第06講octave風(fēng)險評估方法-資料下載頁
2025-03-05 11:57本頁面
【正文】 況 ? 運(yùn)行脆弱性評估工具 ? 準(zhǔn)備初步的脆弱性總結(jié)報告 ?復(fù)查脆弱性信息，給出最后的總結(jié)報告 ? 討論提煉初步脆弱性報告，給出最終報告 過程 6：評估選定的組件（ MedSite） 關(guān)鍵組件 IP地址 掃描完成？ 辦公室電腦 ………… YES 家庭電腦 ………… NO。無權(quán)操作私人物品 防火墻 ………… YES PIDS服務(wù)器 ………… YES ECDS服務(wù)器 ………… YES 路由器 ………… YES 脆弱性評估工具使用情況 過程 6：評估選定的組件（ MedSite） 脆弱性級別 描述 高 必須 24小時內(nèi)采取措施 中 必須一個月內(nèi)采取措施 低 先不管，或以后再說 脆弱性級別 過程 6：評估選定的組件（ MedSite） 脆弱性報告 關(guān)鍵組件 IP地址 工具 脆弱點總結(jié) 辦公室電腦 ………… VRFound 3個中等脆弱點 20個低等脆弱點 家庭電腦 ………… .. 防火墻 ………… .. 3個中等脆弱點 20個低等脆弱點 PIDS服務(wù)器 ………… .. 3個中等脆弱點 20個低等脆弱點 ECDS服務(wù)器 ………… .. ……………… 路由器 ………… .. ……………… OCTAVE 方法（ Method） ? 風(fēng)險評估的準(zhǔn)備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識別基礎(chǔ)設(shè)施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險控制）計劃 階段 3：制定安全戰(zhàn)略和（風(fēng)險控制）計劃 ? 過程 7：執(zhí)行風(fēng)險分析 ? 過程 8：制定戰(zhàn)略 過程 7：執(zhí)行風(fēng)險分析 ? 執(zhí)行風(fēng)險分析，確定風(fēng)險信息 ? 三個任務(wù)： ? 識別影響 ? 確認(rèn)威脅事件造成的后果會對業(yè)務(wù)產(chǎn)生什么損害 ? 建立風(fēng)險評估準(zhǔn)則 ? 這里指的是衡量風(fēng)險高、中、低的標(biāo)準(zhǔn) ? 評估影響 ? 聯(lián)合分析威脅和對應(yīng)的影響，得到風(fēng)險 ? 回憶上次課內(nèi)容：風(fēng)險＝可能性影響， OCTAVE方法缺少可能性因素！不過最新的版本已經(jīng)加入了可能性的考慮 過程 7：執(zhí)行風(fēng)險分析（ MedSite） 后果 影響描述 數(shù)據(jù)泄露 患者信息屬于患者個人隱私，泄露了會對醫(yī)院的信譽(yù)信用不利 …… 數(shù)據(jù)篡改 可能造成誤診，對患者生死攸關(guān) 使醫(yī)院信譽(yù)受損，患者不信任我們的醫(yī)術(shù) …… 數(shù)據(jù)丟失、損壞 上次備份以后的新數(shù)據(jù)將不可恢復(fù)。而且，災(zāi)難恢復(fù)時要消耗大量資源確定哪些信息丟失或損壞了 業(yè)務(wù)中斷 PIDS罷工，醫(yī)院就沒法有效運(yùn)作了。 影響列表 過程 7：執(zhí)行風(fēng)險分析（ MedSite） 影響級別描述 后果 影響描述 影響級別 數(shù)據(jù)篡改 可能造成誤診，對患者生死攸關(guān) 高 使醫(yī)院信譽(yù)受損，患者不信任我們的醫(yī)術(shù) 中 …… PIDS 網(wǎng)絡(luò)訪問 內(nèi)部 外部 偶然的 蓄意的 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 偶然的 蓄意的 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 資產(chǎn) 訪問方式 威脅源 動機(jī) 威脅后果 影響級別 中 高 高 高 高 高 高 中 中 高 高 高 高 高 中 過程 8：制定戰(zhàn)略 ? 決定如何改善安全態(tài)勢 ? 六個任務(wù)： ? 匯編過程 1～ 3得到的信息 ? 鞏固保護(hù)戰(zhàn)略信息 ? 1～ 3過程得到的安全措施檢查表，組織層面脆弱性等 ? 復(fù)查風(fēng)險報告 ? 建立保護(hù)戰(zhàn)略 ? 建立風(fēng)險消減計劃 ? 建立控制措施列表 ? 不再詳細(xì)講 PIDS 網(wǎng)絡(luò)訪問 內(nèi)部 外部 偶然的 蓄意的 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 偶然的 蓄意的 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 資產(chǎn) 訪問方式 威脅源 動機(jī) 威脅后果 影響級別 消減計劃 中 高 高 高 高 高 高 中 中 高 高 高 高 高 中 加強(qiáng)對操作員的培訓(xùn)，完善培訓(xùn)制度，增強(qiáng)操作熟練程度 事件發(fā)生時請求ABS公司協(xié)助 加強(qiáng)人員管理 思考題 ? OCTAVE準(zhǔn)則與 OCTAVE方法的關(guān)系 ? OCTAVE方法的三個階段 ? 對比 OCTAVE方法三個階段、 10個過程與前面講的風(fēng)險分析 9個步驟，看看它們的互相映射關(guān)系 ? 試著自己假想一個案例，并寫出采用OCTAVE方法進(jìn)行風(fēng)險評估的各階段輸出 本講結(jié)束！ 演講完畢，謝謝觀看！
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1