信息安全風險評估國家標準編制及內(nèi)容介紹(ppt44)(1)(編輯修改稿)
2025-03-18 17:25 本頁面
【文章內(nèi)容簡介】 風險評估標準送審稿的專家審查會，與會專家經(jīng)質(zhì)詢和討論，將標準正式命名為 《 信息安全技術(shù) 信息安全風險評估規(guī)范 》 ，認為該標準達到國家標準送審稿的要求，同意通過評審。 會后，國家信息中心先后與各起草單位和有關(guān)專家就標準規(guī)范報批稿的修改進行了進一步的研討，并逐一落實了專家提出的意見。 26 2023年 7月 19日 ， 全國信息安全標準化委員會主任辦公會上討論通過了 《 信息安全技術(shù) 信息安全風險評估規(guī)范 》 (報批稿 ),目前已進入報批程序 。 27 主要內(nèi)容 一、標準的編制過程 二、標準的主要內(nèi)容 三、下一步工作的幾點思考 28 二、標準的主要內(nèi)容 什么是風險評估 為什么要做風險評估 風險評估怎么做 29 二、標準的主要內(nèi)容 什么是風險評估 為什么要做風險評估 風險評估怎么做 30 什么是風險評估 信息安全風險 人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導致安全事件的發(fā)生及其對組織造成的影響。 信息安全風險評估 依據(jù)有關(guān)信息安全技術(shù)與管理標準，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行評價的過程。它要評估資產(chǎn)面臨的威脅以及威脅利用脆弱性導致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價值來判斷安全事件一旦發(fā)生對組織造成的影響。 31 風險評估要素關(guān)系圖 脆 弱 性 資 產(chǎn) 價 值威 脅資 產(chǎn)風 險 安 全 需 求業(yè) 務(wù) 戰(zhàn) 略安 全 事 件 殘 余 風 險 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變增 加 導 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內(nèi)容為風險評估的基本要素 。橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。 風險評估圍繞著基本要素展開，同時需要充分考慮與基本要素相關(guān)的各類屬性。 （ 1）業(yè)務(wù)戰(zhàn)略的實現(xiàn)對資產(chǎn)具有依賴性，依賴程度越高，要求其風險越??； （ 2）資產(chǎn)是有價值的，組織的業(yè)務(wù)戰(zhàn)略對資產(chǎn)的依賴程度越高，資產(chǎn)價值就越大； （ 3）風險是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風險越大，并可能演變成安全事件； （ 4）資產(chǎn)的脆弱性可以暴露資產(chǎn)的價值，資產(chǎn)具有的弱點越多則風險越大； （ 5）脆弱性是未被滿足的安全需求，威脅利用脆弱性危害資產(chǎn)； （ 6）風險的存在及對風險的認識導出安全需求； （ 7）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價值考慮實施成本； （ 8）安全措施可抵御威脅，降低風險； （ 9）殘余風險是未被安全措施控制的風險。有些是安全措施不當或無效 ,需要加強才可控制的風險；而有些則是在綜合考慮了安全成本與效益后未去控制的風險； （ 10）殘余風險應受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件。 32 二、標準的主要內(nèi)容 什么是風險評估 為什么要做風險評估 風險評估怎么做 33 為什么要做風險評估 安 全源于風險 。 在信息化建設(shè)中，建設(shè)與運營的網(wǎng)絡(luò)與信息系統(tǒng)由于可能存在的系統(tǒng)設(shè)計缺陷、隱含于軟硬件設(shè)備的缺陷、系統(tǒng)集成時帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當網(wǎng)絡(luò)與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時，都將使得面臨復雜環(huán)境的網(wǎng)絡(luò)與信息系統(tǒng)潛在著若干不同程度的安全風險。 34 風 險評估可以不斷深入地發(fā)現(xiàn)系統(tǒng)建設(shè)中的安全隱患，采取或完善更加經(jīng)濟有效的安全保障措施，來 消除安全建設(shè)中的盲目樂觀或盲目恐懼，提出有針對性的從實際出發(fā)的解決方法，提高系統(tǒng)安全的科學管理水平，進而全面提升網(wǎng)絡(luò)與信息系統(tǒng)的安全保障能力。 35 信 息安全風險評估，是從風險管理角度，運用科學的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。并為防范和化解信息安全風險，或者將風險控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學依據(jù)。 （國信辦 [2023]5號文件） 36 二、標準的主要內(nèi)容 什么是風險評估 為什么要做風險評估 風險評估怎么做 37 風險評估怎么做 風險評估實施流程 風險評估的形式 信息系統(tǒng)生命周期各階段的風險評估 38 風險評估怎么做 風險評估實施流程 風險評估的形式 信息系統(tǒng)生命周期各階段的風險評估 39 風險評估的實施流程 ? 先期準備 ? 要素分析 ? 風險分析 ? 文檔記錄 風 險 評 估 準 備保 持 已 有 的 安 全 措 施威 脅 識 別已 有 安 全 措 施 的 確 認風 險 計 算制 定 和 實 施 風 險 處 理計 劃 并 評 估 殘
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號-1