第06講octave風險評估方法(編輯修改稿)
2025-03-23 11:57 本頁面
【文章內(nèi)容簡介】 風險評估的準備 ? 爭取高層管理者的支持 ? 沒有領(lǐng)導(dǎo)的批準，評估不能進行。 ? 挑選評估小組成員 ? 評估小組應(yīng)由各個業(yè)務(wù)部門的人員組成，而不只是 IT部門。 ? 評估小組主持評估過程的進行，并分析信息，給出結(jié)論。 ? 小組成員應(yīng)具備充分的能力，并且勝任主持評估過程的工作。 ? 小組成員應(yīng)知道在什么時候補充人員，以便擴充小組的知識面。 風險評估的準備 ? 設(shè)置合適的評估范圍（涉及的業(yè)務(wù)區(qū)域） ?OCTAVE評估要覆蓋全部的組織重要資產(chǎn)。但是評估范圍不應(yīng)過大。如果評估范圍選的過大評估小組獲取和分析風險相關(guān)的信息將會變的非常困難。如果范圍選的過小，得出的評估結(jié)果將不能準確反映出系統(tǒng)風險的真實情況。 ? 挑選風險評估參與者 ?OCTAVE方法，是一個交互性很強的方法。在各個階段的各個過程中都要執(zhí)行多個任務(wù)，進行多次研討會，每個過程中都會涉及評估組以外的參與者 風險評估的準備 各個過程的參與者 過程 參與者 時間安排 過程 1 至少 3名高層領(lǐng)導(dǎo) 189。天 過程 2 至少 4名來自評估涉及的業(yè)務(wù)區(qū)域的中層領(lǐng)導(dǎo) 189。天 過程 3 3～ 4名來自評估涉及的業(yè)務(wù)區(qū)域的員工 189。天 過程 4 一名具備熟練分析技巧的員工增援評估組（可選） 1天 …… …… …… 風險評估的準備 ? 建立適當?shù)暮笄诒ＷC（主要是研討會的會務(wù)準備工作） ?評估日程表 ? 前期準備、各個任務(wù)以及研討會的時間安排 ?提供會議室和設(shè)備 ? 白板、投影儀 ?? ?處理計劃外事件 ? 根據(jù)需要臨時決定召開額外的研討會 MedSite的風險評估準備 ? 正副院長都同意評估并允諾給予支持 ? 評估組的組成： ?Lee（外科主任），評估組負責人； ?Susan（檔案科職員），書記員； ?Sunny（ IT人員）； ?Kris（后勤處副處長），負責后勤工作，兼職； ?Ruis（ IT職員），作為 Sunny的替補。 MedSite的風險評估準備 ? 評估參與人員 ? 高層領(lǐng)導(dǎo)（參與過程 1）： ? Peter，院長； ? White，分管診療業(yè)務(wù)的副院長； ? ，分管醫(yī)藥的副院長； ? Alice，分管病理學(xué)研究的副院長； ? Chen，分管各下轄診所的副院長 ? 中層領(lǐng)導(dǎo)以及評估涉及的科室（參與過程 2）： ? ， IT經(jīng)理； ? Bob，門診科主任； ? Stone，住院部主任； ? Christina，病理學(xué)實驗室主任； MedSite的風險評估準備 ? 評估參與人員 ?普通職員： ? IT部， Jack、 Winston； ? 門診部， 、 Farris； ? 住院部， Alan, Joyce ? 實驗室， Johnson, Rose MedSite的風險評估準備 ? 評估日程 ?略。 OCTAVE 方法（ Method） ? 風險評估的準備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎(chǔ)設(shè)施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 階段 1：建立基于資產(chǎn)的威脅文件 ? 過程 1：標識高層管理知識； ? 過程 2：標識業(yè)務(wù)區(qū)域知識； ? 過程 3：標識一般員工知識； ? 過程 4：創(chuàng)建威脅文件； 過程 3 ? 前三過程，評估組分別與高層領(lǐng)導(dǎo)、中層領(lǐng)導(dǎo)和一般員工進行研討會，聽取他們對什么是重要的信息資產(chǎn)，以及當前保護狀況的看法。 ? 這三步中要執(zhí)行四個任務(wù)： ? 標識組織重要資產(chǎn)和它們對組織的重要程度； ? 列舉出所有信息資產(chǎn)，并確定那些是重要資產(chǎn) ? 標識安全要關(guān)心的內(nèi)容（威脅、影響）； ? 描述可能的威脅，和影響 ? 標識組織重要資產(chǎn)的安全需要； ? 識別每個資產(chǎn)的安全需要，劃分優(yōu)先級 ? 標識當前的組織安全措施以及組織脆弱性（管理層面上的脆弱性）； ? 檢查已有的措施，與良好安全實踐列表相比較（基線評估） 過程 3（ MedSite） ? MedSite重要資產(chǎn)目錄 ?PIDS：這個系統(tǒng)負責著大部分患者數(shù)據(jù)的管理，是醫(yī)院最重要信息資產(chǎn)； ?紙制藥單：遺失后沒法重建的資料； ?FRKS：財務(wù)系統(tǒng)。涉及經(jīng)濟命脈，重要； ?醫(yī)護人員資格證書：這是行醫(yī)的本錢！ 過程 3（ MedSite） ? 列舉 MedSite中 PIDS所面臨的威脅： ?訪問非授權(quán)數(shù)據(jù) ?蓄意的輸入錯誤數(shù)據(jù) ?斷電、洪水 ?? ?系統(tǒng)事故 ?其它在研討會中被人提出的可能威脅事件 過程 3（ MedSite） ? 列舉影響： ?員工蓄意輸入錯誤數(shù)據(jù)，可能導(dǎo)致： ? 影響員工的工作情緒和積極性； ? 影響病人的生命； ?斷電、洪水等，可能導(dǎo)致： ? 醫(yī)院不能提供及時有效的醫(yī)療服務(wù) ?其它被人提出來的可能影響 過程 3（ MedSite） ? PIDS的安全需要： ?可用性 ? PIDS需要保持每天 24小時可用； ?保密性 ? 信息需要保密； ? 對于非法的信息訪問，一經(jīng)發(fā)現(xiàn)要起訴到法院 ?完整性 ? ?? 過程 3（ M
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1