風(fēng)險(xiǎn)評(píng)估實(shí)施步驟(更新版)
【正文】 管理環(huán)境相關(guān)。而且如果系統(tǒng)足夠強(qiáng)健，再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失。風(fēng)險(xiǎn)評(píng)估實(shí)施步驟一 風(fēng)評(píng)準(zhǔn)備1. 確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)2. 確定風(fēng)險(xiǎn)評(píng)估的范圍3. 組建適當(dāng)?shù)脑u(píng)估管理與實(shí)施團(tuán)隊(duì)4. 進(jìn)行系統(tǒng)調(diào)研，采取問(wèn)卷調(diào)查、現(xiàn)場(chǎng)詢問(wèn)等方式，至少包括以下內(nèi)容：? 業(yè)務(wù)戰(zhàn)略及管理制度? 主要的業(yè)務(wù)功能和要求? 網(wǎng)絡(luò)結(jié)構(gòu)與網(wǎng)絡(luò)環(huán)境，包括內(nèi)部鏈接好外部鏈接? 系統(tǒng)邊界? 主要的硬件、軟件? 數(shù)據(jù)和信息? 系統(tǒng)和數(shù)據(jù)的敏感性? 支持和使用系統(tǒng)的人員5. 制定方案，為之后的風(fēng)評(píng)實(shí)施提供一個(gè)總體計(jì)劃，至少包括：? 確定實(shí)施評(píng)估團(tuán)隊(duì)成員? 工作計(jì)劃及時(shí)間進(jìn)度安排6. 獲得最高管理者對(duì)風(fēng)險(xiǎn)評(píng)估工作的支持二 資產(chǎn)識(shí)別資產(chǎn)的價(jià)值是按照資產(chǎn)在保密性、完整性和可用性上達(dá)到的程度或者其未達(dá)到時(shí)造成的影響程度來(lái)決定1. 資產(chǎn)分類根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、文檔、服務(wù)、人員等類2. 資產(chǎn)的賦值（五個(gè)等級(jí)：可忽略、低、中等、高、極高）? 保密性賦值：根據(jù)資產(chǎn)在保密性上的不同要求，對(duì)應(yīng)資產(chǎn)在保密性上應(yīng)達(dá)成的不同程度或者密保性缺失時(shí)對(duì)整個(gè)組織的影響，劃分為五個(gè)不同的等級(jí)? 完整性賦值：根據(jù)資產(chǎn)在完整性上的不同要求，對(duì)應(yīng)資產(chǎn)在完整性上缺失時(shí)對(duì)整個(gè)組織的影響，劃分為五個(gè)不同的等級(jí)? 可用性賦值：根據(jù)資產(chǎn)在可用性上的不同要求，對(duì)應(yīng)資產(chǎn)在可用性上應(yīng)達(dá)成的不同程度，劃分為五個(gè)不同的等級(jí)?3. 資產(chǎn)重要性等級(jí)（五個(gè)等級(jí)：很低、低、中、高、很高）資產(chǎn)價(jià)值應(yīng)依據(jù)資產(chǎn)在機(jī)密性、完整性和可用性上的賦值等級(jí)，經(jīng)過(guò)綜合評(píng)定得出。脆弱性識(shí)別也稱為弱點(diǎn)識(shí)別，弱點(diǎn)是資產(chǎn)本身存在的，如果沒(méi)有相應(yīng)的威脅發(fā)生，單純的弱點(diǎn)本身不會(huì)對(duì)資產(chǎn)造成損害。1. 脆弱性識(shí)別脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行，技術(shù)脆弱性涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個(gè)層面的安全問(wèn)題。六 風(fēng)險(xiǎn)分析1. 風(fēng)險(xiǎn)計(jì)算方法安全事件發(fā)生的可能性 = L(威脅出現(xiàn)頻率，脆弱性)安全事件的損失 = F(資產(chǎn)重要程度，脆弱性嚴(yán)重程度)風(fēng)險(xiǎn)值 = R(安全事件發(fā)生的可能性，安全事件的損失)評(píng)估者可根據(jù)自身情況選擇相應(yīng)的風(fēng)險(xiǎn)計(jì)算方法計(jì)算風(fēng)險(xiǎn)值。查看安全設(shè)備的配置策略；查看安全的日志記錄；通過(guò)漏洞掃描系統(tǒng)對(duì)安全進(jìn)行掃描。資產(chǎn)信息至少包括：資產(chǎn)名稱、資產(chǎn)類別、資產(chǎn)價(jià)值、資產(chǎn)用途、主機(jī)名、IP地址、硬件型號(hào)、操作系統(tǒng)類型及版本、數(shù)據(jù)庫(kù)類型及版本、應(yīng)用系統(tǒng)類型及版本等?！L(fēng)險(xiǎn)評(píng)估是按照ISO 27001建立信息安全管理體系的基礎(chǔ)，是PDCA循環(huán)的策劃階段的主要工作內(nèi)容，根據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果來(lái)從ISO 17799中選擇控制目標(biāo)與控制方式。3．資產(chǎn)值是評(píng)估報(bào)告的重要數(shù)據(jù)。4．對(duì)現(xiàn)有安全管理制度的實(shí)行情況進(jìn)行審計(jì)。6．雙方協(xié)商布置在網(wǎng)絡(luò)關(guān)鍵節(jié)點(diǎn)上布置入侵檢測(cè)系統(tǒng)（一般放置3天）。5．簽字，注意端口鏡像原則上必須由客戶
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號(hào)-1