信息安全風(fēng)險(xiǎn)評(píng)估方案(編輯修改稿)
2025-06-05 23:05 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 臺(tái)主機(jī)的攻擊。l 來(lái)自本地系統(tǒng)的內(nèi)部威脅 指直接對(duì)主機(jī)的非法行為，如侵襲者通過(guò)磁盤拷貝、電子郵件等盜竊主機(jī)上的機(jī)密數(shù)據(jù)。在分析了威脅發(fā)生的途徑后，就需要驗(yàn)證可能發(fā)生的威脅在系統(tǒng)上是否存在在這些方面的薄弱環(huán)節(jié)，有可能使惡意行為通過(guò)這些方法得逞。對(duì)系統(tǒng)的脆弱性評(píng)估應(yīng)從以下三個(gè)角度進(jìn)行：l 系統(tǒng)角度：采用系統(tǒng)分析工具對(duì)選定系統(tǒng)的分析；l 內(nèi)網(wǎng)角度：采用漏洞掃描工具從內(nèi)部網(wǎng)絡(luò)進(jìn)行掃描，采用滲透性測(cè)試，模擬已進(jìn)入內(nèi)網(wǎng)的非法行為進(jìn)行安全性測(cè)試；l 外網(wǎng)角度：從外部對(duì)系統(tǒng)進(jìn)行掃描及滲透性測(cè)試，如從Internet發(fā)起測(cè)試。風(fēng)險(xiǎn)事故造成的損失大小要從三個(gè)方面來(lái)衡量：損失性質(zhì)、損失范圍和損失時(shí)間分布。損失性質(zhì)指損失是屬于公司品牌性質(zhì)的、經(jīng)濟(jì)性的還是技術(shù)性的。損失范圍包括：嚴(yán)重程度、分布情況。時(shí)間分布指損失的時(shí)間范圍，即遭受損失后可以在多長(zhǎng)的時(shí)間內(nèi)恢復(fù)回來(lái)。對(duì)于損失的嚴(yán)重程度，可以采用定量評(píng)估的方式進(jìn)行財(cái)產(chǎn)估價(jià)，針對(duì)業(yè)務(wù)系統(tǒng)的財(cái)產(chǎn)估價(jià)，主要通過(guò)估算每日平均交易額、分部開戶數(shù)、分部平均開戶金額等幾個(gè)方面估價(jià)。上述工作是對(duì)各部分威脅逐一分析，而在風(fēng)險(xiǎn)評(píng)價(jià)階段主要考慮單個(gè)風(fēng)險(xiǎn)綜合起來(lái)的效果，及風(fēng)險(xiǎn)是否能被用戶接受。主要工作分三步：i. 確定風(fēng)險(xiǎn)評(píng)價(jià)基準(zhǔn)。指用戶對(duì)每一種風(fēng)險(xiǎn)后果的可接受水平，單個(gè)風(fēng)險(xiǎn)和整體風(fēng)險(xiǎn)都要確定評(píng)價(jià)基準(zhǔn)。ii. 確定整體風(fēng)險(xiǎn)水平，它是綜合了所有個(gè)別風(fēng)險(xiǎn)后確定的。iii. 將單個(gè)風(fēng)險(xiǎn)與單個(gè)評(píng)價(jià)基準(zhǔn)、整體風(fēng)險(xiǎn)水平與整體評(píng)價(jià)基準(zhǔn)對(duì)比，確定風(fēng)險(xiǎn)是否在可接受范圍內(nèi)，進(jìn)而確定下一步應(yīng)該進(jìn)行的工作。由于威脅的程度很難用具體數(shù)字來(lái)表示，而為了盡可能明晰風(fēng)險(xiǎn)程度，我們采用下述風(fēng)險(xiǎn)評(píng)級(jí)的方式進(jìn)行標(biāo)識(shí)：風(fēng)險(xiǎn)評(píng)級(jí)風(fēng)險(xiǎn)級(jí)別說(shuō) 明極高5極有可能出問(wèn)題很高4很有可能出問(wèn)題高3有可能出問(wèn)題一般2不會(huì)出大問(wèn)題低1基本不會(huì)出問(wèn)題對(duì)于發(fā)現(xiàn)的風(fēng)險(xiǎn)，一般有三種策略去處理它，具體選擇哪一種取決于面臨的風(fēng)險(xiǎn)形勢(shì)：216。 接受風(fēng)險(xiǎn)評(píng)估后用戶認(rèn)為風(fēng)險(xiǎn)事件造成的損失在可容忍的范圍之內(nèi)，可以把風(fēng)險(xiǎn)事件的不利后果接受下來(lái)?；蛴辛己玫慕M織管理及應(yīng)急計(jì)劃管理，當(dāng)風(fēng)險(xiǎn)事件發(fā)生時(shí)可以馬上執(zhí)行應(yīng)急計(jì)劃。216。 降低風(fēng)險(xiǎn)降低風(fēng)險(xiǎn)發(fā)生的可能性或減少后果造成的不利影響，具體要達(dá)到的目標(biāo)及采用的措施要根據(jù)上述分析結(jié)果中發(fā)現(xiàn)的問(wèn)題及用戶的期望來(lái)定。216。 轉(zhuǎn)移風(fēng)險(xiǎn)即外包的方式，借用合同或協(xié)議，在風(fēng)險(xiǎn)事故發(fā)生時(shí)將損失一部分轉(zhuǎn)移到第三方，一般在用戶資源有限，不能實(shí)行降低風(fēng)險(xiǎn)策略時(shí)采用。 第四章 網(wǎng)絡(luò)安全策略安全策略是整體安全策略應(yīng)包含三個(gè)層面：人、技術(shù)和行動(dòng)。 