信息安全風險評估國家標準編制(編輯修改稿)
2025-03-18 18:20 本頁面
【文章內(nèi)容簡介】 與會的三十幾位專家聽取了標準起 草組對 《 指南 》 的編制過程以及主要內(nèi)容的介紹 ， 經(jīng)投票一 致通過了標準的評審 。 26 2023年 6月 19日，全國信息安全標準化技術(shù)委員會秘書處在北京組織召開了信息安全風險評估標準送審稿的專家審查會，與會專家經(jīng)質(zhì)詢和討論，將標準正式命名為 《 信息安全技術(shù) 信息安全風險評估規(guī)范 》 ，認為該標準達到國家標準送審稿的要求，同意通過評審。 會后，國家信息中心先后與各起草單位和有關專家就標準規(guī)范報批稿的修改進行了進一步的研討，并逐一落實了專家提出的意見。 27 2023年 7月 19日 ， 全國信息安全標準化委員會主任辦公會上討論通過了 《 信息安全技術(shù) 信息安全風險評估規(guī)范 》 (報批稿 ),目前已進入報批程序 。 28 主要內(nèi)容 一、標準的編制過程 二、標準的主要內(nèi)容 三、下一步工作的幾點思考 29 二、標準的主要內(nèi)容 什么是風險評估 為什么要做風險評估 風險評估怎么做 30 二、標準的主要內(nèi)容 什么是風險評估 為什么要做風險評估 風險評估怎么做 31 什么是風險評估 信息安全風險 人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導致安全事件的發(fā)生及其對組織造成的影響。 信息安全風險評估 依據(jù)有關信息安全技術(shù)與管理標準，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行評價的過程。它要評估資產(chǎn)面臨的威脅以及威脅利用脆弱性導致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價值來判斷安全事件一旦發(fā)生對組織造成的影響。 32 風險評估要素關系圖 脆 弱 性 資 產(chǎn) 價 值威 脅資 產(chǎn)風 險 安 全 需 求業(yè) 務 戰(zhàn) 略安 全 事 件 殘 余 風 險 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變增 加 導 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內(nèi)容為風險評估的基本要素 。橢圓部分的內(nèi)容是與這些要素相關的屬性。 風險評估圍繞著基本要素展開，同時需要充分考慮與基本要素相關的各類屬性。 （ 1）業(yè)務戰(zhàn)略的實現(xiàn)對資產(chǎn)具有依賴性，依賴程度越高，要求其風險越?。? （ 2）資產(chǎn)是有價值的，組織的業(yè)務戰(zhàn)略對資產(chǎn)的依賴程度越高，資產(chǎn)價值就越大； （ 3）風險是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風險越大，并可能演變成安全事件； （ 4）資產(chǎn)的脆弱性可以暴露資產(chǎn)的價值，資產(chǎn)具有的弱點越多則風險越大； （ 5）脆弱性是未被滿足的安全需求，威脅利用脆弱性危害資產(chǎn)； （ 6）風險的存在及對風險的認識導出安全需求； （ 7）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價值考慮實施成本； （ 8）安全措施可抵御威脅，降低風險； （ 9）殘余風險是未被安全措施控制的風險。有些是安全措施不當或無效 ,需要加強才可控制的風險；而有些則是在綜合考慮了安全成本與效益后未去控制的風險； （ 10）殘余風險應受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件。 33 二、標準的主要內(nèi)容 什么是風險評估 為什么要做風險評估 風險評估怎么做 34 為什么要做風險評估 安 全源于風險 。 在信息化建設中，建設與運營的網(wǎng)絡與信息系統(tǒng)由于可能存在的系統(tǒng)設計缺陷、隱含于軟硬件設備的缺陷、系統(tǒng)集成時帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當網(wǎng)絡與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時，都將使得面臨復雜環(huán)境的網(wǎng)絡與信息系統(tǒng)潛在著若干不同程度的安全風險。 35 風 險評估可以不斷深入地發(fā)現(xiàn)系統(tǒng)建設中的安全隱患，采取或完善更加經(jīng)濟有效的安全保障措施，來 消除安全建設中的盲目樂觀或盲目恐懼，提出有針對性的從實際出發(fā)的解決方法，提高系統(tǒng)安全的科學管理水平，進而全面提升網(wǎng)絡與信息系統(tǒng)的安全保障能力。 36 信 息安全風險評估，是從風險管理角度，運用科學的方法和手段，系統(tǒng)地分析網(wǎng)絡與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。并為防范和化解信息安全風險，或者將風險控制在可接受的水平，從而最大限度地保障網(wǎng)絡和信息安全提供科學依據(jù)。 （國信辦 [2023]5號文件） 37 二、標準的主要內(nèi)容 什么是風險評估 為什么要做風險評估 風險評估怎么做 38 風險評估怎么做 風險評估實施流程 風險評估的形式 信息系統(tǒng)生命周期各階段的風險評估 39 風險評估怎么做 風險評估實施流程 風險評估的形式
規(guī)章制度相關推薦
鄂ICP備17016276號-1