信息安全風險評估國家標準編制與內容(編輯修改稿)
2025-03-18 17:13 本頁面
【文章內容簡介】 送審稿的專家審查會，與會專家經質詢和討論，將標準正式命名為 《 信息安全技術 信息安全風險評估規(guī)范 》 ，認為該標準達到國家標準送審稿的要求，同意通過評審。 會后，國家信息中心先后與各起草單位和有關專家就標準規(guī)范報批稿的修改進行了進一步的研討，并逐一落實了專家提出的意見。 27 2023年 7月 19日 ， 全國信息安全標準化委員會主任辦公會上討論通過了 《 信息安全技術 信息安全風險評估規(guī)范 》 (報批稿 ),目前已進入報批程序 。 28 主要內容 一、標準的編制過程 二、標準的主要內容 三、下一步工作的幾點思考 29 二、標準的主要內容 什么是風險評估 為什么要做風險評估 風險評估怎么做 30 二、標準的主要內容 什么是風險評估 為什么要做風險評估 風險評估怎么做 31 什么是風險評估 信息安全風險 人為或自然的威脅利用信息系統及其管理體系中存在的脆弱性導致安全事件的發(fā)生及其對組織造成的影響。 信息安全風險評估 依據有關信息安全技術與管理標準，對信息系統及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行評價的過程。它要評估資產面臨的威脅以及威脅利用脆弱性導致安全事件的可能性，并結合安全事件所涉及的資產價值來判斷安全事件一旦發(fā)生對組織造成的影響。 32 風險評估要素關系圖 脆 弱 性 資 產 價 值威 脅資 產風 險 安 全 需 求業(yè) 務 戰(zhàn) 略安 全 事 件 殘 余 風 險 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變增 加 導 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內容為風險評估的基本要素 。橢圓部分的內容是與這些要素相關的屬性。 風險評估圍繞著基本要素展開，同時需要充分考慮與基本要素相關的各類屬性。 （ 1）業(yè)務戰(zhàn)略的實現對資產具有依賴性，依賴程度越高，要求其風險越?。? （ 2）資產是有價值的，組織的業(yè)務戰(zhàn)略對資產的依賴程度越高，資產價值就越大； （ 3）風險是由威脅引發(fā)的，資產面臨的威脅越多則風險越大，并可能演變成安全事件； （ 4）資產的脆弱性可以暴露資產的價值，資產具有的弱點越多則風險越大； （ 5）脆弱性是未被滿足的安全需求，威脅利用脆弱性危害資產； （ 6）風險的存在及對風險的認識導出安全需求； （ 7）安全需求可通過安全措施得以滿足，需要結合資產價值考慮實施成本； （ 8）安全措施可抵御威脅，降低風險； （ 9）殘余風險是未被安全措施控制的風險。有些是安全措施不當或無效 ,需要加強才可控制的風險；而有些則是在綜合考慮了安全成本與效益后未去控制的風險； （ 10）殘余風險應受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件。 33 二、標準的主要內容 什么是風險評估 為什么要做風險評估 風險評估怎么做 34 為什么要做風險評估 安 全源于風險 。 在信息化建設中，建設與運營的網絡與信息系統由于可能存在的系統設計缺陷、隱含于軟硬件設備的缺陷、系統集成時帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當網絡與信息系統中擁有極為重要的信息資產時，都將使得面臨復雜環(huán)境的網絡與信息系統潛在著若干不同程度的安全風險。 35 風 險評估可以不斷深入地發(fā)現系統建設中的安全隱患，采取或完善更加經濟有效的安全保障措施，來 消除安全建設中的盲目樂觀或盲目恐懼，提出有針對性的從實際出發(fā)的解決方法，提高系統安全的科學管理水平，進而全面提升網絡與信息系統的安全保障能力。 36 信 息安全風險評估，是從風險管理角度，運用科學的方法和手段，系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。并為防范和化解信息安全風險，或者將風險控制在可接受的水平，從而最大限度地保障網絡和信息安全提供科學依據。 （國信辦 [2023]5號文件） 37 二、標準的主要內容 什么是風險評估 為什么要做風險評估 風險評估怎么做 38 風險評估怎么做 風險評估實施流程 風險評估的形式 信息系統生命周期各階段的風險評估 39 風險評估怎么做 風險評估實施流程 風險評估的形式 信息系統生命周期各階段的風險評估 40 風險評估的實施流程 ? 先期準備 ? 要素分析 ? 風險分析 ? 文檔記錄 風 險 評 估 準 備保 持 已 有 的 安 全 措 施威 脅 識 別已 有 安 全 措 施 的 確 認風 險 計 算制 定 和 實 施 風 險 處 理計 劃 并 評 估 殘 余
法律信息相關推薦
鄂ICP備17016276號-1