【文章內(nèi)容簡(jiǎn)介】 2人工分析根據(jù)專家經(jīng)驗(yàn)，從已知的數(shù)據(jù)中進(jìn)行分析3IDS通過(guò)入侵監(jiān)測(cè)系統(tǒng)在一段時(shí)間內(nèi)監(jiān)視網(wǎng)絡(luò)上的安全事件來(lái)獲得數(shù)據(jù)4滲透測(cè)試通過(guò)滲透測(cè)試方法來(lái)測(cè)試弱點(diǎn)，證實(shí)威脅5安全策略文檔分析安全策略文檔分析6安全審計(jì)依照IS017799,通過(guò)一套審計(jì)問(wèn)題列表問(wèn)答的方式來(lái)分析弱點(diǎn)7事件記錄對(duì)已有歷史安全事件記錄進(jìn)行分析 威脅評(píng)估手段歷史事件審計(jì)網(wǎng)絡(luò)威脅評(píng)估系統(tǒng)威脅評(píng)估業(yè)務(wù)威脅評(píng)估 威脅評(píng)估實(shí)例某資產(chǎn)（服務(wù)類(lèi)）面臨攻擊和訪問(wèn)類(lèi)威脅；同時(shí)存在遠(yuǎn)程緩沖區(qū)溢出弱點(diǎn)，該弱點(diǎn)可以導(dǎo)致遠(yuǎn)程攻擊者直接獲得服務(wù)所在宿主機(jī)的超級(jí)用戶權(quán)限；該弱點(diǎn)的利用程序（Exploit）于互聯(lián)網(wǎng)上面發(fā)表已經(jīng)多個(gè)星期，幾乎可以認(rèn)為所有攻擊者都可以得到該利用程序；該攻擊利用程序運(yùn)行簡(jiǎn)單，可以認(rèn)為大多數(shù)攻擊者都可以成功地執(zhí)行該利用程序；該資產(chǎn)當(dāng)前的安全控制中，沒(méi)有對(duì)該弱點(diǎn)的保護(hù)；所以可以認(rèn)為該資產(chǎn)面臨的威脅的影響為VH（資產(chǎn)全部損失）、可能性為H（非常有可能）。整體上，資產(chǎn)處于高度威脅之中。 影響與可能性分析風(fēng)險(xiǎn)也存在兩個(gè)屬性：后果（Consequence）和可能性（Likelihood）。最終風(fēng)險(xiǎn)對(duì)企業(yè)的影響，也就是對(duì)風(fēng)險(xiǎn)的評(píng)估賦值是對(duì)上述兩個(gè)屬性權(quán)衡作用的結(jié)果。不同的資產(chǎn)面臨的主要威脅各不相同。而隨著威脅可以利用的、資產(chǎn)存在的弱點(diǎn)數(shù)量的增加會(huì)增加風(fēng)險(xiǎn)的可能性，隨著弱點(diǎn)類(lèi)別的提高會(huì)增加該資產(chǎn)面臨風(fēng)險(xiǎn)的后果。在許多情況下，某資產(chǎn)風(fēng)險(xiǎn)的可能性是面臨的威脅的可能性和資產(chǎn)存在的脆弱性的函數(shù)，而風(fēng)險(xiǎn)的后果是資產(chǎn)的價(jià)值和威脅的影響的函數(shù)。目前采用的算式如下：風(fēng)險(xiǎn)值 = 資產(chǎn)價(jià)值 威脅影響 威脅可能性 資產(chǎn)弱點(diǎn)等級(jí)從資產(chǎn)面臨的若干個(gè)子風(fēng)險(xiǎn)中，評(píng)估者從自己的經(jīng)驗(yàn)出發(fā)得出該資產(chǎn)面臨的整體風(fēng)險(xiǎn)。 