安全評(píng)估與安全管理(完整版)
【正文】 。 配置核查 核查列表,四、風(fēng)險(xiǎn)評(píng)估過程和方法,面向關(guān)鍵資產(chǎn)的風(fēng)險(xiǎn)分析(系統(tǒng)體系結(jié)構(gòu)分析),信息安全相關(guān)法律、法規(guī)、政策、標(biāo)準(zhǔn)和規(guī)范的符合性 安全體系結(jié)構(gòu)的合理性和對(duì)需求的符合性 設(shè)計(jì)與實(shí)現(xiàn)的一致性 相關(guān)文檔資料的齊備性,四、風(fēng)險(xiǎn)評(píng)估過程和方法,面向關(guān)鍵資產(chǎn)的風(fēng)險(xiǎn)分析(脆弱性分析),四、風(fēng)險(xiǎn)評(píng)估過程和方法,面向關(guān)鍵資產(chǎn)的風(fēng)險(xiǎn)評(píng)價(jià),關(guān)鍵資產(chǎn),系統(tǒng)單元,相關(guān)脆弱性,相關(guān)措施,個(gè)人所得稅 業(yè)務(wù)和數(shù)據(jù),數(shù)據(jù)庫(kù)服務(wù)器,應(yīng)用服務(wù)器,防火墻,OS脆弱性,數(shù)據(jù)庫(kù)脆弱性,應(yīng)用脆弱性,防病毒,權(quán)限管理,補(bǔ)丁管理,審計(jì)策略,備份策略,報(bào)警響應(yīng),… …,… …,… …,… …,安全風(fēng)險(xiǎn),數(shù)據(jù)泄露,非授權(quán)訪問,數(shù)據(jù)篡改破壞,服務(wù)假冒,拒絕服務(wù),多余開放端口,默認(rèn)打開服務(wù),更新不及時(shí),… …,四、風(fēng)險(xiǎn)評(píng)估要素,資產(chǎn)識(shí)別 威脅識(shí)別 脆弱性識(shí)別,四、風(fēng)險(xiǎn)評(píng)估要素識(shí)別,相互聯(lián)系,四、風(fēng)險(xiǎn)評(píng)估要素識(shí)別,相互聯(lián)系,（1）業(yè)務(wù)戰(zhàn)略依賴資產(chǎn)去實(shí)現(xiàn)； （2）資產(chǎn)是有價(jià)值的，組織的業(yè)務(wù)戰(zhàn)略對(duì)資產(chǎn)的依賴度越高，資產(chǎn)價(jià)值就越大； （3）資產(chǎn)價(jià)值越大則其面臨的風(fēng)險(xiǎn)越大； （4）風(fēng)險(xiǎn)是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風(fēng)險(xiǎn)越大，并可能演變成安全事件； （5）弱點(diǎn)越多，威脅利用脆弱性導(dǎo)致安全事件的可能性越大； （6）脆弱性是未被滿足的安全需求，威脅要通過利用脆弱性來危害資產(chǎn)，從而形成風(fēng)險(xiǎn)；,四、風(fēng)險(xiǎn)評(píng)估要素識(shí)別,相互聯(lián)系,（7）風(fēng)險(xiǎn)的存在及對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)導(dǎo)出安全需求； （8）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價(jià)值考慮實(shí)施成本； （9）安全措施可抵御威脅，降低安全事件的發(fā)生的可能性，并減少影響； （10）風(fēng)險(xiǎn)不可能也沒有必要降為零，在實(shí)施了安全措施后還會(huì)有殘留下來的風(fēng)險(xiǎn)。,四、風(fēng)險(xiǎn)評(píng)估過程和方法,計(jì)算安全事件的損失,四、風(fēng)險(xiǎn)評(píng)估過程和方法,四、風(fēng)險(xiǎn)評(píng)估過程和方法,（1）構(gòu)建風(fēng)險(xiǎn)矩陣 ； （2）根據(jù)安全事件發(fā)生可能性和安全事件損失在矩陣中進(jìn)行對(duì)照，確定安全事件風(fēng)險(xiǎn) ；,四、風(fēng)險(xiǎn)評(píng)估過程和方法,計(jì)算風(fēng)險(xiǎn)值,四、風(fēng)險(xiǎn)評(píng)估過程和方法,風(fēng)險(xiǎn)結(jié)果判定,根據(jù)預(yù)設(shè)的等級(jí)劃分規(guī)則判定風(fēng)險(xiǎn)結(jié)果。,四、風(fēng)險(xiǎn)評(píng)估過程和方法,首先需要確定二維計(jì)算矩陣，矩陣內(nèi)各個(gè)要素的值根據(jù)具體情況和函數(shù)遞增情況采用數(shù)學(xué)方法確定，然后將兩個(gè)元素的值在矩陣中進(jìn)行比對(duì)，行列交叉處即為所確定的計(jì)算結(jié)果。 評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對(duì)組織造成的影響。,一、風(fēng)險(xiǎn)分析概述,1.2 對(duì)風(fēng)險(xiǎn)分析的認(rèn)識(shí) 從微觀上講，風(fēng)險(xiǎn)評(píng)估是“一種度量信息安狀況的方法和工具”，風(fēng)險(xiǎn)評(píng)估通過對(duì)網(wǎng)絡(luò)和信息系統(tǒng)潛在風(fēng)險(xiǎn)的識(shí)別、分析、評(píng)價(jià)以及控制和緩解措施等要素，度量網(wǎng)絡(luò)和信息系統(tǒng)的安全狀況。 風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)管理的基礎(chǔ)。評(píng)價(jià)是否實(shí)施和維護(hù)了適當(dāng)?shù)陌踩胧b別存在的風(fēng)險(xiǎn)以及風(fēng)險(xiǎn)發(fā)生的可能性和影響，從而選擇可將風(fēng)險(xiǎn)降低到組織可接受級(jí)別的安全措施。 矩陣的計(jì)算需要根據(jù)實(shí)際情況確定，矩陣內(nèi)值的計(jì)算不一定遵循統(tǒng)一的計(jì)算公式，但必須具有統(tǒng)一的增減趨勢(shì)，即如果是遞增函數(shù)，Z值應(yīng)隨著x與y的值遞增，反之亦然。 依此類推，得到所有重要資產(chǎn)的風(fēng)險(xiǎn)值，并根據(jù)風(fēng)險(xiǎn)等級(jí)劃分表，確定風(fēng)險(xiǎn)等級(jí)。有些殘余風(fēng)險(xiǎn)來自于安全措施可能不當(dāng)或無效,在以后需要繼續(xù)控制，而有些殘余風(fēng)險(xiǎn)則是在綜合考慮了安全成本與效益后未控制的風(fēng)險(xiǎn)，是可以被接受的； （11）殘余風(fēng)險(xiǎn)應(yīng)受到密切監(jiān)視，它可能會(huì)在將來誘發(fā)新的安全事件,四、風(fēng)險(xiǎn)評(píng)估要素,資產(chǎn) 資產(chǎn)是具有價(jià)值的信息或資源，是安全策略保護(hù)的對(duì)象。,五、信息安全管理體系,安全保護(hù)機(jī)制－－安全保障體系結(jié)構(gòu)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1