信息安全體系風(fēng)險(xiǎn)評(píng)估講義(編輯修改稿)
2025-03-17 18:02 本頁面
【文章內(nèi)容簡介】 行或合作開發(fā)的各種代碼等 硬件 網(wǎng)絡(luò)設(shè)備 :路由器、網(wǎng)關(guān)、交換機(jī)等 計(jì)算機(jī)設(shè)備 :大型機(jī)、小型機(jī)、服務(wù)器、工作站、臺(tái)式計(jì)算機(jī)、便攜計(jì)算機(jī)等 存儲(chǔ)設(shè)備 :磁帶機(jī)、磁盤陣列、磁帶、光盤、軟盤、移動(dòng)硬盤等 傳輸線路 :光纖、雙絞線等 保障設(shè)備 : UPS、變電設(shè)備等、空調(diào)、保險(xiǎn)柜、文件柜、門禁、消防設(shè)施等 安全保障： 防火墻、入侵檢測系統(tǒng)、身份鑒別等 其他 :打印機(jī)、復(fù)印機(jī)、掃描儀、傳真機(jī)等 資產(chǎn)分類方法 分類 示例 服務(wù) 信息服務(wù) :對(duì)外依賴該系統(tǒng)開展的各類服務(wù) 網(wǎng)絡(luò)服務(wù) :各種網(wǎng)絡(luò)設(shè)備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù) 辦公服務(wù) :為提高效率而開發(fā)的管理信息系統(tǒng) ,包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù) 人員 掌握重要信息和核心業(yè)務(wù)的人員 ,如主機(jī)維護(hù)主管、網(wǎng)絡(luò)維護(hù)主管及應(yīng)用項(xiàng)目經(jīng)理等 其它 企業(yè)形象、客戶關(guān)系等 資產(chǎn)識(shí)別模型 網(wǎng)絡(luò)層 機(jī)房、通信鏈路 網(wǎng)絡(luò)設(shè)備 1 操作系統(tǒng)、主機(jī)設(shè)備 軟件 OA 人員、文檔、制度 業(yè)務(wù)層 物理層 主機(jī)層 應(yīng)用層 管理層 EAI/EIP 工程管理 物資管理 生產(chǎn)管理 營銷系統(tǒng) 人力資源 綜合管理 操作系統(tǒng)、主機(jī)設(shè)備 網(wǎng)絡(luò)設(shè)備 2 數(shù)據(jù) 軟件 軟件 軟件 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù) 數(shù)據(jù)層 資產(chǎn)保密性賦值 資產(chǎn)完整性賦值 資產(chǎn)可用性賦值 資產(chǎn)等級(jí)計(jì)算公式 AV=F(AC,AI,AA) Asset Value 資產(chǎn)價(jià)值 Asset Confidentiality 資產(chǎn)保密性賦值 Asset Integrity 資產(chǎn)完整性賦值 Asset Availability 資產(chǎn)可用性賦值 例 1： AV=MAX(AC,AI,AA) 例 2： AV=AC+AI+AA 例 3： AV=AC AI AA 資產(chǎn)價(jià)值賦值 威脅來源列表 來源 描述 環(huán)境因素 斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲害、電磁干擾、洪災(zāi)、火災(zāi)、地震、意外 事故等環(huán)境危害或自然災(zāi)害 ,以及軟件、硬件、數(shù)據(jù)、通訊線路等方面的故障 人為因素 惡意人員 不滿的或有預(yù)謀的內(nèi)部人員對(duì)信息系統(tǒng)進(jìn)行惡意破壞 。采用自主或內(nèi)外勾結(jié)的方式 盜竊機(jī)密信息或進(jìn)行篡改 ,獲取利益 外部人員利用信息系統(tǒng)的脆弱性 ,對(duì)網(wǎng)絡(luò)或系統(tǒng)的機(jī)密性、完整性和可用性進(jìn)行破 壞 ,以獲取利益或炫耀能力 非惡意人員 內(nèi)部人員由于缺乏責(zé)任心 ,或者由于不關(guān)心和不專注 ,或者沒有遵循規(guī)章制度和操 作流程而導(dǎo)致故障或信息損壞 。內(nèi)部人員由于缺乏培訓(xùn)、專業(yè)技能不足、不具備崗 位技能要求而導(dǎo)致信息系統(tǒng)故障或被攻擊。 威脅分類表 威脅賦值 脆弱性識(shí)別 內(nèi)容表 風(fēng)險(xiǎn)分析原理 L F R 風(fēng)險(xiǎn)值 =R(A,T,V)= R(L(T,V),F(Ia,Va )) 其中 ,R 表示安全風(fēng)險(xiǎn)計(jì)算函數(shù) 。 