信息系統(tǒng)安全與保密-第3章(完整版)
【正文】 威脅利用資產(chǎn)的脆弱性對組織的信息系統(tǒng)造成危害 通過安全措施的配置，風險可以被消除、降低和或轉(zhuǎn)移 殘留風險：信息系統(tǒng)業(yè)務可以容忍的風險 成本效益分析 (T) (V) (A) (R) R = ?( A, T, V ) 資產(chǎn)及 其價值 脆弱點 脆弱點 脆 弱 點 脆 弱 點 威脅 風險 殘余風險 威脅 安全控制 安全控制 殘余風險 威脅 安 全 控 制 威脅 殘 余 風 險 圖 1 風險要素及其相互關(guān)系 威 脅 脆 弱 點安 全 措 施 安 全 風 險保 護 需 求 影 響資 產(chǎn)增 加增 加增 加減 小提 出增 加資產(chǎn)價值越高，風險越大 威脅越大，風險越大 脆弱點越大，風險越大 安全事故影響越大，風險越大 適當?shù)陌踩刂瓶梢越档惋L險 安全風險指出組織的安全要求 確定評估范圍 資產(chǎn)識別與重要性評估 威脅識別與 發(fā)生可能性評估 脆弱點檢測與 被利用可能性評估 控制措施識別 與有效性評估 影 響 可能性 風 險 評 價 風險管理方案的 選擇與優(yōu)化 風 險 控 制 2 風險評估與管理的流程 (T) (V) (A) (R) (C) 確定評估范圍 基于風險評估目標確定風險評估的對象和范圍是 完成風險評估的前提。 邏輯邊界 定義了分析所需的廣度和深度； 物理邊界 定義了系統(tǒng)起于哪里止于哪里； 1）信息資產(chǎn)（如硬件、軟件、信息）； 2）人員（職員、其他外部人員）； 3）環(huán)境（建筑物、基礎(chǔ)設(shè)施）； 4）活動（信息處理相關(guān)操作、業(yè)務）。為提高效率 ? 脆弱點識別還應結(jié)合威脅識別的結(jié)果，重點考察可能導致安全事件的威脅 脆弱點對，在脆弱點識別后，再依據(jù)脆弱點的嚴重程度對脆弱點進行評估。 決策者應權(quán)衡成本效益等多種因素，綜合決策！ 風險控制策略 風險控制是依據(jù)決策后的風險管理方案 而實施控制措施，是一個持續(xù)、循環(huán)的 遞進過程。 , March 8, 2023 雨中黃葉樹，燈下白頭人。 2023年 3月 8日星期三 11時 22分 12秒 23:22:128 March 2023 1做前，能夠環(huán)視四周；做時，你只能或者最好沿著以腳為起點的射線向前。 。勝人者有力，自勝者強。 2023年 3月 8日星期三 下午 11時 22分 12秒 23:22: 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。 2023年 3月 8日星期三 11時 22分 12秒 23:22:128 March 2023 1空山新雨后，天氣晚來秋。 , March 8, 2023 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 :22:1223:22Mar238Mar23 1故人江海別，幾度隔山川。 (a)通過加強應用政策來避免風險； (b)教育培訓：政策了解 新技術(shù)培訓； (c)通過建立技術(shù)解決方案確保減少風險； (2)轉(zhuǎn)移 將風險移植到其他資產(chǎn)、過程或組織的控制 方法；可通過簽署服務合同實現(xiàn)。 可能威脅 脆弱點 評估等級 供電中斷 沒有備用電源 高 4 盜竊、物理破壞 安全保衛(wèi)機制不健全 很高 5 疾病或其他原因?qū)е虏荒芗皶r到崗 課室鑰匙管理人員無“備份” 高 4 多媒體技術(shù)支持人員無“備份” 高 4 誤操作 老師對多媒體課室使用注意事項不熟悉 很高 5 火災 未部署防火設(shè)施 很高 5 極端溫度及濕度 未安裝空調(diào)及除濕設(shè)備 高 4 軟件故障 軟件的安裝與卸載權(quán)限管理機制不嚴 高 4 惡意代碼 殺毒軟件不能及時升級 低 2 自然威脅 硬件物理保護不夠 很高 5 硬件故障 硬件使用壽命有限或其他原因 高 4 控制措施識別與效力評估 識別現(xiàn)有安全控制措施，分析安全措施的效力，
教學課件相關(guān)推薦
鄂ICP備17016276號-1