培訓(xùn)針對(duì)具體崗位的知識(shí)需求開展基于角色的網(wǎng)絡(luò)安全知識(shí)與技能培訓(xùn)。培訓(xùn)的投資回報(bào)比極高（=211:1）。（=return on investment，數(shù)據(jù)來(lái)源于2001年CSI會(huì)議論文） 意識(shí)培養(yǎng)培養(yǎng)全體工作人員以及用戶的安全意識(shí)與自我保護(hù)水平（=872:1）。 人事安全定義工作崗位、合理分配資源，減少內(nèi)部攻擊事件發(fā)生的可能性。 物理安全物理安全較早便已引起了人們的關(guān)注，但實(shí)踐表明，信息時(shí)代，物理安全恰恰是信息系統(tǒng)安全中最容易被忽視然而卻會(huì)造成巨大損失的環(huán)節(jié)。 安全管理要加強(qiáng)網(wǎng)絡(luò)和信息安全管理，包括規(guī)章制度和操作流程的制定、相關(guān)法律法規(guī)的普及以及安全組織結(jié)構(gòu)的建立?！凹夹g(shù)”相關(guān)的安全策略 網(wǎng)絡(luò)可用性的保護(hù)在信息安全的三大屬性（保密性、完整性、可用性）中，安全需求主要體現(xiàn)為可用性需求。因此，在“技術(shù)”的層面上，首先要保證網(wǎng)絡(luò)可用。 接入保護(hù)接入訪問(wèn)用戶是網(wǎng)絡(luò)一個(gè)重要的業(yè)務(wù)，保障接入的安全性也是網(wǎng)絡(luò)安全工作的重點(diǎn)。 行業(yè)標(biāo)準(zhǔn)的遵循行業(yè)標(biāo)準(zhǔn)作為技術(shù)性法規(guī)，是網(wǎng)絡(luò)安全日常操作和工程實(shí)施的依據(jù)，作為生產(chǎn)任務(wù)重、執(zhí)行上級(jí)頒布的政府部門來(lái)說(shuō)，更好地理解行業(yè)標(biāo)準(zhǔn)，并準(zhǔn)確而有效地遵循，是非常重要的。 系統(tǒng)采購(gòu)系統(tǒng)采購(gòu)對(duì)安全工作的成敗影響很大，在許多方面直接影響安全工作。 認(rèn)證與授權(quán)認(rèn)證與授權(quán)是實(shí)現(xiàn)網(wǎng)絡(luò)行為可信、有序的基礎(chǔ)，也是網(wǎng)絡(luò)安全的前提。因此，除要在用戶接入時(shí)實(shí)施認(rèn)證技術(shù)外，還應(yīng)注意內(nèi)部工作人員行為的授權(quán)以及與外界交流活動(dòng)中的認(rèn)證和授權(quán)?！靶袆?dòng)”相關(guān)的策略 防護(hù)應(yīng)根據(jù)資產(chǎn)風(fēng)險(xiǎn)級(jí)別進(jìn)行等級(jí)防護(hù)，并確定安全策略的執(zhí)行次序，有效地進(jìn)行投資。 監(jiān)控加強(qiáng)安全監(jiān)控，提高風(fēng)險(xiǎn)管理能力，掌握網(wǎng)絡(luò)狀態(tài)，將安全事故控制在初期或一定規(guī)模之下。 響應(yīng)和恢復(fù)逐步建立完善的應(yīng)急響應(yīng)體系，將安全事故的損失減小到最小。在安全建設(shè)的初期，可以將大部分專業(yè)安全服務(wù)外包，但應(yīng)逐步形成自己的應(yīng)急響應(yīng)力量。 第五章 縱深防御體系安全不論攻擊和防守總體來(lái)說(shuō)都是過(guò)程。安全的成功與否關(guān)鍵在于我門對(duì)過(guò)程的把握。在這個(gè)過(guò)程中我們的防御層數(shù)越多，對(duì)網(wǎng)絡(luò)資源進(jìn)行未授權(quán)訪問(wèn)的難度就越大。這一戰(zhàn)略通過(guò)提供冗余防御層來(lái)確保安全性，在某一層 或者在某些情況下多個(gè)層 被攻破時(shí)，冗余的防御層能夠?qū)Y源進(jìn)行保護(hù)。邊界：我們保護(hù)的系統(tǒng)和外界接口部分。在我們防護(hù)的范圍的邊界，是整個(gè)防護(hù)過(guò)程的開始。也是我們要防護(hù)的第一個(gè)塹壕。如何把守這個(gè)塹壕，分為以下幾個(gè)重點(diǎn)：從可能接觸到系統(tǒng)的幾個(gè)途徑來(lái)分析。（router，firewall）關(guān)注對(duì)流入和流出一個(gè)邊界的數(shù)據(jù)進(jìn)行有效的控制和監(jiān)視。邊界保護(hù)主要體現(xiàn)在對(duì)路由交換設(shè)備的保護(hù)以及防火墻系統(tǒng)的設(shè)置。在邊界保護(hù)中主要采用的技術(shù)可以通過(guò)路由器和交換機(jī)上的各種策略配置實(shí)現(xiàn)，對(duì)于路由器可以采用關(guān)閉各種不必要的服務(wù)和增加ACL的方式，對(duì)交換機(jī)采用配置虛擬局域網(wǎng)的方式。如果考慮對(duì)邊界點(diǎn)的深入防范的能力，還需要采用防火墻和入侵監(jiān)測(cè)的輔助設(shè)備。接入邊界設(shè)備的途徑：身份認(rèn)證。信息點(diǎn)的安全。應(yīng)用是搭建在平臺(tái)上的，因此平臺(tái)是我門要
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1