【正文】 實(shí)驗(yàn)內(nèi)容：使用OCTAVE Method、OCTAVES進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。 上機(jī)實(shí)驗(yàn) 實(shí)驗(yàn)項(xiàng)目1：OCTAVE Method、OCTAVES 實(shí)驗(yàn)?zāi)康模毫私馐褂肙CTAVE Method、OCTAVES進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。,2．使用風(fēng)險(xiǎn)綜合評(píng)價(jià)法，計(jì)算風(fēng)險(xiǎn)評(píng)估表58中的影響值和風(fēng)險(xiǎn)值。 二.計(jì)算題 1．假設(shè)某系統(tǒng)有2個(gè)重要資產(chǎn)，資產(chǎn)A資產(chǎn)A2，資產(chǎn)所面臨的威脅以及威脅可利用資產(chǎn)的脆弱性見(jiàn)表57，括號(hào)內(nèi)是相應(yīng)的其資產(chǎn)值或等級(jí)值。,習(xí)題5,一.簡(jiǎn)單題 1. 什么是信息安全風(fēng)險(xiǎn)評(píng)估？有那些形式？ 2．信息安全風(fēng)險(xiǎn)評(píng)估的標(biāo)準(zhǔn)有那些？簡(jiǎn)述之。對(duì)廢棄資產(chǎn)的處理過(guò)程應(yīng)在有效的監(jiān)督之下實(shí)施，同時(shí)對(duì)廢棄的執(zhí)行人員進(jìn)行安全教育。,本階段應(yīng)重點(diǎn)對(duì)廢棄資產(chǎn)對(duì)組織的影響進(jìn)行分析，并根據(jù)不同的影響制定不同的處理方式。根據(jù)廢棄的程度，分為部分廢棄和全部廢棄兩種。重大變更包括以下變更（但不限于）： 1．增加新的應(yīng)用或應(yīng)用發(fā)生較大變更； 2．網(wǎng)絡(luò)結(jié)構(gòu)和連接狀況發(fā)生較大變更； 3．技術(shù)平臺(tái)大規(guī)模的更新； 4．系統(tǒng)擴(kuò)容或改造； 5．發(fā)生重大安全事件后，或基于某些運(yùn)行記錄懷疑將發(fā)生重大安全事件； 6．組織結(jié)構(gòu)發(fā)生重大變動(dòng)對(duì)系統(tǒng)產(chǎn)生影響。 4．風(fēng)險(xiǎn)計(jì)算：根據(jù)風(fēng)險(xiǎn)計(jì)算的相關(guān)方法，對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)進(jìn)行定性或定量的風(fēng)險(xiǎn)分析，描述不同資產(chǎn)的風(fēng)險(xiǎn)高低狀況。 2．威脅評(píng)估：應(yīng)全面地分析威脅的可能性和影響程度。 ——評(píng)估內(nèi)容包括對(duì)真實(shí)運(yùn)行的信息系統(tǒng)、資產(chǎn)、威脅、脆弱性等各方面。 本階段的信息安全風(fēng)險(xiǎn)評(píng)估可以采取對(duì)照實(shí)施方案和標(biāo)準(zhǔn)要求的方式，對(duì)實(shí)際建設(shè)結(jié)果進(jìn)行測(cè)試、分析。,——開(kāi)發(fā)與技術(shù)/產(chǎn)品獲取過(guò)程的評(píng)估要點(diǎn)包括： 1．法律、政策、適用標(biāo)準(zhǔn)和指導(dǎo)方針：直接或間接影響信息系統(tǒng)安全需求的特定法律；影響信息系統(tǒng)安全需求、產(chǎn)品選擇的政府政策、國(guó)際或國(guó)家標(biāo)準(zhǔn)； 2．信息系統(tǒng)的功能需要：安全需求是否有效地支持系統(tǒng)的功能； 3．成本效益風(fēng)險(xiǎn) ：是否根據(jù)信息系統(tǒng)的資產(chǎn)、威脅和脆弱性的分析結(jié)果，確定在符合相關(guān)法律、政策、標(biāo)準(zhǔn)和功能需要的前提下選擇最合適的安全措施； 4．評(píng)估保證級(jí)別，是否明確系統(tǒng)建設(shè)后應(yīng)進(jìn)行怎樣的測(cè)試和檢查，從而確定是否滿足項(xiàng)目建設(shè)、實(shí)施規(guī)范的要求。 ——目的：是根據(jù)系統(tǒng)安全需求和運(yùn)行環(huán)境對(duì)系統(tǒng)開(kāi)發(fā)、實(shí)施過(guò)程進(jìn)行風(fēng)險(xiǎn)識(shí)別，并對(duì)系統(tǒng)建成后的安全功能進(jìn)行驗(yàn)證。評(píng)估結(jié)果應(yīng)體現(xiàn)在信息系統(tǒng)需求分析報(bào)告或建設(shè)實(shí)施方案中。在安全需求變更和設(shè)計(jì)變更后，也需要重復(fù)這項(xiàng)評(píng)估。對(duì)設(shè)計(jì)方案的評(píng)估著重以下幾方面： 1．設(shè)計(jì)方案是否符合系統(tǒng)建設(shè)規(guī)劃，并得到最高管理者的認(rèn)可； 2．設(shè)計(jì)方案是否對(duì)系統(tǒng)建設(shè)后面臨的威脅進(jìn)行了分析。,8 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估,8.2 設(shè)計(jì)階段的信息安全風(fēng)險(xiǎn)評(píng)估 在信息系統(tǒng)的設(shè)計(jì)階段：依據(jù)總體方案，設(shè)計(jì)信息系統(tǒng)的實(shí)現(xiàn)結(jié)構(gòu)（包括功能劃分、接口協(xié)議和性能指標(biāo)等）和實(shí)施方案（包括實(shí)現(xiàn)技術(shù)、設(shè)備選型和系統(tǒng)集成等）。評(píng)估著重以下幾方面： 1．是否依據(jù)相關(guān)規(guī)則，建立了業(yè)務(wù)戰(zhàn)略相一致的信息系統(tǒng)安全規(guī)劃，并得到最高管理者的認(rèn)可；,2．系統(tǒng)規(guī)劃中是否明確信息系統(tǒng)開(kāi)發(fā)的組織、業(yè)務(wù)變更的管理、開(kāi)發(fā)優(yōu)先級(jí)； 3．系統(tǒng)規(guī)劃中是否考慮信息系統(tǒng)的威脅、環(huán)境，并制定總體的安全方針； 4．系統(tǒng)規(guī)劃中是否描述信息系統(tǒng)預(yù)期使用的信息，包括預(yù)期的應(yīng)用、信息資產(chǎn)的重要性、潛在的價(jià)值、可能的使用限制、對(duì)業(yè)務(wù)的支持程度等； 5．系統(tǒng)規(guī)劃中是否描述所有與信息系統(tǒng)安全相關(guān)的運(yùn)行環(huán)境，包括物理和人員的安全配置，以及明確相關(guān)的法規(guī)、組織安全政策、專門(mén)技術(shù)和知識(shí)等。規(guī)劃階段的評(píng)估應(yīng)能夠描述信息系統(tǒng)建成后對(duì)現(xiàn)有業(yè)務(wù)模式的作用，包括技術(shù)、管理等方面，并根據(jù)其作用確定系統(tǒng)建設(shè)應(yīng)達(dá)到的安全目標(biāo)。,8.1 規(guī)劃階段的信息安全風(fēng)險(xiǎn)評(píng)估 在信息系統(tǒng)的規(guī)劃階段，確定信息系統(tǒng)的目的、范圍和需求，分析和論證可行性，提出總體方案。 圖52 風(fēng)險(xiǎn)分析矩陣,圖53 風(fēng)險(xiǎn)控制矩陣,8 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估,信息安全風(fēng)險(xiǎn)評(píng)估應(yīng)貫穿于信息系統(tǒng)的整個(gè)生命周期的各階段中。 圖51 風(fēng)險(xiǎn)矩陣,通過(guò)該矩陣，能夠在風(fēng)險(xiǎn)分析過(guò)程中識(shí)別風(fēng)險(xiǎn)，并同時(shí)識(shí)別控制措施。該方法中，矩陣簡(jiǎn)化為只包含T和V兩個(gè)等級(jí)，表示可接受風(fēng)險(xiǎn)和不可接受風(fēng)險(xiǎn)，如表56所示。,表55 風(fēng)險(xiǎn)評(píng)估表,7.2.4 快速風(fēng)險(xiǎn)評(píng)估法 1．風(fēng)險(xiǎn)二值法 ——只區(qū)分可接受風(fēng)險(xiǎn)和不可接受風(fēng)險(xiǎn)。 例4：對(duì)風(fēng)險(xiǎn)評(píng)估表55，使用風(fēng)險(xiǎn)綜合評(píng)價(jià)法，計(jì)算影響值和風(fēng)險(xiǎn)值。