gbt22080信息安全風(fēng)險(xiǎn)評(píng)估管理程序-文庫(kù)吧資料
2024-09-13 07:53本頁(yè)面
【正文】 發(fā)布的威脅預(yù)警。表 3為基于表現(xiàn)形式的威脅分類方 法。 威脅作用形式可以是對(duì)信息系統(tǒng)直接或間接的攻擊，在保密性、完整性和可用性等方面造成損害 。 表 1資產(chǎn)分類方法 分類 示 例 確定風(fēng)險(xiǎn)評(píng)估范圍 建立風(fēng)險(xiǎn)評(píng)估小組 識(shí)別風(fēng)險(xiǎn) 分析和評(píng)價(jià)風(fēng)險(xiǎn) 編制分析評(píng)估報(bào)告 圖 3風(fēng)險(xiǎn)評(píng)估流程 德信誠(chéng) 培訓(xùn)網(wǎng) 更多免費(fèi)資料下載請(qǐng)進(jìn)： 好好學(xué)習(xí)社區(qū) 數(shù)據(jù) 保存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、數(shù)據(jù)庫(kù)數(shù)據(jù)、系統(tǒng)文檔、運(yùn)行管 理規(guī)程、計(jì)劃、報(bào)告、用戶手冊(cè)、各類紙質(zhì)的文檔等 軟件 系統(tǒng)軟件：操作系統(tǒng)、數(shù)據(jù)庫(kù)管理系統(tǒng)、語(yǔ)句包、開(kāi)發(fā)系統(tǒng)等 應(yīng)用 軟件：辦公軟件、數(shù)據(jù)庫(kù)軟件、各類工具軟件等 源程序：各種共享源代碼、自行或合作開(kāi)發(fā)的各種代碼等 硬件 網(wǎng)絡(luò)設(shè)備：路由器、網(wǎng)關(guān)、交換機(jī)等 計(jì)算機(jī)設(shè)備：大型機(jī)、小型機(jī)、服務(wù)器、工作站、臺(tái)式計(jì)算機(jī)、便攜計(jì)算機(jī)等 存儲(chǔ)設(shè)備：磁帶機(jī)、磁盤陣列、磁帶、光盤、軟盤、移動(dòng)硬盤等 傳輸線路：光纖、雙絞線等 保障設(shè)備： UPS、變電設(shè)備、空調(diào)、保險(xiǎn)柜、文件柜、門禁、消防設(shè)施等 安全設(shè)備：防火墻、入侵檢測(cè)系統(tǒng)、身份鑒別等 其他：打印機(jī)、復(fù)印機(jī)、掃描儀、傳真機(jī)等 服務(wù) 信息服務(wù)：對(duì)外依賴該系統(tǒng)開(kāi)展的各類服務(wù) 網(wǎng)絡(luò)服務(wù)：各種網(wǎng)絡(luò)設(shè) 備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù) 辦公服務(wù)：為提高效率而開(kāi)發(fā)的管理信息系統(tǒng)，包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù) 人員 掌握重要信息和核心業(yè)務(wù)的人員，如主機(jī)維護(hù)主管、網(wǎng)絡(luò)維護(hù)主管及應(yīng)用項(xiàng)目經(jīng)理 等 其他 企業(yè)形象、客戶關(guān)系等 表 2 資產(chǎn) 重要度 賦值表 等級(jí) 標(biāo)識(shí) 描述 5 很高 (A級(jí) ) 非常重要，其安全屬性破壞后可能對(duì)公司造成非常嚴(yán)重的損失 4 高 (A級(jí) ) 重要，其安全屬性破壞后可能對(duì)公司造成比較嚴(yán)重的損失 3 中等 (B級(jí) ) 比較重要，其安全屬性破壞后可能對(duì)公司造成中等程度的損失 2 低 (B級(jí) ) 不太重要，其安全屬性破壞后可能對(duì)公司造成較低的損失 1 很低 (C級(jí) ) 不重要，其安全屬性破壞后對(duì)公司造成導(dǎo)很小的損失，甚至忽略不計(jì) 威脅識(shí)別 威脅可以通過(guò)威脅主體、資源、動(dòng)機(jī)、途徑等多種屬性來(lái)描述。 資產(chǎn)重要度賦值 根據(jù)資產(chǎn)的保密性、完整性和可用性，綜合確定資產(chǎn)的重要度。 根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、服務(wù)、人員等類型。 資產(chǎn)識(shí)別 資產(chǎn)分類 保密性、完整性和可用性是評(píng)價(jià)資產(chǎn)的三個(gè)安全屬性。對(duì)于不可接受的風(fēng)險(xiǎn)，應(yīng) 采取措施進(jìn)行處置。公司綜合考慮風(fēng)險(xiǎn)控制成本與風(fēng)險(xiǎn)造成的影響，風(fēng)險(xiǎn)等級(jí)為 “ 1”和 “ 2” 的，公司認(rèn)為是 可以接受的風(fēng)險(xiǎn)等級(jí)。 風(fēng)險(xiǎn)值通過(guò)矩陣方法確定。 風(fēng)險(xiǎn)評(píng)估方法描述 本公司采用“定性與定量計(jì)算”的方法對(duì)風(fēng)險(xiǎn)進(jìn)行描述。每個(gè)要素有各自的屬性，資產(chǎn)的屬性是資產(chǎn)價(jià)值；威脅的屬性可以是威脅主體、影響對(duì)象、出現(xiàn)頻率、動(dòng)機(jī)等；脆弱性的屬性是資產(chǎn)弱點(diǎn)的嚴(yán)重程度。 風(fēng)險(xiǎn)分析原理 風(fēng)險(xiǎn)分析原理如圖 2。風(fēng)險(xiǎn)評(píng)估圍繞著資產(chǎn)、威脅、脆弱性和安全措施這些基本要素展開(kāi)，在對(duì)基本要素的評(píng)估過(guò)程中，需要充分考慮業(yè)務(wù)戰(zhàn)略、資產(chǎn)價(jià)值、安全需求、安全事件、殘余風(fēng)險(xiǎn)等與這些基本要素相關(guān)的各類屬性。 部門信息安全主管 ? 負(fù)責(zé)本 部門 范圍內(nèi)風(fēng)險(xiǎn)評(píng)估相關(guān)活動(dòng)的組織實(shí)施 ? 負(fù)責(zé)本部門范圍內(nèi)風(fēng)險(xiǎn)處理計(jì)劃的組織實(shí)施 部門信息安全員 ? 在部門安全主管領(lǐng)導(dǎo)下，負(fù)責(zé) 本部門 風(fēng)險(xiǎn)評(píng)估相關(guān)活動(dòng)的 實(shí)施
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1