某移動公司信息安全培訓-業(yè)務連續(xù)性-災難恢復-資料下載頁
2025-01-27 04:43本頁面
【正文】 三級 ?定量分析 ? 對構成風險的各個要素和潛在損失的水平賦予數(shù)值或貨幣金額，當度量風險的所有要素（資產價值、威脅頻率、弱點利用程度、安全措施的效率和成本等）都被賦值，風險評估的整個過程和結果就都可以被量化 風險評估原理 資產識別脆弱性識別威脅識別資產值脆弱性賦值威脅賦值安全事件造成可能損失值安全事件發(fā)生的可能性值風險值風險評估依據(jù) 內容 參照標準 RA方法和計算 GB/T20984（1） 物理防護 通用防護 《信息安全技術 信息系統(tǒng)物理安全技術要求》（報批稿） 布線 GB/T503112023（2） 防電磁泄露 GB/T87021988（3） 防雷 GB/T7450（4），GB/T50057（5），GB/T503432023（6），《防雷裝置安全檢測技術規(guī)范》 防火 GBJ162023（7） 防靜電 YDT 754（8） 接地 GB/T50169（9） 火災報警 GB/T50166（10） 活動地板 GB/T6650（11），SJT 107962023（12） 場地 GB/T2887（13），GB/T50174（14），GB/T9361（15）， 網(wǎng)絡防護 GAT3872023（16），GB/T202712023（17），GB/T10818（18），GB/T210502023（19） 系統(tǒng)防護 GB/T210282023（20），GB/T202712023（17），《信息系統(tǒng)安全等級保護基本要求》（報批稿） 安全管理 通用管理 《信息安全管理實用規(guī)則》（征求意見稿），ISO177992023 等級保護管理 GAT 3882023b（21） 系統(tǒng)安全管理 GB/T202692023（22） 安全體系管理 《信息安全管理體系要求》(征求意見稿)，ISO270012023 安全事件管理 ISO180442023，GB20986（23），GB/Z 20985（24） 應急響應 《信息安全應急響應計劃規(guī)范》（報批稿） 災難備份 GB/T209882023（26） 收集和分析數(shù)據(jù) ? 風險評估工具 ? 調查問卷 ? 會面訪談 ? 文獻法 ? 現(xiàn)場觀察法 ? 歷史經(jīng)驗 ? 現(xiàn)有的控制措施 威脅出現(xiàn)的頻率脆弱性的嚴重程度資產價值安全事件的可能性安全事件造成的損失風險值威脅識別脆弱性識別資產識別 資產識別 ? 傳統(tǒng)方法 ? 流程方法 資產分類 分類 示例 數(shù)據(jù) 保存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、數(shù)據(jù)庫數(shù)據(jù)、系統(tǒng)文檔、運行管理規(guī)程、計劃、報告、用戶手冊、各類紙質的文檔等 軟件 系統(tǒng)軟件：操作系統(tǒng)、數(shù)據(jù)庫管理系統(tǒng)、語句包、開發(fā)系統(tǒng)等 應用軟件：辦公軟件、數(shù)據(jù)庫軟件、各類工具軟件等 源程序：各種共享源代碼、自行或合作開發(fā)的各種代碼等 硬件 網(wǎng)絡設備：路由器、網(wǎng)關、交換機等 計算機設備：大型機、小型機、服務器、工作站、臺式計算機、便攜計算機等 存儲設備：磁帶機、磁盤陣列、磁帶、光盤、軟盤、移動硬盤等 傳輸線路：光纖、雙絞線等 保障設備：UPS、變電設備、空調、保險柜、文件柜、門禁、消防設施等 安全設備：防火墻、入侵檢測系統(tǒng)、身份鑒別等 其他：打印機、復印機、掃描儀、傳真機等 服務 信息服務：對外依賴該系統(tǒng)開展的各類服務 網(wǎng)絡服務：各種網(wǎng)絡設備、設施提供的網(wǎng)絡連接服務 辦公服務：為提高效率而開發(fā)的管理信息系統(tǒng)，包括各種內部配置管理、文件流轉管理等服務 人員 掌握重要信息和核心業(yè)務的人員，如主機維護主管、網(wǎng)絡維護主管及應用項目經(jīng)理等 其它 企業(yè)形象、客戶關系等 資產識別流程方法 ? 識別業(yè)務 ? 給業(yè)務分類分級 ? 細化業(yè)務流程 ? 確定關鍵功能 ? 關鍵功能上的資產 資產的識別 ?資產的三個安全屬性 ? 機密性:只有被授予特性權限才能夠訪問和使用的資產 ? 完整性：使用、傳輸、存儲的過程中不發(fā)生篡改、丟失、錯誤等現(xiàn)象或者非法操作 ? 可用性：確保資產正常和可用 ?目標：計算資產的重要性（價值） 威脅出現(xiàn)的頻率脆弱性的嚴重程度資產價值安全事件的可能性安全事件造成的損失風險值威脅識別脆弱性識別資產識別 機密性 威脅出現(xiàn)的頻率脆弱性的嚴重程度資產價值安全事件的可能性安全事件造成的損失風險值威脅識別脆弱性識別資產識別 賦值 級別 定義 5 很高 包含組織最重要的秘密，關系未來發(fā)展的前途命運，對組織根本利益有著決定性的影響，如果泄露會造成災難性的損害 4 高 包含組織的重要秘密，其泄露會使組織的安全和利益遭受嚴重損害 3 中等 組織的一般性秘密，其泄露會使組織的安全和利益受到損害 2 低 僅能在組織內部或在組織某一部門內部公開的信息，向外擴散有可能對組織的利益造成輕微損害 1 很低 可對社會公開的信息，公用的信息處理設備和系統(tǒng)資源等 完整性 威脅出現(xiàn)的頻率脆弱性的嚴重程度資產價值安全事件的可能性安全事件造成的損失風險值威脅識別脆弱性識別資產識別 賦值 級別 定義 5 很高 完整性價值非常關鍵，未經(jīng)授權的修改或破壞會對組織造成重大的或無法接受的影響，對業(yè)務沖擊重大，并可能造成嚴重的業(yè)務中斷，難以彌補。 4 高 完整性價值較高，未經(jīng)授權的修改或破壞會對組織造成重大影響，對業(yè)務沖擊嚴重，較難彌補。 3 中等 完整性價值中等，未經(jīng)授權的修改或破壞會對組織造成影響，對業(yè)務沖擊明顯，但可以彌補。 2 低 完整性價值較低，未經(jīng)授權的修改或破壞會對組織造成輕微影響，對業(yè)務沖擊輕微，容易彌補。 1 很低 可對社會公開的信息，公用的信息處理設備和系統(tǒng)資源等 可用性 威脅出現(xiàn)的頻率脆弱性的嚴重程度資產價值安全事件的可能性安全事件造成的損失風險值威脅識別脆弱性識別資產識別 賦值 級別 定義 5 很高 可用性價值非常高，合法使用者對信息及信息系統(tǒng)的可用度%以上，或系統(tǒng)不允許中斷。 4 高 可用性價值較高，合法使用者對信息及信息系統(tǒng)的可用度達到每天90%以上，或系統(tǒng)允許中斷時間小于10分鐘。 3 中等 可用性價值中等，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間達到70%以上，或系統(tǒng)允許中斷時間小于30分鐘。 2 低 可用性價值較低，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間達到25%以上，或系統(tǒng)允許中斷時間小于60分鐘。 1 很低 可用性價值可以忽略，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時間低于25
范文總結相關推薦
鄂ICP備17016276號-1