【正文】 狹義的風險評估包括：評估前準備、資產識別與評估、威脅識別與評估、脆弱性識別與評估、當前安全措施的識別與評估、風險分析以及根據風險評估的結果選取適當的安全措施以降低風險的過程。然后根據不同資產的賦值從矩陣中確定不同的風險。 信息安全 風險評 估方法 信息安全風險評估對象是多指標的復雜系統，對于多指標系統，評價指標有多個，不同指標有不同的量綱，多指標系統的評價過程中必須解決以下兩個問題：其一是采用什么方法將不同量綱指標無量綱化，其二是采用何種方式確定不同指標的相對重要性，通常是引入權向量來描述。信息安全風險評估應以自評估為主，自評估和檢查評估相結合、互為補充 ?自評估 是指信息系統擁有、運營或使用單位發(fā)起的對本單位信息系統進行的風險評估自評估應在本標準的指導下，結合系統特定的安全要求進行實施周期性進行的自評估可以在評估流程上適當簡化，重點考察自上次評估后系統發(fā)生變化后引入的新威脅，以及系統脆弱性的完整識別，以便于兩次評估結果的對比但系統發(fā)生重大變更時，應依據本標準進行完整的評估 信息安全 風險評 估流程 風險評估的工作形式 分為自評估和檢查評估兩種形式。 信息安全風險評估流程 風險分析1．風險計算三個關鍵計算環(huán)節(jié)：b）計算安全事件發(fā)生后的損失 根據資產價值及脆弱性嚴重程度，計算安全事件一旦發(fā)生后的損失，即 ： 安全事件的損失 =F(資產價值，脆弱性嚴重程度 ) =F(Ia， Va ) 部分安全事件的發(fā)生造成的損失不僅僅是針對該資產本身，還可能影響業(yè)務的連續(xù)性；不同安全事件的發(fā)生對組織造成的影響也是不一樣的。q 為簡化后續(xù)的風險計算過程，避免不必要的計算工作，僅采用 TOP5或者 TOP10威脅參與風險計算 信息安全風險評估流程威脅舉例 信息安全風險評估流程外部威脅發(fā)展網絡欺騙或訛詐感染惡意代碼泄露重要信息手機攻擊網絡仿冒網頁篡改網頁惡意代碼垃圾郵件 拒絕服務攻擊病毒蠕蟲木馬 信息安全風險評估流程 信息安全 風險評 估流程 脆弱性識別與評估 1．脆弱性識別也稱為弱點識別。資產識別方法 : 訪談、現場調查、問卷、文檔查閱 信息安全 風險評 估流程2．資產評估v資產的評價是對資產的價值或重要程度進行評估，資產本身的貨幣價值是資產價值的體現，但更重要的是 資產對組織關鍵業(yè)務的順利開展乃至組織目標實現的重要程度 。ISO/IEC 133351對它們之間的關系描述如圖 21所示 概述《 信息安全風險評估規(guī)范 》GB/T20984 對ISO/IEC 133351提出風險要素關系模型進行了擴展我國提出的信息風險要素關系圖 信息安全 風險評 估策略 基線風險評估要求組織根據自己的實際情況（所在行業(yè)、業(yè)務環(huán)境與性質等），對信息系統進行基線安全檢查（ 將現有的安全措施與安全基線規(guī)定的措施進行比較，找出其中的差距 ），得出基本的安全需求，通過選擇并實施標準的安全措施來消減和控制風險。 概述 概述 信息安全風險評估相關要素信息安全風險評估的對象是信息系統，信息系統的資產、信息系統可能面對的威脅、系統中存在的弱點（脆弱性）、系統中已有的安全措施等是影響信息安全風險的基本要素，它們和安全風險、安全風險對業(yè)務的影響以及系統安全需求等構成信息安全風險評估的要素。q 傻根把錢就放在了普通的布質書包里。信息安全建設的最終目的是服務于信息化，但其直接目的是為了控制安全風險。 安全需求是指為保證組織業(yè)務戰(zhàn)略的正常運作而在安全措施方面提出的要求。資產識別的任務就是對確定的評估對象所涉及或包含的資產進行詳細的標識167。W n 信息安全風險評估流程2. 