信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)編制與內(nèi)容介紹-資料下載頁(yè)
2025-02-28 18:20本頁(yè)面
【正文】 施階段風(fēng)險(xiǎn)評(píng)估的目的是根據(jù)系統(tǒng)安全需求和運(yùn)行環(huán)境對(duì)系統(tǒng)開(kāi)發(fā)、實(shí)施過(guò)程進(jìn)行風(fēng)險(xiǎn)識(shí)別，并對(duì)系統(tǒng)建成后的安全功能進(jìn)行驗(yàn)證。根據(jù)設(shè)計(jì)階段分析的威脅和制定的安全措施，在實(shí)施及驗(yàn)收時(shí)進(jìn)行質(zhì)量控制。 基于設(shè)計(jì)階段的資產(chǎn)列表、安全措施，實(shí)施階段應(yīng)對(duì)規(guī)劃階段的安全威脅進(jìn)行進(jìn)一步細(xì)分，同時(shí)評(píng)估安全措施的實(shí)現(xiàn)程度，從而確定安全措施能否抵御現(xiàn)有威脅、脆弱性的影響。實(shí)施階段風(fēng)險(xiǎn)評(píng)估主要對(duì)系統(tǒng)的開(kāi)發(fā)與技術(shù) /產(chǎn)品獲取、系統(tǒng)交付實(shí)施兩個(gè)過(guò)程進(jìn)行評(píng)估。 55 運(yùn)行維護(hù)階段的風(fēng)險(xiǎn)評(píng)估 運(yùn)行維護(hù)階段風(fēng)險(xiǎn)評(píng)估的目的是了解和控制運(yùn)行過(guò)程中的安全風(fēng)險(xiǎn)，是一種較為全面的風(fēng)險(xiǎn)評(píng)估。評(píng)估內(nèi)容包括對(duì)真實(shí)運(yùn)行的信息系統(tǒng)、資產(chǎn)、威脅、脆弱性等各方面。 資產(chǎn)評(píng)估：在真實(shí)環(huán)境下較為細(xì)致的評(píng)估。包括實(shí)施階段采購(gòu)的軟硬件資產(chǎn)、系統(tǒng)運(yùn)行過(guò)程中生成的信息資產(chǎn)、相關(guān)的人員與服務(wù)等，本階段資產(chǎn)識(shí)別是前期資產(chǎn)識(shí)別的補(bǔ)充與增加； 威脅評(píng)估：應(yīng)全面地分析威脅的可能性和影響程度。對(duì)非故意威脅導(dǎo)致安全事件的評(píng)估可以參照安全事件的發(fā)生頻率；對(duì)故意威脅導(dǎo)致安全事件的評(píng)估主要就威脅的各個(gè)影響因素做出專業(yè)判斷； 脆弱性評(píng)估：是全面的脆弱性評(píng)估。包括運(yùn)行環(huán)境中物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、安全保障設(shè)備、管理等各方面的脆弱性。技術(shù)脆弱性評(píng)估可以采取核查、掃描、案例驗(yàn)證、滲透性測(cè)試的方式實(shí)施；安全保障設(shè)備的脆弱性評(píng)估，應(yīng)考慮安全功能的實(shí)現(xiàn)情況和安全保障設(shè)備本身的脆弱性；管理脆弱性評(píng)估可以采取文檔、記錄核查等方式進(jìn)行驗(yàn)證； 風(fēng)險(xiǎn)計(jì)算：根據(jù)本標(biāo)準(zhǔn)的相關(guān)方法，對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)進(jìn)行定性或定量的風(fēng)險(xiǎn)分析，描述不同資產(chǎn)的風(fēng)險(xiǎn)高低狀況。 56 廢棄階段的風(fēng)險(xiǎn)評(píng)估 當(dāng)信息系統(tǒng)不能滿足現(xiàn)有要求時(shí)，信息系統(tǒng)進(jìn)入廢棄階段。根據(jù)廢棄的程度，又分為部分廢棄和全部廢棄兩種。 廢棄階段風(fēng)險(xiǎn)評(píng)估著重在以下幾方面： 確保硬件和軟件等資產(chǎn)及殘留信息得到了適當(dāng)?shù)奶幹?，并確保系 統(tǒng)組件被合理地丟棄或更換； 如果被廢棄的系統(tǒng)是某個(gè)系統(tǒng)的一部分，或與其他系統(tǒng)存在物理 或邏輯上的連接，還應(yīng)考慮系統(tǒng)廢棄后與其他系統(tǒng)的連接是否被 關(guān)閉； 如果在系統(tǒng)變更中廢棄，除對(duì)廢棄部分外，還應(yīng)對(duì)變更的部分進(jìn) 行評(píng)估，以確定是否會(huì)增加風(fēng)險(xiǎn)或引入新的風(fēng)險(xiǎn)； 是否建立了流程，確保更新過(guò)程在一個(gè)安全、系統(tǒng)化的狀態(tài)下完 成。 