信息安全風(fēng)險(xiǎn)評估培訓(xùn)(編輯修改稿)
2025-03-18 18:20 本頁面
【文章內(nèi)容簡介】 。信息安全建設(shè)是一項(xiàng)復(fù)雜的系統(tǒng)工程，要從觀念上進(jìn)行轉(zhuǎn)變，規(guī)劃、管理、技術(shù)等多種因素相結(jié)合使之成為一個(gè)可持續(xù)的動(dòng)態(tài)發(fā)展的過程。 安全保障體系建設(shè)安全成本 效率 安全 效率曲線 安全 成本曲線要研究建設(shè)信息安全的綜合成本與信息安全風(fēng)險(xiǎn)之間的平衡，而不是要片面追求不切實(shí)際的安全不同的信息系統(tǒng)，對于安全的要求不同，不是“ 越安全越好 ”信息系統(tǒng)矛盾三角三類操作系統(tǒng)舉例信息安全保障能力成長階段成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%能力成長階段的劃分? 盲目自信階段– 普遍缺乏安全意識，對企業(yè)安全狀況不了解，未意識到信息安全風(fēng)險(xiǎn)的嚴(yán)重性? 認(rèn)知階段– 通過信息安全風(fēng)險(xiǎn)評估等，企業(yè)意識到自身存在的信息安全風(fēng)險(xiǎn)，開始采取一些措施提升信息安全水平? 改進(jìn)階段– 意識到局部的、單一的信息安全控制措施難以明顯改善企業(yè)信息安全狀況，開始進(jìn)行全面的信息安全架構(gòu)設(shè)計(jì)，有計(jì)劃的建設(shè)信息安全保障體系? 卓越運(yùn)營階段– 信息安全改進(jìn)項(xiàng)目完成后，在擁有較為全面的信息安全控制能力基礎(chǔ)上，建立持續(xù)改進(jìn)的機(jī)制，以應(yīng)對安全風(fēng)險(xiǎn)的變化，不斷提升安全控制能力各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%基本安全產(chǎn)品部署主要人員的培訓(xùn)教育建立安全團(tuán)隊(duì)制定安全方針政策評估并了解現(xiàn)狀各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%啟動(dòng)信息安全戰(zhàn)略項(xiàng)目設(shè)計(jì)信息安全架構(gòu) 建立信息安全流程完成信息安全改進(jìn)項(xiàng)目各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%信息安全流程的持續(xù)改進(jìn)追蹤技術(shù)和業(yè)務(wù)的變化怎么做風(fēng)險(xiǎn)評估？— 評估到底買辣椒水還是請保鏢更合適可能的攻擊信息的價(jià)值可能的損失風(fēng)險(xiǎn)評估簡要版資產(chǎn) 弱點(diǎn)影響弱點(diǎn) 威脅可能性+=當(dāng)前的風(fēng)險(xiǎn)級別風(fēng)險(xiǎn)分析方法示意圖損失的量化必須圍繞用戶的 核心價(jià)值 ，用戶的 核心業(yè)務(wù)流程 ！如何量化損失風(fēng)險(xiǎn)管理趨勢? IT安全風(fēng)險(xiǎn)成為企業(yè)運(yùn)營風(fēng)險(xiǎn)中最為重要的一個(gè)組成部分，業(yè)務(wù)連續(xù)性逐漸與安全并行考慮來源： Gartner否是否是風(fēng)險(xiǎn)評估的準(zhǔn)備已有安全措施的確認(rèn)風(fēng)險(xiǎn)計(jì)算風(fēng)險(xiǎn)是否接受保持已有的控制措施施施施選擇適當(dāng)?shù)目刂拼胧┎⒃u估殘余風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)管理脆弱性識別威脅識別資產(chǎn)識別是否接受殘余風(fēng)險(xiǎn) 風(fēng)險(xiǎn)識別評估過程文檔評估過程文檔風(fēng)險(xiǎn)評估結(jié)果記錄評估結(jié)果文檔…………………風(fēng)險(xiǎn)評估流程等級保護(hù)下風(fēng)險(xiǎn)評估實(shí)施框架保護(hù)對象劃分和定級網(wǎng)絡(luò)系統(tǒng)劃分和定級資產(chǎn)脆弱性威脅風(fēng)險(xiǎn)分析基本安全要求等級保護(hù)管理辦法、指南信息安全政策、標(biāo)準(zhǔn)、法律法規(guī)安全需求風(fēng)險(xiǎn)列表安全規(guī)劃風(fēng)險(xiǎn)評估結(jié)合等保測評的風(fēng)險(xiǎn)評估流程60風(fēng)險(xiǎn)評估項(xiàng)目實(shí)施過程風(fēng)險(xiǎn)評估項(xiàng)目實(shí)施過程計(jì)劃計(jì)劃準(zhǔn)備準(zhǔn)備實(shí)施實(shí)施報(bào)告報(bào)告跟蹤跟蹤61評估工作各角色的責(zé)任評估工作各角色的責(zé)任評估組長 評估員 XX公司安全專責(zé)p負(fù)責(zé)管理問卷訪談和運(yùn)維問卷訪談；p組織評估活動(dòng)，控制協(xié)調(diào)進(jìn)度，保證按計(jì)劃完成評估任務(wù)；p組織召開評估會議；p代表評估小組與受評估方管理層接觸；p組織撰寫風(fēng)險(xiǎn)評估報(bào)告、現(xiàn)狀報(bào)告和安全改進(jìn)建議p提交評估報(bào)告。p 負(fù)責(zé)風(fēng)險(xiǎn)評估技術(shù)部分的內(nèi)容包括：網(wǎng)絡(luò)、主機(jī)系統(tǒng)、應(yīng)用和數(shù)據(jù)庫評估p 熟悉必要的文件和程序；p準(zhǔn)備風(fēng)險(xiǎn)評估技術(shù)評估工具；p 撰寫每單位的評估報(bào)告；p 配合支持評估組長的工作，有效完成評估任務(wù)；p收存和保護(hù)與評估有關(guān)的文件。 p 負(fù)責(zé)配合顧問提供風(fēng)險(xiǎn)評估相關(guān)的工作環(huán)境、評估實(shí)現(xiàn)條件；p備份系統(tǒng)數(shù)據(jù) 。p配合評估顧問完成資產(chǎn)分類、賦值、弱點(diǎn)威脅發(fā)現(xiàn)和賦值、風(fēng)險(xiǎn)處理意見等工作；p掌握風(fēng)險(xiǎn)評估方法；p收存和保護(hù)與評估有關(guān)的文件。 p完成掃描后 ,檢查風(fēng)險(xiǎn)評估后系統(tǒng)的安全性和穩(wěn)定性62風(fēng)險(xiǎn)評估項(xiàng)目實(shí)施
法律信息相關(guān)推薦
鄂ICP備17016276號-1