資產評估《 信息安全風險評估規(guī)范 》 GB/T20984推薦方法：q首先，對資產的機密性、完整性、可用性定性賦值q其次，用一定方法進行綜合，基本屬于最大原則 機密性賦值表 23（ P28） 完整性賦值表 24 （ P29） 資產可用性賦值表 25（ P29）對關鍵資產進行風險評估是重點 信息安全風險評估流程2. 資產評估 信息安全風險評估流程賦值 標識 定義 5 很高 包含組織最重要的秘密，關系未來發(fā)展的前途命運，對組織根本利益有著決定性的影響，如果泄露會造成災難性的損害 4 高 包含組織的重要秘密，其泄露會使組織的安全和利益遭受嚴重損害 3 中等 組織的一般性秘密，其泄露會使組織的安全和利益受到損害 2 低 僅能在組織內部或在組織某一部門內部公開的信息，向外擴散有可能對組織的利益造成輕微損害 1 很低 可對社會公開的信息，公用的信息處理設備和系統資源等 資產機密性賦值表《 信息安全風險評估規(guī)范 》 GB/T209842. 資產評估 信息安全風險評估流程資產完整性賦值表賦值 標識 定義 5 很高 完整性價值非常關鍵，未經授權的修改或破壞會對組織造成重大的或無法接受的影響，對業(yè)務沖擊重大，并可能造成嚴重的業(yè)務中斷，難以彌補 4 高 完整性價值較高，未經授權的修改或破壞會對組織造成重大影響，對業(yè)務沖擊嚴重，較難彌補 3 中等 完整性價值中等，未經授權的修改或破壞會對組織造成影響，對業(yè)務沖擊明顯，但可以彌補 2 低 完整性價值較低，未經授權的修改或破壞會對組織造成輕微影響，對業(yè)務沖擊輕微，容易彌補 1 很低 完整性價值非常低，未經授權的修改或破壞對組織造成的影響可以忽略，對業(yè)務沖擊可以忽略 《 信息安全風險評估規(guī)范 》 GB/T209842. 資產評估 信息安全風險評估流程資產可用性賦值表賦值 標識 定義 5 很高 可用性價值非常高，合法使用者對信息及信息系統的可用度達到年度 %以上，或系統不允許中斷 4 高 可用性價值較高，合法使用者對信息及信息系統的可用度達到每天 90%以上，或系統允許中斷時間小于 10 min 3 中等 可用性價值中等，合法使用者對信息及信息系統的可用度在正常工作時間達到 70%以上，或系統允許中斷時間小于 30 min 2 低 可用性價值較低，合法使用者對信息及信息系統的可用度在正常工作時間達到 25%以上，或系統允許中斷時間小于 60 min 5 很高 可用性價值非常高，合法使用者對信息及信息系統的可用度達到年度 %以上，或系統不允許中斷 《 信息安全風險評估規(guī)范 》 GB/T209842. 資產評估 信息安全風險評估流程資產等級及含義描述等級 標識 描述5 很高 非常重要，其安全屬性破壞后可能對組織造成非常嚴重的損失 4 高 重要，其安全屬性破壞后可能對組織造成比較嚴重的損失 3 中 比較重要，其安全屬性破壞后可能對組織造成中等程度的損失 2 低 不太重要，其安全屬性破壞后可能對組織造成較低的損失 1 很低 不重要，其安全屬性破壞后對組織造成導很小的損失，甚至忽略不計 《 信息安全風險評估規(guī)范 》 GB/T20984 信息安全 風險評 估流程 威脅識別與評估1．威脅識別威脅識別的任務是對組織資產面臨的威脅進行全面的標識威脅識別可從威脅源進行分析，也可根據有關標準、組織所提供的威脅參考目錄進行分析。 信息安全 風險評 估流程 已有安全措施的確認對已采取的安全措施進行確認，至少有兩個方面的意義 （ 1）有助于對當前信息系統面臨的風險進行分析 （ 2）通過對當前安全措施的確認，分析其有效性，對有效的安全措施繼續(xù)保持，以避免不必要的工作和費用，防止安全措施的重復實施 信息安全 風險評 估流程 風險分析風險分析就是利用資產、威脅、脆弱性識別與評估結果以及對已有安全