培訓(xùn)資料風(fēng)險評估與管理(79頁)-管理培訓(xùn)-文庫吧資料
2024-08-26 18:18本頁面
【正文】 利用的防護(hù)措施是無效的。 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險評估的過程 (續(xù) ) ? 一個潛在的脆弱性被一個給定威脅源攻擊的可能性可以用高、中、低來表示。 ? 脆弱性的性質(zhì)。 ? 步驟 脆弱性源 ? 步驟 系統(tǒng)安全測試 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險評估的過程 (續(xù) ) ? 步驟 4：分析安全控制 ? 本步的目標(biāo)是對已經(jīng)實(shí)現(xiàn)或規(guī)劃中的安全防護(hù)措施進(jìn)行分析 ——單位通過這些措施來減小或消除一個威脅源利用系統(tǒng)脆弱性的可能性（或概率）。 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險評估的過程 (續(xù) ) ? 步驟 系統(tǒng)相關(guān)信息 ? 步驟 信息收集技術(shù) ? 可以使用下列一項(xiàng)或多項(xiàng)技術(shù)在其運(yùn)行邊界內(nèi)獲取相關(guān)的系統(tǒng)信息： ? 調(diào)查問卷 ? 現(xiàn)場面談 ? 文檔審查 ? 使用自動掃描工具 中管網(wǎng)制造業(yè)頻道 信息安全風(fēng)險評估的過程 (續(xù) ) ? 步驟 2：識別威脅 ? 如果沒有脆弱性，威脅源無法造成風(fēng)險；在確定威脅的可能性時，應(yīng)該考慮威脅源、潛在的脆弱性和現(xiàn)有的安全防護(hù)措施。 ? 在該步中，要確定信息系統(tǒng)的邊界以及組成系統(tǒng)的資源和信息。 ? 防護(hù)措施 本質(zhì)上都是減少脆弱性的。 ? 不足夠的安全培訓(xùn) ? 可能造成用戶缺乏足夠的安全意識，破壞信息的保密性，或者產(chǎn)生用戶錯誤，從而造成對資產(chǎn)的完整性和可用性的損害。 中管網(wǎng)制造業(yè)頻道 概念解析 9 脆弱性（續(xù)） ? 與外部網(wǎng)絡(luò)的連接沒有保護(hù) ? 能導(dǎo)致在聯(lián)網(wǎng)系統(tǒng)中存儲與處理信息的保密性、完整性和可用性的損害。 中管網(wǎng)制造業(yè)頻道 概念解析 9 脆弱性（續(xù)） ? 經(jīng)驗(yàn)表明：大多數(shù)重大的漏洞通常是由于缺乏良好的流程或指定了不適當(dāng)?shù)男畔踩?zé)任才出現(xiàn)的，但是進(jìn)行風(fēng)險評估時往往過分注重技術(shù)漏洞。 ? 脆弱性也常常被稱為漏洞。 ? 人員錯誤 ? 可能是有意的或無意的行為，有時此類事件的發(fā)生僅僅是員工缺乏安全意識，并不是有什么惡意企圖。 中管網(wǎng)制造業(yè)頻道 概念解析 8 威脅（續(xù)） ? 火災(zāi) ? 這是一種意外事故，也可能是一種有預(yù)謀的事件，會影響資產(chǎn)的完整性與可用性。 中管網(wǎng)制造業(yè)頻道 概念解析 8 威脅（續(xù)） ? 惡意軟件 ? 惡意軟件的引入可以是有意的（具有一定的目的和企圖）和無意的（運(yùn)行了來歷不明的軟件），惡意軟件威脅資產(chǎn)的保密性、完整性和可用性。 中管網(wǎng)制造業(yè)頻道 概念解析 8 威脅（續(xù)） ? 以下幾種都是常見的威脅： ? 對信息、信息系統(tǒng)、網(wǎng)絡(luò)和網(wǎng)絡(luò)服務(wù)的非授權(quán)訪問 ? 這些一般都是有意圖、有目的的行為，會對信息的保密性、完整性和可用性造成損害，損害的程度決定于非授權(quán)用戶的目的和擁有的權(quán)限。 ? NIST SP80030將威脅定義為可能對系統(tǒng)造成損害的事件或?qū)嶓w。 中管網(wǎng)制造業(yè)頻道 ? 威脅 (threat) ? 