培訓(xùn)資料風(fēng)險(xiǎn)評(píng)估與管理(79頁(yè))-管理培訓(xùn)(編輯修改稿)
2025-09-23 18:18 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ? 惡意軟件的引入可以是有意的（具有一定的目的和企圖）和無(wú)意的（運(yùn)行了來(lái)歷不明的軟件），惡意軟件威脅資產(chǎn)的保密性、完整性和可用性。 ? 軟件失效 ? 由于有預(yù)謀的事件或意外事件發(fā)生，從而導(dǎo)致軟件的完整性與可用性的損失。 中管網(wǎng)制造業(yè)頻道 概念解析 8 威脅（續(xù)） ? 火災(zāi) ? 這是一種意外事故，也可能是一種有預(yù)謀的事件，會(huì)影響資產(chǎn)的完整性與可用性。 ? 偷竊 ? 這是一種有預(yù)謀的威脅，可能會(huì)損害資產(chǎn)的保密性與可用性。 ? 人員錯(cuò)誤 ? 可能是有意的或無(wú)意的行為，有時(shí)此類(lèi)事件的發(fā)生僅僅是員工缺乏安全意識(shí)，并不是有什么惡意企圖。 中管網(wǎng)制造業(yè)頻道 概念解析 9 脆弱性 ? 脆弱性 (Vulnerability) ? 脆弱性是信息資產(chǎn)及其防護(hù)措施在安全方面的不足和弱點(diǎn)。 ? 脆弱性也常常被稱(chēng)為漏洞。 ? NIST SP80030將漏洞定義為安全程序、技術(shù)控制措施、物理控制措施或其他控制措施中可能被威脅利用的條件或弱點(diǎn)，或缺乏控制措施。 中管網(wǎng)制造業(yè)頻道 概念解析 9 脆弱性（續(xù)） ? 經(jīng)驗(yàn)表明：大多數(shù)重大的漏洞通常是由于缺乏良好的流程或指定了不適當(dāng)?shù)男畔踩?zé)任才出現(xiàn)的，但是進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)往往過(guò)分注重技術(shù)漏洞。 中管網(wǎng)制造業(yè)頻道 概念解析 9 脆弱性（續(xù)） ? 以下都是常見(jiàn)的脆弱性： ? 缺乏物理保護(hù)或保護(hù)不適當(dāng) ? 可能被威脅利用，損害資產(chǎn)的保密性、完整性和可用性 ? 口令選擇或使用不當(dāng) ? 可能導(dǎo)致對(duì)系統(tǒng)信息的非授權(quán)訪問(wèn)，從而損害資產(chǎn)的保密性、完整性和可用性。 中管網(wǎng)制造業(yè)頻道 概念解析 9 脆弱性（續(xù)） ? 與外部網(wǎng)絡(luò)的連接沒(méi)有保護(hù) ? 能導(dǎo)致在聯(lián)網(wǎng)系統(tǒng)中存儲(chǔ)與處理信息的保密性、完整性和可用性的損害。 ? 沒(méi)有保護(hù)的存檔文件 ? 有可能被偷竊，從而損害資產(chǎn)的保密性、完整性和可用性。 ? 不足夠的安全培訓(xùn) ? 可能造成用戶(hù)缺乏足夠的安全意識(shí)，破壞信息的保密性，或者產(chǎn)生用戶(hù)錯(cuò)誤，從而造成對(duì)資產(chǎn)的完整性和可用性的損害。 中管網(wǎng)制造業(yè)頻道 概念解析 10 防護(hù)措施 ? 防護(hù)措施 (safeguard) ? 防護(hù)措施是對(duì)付威脅，減少脆弱性，保護(hù)資產(chǎn)，限制意外事件的影響，檢測(cè)、響應(yīng)意外事件，促進(jìn)災(zāi)難恢復(fù)和打擊信息犯罪而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制的總稱(chēng)。 ? 防護(hù)措施 本質(zhì)上都是減少脆弱性的。 中管網(wǎng)制造業(yè)頻道 概念解析 與要素相關(guān)概念小結(jié) 中管網(wǎng)制造業(yè)頻道 風(fēng)險(xiǎn)評(píng)估與管理 1. 與風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)管理相關(guān)的概念解析 2. 信息安全風(fēng)險(xiǎn)管理的一般過(guò)程 3. 