信息安全風(fēng)險(xiǎn)管理程序(編輯修改稿)
2025-05-14 07:05 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 一個(gè)或多個(gè)資產(chǎn)弱點(diǎn)的總稱。脆弱性是資產(chǎn)本身存在的，如果沒(méi)有相應(yīng)的威脅發(fā)生，單純的脆弱性本身不會(huì)對(duì)資產(chǎn)造成損害。而且如果系統(tǒng)足夠強(qiáng)健，再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失。即，威脅總是要利用資產(chǎn)的脆弱性才可能造成危害。216。 資產(chǎn)的脆弱性具有隱蔽性，有些脆弱性只有在一定條件和環(huán)境下才能顯現(xiàn)，這是脆弱性識(shí)別中最為困難的部分。需要注意的是，不正確的、起不到應(yīng)有作用的或沒(méi)有正確實(shí)施的安全措施本身就可能是一個(gè)脆弱性。216。 脆弱性識(shí)別將針對(duì)每一項(xiàng)需要保護(hù)的資產(chǎn)，找出可能被威脅利用的脆弱性，并對(duì)脆弱性的嚴(yán)重程度進(jìn)行評(píng)估。脆弱性識(shí)別時(shí)的數(shù)據(jù)應(yīng)來(lái)自于資產(chǎn)的所有者、使用者，以及相關(guān)業(yè)務(wù)領(lǐng)域的專家和軟硬件方面的專業(yè)人員。216。 脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行，技術(shù)脆弱性涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個(gè)層面的安全問(wèn)題。管理脆弱性又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān)。常見(jiàn)脆弱性序號(hào)類別薄弱點(diǎn)威脅1. 環(huán)境和基礎(chǔ)設(shè)施建筑物/門(mén)以及窗戶缺少物理保護(hù)例如,可能會(huì)被偷竊這一威脅所利用● 對(duì)建筑物\房間物理進(jìn)入控制不充分,或松懈可能會(huì)被故意損害這一威脅所利用● 電網(wǎng)不穩(wěn)定可能會(huì)被功率波動(dòng)這一威脅所利用● 所處位置容易受到洪水襲擊可能會(huì)被洪水這一威脅所利用2. 硬件缺少定期替換計(jì)劃可能會(huì)被存儲(chǔ)媒體退化這一威脅所利用● 容易受到電壓不穩(wěn)定的侵?jǐn)_可能會(huì)被功率波動(dòng)這一威脅所利用● 容易受到溫度變化的侵?jǐn)_可能會(huì)溫度的極端變化這一威脅所利用● 容易受到濕度、灰塵和污染的侵?jǐn)_可能會(huì)被灰塵這一威脅所利用● 對(duì)電磁輻射的敏感性可能會(huì)被電磁輻射這一威脅所利用● 不充分的維護(hù)/存儲(chǔ)媒體的錯(cuò)誤安裝可能會(huì)被維護(hù)失誤這一威脅所利用● 缺少有效的配置變化控制可能會(huì)被操作職員失誤這一威脅所利用3. 軟件開(kāi)發(fā)人員的說(shuō)明不清楚或不完整可能會(huì)被軟件故障這一威脅所利用● 沒(méi)有軟件測(cè)試或軟件測(cè)試不充分可能會(huì)被未經(jīng)授權(quán)許可的用戶使用軟件這一威脅所利用● 復(fù)雜的用戶界面可能會(huì)被操作職員失誤這一威脅所利用● 缺少識(shí)別和鑒定機(jī)制，如：用戶鑒定可能會(huì)被冒充用戶身份這一威脅所利用● 缺少審核跟蹤可能會(huì)被以未經(jīng)授權(quán)許可的方式使用軟件這一威脅所利用● 軟件中存在眾所周知的缺陷可能會(huì)被軟件未經(jīng)許可的用戶使用軟件這一威脅所利用● 口令表沒(méi)有受到保護(hù)可能會(huì)被冒充用戶身份這一威脅所利用● 口令管理較差（很容易被猜測(cè)，公開(kāi)地存儲(chǔ)口令，不經(jīng)常更改）可能會(huì)被冒充用戶身份這一威脅所利用● 訪問(wèn)權(quán)的錯(cuò)誤分派可能會(huì)被以未經(jīng)許可的方式使用軟件這一威脅所利用● 對(duì)下載和使用軟件不進(jìn)行控制可能會(huì)被惡意軟件這一威脅所利用● 離開(kāi)工作站沒(méi)有注銷(xiāo)用戶可能會(huì)被未經(jīng)許可的用戶使用軟件這一威脅所利用● 缺少有效的變化控制可能會(huì)被軟件故障這一威脅所利用● 缺少文件編制可能會(huì)被操作職員的失誤這一威脅所利用● 缺少備份可能會(huì)被惡意軟件或火災(zāi)這一威脅所利用● 沒(méi)有適當(dāng)?shù)牟脸鴮?duì)存儲(chǔ)媒體進(jìn)行處理或重新使用可能會(huì)被未經(jīng)許可的用戶使用軟件這一威脅所利用4. 通訊通訊線路沒(méi)有保護(hù)可能會(huì)被偷聽(tīng)這一威脅所利用● 電纜連接差可能會(huì)被通訊滲透這一威脅所利用● 對(duì)發(fā)件人和收件人缺少識(shí)別和鑒定可能會(huì)被冒充用戶身份這一威脅所利用● 公開(kāi)傳送口令可能會(huì)被未經(jīng)許可的用戶接入網(wǎng)絡(luò)這一威脅所利用● 收發(fā)信息缺少驗(yàn)證可能會(huì)被否認(rèn)這一威脅所利用● 撥號(hào)線路可能會(huì)被未經(jīng)許可的用戶接入網(wǎng)絡(luò)這一威脅所利用● 對(duì)敏感性通信不進(jìn)行保護(hù)可能會(huì)被偷聽(tīng)這一威脅所利用● 網(wǎng)絡(luò)管理不充分（路由的彈性）可能會(huì)被通信量超載這一威脅所利用● 公共網(wǎng)絡(luò)連接沒(méi)有保護(hù)可能會(huì)被未經(jīng)許可的用戶使用軟件這一威脅所利用5. 文件存儲(chǔ)沒(méi)有保護(hù)可能會(huì)被偷竊這一威脅所利用● 進(jìn)行處理時(shí)缺少關(guān)注可能會(huì)被偷竊這一威脅所利用●
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1