系統(tǒng)分析 系統(tǒng)結(jié)構(gòu)及邊界網(wǎng)絡(luò)結(jié)構(gòu)分析是風(fēng)險(xiǎn)評(píng)估中對(duì)業(yè)務(wù)系統(tǒng)安全性進(jìn)行全面了解的基礎(chǔ)，一個(gè)業(yè)務(wù)系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)是整個(gè)業(yè)務(wù)系統(tǒng)的承載基礎(chǔ)，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)結(jié)構(gòu)存在的安全性、網(wǎng)絡(luò)負(fù)載問(wèn)題，網(wǎng)絡(luò)設(shè)備存在的安全性，抗攻擊的問(wèn)題是整個(gè)業(yè)務(wù)系統(tǒng)評(píng)估的重要環(huán)節(jié)。對(duì)評(píng)估對(duì)象的物理網(wǎng)絡(luò)結(jié)構(gòu)，邏輯網(wǎng)絡(luò)結(jié)構(gòu)及網(wǎng)絡(luò)的關(guān)鍵設(shè)備進(jìn)行評(píng)估(基本信息包括網(wǎng)絡(luò)帶寬、協(xié)議、硬件、Internet接入、地理分布方式和網(wǎng)絡(luò)管理)，發(fā)現(xiàn)存在的安全性，合理性，使用效率等方面的問(wèn)題。結(jié)合業(yè)務(wù)體系、系統(tǒng)體系等結(jié)構(gòu)的檢查邏輯網(wǎng)絡(luò)，由什么物理網(wǎng)絡(luò)組成以及網(wǎng)絡(luò)的關(guān)鍵設(shè)備的位置所在對(duì)于保持網(wǎng)絡(luò)的安全是非常重要的。另外，鑒定關(guān)鍵網(wǎng)絡(luò)拓?fù)?，?duì)于成功地實(shí)施基于網(wǎng)絡(luò)的風(fēng)險(xiǎn)管理方案是很關(guān)鍵的。網(wǎng)絡(luò)結(jié)構(gòu)分析能夠做到：216。 改善網(wǎng)絡(luò)性能和利用率,使之滿足業(yè)務(wù)系統(tǒng)需要216。 提供有關(guān)擴(kuò)充網(wǎng)絡(luò)、增加IT投資和提高網(wǎng)絡(luò)穩(wěn)定性的信息216。 幫助用戶降低風(fēng)險(xiǎn),改善網(wǎng)絡(luò)運(yùn)行效率,提高網(wǎng)絡(luò)的穩(wěn)定性216。 確保網(wǎng)絡(luò)系統(tǒng)的安全運(yùn)行216。 對(duì)網(wǎng)絡(luò)環(huán)境、性能、故障和配置進(jìn)行檢查 信息的敏感度評(píng)估信息是一種重要的無(wú)形資產(chǎn)，它與有形資產(chǎn)一起構(gòu)成資產(chǎn)的全體。對(duì)于信息資產(chǎn)的保護(hù)首先需要進(jìn)行分級(jí)處理，即按信息的敏感度來(lái)劃分。因此，信息的敏感度評(píng)估可以大致劃分為如下步驟：[1]. 調(diào)查是否對(duì)數(shù)據(jù)根據(jù)其敏感程度進(jìn)行了必要的分級(jí)[2]. 分級(jí)是否合理[3]. 不同敏感程度的數(shù)據(jù)是否得到了適當(dāng)?shù)谋Ｗo(hù)[4]. 是否定義了數(shù)據(jù)泄漏或破壞的事后處理措施 調(diào)查問(wèn)卷的結(jié)構(gòu)調(diào)查問(wèn)卷包括三部分：封面目錄，問(wèn)題和注釋。調(diào)查系統(tǒng)可以從描述被評(píng)估的主要應(yīng)用程序和通用支持系統(tǒng)或一組相互關(guān)聯(lián)的系統(tǒng)開(kāi)始。 調(diào)查系統(tǒng)控制所有完成的調(diào)查問(wèn)卷都應(yīng)該根據(jù)機(jī)構(gòu)政策決定的敏感性程度來(lái)評(píng)論，處理和控制。要注意到的是，包含在完成調(diào)查問(wèn)卷中的信息能很容易描述一個(gè)系統(tǒng)或是一組系統(tǒng)容易受到攻擊的地方。 