信息安全風(fēng)險(xiǎn)評估國家標(biāo)準(zhǔn)編制與內(nèi)容-wenkub.com
2025-02-26 17:13 本頁面
【正文】 以此，為國家信息安全風(fēng)險(xiǎn)評估工作健康順利的發(fā)展做好基礎(chǔ)性工作。根據(jù)廢棄的程度，又分為部分廢棄和全部廢棄兩種。對非故意威脅導(dǎo)致安全事件的評估可以參照安全事件的發(fā)生頻率；對故意威脅導(dǎo)致安全事件的評估主要就威脅的各個(gè)影響因素做出專業(yè)判斷； 脆弱性評估：是全面的脆弱性評估。 55 運(yùn)行維護(hù)階段的風(fēng)險(xiǎn)評估 運(yùn)行維護(hù)階段風(fēng)險(xiǎn)評估的目的是了解和控制運(yùn)行過程中的安全風(fēng)險(xiǎn)，是一種較為全面的風(fēng)險(xiǎn)評估。 54 實(shí)施階段的風(fēng)險(xiǎn)評估 實(shí) 施階段風(fēng)險(xiǎn)評估的目的是根據(jù)系統(tǒng)安全需求和運(yùn)行環(huán)境對系統(tǒng)開發(fā)、實(shí)施過程進(jìn)行風(fēng)險(xiǎn)識別，并對系統(tǒng)建成后的安全功能進(jìn)行驗(yàn)證。 51 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評估 ? 規(guī)劃階段的風(fēng)險(xiǎn)評估 ? 設(shè)計(jì)階段的風(fēng)險(xiǎn)評估 ? 實(shí)施階段的風(fēng)險(xiǎn)評估 ? 運(yùn)行維護(hù)階段的風(fēng)險(xiǎn)評估 ? 廢棄階段的風(fēng)險(xiǎn)評估 52 規(guī)劃階段的風(fēng)險(xiǎn)評估 規(guī) 劃階段風(fēng)險(xiǎn)評估的目的是識別系統(tǒng)的業(yè)務(wù)戰(zhàn)略，以支撐系統(tǒng)安全需求及安全戰(zhàn)略等。并且，提供委托評估技術(shù)支持的機(jī)構(gòu)應(yīng)具有相應(yīng)的資質(zhì)。 47 檢查評估 檢 查評估是指信息系統(tǒng)上級管理部門組織的或國家有關(guān)職能部門依法開展的風(fēng)險(xiǎn)評估。 由于 “ 誰主管誰負(fù)責(zé) ” ， 出于對自身信息系統(tǒng)的安全責(zé)任考慮 ， 信息系統(tǒng)主管者應(yīng)定期對系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評估 ， 具體實(shí)施時(shí)可以依托自身的評估隊(duì)伍進(jìn)行 ， 也可委托有資質(zhì)的第三方提供評估服務(wù)技術(shù)支持 ， 但無論是哪一種形式 ， 責(zé)任都是由信息系統(tǒng)主管者自已擔(dān)負(fù)的 。由發(fā)起方實(shí)施的評估可以降低實(shí)施的費(fèi)用、提高信息系統(tǒng)相關(guān)人員的安全意識，但可能由于缺乏風(fēng)險(xiǎn)評估的專業(yè)技能，其結(jié)果不夠深入準(zhǔn)確；同時(shí)，受到組織內(nèi)部各種因素的影響，其評估結(jié)果的客觀性易受影響。 （國信辦 [2023]5號文件） 37 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險(xiǎn)評估 為什么要做風(fēng)險(xiǎn)評估 風(fēng)險(xiǎn)評估怎么做 38 風(fēng)險(xiǎn)評估怎么做 風(fēng)險(xiǎn)評估實(shí)施流程 風(fēng)險(xiǎn)評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評估 39 風(fēng)險(xiǎn)評估怎么做 風(fēng)險(xiǎn)評估實(shí)施流程 風(fēng)險(xiǎn)評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評估 40 風(fēng)險(xiǎn)評估的實(shí)施流程 ? 先期準(zhǔn)備 ? 要素分析 ? 風(fēng)險(xiǎn)分析 ? 文檔記錄 風(fēng) 險(xiǎn) 評 估 準(zhǔn) 備保 持 已 有 的 安 全 措 施威 脅 識 別已 有 安 全 措 施 的 確 認(rèn)風(fēng) 險(xiǎn) 計(jì) 算制 定 和 實(shí) 施 風(fēng) 險(xiǎn) 處 理計(jì) 劃 并 評 估 殘 余 風(fēng) 險(xiǎn)風(fēng) 險(xiǎn) 是 否 接 受是 否 接 受 殘 余 風(fēng) 險(xiǎn)實(shí) 施 風(fēng) 險(xiǎn) 管 理資 產(chǎn) 識 別 脆 弱 性 識 別評 估 過 程 文 檔評 估 過 程 文 檔評 估 過 程 文 檔..................否否是是風(fēng) 險(xiǎn) 分 析風(fēng) 險(xiǎn) 評 估 文 檔 記 錄風(fēng)險(xiǎn)評估實(shí)施流程圖 41 實(shí)施步驟 (1) 風(fēng)險(xiǎn)評估的準(zhǔn)備 (2) 資產(chǎn)識別 (3) 威脅識別 (4) 脆弱性識別 (5) 已有安全措施的確認(rèn) (6) 風(fēng)險(xiǎn)分析 (7) 風(fēng)險(xiǎn)評估文件記錄 42 風(fēng)險(xiǎn)評估怎么做 風(fēng)險(xiǎn)評估實(shí)施流程 風(fēng)險(xiǎn)評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評估 43 信 息安全風(fēng)險(xiǎn)評估分為自評估、檢查評估兩種形式。 在信息化建設(shè)中，建設(shè)與運(yùn)營的網(wǎng)絡(luò)與信息系統(tǒng)由于可能存在的系統(tǒng)設(shè)計(jì)缺陷、隱含于軟硬件設(shè)備的缺陷、系統(tǒng)集成時(shí)帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當(dāng)網(wǎng)絡(luò)與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時(shí)，都將使得面臨復(fù)雜環(huán)境的網(wǎng)絡(luò)與信息系統(tǒng)潛在著若干不同程度的安全風(fēng)險(xiǎn)。 風(fēng)險(xiǎn)評估圍繞著基本要素展開，同時(shí)需要充分考慮與基本要素相關(guān)的各類屬性。 信息安全風(fēng)險(xiǎn)評估 依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進(jìn)行評價(jià)的過程。 26 2023年 6月 19日，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會秘書處在北京組織召開了信息安全風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)送審稿的專家審查會，與會專家經(jīng)質(zhì)詢和討論，將標(biāo)準(zhǔn)正式命名為 《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評估規(guī)范 》 ，認(rèn)為該標(biāo)準(zhǔn)達(dá)到國家標(biāo)準(zhǔn)送審稿的要求，同意通過評審。建議起草組根據(jù)專家意見盡快修改完善后申報(bào)。 22 專家評審會名單 姓 名 單 位 職務(wù) /職稱 沈昌祥 海軍計(jì)算技術(shù)研究所 院士 吉增瑞 公安部信息安全標(biāo)委會委員 研究員 趙戰(zhàn)生 國家信息化咨詢委員會 研究員 卿斯?jié)h 中科院信息安全技術(shù)工程研究中心 研究員 杜虹 國家保密技術(shù)研究所 所長 景乾元 公安部十一局 處長 崔書昆 國家信息化咨詢委員會 研究員
法律信息相關(guān)推薦
鄂ICP備17016276號-1