信息安全風(fēng)險評估過程與管理方法(編輯修改稿)
2025-03-18 02:44 本頁面
【文章內(nèi)容簡介】 1124 薄弱點(diǎn)評價與已有控制措施的確認(rèn) ?1．薄弱點(diǎn)的識別與評價 組織應(yīng)針對每一項(xiàng)需要保護(hù)的資訊資產(chǎn)，找出每一種威脅所能利用的薄弱點(diǎn)，並對薄弱點(diǎn)的嚴(yán)重性進(jìn)行評價。 ? 2．對己有的安全控制進(jìn)行確認(rèn) 組織應(yīng)將已採取的控制措施進(jìn)行識別並對控制措施的有效性進(jìn)行確認(rèn)。 1125 風(fēng)險評估 ?組織在經(jīng)過資產(chǎn)識別與估價、威脅與薄弱點(diǎn)的識別與評價、已有控制措施的確認(rèn)後，應(yīng)利用適當(dāng)?shù)娘L(fēng)險測量方法或工具確定風(fēng)險的大小與風(fēng)險等級，即對組織資訊安全管理範(fàn)圍內(nèi)的每一資訊資產(chǎn)因遭受洩露、修改、不可用和破壞所帶來的任何影響做出一個風(fēng)險測量的列表，以便識別與選擇適當(dāng)和正確的安全控制方式。 風(fēng)險測量方法 ?風(fēng)險是資產(chǎn)所受到的威脅、存在的薄弱點(diǎn)及威脅利用薄弱點(diǎn)所造成的潛在影響三方面共同作用的結(jié)果。風(fēng)險是威脅發(fā)生的可能性、薄弱點(diǎn)被威脅利用的可能性和威脅的潛在影響的函數(shù)，記為： ?R= R（ PT， PV， I） 風(fēng)險區(qū)域示意圖 風(fēng)險優(yōu)先順序別確定 ?確定風(fēng)險數(shù)值的大小不是我們評估的最終目的，重要的是明確不同威脅對資產(chǎn)所產(chǎn)生的風(fēng)險的相對值，即要確定不同風(fēng)險的優(yōu)先次序或等級，對於風(fēng)險等級高的資產(chǎn)應(yīng)被優(yōu)先分配資源進(jìn)行保護(hù)。 風(fēng)險評估一風(fēng)險管理工具的選擇 ?一旦風(fēng)險評估被完成，評估的結(jié)果（資產(chǎn)和它們的價值，威脅 — 薄弱點(diǎn)和風(fēng)險等級，以及被確認(rèn)的控制）應(yīng)該被保存和檔案化，例如，儲存在資料庫裡。 ?企業(yè)組織或政府單位可以利用軟體支援工具進(jìn)行風(fēng)險評估活動，這可以使再評估活動更容易。
語文相關(guān)推薦
鄂ICP備17016276號-1