ch4信息安全風(fēng)險(xiǎn)評(píng)估-wenkub.com
2025-02-22 10:22 本頁(yè)面
【正文】 使用相乘法計(jì)算風(fēng)險(xiǎn)值示例 ? 以資產(chǎn) A1面臨的威脅 T1可以利用的弱點(diǎn) V1為例，計(jì)算安全風(fēng)險(xiǎn)值 ? 計(jì)算公式 x和 y的積的平方根的四舍五入結(jié)果 ? 設(shè)資產(chǎn) A1價(jià)值為 4，面臨的威脅 T1發(fā)生的頻率為1，可利用的弱點(diǎn) V1嚴(yán)重程度為 3 ? 1計(jì)算安全事件發(fā)生的可能性 ? 威脅發(fā)生的頻率 T1=1 ? 弱點(diǎn)嚴(yán)重性程度 V1=3 ? 安全事件發(fā)生可能性值 = 3 使用相乘法計(jì)算風(fēng)險(xiǎn)值示例 ? 2計(jì)算安全事件的損失 ? 資產(chǎn)價(jià)值 A1=4 ? 脆弱性嚴(yán)重程度 V1=3 ? 安全事件的損失 = ? 3計(jì)算風(fēng)險(xiǎn)值 ? 安全事件發(fā)生可能性 = ? 安全事件損失 = ? 安全事件風(fēng)險(xiǎn)值 = =6 ? 根據(jù)風(fēng)險(xiǎn)等級(jí)劃分表，風(fēng)險(xiǎn)等級(jí)確定為 2 1231236 ? ? 目標(biāo)一致 ? 關(guān)注重點(diǎn)資產(chǎn) ? 用戶參與 ? 重視質(zhì)量管理和過(guò)程 ? ? 1前期準(zhǔn)備階段 ? 2現(xiàn)場(chǎng)調(diào)查階段 ? 3風(fēng)險(xiǎn)分析階段 ? 4策略制定階段 前期準(zhǔn)備階段 ? 背景資料準(zhǔn)備 ? 技術(shù)資料準(zhǔn)備 ? 調(diào)查提綱準(zhǔn)備 ? 調(diào)查提綱確認(rèn) ? 簽署保密協(xié)議 現(xiàn)場(chǎng)調(diào)查階段 ? 人員調(diào)查 ? 了解組織最重視的信息資產(chǎn)、最擔(dān)心發(fā)生的事件以及組織對(duì)信息系統(tǒng)安全的期望 ? 調(diào)查了解組織中曾經(jīng)發(fā)生過(guò)的信息安全相關(guān)事件 ? 采用問(wèn)詢、會(huì)議、資料審計(jì)的形式獲取相關(guān)的數(shù)據(jù)，包括目前信息管理的規(guī)章制度以及具體實(shí)施情況 ? 技術(shù)調(diào)查 ? 網(wǎng)絡(luò)架構(gòu)調(diào)查 繪制被評(píng)估單位的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)；目前網(wǎng)絡(luò)上的虛擬網(wǎng)劃分與使用情況；明確網(wǎng)絡(luò)邊界；對(duì)業(yè)務(wù)系統(tǒng)的安全等級(jí)建議，確認(rèn)目前達(dá)到的安全等級(jí)等 現(xiàn)場(chǎng)調(diào)查階段 ? 技術(shù)調(diào)查 ? 業(yè)務(wù)流程調(diào)查 主要業(yè)務(wù)系統(tǒng)之間的邏輯關(guān)系；業(yè)務(wù)的安全要求；系統(tǒng)業(yè)務(wù)功能；形成業(yè)務(wù)流程現(xiàn)狀圖；初步分析業(yè)務(wù)流程現(xiàn)狀中存在的問(wèn)題等 ? 主機(jī)系統(tǒng)調(diào)查 主機(jī)系統(tǒng)固有的漏洞和配置問(wèn)題；系統(tǒng)提供的服務(wù)；賬號(hào)的安全情況；采用的訪問(wèn)控制策略；日志審計(jì)等情況 ? 數(shù)據(jù)庫(kù)系統(tǒng)調(diào)查 賬號(hào)、密碼設(shè)置情況；數(shù)據(jù)庫(kù)使用情況，存儲(chǔ)、備份方法；數(shù)據(jù)庫(kù)系統(tǒng)固有的漏洞；日志審計(jì)等 現(xiàn)場(chǎng)調(diào)查階段 ? 技術(shù)調(diào)查 ? 系統(tǒng)服務(wù)的調(diào)查 調(diào)查通用的應(yīng)用服務(wù)狀況，如 web、 mail、 ftp等服務(wù) ? 數(shù)據(jù)獲取手段 流程調(diào)查、技術(shù)資料、資料分析、工具分析、現(xiàn)場(chǎng)檢查、問(wèn)詢、會(huì)議等 ? 工具 漏掃工具、完整性檢查工具、網(wǎng)管軟件、流量分析工具、滲透工具等 風(fēng)險(xiǎn)分析階段 ? 安全需求分析 ? 系統(tǒng)威脅分析 ? 系統(tǒng)脆弱性分析 ? 控制措施有效性分析 ? 系統(tǒng)影響分析 ? 綜合分析 策略制定階段 ? 制定安全保護(hù)策略 ? 制定實(shí)施計(jì)劃 習(xí)題和思考題 ? 作 業(yè) ? 1基于表現(xiàn)形式對(duì)威脅進(jìn)行分類并簡(jiǎn)要描述。 風(fēng)險(xiǎn)評(píng)估文檔記錄 風(fēng)險(xiǎn)的計(jì)算方法
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1