gbt22080信息安全風(fēng)險(xiǎn)評(píng)估管理程序(參考版)
2024-09-09 07:53本頁(yè)面
【正文】 遇到以下情況，公司也將啟動(dòng)風(fēng)險(xiǎn)評(píng)估： ? 增加了大量新的信息資產(chǎn)； ? 業(yè)務(wù)過(guò)程、物理和網(wǎng)絡(luò)環(huán)境發(fā)生了重大變化； ? 發(fā)生了重大信息安全事件。 某些風(fēng)險(xiǎn)可能在選擇了適當(dāng)?shù)陌踩胧┖?，殘余風(fēng)險(xiǎn)的結(jié)果仍處于不可接受的風(fēng)險(xiǎn)范圍內(nèi)，應(yīng)考慮是否接受此風(fēng)險(xiǎn)或進(jìn)一步增加相應(yīng)的安全措施。殘余風(fēng)險(xiǎn)的評(píng)估可以依據(jù)本標(biāo)準(zhǔn)提出的風(fēng)險(xiǎn)評(píng)估流程實(shí)施，也可做適當(dāng)裁減。 表 7為風(fēng)險(xiǎn)等級(jí)劃分方法。本公司確定風(fēng)險(xiǎn)計(jì)算方法如下： 風(fēng)險(xiǎn)值 = 資產(chǎn)重要度 X 威脅發(fā)生的頻率 X 脆弱性 風(fēng)險(xiǎn)結(jié)果判定 為實(shí)現(xiàn)對(duì)風(fēng)險(xiǎn)的控制 與管理，可以對(duì)風(fēng)險(xiǎn)評(píng)估的結(jié)果進(jìn)行等級(jí)化處理。 以下是 風(fēng)險(xiǎn)計(jì)算原理 的說(shuō)明。 表 6 脆弱性嚴(yán)重程度賦值表 德信誠(chéng) 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 等級(jí) 標(biāo)識(shí) 定義 3 高 如果被威脅利用，將對(duì)資產(chǎn)造成 重大或 完全損害 2 中 如果被威脅利用，將對(duì)資產(chǎn)造成一般損害 1 很低 如果被威脅利用，將對(duì)資產(chǎn)造成 較小損害或 損害可以忽略 7 風(fēng)險(xiǎn)分析 算 在完成了資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別，以及已有安全措施確認(rèn)后，將采用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性。等級(jí)數(shù)值越大，脆弱性嚴(yán)重程度越高。因此，資產(chǎn)的脆弱性賦值還應(yīng)參考技術(shù)管理和公司管理脆弱性的嚴(yán)重程度。由于很多脆弱性反映的是同一方面的問(wèn)題，或可能造成相似的后果，賦值時(shí)應(yīng)綜合考慮這些脆弱性，以確定這一方面脆弱性的嚴(yán)重程度。一般 來(lái)說(shuō)，安全措施的使用將減少系統(tǒng)技術(shù)或管理上的脆弱性，但安全措施確認(rèn)并不需要和脆弱性識(shí)別過(guò)程那樣具體到每個(gè)資產(chǎn)、組件的脆弱性，而是一類具體措施的集合， 因此，在給予脆弱性賦值時(shí)將現(xiàn)有控制措施的有效性一并考慮給予賦值，并為 風(fēng)險(xiǎn)處理計(jì)劃 的制訂時(shí)提供 依據(jù)和參考。預(yù)防性安全措施可以降低威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，如入侵檢測(cè)系統(tǒng)；保護(hù)性安全措施可以減少因安全事件發(fā)生后對(duì)組織或系統(tǒng)造成的影響。對(duì)確認(rèn)為不適當(dāng)?shù)陌踩胧?yīng)核實(shí)是否應(yīng)被取消或?qū)ζ溥M(jìn)行修正，或用更合適的安全措施替代。安全措施的確認(rèn)應(yīng)評(píng)估其有效性，即是否真正地降低了系統(tǒng)的脆弱性，抵御了威脅。表 5為脆弱性識(shí)別內(nèi)容的參考。 對(duì) 脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行，技術(shù)脆弱性涉及網(wǎng)絡(luò)結(jié)構(gòu)、系統(tǒng)軟件、應(yīng)用中間件、應(yīng)用系統(tǒng)等各個(gè)層面的安全問(wèn)題 。即威脅總是要利用資產(chǎn)的脆弱性才可能造成危害。 表 4 威脅賦值表 等級(jí) 標(biāo)識(shí) 定 義 5 很高 出現(xiàn)的頻率很高（或≥ 1 次 /周）；或在大多數(shù)情況下幾乎不可避免；或可以證實(shí)經(jīng)常發(fā)生過(guò) 4 高 出現(xiàn)的頻率較高（或≥ 1 次 /月）；或在大多數(shù)情況下很有可能會(huì)發(fā)生；或可以證實(shí)多次發(fā)生過(guò) 3 中等 出現(xiàn)的頻率中等（或 1 次 /半年）；或在某種情況下可能會(huì)發(fā)生；或被證實(shí)曾經(jīng)發(fā)生過(guò) 2 低 出現(xiàn)的頻率較??；或一般不太可能發(fā)生；或沒(méi)有被證實(shí)發(fā)生過(guò) 1 很低 威脅幾乎不可能發(fā)生；僅可能在非常罕見(jiàn)和例外的情況下發(fā)生 脆弱性識(shí)別 容 脆弱性是資產(chǎn)本身存在的，如果沒(méi)有被相應(yīng)的威脅利用，單純的脆弱性本身不會(huì)對(duì)資產(chǎn) 造成損害。等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高。 在評(píng)估中，需要綜合考慮以下三個(gè)方面，形成各種威脅出現(xiàn)的頻率： 以往安全事件報(bào)告中出現(xiàn)過(guò)的威脅及其頻率的統(tǒng)計(jì)； 實(shí)際環(huán)境中通過(guò)檢測(cè)工具以及各種日志發(fā)現(xiàn)的威脅及其頻率的統(tǒng)計(jì)； 德信誠(chéng) 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 近一兩年來(lái)國(guó)際組織發(fā)布的對(duì)于整個(gè)社會(huì)或特定行業(yè)的威脅及其頻率統(tǒng)計(jì)，以及
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1