第06講octave風險評估方法-文庫吧在線文庫
【正文】 險高、中、低的標準 ? 評估影響 ? 聯(lián)合分析威脅和對應的影響，得到風險 ? 回憶上次課內容：風險＝可能性影響， OCTAVE方法缺少可能性因素！不過最新的版本已經(jīng)加入了可能性的考慮 過程 7：執(zhí)行風險分析（ MedSite） 后果 影響描述 數(shù)據(jù)泄露 患者信息屬于患者個人隱私，泄露了會對醫(yī)院的信譽信用不利 …… 數(shù)據(jù)篡改 可能造成誤診，對患者生死攸關 使醫(yī)院信譽受損，患者不信任我們的醫(yī)術 …… 數(shù)據(jù)丟失、損壞 上次備份以后的新數(shù)據(jù)將不可恢復。 ? 包含兩個任務： ? 標識關鍵的組件類別 ? 標識 System of interest，就是與重要資產(chǎn)相關的某些信息系統(tǒng)組件的集合。 ? 這三步中要執(zhí)行四個任務： ? 標識組織重要資產(chǎn)和它們對組織的重要程度； ? 列舉出所有信息資產(chǎn)，并確定那些是重要資產(chǎn) ? 標識安全要關心的內容（威脅、影響）； ? 描述可能的威脅，和影響 ? 標識組織重要資產(chǎn)的安全需要； ? 識別每個資產(chǎn)的安全需要，劃分優(yōu)先級 ? 標識當前的組織安全措施以及組織脆弱性（管理層面上的脆弱性）； ? 檢查已有的措施，與良好安全實踐列表相比較（基線評估） 過程 3（ MedSite） ? MedSite重要資產(chǎn)目錄 ?PIDS：這個系統(tǒng)負責著大部分患者數(shù)據(jù)的管理，是醫(yī)院最重要信息資產(chǎn)； ?紙制藥單：遺失后沒法重建的資料； ?FRKS：財務系統(tǒng)。如果范圍選的過小，得出的評估結果將不能準確反映出系統(tǒng)風險的真實情況。 ? MedSite想使用 OCTAVE方法，評估本組織的風險 OCTAVE 方法（ Method） ? 風險評估的準備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎設施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 風險評估的準備 ? 爭取高層管理者的支持 ? 沒有領導的批準，評估不能進行。由卡內基梅隆提供的就有兩種： ? OCTAVE方法，適合大中型組織（一般要超過 300員工）的風險評估 ? OCTAVES方法，適合小型組織風險評估 OCTAVE 方法（ Method） ? OCTAVE方法中的過程（ Process） ? 8個過程，分布在前述三個階段中執(zhí)行 ? 過程 1：標識高層管理知識； ? 過程 2：標識業(yè)務區(qū)域知識； ? 過程 3：標識一般員工知識； ? 過程 4：創(chuàng)建威脅文件； ? 過程 5：標識關鍵組件； ? 過程 6：評估所選組件； ? 過程 7：執(zhí)行風險分析； ? 過程 8：制定戰(zhàn)略。要集中資源保護最重要的信息資產(chǎn)。 這些要求確定了 OCTAVE風險評估的基本元素 ， 和確定哪些東西是保證 OCTAVE風險評估能夠成功完成的 。 什么是 OCTAVE？ ? OCTAVE是一種“自我導向（ SelfOriented）”的風險評估，即由組織內部的人員對組織自身進行評估 ? OCTAVE是一種組合評估途徑 ? 先對組織范圍內的信息資產(chǎn)進行基線評估，再對“關鍵資產(chǎn)（ Critical Assets）”進行詳細評估 ? OCTAVE強調了管理因素，即風險評估要同時從組織層面（較高抽象層次）和技術層面（較低抽象層次）來進行 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準則（ Criterion） ? OCTAVE方法（ Method） OCTAVE準則（ Criterion） ? 是 OCTAVE的核心內容 ? 規(guī)定了 OCTAVE風險評估的三個階段 ? 規(guī)定了 OCTAVE風險評估的： ?原則（ Principle） ?屬性（ Attribute） ?輸出（ Output） OCTAVE評估的 3個階段 ? 階段 1：建立基于資產(chǎn)的威脅文件（ Build AssetBased Threat Profiles） ? 階段 2：識別基礎設施脆弱性（ Identify Infrastructure Vulnerabilities） ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃（ Develop Security Strategy and Plans） OCTAVE評估的 3個階段 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 主要是在組織管理層面上識別風險； ? 確定哪些信息相關的資產(chǎn)對組織來說是重要的； ? 目前對這些重要資產(chǎn)做了哪些保護措施； ? 評估組挑選那些對組織來說最為重要的資產(chǎn)，并描述針對他們的安全需要； ? 最后確定這些重要資產(chǎn)所面臨的威脅，并確定組織的基于資產(chǎn)的威脅文件。 ?例如，“自評估”就是一條原則。其中要指定人員責任，確定要執(zhí)行的任務，定義要用到工具和表格，定義最終報告的格式等。 OCTAVE 的原則、屬性和輸出 階段 輸出 階段一 階段二 階段三 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準則（ Criterion） ? OCTAVE方法（ Method） OCTAVE 方法（ Method） ? 什么是 OCTAVE方法？ ?
教學課件相關推薦
鄂ICP備17016276號-1