系統(tǒng)確認(rèn)調(diào)查問(wèn)卷的封面是由被評(píng)估系統(tǒng)的名稱和主題開(kāi)始的。如NIST特別出版物80018中所提到的，每一個(gè)主要應(yīng)用程序或普遍支持系統(tǒng)都應(yīng)該被安排一個(gè)唯一的名稱/標(biāo)志符。 為每一個(gè)系統(tǒng)安排唯一的標(biāo)志符確立和系統(tǒng)相適應(yīng)的安全需要，還有助于分配的資源能夠被充分的利用。在很多情況下，主要應(yīng)用程序和一般支持系統(tǒng)包括互相關(guān)聯(lián)的系統(tǒng)?；ハ嚓P(guān)聯(lián)的系統(tǒng)都應(yīng)該被列出來(lái)。一旦評(píng)估完成，就應(yīng)該做一個(gè)關(guān)于邊界控制是否起作用的判定，并且把它記錄在封皮目錄中。邊界控制是評(píng)估的一部分，如果邊界控制不合適，對(duì)于相互關(guān)聯(lián)系統(tǒng)的評(píng)估也會(huì)不合適。在系統(tǒng)名稱和題目下面的橫線上需要評(píng)估員寫(xiě)上系統(tǒng)類(lèi)型，（普遍支持還是主要應(yīng)用）。如果一個(gè)政府機(jī)構(gòu)有新增設(shè)的系統(tǒng)樣式或是系統(tǒng)類(lèi)型，也就是說(shuō)決定性目標(biāo)或者非決定性目標(biāo)。表單需要重新指定來(lái)包含它們。 目的和評(píng)估者信息評(píng)估的目的和對(duì)象應(yīng)該是確定的。例如，評(píng)估進(jìn)行了很多細(xì)節(jié)檢查要得到一個(gè)高級(jí)別的系統(tǒng)安全指示或是為了完善行動(dòng)計(jì)劃增強(qiáng)系統(tǒng)的徹底性和可信度。名字，題目和從事評(píng)估的機(jī)構(gòu)也要被列出來(lái)，機(jī)構(gòu)應(yīng)該重新制定相應(yīng)的替代頁(yè)。評(píng)估開(kāi)始和完成時(shí)候的數(shù)據(jù)也要列出來(lái)。完成評(píng)估所需要的時(shí)間是可變的。完成評(píng)估所需要的資源和時(shí)間取決于系統(tǒng)的大小和復(fù)雜程度，系統(tǒng)和用戶數(shù)據(jù)的親和性，以及評(píng)估員可以利用多少信息進(jìn)行評(píng)估。例如，一個(gè)系統(tǒng)進(jìn)行了廣泛的測(cè)試，認(rèn)證，和證據(jù)資源的自我評(píng)估，在以后的評(píng)估中就可以很容易把他作為主線使用和服務(wù)。如果一個(gè)系統(tǒng)只經(jīng)過(guò)有限的測(cè)試和只有很好的證據(jù)資源，完成調(diào)查系統(tǒng)則需要更長(zhǎng)的時(shí)間。 信息的決定性由程序員和系統(tǒng)所有者決定的信息的敏感級(jí)別應(yīng)該在調(diào)查表單中的表格形成文件。如果一個(gè)機(jī)構(gòu)設(shè)計(jì)了它們自己的判定系統(tǒng)的決定性或是敏感性的方法，就要用機(jī)構(gòu)的決定性或是敏感性的類(lèi)型代替表格。文件敏感性的程度是建立在支持高風(fēng)險(xiǎn)操作系統(tǒng)要比支持低風(fēng)險(xiǎn)操作系統(tǒng)有更多嚴(yán)格控制的基礎(chǔ)上的。 利用問(wèn)卷調(diào)查結(jié)果 調(diào)查問(wèn)卷分析完成評(píng)估的人員也可以處理對(duì)完成的調(diào)查問(wèn)卷的分析工作。和系統(tǒng)很類(lèi)似，支持文件，評(píng)估結(jié)果，和評(píng)估者下一步要做的也是一個(gè)總結(jié)了調(diào)查結(jié)果的分析。