信息安全風(fēng)險(xiǎn)評(píng)估國家標(biāo)準(zhǔn)編制及內(nèi)容介紹(編輯修改稿)
2025-03-18 17:12 本頁面
【文章內(nèi)容簡介】 開了信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)送審稿的專家審查會(huì)，與會(huì)專家經(jīng)質(zhì)詢和討論，將標(biāo)準(zhǔn)正式命名為 《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 》 ，認(rèn)為該標(biāo)準(zhǔn)達(dá)到國家標(biāo)準(zhǔn)送審稿的要求，同意通過評(píng)審。 會(huì)后，國家信息中心先后與各起草單位和有關(guān)專家就標(biāo)準(zhǔn)規(guī)范報(bào)批稿的修改進(jìn)行了進(jìn)一步的研討，并逐一落實(shí)了專家提出的意見。 27 2023年 7月 19日 ， 全國信息安全標(biāo)準(zhǔn)化委員會(huì)主任辦公會(huì)上討論通過了 《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 》 (報(bào)批稿 ),目前已進(jìn)入報(bào)批程序 。 28 主要內(nèi)容 一、標(biāo)準(zhǔn)的編制過程 二、標(biāo)準(zhǔn)的主要內(nèi)容 三、下一步工作的幾點(diǎn)思考 29 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險(xiǎn)評(píng)估 為什么要做風(fēng)險(xiǎn)評(píng)估 風(fēng)險(xiǎn)評(píng)估怎么做 30 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險(xiǎn)評(píng)估 為什么要做風(fēng)險(xiǎn)評(píng)估 風(fēng)險(xiǎn)評(píng)估怎么做 31 什么是風(fēng)險(xiǎn)評(píng)估 信息安全風(fēng)險(xiǎn) 人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導(dǎo)致安全事件的發(fā)生及其對(duì)組織造成的影響。 信息安全風(fēng)險(xiǎn)評(píng)估 依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過程。它要評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對(duì)組織造成的影響。 32 風(fēng)險(xiǎn)評(píng)估要素關(guān)系圖 脆 弱 性 資 產(chǎn) 價(jià) 值威 脅資 產(chǎn)風(fēng) 險(xiǎn) 安 全 需 求業(yè) 務(wù) 戰(zhàn) 略安 全 事 件 殘 余 風(fēng) 險(xiǎn) 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變增 加 導(dǎo) 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內(nèi)容為風(fēng)險(xiǎn)評(píng)估的基本要素 。橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。 風(fēng)險(xiǎn)評(píng)估圍繞著基本要素展開，同時(shí)需要充分考慮與基本要素相關(guān)的各類屬性。 （ 1）業(yè)務(wù)戰(zhàn)略的實(shí)現(xiàn)對(duì)資產(chǎn)具有依賴性，依賴程度越高，要求其風(fēng)險(xiǎn)越??； （ 2）資產(chǎn)是有價(jià)值的，組織的業(yè)務(wù)戰(zhàn)略對(duì)資產(chǎn)的依賴程度越高，資產(chǎn)價(jià)值就越大； （ 3）風(fēng)險(xiǎn)是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風(fēng)險(xiǎn)越大，并可能演變成安全事件； （ 4）資產(chǎn)的脆弱性可以暴露資產(chǎn)的價(jià)值，資產(chǎn)具有的弱點(diǎn)越多則風(fēng)險(xiǎn)越大； （ 5）脆弱性是未被滿足的安全需求，威脅利用脆弱性危害資產(chǎn)； （ 6）風(fēng)險(xiǎn)的存在及對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)導(dǎo)出安全需求； （ 7）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價(jià)值考慮實(shí)施成本； （ 8）安全措施可抵御威脅，降低風(fēng)險(xiǎn)； （ 9）殘余風(fēng)險(xiǎn)是未被安全措施控制的風(fēng)險(xiǎn)。有些是安全措施不當(dāng)或無效 ,需要加強(qiáng)才可控制的風(fēng)險(xiǎn)；而有些則是在綜合考慮了安全成本與效益后未去控制的風(fēng)險(xiǎn)； （ 10）殘余風(fēng)險(xiǎn)應(yīng)受到密切監(jiān)視，它可能會(huì)在將來誘發(fā)新的安全事件。 33 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險(xiǎn)評(píng)估 為什么要做風(fēng)險(xiǎn)評(píng)估 風(fēng)險(xiǎn)評(píng)估怎么做 34 為什么要做風(fēng)險(xiǎn)評(píng)估 安 全源于風(fēng)險(xiǎn) 。 在信息化建設(shè)中，建設(shè)與運(yùn)營的網(wǎng)絡(luò)與信息系統(tǒng)由于可能存在的系統(tǒng)設(shè)計(jì)缺陷、隱含于軟硬件設(shè)備的缺陷、系統(tǒng)集成時(shí)帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當(dāng)網(wǎng)絡(luò)與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時(shí)，都將使得面臨復(fù)雜環(huán)境的網(wǎng)絡(luò)與信息系統(tǒng)潛在著若干不同程度的安全風(fēng)險(xiǎn)。 35 風(fēng) 險(xiǎn)評(píng)估可以不斷深入地發(fā)現(xiàn)系統(tǒng)建設(shè)中的安全隱患，采取或完善更加經(jīng)濟(jì)有效的安全保障措施，來 消除安全建設(shè)中的盲目樂觀或盲目恐懼，提出有針對(duì)性的從實(shí)際出發(fā)的解決方法，提高系統(tǒng)安全的科學(xué)管理水平，進(jìn)而全面提升網(wǎng)絡(luò)與信息系統(tǒng)的安全保障能力。 36 信 息安全風(fēng)險(xiǎn)評(píng)估，是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施。并為防范和化解信息安全風(fēng)險(xiǎn)，或者將風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)。 （國信辦 [2023]5號(hào)文件） 37 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險(xiǎn)評(píng)估 為什么要做風(fēng)險(xiǎn)評(píng)估 風(fēng)險(xiǎn)評(píng)估怎么做 38 風(fēng)險(xiǎn)評(píng)估怎么做 風(fēng)險(xiǎn)評(píng)估實(shí)施流程 風(fēng)險(xiǎn)評(píng)估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估 39 風(fēng)險(xiǎn)評(píng)估怎么做 風(fēng)險(xiǎn)評(píng)估實(shí)施流程 風(fēng)險(xiǎn)評(píng)估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估 40 風(fēng)險(xiǎn)評(píng)估的實(shí)施流程 ? 先期準(zhǔn)備 ? 要素分析 ? 風(fēng)險(xiǎn)分析 ? 文檔記錄 風(fēng) 險(xiǎn) 評(píng) 估 準(zhǔn) 備保 持 已 有 的 安 全 措 施威 脅 識(shí) 別已 有 安 全 措 施 的 確 認(rèn)風(fēng) 險(xiǎn) 計(jì) 算制 定 和 實(shí) 施 風(fēng) 險(xiǎn) 處 理計(jì) 劃 并
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1