A 表示資產(chǎn) 。T 表示威脅 。V 表示脆弱性 。 Ia 表示安全事件所作用的資產(chǎn)價(jià)值 。Va 表示脆弱性嚴(yán)重程度 。 L 表示威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件發(fā)生的可能性 。 F 表示安全事件發(fā)生后產(chǎn)生的損失。 一般風(fēng)險(xiǎn)計(jì)算方法： 矩陣法和相乘法 風(fēng)險(xiǎn)計(jì)算方法 矩陣法 矩陣法風(fēng)險(xiǎn)計(jì)算 風(fēng)險(xiǎn)等級(jí)表 43 ? 降低風(fēng)險(xiǎn)（ Reduce Risk） —— 采取適當(dāng)?shù)目刂拼胧﹣斫档惋L(fēng)險(xiǎn)，包括技術(shù)手段和管理手段，如安裝防火墻，殺毒軟件，或是改善不規(guī)范的工作流程、制定業(yè)務(wù)連續(xù)性計(jì)劃，等等。 ? 避免風(fēng)險(xiǎn)（ Avoid Risk） —— 通過消除可能導(dǎo)致風(fēng)險(xiǎn)發(fā)生的條件來避免風(fēng)險(xiǎn)的發(fā)生，如將公司內(nèi)外網(wǎng)隔離以避免來自互聯(lián)網(wǎng)的攻擊，或是將機(jī)房安置在不可能造成水患的位置，等等。 ? 轉(zhuǎn)移風(fēng)險(xiǎn)（ Transfer Risk） —— 將風(fēng)險(xiǎn)全部或者部分地轉(zhuǎn)移到其他責(zé)任方，例如購買商業(yè)保險(xiǎn)。 ? 接受風(fēng)險(xiǎn)（ Accept Risk） —— 在實(shí)施了其他風(fēng)險(xiǎn)應(yīng)對(duì)措施之后，對(duì)于殘留的風(fēng)險(xiǎn)，組織可以有意識(shí)地選擇接受。 風(fēng)險(xiǎn)處置策略 44 ? 絕對(duì)安全（即零風(fēng)險(xiǎn)）是不可能的。 ? 實(shí)施安全控制后會(huì)有殘留風(fēng)險(xiǎn)或殘存風(fēng)險(xiǎn)（ Residual Risk）。 ? 為了確保信息安全，應(yīng)該確保殘留風(fēng)險(xiǎn)在可接受的范圍內(nèi)： ? 殘留風(fēng)險(xiǎn) Rr ＝ 原有的風(fēng)險(xiǎn) R0 － 控制 ΔR ? 殘留風(fēng)險(xiǎn) Rr ≤ 可接受的風(fēng)險(xiǎn) Rt ? 對(duì)殘留風(fēng)險(xiǎn)進(jìn)行確認(rèn)和評(píng)價(jià)的過程其實(shí)就是風(fēng)險(xiǎn)接受的過程。決策者可以根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果來確定一個(gè)閥值，以該閥值作為是否接受殘留風(fēng)險(xiǎn)的標(biāo)準(zhǔn)。 殘留風(fēng)險(xiǎn)評(píng)價(jià) 等級(jí)保護(hù)下風(fēng)險(xiǎn)評(píng)估實(shí)施框架 保護(hù)對(duì)象劃分和定級(jí) 網(wǎng)絡(luò)系統(tǒng)劃分和定級(jí) 資產(chǎn) 脆弱性 威脅 風(fēng)險(xiǎn)分析 基本安全要求 等級(jí)保護(hù)管理辦法、指南 信息安全政策、標(biāo)準(zhǔn)、法律法規(guī) 安全需求 風(fēng)險(xiǎn)列表 安全規(guī)劃 風(fēng)險(xiǎn)評(píng)估 結(jié)合等保測評(píng)的風(fēng)險(xiǎn)評(píng)估流程 47 風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過程 計(jì)劃 準(zhǔn)備 實(shí)施 報(bào)告 跟蹤 48 風(fēng)險(xiǎn)評(píng)估常用方法 ? 檢查列表：評(píng)估員根據(jù)自己的需要，事先編制針對(duì)某方面問題的檢查列表，然后逐項(xiàng)檢查符合性，在確認(rèn)檢查列表應(yīng)答時(shí)，評(píng)估員可以采取調(diào)查問卷、文件審查、現(xiàn)場觀察和人員訪談等方式。 ? 文件評(píng)估：評(píng)估員在現(xiàn)場評(píng)估之前，應(yīng)該對(duì)受評(píng)估方與信息安全管理活動(dòng)相關(guān)的所有文件進(jìn)行審查，包括安全
外語相關(guān)推薦
鄂ICP備17016276號(hào)-1