【文章內(nèi)容簡介】 .............否否是是風(fēng) 險 分 析風(fēng) 險 評 估 文 件 記 錄風(fēng)險評估實施流程圖 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）確定風(fēng)險評估的目標(biāo)； 2）確定風(fēng)險評估的范圍； 3）組建適當(dāng)?shù)脑u估管理與實施團隊； 4）進(jìn)行系統(tǒng)調(diào)研； 5）確定評估依據(jù)和方法 ； 6）獲得最高管理者對風(fēng)險評估工作的支持。 風(fēng)險評估的準(zhǔn)備階段的工作任務(wù) 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）資產(chǎn)分類 2）資產(chǎn)賦值 3）資產(chǎn)等級 資產(chǎn)識別階段的工作任務(wù) 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 分類 示例 數(shù)據(jù) 存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、數(shù)據(jù)庫數(shù)據(jù)、系統(tǒng)文檔、運行管 理規(guī)程、計劃、報告、用戶手冊等 軟件 系統(tǒng)軟件： 操作系統(tǒng)、語句包、工具軟件、各種庫等 應(yīng)用軟件： 外部購買的應(yīng)用軟件，外包開發(fā)的應(yīng)用軟件等 源程序： 各種共享源代碼、可執(zhí)行程序、自行或合作開發(fā)的各種程序等 硬件 網(wǎng)絡(luò)設(shè)備： 路由器、網(wǎng)關(guān)、交換機等 計算機設(shè)備： 大型機、小型機、服務(wù)器、工作站、臺式計算機、移動計算機等 存儲設(shè)備： 磁帶機、磁盤陣列等 移動存儲設(shè)備：磁帶、光盤、軟盤、 U盤、移動硬盤等 傳輸線路： 光纖、雙絞線等 保障設(shè)備： 動力保障設(shè)備（ UPS、變電設(shè)備等）、空調(diào)、 保險柜、文件柜、 門禁、消防設(shè)施等 安全設(shè)備：防火墻、入侵檢測系統(tǒng)、身份驗證等 其他電子設(shè)備：打印機、復(fù)印機、掃描儀、傳真機等 服務(wù) 辦公服務(wù)： 為提高效率而開發(fā)的管理信息系統(tǒng)（ MIS）， 它包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù) 網(wǎng)絡(luò)服務(wù)： 各種網(wǎng)絡(luò)設(shè)備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù) 信息服務(wù)： 對外依賴該系統(tǒng)開展服務(wù)而取得業(yè)務(wù)收入的服務(wù) 文檔 紙質(zhì)的各種文件、傳真、電報、財務(wù)報告、發(fā)展計劃等 人員 掌握重要信息和核心業(yè)務(wù)的人員，如主機維護主管、網(wǎng)絡(luò)維護主管及應(yīng)用項目經(jīng) 理及網(wǎng)絡(luò)研發(fā)人員等 其它 企業(yè)形象，客戶關(guān)系等 資產(chǎn)分類示例 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 資產(chǎn)賦值主要考慮資產(chǎn)的安全狀況對于系統(tǒng)或組織的重要性，對資產(chǎn)在機密性、完整性和可用性上的達(dá)成程度進(jìn)行綜合評定得出。綜合評定方法可以根據(jù)業(yè)務(wù)特點，選擇對資產(chǎn)三性最為重要的一個屬性的賦值等級作為資產(chǎn)的最終賦值結(jié)果，也可以進(jìn)行加權(quán)計算而得到資產(chǎn)的最終賦值。 如何進(jìn)行資產(chǎn)賦值 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 如何進(jìn)行資產(chǎn)等級 等級 標(biāo)識 定義 5 很高 非常重要，其安全屬性被破壞后可能對組織造成非常嚴(yán)重的損失 4 高 重要，其安全屬性被破壞后可能對組織造成比較嚴(yán)重的損失 3 中等 比較重要，其安全屬性被破壞后可能對組織造成中等程度的損失 2 低 不太重要，其安全屬性被破壞后可能對組織造成較低的損失 1 很低 不重要，其安全屬性被破壞后對組織造成非常低的損失，甚至忽略不計 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）威脅來源 2）威脅分類 3）威脅賦值 4）威脅等級 威脅識別階段的工作任務(wù) 