信息系統(tǒng)安全與保密-第3章(編輯修改稿)
2025-03-08 14:04 本頁面
【文章內容簡介】 的可能性； (2)預防性：可保護弱點，使攻擊難成功； (3)檢測性：可檢測并及時發(fā)現攻擊活動； (4)糾正性：使攻擊造成的影響減至最小 風險評價 評價風險有兩個關鍵因素：威脅發(fā)生對信息資產 造成的影響以及威脅發(fā)生的可能性。 可能性評估 結合威脅源的內因（動機和能力），以及外因 （脆弱點和控制）來綜合評價！ 對影響定級 等級 威脅發(fā)生可能性定義 高 威脅源具有強烈的動機和足夠的能力，防止脆弱性被利用的控制是無效的 中 威脅源具有一定的動機和能力，安全控制可阻止對脆弱性成功利用 低 威脅源缺少動力和能力，現有安全措施可有效阻止對脆弱性的利用 等級 影 響 定 義 高 對脆弱性利用可能嚴重危害組織資產、聲譽、人員安全等利益 中 對脆弱性利用可能損害組織資產、聲譽、人員安全等利益 低 對脆弱性利用可能導致某些組織資產、聲譽、人員安全等利益受損 表 3 威脅發(fā)生可能性定級模式 表 4 一種影響定級模式 風險標識 資產 威脅 脆弱點 影響分析 影響等級 R1 多媒體 系統(tǒng) 供電中斷 沒有備用電源 系統(tǒng)無法使用 高 4 R2 誤操作 老師對多媒體課室使用注意事項不熟悉 硬件損害或軟件誤刪除 很高 5 R3 自然威脅 硬件物理保護不夠 設備物理破壞 很高 5 R4 硬件 盜竊、物理破壞 安全保衛(wèi)機制不健全 硬件被破壞或被盜 很高 5 R5 火災 未部署防火設施 系統(tǒng)被燒毀 很高 5 R6 極端溫度及濕度 未安裝空調及除濕設備 系統(tǒng)使用不正常 中 3 R7 硬件故障 硬件使用壽命有限或其他原因 硬件不能正常使用 高 4 R8 軟件 軟件故障 軟件的安裝與卸載權限管理機制不嚴 所需軟件被卸載，不能正常使用 高 4 R9 惡意代碼 殺毒軟件不能及時升級 系統(tǒng)運行很慢 低 2 R10 人員 疾病或其他原因導致不能及時到崗 鑰匙管理人員不可達，無“備份” 多媒體課室門不能及時打開 高 4 R11 多媒體技術支持人員無“備份” 技術支持不能及時到位 中 3 ? 可能性分析主要依據威脅評估等級。最后根據影響分析及可能性分析的結果來進行風險評估，此處采用“風險 =可能性影響”的方法來計算風險。風險評估的結果如表所示。 風險標識 資產 威脅 影響評估 可能性評估 風險值 風險等級 R1 多媒體 系統(tǒng) 供電中斷 4 3 12 中 R2 誤操作 5 5 25 很高 R3 自然威脅 5 1 5 低 R4 硬件 盜竊、物理破壞 5 4 20 很高 R5 火災 5 2 10 中 R6 極端溫度及濕度 3 2 6 低 R7 硬件故障 4 2 8 中 R8 軟件 軟件故障 4 4 16 高 R9 惡意代碼 2 5 10 中 R10 人員 疾病或其他原因導致不能及時到崗 4 3 12 中 R11 3 3 9 中 威脅可能性 影 響 低（ 10） 中（ 50） 高（ 100） 高（ ） 低 10 ＝ 10 中 50 ＝ 50 高 100 ＝ 100 中（ ） 低 10 ＝ 5 中 50 ＝ 25 中 100 ＝ 50 低（ ） 低 10 ＝ 1 低 50 ＝ 5 低 100 ＝ 10 表 5 “可能性 影響”矩陣模式示例 ? 風險等級劃分方法 風 險 可能性 忽略 :1 低： 2 中： 3 高： 4 極高： 5 影 響 程 度 極高 5 5 10 15 20 25 高 4 4 8 12 16 20 中 3 3 6 9 12 15 低 2 2 4 6 8 10 可忽略 1 1 2 3 4 5 風險管理方案的選擇與優(yōu)化 針對識別且確認了等級的風險，按照其嚴重程度 提出相應的對策，是風險評估的結果。 決策者應權衡成本效益等多種因素，綜合決策！ 風險控制策略 風險控制是依據決策后的風險管理方案
教學課件相關推薦
鄂ICP備17016276號-1