【文章內(nèi)容簡介】 險(xiǎn)發(fā)生時(shí)會(huì)對(duì)組織產(chǎn)生重大影響的風(fēng)險(xiǎn) 38 購買保險(xiǎn) 服務(wù)外包 規(guī)避風(fēng)險(xiǎn) ?通過不使用面臨風(fēng)險(xiǎn)的資產(chǎn)來避免風(fēng)險(xiǎn)。比如： ? 在沒有足夠安全保障的信息系統(tǒng)中，不處理特別敏感的信息，從而防止敏感信息的泄漏 ? 對(duì)于只處理內(nèi)部業(yè)務(wù)的信息系統(tǒng)，不使用互聯(lián)網(wǎng)，從而避免外部的有害入侵和不良攻擊 ?通常在風(fēng)險(xiǎn)的損失無法接受，又難以通過控制措施減低風(fēng)險(xiǎn)的情況下 39 接受風(fēng)險(xiǎn) ?接受風(fēng)險(xiǎn)是選擇對(duì)風(fēng)險(xiǎn)不采取進(jìn)一步的處理措施，接受風(fēng)險(xiǎn)可能帶來的結(jié)果 ?用于那些在采取了降低風(fēng)險(xiǎn)和避免風(fēng)險(xiǎn)措施后，出于實(shí)際和經(jīng)濟(jì)方面的原因，只要組織進(jìn)行運(yùn)營，就必然存在并必須接受的風(fēng)險(xiǎn) ?接受風(fēng)險(xiǎn)不意味著不聞不問，需要對(duì)風(fēng)險(xiǎn)態(tài)勢(shì)變化進(jìn)行持續(xù)的監(jiān)控，一旦發(fā)展為無法接受的風(fēng)險(xiǎn)就要進(jìn)一步采取措施 40 批準(zhǔn)監(jiān)督 ?批準(zhǔn)：是指機(jī)構(gòu)的決策層依據(jù)風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)處理的結(jié)果是否滿足信息系統(tǒng)的安全要求，做出是否認(rèn)可風(fēng)險(xiǎn)管理活動(dòng)的決定 ?監(jiān)督：是指檢查機(jī)構(gòu)及其信息系統(tǒng)以及信息安全相關(guān)的環(huán)境有無變化，監(jiān)督變化因素是否有可能引入新風(fēng)險(xiǎn) 41 批準(zhǔn)監(jiān)督過程 批 準(zhǔn) 監(jiān) 督批 準(zhǔn)申 請(qǐng)?zhí)峤慌鷾?zhǔn)申請(qǐng)受理批準(zhǔn)申請(qǐng)審閱批準(zhǔn)材料做出批準(zhǔn)決定溝 通 咨 詢批 準(zhǔn)處 理風(fēng) 險(xiǎn)處 理監(jiān) 控 審 查通 過是否檢查是否到期持 續(xù)監(jiān) 督檢查有無變化42 監(jiān)控審查的意義 ? 監(jiān)控與審查可以及時(shí)發(fā)現(xiàn)已經(jīng)出現(xiàn)或即將出現(xiàn)的變化、偏差和延誤等問題，并采取適當(dāng)?shù)拇胧┻M(jìn)行控制和糾正，從而減少因此造成的損失，保證信息安全風(fēng)險(xiǎn)管理主循環(huán)的有效性 43 類似信息系統(tǒng)工程中的監(jiān)理 監(jiān)控審查過程 風(fēng) 險(xiǎn) 處 理風(fēng) 險(xiǎn) 評(píng) 估批 準(zhǔn) 監(jiān) 督背 景 建 立監(jiān)控審查背 景 建 立 的監(jiān) 控 與 審 查 記 錄風(fēng) 險(xiǎn) 評(píng) 估 的監(jiān) 控 與 審 查 記 錄風(fēng) 險(xiǎn) 處 理 的監(jiān) 控 與 審 查 記 錄批 準(zhǔn) 監(jiān) 督 的監(jiān) 控 與 審 查 記 錄44 溝通咨詢 ?通過暢通的交流和充分的溝通，保持行動(dòng)的協(xié)調(diào)和一致；通過有效的培訓(xùn)和方便的咨詢，保證行動(dòng)者具有足夠的知識(shí)和技能，就是溝通咨詢的意義所在 溝通咨詢 ? 與 領(lǐng)導(dǎo) 溝通，以得到理解和批準(zhǔn) ? 單位內(nèi)部各有關(guān)部門相互 溝通，以得到理解和協(xié)作 ? 與 支持單位和系統(tǒng)用戶 溝通，以得到了解和支持 ? 為所有層面的相關(guān)人員提供咨詢和培訓(xùn)等，以提高人員的安全意識(shí)、知識(shí)和技能 45 溝通咨詢過程 風(fēng) 險(xiǎn) 處 理風(fēng) 險(xiǎn) 評(píng) 估批 準(zhǔn) 監(jiān) 督背 景 建 立溝通咨詢背 景 建 立 的溝 通 與 咨 詢 記 錄風(fēng) 險(xiǎn) 評(píng) 估 的溝 通 與 咨 詢 記 錄風(fēng) 險(xiǎn) 處 理 的溝 通 與 咨 詢 記 錄批 準(zhǔn) 監(jiān) 督 的溝 通 與 咨 詢 記 錄46 知識(shí)域：信息安全風(fēng)險(xiǎn)管理主要內(nèi)容 知識(shí)子域： 信息系統(tǒng)使命周期與信息安全風(fēng)險(xiǎn)管理 ?