某移動公司信息安全培訓(xùn)-業(yè)務(wù)連續(xù)性-災(zāi)難恢復(fù)-資料下載頁
2025-01-27 04:43本頁面
【正文】 三級 ?定量分析 ? 對構(gòu)成風(fēng)險的各個要素和潛在損失的水平賦予數(shù)值或貨幣金額，當(dāng)度量風(fēng)險的所有要素（資產(chǎn)價值、威脅頻率、弱點(diǎn)利用程度、安全措施的效率和成本等）都被賦值，風(fēng)險評估的整個過程和結(jié)果就都可以被量化 風(fēng)險評估原理 資產(chǎn)識別脆弱性識別威脅識別資產(chǎn)值脆弱性賦值威脅賦值安全事件造成可能損失值安全事件發(fā)生的可能性值風(fēng)險值風(fēng)險評估依據(jù) 內(nèi)容 參照標(biāo)準(zhǔn) RA方法和計(jì)算 GB/T20984（1） 物理防護(hù) 通用防護(hù) 《信息安全技術(shù) 信息系統(tǒng)物理安全技術(shù)要求》（報(bào)批稿） 布線 GB/T503112023（2） 防電磁泄露 GB/T87021988（3） 防雷 GB/T7450（4），GB/T50057（5），GB/T503432023（6），《防雷裝置安全檢測技術(shù)規(guī)范》 防火 GBJ162023（7） 防靜電 YDT 754（8） 接地 GB/T50169（9） 火災(zāi)報(bào)警 GB/T50166（10） 活動地板 GB/T6650（11），SJT 107962023（12） 場地 GB/T2887（13），GB/T50174（14），GB/T9361（15）， 網(wǎng)絡(luò)防護(hù) GAT3872023（16），GB/T202712023（17），GB/T10818（18），GB/T210502023（19） 系統(tǒng)防護(hù) GB/T210282023（20），GB/T202712023（17），《信息系統(tǒng)安全等級保護(hù)基本要求》（報(bào)批稿） 安全管理 通用管理 《信息安全管理實(shí)用規(guī)則》（征求意見稿），ISO177992023 等級保護(hù)管理 GAT 3882023b（21） 系統(tǒng)安全管理 GB/T202692023（22） 安全體系管理 《信息安全管理體系要求》(征求意見稿)，ISO270012023 安全事件管理 ISO180442023，GB20986（23），GB/Z 20985（24） 應(yīng)急響應(yīng) 《信息安全應(yīng)急響應(yīng)計(jì)劃規(guī)范》（報(bào)批稿） 災(zāi)難備份 GB/T209882023（26） 收集和分析數(shù)據(jù) ? 風(fēng)險評估工具 ? 調(diào)查問卷 ? 會面訪談 ? 文獻(xiàn)法 ? 現(xiàn)場觀察法 ? 歷史經(jīng)驗(yàn) ? 現(xiàn)有的控制措施 威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)價值安全事件的可能性安全事件造成的損失風(fēng)險值威脅識別脆弱性識別資產(chǎn)識別 資產(chǎn)識別 ? 傳統(tǒng)方法 ? 流程方法 資產(chǎn)分類 分類 示例 數(shù)據(jù) 保存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、數(shù)據(jù)庫數(shù)據(jù)、系統(tǒng)文檔、運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶手冊、各類紙質(zhì)的文檔等 軟件 系統(tǒng)軟件：操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、語句包、開發(fā)系統(tǒng)等 應(yīng)用軟件：辦公軟件、數(shù)據(jù)庫軟件、各類工具軟件等 源程序：各種共享源代碼、自行或合作開發(fā)的各種代碼等 硬件 網(wǎng)絡(luò)設(shè)備：路由器、網(wǎng)關(guān)、交換機(jī)等 計(jì)算機(jī)設(shè)備：大型機(jī)、小型機(jī)、服務(wù)器、工作站、臺式計(jì)算機(jī)、便攜計(jì)算機(jī)等 存儲設(shè)備：磁帶機(jī)、磁盤陣列、磁帶、光盤、軟盤、移動硬盤等 傳輸線路：光纖、雙絞線等 保障設(shè)備：UPS、變電設(shè)備、空調(diào)、保險柜、文件柜、門禁、消防設(shè)施等 安全設(shè)備：防火墻、入侵檢測系統(tǒng)、身份鑒別等 其他：打印機(jī)、復(fù)印機(jī)、掃描儀、傳真機(jī)等 服務(wù) 信息服務(wù)：對外依賴該系統(tǒng)開展的各類服務(wù) 網(wǎng)絡(luò)服務(wù)：各種網(wǎng)絡(luò)設(shè)備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù) 辦公服務(wù)：為提高效率而開發(fā)的管理信息系統(tǒng)，包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù) 人員 掌握重要信息和核心業(yè)務(wù)的人員，如主機(jī)維護(hù)主管、網(wǎng)絡(luò)維護(hù)主管及應(yīng)用項(xiàng)目經(jīng)理等 其它 企業(yè)形象、客戶關(guān)系等 資產(chǎn)識別流程方法 ? 