信息安全管理講義ppt課件(編輯修改稿)
2025-02-08 13:35 本頁面
【文章內(nèi)容簡介】 威脅發(fā)生造成的后果或潛在影響 信息安全風(fēng)險識別與評估 威脅一旦發(fā)生會造成信息 保密性、完整性和可用性 等安全屬性的損失，從而給組織造成不同程度的影響，嚴(yán)重的威脅發(fā)生會導(dǎo)致 諸如信息系統(tǒng)崩潰、業(yè)務(wù)流程中斷、財產(chǎn)損失 等重大安全事故。不同的威脅對同一資產(chǎn)或組織所產(chǎn)生的影響不同，導(dǎo)致的價值損失也不同，但 損失的程度應(yīng)以資產(chǎn)的相對價值（或重要程度）為限 。 資 產(chǎn) 評 估威 脅 評 估準(zhǔn) 備 和 計 劃脆 弱 性 評 估評 估 已 有 安 全控 制 措 施影 響 可 能 性評 價 風(fēng) 險安 全 措 施 建 議匯 報 及 驗(yàn) 收準(zhǔn) 備 階 段識 別 階 段分 析 階 段驗(yàn) 收 階 段? 脆弱性識別與評估 僅有威脅還構(gòu)不成風(fēng)險 。 由于組織缺乏充分的安全控制 ， 組織需要保護(hù)的信息資產(chǎn)或系統(tǒng)存在著可能被威脅所利用的弱點(diǎn) ， 即 脆弱性 。 威脅只有利用了特定的脆弱性或者弱點(diǎn) ， 才可能對資產(chǎn)造成影響 。 信息安全風(fēng)險識別與評估 ? 脆弱性識別與評估 ?脆弱性是資產(chǎn) 本身存在 的 ， 威脅總是要利用資產(chǎn)的脆弱性才能造成危害 。 ?資產(chǎn)的脆弱性具有 隱蔽性 ， 有些脆弱性只有在一定條件和環(huán)境下才能顯現(xiàn) 。 ?脆弱性識別可以 資產(chǎn) 為核心 ， 即根據(jù)每個資產(chǎn) 分別識別 其存在的弱點(diǎn) ， 然后綜合評價該資產(chǎn)的脆弱性；也可分物理 、 網(wǎng)絡(luò) 、 系統(tǒng) 、 應(yīng)用等 層次 進(jìn)行識別 。 信息安全風(fēng)險識別與評估 ? 脆弱性識別與評估 信息安全風(fēng)險識別與評估 系統(tǒng)、程序和設(shè)備中存在的漏洞或缺陷，如結(jié)構(gòu)設(shè)計問題和編程漏洞等 技術(shù)脆弱性 1 2 操作脆弱性 管理脆弱性 3 軟件和系統(tǒng)在配置、操作及使用中的缺陷，包括人員日常工作中的不良習(xí)慣、審計或備份的缺乏等 策略、程序和規(guī)章制度等方面的弱點(diǎn)。 脆弱性的分類 信息安全風(fēng)險識別與評估 ? 脆弱性識別與評估 評估脆弱性需要考慮的因素 ?脆弱性的嚴(yán)重程度（ Severity）； ?脆弱性的暴露程度（ Exposure），即被威脅利用的可能性 P， 這兩個因素可采用分級賦值的方法。 例如對于脆弱性被威脅利用的可能性可以分級為： 非常可能 = 4，很可能 = 3，可能 = 2，不太可能 = 1，不可能 = 0。 資 產(chǎn) 評 估威 脅 評 估準(zhǔn) 備 和 計 劃脆 弱 性 評 估評 估 已 有 安 全控 制 措 施影 響 可 能 性評 價 風(fēng) 險推 薦 對 策匯 報 及 驗(yàn) 收準(zhǔn) 備 階 段識 別 階 段分 析 階 段驗(yàn) 收 階 段 信息安全風(fēng)險識別與評估 ?確認(rèn)現(xiàn)有安全控制 在影響威脅事件發(fā)生的外部條件中 ， 除了資產(chǎn)的弱點(diǎn) ， 再就是組織現(xiàn)有的安全控制措施 。 在風(fēng)險評估過程中 ， 應(yīng)當(dāng)識別已有的 （ 或已計劃的 ） 安全控制措施 ， 分析安全控制措施的效力 ，有效的安全控制繼續(xù) 保持 ， 而對于那些不適當(dāng)?shù)目刂茟?yīng)當(dāng)核查是否應(yīng)被 取消 ， 或者用更合適的控制 代替 。 信息安全風(fēng)險識別與評估 ? 確認(rèn)現(xiàn)有安全控制 對系統(tǒng)開發(fā)、維護(hù)和使用實(shí)施管理的措施，包括
試題試卷相關(guān)推薦
鄂ICP備17016276號-1