安全評估與安全管理(完整版)
【正文】 。 配置核查 核查列表,四、風(fēng)險評估過程和方法,面向關(guān)鍵資產(chǎn)的風(fēng)險分析(系統(tǒng)體系結(jié)構(gòu)分析),信息安全相關(guān)法律、法規(guī)、政策、標準和規(guī)范的符合性 安全體系結(jié)構(gòu)的合理性和對需求的符合性 設(shè)計與實現(xiàn)的一致性 相關(guān)文檔資料的齊備性,四、風(fēng)險評估過程和方法,面向關(guān)鍵資產(chǎn)的風(fēng)險分析(脆弱性分析),四、風(fēng)險評估過程和方法,面向關(guān)鍵資產(chǎn)的風(fēng)險評價,關(guān)鍵資產(chǎn),系統(tǒng)單元,相關(guān)脆弱性,相關(guān)措施,個人所得稅 業(yè)務(wù)和數(shù)據(jù),數(shù)據(jù)庫服務(wù)器,應(yīng)用服務(wù)器,防火墻,OS脆弱性,數(shù)據(jù)庫脆弱性,應(yīng)用脆弱性,防病毒,權(quán)限管理,補丁管理,審計策略,備份策略,報警響應(yīng),… …,… …,… …,… …,安全風(fēng)險,數(shù)據(jù)泄露,非授權(quán)訪問,數(shù)據(jù)篡改破壞,服務(wù)假冒,拒絕服務(wù),多余開放端口,默認打開服務(wù),更新不及時,… …,四、風(fēng)險評估要素,資產(chǎn)識別 威脅識別 脆弱性識別,四、風(fēng)險評估要素識別,相互聯(lián)系,四、風(fēng)險評估要素識別,相互聯(lián)系,（1）業(yè)務(wù)戰(zhàn)略依賴資產(chǎn)去實現(xiàn)； （2）資產(chǎn)是有價值的，組織的業(yè)務(wù)戰(zhàn)略對資產(chǎn)的依賴度越高，資產(chǎn)價值就越大； （3）資產(chǎn)價值越大則其面臨的風(fēng)險越大； （4）風(fēng)險是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風(fēng)險越大，并可能演變成安全事件； （5）弱點越多，威脅利用脆弱性導(dǎo)致安全事件的可能性越大； （6）脆弱性是未被滿足的安全需求，威脅要通過利用脆弱性來危害資產(chǎn)，從而形成風(fēng)險；,四、風(fēng)險評估要素識別,相互聯(lián)系,（7）風(fēng)險的存在及對風(fēng)險的認識導(dǎo)出安全需求； （8）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價值考慮實施成本； （9）安全措施可抵御威脅，降低安全事件的發(fā)生的可能性，并減少影響； （10）風(fēng)險不可能也沒有必要降為零，在實施了安全措施后還會有殘留下來的風(fēng)險。,四、風(fēng)險評估過程和方法,計算安全事件的損失,四、風(fēng)險評估過程和方法,四、風(fēng)險評估過程和方法,（1）構(gòu)建風(fēng)險矩陣 ； （2）根據(jù)安全事件發(fā)生可能性和安全事件損失在矩陣中進行對照，確定安全事件風(fēng)險 ；,四、風(fēng)險評估過程和方法,計算風(fēng)險值,四、風(fēng)險評估過程和方法,風(fēng)險結(jié)果判定,根據(jù)預(yù)設(shè)的等級劃分規(guī)則判定風(fēng)險結(jié)果。,四、風(fēng)險評估過程和方法,首先需要確定二維計算矩陣，矩陣內(nèi)各個要素的值根據(jù)具體情況和函數(shù)遞增情況采用數(shù)學(xué)方法確定，然后將兩個元素的值在矩陣中進行比對，行列交叉處即為所確定的計算結(jié)果。 評估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價值來判斷安全事件一旦發(fā)生對組織造成的影響。,一、風(fēng)險分析概述,1.2 對風(fēng)險分析的認識 從微觀上講，風(fēng)險評估是“一種度量信息安狀況的方法和工具”，風(fēng)險評估通過對網(wǎng)絡(luò)和信息系統(tǒng)潛在風(fēng)險的識別、分析、評價以及控制和緩解措施等要素，度量網(wǎng)絡(luò)和信息系統(tǒng)的安全狀況。 風(fēng)險評估是風(fēng)險管理的基礎(chǔ)。評價是否實施和維護了適當(dāng)?shù)陌踩胧?，鑒別存在的風(fēng)險以及風(fēng)險發(fā)生的可能性和影響，從而選擇可將風(fēng)險降低到組織可接受級別的安全措施。 矩陣的計算需要根據(jù)實際情況確定，矩陣內(nèi)值的計算不一定遵循統(tǒng)一的計算公式，但必須具有統(tǒng)一的增減趨勢，即如果是遞增函數(shù)，Z值應(yīng)隨著x與y的值遞增，反之亦然。 依此類推，得到所有重要資產(chǎn)的風(fēng)險值，并根據(jù)風(fēng)險等級劃分表，確定風(fēng)險等級。有些殘余風(fēng)險來自于安全措施可能不當(dāng)或無效,在以后需要繼續(xù)控制，而有些殘余風(fēng)險則是在綜合考慮了安全成本與效益后未控制的風(fēng)險，是可以被接受的； （11）殘余風(fēng)險應(yīng)受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件,四、風(fēng)險評估要素,資產(chǎn) 資產(chǎn)是具有價值的信息或資源，是安全策略保護的對象。,五、信息安全管理體系,安全保護機制－－安全保障體系結(jié)構(gòu)
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1