信息安全風(fēng)險評估國家標(biāo)準(zhǔn)編制與內(nèi)容(編輯修改稿)
2025-03-18 17:13 本頁面
【文章內(nèi)容簡介】 送審稿的專家審查會，與會專家經(jīng)質(zhì)詢和討論，將標(biāo)準(zhǔn)正式命名為 《 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范 》 ，認(rèn)為該標(biāo)準(zhǔn)達(dá)到國家標(biāo)準(zhǔn)送審稿的要求，同意通過評審。 會后，國家信息中心先后與各起草單位和有關(guān)專家就標(biāo)準(zhǔn)規(guī)范報批稿的修改進(jìn)行了進(jìn)一步的研討，并逐一落實了專家提出的意見。 27 2023年 7月 19日 ， 全國信息安全標(biāo)準(zhǔn)化委員會主任辦公會上討論通過了 《 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范 》 (報批稿 ),目前已進(jìn)入報批程序 。 28 主要內(nèi)容 一、標(biāo)準(zhǔn)的編制過程 二、標(biāo)準(zhǔn)的主要內(nèi)容 三、下一步工作的幾點思考 29 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險評估 為什么要做風(fēng)險評估 風(fēng)險評估怎么做 30 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險評估 為什么要做風(fēng)險評估 風(fēng)險評估怎么做 31 什么是風(fēng)險評估 信息安全風(fēng)險 人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導(dǎo)致安全事件的發(fā)生及其對組織造成的影響。 信息安全風(fēng)險評估 依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進(jìn)行評價的過程。它要評估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價值來判斷安全事件一旦發(fā)生對組織造成的影響。 32 風(fēng)險評估要素關(guān)系圖 脆 弱 性 資 產(chǎn) 價 值威 脅資 產(chǎn)風(fēng) 險 安 全 需 求業(yè) 務(wù) 戰(zhàn) 略安 全 事 件 殘 余 風(fēng) 險 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變增 加 導(dǎo) 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內(nèi)容為風(fēng)險評估的基本要素 。橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。 風(fēng)險評估圍繞著基本要素展開，同時需要充分考慮與基本要素相關(guān)的各類屬性。 （ 1）業(yè)務(wù)戰(zhàn)略的實現(xiàn)對資產(chǎn)具有依賴性，依賴程度越高，要求其風(fēng)險越??； （ 2）資產(chǎn)是有價值的，組織的業(yè)務(wù)戰(zhàn)略對資產(chǎn)的依賴程度越高，資產(chǎn)價值就越大； （ 3）風(fēng)險是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風(fēng)險越大，并可能演變成安全事件； （ 4）資產(chǎn)的脆弱性可以暴露資產(chǎn)的價值，資產(chǎn)具有的弱點越多則風(fēng)險越大； （ 5）脆弱性是未被滿足的安全需求，威脅利用脆弱性危害資產(chǎn)； （ 6）風(fēng)險的存在及對風(fēng)險的認(rèn)識導(dǎo)出安全需求； （ 7）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價值考慮實施成本； （ 8）安全措施可抵御威脅，降低風(fēng)險； （ 9）殘余風(fēng)險是未被安全措施控制的風(fēng)險。有些是安全措施不當(dāng)或無效 ,需要加強才可控制的風(fēng)險；而有些則是在綜合考慮了安全成本與效益后未去控制的風(fēng)險； （ 10）殘余風(fēng)險應(yīng)受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件。 33 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險評估 為什么要做風(fēng)險評估 風(fēng)險評估怎么做 34 為什么要做風(fēng)險評估 安 全源于風(fēng)險 。 在信息化建設(shè)中，建設(shè)與運營的網(wǎng)絡(luò)與信息系統(tǒng)由于可能存在的系統(tǒng)設(shè)計缺陷、隱含于軟硬件設(shè)備的缺陷、系統(tǒng)集成時帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當(dāng)網(wǎng)絡(luò)與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時，都將使得面臨復(fù)雜環(huán)境的網(wǎng)絡(luò)與信息系統(tǒng)潛在著若干不同程度的安全風(fēng)險。 35 風(fēng) 險評估可以不斷深入地發(fā)現(xiàn)系統(tǒng)建設(shè)中的安全隱患，采取或完善更加經(jīng)濟(jì)有效的安全保障措施，來 消除安全建設(shè)中的盲目樂觀或盲目恐懼，提出有針對性的從實際出發(fā)的解決方法，提高系統(tǒng)安全的科學(xué)管理水平，進(jìn)而全面提升網(wǎng)絡(luò)與信息系統(tǒng)的安全保障能力。 36 信 息安全風(fēng)險評估，是從風(fēng)險管理角度，運用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和整改措施。并為防范和化解信息安全風(fēng)險，或者將風(fēng)險控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)。 （國信辦 [2023]5號文件） 37 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險評估 為什么要做風(fēng)險評估 風(fēng)險評估怎么做 38 風(fēng)險評估怎么做 風(fēng)險評估實施流程 風(fēng)險評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險評估 39 風(fēng)險評估怎么做 風(fēng)險評估實施流程 風(fēng)險評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險評估 40 風(fēng)險評估的實施流程 ? 先期準(zhǔn)備 ? 要素分析 ? 風(fēng)險分析 ? 文檔記錄 風(fēng) 險 評 估 準(zhǔn) 備保 持 已 有 的 安 全 措 施威 脅 識 別已 有 安 全 措 施 的 確 認(rèn)風(fēng) 險 計 算制 定 和 實 施 風(fēng) 險 處 理計 劃 并 評 估 殘 余
法律信息相關(guān)推薦
鄂ICP備17016276號-1