信息安全風(fēng)險(xiǎn)識(shí)別與評(píng)價(jià)管理程序-資料下載頁(yè)
2025-04-18 04:41本頁(yè)面
【正文】 算函數(shù)；A 表示資產(chǎn)；T 表示威脅；V 表示脆弱性；H表示合規(guī)性； Ia 表示安全事件所作用的資產(chǎn)價(jià)值； L 表示威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件的可能性；F 表示安全事件發(fā)生后造成的損失。有以下三個(gè)關(guān)鍵計(jì)算環(huán)節(jié)：a） 計(jì)算安全事件發(fā)生的可能性根據(jù)威脅出現(xiàn)頻率及脆弱性的狀況，計(jì)算威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，即：安全事件的可能性=L(威脅出現(xiàn)頻率，脆弱性)＝L(T，V )。 即L=T*V在具體評(píng)估中，應(yīng)綜合攻擊者技術(shù)能力（專(zhuān)業(yè)技術(shù)程度、攻擊設(shè)備等）、脆弱性被利用的難易程度（可訪問(wèn)時(shí)間、設(shè)計(jì)和操作知識(shí)公開(kāi)程度等）、資產(chǎn)吸引力等因素來(lái)判斷安全事件發(fā)生的可能性。b） 計(jì)算安全事件發(fā)生后造成的損失（即影響值）根據(jù)資產(chǎn)價(jià)值及脆弱性嚴(yán)重程度，計(jì)算安全事件一旦發(fā)生后造成的損失，即：安全事件造成的損失=F(資產(chǎn)價(jià)值，脆弱性嚴(yán)重程度)＝F(Ia，V )。 即F=la*v。部分安全事件的發(fā)生造成的損失不僅僅是針對(duì)該資產(chǎn)本身，還可能影響業(yè)務(wù)的連續(xù)性；不同安全事件的發(fā)生對(duì)組織的影響也是不一樣的。在計(jì)算某個(gè)安全事件的損失時(shí)，應(yīng)將對(duì)組織的影響也考慮在內(nèi)。部分安全事件造成的損失的判斷還應(yīng)參照安全事件發(fā)生可能性的結(jié)果，對(duì)發(fā)生可能性極小的安全事件，如處于非地震帶的地震威脅、在采取完備供電措施狀況下的電力故障威脅等，可以不計(jì)算其損失。c） 計(jì)算風(fēng)險(xiǎn)值根據(jù)計(jì)算出的安全事件的可能性以及安全事件造成的損失，計(jì)算風(fēng)險(xiǎn)值，即：風(fēng)險(xiǎn)值=R(安全事件的可能性，安全事件造成的損失)＝R(L(T，V)，F(xiàn)(Ia，V ))。本公司規(guī)定采取相乘法進(jìn)行風(fēng)險(xiǎn)值的計(jì)算。R=L*F=Ia*T*V 風(fēng)險(xiǎn)結(jié)果判定為實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)的控制與管理，可以對(duì)風(fēng)險(xiǎn)評(píng)估的結(jié)果進(jìn)行等級(jí)化處理?？蓪L(fēng)險(xiǎn)劃分為五級(jí)，等級(jí)越高，風(fēng)險(xiǎn)越高。風(fēng)險(xiǎn)等級(jí)達(dá)到四級(jí)為不可接受風(fēng)險(xiǎn)，四級(jí)以下為可接受風(fēng)險(xiǎn)，不可接受風(fēng)險(xiǎn)由風(fēng)險(xiǎn)評(píng)估小組制定風(fēng)險(xiǎn)處理計(jì)劃，并由各責(zé)任部門(mén)負(fù)責(zé)實(shí)施。表12 風(fēng)險(xiǎn)等級(jí)劃分表等級(jí)標(biāo)識(shí)描述5很高一旦發(fā)生將產(chǎn)生非常嚴(yán)重的經(jīng)濟(jì)或社會(huì)影響，如組織信譽(yù)嚴(yán)重破壞、嚴(yán)重影響組織的正常經(jīng)營(yíng)，經(jīng)濟(jì)損失重大、社會(huì)影響惡劣4高一旦發(fā)生將產(chǎn)生較大的經(jīng)濟(jì)或社會(huì)影響，在一定范圍內(nèi)給組織的經(jīng)營(yíng)和組織信譽(yù)造成損害3中等一旦發(fā)生會(huì)造成一定的經(jīng)濟(jì)、社會(huì)或生產(chǎn)經(jīng)營(yíng)影響，但影響面和影響程度不大2低一旦發(fā)生造成的影響程度較低，一般僅限于組織內(nèi)部，通過(guò)一定手段很快能解決1很低一旦發(fā)生造成的影響幾乎不存在，通過(guò)簡(jiǎn)單的措施就能彌補(bǔ)表12 風(fēng)險(xiǎn)等級(jí)劃分風(fēng)險(xiǎn)值156111235367980125風(fēng)險(xiǎn)等級(jí)12345六、殘余風(fēng)險(xiǎn)評(píng)估:在對(duì)于不可接受的風(fēng)險(xiǎn)選擇適當(dāng)安全措施后，為確保安全措施的有效性，需要進(jìn)行再評(píng)估，以判斷實(shí)施安全措施后的殘余風(fēng)險(xiǎn)是否已經(jīng)降低到可接受的水平。殘余風(fēng)險(xiǎn)的評(píng)估可以從脆弱性評(píng)估開(kāi)始，在對(duì)照安全措施實(shí)施前后的脆弱性狀況后，再次計(jì)算風(fēng)險(xiǎn)值的大小。某些風(fēng)險(xiǎn)如果在選擇了適當(dāng)?shù)陌踩胧┖螅瑲堄囡L(fēng)險(xiǎn)的結(jié)果仍處于不可接受的風(fēng)險(xiǎn)范圍內(nèi)，那么就應(yīng)該考慮是否接受此風(fēng)險(xiǎn)或進(jìn)一步增加相應(yīng)的安全措施。七、風(fēng)險(xiǎn)實(shí)施流程:風(fēng)險(xiǎn)評(píng)估的實(shí)施流程如圖1所示：風(fēng)險(xiǎn)評(píng)估準(zhǔn)備脆弱性識(shí)別威脅識(shí)別資產(chǎn)識(shí)別已有安全措施的確認(rèn)風(fēng)險(xiǎn)評(píng)估文檔記錄評(píng)估過(guò)程文檔風(fēng)險(xiǎn)值計(jì)算風(fēng)險(xiǎn)是否接受保持已有的安全措施評(píng)估過(guò)程文檔 是否制定風(fēng)險(xiǎn)處理計(jì)劃并評(píng)估殘余風(fēng)險(xiǎn) 否是否接受殘余風(fēng)險(xiǎn)實(shí)施風(fēng)險(xiǎn)管理評(píng)估過(guò)程文檔是圖1 風(fēng)險(xiǎn)評(píng)估實(shí)施流程圖八、風(fēng)險(xiǎn)評(píng)估文檔記錄:《信息資產(chǎn)風(fēng)險(xiǎn)評(píng)估準(zhǔn)則》《信息資產(chǎn)清單》《信息資產(chǎn)風(fēng)險(xiǎn)評(píng)估準(zhǔn)表》《風(fēng)險(xiǎn)處理計(jì)劃》修訂歷史： 版本號(hào)：00生效日期：內(nèi)容：新制訂文件。
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1