gbt22080信息安全風(fēng)險(xiǎn)評(píng)估管理程序(編輯修改稿)
2024-10-11 07:53 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 壞后可能對(duì)公司造成中等程度的損失 2 低 (B級(jí) ) 不太重要，其安全屬性破壞后可能對(duì)公司造成較低的損失 1 很低 (C級(jí) ) 不重要，其安全屬性破壞后對(duì)公司造成導(dǎo)很小的損失，甚至忽略不計(jì) 威脅識(shí)別 威脅可以通過(guò)威脅主體、資源、動(dòng)機(jī)、途徑等多種屬性來(lái)描述。造成威脅的因素可 以 是人為 因素，也可以是環(huán)境因素， 在本評(píng)估方法中將 根據(jù)其表現(xiàn)形式 進(jìn)行分類，詳見表 3。 威脅作用形式可以是對(duì)信息系統(tǒng)直接或間接的攻擊，在保密性、完整性和可用性等方面造成損害 。 威脅分類 針對(duì)威脅來(lái)源，根據(jù)其表現(xiàn)形式將威脅主要分為以下幾類。表 3為基于表現(xiàn)形式的威脅分類方 法。 表 3 基于表現(xiàn)形式的威脅分類表 種類 描述 威脅子類 軟硬件故障 對(duì)業(yè)務(wù)實(shí)施或系統(tǒng)運(yùn)行產(chǎn)生影響的設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身設(shè)備硬件故障、傳輸設(shè)備故障、存儲(chǔ)媒體故障、系統(tǒng)軟件故障、應(yīng)用 德信誠(chéng) 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 或軟件缺陷等問(wèn)題 軟件故障、數(shù)據(jù)庫(kù)軟件故障、開發(fā)環(huán)境故障等 物理環(huán)境影響 對(duì)信息系統(tǒng)正常運(yùn)行造成影響的物理環(huán)境問(wèn)題和自然災(zāi)害 斷電、靜電、灰塵、 潮濕、溫度、鼠蟻蟲害、 電磁干擾 、 洪災(zāi)、火災(zāi)、地震等 無(wú)作為或操作失誤 應(yīng)該執(zhí)行而沒有執(zhí)行相應(yīng)的操作，或無(wú)意執(zhí)行了錯(cuò)誤的操作 維護(hù)錯(cuò)誤、操作失誤等 管理不到位 安全 管理無(wú)法落實(shí) 或 不到位 ，從而破壞信息系統(tǒng)正常有序運(yùn)行 管理制度和策略不完善、管理規(guī)程缺失、職責(zé)不明 確、監(jiān)督控管機(jī)制不健全等 惡意代碼 故意在計(jì)算機(jī)系統(tǒng)上執(zhí)行惡意任務(wù)的程序代碼 病毒、特洛伊木馬、蠕蟲、陷門、間諜軟件、竊聽軟件等 越權(quán)或?yàn)E用 通過(guò)采用一些措施，超越自己的權(quán)限訪問(wèn)了本來(lái)無(wú)權(quán)訪問(wèn)的資源，或者濫用自己的權(quán)限，做出破壞信息系統(tǒng)的行為 非授權(quán)訪問(wèn)網(wǎng)絡(luò)資源、非授權(quán)訪問(wèn)系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權(quán)限泄露秘密信息等 網(wǎng)絡(luò)攻擊 利用工具和技術(shù)通過(guò)網(wǎng)絡(luò)對(duì)信息系統(tǒng)進(jìn)行攻擊和入侵 網(wǎng)絡(luò)探測(cè)和 信息采集、漏洞探測(cè)、嗅探（帳號(hào)、口令、權(quán)限等）、用戶身份偽造和欺騙、用戶或業(yè)務(wù)數(shù)據(jù)的竊取和破壞、系統(tǒng)運(yùn)行的控制和破壞等 物理攻擊 通過(guò)物理的接觸造成對(duì)軟件、硬件、數(shù)據(jù)的破壞 物理接觸、物理破壞、盜竊等 泄密 信息泄露給不應(yīng)了解的他人 內(nèi)部信息泄露、外部信息泄露等 篡改 非法修改信息，破壞信息的完整性使系統(tǒng)的安全性降低或信息不可用 篡改網(wǎng)絡(luò)配置信息、篡改系統(tǒng)配置信息、篡改安全配置信息、篡改用戶身份信息或業(yè)務(wù)數(shù)據(jù)信息等 抵賴 不承認(rèn)收到的信息 和 所作的操作和交易 原發(fā)抵賴、接收抵賴、第三方抵賴等 威脅賦值 判斷 威脅 出現(xiàn) 的 頻率 是 威脅賦值 的重要 內(nèi)容 ，評(píng)估者應(yīng)根據(jù)經(jīng)驗(yàn)和（或）有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來(lái) 進(jìn)行 判斷。 在評(píng)估中，需要綜合考慮以下三個(gè)方面，形成各種威脅出現(xiàn)的頻率： 以往安全事件報(bào)告中出現(xiàn)過(guò)的威脅及其頻率的統(tǒng)計(jì)； 實(shí)際環(huán)境中通過(guò)檢測(cè)工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計(jì)； 德信誠(chéng) 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 近一兩年來(lái)國(guó)際組織發(fā)布的對(duì)于整個(gè)社會(huì)或特定行業(yè)的威脅及其頻率統(tǒng)計(jì)，以及發(fā)布的威脅預(yù)警。 對(duì)威脅出現(xiàn)的頻率進(jìn)行等級(jí)化處理，不同等級(jí)分別代表威脅出現(xiàn)的頻率的高低。等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高。表 4是 威脅出現(xiàn)頻率的賦值方法。 表 4 威脅賦值表 等級(jí)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1