一個(gè)集中的機(jī)構(gòu)，比如說(shuō)，一個(gè)政府機(jī)構(gòu)信息系統(tǒng)安全程序辦公室也可以處理對(duì)存在的支持文件的分析工作。分析結(jié)果將寫(xiě)在行動(dòng)計(jì)劃中，而且為了反映每一個(gè)控制對(duì)象和手法的決策，也應(yīng)該創(chuàng)建或是更新系統(tǒng)安全計(jì)劃。 行動(dòng)計(jì)劃一個(gè)決定性因素是如何被應(yīng)用的，也就是說(shuō)，具體步驟的記錄，設(shè)備的安裝調(diào)試和員工的培訓(xùn)都應(yīng)該被納入到行動(dòng)計(jì)劃的檔案管理中。行動(dòng)計(jì)劃必須包括計(jì)劃數(shù)據(jù)，資源分配，和補(bǔ)充的復(fù)查以保證修改后的行動(dòng)能起作用。在找出系統(tǒng)弱點(diǎn)的行動(dòng)計(jì)劃的狀況盒子員需要等方面，還需要遵循以前管理員的經(jīng)驗(yàn)。 綜合風(fēng)險(xiǎn)分析從風(fēng)險(xiǎn)的定義可以看出，風(fēng)險(xiǎn)評(píng)估的策略是首先選定某項(xiàng)資產(chǎn)、評(píng)估資產(chǎn)價(jià)值、挖掘并評(píng)估資產(chǎn)面臨的威脅、挖掘并評(píng)估資產(chǎn)存在的弱點(diǎn)、評(píng)估該資產(chǎn)的風(fēng)險(xiǎn)、進(jìn)而得出整個(gè)評(píng)估目標(biāo)的風(fēng)險(xiǎn)。安全風(fēng)險(xiǎn)評(píng)估需要明確：[5]. 需要保護(hù)的資源[6]. 保護(hù)這些資源免除哪些威脅[7]. 威脅方[8]. 威脅的可能性[9]. 威脅所造成的（直接）損失[10]. 消除威脅所需消耗的資源風(fēng)險(xiǎn)模型如下： 風(fēng)險(xiǎn)分析矩陣可以根據(jù)風(fēng)險(xiǎn)信息和數(shù)據(jù)，對(duì)風(fēng)險(xiǎn)分析予以不同程度的改進(jìn)。視情況而定，風(fēng)險(xiǎn)分析可以是定性分析、半定量分析或定量分析，或者是這些分析的結(jié)合。如果按遞升次序?qū)⑦@些分析的復(fù)雜性和成本加以排列的話，將會(huì)是：定性分析、半定量、定量。實(shí)際上，定性分析往往首先被采用，來(lái)得到風(fēng)險(xiǎn)程度的總的提示。根據(jù)半定量分析方法〖這個(gè)方法從哪來(lái)？〗，來(lái)獲得總體風(fēng)險(xiǎn)程度。采用下面的賦值矩陣來(lái)獲得最終的風(fēng)險(xiǎn)表5. 風(fēng)險(xiǎn)程度和措施數(shù)值符號(hào)含義建議處置、措施備注128256E極度風(fēng)險(xiǎn)要求立即采取措施：避免？轉(zhuǎn)移？減??？需要具體資產(chǎn)信息64127H高風(fēng)險(xiǎn)需要高級(jí)管理部門(mén)的注意：避免？轉(zhuǎn)移？減??？需要具體資產(chǎn)信息463M中等風(fēng)險(xiǎn)必須規(guī)定管理責(zé)任：避免？接受？轉(zhuǎn)移？減??？需要具體資產(chǎn)信息03L低風(fēng)險(xiǎn)用日常程序處理：避免？接受？轉(zhuǎn)移？減??？