57 匯報(bào)內(nèi)容 一、標(biāo)準(zhǔn)的編制過(guò)程 二、標(biāo)準(zhǔn)的主要內(nèi)容 三、下一步工作的幾點(diǎn)思考 58 按照標(biāo)準(zhǔn)化管理和審批程序，繼續(xù)完成 《 信息安全風(fēng) 險(xiǎn)評(píng)估規(guī)范 》 和 《 信息安全風(fēng)險(xiǎn)管理指南 》 兩項(xiàng)國(guó)家標(biāo)準(zhǔn)； 結(jié)合國(guó)家基礎(chǔ)網(wǎng)絡(luò)和重要系統(tǒng)工程發(fā)展的需要，在已 有相關(guān)標(biāo)準(zhǔn)推廣應(yīng)用的基礎(chǔ)上，進(jìn)行風(fēng)險(xiǎn)評(píng)估與管理標(biāo)準(zhǔn)體 系的研究，以構(gòu)建我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)體系； 根據(jù)標(biāo)準(zhǔn)體系總體規(guī)劃的原則，相應(yīng)開(kāi)展規(guī)劃與設(shè)計(jì) 階段方案風(fēng)險(xiǎn)評(píng)估實(shí)施細(xì)則、要素等級(jí)劃分規(guī)范等標(biāo)準(zhǔn)化項(xiàng) 目的研制工作； 在總結(jié)我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估與管理工作經(jīng)驗(yàn)的基礎(chǔ) 上，積極參與 ISO相關(guān)國(guó)際標(biāo)準(zhǔn)化活動(dòng)。 三、下一步工作的幾點(diǎn)思考 59 總之，將繼續(xù)跟蹤國(guó)內(nèi)外相關(guān)領(lǐng)域的最新技術(shù)發(fā)展動(dòng)態(tài)，進(jìn)一步研究完善信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)體系，進(jìn)行相關(guān)標(biāo)準(zhǔn)的編制工作。以此，為國(guó)家信息安全風(fēng)險(xiǎn)評(píng)估工作健康順利的發(fā)展做好基礎(chǔ)性工作。 信 息 安 全 風(fēng) 險(xiǎn)評(píng) 估 國(guó) 家 標(biāo) 準(zhǔn)信 息 安 全 風(fēng) 險(xiǎn)評(píng) 估 指 南信 息 安 全 風(fēng) 險(xiǎn)管 理 指 南相 關(guān) 技 術(shù) 層 面 的細(xì) 則 和 規(guī) 范重 點(diǎn) 行 業(yè) 的 風(fēng) 險(xiǎn)管 理 標(biāo) 準(zhǔn) 信 息 系 統(tǒng) 各 生 命 周期 的 風(fēng) 險(xiǎn) 管 理 標(biāo) 準(zhǔn) 風(fēng) 險(xiǎn) 管 理 標(biāo) 準(zhǔn)體 系 研 究其 他信 息 系 統(tǒng) 各 生 命 周期 的 風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn) 重 點(diǎn) 行 業(yè) 的 風(fēng) 險(xiǎn)評(píng) 估 標(biāo) 準(zhǔn) 相 關(guān) 技 術(shù) 層 面 的細(xì) 則 和 規(guī) 范風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn)體 系 研 究其 他60 進(jìn)行 國(guó)家信息安全風(fēng)險(xiǎn)評(píng)估基礎(chǔ)環(huán)境 立項(xiàng) ,以保證風(fēng)險(xiǎn)評(píng)估工作能夠依據(jù)標(biāo)準(zhǔn)科學(xué)、規(guī)范地展開(kāi)。 構(gòu)建風(fēng)險(xiǎn)評(píng)估的模擬仿真實(shí)驗(yàn)環(huán)境 （ 1）方案風(fēng)險(xiǎn)評(píng)估模擬驗(yàn)證平臺(tái)建設(shè) （ 2）風(fēng)險(xiǎn)評(píng)估工具仿真測(cè)試平臺(tái)建設(shè) （ 3）在平臺(tái)上建設(shè)國(guó)家風(fēng)險(xiǎn)評(píng)估基礎(chǔ)數(shù)據(jù)庫(kù) 構(gòu)建風(fēng)險(xiǎn)評(píng)估前沿問(wèn)題的實(shí)驗(yàn)環(huán)境 （ 1）網(wǎng)絡(luò)攻防實(shí)驗(yàn)環(huán)境 （ 2）構(gòu)建滲透測(cè)試實(shí)驗(yàn)環(huán)境 （ 3）風(fēng)險(xiǎn)評(píng)估的理論研究環(huán)境 構(gòu)建風(fēng)險(xiǎn)評(píng)估成果普及與推廣環(huán)境 三、下一步工作的幾點(diǎn)思考 61 謝謝 ! 演講完畢，謝謝觀看！
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1