信息安全風(fēng)險評估國家標(biāo)準(zhǔn)編制及內(nèi)容介紹(ppt44)(1)-資料下載頁
2025-02-28 17:25本頁面
【正文】 階段風(fēng)險評估的目的是根據(jù)系統(tǒng)安全需求和運(yùn)行環(huán)境對系統(tǒng)開發(fā)、實(shí)施過程進(jìn)行風(fēng)險識別，并對系統(tǒng)建成后的安全功能進(jìn)行驗(yàn)證。根據(jù)設(shè)計(jì)階段分析的威脅和制定的安全措施，在實(shí)施及驗(yàn)收時進(jìn)行質(zhì)量控制。 基于設(shè)計(jì)階段的資產(chǎn)列表、安全措施，實(shí)施階段應(yīng)對規(guī)劃階段的安全威脅進(jìn)行進(jìn)一步細(xì)分，同時評估安全措施的實(shí)現(xiàn)程度，從而確定安全措施能否抵御現(xiàn)有威脅、脆弱性的影響。實(shí)施階段風(fēng)險評估主要對系統(tǒng)的開發(fā)與技術(shù) /產(chǎn)品獲取、系統(tǒng)交付實(shí)施兩個過程進(jìn)行評估。 54 運(yùn)行維護(hù)階段的風(fēng)險評估 運(yùn)行維護(hù)階段風(fēng)險評估的目的是了解和控制運(yùn)行過程中的安全風(fēng)險，是一種較為全面的風(fēng)險評估。評估內(nèi)容包括對真實(shí)運(yùn)行的信息系統(tǒng)、資產(chǎn)、威脅、脆弱性等各方面。 資產(chǎn)評估：在真實(shí)環(huán)境下較為細(xì)致的評估。包括實(shí)施階段采購的軟硬件資產(chǎn)、系統(tǒng)運(yùn)行過程中生成的信息資產(chǎn)、相關(guān)的人員與服務(wù)等，本階段資產(chǎn)識別是前期資產(chǎn)識別的補(bǔ)充與增加； 威脅評估：應(yīng)全面地分析威脅的可能性和影響程度。對非故意威脅導(dǎo)致安全事件的評估可以參照安全事件的發(fā)生頻率；對故意威脅導(dǎo)致安全事件的評估主要就威脅的各個影響因素做出專業(yè)判斷； 脆弱性評估：是全面的脆弱性評估。包括運(yùn)行環(huán)境中物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、安全保障設(shè)備、管理等各方面的脆弱性。技術(shù)脆弱性評估可以采取核查、掃描、案例驗(yàn)證、滲透性測試的方式實(shí)施；安全保障設(shè)備的脆弱性評估，應(yīng)考慮安全功能的實(shí)現(xiàn)情況和安全保障設(shè)備本身的脆弱性；管理脆弱性評估可以采取文檔、記錄核查等方式進(jìn)行驗(yàn)證； 風(fēng)險計(jì)算：根據(jù)本標(biāo)準(zhǔn)的相關(guān)方法，對重要資產(chǎn)的風(fēng)險進(jìn)行定性或定量的風(fēng)險分析，描述不同資產(chǎn)的風(fēng)險高低狀況。 55 廢棄階段的風(fēng)險評估 當(dāng)信息系統(tǒng)不能滿足現(xiàn)有要求時，信息系統(tǒng)進(jìn)入廢棄階段。根據(jù)廢棄的程度，又分為部分廢棄和全部廢棄兩種。 廢棄階段風(fēng)險評估著重在以下幾方面： 確保硬件和軟件等資產(chǎn)及殘留信息得到了適當(dāng)?shù)奶幹?，并確保系 統(tǒng)組件被合理地丟棄或更換； 如果被廢棄的系統(tǒng)是某個系統(tǒng)的一部分，或與其他系統(tǒng)存在物理 或邏輯上的連接，還應(yīng)考慮系統(tǒng)廢棄后與其他系統(tǒng)的連接是否被 關(guān)閉； 如果在系統(tǒng)變更中廢棄，除對廢棄部分外，還應(yīng)對變更的部分進(jìn) 行評估，以確定是否會增加風(fēng)險或引入新的風(fēng)險； 是否建立了流程，確保更新過程在一個安全、系統(tǒng)化的狀態(tài)下完 成。 