 (9)風(fēng)險處理計劃 (10)風(fēng)險評估記錄風(fēng)險評估方法信息安全風(fēng)險評估方法風(fēng)險評估方法1 概述 信息安全風(fēng)險評估是通過采用一定的方法對組織面臨的風(fēng)險進行識別，并分析風(fēng)險對組織帶來的影響以及其發(fā)生的可能性大小，然后通過一定的綜合評價方法來評估組織面臨的風(fēng)險，并選取適當(dāng)?shù)拇胧﹣砜刂骑L(fēng)險。 p人員安全危害 :風(fēng)險事件可能對人員安全構(gòu)成危害，甚至危及到生命，這類損失很難用貨幣衡量 p組織信譽、形象損失 :風(fēng)險事件可能導(dǎo)致組織信譽、形象受損，這類損失很難用直接的經(jīng)濟損失來估計，應(yīng)通過一定的方式計算潛在的經(jīng)濟損失，如由于信譽受損，可能 導(dǎo)致市場份額損失、與外部關(guān)系受損 等，市場份額損失可以轉(zhuǎn)化為經(jīng)濟損失，與外界各方關(guān)系的損失可通過分析關(guān)系重建的花費、由于關(guān)系受損給業(yè)務(wù)開展帶來的額外花費等因素來估計，另外專家估計也是一種可取的方法。風(fēng)險評估流程（ 1）風(fēng)險計算 如前所述，風(fēng)險可形式化的表示為 R=(A,T,V)，其中R表示風(fēng)險、 A表示資產(chǎn)、 T表示威脅、 V表示脆弱點。風(fēng)險評估流程（ 2）脆弱點嚴重程度賦值 等 級 標識 定 義5 很高 如果被威 脅 利用，將 對資產(chǎn) 造成完全 損 害4 高 如果被威 脅 利用，將 對資產(chǎn) 造成重大 損 害3 中 如果被威 脅 利用，將 對資產(chǎn) 造成一般 損 害 2 低 如果被威 脅 利用，將 對資產(chǎn) 造成 較 小 損 害 1 很低 如果被威 脅 利用，將 對資產(chǎn) 造成的