與風(fēng)險(xiǎn)矩陣法和威脅分級(jí)法不同，風(fēng)險(xiǎn)綜合評(píng)價(jià)法對(duì)控制措施的采用進(jìn)行了單獨(dú)的考慮。在具體評(píng)估中，可以根據(jù)這種方法明確表示“資產(chǎn)—威脅—風(fēng)險(xiǎn)”的關(guān)系。,例3：某資產(chǎn)所面臨的威脅有A～F，通過(guò)判斷，其影響值和發(fā)生可能性（均采用5個(gè)等級(jí)確定）如表54所示，而風(fēng)險(xiǎn)的測(cè)量采用以上兩值的乘積，計(jì)算結(jié)果如表54所示。 3．計(jì)算風(fēng)險(xiǎn)值 風(fēng)險(xiǎn)的計(jì)算方法，可以是影響值與可能性之積，也可以是 之和， 具體算法由用戶來(lái)定，只要滿足是增函數(shù)即可。識(shí)別威脅的過(guò)程可以通過(guò)兩種方式來(lái)完成：一是準(zhǔn)備威脅列表，讓系統(tǒng)所有者去選擇相應(yīng)的資產(chǎn)的威脅；二是由評(píng)估團(tuán)隊(duì)的人員識(shí)別相關(guān)的威脅，進(jìn)行分析和歸類。 根據(jù)表52，可知相應(yīng)的風(fēng)險(xiǎn)值，見(jiàn)表53，風(fēng)險(xiǎn)總值ST=4+5+7=16。 當(dāng)一個(gè)系統(tǒng)是由若干個(gè)資產(chǎn)構(gòu)成時(shí)，先分別計(jì)算資產(chǎn)所面臨的風(fēng)險(xiǎn)，然后計(jì)算總值，即ST=，其中，Ai是系統(tǒng)S的組成，T是其面臨的威脅。查表52可知此威脅利用此脆弱性對(duì)資產(chǎn)所造成的風(fēng)險(xiǎn)值為5。,表52 資產(chǎn)風(fēng)險(xiǎn)判別矩陣 對(duì)于每一資產(chǎn)的風(fēng)險(xiǎn)，都將考慮資產(chǎn)價(jià)值、威脅等級(jí)和脆弱性等級(jí) 。 ——假設(shè)威脅發(fā)生的可能性定性劃分為3級(jí)，脆弱性被利用的可能性也定性劃分為3級(jí)，受到威脅的資產(chǎn)值定性劃分為5級(jí)，資產(chǎn)風(fēng)險(xiǎn)判別矩陣如表52所示。,7 信息安全風(fēng)險(xiǎn)評(píng)估方法,7.2 典型的信息安全風(fēng)險(xiǎn)評(píng)估方法 7.2.1 風(fēng)險(xiǎn)矩陣測(cè)量法 ——風(fēng)險(xiǎn)矩陣測(cè)量法是事先建立資產(chǎn)價(jià)值、威脅等級(jí)和脆弱性等級(jí)的一個(gè)對(duì)應(yīng)矩陣，預(yù)先將風(fēng)險(xiǎn)等級(jí)進(jìn)行了確定，然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險(xiǎn)。 ——2001年1月，由希臘、德國(guó)、英國(guó)、挪威等國(guó)的多家商業(yè)公司和研究機(jī)構(gòu)共同組織開(kāi)發(fā)了CORAS項(xiàng)目——安全危機(jī)系統(tǒng)的風(fēng)險(xiǎn)分析平臺(tái)，為安全要求較高的安全關(guān)鍵系統(tǒng)進(jìn)行準(zhǔn)確、清晰和高效的信息安全風(fēng)險(xiǎn)評(píng)估，提供一個(gè)框架規(guī)范和標(biāo)準(zhǔn)。安全風(fēng)險(xiǎn)評(píng)估是一個(gè)非常復(fù)雜的任務(wù)，這要求存在一個(gè)方法既能描述系統(tǒng)的細(xì)節(jié)又能描述系統(tǒng)的整體?；谥R(shí)的風(fēng)險(xiǎn)評(píng)估方法充分利用多年來(lái)開(kāi)發(fā)的保護(hù)措施和安全實(shí)踐，依照組織的相似性程度進(jìn)行快速的安全實(shí)施和包裝，以減少組織的安全風(fēng)險(xiǎn)。通過(guò)各種途徑采集相關(guān)信息，識(shí)別組織的風(fēng)險(xiǎn)和當(dāng)前的安全措施，與特定的標(biāo)準(zhǔn)或最佳慣例進(jìn)行比較，找出不當(dāng)之處，并按照標(biāo)準(zhǔn)或最佳慣例的推薦，選擇安全措施，從而消減和控制風(fēng)