某信息安全技術(shù)公司風(fēng)險(xiǎn)評(píng)估概述(編輯修改稿)
2025-02-12 17:07 本頁面
【文章內(nèi)容簡介】 等，企業(yè)意識(shí)到自身存在的信息安全風(fēng)險(xiǎn)，開始采取一些措施提升信息安全水平 ? 改進(jìn)階段 ? 意識(shí)到局部的、單一的信息安全控制措施難以明顯改善企業(yè)信息安全狀況，開始進(jìn)行全面的信息安全架構(gòu)設(shè)計(jì)，有計(jì)劃的建設(shè)信息安全保障體系 ? 卓越運(yùn)營階段 ? 信息安全改進(jìn)項(xiàng)目完成后，在擁有較為全面的信息安全控制能力基礎(chǔ)上，建立持續(xù)改進(jìn)的機(jī)制，以應(yīng)對(duì)安全風(fēng)險(xiǎn)的變化，不斷提升安全控制能力 各個(gè)階段的主要工作任務(wù) 成熟度 時(shí)間 盲目自信 階段 認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營 階段 福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布 來源： Gartner Inc. 2023年 1月 30% 50% 15% 5% 基本安全產(chǎn)品部署 主要人員的培訓(xùn)教育 建立 安全團(tuán)隊(duì) 制定安全方針政策 評(píng)估并 了解現(xiàn)狀 各個(gè)階段的主要工作任務(wù) 成熟度 時(shí)間 盲目自信 階段 認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營 階段 福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布 來源： Gartner Inc. 2023年 1月 30% 50% 15% 5% 啟動(dòng)信息安全戰(zhàn)略項(xiàng)目 設(shè)計(jì)信息安全架構(gòu) 建立信息安全流程 完成信息安全改進(jìn)項(xiàng)目 各個(gè)階段的主要工作任務(wù) 成熟度 時(shí)間 盲目自信 階段 認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營 階段 福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布 來源： Gartner Inc. 2023年 1月 30% 50% 15% 5% 信息安全流程的持續(xù)改進(jìn) 追蹤技術(shù)和業(yè)務(wù)的變化 怎么做風(fēng)險(xiǎn)評(píng)估？ —— 可能的攻擊 信息的價(jià)值 可能的損失 風(fēng)險(xiǎn)評(píng)估簡要版 資產(chǎn) 威脅 影響 弱點(diǎn) 控制 可能性 + = 當(dāng)前的危險(xiǎn)級(jí)別 風(fēng)險(xiǎn)分析方法示意圖 損失的量化必須圍繞用戶的核心價(jià)值，用戶的核心業(yè)務(wù)流程 如何量化損失 企 業(yè) 風(fēng) 險(xiǎn) 管 理 （ E R M ）信 用 風(fēng) 險(xiǎn) 市 場 風(fēng) 險(xiǎn) 運(yùn) 營 風(fēng) 險(xiǎn)I T 風(fēng) 險(xiǎn) 項(xiàng) 目 風(fēng) 險(xiǎn) 設(shè) 施 風(fēng) 險(xiǎn) 法 律 風(fēng) 險(xiǎn)安 全業(yè) 務(wù) 連 續(xù) 性項(xiàng) 目等 等運(yùn) 營 風(fēng) 險(xiǎn) 關(guān) 注 ：怎 么 做 ？核 心 風(fēng) 險(xiǎn) 關(guān) 注 ：做 什 么 ？內(nèi) 部 欺 詐外 部 欺 詐產(chǎn) 品交 付客 戶物 理 資 產(chǎn) 的 損 失工 作 場 所 安 全業(yè) 務(wù) 行 為員 工 行 為風(fēng)險(xiǎn)管理趨勢 ? IT安全風(fēng)險(xiǎn)成為企業(yè)運(yùn)營風(fēng)險(xiǎn)中最為重要的一個(gè)組成部分，業(yè)務(wù)連續(xù)性逐漸與安全并行考慮 來源： Gartner 否 是 否 是 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 已有安全措施的確認(rèn) 風(fēng)險(xiǎn)計(jì)算 風(fēng) 險(xiǎn) 是 否接受 保持已有的控制措施 施施施 選擇適當(dāng)?shù)目刂拼胧┎⒃u(píng)估殘余風(fēng)險(xiǎn) 實(shí)施風(fēng)險(xiǎn)管理 脆弱性識(shí)別 威脅識(shí)別 資產(chǎn)識(shí)別 是否接受殘余風(fēng)險(xiǎn) 風(fēng)險(xiǎn)識(shí)別 評(píng)估過程文檔 評(píng)估過程文檔 風(fēng)險(xiǎn)評(píng)估結(jié)果記錄 評(píng)估結(jié)果文檔 ………………… 等級(jí)保護(hù)下風(fēng)險(xiǎn)評(píng)估實(shí)施框架 保護(hù)對(duì)象劃分和定級(jí) 網(wǎng)絡(luò)系統(tǒng)劃分和定級(jí) 資產(chǎn) 脆弱性 威脅 風(fēng)險(xiǎn)分析 基本安全要求 等級(jí)保護(hù)管理辦法、指南 信息安全政策、標(biāo)準(zhǔn)、法律法規(guī) 安全需求 風(fēng)險(xiǎn)列表 安全規(guī)劃 風(fēng)險(xiǎn)評(píng)估 42 風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過程 計(jì)劃 準(zhǔn)備 實(shí)施 報(bào)告 跟蹤 43 評(píng)估工作各角色的責(zé)任 評(píng)估組長 評(píng)估員 電網(wǎng)公司安全專責(zé) ?負(fù)責(zé)管理問卷訪談和運(yùn)維問卷訪談； ?組織評(píng)估活動(dòng)，控制協(xié)調(diào)進(jìn)度，保證按計(jì)劃完成評(píng)估任務(wù)； ?組織召開評(píng)估會(huì)議； ?代表評(píng)估小組與受評(píng)估方管理層接觸； ?組織撰寫風(fēng)險(xiǎn)評(píng)估報(bào)告、現(xiàn)狀報(bào)告和安全改進(jìn)建議 ?提交評(píng)估報(bào)告。 ? 負(fù)責(zé)風(fēng)險(xiǎn)評(píng)估技術(shù)部分的內(nèi)容包括：網(wǎng)絡(luò)、主機(jī)系統(tǒng)、應(yīng)用和數(shù)據(jù)庫評(píng)估 ? 熟悉必要的文件和程序； ?準(zhǔn)備風(fēng)險(xiǎn)評(píng)估技術(shù)評(píng)估工具； ? 撰寫每單位的評(píng)估報(bào)告； ? 配合支持評(píng)估組長的工作，有效完成評(píng)估任務(wù)； ?收存和保護(hù)與評(píng)估有關(guān)的文件。 ? 負(fù)責(zé)配合顧問提供風(fēng)險(xiǎn)評(píng)估相關(guān)的工作環(huán)境、評(píng)估實(shí)現(xiàn)條件； ?備份系統(tǒng)數(shù)據(jù) 。 ?配合評(píng)估顧問完成資產(chǎn)分類、賦值、弱點(diǎn)威脅發(fā)現(xiàn)和賦值、風(fēng)險(xiǎn)處理意見等工作； ?掌握風(fēng)險(xiǎn)評(píng)估方法； ?收存和保護(hù)與評(píng)估有關(guān)的文件。 ?完成掃描后 ,檢查風(fēng)險(xiǎn)評(píng)估后系統(tǒng)的安全性和穩(wěn)定性 44 風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過程 計(jì)劃 準(zhǔn)備 實(shí)施
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1