需要具體資產(chǎn)信息 風(fēng)險(xiǎn)評(píng)估層面技術(shù)風(fēng)險(xiǎn)評(píng)估資產(chǎn)風(fēng)險(xiǎn)評(píng)估系統(tǒng)風(fēng)險(xiǎn)評(píng)估業(yè)務(wù)風(fēng)險(xiǎn)評(píng)估管理風(fēng)險(xiǎn)評(píng)估 風(fēng)險(xiǎn)評(píng)估實(shí)例IOS （服務(wù)類(lèi)）經(jīng)過(guò)資產(chǎn)評(píng)估被賦值（：很高價(jià)值）；面臨的威脅之為：未授權(quán)的惡意的路由更新,路由更新欺詐；存在較高等級(jí)弱點(diǎn)（3）：BGP和ISIS沒(méi)有進(jìn)行neighbour authentication；綜合各種因素，威脅可能性被賦值為（2）；威脅的影響被賦值為（3）；按照前述算法可以得出：風(fēng)險(xiǎn)值＝ x x x 3=風(fēng)險(xiǎn)后果= x =風(fēng)險(xiǎn)可能性= x 3=6整體風(fēng)險(xiǎn)最終被賦值：，從前面的風(fēng)險(xiǎn)矩陣可以查得該資產(chǎn)處于高風(fēng)險(xiǎn)之中。建議立即采取措施，進(jìn)行“避免/轉(zhuǎn)移/減小”等風(fēng)險(xiǎn)處置。 ISO 17799十個(gè)域[1]. 安全策略[2]. 安全組織[3]. 資產(chǎn)分類(lèi)和控制[4]. 人員安全[5]. 物理與環(huán)境的安全[6]. 通訊與操作的安全[7]. 訪問(wèn)控制[8]. 系統(tǒng)開(kāi)發(fā)與維護(hù)[9]. 業(yè)務(wù)連續(xù)性管理[10]. 遵循性 可交付的文檔 信息網(wǎng)絡(luò)《遠(yuǎn)程風(fēng)險(xiǎn)評(píng)估報(bào)告》，包括以下內(nèi)容。1)網(wǎng)絡(luò)及系統(tǒng)漏洞統(tǒng)計(jì)歸納分析，按設(shè)備種類(lèi)（網(wǎng)絡(luò)設(shè)備、服務(wù)器、其他主機(jī)）進(jìn)行總結(jié)歸納，并給出圖形化的分析結(jié)果，并按IP地址給出具體的漏洞列表。2)給出詳細(xì)的漏洞信息描述，包含所有已知漏洞的名稱、描述、風(fēng)險(xiǎn)級(jí)別、演變過(guò)程、受影響系統(tǒng)、危害、詳細(xì)的解決辦法和操作步驟等?！侗镜仫L(fēng)險(xiǎn)評(píng)估報(bào)告》，包括以下內(nèi)容：1)資產(chǎn)評(píng)估，至少包含以下資產(chǎn)的評(píng)估：信息資產(chǎn)、物質(zhì)資產(chǎn)、軟件資產(chǎn)、服務(wù)、設(shè)備、人員。2)漏洞評(píng)估，至少包括以下方面的漏洞分析：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管系統(tǒng)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略。3)威脅評(píng)估，至少包括以下方面的威脅分析：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管實(shí)現(xiàn)方式、計(jì)費(fèi)實(shí)現(xiàn)方式、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略。4)風(fēng)險(xiǎn)評(píng)估，說(shuō)明風(fēng)險(xiǎn)計(jì)算方法，至少包括以下方面的風(fēng)險(xiǎn)分析：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管實(shí)現(xiàn)方式、計(jì)費(fèi)實(shí)現(xiàn)方式、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理制度、安全策略?！