信息安全風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理課件(編輯修改稿)
2025-03-18 17:11 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ? 定性分析方法一般適用于： ? a）風(fēng)險(xiǎn)識(shí)別； ? b）造成風(fēng)險(xiǎn)的原因分析； ? c）威脅發(fā)生所造成的影響分析等。 例如： ? 針對(duì)操作系統(tǒng)，采用掃描工具，發(fā)現(xiàn)其漏洞，指明漏洞的嚴(yán)重程度； 29 All rights reserved 169。 2023 現(xiàn)有風(fēng)險(xiǎn)評(píng)估方法綜述（ 3） 定量分析方法 ? 以獲取到或采取一定方法量化后得到的被調(diào)查對(duì)象的定量數(shù)據(jù)為基本材料，依據(jù)一定的算法進(jìn)行分析、計(jì)算、綜合，然后得出結(jié)果數(shù)據(jù)。定量分析方法一般適用于： ? a）確立威脅發(fā)生概率； ? b）預(yù)測(cè)系統(tǒng)風(fēng)險(xiǎn)發(fā)生概率； ? c）確立系統(tǒng)總體風(fēng)險(xiǎn)評(píng)價(jià)等。 例如： ? 對(duì)運(yùn)行在某個(gè)平臺(tái)上的不同主機(jī)、應(yīng)用系統(tǒng)分別進(jìn)行等價(jià)化的賦值，綜合分析每個(gè)資產(chǎn)的威脅、脆弱性，得到各資產(chǎn)的風(fēng)險(xiǎn)量化值。 30 All rights reserved 169。 2023 現(xiàn)有風(fēng)險(xiǎn)評(píng)估方法綜述（ 4） 基于系統(tǒng)安全模型體系的分析方法 ? 在一般風(fēng)險(xiǎn)評(píng)估原理的指導(dǎo)下，針對(duì)被評(píng)估信息系統(tǒng)實(shí)際情況（包括：系統(tǒng)技術(shù)特性、組織特性、資產(chǎn)情況、安全假設(shè)、脆弱點(diǎn)、威脅、保護(hù)措施等）建立有針對(duì)性、合理的評(píng)估安全需求； ? 同時(shí)建立評(píng)估指標(biāo)體系、評(píng)估流程、評(píng)估模型，通過(guò)系統(tǒng)對(duì)評(píng)估要求的滿足程度進(jìn)行判斷風(fēng)險(xiǎn)評(píng)估的指導(dǎo)作用。 ? 例如： ? 網(wǎng)上政務(wù)安信息系統(tǒng)安全保障要求 ? HIS系統(tǒng)安全保障要求 ? 實(shí)際固化了前期的資產(chǎn)識(shí)別、威脅分析，僅做審核、結(jié)論性判斷。 31 All rights reserved 169。 2023 1）資產(chǎn)識(shí)別與賦值 2）資產(chǎn)的安全屬性賦值及權(quán)重計(jì)算； 3）威脅分析； 4）薄弱點(diǎn)分析； 5）已有控制措施分析； 6）影響分析； 7）可能性分析； 8）風(fēng)險(xiǎn)計(jì)算； 9）風(fēng)險(xiǎn)控制措施制定； 評(píng)估步驟 32 All rights reserved 169。 2023 資產(chǎn)的識(shí)別 資產(chǎn)識(shí)別之前必須界定范圍 識(shí)別資產(chǎn)最簡(jiǎn)單的方法就是列出對(duì)組織或組織的特定部門(mén)的業(yè)務(wù)過(guò)程有價(jià)值的任何事物 資產(chǎn)包括 : 數(shù)據(jù)與文檔 /書(shū)面文件 /軟件 /實(shí)物資產(chǎn) /人員 /服務(wù) 33 All rights reserved 169。 2023 資產(chǎn)識(shí)別的類型 34 All rights reserved 169。 2023 資產(chǎn)的安全屬性賦值及權(quán)重計(jì)算 信息資產(chǎn)分別具有不同的安全屬性 ， 機(jī)密性 、 完整性和可用性分別反映了資產(chǎn)在三個(gè)不同方面的特性 。安全屬性的不同通常也意味著安全控制 、 保護(hù)功能需求的不同 。 通過(guò)考察三種不同安全屬性 ， 可以得出一個(gè)能夠基本反映資產(chǎn)價(jià)值的數(shù)值 。 對(duì)信息資產(chǎn)進(jìn)行賦值的目的是為了更好地反映資產(chǎn)的價(jià)值 ， 以便于進(jìn)一步考察資產(chǎn)相關(guān)的弱點(diǎn) 、 威脅和風(fēng)險(xiǎn)屬性 ， 并進(jìn)行量化 。 35 All rights reserved 169。 2023 資產(chǎn)價(jià)值與信息安全特性的關(guān)系 等級(jí) 機(jī)密性 1 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求可以忽略。 機(jī)密性價(jià)值或潛在影響可以忽略 2 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求有限。 