風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理的其它問(wèn)題 中管網(wǎng)制造業(yè)頻道 2 信息安全風(fēng)險(xiǎn)管理的一般過(guò)程 信息安全風(fēng)險(xiǎn)評(píng)估的過(guò)程 信息安全風(fēng)險(xiǎn)處理的過(guò)程 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險(xiǎn)評(píng)估的過(guò)程 輸入 輸出 風(fēng)險(xiǎn)評(píng)估活動(dòng) ● 硬件 ● 軟件 ● 系統(tǒng)接口 ● 數(shù)據(jù)和信息 ● 人員 ● 系統(tǒng)使命 步驟 1：體系特征描述 ● 系統(tǒng)邊界 ● 系統(tǒng)功能 ● 系統(tǒng)和數(shù)據(jù)的關(guān)鍵性 ● 系統(tǒng)和數(shù)據(jù)的敏感性 ● 系統(tǒng)遭受攻擊的歷史 ● 來(lái)自信息咨詢(xún)機(jī)構(gòu)、大眾媒體的數(shù)據(jù) ● 以前的風(fēng)險(xiǎn)評(píng)報(bào)告 ● 安全檢查工作中提出的意見(jiàn) ● 安全要求 ● 安全測(cè)試結(jié)果 ● 當(dāng)前的以及規(guī)劃中的安全措施 ● 威脅的屬性（威脅源、動(dòng)機(jī)、能力等） ● 脆弱性的性質(zhì) ● 當(dāng)前的以及規(guī)劃中的安全措施 ● 分析對(duì)使命的影響 ● 評(píng)估資產(chǎn)的關(guān)鍵性 ● 數(shù)據(jù)關(guān)鍵性 ● 數(shù)據(jù)敏感性 ● 威脅聲明 ● 可能的脆弱性列表 ● 當(dāng)前的以及規(guī)劃中的安全措施 ● 可能性級(jí)別 ● 影響級(jí)別 步驟 2：識(shí)別威脅 步驟 3：識(shí)別脆弱性 步驟 4：分析安全措施 步驟 5：確定可能性 步驟 6：分析影響 完整性損失 可用性損失 保密性損失 步驟 7：確定風(fēng)險(xiǎn) ● 威脅破壞的可能性 ● 影響的程度 ● 當(dāng)前的以及規(guī)劃中的安全措施的足夠性 ● 風(fēng)險(xiǎn)及相關(guān)風(fēng)險(xiǎn)的級(jí)別 步驟 8：建議安全措施 步驟 9：記錄結(jié)果 ● 建議的安全措施 ● 風(fēng)險(xiǎn)評(píng)估報(bào)告 風(fēng)險(xiǎn)評(píng)估流程圖 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險(xiǎn)評(píng)估的過(guò)程 (續(xù) ) ? 步驟 1：描述系統(tǒng)特征 ? 在對(duì)信息系統(tǒng)的風(fēng)險(xiǎn)進(jìn)行評(píng)估中，第一步是定義工作范圍。 ? 在該步中，要確定信息系統(tǒng)的邊界以及組成系統(tǒng)的資源和信息。對(duì)信息系統(tǒng)的特征進(jìn)行描述后便確立了風(fēng)險(xiǎn)評(píng)估工作的范圍，刻畫(huà)了對(duì)系統(tǒng)進(jìn)行授權(quán)運(yùn)行（或認(rèn)可）的邊界，并為風(fēng)險(xiǎn)定義提供了必要的信息（如硬件、軟件、系統(tǒng)連通性、負(fù)責(zé)部門(mén)或支持人員）。 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險(xiǎn)評(píng)估的過(guò)程 (續(xù) ) ? 步驟 系統(tǒng)相關(guān)信息 ? 步驟 信息收集技術(shù) ? 可以使用下列一項(xiàng)或多項(xiàng)技術(shù)在其運(yùn)行邊界內(nèi)獲取相關(guān)的系統(tǒng)信息： ? 調(diào)查問(wèn)卷 ? 現(xiàn)場(chǎng)面談 ? 文檔審查 ? 使用自動(dòng)掃描工具 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險(xiǎn)評(píng)估的過(guò)程 (續(xù) ) ? 步驟 2：識(shí)別威脅 ? 如果沒(méi)有脆弱性，威脅源無(wú)法造成風(fēng)險(xiǎn)；在確定威脅的可能性時(shí)，應(yīng)該考慮威脅源、潛在的脆弱性和現(xiàn)有的安全防護(hù)措施。 ? 步驟 識(shí)別威脅源 ? 步驟 動(dòng)機(jī)和行為 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險(xiǎn)評(píng)估的過(guò)程 (續(xù) ) ? 步驟 3：識(shí)別脆弱性 ? 本步的目標(biāo)是制定系統(tǒng)中可能會(huì)被威脅源利用的脆弱性（缺陷或薄弱環(huán)節(jié)）的列表。 ? 步驟 脆弱性源 ? 步驟 系統(tǒng)
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1