栋踩呗越ㄗh》：根據(jù)網(wǎng)絡(luò)安全現(xiàn)狀，提供安全策略建議，要求至少包括如下方面的建議：人員組織、安全管理（包括工程建設(shè)期間）、訪問(wèn)控制、網(wǎng)絡(luò)管理、數(shù)據(jù)安全、緊急響應(yīng)。請(qǐng)應(yīng)答方說(shuō)明策略制訂、修改的依據(jù)，供需求方參考?！栋踩鉀Q方案建議》：對(duì)現(xiàn)有網(wǎng)絡(luò)系統(tǒng)提出全面的安全解決方案建議，至少包括如下方面：物理環(huán)境、網(wǎng)絡(luò)結(jié)構(gòu)、網(wǎng)絡(luò)服務(wù)、網(wǎng)管系統(tǒng)、主機(jī)系統(tǒng)、數(shù)據(jù)、應(yīng)用系統(tǒng)、安全系統(tǒng)、安全相關(guān)人員、處理流程、安全管理（包括工程建設(shè)期間）制度、安全策略。要求對(duì)所建議的方案進(jìn)行投資估算，并說(shuō)明所提供方案對(duì)現(xiàn)有網(wǎng)絡(luò)的改動(dòng)情況，對(duì)服務(wù)和性能的影響程度。如需使用安全產(chǎn)品，請(qǐng)描述所需產(chǎn)品的功能和性能要求，但不能限定產(chǎn)品的廠家和型號(hào)。 文檔一覽《資產(chǎn)評(píng)估部分》《漏洞評(píng)估部分》《威脅評(píng)估部分》《風(fēng)險(xiǎn)評(píng)估部分》《安全策略建議部分》《安全解決方案部分》4 風(fēng)險(xiǎn)評(píng)估過(guò)程風(fēng)險(xiǎn)評(píng)估的過(guò)程也是圍繞這三個(gè)方面來(lái)展開(kāi)，經(jīng)歷調(diào)查與分析、數(shù)據(jù)/信息收集與處理、撰寫(xiě)評(píng)估報(bào)告三個(gè)階段。此外，風(fēng)險(xiǎn)評(píng)估通常還包括一個(gè)非常重要的跟進(jìn)過(guò)程，在這個(gè)過(guò)程中根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果給出安全建設(shè)方面的建議并監(jiān)督執(zhí)行。 評(píng)估過(guò)程評(píng)估過(guò)程分為3個(gè)階段共8個(gè)過(guò)程。 階段1：提取基于資產(chǎn)的威脅概況確定高級(jí)管理層的認(rèn)識(shí)(P1)目的：明確企業(yè)高層管理人員對(duì)企業(yè)重要資產(chǎn)的認(rèn)識(shí)，對(duì)資產(chǎn)如何受到威脅的了解，以及資產(chǎn)的安全需求，現(xiàn)在已經(jīng)采取得保護(hù)措施以及和保護(hù)該資產(chǎn)相關(guān)的問(wèn)題。人員：風(fēng)險(xiǎn)評(píng)估小組以及企業(yè)高層管理人員確定運(yùn)作管理層的認(rèn)識(shí)(P2)目的：明確企業(yè)運(yùn)作管理人員對(duì)企業(yè)重要資產(chǎn)的認(rèn)識(shí)，對(duì)資產(chǎn)如何受到威脅的了解，以及資產(chǎn)的安全需求，現(xiàn)在已經(jīng)采取得保護(hù)措施以及和保護(hù)該資產(chǎn)相關(guān)的問(wèn)題。人員：風(fēng)險(xiǎn)評(píng)估小組以及企業(yè)運(yùn)作管理人員確定全體職員的認(rèn)識(shí)(P3)目的：明確企業(yè)職員對(duì)企業(yè)重要資產(chǎn)的認(rèn)識(shí)，對(duì)資產(chǎn)如何受到威脅的了解，以及資產(chǎn)的安全需求，現(xiàn)在已經(jīng)采取得保護(hù)措施以及和保護(hù)該資產(chǎn)相關(guān)的問(wèn)題。