gbt22080信息安全風險評估管理程序(編輯修改稿)
2024-10-11 07:53 本頁面
【文章內(nèi)容簡介】 壞后可能對公司造成中等程度的損失 2 低 (B級 ) 不太重要，其安全屬性破壞后可能對公司造成較低的損失 1 很低 (C級 ) 不重要，其安全屬性破壞后對公司造成導很小的損失，甚至忽略不計 威脅識別 威脅可以通過威脅主體、資源、動機、途徑等多種屬性來描述。造成威脅的因素可 以 是人為 因素，也可以是環(huán)境因素， 在本評估方法中將 根據(jù)其表現(xiàn)形式 進行分類，詳見表 3。 威脅作用形式可以是對信息系統(tǒng)直接或間接的攻擊，在保密性、完整性和可用性等方面造成損害 。 威脅分類 針對威脅來源，根據(jù)其表現(xiàn)形式將威脅主要分為以下幾類。表 3為基于表現(xiàn)形式的威脅分類方 法。 表 3 基于表現(xiàn)形式的威脅分類表 種類 描述 威脅子類 軟硬件故障 對業(yè)務實施或系統(tǒng)運行產(chǎn)生影響的設備硬件故障、通訊鏈路中斷、系統(tǒng)本身設備硬件故障、傳輸設備故障、存儲媒體故障、系統(tǒng)軟件故障、應用 德信誠 培訓網(wǎng) 更多免費資料下載請進： 好好學習社區(qū) 或軟件缺陷等問題 軟件故障、數(shù)據(jù)庫軟件故障、開發(fā)環(huán)境故障等 物理環(huán)境影響 對信息系統(tǒng)正常運行造成影響的物理環(huán)境問題和自然災害 斷電、靜電、灰塵、 潮濕、溫度、鼠蟻蟲害、 電磁干擾 、 洪災、火災、地震等 無作為或操作失誤 應該執(zhí)行而沒有執(zhí)行相應的操作，或無意執(zhí)行了錯誤的操作 維護錯誤、操作失誤等 管理不到位 安全 管理無法落實 或 不到位 ，從而破壞信息系統(tǒng)正常有序運行 管理制度和策略不完善、管理規(guī)程缺失、職責不明 確、監(jiān)督控管機制不健全等 惡意代碼 故意在計算機系統(tǒng)上執(zhí)行惡意任務的程序代碼 病毒、特洛伊木馬、蠕蟲、陷門、間諜軟件、竊聽軟件等 越權(quán)或濫用 通過采用一些措施，超越自己的權(quán)限訪問了本來無權(quán)訪問的資源，或者濫用自己的權(quán)限，做出破壞信息系統(tǒng)的行為 非授權(quán)訪問網(wǎng)絡資源、非授權(quán)訪問系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權(quán)限泄露秘密信息等 網(wǎng)絡攻擊 利用工具和技術(shù)通過網(wǎng)絡對信息系統(tǒng)進行攻擊和入侵 網(wǎng)絡探測和 信息采集、漏洞探測、嗅探（帳號、口令、權(quán)限等）、用戶身份偽造和欺騙、用戶或業(yè)務數(shù)據(jù)的竊取和破壞、系統(tǒng)運行的控制和破壞等 物理攻擊 通過物理的接觸造成對軟件、硬件、數(shù)據(jù)的破壞 物理接觸、物理破壞、盜竊等 泄密 信息泄露給不應了解的他人 內(nèi)部信息泄露、外部信息泄露等 篡改 非法修改信息，破壞信息的完整性使系統(tǒng)的安全性降低或信息不可用 篡改網(wǎng)絡配置信息、篡改系統(tǒng)配置信息、篡改安全配置信息、篡改用戶身份信息或業(yè)務數(shù)據(jù)信息等 抵賴 不承認收到的信息 和 所作的操作和交易 原發(fā)抵賴、接收抵賴、第三方抵賴等 威脅賦值 判斷 威脅 出現(xiàn) 的 頻率 是 威脅賦值 的重要 內(nèi)容 ，評估者應根據(jù)經(jīng)驗和（或）有關(guān)的統(tǒng)計數(shù)據(jù)來 進行 判斷。 在評估中，需要綜合考慮以下三個方面，形成各種威脅出現(xiàn)的頻率： 以往安全事件報告中出現(xiàn)過的威脅及其頻率的統(tǒng)計； 實際環(huán)境中通過檢測工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計； 德信誠 培訓網(wǎng) 更多免費資料下載請進： 好好學習社區(qū) 近一兩年來國際組織發(fā)布的對于整個社會或特定行業(yè)的威脅及其頻率統(tǒng)計，以及發(fā)布的威脅預警。 對威脅出現(xiàn)的頻率進行等級化處理，不同等級分別代表威脅出現(xiàn)的頻率的高低。等級數(shù)值越大，威脅出現(xiàn)的頻率越高。表 4是 威脅出現(xiàn)頻率的賦值方法。 表 4 威脅賦值表 等級
公司管理相關(guān)推薦
鄂ICP備17016276號-1