信息安全產(chǎn)品測評認(rèn)證中心風(fēng)險評估概論(編輯修改稿)
2025-03-17 17:37 本頁面
【文章內(nèi)容簡介】 安全意識和知識培訓(xùn) 實(shí)施適合的安全策略和控制措施 監(jiān)督并審查安全策略和措施三的有效性 GAO/AIMD 9868 GAO/AIMD 9868 ? 識別風(fēng)險和確定安全需求 ? 建立核心管理焦點(diǎn) ? 實(shí)施適合的安全策略和控制措施 ? 安全意識和知識培訓(xùn) ? 監(jiān)督并審查安全策略和措施的有效性 GAO/AIMD 9868 評估風(fēng)險和確定需求 ? 識別信息資產(chǎn) ? 按業(yè)務(wù)需求制訂評估流程 ? 獲得管理者和業(yè)務(wù)經(jīng)理的支持 ? 基于持續(xù)改進(jìn)的方式進(jìn)行風(fēng)險管理 GAO/AIMD 9868 建立核心管理焦點(diǎn) ? 建立核心小組執(zhí)行關(guān)鍵活動 ? 建立核心小組和高級管理者直接聯(lián)絡(luò)的渠道 ? 設(shè)立專項(xiàng)資金并配備相關(guān)人力資源 ? 培養(yǎng)員工的職業(yè)素質(zhì)和技術(shù)能力 GAO/AIMD 9868 實(shí)施適合的策略和相關(guān)措施 ? 將策略與業(yè)務(wù)需求相對應(yīng) ? 區(qū)分策略和指南 ? 通過核心組支持策略的實(shí)現(xiàn) GAO/AIMD 9868 增強(qiáng)安全意識 ? 持續(xù)培訓(xùn)用戶的安全意識和相關(guān)策略 ? 采取集中培訓(xùn)和友好界面技術(shù) GAO/AIMD 9868 監(jiān)控和評估策略、措施的有效性 ? 監(jiān)控影響風(fēng)險的因素和措施的有效性 ? 運(yùn)用實(shí)施結(jié)果來制訂后續(xù)措施的制訂及管理者的支持 ? 關(guān)注新的監(jiān)控工具和技術(shù) GAO/AIMD 9868 3 風(fēng)險評估方法 風(fēng)險評估方法概述 定量的風(fēng)險評估 定性的風(fēng)險評估 基于要素的風(fēng)險評估 定性風(fēng)險評估與定量評估的比較 定義： 組織確認(rèn)自己所擁有的資產(chǎn)，分析資產(chǎn)所面對的威脅、所具有的脆弱性、損害發(fā)生的可能性、損害的程度等，并最終得出資產(chǎn)所面臨的風(fēng)險等級的過程。 風(fēng)險評估方法概述 ? 資產(chǎn)識別 ? 確定威脅（ Threat) ? 識別脆弱性（ Vulnerability) ? 實(shí)施控制方法 原則：不管使用哪一種風(fēng)險評估的方法或工具，其內(nèi)容 都應(yīng)包括以下四個要素： 風(fēng)險評估方法概述 – 資產(chǎn)價值 – 可能脅迫資產(chǎn)的威脅和其發(fā)生的可能性 – 因脆弱點(diǎn)被威脅利用而造成沖擊的容易度 – 目前或計劃中可能降低脆弱點(diǎn)、威脅和沖擊嚴(yán)重性的保護(hù)措施 換句話說，風(fēng)險是以下事項(xiàng)的作用： 風(fēng)險評估方法概述 ? 要考慮影響和可能性 ? 在決定所需控制方法時，對既有控制方法的評估是必須的 ? 控制方法只能將風(fēng)險降低到可接受的程度 ? 百分之百的安全，并不是安全管理的目的。 風(fēng)險評估方法概述 注意 ? 定量分析 ? 定性分析 ? 綜合方法 風(fēng)險評估方法概述 風(fēng)險評估的途徑： 定量分析： ? 對后果和可能性進(jìn)行分析 ? 采用量化的數(shù)值描述后果（估計出可能損失的金額）和可能性（概率或頻率） ? 分析的有效性取決于所用的數(shù)值精確度和完整性 。 風(fēng)險評估方法概述 定性分析適用于： ? 初始的篩選活動，以鑒定出需要更仔細(xì)分析的風(fēng)險 ? 風(fēng)險程度和經(jīng)濟(jì)上的考慮 ? 數(shù)據(jù)不足以進(jìn)行定量分析的情況 定性分析： ? 對后果和可能性進(jìn)行分析 ? 采用文字形式或敘述性的數(shù)值范圍描述風(fēng)險的影響程度和可能性的大?。ㄈ绺摺⒅?、低等） ? 分析的有效性取決于所用的數(shù)值精確度和完整性 。 風(fēng)險評估方法概述 半定量分析： ? 在半定量分析中，上述的那些定性數(shù)值范圍均為已知值。每項(xiàng)說明所指的數(shù)字并不一定與后果或可能性的實(shí)際大小程度具有精確的關(guān)系。 ? 半定量分析的目的是為了得到比通常在定性分析中所得到的更為詳細(xì)的風(fēng)險程度，但并非要提出任何在定量分析中所得到的風(fēng)險實(shí)際值。 風(fēng)險評估方法概述 風(fēng)險分析方法 ? 許多方法都會使用表格并結(jié)合主觀和經(jīng)驗(yàn)判斷 ? 目前并沒有使用所謂正確或錯誤的方法 ? 重要的是選擇使用一個適合本組織的方法 ? 同一組織內(nèi)，也可以根據(jù)不同等級的風(fēng)險，運(yùn)用不同的風(fēng)險分析方法 ? 對信息安全的評估很難量化 風(fēng)險評估方法概述 ? 當(dāng)部分的公司資產(chǎn)已具有量化的價值 ? 利用財務(wù)的手法算出風(fēng)險造成的財務(wù)損失 ? 再根據(jù)損失的大小決定風(fēng)險等級 定量的風(fēng)險分析 定量的風(fēng)險分析 ? SLA（ singletime loss Algorithm) 當(dāng)一個風(fēng)險發(fā)生時會對資產(chǎn)價值造成多大的財務(wù)損失 ? ALE （ Annualized loss Exposure) 年度風(fēng)險損失 后果定量分析 定量的風(fēng)險分析 年度化損失運(yùn)算表（頻率） 不可能 300年一次 1/300 200年一次 1/200 100年一次 1/100 50年一次 1/50 25年一次 1/25 5年一次 1/5 定量的風(fēng)險分析 2年一次 1/2 1年一次 1/1 1年二次 1/ 1個月一次 12/1 1星期一次 52/1 1天一次 365/1 定量的風(fēng)險分析 年度化損失運(yùn)算表（頻率）續(xù) ? 簡易的定量計算公式： 資產(chǎn)價值（ v)乘以可能性（ L）可以得出 ALE （年度風(fēng)險損失），即： ALE = V ? L 定量的風(fēng)險分析 定性的風(fēng)險分析 ? 從風(fēng)險發(fā)生可能性及造成的后果來考慮風(fēng)險的等級 ? 對于后果和可能性采用定性度量 ? 并在最后階段歸納出不同等級風(fēng)險的方法 定性的風(fēng)險分析 后果或影響的定性量度（示例） 等級 描述 詳
黨政相關(guān)相關(guān)推薦
鄂ICP備17016276號-1