信息安全風(fēng)險(xiǎn)評(píng)估過(guò)程與管理方法(編輯修改稿)
2025-03-18 02:44 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 1124 薄弱點(diǎn)評(píng)價(jià)與已有控制措施的確認(rèn) ?1．薄弱點(diǎn)的識(shí)別與評(píng)價(jià) 組織應(yīng)針對(duì)每一項(xiàng)需要保護(hù)的資訊資產(chǎn)，找出每一種威脅所能利用的薄弱點(diǎn)，並對(duì)薄弱點(diǎn)的嚴(yán)重性進(jìn)行評(píng)價(jià)。 ? 2．對(duì)己有的安全控制進(jìn)行確認(rèn) 組織應(yīng)將已採(cǎi)取的控制措施進(jìn)行識(shí)別並對(duì)控制措施的有效性進(jìn)行確認(rèn)。 1125 風(fēng)險(xiǎn)評(píng)估 ?組織在經(jīng)過(guò)資產(chǎn)識(shí)別與估價(jià)、威脅與薄弱點(diǎn)的識(shí)別與評(píng)價(jià)、已有控制措施的確認(rèn)後，應(yīng)利用適當(dāng)?shù)娘L(fēng)險(xiǎn)測(cè)量方法或工具確定風(fēng)險(xiǎn)的大小與風(fēng)險(xiǎn)等級(jí)，即對(duì)組織資訊安全管理範(fàn)圍內(nèi)的每一資訊資產(chǎn)因遭受洩露、修改、不可用和破壞所帶來(lái)的任何影響做出一個(gè)風(fēng)險(xiǎn)測(cè)量的列表，以便識(shí)別與選擇適當(dāng)和正確的安全控制方式。 風(fēng)險(xiǎn)測(cè)量方法 ?風(fēng)險(xiǎn)是資產(chǎn)所受到的威脅、存在的薄弱點(diǎn)及威脅利用薄弱點(diǎn)所造成的潛在影響三方面共同作用的結(jié)果。風(fēng)險(xiǎn)是威脅發(fā)生的可能性、薄弱點(diǎn)被威脅利用的可能性和威脅的潛在影響的函數(shù)，記為： ?R= R（ PT， PV， I） 風(fēng)險(xiǎn)區(qū)域示意圖 風(fēng)險(xiǎn)優(yōu)先順序別確定 ?確定風(fēng)險(xiǎn)數(shù)值的大小不是我們?cè)u(píng)估的最終目的，重要的是明確不同威脅對(duì)資產(chǎn)所產(chǎn)生的風(fēng)險(xiǎn)的相對(duì)值，即要確定不同風(fēng)險(xiǎn)的優(yōu)先次序或等級(jí)，對(duì)於風(fēng)險(xiǎn)等級(jí)高的資產(chǎn)應(yīng)被優(yōu)先分配資源進(jìn)行保護(hù)。 風(fēng)險(xiǎn)評(píng)估一風(fēng)險(xiǎn)管理工具的選擇 ?一旦風(fēng)險(xiǎn)評(píng)估被完成，評(píng)估的結(jié)果（資產(chǎn)和它們的價(jià)值，威脅 — 薄弱點(diǎn)和風(fēng)險(xiǎn)等級(jí)，以及被確認(rèn)的控制）應(yīng)該被保存和檔案化，例如，儲(chǔ)存在資料庫(kù)裡。 ?企業(yè)組織或政府單位可以利用軟體支援工具進(jìn)行風(fēng)險(xiǎn)評(píng)估活動(dòng)，這可以使再評(píng)估活動(dòng)更容易。
語(yǔ)文相關(guān)推薦
鄂ICP備17016276號(hào)-1