風險評估實施步驟簡介(完整版)
【正文】 文件進行適當?shù)臉俗R。2. 脆弱性賦值（五個等級：很低、低、中、高、很高）可以根據(jù)對資產(chǎn)損害程度、技術(shù)實現(xiàn)的難易程度、弱點流行程度，采用等級方式對已識別的脆弱性的嚴重程度進行賦值。即，威脅總是要利用資產(chǎn)的弱點才可能造成危害。綜合評定方法，可以根據(jù)組織自身的特點，選擇對資產(chǎn)機密性、完整性和可用性最為重要的一個屬性的賦值等級作為資產(chǎn)的最終賦值結(jié)果，也可以根據(jù)資產(chǎn)機密性、完整性和可用性的不同重要程度對其賦值進行加權(quán)計算而得到資產(chǎn)的最終賦值。四 脆弱性識別脆弱性是對一個或多個資產(chǎn)弱點的總稱。脆弱性識別所采用的方法主要有：問卷調(diào)查、工具檢測、人工核查、文檔查閱、滲透性測試等。對于確認為不適當?shù)陌踩胧藢嵤欠駪蝗∠?，或者用更合適的安全措施替代。安全設(shè)備 包括防火墻、入侵檢測系統(tǒng)、網(wǎng)閘、防病毒、桌面管理、審計、加密機、身份鑒別等；查看安全設(shè)備的部署情況。資產(chǎn)識別是對系統(tǒng)中涉及的重要資產(chǎn)進行識別，并對其等級進行評估，形成資產(chǎn)識別表。風險控制計劃是針對風險評估中識別的安全風險，特別是不可接受風險，制定風險控制和處理計劃，選擇有效的風險控制措施將殘余風險控制在可接受范圍內(nèi)。2．給人工評估資產(chǎn)做標記，以方便事后檢查。3．對應業(yè)務的管理、員工、安全主管進行訪談。4．進行人工評估（每次人工評估完成后，應有人工評估確認，需用戶方簽字）。4．收集好評估數(shù)據(jù)，并妥善保存。2．報告解讀3．培訓9 / 9。6．簽字，并重新確認實施時間與實施范圍，有可能的情況下，需要甲方全程陪同。7．在整個項目技術(shù)部分基本結(jié)束時，雙方協(xié)商進行滲透測試。5．對評估中需要的其他策略文檔進行收集。三、制定整體實施計劃1．按照工作范圍制定整個項目的總體計劃，包括現(xiàn)場準備、掃描評估、人工評估、問卷調(diào)查、加固實施等各階段。風險評估是建立ISMS的基礎(chǔ)，處于27001的第一個環(huán)節(jié)計劃階段（P），也為風險管理提供依據(jù)；等級保護理論上和27001沒有直接關(guān)系，但是目前等保的管理安全部分借鑒了27001的控制域部分要求，二者是可以相融合的P階段：建立ISMS(PLAN)? 定義ISMS 的范圍? 定義ISMS 策略? 定義系統(tǒng)的風險評估途徑? 識別風險? 評估風險? 識別并評價風險處理措施? 選擇用于風險處理的控制目標和控制? 準備適用性聲明（SoA）? 取得管理層對殘留風險的承認，并授權(quán)實施和操作ISMS信息安全風險評估項目工序與流程一、項目啟動1．雙方召開項目啟動會議，確定各自接口負責人。威脅識別是對系統(tǒng)中涉及的重要資產(chǎn)可能遇到的威脅進行識別，并對其等級進行評估，形成威脅識別表。通過滲透性測試檢安全配置的有效性。如矩陣法或相乘法，通過構(gòu)造經(jīng)驗函數(shù)，矩陣法可形成安全事件發(fā)生的可能性與安全事件的損失之間的二維關(guān)系；運用相乘法可以將安全事件發(fā)生的可能性與安全事件的損失相乘得到風險值。管理脆弱性又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動相關(guān)，后者與管理環(huán)境相關(guān)。而
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1