信息安全風(fēng)險(xiǎn)管理程序-文庫(kù)吧資料
2025-04-23 07:05本頁(yè)面
【正文】 從協(xié)議安全、交易完整性、數(shù)據(jù)完整性等方面進(jìn)行識(shí)別應(yīng)用系統(tǒng)從審計(jì)機(jī)制、審計(jì)存儲(chǔ)、訪問(wèn)控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識(shí)別管理脆弱性技術(shù)管理從物理和環(huán)境安全、通信與操作管理、訪問(wèn)控制、系統(tǒng)開(kāi)發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識(shí)別組織管理從安全策略、組織安全、資產(chǎn)分類與控制、人員安全、符合性等方面進(jìn)行識(shí)別④ 威脅利用脆弱性發(fā)生風(fēng)險(xiǎn)之后的影響后果描述⑤ 風(fēng)險(xiǎn)描述⑥ 識(shí)別現(xiàn)有控制措施⑦ 評(píng)估威脅發(fā)生的可能性216。 文件存儲(chǔ)沒(méi)有保護(hù)可能會(huì)被偷竊這一威脅所利用● 進(jìn)行處理時(shí)缺少關(guān)注可能會(huì)被偷竊這一威脅所利用● 對(duì)拷貝沒(méi)有進(jìn)行控制可能會(huì)被偷竊這一威脅所利用6. 軟件開(kāi)發(fā)人員的說(shuō)明不清楚或不完整可能會(huì)被軟件故障這一威脅所利用● 沒(méi)有軟件測(cè)試或軟件測(cè)試不充分可能會(huì)被未經(jīng)授權(quán)許可的用戶使用軟件這一威脅所利用● 復(fù)雜的用戶界面可能會(huì)被操作職員失誤這一威脅所利用● 缺少識(shí)別和鑒定機(jī)制，如：用戶鑒定可能會(huì)被冒充用戶身份這一威脅所利用● 缺少審核跟蹤可能會(huì)被以未經(jīng)授權(quán)許可的方式使用軟件這一威脅所利用● 軟件中存在眾所周知的缺陷可能會(huì)被軟件未經(jīng)許可的用戶使用軟件這一威脅所利用● 口令表沒(méi)有受到保護(hù)可能會(huì)被冒充用戶身份這一威脅所利用● 口令管理較差（很容易被猜測(cè)，公開(kāi)地存儲(chǔ)口令，不經(jīng)常更改）可能會(huì)被冒充用戶身份這一威脅所利用● 訪問(wèn)權(quán)的錯(cuò)誤分派可能會(huì)被以未經(jīng)許可的方式使用軟件這一威脅所利用● 對(duì)下載和使用軟件不進(jìn)行控制可能會(huì)被惡意軟件這一威脅所利用● 離開(kāi)工作站沒(méi)有注銷(xiāo)用戶可能會(huì)被未經(jīng)許可的用戶使用軟件這一威脅所利用● 缺少有效的變化控制可能會(huì)被軟件故障這一威脅所利用● 缺少文件編制可能會(huì)被操作職員的失誤這一威脅所利用● 缺少備份可能會(huì)被惡意軟件或火災(zāi)這一威脅所利用● 沒(méi)有適當(dāng)?shù)牟脸鴮?duì)存儲(chǔ)媒體進(jìn)行處理或重新使用可能會(huì)被未經(jīng)許可的用戶使用軟件這一威脅所利用4. 環(huán)境和基礎(chǔ)設(shè)施建筑物/門(mén)以及窗戶缺少物理保護(hù)例如,可能會(huì)被偷竊這一威脅所利用● 對(duì)建筑物\房間物理進(jìn)入控制不充分,或松懈可能會(huì)被故意損害這一威脅所利用● 電網(wǎng)不穩(wěn)定可能會(huì)被功率波動(dòng)這一威脅所利用● 所處位置容易受到洪水襲擊可能會(huì)被洪水這一威脅所利用2.管理脆弱性又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān)。216。 脆弱性識(shí)別將針對(duì)每一項(xiàng)需要保護(hù)的資產(chǎn)，找出可能被威脅利用的脆弱性，并對(duì)脆弱性的嚴(yán)重程度進(jìn)行評(píng)估。需要注意的是，不正確的、起不到應(yīng)有作用的或沒(méi)有正確實(shí)施的安全措施本身就可能是一個(gè)脆弱性。216。而且如果系統(tǒng)足夠強(qiáng)健，再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失。 脆弱性是對(duì)一個(gè)或多個(gè)資產(chǎn)弱點(diǎn)的總稱。 各部門(mén)根據(jù)資產(chǎn)本身所處的環(huán)境條件，識(shí)別每個(gè)資產(chǎn)所面臨的威脅。216。 威脅是對(duì)組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素，造成威脅的因素可分為人為因素和環(huán)境因素。 重要資產(chǎn)風(fēng)險(xiǎn)評(píng)估① 應(yīng)對(duì)所有的重要資產(chǎn)進(jìn)行風(fēng)險(xiǎn)評(píng)估，評(píng)估應(yīng)考慮威脅、脆弱性、威脅事件發(fā)生的可能性、威脅事件發(fā)生后對(duì)資產(chǎn)造成的影響程度、風(fēng)險(xiǎn)的等級(jí)、風(fēng)險(xiǎn)是否在可接受范圍內(nèi)及已采取的措施等方面因素。③ 信息安全管理委員會(huì)對(duì)各部門(mén)資產(chǎn)識(shí)別情況進(jìn)行審核，確保沒(méi)有遺漏重要資產(chǎn)，形成各部門(mén)的《資產(chǎn)識(shí)別清單》。 判定重要資產(chǎn)① 根據(jù)前面的資產(chǎn)機(jī)密性、完整性、可用性的賦值相加得到資產(chǎn)的價(jià)值，資產(chǎn)價(jià)值越高表示資產(chǎn)重要性程度越高。 根據(jù)資產(chǎn)在可用性上的不同要求，將其分為五個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在可用性上的達(dá)成的不同程度。 根據(jù)資產(chǎn)在完整性上的不同要求，將其分為五個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在完整性上的達(dá)成的不同程度或者完整性缺失時(shí)對(duì)整個(gè)組織的影響。 根據(jù)資產(chǎn)在機(jī)密性上的不同要求，將其分為五個(gè)不同的等級(jí)，分別對(duì)應(yīng)資產(chǎn)在機(jī)密性上的應(yīng)達(dá)成的不同程度或者機(jī)密性缺失時(shí)對(duì)整個(gè)組織的影響。③ 確定信息類別 信息分類按“ 資產(chǎn)識(shí)別參考（資產(chǎn)類別）”進(jìn)行，信息分類不適用時(shí)，可不填寫(xiě)。 資產(chǎn)賦值① 各部門(mén)信息安全管理委員會(huì)成員對(duì)本部門(mén)資產(chǎn)進(jìn)行識(shí)別，并進(jìn)行資產(chǎn)賦值。定性風(fēng)險(xiǎn)評(píng)估并不強(qiáng)求對(duì)構(gòu)成風(fēng)險(xiǎn)的各個(gè)要素（特別是資產(chǎn)）進(jìn)行精確
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1