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 來源 描述 環(huán)境因素 由于斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災(zāi)、火災(zāi)、地震等環(huán)境條件和自然災(zāi)害；意外事故或由于軟件、硬件、數(shù)據(jù)、通訊線路方面的故障 人為因素 惡意人員 不滿的或有預(yù)謀的內(nèi)部人員對信息系統(tǒng)進(jìn)行惡意破壞；采用自主的或內(nèi)外勾結(jié)的方式盜竊機密信息或進(jìn)行篡改，獲取利益 外部人員利用信息系統(tǒng)的脆弱性，對網(wǎng)絡(luò)和系統(tǒng)的機密性、完整性和可用性進(jìn)行破壞，以獲取利益或炫耀能力 無惡意人員 內(nèi)部人員由于缺乏責(zé)任心，或者由于不關(guān)心和不專注，或者沒有遵循規(guī)章制度和操作流程而導(dǎo)致故障或被攻擊；內(nèi)部人員由于缺乏培訓(xùn)，專業(yè)技能不足 ,不具備崗位技能要求而導(dǎo)致信息系統(tǒng)故障或被攻擊 威脅來源 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 種類 描述 軟硬件故障 由于設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件 Bug導(dǎo)致對業(yè)務(wù)高效穩(wěn)定運行的影響 物理環(huán)境威脅 斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災(zāi)、火災(zāi)、地震等環(huán)境問題和 自然災(zāi)害 無作為或操作失誤 由于應(yīng)該執(zhí)行而沒有執(zhí)行相應(yīng)的操作，或無意地執(zhí)行了錯誤的操作，對系統(tǒng)造成影響 管理不到位 安全管理無法落實，不到位，造成安全管理不規(guī)范，或者管理混亂，從而破壞信息系統(tǒng)正 常有序運行 惡意代碼和病毒 具有自我復(fù)制、自我傳播能力，對信息系統(tǒng)構(gòu)成破壞的程序代碼 越權(quán)或濫用 通過采用一些措施，超越自己的權(quán)限訪問了本來無權(quán)訪問的資源；或者濫用自己的職權(quán)， 做出破壞信息系統(tǒng)的行為 黑客攻擊技術(shù) 利用黑客工具和技術(shù)，例如偵察、密碼猜測攻擊、緩沖區(qū)溢出攻擊、安裝后門、嗅探、偽 造和欺騙、拒絕服務(wù)攻擊等手段對信息系統(tǒng)進(jìn)行攻擊和入侵 物理攻擊 物理接觸、物理破壞、盜竊 泄密 機密泄漏，機密信息泄漏給他人 篡改 非法修改信息，破壞信息的完整性 抵賴 不承認(rèn)收到的信息和所作的操作和交易 威脅分類（示例） 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 判斷威脅出現(xiàn)的頻率是威脅賦值的重要內(nèi)容，評估者應(yīng)根據(jù)經(jīng)驗和（或）有關(guān)的統(tǒng)計數(shù)據(jù)來進(jìn)行判斷。 威脅賦值 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 威脅發(fā)生可能性 等級 標(biāo)識 定義 5 很高 威脅出現(xiàn)的頻率很高，在大多數(shù)情況下幾乎不可避免或者可以證實經(jīng)常發(fā)生過 4 高 威脅出現(xiàn)的頻率較高，在大多數(shù)情況下很有可能會發(fā)生或者可以證實多次發(fā)生過 3 中等 威脅出現(xiàn)的頻率中等，在某種情況下可能會發(fā)生或被證實曾經(jīng)發(fā)生過 2 低 威脅出現(xiàn)的頻率較低，一般不太可能發(fā)生，也沒有被證實發(fā)生過 1 很低 威脅幾乎不可能發(fā)生，僅可能在非常罕見和例外的情況下發(fā)生 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 1）脆弱性識別內(nèi)容 2）脆弱性分類 3）脆弱性賦值 4）脆弱性等級 脆弱性識別階段的主要任務(wù) 中國移動技術(shù)創(chuàng)新引擎 內(nèi)部資料 注意保密 脆弱性識別主要從技術(shù)和管理兩個方面進(jìn)行，技術(shù)脆弱性涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個層面的安全問題。管理脆弱性又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動相關(guān)，后者與管理環(huán)境相關(guān)。 脆弱性主要識別內(nèi)容 中國移