第06講octave風(fēng)險(xiǎn)評(píng)估方法(參考版)
2025-03-07 11:57本頁面
【正文】 而且，災(zāi)難恢復(fù)時(shí)要消耗大量資源確定哪些信息丟失或損壞了 業(yè)務(wù)中斷 PIDS罷工，醫(yī)院就沒法有效運(yùn)作了。 家庭電腦 ………… 防火墻 ………… PIDS服務(wù)器 ………… ECDS服務(wù)器 ………… 路由器 ………… 要檢查的組件列表 過程 6：評(píng)估選定的組件 ? 數(shù)據(jù)收集、分析，確定風(fēng)險(xiǎn) ? 本階段任務(wù)： ?對(duì)選定的組件，使用脆弱性評(píng)估工具 ? 在進(jìn)行本階段的研討會(huì)之前，掌握脆弱性情況 ? 運(yùn)行脆弱性評(píng)估工具 ? 準(zhǔn)備初步的脆弱性總結(jié)報(bào)告 ?復(fù)查脆弱性信息，給出最后的總結(jié)報(bào)告 ? 討論提煉初步脆弱性報(bào)告，給出最終報(bào)告 過程 6：評(píng)估選定的組件（ MedSite） 關(guān)鍵組件 IP地址 掃描完成？ 辦公室電腦 ………… YES 家庭電腦 ………… NO。 ? 識(shí)別關(guān)鍵的組件類別。 ? 確定重要資產(chǎn)所面臨的威脅 ； 過程 4：創(chuàng)建威脅文件（ MedSite ） ? 確認(rèn)重要資產(chǎn) ?紙制藥單， 選中原因 ?PIDS， 選中原因 ?個(gè)人電腦， 選中原因 ?ECDS，急診護(hù)理數(shù)據(jù)系統(tǒng) ? 候選的重要資產(chǎn)來源于前三個(gè)階段與各階層領(lǐng)導(dǎo)和員工的研討 ? 建議確定 5個(gè)左右的重要資產(chǎn) 過程 4：創(chuàng)建威脅文件（ MedSite ） ? PIDS系統(tǒng)的資產(chǎn)威脅文件 ? 以標(biāo)準(zhǔn)的格式給出，在 OCTAVE中叫做“普通威脅文件”，是一種樹狀的表格 PIDS 網(wǎng)絡(luò)訪問 內(nèi)部 外部 偶然的 蓄意的 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 偶然的 蓄意的 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)泄露 資產(chǎn) 訪問方式 威脅源 動(dòng)機(jī) 威脅后果 PIDS ABC Systems貨源不足 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 資產(chǎn) 威脅源 威脅后果 斷電 洪水、火災(zāi) …… 數(shù)據(jù)泄露 數(shù)據(jù)篡改 數(shù)據(jù)丟失、破壞 業(yè)務(wù)中斷 OCTAVE 方法（ Method） ? 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識(shí)別基礎(chǔ)設(shè)施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險(xiǎn)控制）計(jì)劃 階段 2：識(shí)別基礎(chǔ)設(shè)施脆弱性 ? 過程 5：標(biāo)識(shí)關(guān)鍵組件 ? 過程 6：評(píng)估所選組件 過程 5：標(biāo)識(shí)關(guān)鍵組件 ? 依據(jù)過程 4中給出的威脅信息，決定怎樣評(píng)估與重要資產(chǎn)相關(guān)的信息系統(tǒng)基礎(chǔ)設(shè)施，如計(jì)算機(jī)、網(wǎng)絡(luò)設(shè)備等。參加過程 4中研討會(huì)的人員主要是風(fēng)險(xiǎn)評(píng)估小組的分析人員。這些情況已經(jīng)記入文檔并得到確認(rèn)。涉及經(jīng)濟(jì)命脈，重要； ?醫(yī)護(hù)人員資格證書：這是行醫(yī)的本錢！ 過程 3（ MedSite） ? 列舉 MedSite中 PIDS所面臨的威脅： ?訪問非授權(quán)數(shù)據(jù) ?蓄意的輸入錯(cuò)誤數(shù)據(jù) ?斷電、洪水 ?? ?系統(tǒng)事故 ?其它在研討會(huì)中被人提出的可能威脅事件 過程 3（ MedSite） ? 列舉影響： ?員工蓄意輸入錯(cuò)誤數(shù)據(jù)，可能導(dǎo)致： ? 影響員工的工作情緒和積極性； ? 影響病人的生命； ?斷電、洪水等，可能導(dǎo)致： ? 醫(yī)院不能提供及時(shí)有效的醫(yī)療服務(wù) ?其它被人提出來的可能影響 過程 3（ MedSite） ? PIDS的安全需要： ?可用性 ? PIDS需要保持每天 24小時(shí)可用； ?保密性 ? 信息需要保密； ? 對(duì)于非法的信息訪問，一經(jīng)發(fā)現(xiàn)要起訴到法院 ?完整性 ? ?? 過程 3（ MedSite） 高層領(lǐng)導(dǎo)研討 安全意識(shí)和培訓(xùn) 員工了解他們的安全責(zé)任和在信息安全中扮演的角色，這些情況已經(jīng)記入文檔并得到確認(rèn)。 OCTAVE 方法（ Method） ? 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 ? 階段 1：建立基于資產(chǎn)的威脅文件 ? 階段 2：識(shí)別基礎(chǔ)設(shè)施脆弱性 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險(xiǎn)控制）計(jì)劃 階段 1：建立基于資產(chǎn)的威脅文件 ? 過程 1：標(biāo)識(shí)高層管理知識(shí)； ? 過程 2：標(biāo)識(shí)業(yè)務(wù)區(qū)域知識(shí)； ? 過程 3：標(biāo)識(shí)一般員工知識(shí)； ? 過程 4：創(chuàng)建威脅文件； 過程 3 ? 前三過程，評(píng)估組分別與高層領(lǐng)導(dǎo)、中層領(lǐng)導(dǎo)和一般員工進(jìn)行研討會(huì)，聽取他們對(duì)什么是重要的信息資產(chǎn)，以及當(dāng)前保護(hù)狀況的看法。天 過程 4 一名具備熟練分析技巧的員工增援評(píng)估組（可選） 1天 …… …… …… 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 ? 建立適當(dāng)?shù)暮笄诒ＷC（主要是研討會(huì)的會(huì)務(wù)準(zhǔn)備工作） ?評(píng)估日程表 ? 前期準(zhǔn)備、各個(gè)任務(wù)以及研討會(huì)的時(shí)間安排 ?提供會(huì)議室和設(shè)備 ? 白板、投影儀 ?? ?處理計(jì)劃外事件 ? 根據(jù)需要臨時(shí)決定召開額外的研討會(huì) MedSite的風(fēng)險(xiǎn)評(píng)估準(zhǔn)備 ? 正副院長(zhǎng)都同意評(píng)估并允諾給予支
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1