信息安全風險評估指南-資料下載頁
2025-01-09 21:34本頁面
【正文】 評估 實 施階段風險評估的目的是根據系統(tǒng)安全需求和運行環(huán)境對系統(tǒng)開發(fā)、實施過程進行風險識別，并對系統(tǒng)建成后的安全功能進行驗證。根據設計階段分析的威脅和制定的安全措施，在實施及驗收時進行質量控制。 基于設計階段的資產列表、安全措施，實施階段應對規(guī)劃階段的安全威脅進行進一步細分，同時評估安全措施的實現程度，從而確定安全措施能否抵御現有威脅、脆弱性的影響。實施階段風險評估主要對系統(tǒng)的開發(fā)與技術 /產品獲取、系統(tǒng)交付實施兩個過程進行評估。 55 運行維護階段的風險評估 運行維護階段風險評估的目的是了解和控制運行過程中的安全風險，是一種較為全面的風險評估。評估內容包括對真實運行的信息系統(tǒng)、資產、威脅、脆弱性等各方面。 資產評估：在真實環(huán)境下較為細致的評估。包括實施階段采購的軟硬件資產、系統(tǒng)運行過程中生成的信息資產、相關的人員與服務等，本階段資產識別是前期資產識別的補充與增加； 威脅評估：應全面地分析威脅的可能性和影響程度。對非故意威脅導致安全事件的評估可以參照安全事件的發(fā)生頻率；對故意威脅導致安全事件的評估主要就威脅的各個影響因素做出專業(yè)判斷； 脆弱性評估：是全面的脆弱性評估。包括運行環(huán)境中物理、網絡、系統(tǒng)、應用、安全保障設備、管理等各方面的脆弱性。技術脆弱性評估可以采取核查、掃描、案例驗證、滲透性測試的方式實施；安全保障設備的脆弱性評估，應考慮安全功能的實現情況和安全保障設備本身的脆弱性；管理脆弱性評估可以采取文檔、記錄核查等方式進行驗證； 風險計算：根據本標準的相關方法，對重要資產的風險進行定性或定量的風險分析，描述不同資產的風險高低狀況。 56 廢棄階段的風險評估 當信息系統(tǒng)不能滿足現有要求時，信息系統(tǒng)進入廢棄階段。根據廢棄的程度，又分為部分廢棄和全部廢棄兩種。 廢棄階段風險評估著重在以下幾方面： 確保硬件和軟件等資產及殘留信息得到了適當的處置，并確保系 統(tǒng)組件被合理地丟棄或更換； 如果被廢棄的系統(tǒng)是某個系統(tǒng)的一部分，或與其他系統(tǒng)存在物理 或邏輯上的連接，還應考慮系統(tǒng)廢棄后與其他系統(tǒng)的連接是否被 關閉； 如果在系統(tǒng)變更中廢棄，除對廢棄部分外，還應對變更的部分進 行評估，以確定是否會增加風險或引入新的風險； 是否建立了流程，確保更新過程在一個安全、系統(tǒng)化的狀態(tài)下完 成。 57 匯報內容 一、標準的編制過程 二、標準的主要內容 三、下一步工作的幾點思考 58 按照標準化管理和審批程序，繼續(xù)完成 《 信息安全風 險評估規(guī)范 》 和 《 信息安全風險管理指南 》 兩項國家標準； 結合國家基礎網絡和重要系統(tǒng)工程發(fā)展的需要，在已 有相關標準推廣應用的基礎上，進行風險評估與管理標準體 系的研究，以構建我國信息安全風險評估標準體系； 根據標準體系總體規(guī)劃的原則，相應開展規(guī)劃與設計 階段方案風險評估實施細則、要素等級劃分規(guī)范等標準化項 目的研制工作； 在總結我國信息安全風險評估與管理工作經驗的基礎 上，積極參與 ISO相關國際標準化活動。 三、下一步工作的幾點思考 59 總之，將繼續(xù)跟蹤國內外相關領域的最新技術發(fā)展動態(tài)，進一步研究完善信息安全風險評估標準體系，進行相關標準的編制工作。以此，為國家信息安全風險評估工作健康順利的發(fā)展做好基礎性工作。 信 息 安 全 風 險評 估 國 家 標 準信 息 安 全 風 險評 估 指 南信 息 安 全 風 險管 理 指 南相 關 技 術 層 面 的細 則 和 規(guī) 范重 點 行 業(yè) 的 風 險管 理 標 準 信 息 系 統(tǒng) 各 生 命 周期 的 風 險 管 理 標 準 風 險 管 理 標 準體 系 研 究其 他信 息 系 統(tǒng) 各 生 命 周期 的 風 險 評 估 標 準 重 點 行 業(yè) 的 風 險評 估 標 準 相 關 技 術 層 面 的細 則 和 規(guī) 范風 險 評 估 標 準體 系 研 究其 他60 進行 國家信息安全風險評估基礎環(huán)境 立項 ,以保證風險評估工作能夠依據標準科學、規(guī)范地展開。 構建風險評估的模擬仿真實驗環(huán)境 （ 1）方案風險評估模擬驗證平臺建設 （ 2）風險評估工具仿真測試平臺建設 （ 3）在平臺上建設國家風險評估基礎數據庫 構建風險評估前沿問題的實驗環(huán)境 （ 1）網絡攻防實驗環(huán)境 （ 2）構建滲透測試實驗環(huán)境 （ 3）風險評估的理論研究環(huán)境 構建風險評估成果普及與推廣環(huán)境 三、下一步工作的幾點思考 61 謝謝
試題試卷相關推薦
鄂ICP備17016276號-1