信息系統(tǒng)安全風(fēng)險評估培訓(xùn)材料-資料下載頁
2025-01-18 09:23本頁面
【正文】 ?賦值方法 ?工作輸出 ?《 脆弱性列表 》 ?類型、名稱、描述、賦值 … 風(fēng)險評估流程 資產(chǎn)識別 脆弱性識別 威脅識別 已有安全措施的確認(rèn) 風(fēng)險分析 風(fēng)險評估準(zhǔn)備 實施風(fēng)險管理 已有安全措施確認(rèn) ? 安全措施 預(yù)防性安全措施 保護(hù)性安全措施 ? 主要任務(wù) 針對已識別的脆弱性確認(rèn)已采取的安全措施并記錄下來 ? 工作輸出 《 已有安全措施確認(rèn)表 》 風(fēng)險評估流程 資產(chǎn)識別 脆弱性識別 威脅識別 已有安全措施的確認(rèn) 風(fēng)險分析 風(fēng)險評估準(zhǔn)備 實施風(fēng)險管理 風(fēng)險分析流程 保持已有安全措施 提出風(fēng)險處理計劃 是否接受風(fēng)險 風(fēng)險計算 是 否 風(fēng)險閾值 風(fēng)險計算 ? 風(fēng)險計算方法 １、 威 脅 出 現(xiàn)的 頻 率脆 弱 性 的嚴(yán) 重 程 度資 產(chǎn) 價 值風(fēng) 險 值威 脅 識 別脆 弱 性識 別資 產(chǎn) 識 別安 全 事 件的 可 能 性安 全 事 件的 損 失存 在 的 脆弱 性風(fēng)險計算 ? 風(fēng)險計算方法（續(xù)） ?相乘法： 風(fēng)險值 ＝ 資產(chǎn)價值 x 威脅值 x 脆弱性值 風(fēng)險閾值的確定 ? 風(fēng)險閾值是風(fēng)險是否可接受的判斷依據(jù) ? 確定方法 對象的安全等級 1級 2級 4級 5級 風(fēng)險閾值（風(fēng)險值大于此閾值的風(fēng)險視為不可接受） 設(shè)備類風(fēng)險（包括設(shè)備、機(jī)房、數(shù)據(jù)、網(wǎng)絡(luò)） 60 45 25 15 10 5 人員類風(fēng)險 90 60 40 30 20 10 管理制度、文檔類風(fēng)險 80 50 30 20 10 5 風(fēng)險處理建議 ?主要任務(wù) ?風(fēng)險處理方式 ?降低風(fēng)險 —— 應(yīng)用適當(dāng)?shù)目刂拼胧? (預(yù)防性措施、保護(hù)性措施 ) ?接受風(fēng)險 —— 由于投入過高和收效不明顯 ?避免風(fēng)險 —— 因為風(fēng)險的代價太高，不允許執(zhí)行會產(chǎn)生風(fēng)險的活動 ?轉(zhuǎn)移風(fēng)險 —— 轉(zhuǎn)嫁給第三方（保險、供應(yīng)商） ?對不可接受風(fēng)險提出控制風(fēng)險的安全建議 提 綱 ? 基礎(chǔ)概念 ? 風(fēng)險評估通用流程及具體實施 ? 實施要點及示例說明 成功實施要點 ? 評估范圍確定 ? 分析方法及計算方法的選擇 ? 建立良好的溝通氛圍 ? 適當(dāng)?shù)脑u估工具選擇及操作策略 ? 數(shù)據(jù)、報告應(yīng)務(wù)必做到準(zhǔn)確、詳盡、規(guī)范，可溯 ? 整個過程應(yīng)遵循風(fēng)險評估原則 安全風(fēng)險評估工作重點 ? 管理與技術(shù)并重 －－三分技術(shù)、七分管理 －－管理工作重視程度不夠，比較容易忽視 風(fēng)險評估工作的持續(xù)性 ? 做了風(fēng)險評估，但不代表沒有任何隱患了或者不存在被入侵的可能。 ? 不管操作系統(tǒng)如何更新?lián)Q代，總會有漏洞；不管安全措施多么完善，總會有黑客和病毒。此外，信息系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu)和系統(tǒng)設(shè)置不是一成不變的。再有，黑客技術(shù)和攻擊手段一直在不斷發(fā)展，曾經(jīng)安全的信息系統(tǒng)很可能變得不堪一擊。 謝 謝 ！ Thanks !
試題試卷相關(guān)推薦
鄂ICP備17016276號-1