信息安全風險管理(編輯修改稿)
2025-03-18 17:12 本頁面
【文章內(nèi)容簡介】 一、針對每種威脅提出同樣問題 : （ 1）在給定的環(huán)境下，哪一種威脅對機構的資產(chǎn)而言是危險的？ （ 2）哪一種威脅對機構的信息而言是最危險的？ （ 3）從成功的攻擊中恢復需要多少費用？ （ 4）防范哪一種威脅的花費最大？ 二、通過提問的答案，建立威脅評估構架 漏洞識別 ? 漏洞：威脅代理能夠用來攻擊信息資產(chǎn)的特定途徑。 ? 在按照威脅評估標準，檢查每項威脅，建立漏洞表。 風險評估 風險評估概述 風險 =出現(xiàn)漏洞的可能性信息資產(chǎn)的價值 當前控制減輕的風險幾率 +對漏洞了解的不確定性 漏洞的可能性是什么？ 漏洞成功攻擊機構內(nèi)部的概率。（ ～ ） 信息安全風險評估原則 1．自主 機構內(nèi)部人員管理的信息安全風險評估 2. 適應量度 一個靈活的評估過程可以適應不斷變化的技術和進展；既不會受限當前威脅源的嚴格模型，也不會受限于當前公認的“最佳”實踐。 3. 已定義過程 描述了信息安全評估程序依賴于已定義的標準化評估規(guī)程的需要。 4. 連續(xù)過程的基礎 機構必須實施基于實踐安全策略和計劃，以逐漸改進自身的安全狀態(tài)。 風險評估的過程 使用信息資產(chǎn)的識別過程中的到的信息，就可以為機構中每項信息資產(chǎn)的價值指定權重分數(shù)（ 1～ 100）。（舉例：一些資產(chǎn)會導致整個公司停止運作，說明資產(chǎn)比重較高） 利用風險公式： （訪問控制） ? 訪問控制：控制用戶進入機構信息區(qū)域 ? 訪問控制方法：強制、非任意、任意。 過程：信息資產(chǎn)列表（分類） → 帶有漏洞的信息資產(chǎn)列表 → 權重標準分析表 →漏洞風險等級表
教學教案相關推薦
鄂ICP備17016276號-1