風(fēng)險(xiǎn)評估實(shí)施方案(完整版)
【正文】 ment，信息技術(shù)安全技術(shù)信息安全風(fēng)險(xiǎn)管理l GB/T 222392008 信息安全技術(shù) 信息系統(tǒng)安全等級保護(hù)基本要求l 信息安全等級保護(hù) 信息系統(tǒng)安全管理要求（送審稿）l ISO 13335，信息技術(shù)安全技術(shù)IT安全管理指南l GB/Z 24364 2009 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)管理指南風(fēng)險(xiǎn)評估實(shí)施方法：l GB/T 209842007：信息安全風(fēng)險(xiǎn)評估規(guī)范（最新國家標(biāo)準(zhǔn)）l NIST SP 80030：RiSk Management Guide for Information Technology Systems，信息技術(shù)系統(tǒng)風(fēng)險(xiǎn)管理指南（美國國家標(biāo)準(zhǔn)和技術(shù)學(xué)會發(fā)布）l NSA IAM：INFOSED Assessment Methodology，信息風(fēng)險(xiǎn)評估方法（美國國家安全局發(fā)布）l OCTAVW：The Operationally Critical Threat，Asset，and Vulnerability Evaluation，可操作的關(guān)機(jī)那威脅、資產(chǎn)和脆弱性評價(jià)l 信息技術(shù) 安全技術(shù) 信息系統(tǒng)安全保障等級評估準(zhǔn)則l SSECMM：The Systems Security Engineering Capability Maturity Model，安全系統(tǒng)工程能力成熟度模型風(fēng)險(xiǎn)評估服務(wù)實(shí)施原則（1）保密性原則本公司對安全服務(wù)的實(shí)施過程和結(jié)果將嚴(yán)格保密，在未經(jīng)客戶授權(quán)的情況下不會泄漏給任何單位和個(gè)人，不會利用此數(shù)據(jù)并進(jìn)行熱呢侵害客戶權(quán)益的行為。風(fēng)險(xiǎn)評估中各個(gè)要素的關(guān)系如下圖所示：圖 風(fēng)險(xiǎn)要素關(guān)系示意圖圖中方框部分的內(nèi)容為風(fēng)險(xiǎn)評估的基本要素，橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。不同組織對于風(fēng)險(xiǎn)評估的實(shí)施過程可能存在不同的要求，因此在風(fēng)險(xiǎn)評估實(shí)施前，需要做好以下準(zhǔn)備工作：a）確定風(fēng)險(xiǎn)評估的范圍；b）確定風(fēng)險(xiǎn)評估的目標(biāo)；c）建立適當(dāng)?shù)慕M織結(jié)構(gòu)；d）建立系統(tǒng)性的風(fēng)險(xiǎn)評估方法；e）獲得高層管理者對風(fēng)險(xiǎn)評估策劃的批準(zhǔn)。b）威脅識別威脅是可能導(dǎo)致對系統(tǒng)或組織危害的不希望事故潛在起因。d）已有安全措施確認(rèn)在本階段，本公司將對采取的控制措施進(jìn)行識別并對控制措施的有效性進(jìn)行確認(rèn)，將有效的安全控制措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止控制措施的重復(fù)實(shí)施。因此，風(fēng)險(xiǎn)和具體的資產(chǎn)、其價(jià)值、威脅等級以及相關(guān)的脆弱性直接相關(guān)。網(wǎng)絡(luò)威脅收集網(wǎng)絡(luò)流量低控制中心與探測引擎直接連接，不占用網(wǎng)絡(luò)流量網(wǎng)絡(luò)/安全設(shè)備評估誤操作引起設(shè)備崩潰或數(shù)據(jù)丟失、損壞高規(guī)范審計(jì)流程；嚴(yán)格選擇審計(jì)人員；用戶進(jìn)行全程監(jiān)控；制定可能的恢復(fù)計(jì)劃；網(wǎng)絡(luò)/安全設(shè)備資源占用低避開業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量、強(qiáng)度）弱點(diǎn)掃描流量占用低避開業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量、強(qiáng)度）主機(jī)資源占用低避開業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量、強(qiáng)度）控制臺審計(jì)誤操作引起系統(tǒng)崩潰或數(shù)據(jù)丟失、損壞高規(guī)范審計(jì)流程；嚴(yán)格選擇審計(jì)人員；用戶進(jìn)行全程監(jiān)控；制定可能的恢復(fù)計(jì)劃；網(wǎng)絡(luò)流量和主機(jī)資源占用低避開業(yè)務(wù)
公司管理相關(guān)推薦
鄂ICP備17016276號-1