信息安全風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理(編輯修改稿)
2025-03-18 17:13 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 法一般適用于：? a）風(fēng)險(xiǎn)識(shí)別；? b）造成風(fēng)險(xiǎn)的原因分析；? c）威脅發(fā)生所造成的影響分析等。 例如：? 針對(duì)操作系統(tǒng)，采用掃描工具，發(fā)現(xiàn)其漏洞，指明漏洞的嚴(yán)重程度； 29 All rights reserved 169。 2023現(xiàn)有風(fēng)險(xiǎn)評(píng)估方法綜述（ 3） 定量分析方法? 以獲取到或采取一定方法量化后得到的被調(diào)查對(duì)象的定量數(shù)據(jù)為基本材料，依據(jù)一定的算法進(jìn)行分析、計(jì)算、綜合，然后得出結(jié)果數(shù)據(jù)。定量分析方法一般適用于：? a）確立威脅發(fā)生概率；? b）預(yù)測(cè)系統(tǒng)風(fēng)險(xiǎn)發(fā)生概率；? c）確立系統(tǒng)總體風(fēng)險(xiǎn)評(píng)價(jià)等。 例如：? 對(duì)運(yùn)行在某個(gè)平臺(tái)上的不同主機(jī)、應(yīng)用系統(tǒng)分別進(jìn)行等價(jià)化的賦值，綜合分析每個(gè)資產(chǎn)的威脅、脆弱性，得到各資產(chǎn)的風(fēng)險(xiǎn)量化值。 30 All rights reserved 169。 2023現(xiàn)有風(fēng)險(xiǎn)評(píng)估方法綜述（ 4） 基于系統(tǒng)安全模型體系的分析方法? 在一般風(fēng)險(xiǎn)評(píng)估原理的指導(dǎo)下，針對(duì)被評(píng)估信息系統(tǒng)實(shí)際情況（包括：系統(tǒng)技術(shù)特性、組織特性、資產(chǎn)情況、安全假設(shè)、脆弱點(diǎn)、威脅、保護(hù)措施等）建立有針對(duì)性、合理的評(píng)估安全需求；? 同時(shí)建立評(píng)估指標(biāo)體系、評(píng)估流程、評(píng)估模型，通過(guò)系統(tǒng)對(duì)評(píng)估要求的滿足程度進(jìn)行判斷風(fēng)險(xiǎn)評(píng)估的指導(dǎo)作用。? 例如：– 網(wǎng)上政務(wù)安信息系統(tǒng)安全保障要求– HIS系統(tǒng)安全保障要求? 實(shí)際固化了前期的資產(chǎn)識(shí)別、威脅分析，僅做審核、結(jié)論性判斷。 31 All rights reserved 169。 20231）資產(chǎn)識(shí)別與賦值2）資產(chǎn)的安全屬性賦值及權(quán)重計(jì)算；3）威脅分析；4）薄弱點(diǎn)分析；5）已有控制措施分析；6）影響分析；7）可能性分析；8）風(fēng)險(xiǎn)計(jì)算；9）風(fēng)險(xiǎn)控制措施制定；評(píng)估步驟 32 All rights reserved 169。 2023資產(chǎn)的識(shí)別資產(chǎn)識(shí)別之前必須界定范圍識(shí)別資產(chǎn)最簡(jiǎn)單的方法就是列出對(duì)組織或組織的特定部門的業(yè)務(wù)過(guò)程有價(jià)值的任何事物資產(chǎn)包括 : 數(shù)據(jù)與文檔 /書面文件 /軟件 /實(shí)物資產(chǎn) /人員 /服務(wù) 33 All rights reserved 169。 2023資產(chǎn)識(shí)別的類型 34 All rights reserved 169。 2023資產(chǎn)的安全屬性賦值及權(quán)重計(jì)算 信息資產(chǎn)分別具有不同的安全屬性，機(jī)密性、完整性和可用性分別反映了資產(chǎn)在三個(gè)不同方面的特性。安全屬性的不同通常也意味著安全控制、保護(hù)功能需求的不同。通過(guò)考察三種不同安全屬性，可以得出一個(gè)能夠基本反映資產(chǎn)價(jià)值的數(shù)值。對(duì)信息資產(chǎn)進(jìn)行賦值的目的是為了更好地反映資產(chǎn)的價(jià)值，以便于進(jìn)一步考察資產(chǎn)相關(guān)的弱點(diǎn)、威脅和風(fēng)險(xiǎn)屬性，并進(jìn)行量化。 35 All rights reserved 169。 2023資產(chǎn)價(jià)值與信息安全特性的關(guān)系等級(jí) 機(jī)密性1 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求可以忽略。