信息安全產(chǎn)品測評認證中心風險評估概論(參考版)
2025-03-01 17:37本頁面
【正文】 過程 7： 執(zhí)行風險分析 4 OCTAVE風險評估實施過程 ? 歸納保護策略信息 。 ? 評估關鍵資產(chǎn)所受威脅的影響 。 對每個重要資產(chǎn)創(chuàng)建一 個風險概要文件 ， 說明風險概要文件中的每一結果 （ 泄露 、 更改 、 損失或損壞 、 中斷 ） 造成的影響 。 ? 評審技術脆弱性并匯總結果 。 分析組和 IT員工從關鍵的部件類型中選擇特定的部件進行脆弱性評估 ， 并確定評估方法 。 過程 1－ 3的活動 4 OCTAVE風險評估實施過程 ? 將資產(chǎn) 、 安全需求和關注領域 ， 按組織的層次進行分類 ? 選擇出關鍵資產(chǎn) ? 識別關鍵資產(chǎn)的安全需求 ? 識別關鍵資產(chǎn)面臨的威脅 過程 4： 創(chuàng)建威脅概要文件 4 OCTAVE風險評估實施過程 ? 識別關鍵部件的種類 。 ? 識別重要資產(chǎn)的安全需求 。 階段一：建立基于資產(chǎn)的威脅概要文件 4 OCTAVE風險評估實施過程 ? 識別資產(chǎn)及其優(yōu)先級 。 4 OCTAVE風險評估實施過程 OCTAVE的特點 ? 自主性 ? 分析組 ? 基于討論會 ? 標桿方法 4 OCTAVE風險評估實施過程 階段一：建立基于資產(chǎn)的威脅概要文件 過程 1：識別高級管理者的認識 過程 2：識別運營領域的認識 過程 3：識別員工的認識 過程 4：創(chuàng)建威脅概要文件 階段二：識別基礎設施的脆弱性 過程 5：識別關鍵部件 過程 6：評估所選部件 階段三：制定安全策略與計劃 過程 7：執(zhí)行風險分析 過程 8：制訂保護策略 實施過程 4 OCTAVE風險評估實施過程 過程 1：識別高層管理者的認識 該過程的參與者是該組 織的高層管理者； 過程 2：識別運營領域管理者的認識 參與者是該組織的 運營管理者 （ 中層管理者 ） ； 過程 3：識別員工的認識 參與者是該組織的普通員工 。 定性風險分析 定性分析與定量分析的比較 4 OCTAVE風險評估實施過程 OCTAVE（ The Operationally Critical Threat, Asset, and Vulnerability Evaluation） ? 美國 Carnegie Mellon大學軟件工程研究所開發(fā) ? 用于信息安全的評估 ? 采用定性的評估方法 4 OCTAVE風險評估實施過程 OCTAVE的三個階段 階段一：建立基于資產(chǎn)的威脅概要文件 ? 對組織層面進行評估 ? 識別出重要的信息資產(chǎn)、這些資產(chǎn)所受的威脅、它們的安全需求、組織目前的資產(chǎn)保護措施、以及組織的脆弱性。 ? 其結果高度依存于 RMT（風險管理小組）的專業(yè)能力。 基于要素的風險分析 ? 識別資產(chǎn)的威脅 ? 鑒別威脅的目標（什么資產(chǎn)會被威脅？） ? 為什么會造成這威脅？ ? 找出威脅的相關性 ? 它有影響嗎？重要或嚴重嗎？ ? 有沒有被它利用的脆弱點？ ? 鑒別威脅的可能性 ? 利用“不可能”，“可能”，“非?？赡堋眮肀硎? 基于要素的風險分析 風險計算： 項 目 威脅等級 低 中 高 脆弱性等級 低 中 高 低 中 高 低 中 高 資產(chǎn)價值 0 0 1 2 1 2 3 2 3 3 1 1 2 3 2 3 4 3 4 5 2 2 3 4 3 4 5 4 5 6 3 3 4 5 4 5 6 5 6 7 4 4 5 6 5 6 7 6 7 8 基于要素的風險分析 背景： ? 業(yè)務部門中有極機密的交易及客戶資料 ? 這些資料放在公司共用的主機內(nèi)，并且使用簡單的用戶名和密碼系統(tǒng)管理 ? 業(yè)務部門的業(yè)務員外出時可利用筆記本電腦經(jīng)由國際互聯(lián)網(wǎng)到公司主機中存取該資料 請分組討論 ? 威脅 ? 脆弱性 ? 風險等級如何？ 練習三 基于要素的風險分析 定性風險分析的優(yōu)點 1. 簡易的計算方式 2. 不必精確算出資產(chǎn)價值 3. 不需得到量化的威脅發(fā)生率 4. 非技術或非安全背景的員工也能輕易參與 5. 流程和報告形式比較有彈性 定性風險分析的缺點 1. 本質上是非常主觀的 2. 對關鍵資產(chǎn)的財務價值評估參考性較低 3. 缺乏對風險降低的成本分析 定性分析與定量分析的比較 定量風險分析的優(yōu)點 1. 大體來說其結果都是建立在獨立客觀的程序或量化指標上 2. 大部分的工作集中在制定資產(chǎn)價值和減緩可能風險 3. 主要目的是做成本效益的審核 定量風險分析的缺點 1. 風險計算方法復雜 2. 需要自動化工具及相當?shù)幕A知識 3. 投入大 4. 個人難以執(zhí)行 5. 很難中途改變方向 6. 不會有范圍之外的結果 定性分析與定量分析的比較 ? 定性風險分析
黨政相關相關推薦
鄂ICP備17016276號-1