信息安全風(fēng)險(xiǎn)評(píng)估培訓(xùn)(編輯修改稿)
2025-03-18 18:20 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 。信息安全建設(shè)是一項(xiàng)復(fù)雜的系統(tǒng)工程，要從觀念上進(jìn)行轉(zhuǎn)變，規(guī)劃、管理、技術(shù)等多種因素相結(jié)合使之成為一個(gè)可持續(xù)的動(dòng)態(tài)發(fā)展的過(guò)程。 安全保障體系建設(shè)安全成本 效率 安全 效率曲線 安全 成本曲線要研究建設(shè)信息安全的綜合成本與信息安全風(fēng)險(xiǎn)之間的平衡，而不是要片面追求不切實(shí)際的安全不同的信息系統(tǒng)，對(duì)于安全的要求不同，不是“ 越安全越好 ”信息系統(tǒng)矛盾三角三類操作系統(tǒng)舉例信息安全保障能力成長(zhǎng)階段成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營(yíng)階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來(lái)源： Gartner Inc. 2023年 1月30% 50% 15% 5%能力成長(zhǎng)階段的劃分? 盲目自信階段– 普遍缺乏安全意識(shí)，對(duì)企業(yè)安全狀況不了解，未意識(shí)到信息安全風(fēng)險(xiǎn)的嚴(yán)重性? 認(rèn)知階段– 通過(guò)信息安全風(fēng)險(xiǎn)評(píng)估等，企業(yè)意識(shí)到自身存在的信息安全風(fēng)險(xiǎn)，開(kāi)始采取一些措施提升信息安全水平? 改進(jìn)階段– 意識(shí)到局部的、單一的信息安全控制措施難以明顯改善企業(yè)信息安全狀況，開(kāi)始進(jìn)行全面的信息安全架構(gòu)設(shè)計(jì)，有計(jì)劃的建設(shè)信息安全保障體系? 卓越運(yùn)營(yíng)階段– 信息安全改進(jìn)項(xiàng)目完成后，在擁有較為全面的信息安全控制能力基礎(chǔ)上，建立持續(xù)改進(jìn)的機(jī)制，以應(yīng)對(duì)安全風(fēng)險(xiǎn)的變化，不斷提升安全控制能力各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營(yíng)階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來(lái)源： Gartner Inc. 2023年 1月30% 50% 15% 5%基本安全產(chǎn)品部署主要人員的培訓(xùn)教育建立安全團(tuán)隊(duì)制定安全方針政策評(píng)估并了解現(xiàn)狀各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營(yíng)階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來(lái)源： Gartner Inc. 2023年 1月30% 50% 15% 5%啟動(dòng)信息安全戰(zhàn)略項(xiàng)目設(shè)計(jì)信息安全架構(gòu) 建立信息安全流程完成信息安全改進(jìn)項(xiàng)目各個(gè)階段的主要工作任務(wù)成熟度成熟度時(shí)間時(shí)間盲目自信階段認(rèn)知階段 改進(jìn)階段 卓越運(yùn)營(yíng)階段福布斯 2023強(qiáng)企業(yè)在不同階段的百分比分布來(lái)源： Gartner Inc. 2023年 1月30% 50% 15% 5%信息安全流程的持續(xù)改進(jìn)追蹤技術(shù)和業(yè)務(wù)的變化怎么做風(fēng)險(xiǎn)評(píng)估？— 評(píng)估到底買辣椒水還是請(qǐng)保鏢更合適可能的攻擊信息的價(jià)值可能的損失風(fēng)險(xiǎn)評(píng)估簡(jiǎn)要版資產(chǎn) 弱點(diǎn)影響弱點(diǎn) 威脅可能性+=當(dāng)前的風(fēng)險(xiǎn)級(jí)別風(fēng)險(xiǎn)分析方法示意圖損失的量化必須圍繞用戶的 核心價(jià)值 ，用戶的 核心業(yè)務(wù)流程 ！