機(jī)密性價(jià)值或潛在影響可以忽略 2 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求有限。機(jī)密性價(jià)值較低，潛在影響可以忍受，較容易彌補(bǔ) 3 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求一般機(jī)密性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 4 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求較高機(jī)密性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 5 資產(chǎn)對(duì)防止信息非授權(quán)泄露、破壞方面的要求很高機(jī)密性價(jià)值非常關(guān)鍵，具有致命性的潛在影響例：對(duì)應(yīng)用軟件，其機(jī)密性表現(xiàn)在 配置數(shù)據(jù)失密、賬號(hào)口令信息失密、關(guān)鍵算法失密等。 36 All rights reserved 169。 2023資產(chǎn)價(jià)值與信息安全特性的關(guān)系等級(jí) 完整性1 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求可以忽略。完整性價(jià)值或潛在影響可以忽略 2 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求有限。完整性價(jià)值較低，潛在影響可以忍受，較容易彌補(bǔ) 3 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求一般完整性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 4 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求較高完整性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 5 資產(chǎn)對(duì)防止信息非授權(quán)修改、破壞方面的要求很高完整性價(jià)值非常關(guān)鍵，具有致命性的潛在影響例：對(duì)應(yīng)用軟件，其完整性表現(xiàn)在 配置數(shù)據(jù)被修改、軟件被修改、數(shù)據(jù)被修改 37 All rights reserved 169。 2023資產(chǎn)價(jià)值與信息安全特性的關(guān)系等級(jí) 可用性1 資產(chǎn)對(duì)防止信息不可用方面的要求可以忽略?？捎眯詢r(jià)值或潛在影響可以忽略 2 資產(chǎn)對(duì)防止信息不可用方面的要求有限?？捎眯詢r(jià)值較低，潛在影響可以忍受，較容易彌補(bǔ) 3 資產(chǎn)對(duì)防止信息不可用方面的要求一般可用性價(jià)值中等，潛在影響重大，但可以彌補(bǔ) 4 資產(chǎn)對(duì)防止信息不可用方面的要求較高可用性價(jià)值較高，潛在影響嚴(yán)重，企業(yè)將蒙受嚴(yán)重?fù)p失，難以彌補(bǔ) 5 資產(chǎn)對(duì)防止信息不可用方面的要求很高可用性價(jià)值非常關(guān)鍵，具有致命性的潛在影響例：對(duì)應(yīng)用軟件，其完整性表現(xiàn)在軟件故障、喪失控制權(quán)。 38 All rights reserved 169。 2023威脅分析與評(píng)價(jià) 對(duì)組織需要保護(hù)的每一項(xiàng)重要信息資產(chǎn)進(jìn)行威脅識(shí)別應(yīng)考慮 :v資產(chǎn)所處的環(huán)境條件v資產(chǎn)以前遭受威脅損害的情況來(lái)判斷 :v一項(xiàng)資產(chǎn)可能面臨著多個(gè)威脅v一個(gè)威脅可能對(duì)不同的資產(chǎn)造成影響v威脅識(shí)別應(yīng)確認(rèn)威脅由誰(shuí)或什么事物引發(fā)v威脅可能來(lái)源于意外的，或有預(yù)謀的事件 39 All rights reserved 169。 2023威脅的識(shí)別與評(píng)價(jià) 威脅列表 : 空氣中的懸浮顆粒 /灰塵 維護(hù)錯(cuò)誤 空調(diào)故障 惡意軟件 存儲(chǔ)媒體的老化 用戶身份的偽裝 電子郵件炸彈 未授權(quán)網(wǎng)絡(luò)訪問(wèn) 地震 操作人員的錯(cuò)誤 竊聽 供電波動(dòng) 環(huán)境污染 否定或抵賴 極端的溫度和濕度 軟件故障 通信服務(wù)故障 員工短缺 40 All ri
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1