56 匯報內(nèi)容 一、標(biāo)準(zhǔn)的編制過程 二、標(biāo)準(zhǔn)的主要內(nèi)容 三、下一步工作的幾點(diǎn)思考 57 按照標(biāo)準(zhǔn)化管理和審批程序，繼續(xù)完成 《 信息安全風(fēng) 險評估規(guī)范 》 和 《 信息安全風(fēng)險管理指南 》 兩項(xiàng)國家標(biāo)準(zhǔn)； 結(jié)合國家基礎(chǔ)網(wǎng)絡(luò)和重要系統(tǒng)工程發(fā)展的需要，在已 有相關(guān)標(biāo)準(zhǔn)推廣應(yīng)用的基礎(chǔ)上，進(jìn)行風(fēng)險評估與管理標(biāo)準(zhǔn)體 系的研究，以構(gòu)建我國信息安全風(fēng)險評估標(biāo)準(zhǔn)體系； 根據(jù)標(biāo)準(zhǔn)體系總體規(guī)劃的原則，相應(yīng)開展規(guī)劃與設(shè)計(jì) 階段方案風(fēng)險評估實(shí)施細(xì)則、要素等級劃分規(guī)范等標(biāo)準(zhǔn)化項(xiàng) 目的研制工作； 在總結(jié)我國信息安全風(fēng)險評估與管理工作經(jīng)驗(yàn)的基礎(chǔ) 上，積極參與 ISO相關(guān)國際標(biāo)準(zhǔn)化活動。 三、下一步工作的幾點(diǎn)思考 58 總之，將繼續(xù)跟蹤國內(nèi)外相關(guān)領(lǐng)域的最新技術(shù)發(fā)展動態(tài)，進(jìn)一步研究完善信息安全風(fēng)險評估標(biāo)準(zhǔn)體系，進(jìn)行相關(guān)標(biāo)準(zhǔn)的編制工作。以此，為國家信息安全風(fēng)險評估工作健康順利的發(fā)展做好基礎(chǔ)性工作。 信 息 安 全 風(fēng) 險評 估 國 家 標(biāo) 準(zhǔn)信 息 安 全 風(fēng) 險評 估 指 南信 息 安 全 風(fēng) 險管 理 指 南相 關(guān) 技 術(shù) 層 面 的細(xì) 則 和 規(guī) 范重 點(diǎn) 行 業(yè) 的 風(fēng) 險管 理 標(biāo) 準(zhǔn) 信 息 系 統(tǒng) 各 生 命 周期 的 風(fēng) 險 管 理 標(biāo) 準(zhǔn) 風(fēng) 險 管 理 標(biāo) 準(zhǔn)體 系 研 究其 他信 息 系 統(tǒng) 各 生 命 周期 的 風(fēng) 險 評 估 標(biāo) 準(zhǔn) 重 點(diǎn) 行 業(yè) 的 風(fēng) 險評 估 標(biāo) 準(zhǔn) 相 關(guān) 技 術(shù) 層 面 的細(xì) 則 和 規(guī) 范風(fēng) 險 評 估 標(biāo) 準(zhǔn)體 系 研 究其 他59 進(jìn)行 國家信息安全風(fēng)險評估基礎(chǔ)環(huán)境 立項(xiàng) ,以保證風(fēng)險評估工作能夠依據(jù)標(biāo)準(zhǔn)科學(xué)、規(guī)范地展開。 構(gòu)建風(fēng)險評估的模擬仿真實(shí)驗(yàn)環(huán)境 （ 1）方案風(fēng)險評估模擬驗(yàn)證平臺建設(shè) （ 2）風(fēng)險評估工具仿真測試平臺建設(shè) （ 3）在平臺上建設(shè)國家風(fēng)險評估基礎(chǔ)數(shù)據(jù)庫 構(gòu)建風(fēng)險評估前沿問題的實(shí)驗(yàn)環(huán)境 （ 1）網(wǎng)絡(luò)攻防實(shí)驗(yàn)環(huán)境 （ 2）構(gòu)建滲透測試實(shí)驗(yàn)環(huán)境 （ 3）風(fēng)險評估的理論研究環(huán)境 構(gòu)建風(fēng)險評估成果普及與推廣環(huán)境 三、下一步工作的幾點(diǎn)思考 60 謝謝 ! 61 演講完畢，謝謝觀看！
職業(yè)教育相關(guān)推薦
鄂ICP備17016276號-1