如何量化損失風(fēng)險(xiǎn)管理趨勢(shì)? IT安全風(fēng)險(xiǎn)成為企業(yè)運(yùn)營(yíng)風(fēng)險(xiǎn)中最為重要的一個(gè)組成部分，業(yè)務(wù)連續(xù)性逐漸與安全并行考慮來(lái)源： Gartner否是否是風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備已有安全措施的確認(rèn)風(fēng)險(xiǎn)計(jì)算風(fēng)險(xiǎn)是否接受保持已有的控制措施施施施選擇適當(dāng)?shù)目刂拼胧┎⒃u(píng)估殘余風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)管理脆弱性識(shí)別威脅識(shí)別資產(chǎn)識(shí)別是否接受殘余風(fēng)險(xiǎn) 風(fēng)險(xiǎn)識(shí)別評(píng)估過(guò)程文檔評(píng)估過(guò)程文檔風(fēng)險(xiǎn)評(píng)估結(jié)果記錄評(píng)估結(jié)果文檔…………………風(fēng)險(xiǎn)評(píng)估流程等級(jí)保護(hù)下風(fēng)險(xiǎn)評(píng)估實(shí)施框架保護(hù)對(duì)象劃分和定級(jí)網(wǎng)絡(luò)系統(tǒng)劃分和定級(jí)資產(chǎn)脆弱性威脅風(fēng)險(xiǎn)分析基本安全要求等級(jí)保護(hù)管理辦法、指南信息安全政策、標(biāo)準(zhǔn)、法律法規(guī)安全需求風(fēng)險(xiǎn)列表安全規(guī)劃風(fēng)險(xiǎn)評(píng)估結(jié)合等保測(cè)評(píng)的風(fēng)險(xiǎn)評(píng)估流程60風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過(guò)程風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施過(guò)程計(jì)劃計(jì)劃準(zhǔn)備準(zhǔn)備實(shí)施實(shí)施報(bào)告報(bào)告跟蹤跟蹤61評(píng)估工作各角色的責(zé)任評(píng)估工作各角色的責(zé)任評(píng)估組長(zhǎng) 評(píng)估員 XX公司安全專責(zé)p負(fù)責(zé)管理問(wèn)卷訪談和運(yùn)維問(wèn)卷訪談；p組織評(píng)估活動(dòng)，控制協(xié)調(diào)進(jìn)度，保證按計(jì)劃完成評(píng)估任務(wù)；p組織召開(kāi)評(píng)估會(huì)議；p代表評(píng)估小組與受評(píng)估方管理層接觸；p組織撰寫(xiě)風(fēng)險(xiǎn)評(píng)估報(bào)告、現(xiàn)狀報(bào)告和安全改進(jìn)建議p提交評(píng)估報(bào)告。p 負(fù)責(zé)風(fēng)險(xiǎn)評(píng)估技術(shù)部分的內(nèi)容包括：網(wǎng)絡(luò)、主機(jī)系統(tǒng)、應(yīng)用和數(shù)據(jù)庫(kù)評(píng)估p 熟悉必要的文件和程序；p準(zhǔn)備風(fēng)險(xiǎn)評(píng)估技術(shù)評(píng)估工具；p 撰寫(xiě)每單位的評(píng)估報(bào)告；p 配合支持評(píng)估組長(zhǎng)的工作，有效完成評(píng)估任務(wù)；p收存和保護(hù)與評(píng)估有關(guān)的文件。 p 負(fù)責(zé)配合顧問(wèn)提供風(fēng)險(xiǎn)評(píng)估相關(guān)的工作環(huán)境、評(píng)估實(shí)現(xiàn)條件；p備份系統(tǒng)數(shù)據(jù) 。p配合評(píng)估顧問(wèn)完成資產(chǎn)分類、賦值、弱點(diǎn)威脅發(fā)現(xiàn)和賦值、風(fēng)險(xiǎn)處理意見(jiàn)等工作；p掌握風(fēng)險(xiǎn)評(píng)估方法；p收存和保護(hù)與評(píng)估有關(guān)的文件。 p完成掃描后 ,檢查風(fēng)險(xiǎn)評(píng)估后系統(tǒng)的安全性和穩(wěn)定性62風(fēng)險(xiǎn)評(píng)估項(xiàng)目實(shí)施
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1