理解信息系統(tǒng)生命周期與信息安全風(fēng)險(xiǎn)管理的關(guān)系 ?理解系統(tǒng)規(guī)劃階段的風(fēng)險(xiǎn)管理工作內(nèi)容 ?理解系統(tǒng)設(shè)計(jì)階段的風(fēng)險(xiǎn)管理工作內(nèi)容 ?理解系統(tǒng)實(shí)施階段的風(fēng)險(xiǎn)管理工作內(nèi)容 ?理解系統(tǒng)運(yùn)行維護(hù)階段的風(fēng)險(xiǎn)管理工作內(nèi)容 ?理解系統(tǒng)廢棄階段的風(fēng)險(xiǎn)管理工作內(nèi)容 47 信息系統(tǒng)生命周期與信息安全風(fēng)險(xiǎn)管理的關(guān)系 ?信息系統(tǒng)生命周期的每個(gè)階段， 有不同的信息安全目標(biāo) ?為了達(dá)到其安全目標(biāo)， 每一階段 都需要相應(yīng)的風(fēng)險(xiǎn)管理手段作為支持 ?信息安全目標(biāo)就是要實(shí)現(xiàn)信息系統(tǒng)的基本安全特性（即信息安全基本屬性），并達(dá)到所需的保障級(jí)別 48 規(guī)劃 設(shè)計(jì) 實(shí)施 運(yùn)維 廢棄 系統(tǒng)規(guī)劃階段的安全目標(biāo) 49 ? 明確信息系統(tǒng)安全建設(shè)的目的 ,對(duì)信息系統(tǒng)安全建設(shè)實(shí)現(xiàn)的可能性進(jìn)行分析論證并設(shè)計(jì)出總體安全規(guī)劃方案 ? 為了保證安全目標(biāo)的實(shí)現(xiàn)，需要對(duì)信息系統(tǒng)規(guī)劃階段中可能引入安全風(fēng)險(xiǎn)的環(huán)節(jié)進(jìn)行風(fēng)險(xiǎn)管理，從而降低在項(xiàng)目后期處理相同安全風(fēng)險(xiǎn)所帶來的高額成本 序號(hào) 風(fēng)險(xiǎn)管理活動(dòng) 風(fēng)險(xiǎn)管理 工作內(nèi)容 1 明確安全總體方針 背景建立 2 安全需求分析 背景建立 4 風(fēng)險(xiǎn)評(píng)估準(zhǔn)則達(dá)成 一致 風(fēng)險(xiǎn)評(píng)估 5 安全實(shí)現(xiàn)論證分析 風(fēng)險(xiǎn)處理、批準(zhǔn)監(jiān)督 系統(tǒng)規(guī)劃階段的信息安全風(fēng)險(xiǎn)管理 50 系統(tǒng)設(shè)計(jì)階段的安全目標(biāo) 51 規(guī)劃 設(shè)計(jì) 實(shí)施 運(yùn)維 廢棄 ? 依據(jù)規(guī)劃階段輸出的總體安全規(guī)劃方案來 設(shè)計(jì)信息系統(tǒng)安全的實(shí)現(xiàn)結(jié)構(gòu) （包括功能劃分、接口協(xié)議和性能指標(biāo)等） 和實(shí)施方案 （包括實(shí)現(xiàn)技術(shù)、設(shè)備選型和系統(tǒng)集成等） ? 在設(shè)計(jì)信息系統(tǒng)的實(shí)現(xiàn)結(jié)構(gòu)和實(shí)施方案時(shí)，在技術(shù)的選擇、配合、管理等眾多的環(huán)節(jié)均容易引入安全風(fēng)險(xiǎn)，因此對(duì)關(guān)鍵的環(huán)節(jié)應(yīng)提出必要的安全要求并有針對(duì)性地進(jìn)行安全風(fēng)險(xiǎn)管理 系統(tǒng)設(shè)計(jì)階段的信息安全風(fēng)險(xiǎn)管理 序號(hào) 風(fēng)險(xiǎn)管理活動(dòng) 風(fēng)險(xiǎn)管理 工作內(nèi)容 1 設(shè)計(jì)方案分析論證 背景建立、風(fēng)險(xiǎn)評(píng)估 2 安全技術(shù)選擇 風(fēng)險(xiǎn)處理 3 安全產(chǎn)品選擇 風(fēng)險(xiǎn)處理 4 自開發(fā)軟件設(shè)計(jì)風(fēng) 險(xiǎn)處理 風(fēng)險(xiǎn)處理 52 系統(tǒng)實(shí)施階段的安全目標(biāo) 53 規(guī)劃 設(shè)計(jì) 實(shí)施 運(yùn)維 廢棄 ?按照規(guī)劃和設(shè)計(jì)階段所定義的信息系統(tǒng)安全實(shí)施方案 ? 