人員：風(fēng)險(xiǎn)評(píng)估小組以抽選的企業(yè)職員代表建立威脅輪廓(P4)目的：根據(jù)階段1－3明確企業(yè)的關(guān)鍵資產(chǎn)，描述關(guān)鍵資產(chǎn)的安全需求，標(biāo)識(shí)關(guān)鍵資產(chǎn)面臨的威脅。人員：風(fēng)險(xiǎn)評(píng)估小組 階段2：確定基礎(chǔ)設(shè)施漏洞找出關(guān)鍵組件(P5)目的：識(shí)別和劃分需要評(píng)估的基礎(chǔ)資產(chǎn)的類(lèi)別，并從每個(gè)類(lèi)別中抽樣選擇一個(gè)或多個(gè)基礎(chǔ)資產(chǎn)，然后選用適當(dāng)?shù)姆椒ê陀行У墓ぞ邔?duì)其進(jìn)行脆弱性評(píng)估。人員：風(fēng)險(xiǎn)評(píng)估小組以及企業(yè)核心IT技術(shù)人員。評(píng)估關(guān)鍵組件(P6)目的：識(shí)別技術(shù)上的脆弱性，并對(duì)結(jié)果進(jìn)行總結(jié)和概括。人員：風(fēng)險(xiǎn)評(píng)估小組以及企業(yè)核心IT技術(shù)人員。 階段3：制訂安全策略和計(jì)劃實(shí)施風(fēng)險(xiǎn)分析(P7)目的：定義威脅產(chǎn)生的影響（標(biāo)識(shí)風(fēng)險(xiǎn)），制定評(píng)估標(biāo)準(zhǔn)，對(duì)每個(gè)風(fēng)險(xiǎn)進(jìn)行分級(jí)（高、中、低）。人員：風(fēng)險(xiǎn)評(píng)估小組制訂保護(hù)策略(P8)目的：為企業(yè)制定保護(hù)策略，降低關(guān)鍵資產(chǎn)風(fēng)險(xiǎn)的方案，以及短期內(nèi)的措施清單。人員：風(fēng)險(xiǎn)評(píng)估小組 風(fēng)險(xiǎn)評(píng)估的輸入 各階段的一般過(guò)程 調(diào)查與分析調(diào)查與分析是參與風(fēng)險(xiǎn)評(píng)估的雙方就資產(chǎn)、弱點(diǎn)、威脅達(dá)成一致認(rèn)識(shí)的重要手段。調(diào)查與分析需要花費(fèi)大量的時(shí)間用于確認(rèn)相關(guān)信息，因此，合理利用調(diào)查問(wèn)卷可以事半功倍。 數(shù)據(jù)/信息收集與處理在評(píng)估過(guò)程中，有大量的數(shù)據(jù)需要以合理的結(jié)構(gòu)存儲(chǔ)并利用自動(dòng)化的工具來(lái)處理。安全信息庫(kù)是進(jìn)行數(shù)據(jù)/信息收集與處理的一種非常有效的工具。 撰寫(xiě)評(píng)估報(bào)告在正確地處理各種評(píng)估數(shù)據(jù)的基礎(chǔ)上，根據(jù)統(tǒng)計(jì)與分析的初步結(jié)果，利用風(fēng)險(xiǎn)計(jì)算矩陣計(jì)算各資產(chǎn)的風(fēng)險(xiǎn)值以及整個(gè)系統(tǒng)的綜合風(fēng)險(xiǎn)值。撰寫(xiě)評(píng)估報(bào)告需要在這種定量分析的基礎(chǔ)上找出風(fēng)險(xiǎn)的屬性之間的關(guān)系，陳述綜合分析結(jié)果。 風(fēng)險(xiǎn)控制風(fēng)險(xiǎn)控制的目的是保護(hù)資產(chǎn)，提高企業(yè)的業(yè)務(wù)連續(xù)性和價(jià)值，達(dá)到企業(yè)的安全目標(biāo)和業(yè)務(wù)目標(biāo)。風(fēng)險(xiǎn)控制可能需要付出一定代價(jià)或者增加成本。 風(fēng)險(xiǎn)控制的方式風(fēng)險(xiǎn)控制的方式有如