【文章內容簡介】 資產的價值有資產的所有者和相關用戶來確定。 ? 在對資產賦值時，一方面要考慮 資產的購買成本 ，另一方面也要考慮當這種資產的機密性、完整性、可用性受到損害時，對業(yè)務運營的負面影響程度 。 安全風險評估和管理 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 資產確定及估價 ? 在信息安全管理中對資產賦值時，一般并不采用資產的賬面價值，比較實用的做法是以 定性分級的方式 建立資產的相對價值，以相對價值來作為確定重要資產的依據和為這種資產的保護投入多少資源的依據。 ? 定性分級表 參考： 分級類型 定性分級程度 相對較粗的分級 低、中、高 詳細分級 可忽略、低、中、高、非常高 更詳細的分級 （低） 0、 …… 10（高） 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 資產確定及估價 ? 在確定資產的機密性、完整性、可用性受到損害，對業(yè)務運營的負面影響程度時，可以參考以下因素： ? 違反法令、法規(guī)； ? 對業(yè)務績效的影響； ? 對組織聲譽和形象的損害； ? 對個人信息的侵害； ? 對個人安全的威脅； ? 對法律實施的負面影響； ? 對業(yè)務機密性的破壞； ? 對公共秩序的破壞； ? 資金損失； ? 業(yè)務活動中斷； ? 對環(huán)境安全的破壞； 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 資產確定及估價 ? 組織可以 制定符合自己需要的資產評估價值級別 ； ? 價值級別的選擇應該與企業(yè)選擇的價值標準一致 ； ? 一般來說，組織應該按照實際需要和使用的價值標準，考慮使用一個能 綜合滿足定量和定性要求 的方式。 ? 組織還要 決定什么樣的損害程度為 “ 低 ” ，什么樣的損害程度為 “ 高 ” 。 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 威脅評估 ? 與威脅有關的信息可從安全管理人員和業(yè)務流程處收集。 ? 人力資源部的員工、設備計劃與管理人員、信息技術專家、組織中對安全負責的人員 ? 一項資產可能面臨多個威脅，同樣一個威脅可能對不同資產造成影響。 ? 威脅來源可與安全控制規(guī)范中定義的領域相對照來識別確定 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 威脅評估 ? 威脅來源：參見 ISO/IEC13335第三部分 《 信息安全管理方針 》 中列出的威脅來源 維護錯誤 惡意軟件 用戶身份偽裝 消息路徑錯誤或重定向 濫用資源 非授權人員訪問 運行支持人員的錯誤 電力波動 軟件故障 否定服務 人員短缺 盜竊 流量分析 流量過載 傳輸錯誤 以非授權方式使用軟件 存儲介質的非授權使用 非授權使用網絡設施 硬件 …… 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 威脅評估 ? 組織識別出 威脅的原因、威脅的目標 以后，有必要評估 威脅發(fā)生的可能性 。 ? 威脅的原因（誰造成了威脅？） ? 威脅的目標（威脅會影響組織信息系統(tǒng)的什么要素？） 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 威脅評估 ? 需要考慮的因素： ? 威脅發(fā)生的頻度 —— 根據經驗和統(tǒng)計規(guī)律，估計出威脅多長時間發(fā)生一次 ? 有預謀的威脅 —— 研究攻擊者的動機，需具備的能力、所需的資源、組織資產吸引力的大小和脆弱性的程度 ? 意外事故產生的威脅 —— 研究地理因素，如是否靠近石油化工企業(yè)、是否處于極端天氣頻發(fā)地帶、環(huán)境因素是否容易引發(fā)人為錯誤和設備故障等等。 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 脆弱性評估 ? 脆弱性評估是指 在評審范圍內，確定以下各資產的弱點 ： ? 物理環(huán)境； ? 人員管理、業(yè)務管理、行政管理過程與控制 ? 硬件、軟件和通訊設施； ? 這些方面的脆弱性很容易被威脅利用，從而造成對資產和業(yè)務的損害。 ? 脆弱性分級： ? 高度可能，很可能，可能，不太可能，不可能 ? 與每一種威脅相關的脆弱性都應該評估出來 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 脆弱性評估 ? 脆弱性及其可能利用該脆弱性的威脅示例： 脆弱性 威脅 脆弱性 威脅 員工缺編 人員短缺 外部人員的行動沒有受到監(jiān)督 盜竊 不完備的安全培訓 運行支持人員錯誤 缺乏安全意識 用戶錯誤 軟件文檔不完全 運行支持人員錯誤 缺乏監(jiān)控機制 非授權使用軟件 缺乏正確使用媒介與通訊信息的政策 以非授權的形式使用網絡設施 不完備的招聘程序 蓄意破壞 存儲介質缺乏維護或錯誤安裝 維護錯誤 過于復雜的用戶界面 運行支持人員錯誤 缺乏審計軌跡 非授權使用軟件 缺乏身份驗證機制 用戶身份偽裝 未退出工作站離開 非授權使用軟件 未對軟件充分測試 非授權使用軟件 口令管理不善 用戶身份偽裝 規(guī)格說明書不完整 軟件故障 不受控制的下載 惡意病毒 訪問權限未正確分配 非授權使用軟件 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 現有的安全控制 ? 應用現有的安全控制措施，可以減少重復工作，降低安全控制成本。 ? 在應用現有控制之前，一定要檢查這些控制措施是否有效，根據檢查的結果來決定保留、去除或是替換。 ? 通過風險評估過程確定的控制措施要與現有控制兼容，以免在實施過程中出現沖突。（如銀行卡掛失要求與掛失安排） 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 風險分析技術 ? 風險分析：就是要 對風險的辨識，估計和評價做出全面的，綜合的分析 ，其主要組成為： ? （ 1）風險的辨識，也就是那里有風險，后果如何，參數變化？ ? （ 2）風險評估，也就是概率大小及分布，后果大?。? ? 進行風險分析必須考慮以下幾個方面的要素 ? 業(yè)務過程面臨的威脅和易受攻擊性 ? 對業(yè)務過程的影響 ? 威脅發(fā)生的可能性 ? 業(yè)務過程風險的類型 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 風險管理目標 ? 接受風險 ：不做任何事情，不引入控制措施 ? 避免風險 ：通過放棄某一業(yè)務活動或主動從風險區(qū)域撤離來規(guī)避風險。 ? 轉移風險 ：在無法規(guī)避風險，減少風險成本很困難或成本很高時，將風險轉移給第三方，如保險、外包。 ? 降低風險 ：通過選擇控制目標與控制措施來降低評估確定的風險。 ? 減少威脅 ? 降低脆弱性 ? 降低負面影響 ? 檢測意外事件恢復 ? 從意外事件中 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 ? 風險分析矩陣 完整性 保密性 可用性 無意識的行為 （錯誤和遺漏） 重要或不重要 保密或不保密 必要或不必要 有意識的行為 （欺騙和濫用） 重要或不重要 保密或不保密 必要或不必要 數據破壞或修改 數據泄露 對數據的非法接近、使用 安全風險評估和管理 《 會計信息系統(tǒng) 》 復旦大學出版社 2022年版 上海財經大學會計學院饒艷超 安全風險評估和管理 ? 控制矩陣 控制計劃建議 業(yè)務過程的控制目標 信息過程的控制目標 操作有效性 操作效率 資源安全 匯款通知 單輸入 應收賬款 主數據 合理合法收取款項 子目標 2 XX筆收款 /天 款項安全入帳 輸入有效 輸入完整 輸入準確 更新完整 更新 準確 當前的