風(fēng)險評估實(shí)施方案-文庫吧資料
2025-04-30 23:55本頁面
【正文】 組織結(jié)構(gòu)；d）建立系統(tǒng)性的風(fēng)險評估方法；e）獲得高層管理者對風(fēng)險評估策劃的批準(zhǔn)。風(fēng)險評估實(shí)施流程本公司在進(jìn)行風(fēng)險評估服務(wù)過程中，將嚴(yán)格參照GB/T 209842007《信息安全風(fēng)險評估規(guī)范》國家標(biāo)準(zhǔn)所定義的服務(wù)流程規(guī)范來實(shí)施，整個實(shí)施流程如下圖所示：信息安全風(fēng)險評估實(shí)施流程（1） 準(zhǔn)備階段風(fēng)險評估的準(zhǔn)備過程是進(jìn)行風(fēng)險評估的基礎(chǔ)，是整個風(fēng)險評估過程有效性的保證。每個要素有各自的屬性，資產(chǎn)的屬性是資產(chǎn)價值；威脅的屬性是威脅出現(xiàn)的頻率；脆弱性的屬性是資產(chǎn)弱點(diǎn)的嚴(yán)重程度。圖中的風(fēng)險要素及屬性之間存在著以下關(guān)系：l 業(yè)務(wù)戰(zhàn)略依賴資產(chǎn)趨去實(shí)現(xiàn)；l 析產(chǎn)是有價值的，組織的業(yè)務(wù)戰(zhàn)略對資產(chǎn)的依賴度越高，資產(chǎn)價值就越大；l 資產(chǎn)價值越大則其面臨的風(fēng)險越大；l 風(fēng)險是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多測風(fēng)險越大，并可能演變成安全事件；l 弱點(diǎn)越多，威脅利用脆弱性導(dǎo)致安全事件的可能性越大；l 脆弱性時未被滿足的安全需求，威脅要通過利用脆弱性來危害資產(chǎn)，從而形成風(fēng)險；l 風(fēng)險的存在及對風(fēng)險的認(rèn)識導(dǎo)出安全需求；l 安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價值考慮實(shí)施成本；l 安全措施可抵御威脅，降低安全事件的發(fā)生的可能性，并減少影響；l 風(fēng)險不可能也沒有必要降為零，在實(shí)施了安全措施后還會有殘留下來的風(fēng)險，有些殘余風(fēng)險來自于安全措施可能不當(dāng)或無效，在以后需要繼續(xù)控制，而有些參與風(fēng)險則是在綜合考慮了安全成本與效益后為控制的風(fēng)險，是可以被接受的；l 參與風(fēng)險應(yīng)受到密切監(jiān)視，他可能會在將來有發(fā)心的安全事件。風(fēng)險評估中各個要素的關(guān)系如下圖所示：圖 風(fēng)險要素關(guān)系示意圖圖中方框部分的內(nèi)容為風(fēng)險評估的基本要素，橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。風(fēng)險評估對象及內(nèi)容本公司風(fēng)險評估服務(wù)主要包括以下內(nèi)容：（1） 物理環(huán)境安全性評估（2） 網(wǎng)絡(luò)架構(gòu)安全性評估（3） 主機(jī)系統(tǒng)設(shè)備安全性評估l 服務(wù)器系統(tǒng)l 桌面主機(jī)l 網(wǎng)絡(luò)設(shè)備（路由器、交換機(jī)）（4） 應(yīng)用系統(tǒng)安全性評估l 通用應(yīng)用服務(wù)（WEB、FTP、Mail、DNS等）l 專用業(yè)務(wù)系統(tǒng)（B/S、C/S）l 數(shù)據(jù)庫（5） 機(jī)密數(shù)據(jù)安全控制保障評估（機(jī)密信息的生成、傳遞、存儲等過程）（6） 信息安全管理組織架構(gòu)和理性評估（7） 信息安全管理制度及安全性評估（8） 人員安全管理狀況評估（9） 安全產(chǎn)品和技術(shù)應(yīng)用狀況有效性及合理性評（10） 對應(yīng)重大緊急安全事件的處理能力評估（11） ……風(fēng)險評估方法為了確切、真實(shí)地反映信息系統(tǒng)現(xiàn)狀，本公司在風(fēng)險評估過程中使用到的方法有顧問訪談、工具掃描、專家經(jīng)驗(yàn)分析、實(shí)地勘察、滲透測試、策略審查六種，如下圖所示：圖 風(fēng)險評估方法成果輸出l 《風(fēng)險評估安全現(xiàn)狀綜合分析報告》l 《風(fēng)險評估安全解決方案》四、風(fēng)險評估服務(wù)框架及流程風(fēng)險要素關(guān)系信息是一種資產(chǎn)，資產(chǎn)所有者應(yīng)對信息資產(chǎn)進(jìn)行保護(hù)，通過分析信息資產(chǎn)的脆弱性來確定威脅可能利用那些弱點(diǎn)來破壞其安全性。（5）整體性原則服務(wù)的范圍和內(nèi)桶整體全面，設(shè)計的IT運(yùn)行的各個層面，避免由于遺漏造成未來的安全隱患。（3）規(guī)范性原則
公司管理相關(guān)推薦
鄂ICP備17016276號-1