信息安全管理講義ppt課件(編輯修改稿)
2025-02-08 13:35 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 威脅發(fā)生造成的后果或潛在影響 信息安全風(fēng)險(xiǎn)識(shí)別與評(píng)估 威脅一旦發(fā)生會(huì)造成信息 保密性、完整性和可用性 等安全屬性的損失，從而給組織造成不同程度的影響，嚴(yán)重的威脅發(fā)生會(huì)導(dǎo)致 諸如信息系統(tǒng)崩潰、業(yè)務(wù)流程中斷、財(cái)產(chǎn)損失 等重大安全事故。不同的威脅對(duì)同一資產(chǎn)或組織所產(chǎn)生的影響不同，導(dǎo)致的價(jià)值損失也不同，但 損失的程度應(yīng)以資產(chǎn)的相對(duì)價(jià)值（或重要程度）為限 。 資 產(chǎn) 評(píng) 估威 脅 評(píng) 估準(zhǔn) 備 和 計(jì) 劃脆 弱 性 評(píng) 估評(píng) 估 已 有 安 全控 制 措 施影 響 可 能 性評(píng) 價(jià) 風(fēng) 險(xiǎn)安 全 措 施 建 議匯 報(bào) 及 驗(yàn) 收準(zhǔn) 備 階 段識(shí) 別 階 段分 析 階 段驗(yàn) 收 階 段? 脆弱性識(shí)別與評(píng)估 僅有威脅還構(gòu)不成風(fēng)險(xiǎn) 。 由于組織缺乏充分的安全控制 ， 組織需要保護(hù)的信息資產(chǎn)或系統(tǒng)存在著可能被威脅所利用的弱點(diǎn) ， 即 脆弱性 。 威脅只有利用了特定的脆弱性或者弱點(diǎn) ， 才可能對(duì)資產(chǎn)造成影響 。 信息安全風(fēng)險(xiǎn)識(shí)別與評(píng)估 ? 脆弱性識(shí)別與評(píng)估 ?脆弱性是資產(chǎn) 本身存在 的 ， 威脅總是要利用資產(chǎn)的脆弱性才能造成危害 。 ?資產(chǎn)的脆弱性具有 隱蔽性 ， 有些脆弱性只有在一定條件和環(huán)境下才能顯現(xiàn) 。 ?脆弱性識(shí)別可以 資產(chǎn) 為核心 ， 即根據(jù)每個(gè)資產(chǎn) 分別識(shí)別 其存在的弱點(diǎn) ， 然后綜合評(píng)價(jià)該資產(chǎn)的脆弱性；也可分物理 、 網(wǎng)絡(luò) 、 系統(tǒng) 、 應(yīng)用等 層次 進(jìn)行識(shí)別 。 信息安全風(fēng)險(xiǎn)識(shí)別與評(píng)估 ? 脆弱性識(shí)別與評(píng)估 信息安全風(fēng)險(xiǎn)識(shí)別與評(píng)估 系統(tǒng)、程序和設(shè)備中存在的漏洞或缺陷，如結(jié)構(gòu)設(shè)計(jì)問(wèn)題和編程漏洞等 技術(shù)脆弱性 1 2 操作脆弱性 管理脆弱性 3 軟件和系統(tǒng)在配置、操作及使用中的缺陷，包括人員日常工作中的不良習(xí)慣、審計(jì)或備份的缺乏等 策略、程序和規(guī)章制度等方面的弱點(diǎn)。 脆弱性的分類 信息安全風(fēng)險(xiǎn)識(shí)別與評(píng)估 ? 脆弱性識(shí)別與評(píng)估 評(píng)估脆弱性需要考慮的因素 ?脆弱性的嚴(yán)重程度（ Severity）； ?脆弱性的暴露程度（ Exposure），即被威脅利用的可能性 P， 這兩個(gè)因素可采用分級(jí)賦值的方法。 例如對(duì)于脆弱性被威脅利用的可能性可以分級(jí)為： 非?？赡?= 4，很可能 = 3，可能 = 2，不太可能 = 1，不可能 = 0。 資 產(chǎn) 評(píng) 估威 脅 評(píng) 估準(zhǔn) 備 和 計(jì) 劃脆 弱 性 評(píng) 估評(píng) 估 已 有 安 全控 制 措 施影 響 可 能 性評(píng) 價(jià) 風(fēng) 險(xiǎn)推 薦 對(duì) 策匯 報(bào) 及 驗(yàn) 收準(zhǔn) 備 階 段識(shí) 別 階 段分 析 階 段驗(yàn) 收 階 段 信息安全風(fēng)險(xiǎn)識(shí)別與評(píng)估 ?確認(rèn)現(xiàn)有安全控制 在影響威脅事件發(fā)生的外部條件中 ， 除了資產(chǎn)的弱點(diǎn) ， 再就是組織現(xiàn)有的安全控制措施 。 在風(fēng)險(xiǎn)評(píng)估過(guò)程中 ， 應(yīng)當(dāng)識(shí)別已有的 （ 或已計(jì)劃的 ） 安全控制措施 ， 分析安全控制措施的效力 ，有效的安全控制繼續(xù) 保持 ， 而對(duì)于那些不適當(dāng)?shù)目刂茟?yīng)當(dāng)核查是否應(yīng)被 取消 ， 或者用更合適的控制 代替 。 信息安全風(fēng)險(xiǎn)識(shí)別與評(píng)估 ? 確認(rèn)現(xiàn)有安全控制 對(duì)系統(tǒng)開發(fā)、維護(hù)和使用實(shí)施管理的措施，包括
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1