威脅是一個單位的信息資產(chǎn)的安全可能受到的侵害。 ? 服務(wù)：計算和通訊服務(wù)及其它技術(shù)服務(wù)（供暖、照明、電力、空調(diào)）等。 中管網(wǎng)制造業(yè)頻道 概念解析 7 資產(chǎn)（續(xù)） ? 物理資產(chǎn)：計算機(jī)、服務(wù)器、路由器、集線器、防火墻、通訊設(shè)備、其它技術(shù)設(shè)備（供電設(shè)備、空調(diào)設(shè)備）、家具、辦公場所等。 ? 書面文件：合同、公司文件、人事記錄、財務(wù)記錄、采購文件、發(fā)票等。 ? 為了對資產(chǎn)進(jìn)行有效的保護(hù)，組織需要在各個管理層對資產(chǎn)落實(shí)責(zé)任，進(jìn)行適當(dāng)?shù)墓芾怼? 中管網(wǎng)制造業(yè)頻道 概念解析 – 與過程相關(guān)概念小結(jié) ? 其關(guān)系可以簡明表示如下： 風(fēng)險管理 風(fēng)險評估 風(fēng)險處理 風(fēng)險評價 風(fēng)險分析 中管網(wǎng)制造業(yè)頻道 概念解析 7 資產(chǎn) ? 資產(chǎn) (asset) ? 所謂資產(chǎn)就是被組織賦予了價值，組織需要保護(hù)的有用資源。 ? 風(fēng)險規(guī)避：通過消除風(fēng)險的原因和 /或后果（如在識別出風(fēng)險后放棄系統(tǒng)某項(xiàng)功能或關(guān)閉系統(tǒng)）來規(guī)避風(fēng)險。 中管網(wǎng)制造業(yè)頻道 概念解析 6 風(fēng)險處理（續(xù)） ? 風(fēng)險處理是一種系統(tǒng)化方法，高級管理人員可用它來降低使命風(fēng)險。 ? 不管評估方法有多專業(yè)和多詳細(xì)，都不能改進(jìn)組織的安全狀態(tài)，除非組織通過實(shí)現(xiàn)評估結(jié)果將改進(jìn)活動堅持到底。 ? 它包括對風(fēng)險評估過程中建議的安全控制進(jìn)行優(yōu)先級排序、評估和實(shí)現(xiàn)。 中管網(wǎng)制造業(yè)頻道 概念解析 5 風(fēng)險評價（續(xù)） ? 目前在風(fēng)險評價的方法上，國際上一直還在不斷的研究中，也有相當(dāng)多的定量或者定性的風(fēng)險計算方法被提出，但是由于安全風(fēng)險要素的各個環(huán)節(jié)存在太多的不確定因素和無法定量的特性，因此并沒有被公認(rèn)接受的風(fēng)險評價方法。 定量分析 對影響大小給出了度量，使得可以使用成本效益分析來控制成本 依賴于用來表示度量的數(shù)字范圍，定量影響分析的結(jié)果的含義可能因而會比較模糊，還要以定性的方式對結(jié)果做解釋 ? 比較： 中管網(wǎng)制造業(yè)頻道 概念解析 5 風(fēng)險評價 ? 風(fēng)險評價 (risk evaluation) ? 是把前些步驟識別分析出來的風(fēng)險與風(fēng)險判據(jù)進(jìn)行比較，以判斷特定的風(fēng)險是否可接受或需采取其它措施處置。 ? 定量方法有一些固有的難以克服的明顯缺點(diǎn)。 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險分析（續(xù)） ? 定性風(fēng)險分析示例 （此示例來源于ISO/IEC133353） 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險分析（續(xù)） ? 步驟 1：結(jié)果或影響的定性量度 等級 描述 詳詳細(xì)描述 1 可以忽略 無傷害，低財物損失 2 較小 立即受控制，中等財物損失 3 中等 受控， 高財物損失 4 較大 大傷害，失去生產(chǎn)能力，較大財物損失 5 災(zāi)難性 持續(xù)能力中斷，巨大財物損失 中管網(wǎng)制造業(yè)頻道
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1