第06講octave風險評估方法(編輯修改稿)
2025-03-23 11:57 本頁面
【文章內容簡介】 風險評估的準備 ? 爭取高層管理者的支持 ? 沒有領導的批準，評估不能進行。 ? 挑選評估小組成員 ? 評估小組應由各個業(yè)務部門的人員組成，而不只是 IT部門。 ? 評估小組主持評估過程的進行，并分析信息，給出結論。 ? 小組成員應具備充分的能力，并且勝任主持評估過程的工作。 ? 小組成員應知道在什么時候補充人員，以便擴充小組的知識面。 風險評估的準備 ? 設置合適的評估范圍（涉及的業(yè)務區(qū)域） ?OCTAVE評估要覆蓋全部的組織重要資產。但是評估范圍不應過大。如果評估范圍選的過大評估小組獲取和分析風險相關的信息將會變的非常困難。如果范圍選的過小，得出的評估結果將不能準確反映出系統(tǒng)風險的真實情況。 ? 挑選風險評估參與者 ?OCTAVE方法，是一個交互性很強的方法。在各個階段的各個過程中都要執(zhí)行多個任務，進行多次研討會，每個過程中都會涉及評估組以外的參與者 風險評估的準備 各個過程的參與者 過程 參與者 時間安排 過程 1 至少 3名高層領導 189。天 過程 2 至少 4名來自評估涉及的業(yè)務區(qū)域的中層領導 189。天 過程 3 3～ 4名來自評估涉及的業(yè)務區(qū)域的員工 189。天 過程 4 一名具備熟練分析技巧的員工增援評估組（可選） 1天 …… …… …… 風險評估的準備 ? 建立適當?shù)暮笄诒ＷC（主要是研討會的會務準備工作） ?評估日程表 ? 前期準備、各個任務以及研討會的時間安排 ?提供會議室和設備 ? 白板、投影儀 ?? ?處理計劃外事件 ? 根據(jù)需要臨時決定召開額外的研討會 MedSite的風險評估準備 ? 正副院長都同意評估并允諾給予支持 ? 評估組的組成： ?Lee（外科主任），評估組負責人； ?Susan（檔案科職員），書記員； ?Sunny（ IT人員）； ?Kris（后勤處副處長），負責后勤工作，兼職； ?Ruis（ IT職員），作為 Sunny的替補。 MedSite的風險評估準備 ? 評估參與人員 ? 高層領導（參與過程 1）： ? Peter，院長； ? White，分管診療業(yè)務的副院長； ? ，分管醫(yī)藥的副院長； ? Alice，分管病理學研究的副院長； ? Chen，分管各下轄診所的副院長 ? 中層領導以及評估涉及的科室（參與過程 2）： ? ， IT經理； ? Bob，門診科主任； ? Stone，住院部主任； ? Christina，病理學實驗室主任； MedSite的風險評估準備 ? 評估參與人員 ?普通職員： ? IT部， Jack、 Winston； ? 門診部， 、 Farris； ? 住院部， Alan, Joyce ? 實驗室， Johnson, Rose MedSite的風險評估準備 ? 評估日程 ?略。 OCTAVE 方法（ Method） ? 風險評估的準備 ? 階段 1：建立基于資產的威脅文件 ? 階段 2：識別基礎設施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風險控制）計劃 階段 1：建立基于資產的威脅文件 ? 過程 1：標識高層管理知識； ? 過程 2：標識業(yè)務區(qū)域知識； ? 過程 3：標識一般員工知識； ? 過程 4：創(chuàng)建威脅文件； 過程 3 ? 前三過程，評估組分別與高層領導、中層領導和一般員工進行研討會，聽取他們對什么是重要的信息資產，以及當前保護狀況的看法。 ? 這三步中要執(zhí)行四個任務： ? 標識組織重要資產和它們對組織的重要程度； ? 列舉出所有信息資產，并確定那些是重要資產 ? 標識安全要關心的內容（威脅、影響）； ? 描述可能的威脅，和影響 ? 標識組織重要資產的安全需要； ? 識別每個資產的安全需要，劃分優(yōu)先級 ? 標識當前的組織安全措施以及組織脆弱性（管理層面上的脆弱性）； ? 檢查已有的措施，與良好安全實踐列表相比較（基線評估） 過程 3（ MedSite） ? MedSite重要資產目錄 ?PIDS：這個系統(tǒng)負責著大部分患者數(shù)據(jù)的管理，是醫(yī)院最重要信息資產； ?紙制藥單：遺失后沒法重建的資料； ?FRKS：財務系統(tǒng)。涉及經濟命脈，重要； ?醫(yī)護人員資格證書：這是行醫(yī)的本錢！ 過程 3（ MedSite） ? 列舉 MedSite中 PIDS所面臨的威脅： ?訪問非授權數(shù)據(jù) ?蓄意的輸入錯誤數(shù)據(jù) ?斷電、洪水 ?? ?系統(tǒng)事故 ?其它在研討會中被人提出的可能威脅事件 過程 3（ MedSite） ? 列舉影響： ?員工蓄意輸入錯誤數(shù)據(jù)，可能導致： ? 影響員工的工作情緒和積極性； ? 影響病人的生命； ?斷電、洪水等，可能導致： ? 醫(yī)院不能提供及時有效的醫(yī)療服務 ?其它被人提出來的可能影響 過程 3（ MedSite） ? PIDS的安全需要： ?可用性 ? PIDS需要保持每天 24小時可用； ?保密性 ? 信息需要保密； ? 對于非法的信息訪問，一經發(fā)現(xiàn)要起訴到法院 ?完整性 ? ?? 過程 3（ M
教學課件相關推薦
鄂ICP備17016276號-1