信息系統(tǒng)安全與保密-第3章-文庫吧在線文庫
【正文】 管理 風險評估 任務 ① 風險識別 任務 ② 風險控制 風險管理 （ Risk Management） ：以可以接受的費用，識別、控制、 降低或消除可能影響信息系統(tǒng)的安全風險的過程及活動。 經識別與分析后，有關資產及其關鍵程度如表所示。 (1)威懾性：可降低蓄意攻擊的可能性； (2)預防性：可保護弱點，使攻擊難成功； (3)檢測性：可檢測并及時發(fā)現(xiàn)攻擊活動； (4)糾正性：使攻擊造成的影響減至最小 風險評價 評價風險有兩個關鍵因素：威脅發(fā)生對信息資產 造成的影響以及威脅發(fā)生的可能性。 (3)緩解 通過規(guī)劃和預先的準備工作，減少漏洞造成 的影響。 23:22:1223:22:1223:22Wednesday, March 8, 2023 1乍見翻疑夢，相悲各問年。 23:22:1223:22:1223:223/8/2023 11:22:12 PM 1成功就是日復一日那一點點小小努力的積累。 下午 11時 22分 12秒 下午 11時 22分 23:22: 楊柳散和風，青山澹吾慮。 2023年 3月 下午 11時 22分 :22March 8, 2023 1業(yè)余生活要有意義，不要越軌。 23:22:1223:22:1223:22Wednesday, March 8, 2023 1知人者智，自知者明。 2023年 3月 8日星期三 下午 11時 22分 12秒 23:22: 1楚塞三湘接，荊門九派通。 2023年 3月 下午 11時 22分 :22March 8, 2023 1行動出成果，工作出財富。然后對威脅造成的影響進行 分析，在這里 對威脅的影響進行了分類型的考慮 ！ 靜夜四無鄰，荒居舊業(yè)貧。 風險標識 資產 威脅 影響評估 可能性評估 風險值 風險等級 R1 多媒體 系統(tǒng) 供電中斷 4 3 12 中 R2 誤操作 5 5 25 很高 R3 自然威脅 5 1 5 低 R4 硬件 盜竊、物理破壞 5 4 20 很高 R5 火災 5 2 10 中 R6 極端溫度及濕度 3 2 6 低 R7 硬件故障 4 2 8 中 R8 軟件 軟件故障 4 4 16 高 R9 惡意代碼 2 5 10 中 R10 人員 疾病或其他原因導致不能及時到崗 4 3 12 中 R11 3 3 9 中 威脅可能性 影 響 低（ 10） 中（ 50） 高（ 100） 高（ ） 低 10 ＝ 10 中 50 ＝ 50 高 100 ＝ 100 中（ ） 低 10 ＝ 5 中 50 ＝ 25 中 100 ＝ 50 低（ ） 低 10 ＝ 1 低 50 ＝ 5 低 100 ＝ 10 表 5 “可能性 影響”矩陣模式示例 ? 風險等級劃分方法 風 險 可能性 忽略 :1 低： 2 中： 3 高： 4 極高： 5 影 響 程 度 極高 5 5 10 15 20 25 高 4 4 8 12 16 20 中 3 3 6 9 12 15 低 2 2 4 6 8 10 可忽略 1 1 2 3 4 5 風險管理方案的選擇與優(yōu)化 針對識別且確認了等級的風險，按照其嚴重程度 提出相應的對策，是風險評估的結果。 技術性弱點 如系統(tǒng)漏洞 操作性弱點 配置中的缺陷 管理性弱點 規(guī)章制度不足 可借助漏洞掃描工具等方法進行識別與評估??！ 脆弱點識別內容表 ? 脆弱點識別，應對針對已識別人每一類資產，考慮可能存在的脆弱點，它包括技術脆弱點與管理脆弱點 ? 本例中由于技術問題簡單，因而主要表現(xiàn)為管理方面的脆弱性。 風險評估是風險管理的基礎，是風險控制的前提??！ 風險評估：對信息和信息處理過程設施的威脅、影響和脆弱點以 及三者發(fā)生的可能性的評估，即確定 R = ?( A, T, V ) ISO/ IEC 27001:2023 風險評估的要素分析 風險 = 有害事件 發(fā)生的可能性危害的后果
教學課件相關推薦
鄂ICP備17016276號-1