采購 設(shè)備和軟件， 開發(fā) 定制功能 ? 集成、部署、配置和測(cè)試 信息系統(tǒng)的安全機(jī)制 ? 培訓(xùn)人員 ? 對(duì) 是否允許系統(tǒng)投入運(yùn)行 進(jìn)行批準(zhǔn)監(jiān)督 系統(tǒng)實(shí)施階段的信息安全風(fēng)險(xiǎn)管理 序號(hào) 風(fēng)險(xiǎn)管理活動(dòng) 風(fēng)險(xiǎn)管理 工作內(nèi)容 1 安全測(cè)試 風(fēng)險(xiǎn)評(píng)估 2 檢查與配置 風(fēng)險(xiǎn)處理 3 人員培訓(xùn) 風(fēng)險(xiǎn)處理 4 授權(quán)系統(tǒng)運(yùn)行 批準(zhǔn)監(jiān)督 54 ?在信息系統(tǒng)經(jīng)過授權(quán)投入運(yùn)行之后，確保在運(yùn)行過程中，以及信息系統(tǒng)或其運(yùn)行環(huán)境發(fā)生變化時(shí)維持系統(tǒng)的正常運(yùn)行和安全性 系統(tǒng)運(yùn)維階段的安全目標(biāo) 55 規(guī)劃 設(shè)計(jì) 實(shí)施 運(yùn)維 廢棄 系統(tǒng)運(yùn)維階段的信息安全風(fēng)險(xiǎn)管理 序號(hào) 風(fēng)險(xiǎn)管理活動(dòng) 風(fēng)險(xiǎn)管理 工作內(nèi)容 1 安全運(yùn)行和管理 風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)處理 2 變更管理 風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)處理 3 風(fēng)險(xiǎn)再評(píng)估 風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)處理 4 定期重新審批 批準(zhǔn)監(jiān)督 56 ?確保對(duì)信息系統(tǒng)的過時(shí)或無用部分進(jìn)行安全報(bào)廢處理，防止信息系統(tǒng)的安全要求和安全功能遭到破壞 系統(tǒng)廢棄階段的安全目標(biāo) 57 規(guī)劃 設(shè)計(jì) 實(shí)施 運(yùn)維 廢棄 信息系統(tǒng)廢棄階段的風(fēng)險(xiǎn)管理 序號(hào) 風(fēng)險(xiǎn)管理活動(dòng) 風(fēng)險(xiǎn)管理 工作內(nèi)容 1 確定廢棄對(duì)象 背景建立 2 廢棄對(duì)象的風(fēng)險(xiǎn)評(píng)估 風(fēng)險(xiǎn)評(píng)估 3 廢棄過程的風(fēng)險(xiǎn)處理 風(fēng)險(xiǎn)處理 4 廢棄后的評(píng)審 批準(zhǔn)監(jiān)督 58 知識(shí)域：信息安全風(fēng)險(xiǎn)評(píng)估 知識(shí)子域： 風(fēng)險(xiǎn)評(píng)估工作形式 ?理解自評(píng)估和檢查評(píng)估的風(fēng)險(xiǎn)評(píng)估工作形式 ?理解自評(píng)估和檢查評(píng)估的區(qū)別及優(yōu)缺點(diǎn) ?理解風(fēng)險(xiǎn)評(píng)估、檢查評(píng)估和等級(jí)保護(hù)測(cè)評(píng)之間的關(guān)系 59 風(fēng)險(xiǎn)評(píng)估工作形式 ?信息安全風(fēng)險(xiǎn)評(píng)估分為自評(píng)估、檢查評(píng)估兩種形式 ?自評(píng)估為主，自評(píng)估和檢查評(píng)估相互結(jié)合、互為補(bǔ)充 ?自評(píng)估和檢查評(píng)估可依托自身技術(shù)力量進(jìn)行，也可委托第三方機(jī)構(gòu)提供技術(shù)支持 60 自評(píng)估 ?信息系統(tǒng)擁有、運(yùn)營或使用單位發(fā)起的對(duì)本單位信息系統(tǒng)進(jìn)行的風(fēng)險(xiǎn)評(píng)估 61 由發(fā)起方實(shí)施 ?優(yōu)點(diǎn) ? 有利于 降低實(shí)施的費(fèi)用 ? 有利于保密 ? 有利于發(fā)揮行業(yè)和部門內(nèi)人員的業(yè)務(wù)特長 ? 有利于 提高相關(guān)人員的安全意識(shí) 和評(píng)估能力 ?缺點(diǎn) ? 可能結(jié)果不夠深入準(zhǔn)確 ? 客觀性易受影響 由受 委托方實(shí)施 ?優(yōu)點(diǎn) ? 過程比較規(guī)范 ? 客觀性比較好 ?缺點(diǎn)