風(fēng)險(xiǎn)評(píng)估實(shí)施步驟(編輯修改稿)
2024-08-25 17:12 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 法、評(píng)估結(jié)果的形式和實(shí)施進(jìn)度等；（2）風(fēng)險(xiǎn)評(píng)估程序：明確評(píng)估的目的、職責(zé)、過(guò)程、相關(guān)的文件要求，并且準(zhǔn)備實(shí)施評(píng)估需要的文檔；（3）資產(chǎn)識(shí)別清單：根據(jù)組織在風(fēng)險(xiǎn)評(píng)估程序文件中所確定的資產(chǎn)分類方法進(jìn)行資產(chǎn)識(shí)別，形成資產(chǎn)識(shí)別清單，清單中應(yīng)明確各資產(chǎn)的責(zé)任人/部門(mén)；（4）重要資產(chǎn)清單：根據(jù)資產(chǎn)識(shí)別和賦值的結(jié)果，形成重要資產(chǎn)列表，包括重要資產(chǎn)名稱、描述、類型、重要程度、責(zé)任人/部門(mén)等； （5）威脅列表：根據(jù)威脅識(shí)別和賦值的結(jié)果，形成威脅列表，包括威脅名稱、種類、來(lái)源、動(dòng)機(jī)及出現(xiàn)的頻率等；（6）脆弱性列表：根據(jù)脆弱性識(shí)別和賦值的結(jié)果，形成脆弱性列表，包括脆弱性名稱、描述、類型及嚴(yán)重程度等； （7）已有安全措施確認(rèn)表：根據(jù)已采取的安全措施確認(rèn)的結(jié)果，形成已有安全措施確認(rèn)表，包括已有安全措施名稱、類型、功能描述及實(shí)施效果等；（8）風(fēng)險(xiǎn)評(píng)估報(bào)告：對(duì)整個(gè)風(fēng)險(xiǎn)評(píng)估過(guò)程和結(jié)果進(jìn)行總結(jié)，詳細(xì)說(shuō)明被評(píng)估對(duì)象，風(fēng)險(xiǎn)評(píng)估方法，資產(chǎn)、威脅、脆弱性的識(shí)別結(jié)果，風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)統(tǒng)計(jì)和結(jié)論等內(nèi)容；（9）風(fēng)險(xiǎn)處理計(jì)劃：對(duì)評(píng)估結(jié)果中不可接受的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處理計(jì)劃，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施，明確責(zé)任、進(jìn)度、資源，并通過(guò)對(duì)殘余風(fēng)險(xiǎn)的評(píng)價(jià)確保所選擇安全措施的有效性；（10）風(fēng)險(xiǎn)評(píng)估記錄：根據(jù)組織的風(fēng)險(xiǎn)評(píng)估程序文件，記錄對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)評(píng)估過(guò)程。評(píng)估內(nèi)容重要服務(wù)器的安全配置 登錄安全檢測(cè)；用戶及口令安全檢測(cè)；共享資源安全檢測(cè)；系統(tǒng)服務(wù)安全檢測(cè)；系統(tǒng)安全補(bǔ)丁檢測(cè)；日志記錄審計(jì)檢測(cè)；木馬檢測(cè)。安全設(shè)備 包括防火墻、入侵檢測(cè)系統(tǒng)、網(wǎng)閘、防病毒、桌面管理、審計(jì)、加密機(jī)、身份鑒別等；查看安全設(shè)備的部署情況。查看安全設(shè)備的配置策略；查看安全的日志記錄；通過(guò)漏洞掃描系統(tǒng)對(duì)安全進(jìn)行掃描。通過(guò)滲透性測(cè)試檢安全配置的有效性。路由器 檢查操作系統(tǒng)是否存在安全漏洞；配置方面，檢測(cè)端口開(kāi)放、管理員口令設(shè)置與管理、口令文件安全存儲(chǔ)形式、訪問(wèn)控制表；是否能對(duì)配置文件進(jìn)行備份和導(dǎo)出；關(guān)鍵位置路由器是否有冗余配置。物理環(huán)境 包括 UPS、變電設(shè)備、空調(diào)、門(mén)禁等。交換機(jī) 檢查安全漏洞和補(bǔ)丁的升級(jí)情況，各VLAN間的訪問(wèn)控制策略；口令設(shè)置和管理，口令文件的安全存儲(chǔ)形式；配置文件的備份。風(fēng)險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)評(píng)估流程包括系統(tǒng)調(diào)研、資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別（包括現(xiàn)有控制措施確認(rèn)）、風(fēng)險(xiǎn)綜合分析以及風(fēng)險(xiǎn)控制計(jì)劃六個(gè)階段。否是否是風(fēng)險(xiǎn)評(píng)估準(zhǔn)備已有安全措施的確認(rèn)風(fēng)險(xiǎn)計(jì)算風(fēng)險(xiǎn)是否接受保持已有的安全措施施施施選擇適當(dāng)?shù)陌踩胧┎⒃u(píng)估殘余風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)管理脆弱性識(shí)別威脅識(shí)別資產(chǎn)識(shí)別是否接受殘余風(fēng)險(xiǎn) 風(fēng)險(xiǎn)分析評(píng)估過(guò)程文檔評(píng)估過(guò)程文檔風(fēng)險(xiǎn)評(píng)估文件記錄評(píng)估結(jié)果文檔…………………系統(tǒng)調(diào)研是
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號(hào)-1