信息安全風險評估培訓(編輯修改稿)
2025-03-18 18:20 本頁面
【文章內(nèi)容簡介】 。信息安全建設是一項復雜的系統(tǒng)工程，要從觀念上進行轉(zhuǎn)變，規(guī)劃、管理、技術(shù)等多種因素相結(jié)合使之成為一個可持續(xù)的動態(tài)發(fā)展的過程。 安全保障體系建設安全成本 效率 安全 效率曲線 安全 成本曲線要研究建設信息安全的綜合成本與信息安全風險之間的平衡，而不是要片面追求不切實際的安全不同的信息系統(tǒng)，對于安全的要求不同，不是“ 越安全越好 ”信息系統(tǒng)矛盾三角三類操作系統(tǒng)舉例信息安全保障能力成長階段成熟度成熟度時間時間盲目自信階段認知階段 改進階段 卓越運營階段福布斯 2023強企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%能力成長階段的劃分? 盲目自信階段– 普遍缺乏安全意識，對企業(yè)安全狀況不了解，未意識到信息安全風險的嚴重性? 認知階段– 通過信息安全風險評估等，企業(yè)意識到自身存在的信息安全風險，開始采取一些措施提升信息安全水平? 改進階段– 意識到局部的、單一的信息安全控制措施難以明顯改善企業(yè)信息安全狀況，開始進行全面的信息安全架構(gòu)設計，有計劃的建設信息安全保障體系? 卓越運營階段– 信息安全改進項目完成后，在擁有較為全面的信息安全控制能力基礎上，建立持續(xù)改進的機制，以應對安全風險的變化，不斷提升安全控制能力各個階段的主要工作任務成熟度成熟度時間時間盲目自信階段認知階段 改進階段 卓越運營階段福布斯 2023強企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%基本安全產(chǎn)品部署主要人員的培訓教育建立安全團隊制定安全方針政策評估并了解現(xiàn)狀各個階段的主要工作任務成熟度成熟度時間時間盲目自信階段認知階段 改進階段 卓越運營階段福布斯 2023強企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%啟動信息安全戰(zhàn)略項目設計信息安全架構(gòu) 建立信息安全流程完成信息安全改進項目各個階段的主要工作任務成熟度成熟度時間時間盲目自信階段認知階段 改進階段 卓越運營階段福布斯 2023強企業(yè)在不同階段的百分比分布來源： Gartner Inc. 2023年 1月30% 50% 15% 5%信息安全流程的持續(xù)改進追蹤技術(shù)和業(yè)務的變化怎么做風險評估？— 評估到底買辣椒水還是請保鏢更合適可能的攻擊信息的價值可能的損失風險評估簡要版資產(chǎn) 弱點影響弱點 威脅可能性+=當前的風險級別風險分析方法示意圖損失的量化必須圍繞用戶的 核心價值 ，用戶的 核心業(yè)務流程 ！如何量化損失風險管理趨勢? IT安全風險成為企業(yè)運營風險中最為重要的一個組成部分，業(yè)務連續(xù)性逐漸與安全并行考慮來源： Gartner否是否是風險評估的準備已有安全措施的確認風險計算風險是否接受保持已有的控制措施施施施選擇適當?shù)目刂拼胧┎⒃u估殘余風險實施風險管理脆弱性識別威脅識別資產(chǎn)識別是否接受殘余風險 風險識別評估過程文檔評估過程文檔風險評估結(jié)果記錄評估結(jié)果文檔…………………風險評估流程等級保護下風險評估實施框架保護對象劃分和定級網(wǎng)絡系統(tǒng)劃分和定級資產(chǎn)脆弱性威脅風險分析基本安全要求等級保護管理辦法、指南信息安全政策、標準、法律法規(guī)安全需求風險列表安全規(guī)劃風險評估結(jié)合等保測評的風險評估流程60風險評估項目實施過程風險評估項目實施過程計劃計劃準備準備實施實施報告報告跟蹤跟蹤61評估工作各角色的責任評估工作各角色的責任評估組長 評估員 XX公司安全專責p負責管理問卷訪談和運維問卷訪談；p組織評估活動，控制協(xié)調(diào)進度，保證按計劃完成評估任務；p組織召開評估會議；p代表評估小組與受評估方管理層接觸；p組織撰寫風險評估報告、現(xiàn)狀報告和安全改進建議p提交評估報告。p 負責風險評估技術(shù)部分的內(nèi)容包括：網(wǎng)絡、主機系統(tǒng)、應用和數(shù)據(jù)庫評估p 熟悉必要的文件和程序；p準備風險評估技術(shù)評估工具；p 撰寫每單位的評估報告；p 配合支持評估組長的工作，有效完成評估任務；p收存和保護與評估有關(guān)的文件。 p 負責配合顧問提供風險評估相關(guān)的工作環(huán)境、評估實現(xiàn)條件；p備份系統(tǒng)數(shù)據(jù) 。p配合評估顧問完成資產(chǎn)分類、賦值、弱點威脅發(fā)現(xiàn)和賦值、風險處理意見等工作；p掌握風險評估方法；p收存和保護與評估有關(guān)的文件。 p完成掃描后 ,檢查風險評估后系統(tǒng)的安全性和穩(wěn)定性62風險評估項目實施
法律信息相關(guān)推薦
鄂ICP備17016276號-1