識別業(yè)務(wù) ? 給業(yè)務(wù)分類分級 ? 細(xì)化業(yè)務(wù)流程 ? 確定關(guān)鍵功能 ? 關(guān)鍵功能上的資產(chǎn) 資產(chǎn)的識別 ?資產(chǎn)的三個安全屬性 ? 機(jī)密性:只有被授予特性權(quán)限才能夠訪問和使用的資產(chǎn) ? 完整性：使用、傳輸、存儲的過程中不發(fā)生篡改、丟失、錯誤等現(xiàn)象或者非法操作 ? 可用性：確保資產(chǎn)正常和可用 ?目標(biāo)：計(jì)算資產(chǎn)的重要性（價值） 威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)價值安全事件的可能性安全事件造成的損失風(fēng)險值威脅識別脆弱性識別資產(chǎn)識別 機(jī)密性 威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)價值安全事件的可能性安全事件造成的損失風(fēng)險值威脅識別脆弱性識別資產(chǎn)識別 賦值 級別 定義 5 很高 包含組織最重要的秘密，關(guān)系未來發(fā)展的前途命運(yùn)，對組織根本利益有著決定性的影響，如果泄露會造成災(zāi)難性的損害 4 高 包含組織的重要秘密，其泄露會使組織的安全和利益遭受嚴(yán)重?fù)p害 3 中等 組織的一般性秘密，其泄露會使組織的安全和利益受到損害 2 低 僅能在組織內(nèi)部或在組織某一部門內(nèi)部公開的信息，向外擴(kuò)散有可能對組織的利益造成輕微損害 1 很低 可對社會公開的信息，公用的信息處理設(shè)備和系統(tǒng)資源等 完整性 威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)價值安全事件的可能性安全事件造成的損失風(fēng)險值威脅識別脆弱性識別資產(chǎn)識別 賦值 級別 定義 5 很高 完整性價值非常關(guān)鍵，未經(jīng)授權(quán)的修改或破壞會對組織造成重大的或無法接受的影響，對業(yè)務(wù)沖擊重大，并可能造成嚴(yán)重的業(yè)務(wù)中斷，難以彌補(bǔ)。 4 高 完整性價值較高，未經(jīng)授權(quán)的修改或破壞會對組織造成重大影響，對業(yè)務(wù)沖擊嚴(yán)重，較難彌補(bǔ)。 3 中等 完整性價值中等，未經(jīng)授權(quán)的修改或破壞會對組織造成影響，對業(yè)務(wù)沖擊明顯，但可以彌補(bǔ)。 2 低 完整性價值較低，未經(jīng)授權(quán)的修改或破壞會對組織造成輕微影響，對業(yè)務(wù)沖擊輕微，容易彌補(bǔ)。 1 很低 可對社會公開的信息，公用的信息處理設(shè)備和系統(tǒng)資源等 可用性 威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)價值安全事件的可能性安全事件造成的損失風(fēng)險值威脅識別脆弱性識別資產(chǎn)識別 賦值 級別 定義 5 很高 可用性價值非常高，合法使用者對信息及信息系統(tǒng)的可用度%以上，或系統(tǒng)不允許中斷。 4 高 可用性價值較高，合法使用者對信息及信息系統(tǒng)的可用度達(dá)到每天90%以上，或系統(tǒng)允許中斷時間小于10分鐘。 3 中等 可用性價值中等，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間達(dá)到70%以上，或系統(tǒng)允許中斷時間小于30分鐘。 2 低 可用性價值較低，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間達(dá)到25%以上，或系統(tǒng)允許中斷時間小于60分鐘。 1 很低 可用性價值可以忽略，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間低于25
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號-1