機(jī)密性價(jià)值較低，潛在影響可以忍受，較容易彌補(bǔ) 3 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求一般 機(jī)密性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 4 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求較高 機(jī)密性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 5 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求很高 機(jī)密性價(jià)值非常關(guān)鍵，具有致命性的潛在影響 例：對(duì)應(yīng)用軟件，其機(jī)密性表現(xiàn)在 配置數(shù)據(jù)失密、賬號(hào)口令信息失密、關(guān)鍵算法失密等。 36 All rights reserved 169。 2023 資產(chǎn)價(jià)值與信息安全特性的關(guān)系 等級(jí) 完整性 1 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求可以忽略。 完整性價(jià)值或潛在影響可以忽略 2 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求有限。 完整性價(jià)值較低，潛在影響可以忍受，較容易彌補(bǔ) 3 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求一般 完整性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 4 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求較高 完整性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 5 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求很高 完整性價(jià)值非常關(guān)鍵，具有致命性的潛在影響 例：對(duì)應(yīng)用軟件，其完整性表現(xiàn)在 配置數(shù)據(jù)被修改、軟件被修改、數(shù)據(jù)被修改 37 All rights reserved 169。 2023 資產(chǎn)價(jià)值與信息安全特性的關(guān)系 等級(jí) 可用性 1 資產(chǎn)對(duì)防止信息不可用方面的要求可以忽略。 可用性價(jià)值或潛在影響可以忽略 2 資產(chǎn)對(duì)防止信息不可用方面的要求有限。 可用性價(jià)值較低，潛在影響可以忍受，較容易彌補(bǔ) 3 資產(chǎn)對(duì)防止信息不可用方面的要求一般 可用性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 4 資產(chǎn)對(duì)防止信息不可用方面的要求較高 可用性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 5 資產(chǎn)對(duì)防止信息不可用方面的要求很高 可用性價(jià)值非常關(guān)鍵，具有致命性的潛在影響 例：對(duì)應(yīng)用軟件，其完整性表現(xiàn)在軟件故障、喪失控制權(quán)。 38 All rights reserved 169。 2023 威脅分析與評(píng)價(jià) 對(duì)組織需要保護(hù)的每一項(xiàng)重要信息資產(chǎn)進(jìn)行威脅識(shí)別應(yīng)考慮 : ?資產(chǎn)所處的環(huán)境條件 ?資產(chǎn)以前遭受威脅損害的情況來(lái)判斷 : ?一項(xiàng)資產(chǎn)可能面臨著多個(gè)威脅 ?一個(gè)威脅可能對(duì)不同的資產(chǎn)造成影響 ?威脅識(shí)別應(yīng)確認(rèn)威脅由誰(shuí)或什么事物引發(fā) ?威脅可能來(lái)源于意外的，或有預(yù)謀的事件 39 All rights reserved 169。 2023 威脅的識(shí)別與評(píng)價(jià) 威脅列表 : 空氣中的懸浮顆粒 /灰塵 維護(hù)錯(cuò)誤 空調(diào)故障 惡意軟件 存儲(chǔ)媒體的老化 用戶身份的偽裝 電子郵件炸彈 未授權(quán)網(wǎng)絡(luò)訪問(wèn) 地震 操作人員的錯(cuò)誤 竊聽(tīng) 供電波動(dòng) 環(huán)境污染 否定或抵賴 極端的溫度和濕度 軟件故障 通信服務(wù)故障 員工短缺 40 All rights reserved 169。 2023 威脅的識(shí)別與評(píng)價(jià) 威脅列表 (續(xù) ): 火災(zāi) 傳輸錯(cuò)誤 洪水 軟件未授權(quán)使用 硬件故障
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1