信息系統(tǒng)安全與保密-第3章(完整版)
【正文】 威脅利用資產(chǎn)的脆弱性對(duì)組織的信息系統(tǒng)造成危害 通過安全措施的配置，風(fēng)險(xiǎn)可以被消除、降低和或轉(zhuǎn)移 殘留風(fēng)險(xiǎn)：信息系統(tǒng)業(yè)務(wù)可以容忍的風(fēng)險(xiǎn) 成本效益分析 (T) (V) (A) (R) R = ?( A, T, V ) 資產(chǎn)及 其價(jià)值 脆弱點(diǎn) 脆弱點(diǎn) 脆 弱 點(diǎn) 脆 弱 點(diǎn) 威脅 風(fēng)險(xiǎn) 殘余風(fēng)險(xiǎn) 威脅 安全控制 安全控制 殘余風(fēng)險(xiǎn) 威脅 安 全 控 制 威脅 殘 余 風(fēng) 險(xiǎn) 圖 1 風(fēng)險(xiǎn)要素及其相互關(guān)系 威 脅 脆 弱 點(diǎn)安 全 措 施 安 全 風(fēng) 險(xiǎn)保 護(hù) 需 求 影 響資 產(chǎn)增 加增 加增 加減 小提 出增 加資產(chǎn)價(jià)值越高，風(fēng)險(xiǎn)越大 威脅越大，風(fēng)險(xiǎn)越大 脆弱點(diǎn)越大，風(fēng)險(xiǎn)越大 安全事故影響越大，風(fēng)險(xiǎn)越大 適當(dāng)?shù)陌踩刂瓶梢越档惋L(fēng)險(xiǎn) 安全風(fēng)險(xiǎn)指出組織的安全要求 確定評(píng)估范圍 資產(chǎn)識(shí)別與重要性評(píng)估 威脅識(shí)別與 發(fā)生可能性評(píng)估 脆弱點(diǎn)檢測與 被利用可能性評(píng)估 控制措施識(shí)別 與有效性評(píng)估 影 響 可能性 風(fēng) 險(xiǎn) 評(píng) 價(jià) 風(fēng)險(xiǎn)管理方案的 選擇與優(yōu)化 風(fēng) 險(xiǎn) 控 制 2 風(fēng)險(xiǎn)評(píng)估與管理的流程 (T) (V) (A) (R) (C) 確定評(píng)估范圍 基于風(fēng)險(xiǎn)評(píng)估目標(biāo)確定風(fēng)險(xiǎn)評(píng)估的對(duì)象和范圍是 完成風(fēng)險(xiǎn)評(píng)估的前提。 邏輯邊界 定義了分析所需的廣度和深度； 物理邊界 定義了系統(tǒng)起于哪里止于哪里； 1）信息資產(chǎn)（如硬件、軟件、信息）； 2）人員（職員、其他外部人員）； 3）環(huán)境（建筑物、基礎(chǔ)設(shè)施）； 4）活動(dòng)（信息處理相關(guān)操作、業(yè)務(wù)）。為提高效率 ? 脆弱點(diǎn)識(shí)別還應(yīng)結(jié)合威脅識(shí)別的結(jié)果，重點(diǎn)考察可能導(dǎo)致安全事件的威脅 脆弱點(diǎn)對(duì)，在脆弱點(diǎn)識(shí)別后，再依據(jù)脆弱點(diǎn)的嚴(yán)重程度對(duì)脆弱點(diǎn)進(jìn)行評(píng)估。 決策者應(yīng)權(quán)衡成本效益等多種因素，綜合決策！ 風(fēng)險(xiǎn)控制策略 風(fēng)險(xiǎn)控制是依據(jù)決策后的風(fēng)險(xiǎn)管理方案 而實(shí)施控制措施，是一個(gè)持續(xù)、循環(huán)的 遞進(jìn)過程。 , March 8, 2023 雨中黃葉樹，燈下白頭人。 2023年 3月 8日星期三 11時(shí) 22分 12秒 23:22:128 March 2023 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 。勝人者有力，自勝者強(qiáng)。 2023年 3月 8日星期三 下午 11時(shí) 22分 12秒 23:22: 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。 2023年 3月 8日星期三 11時(shí) 22分 12秒 23:22:128 March 2023 1空山新雨后，天氣晚來秋。 , March 8, 2023 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 :22:1223:22Mar238Mar23 1故人江海別，幾度隔山川。 (a)通過加強(qiáng)應(yīng)用政策來避免風(fēng)險(xiǎn)； (b)教育培訓(xùn)：政策了解 新技術(shù)培訓(xùn)； (c)通過建立技術(shù)解決方案確保減少風(fēng)險(xiǎn)； (2)轉(zhuǎn)移 將風(fēng)險(xiǎn)移植到其他資產(chǎn)、過程或組織的控制 方法；可通過簽署服務(wù)合同實(shí)現(xiàn)。 可能威脅 脆弱點(diǎn) 評(píng)估等級(jí) 供電中斷 沒有備用電源 高 4 盜竊、物理破壞 安全保衛(wèi)機(jī)制不健全 很高 5 疾病或其他原因?qū)е虏荒芗皶r(shí)到崗 課室鑰匙管理人員無“備份” 高 4 多媒體技術(shù)支持人員無“備份” 高 4 誤操作 老師對(duì)多媒體課室使用注意事項(xiàng)不熟悉 很高 5 火災(zāi) 未部署防火設(shè)施 很高 5 極端溫度及濕度 未安裝空調(diào)及除濕設(shè)備 高 4 軟件故障 軟件的安裝與卸載權(quán)限管理機(jī)制不嚴(yán) 高 4 惡意代碼 殺毒軟件不能及時(shí)升級(jí) 低 2 自然威脅 硬件物理保護(hù)不夠 很高 5 硬件故障 硬件使用壽命有限或其他原因 高 4 控制措施識(shí)別與效力評(píng)估 識(shí)別現(xiàn)有安全控制措施，分析安全措施的效力，
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1