第06講octave風(fēng)險(xiǎn)評估方法-文庫吧在線文庫
【正文】 險(xiǎn)高、中、低的標(biāo)準(zhǔn) ? 評估影響 ? 聯(lián)合分析威脅和對應(yīng)的影響，得到風(fēng)險(xiǎn) ? 回憶上次課內(nèi)容：風(fēng)險(xiǎn)＝可能性影響， OCTAVE方法缺少可能性因素！不過最新的版本已經(jīng)加入了可能性的考慮 過程 7：執(zhí)行風(fēng)險(xiǎn)分析（ MedSite） 后果 影響描述 數(shù)據(jù)泄露 患者信息屬于患者個(gè)人隱私，泄露了會(huì)對醫(yī)院的信譽(yù)信用不利 …… 數(shù)據(jù)篡改 可能造成誤診，對患者生死攸關(guān) 使醫(yī)院信譽(yù)受損，患者不信任我們的醫(yī)術(shù) …… 數(shù)據(jù)丟失、損壞 上次備份以后的新數(shù)據(jù)將不可恢復(fù)。 ? 包含兩個(gè)任務(wù)： ? 標(biāo)識關(guān)鍵的組件類別 ? 標(biāo)識 System of interest，就是與重要資產(chǎn)相關(guān)的某些信息系統(tǒng)組件的集合。 ? 這三步中要執(zhí)行四個(gè)任務(wù)： ? 標(biāo)識組織重要資產(chǎn)和它們對組織的重要程度； ? 列舉出所有信息資產(chǎn)，并確定那些是重要資產(chǎn) ? 標(biāo)識安全要關(guān)心的內(nèi)容（威脅、影響）； ? 描述可能的威脅，和影響 ? 標(biāo)識組織重要資產(chǎn)的安全需要； ? 識別每個(gè)資產(chǎn)的安全需要，劃分優(yōu)先級 ? 標(biāo)識當(dāng)前的組織安全措施以及組織脆弱性（管理層面上的脆弱性）； ? 檢查已有的措施，與良好安全實(shí)踐列表相比較（基線評估） 過程 3（ MedSite） ? MedSite重要資產(chǎn)目錄 ?PIDS：這個(gè)系統(tǒng)負(fù)責(zé)著大部分患者數(shù)據(jù)的管理，是醫(yī)院最重要信息資產(chǎn)； ?紙制藥單：遺失后沒法重建的資料； ?FRKS：財(cái)務(wù)系統(tǒng)。如果范圍選的過小，得出的評估結(jié)果將不能準(zhǔn)確反映出系統(tǒng)風(fēng)險(xiǎn)的真實(shí)情況。 ? MedSite想使用 OCTAVE方法，評估本組織的風(fēng)險(xiǎn) OCTAVE 方法（ Method） ? 風(fēng)險(xiǎn)評估的準(zhǔn)備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎(chǔ)設(shè)施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險(xiǎn)控制）計(jì)劃 風(fēng)險(xiǎn)評估的準(zhǔn)備 ? 爭取高層管理者的支持 ? 沒有領(lǐng)導(dǎo)的批準(zhǔn)，評估不能進(jìn)行。由卡內(nèi)基梅隆提供的就有兩種： ? OCTAVE方法，適合大中型組織（一般要超過 300員工）的風(fēng)險(xiǎn)評估 ? OCTAVES方法，適合小型組織風(fēng)險(xiǎn)評估 OCTAVE 方法（ Method） ? OCTAVE方法中的過程（ Process） ? 8個(gè)過程，分布在前述三個(gè)階段中執(zhí)行 ? 過程 1：標(biāo)識高層管理知識； ? 過程 2：標(biāo)識業(yè)務(wù)區(qū)域知識； ? 過程 3：標(biāo)識一般員工知識； ? 過程 4：創(chuàng)建威脅文件； ? 過程 5：標(biāo)識關(guān)鍵組件； ? 過程 6：評估所選組件； ? 過程 7：執(zhí)行風(fēng)險(xiǎn)分析； ? 過程 8：制定戰(zhàn)略。要集中資源保護(hù)最重要的信息資產(chǎn)。 這些要求確定了 OCTAVE風(fēng)險(xiǎn)評估的基本元素 ， 和確定哪些東西是保證 OCTAVE風(fēng)險(xiǎn)評估能夠成功完成的 。 什么是 OCTAVE？ ? OCTAVE是一種“自我導(dǎo)向（ SelfOriented）”的風(fēng)險(xiǎn)評估，即由組織內(nèi)部的人員對組織自身進(jìn)行評估 ? OCTAVE是一種組合評估途徑 ? 先對組織范圍內(nèi)的信息資產(chǎn)進(jìn)行基線評估，再對“關(guān)鍵資產(chǎn)（ Critical Assets）”進(jìn)行詳細(xì)評估 ? OCTAVE強(qiáng)調(diào)了管理因素，即風(fēng)險(xiǎn)評估要同時(shí)從組織層面（較高抽象層次）和技術(shù)層面（較低抽象層次）來進(jìn)行 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準(zhǔn)則（ Criterion） ? OCTAVE方法（ Method） OCTAVE準(zhǔn)則（ Criterion） ? 是 OCTAVE的核心內(nèi)容 ? 規(guī)定了 OCTAVE風(fēng)險(xiǎn)評估的三個(gè)階段 ? 規(guī)定了 OCTAVE風(fēng)險(xiǎn)評估的： ?原則（ Principle） ?屬性（ Attribute） ?輸出（ Output） OCTAVE評估的 3個(gè)階段 ? 階段 1：建立基于資產(chǎn)的威脅文件（ Build AssetBased Threat Profiles） ? 階段 2：識別基礎(chǔ)設(shè)施脆弱性（ Identify Infrastructure Vulnerabilities） ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險(xiǎn)控制）計(jì)劃（ Develop Security Strategy and Plans） OCTAVE評估的 3個(gè)階段 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 主要是在組織管理層面上識別風(fēng)險(xiǎn)； ? 確定哪些信息相關(guān)的資產(chǎn)對組織來說是重要的； ? 目前對這些重要資產(chǎn)做了哪些保護(hù)措施； ? 評估組挑選那些對組織來說最為重要的資產(chǎn)，并描述針對他們的安全需要； ? 最后確定這些重要資產(chǎn)所面臨的威脅，并確定組織的基于資產(chǎn)的威脅文件。 ?例如，“自評估”就是一條原則。其中要指定人員責(zé)任，確定要執(zhí)行的任務(wù)，定義要用到工具和表格，定義最終報(bào)告的格式等。 OCTAVE 的原則、屬性和輸出 階段 輸出 階段一 階段二 階段三 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準(zhǔn)則（ Criterion） ? OCTAVE方法（ Method） OCTAVE 方法（ Method） ? 什么是 OCTAVE方法？ ?
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1