信息安全風險評估過程與管理方法-文庫吧資料
2025-03-04 02:44本頁面
【正文】 ?企業(yè)組織或政府單位可以利用軟體支援工具進行風險評估活動，這可以使再評估活動更容易。風險是威脅發(fā)生的可能性、薄弱點被威脅利用的可能性和威脅的潛在影響的函數(shù)，記為： ?R= R（ PT， PV， I） 風險區(qū)域示意圖 風險優(yōu)先順序別確定 ?確定風險數(shù)值的大小不是我們評估的最終目的，重要的是明確不同威脅對資產(chǎn)所產(chǎn)生的風險的相對值，即要確定不同風險的優(yōu)先次序或等級，對於風險等級高的資產(chǎn)應(yīng)被優(yōu)先分配資源進行保護。 1125 風險評估 ?組織在經(jīng)過資產(chǎn)識別與估價、威脅與薄弱點的識別與評價、已有控制措施的確認後，應(yīng)利用適當?shù)娘L險測量方法或工具確定風險的大小與風險等級，即對組織資訊安全管理範圍內(nèi)的每一資訊資產(chǎn)因遭受洩露、修改、不可用和破壞所帶來的任何影響做出一個風險測量的列表，以便識別與選擇適當和正確的安全控制方式。 環(huán)境威脅發(fā)生的可能性 ?PTV= PT PV ?PTV— 考慮資產(chǎn)薄弱點因素的威脅發(fā)生的可能性 ?PT— 未考慮資產(chǎn)薄弱點因素的威脅發(fā)生可能性 ?Pv— 資產(chǎn)的薄弱點被威脅利用的可能性 1124 薄弱點評價與已有控制措施的確認 ?1．薄弱點的識別與評價 組織應(yīng)針對每一項需要保護的資訊資產(chǎn)，找出每一種威脅所能利用的薄弱點，並對薄弱點的嚴重性進行評價。 ?在威脅識別過程中，應(yīng)根據(jù)資產(chǎn)所處的環(huán)境條件和資產(chǎn)以前遭受威脅損害的情況來判斷，一項資產(chǎn)可能面臨著多個威脅，同樣一個威脅可能對不同的資產(chǎn)造成影響。 ?列出對組織或組織的特定部門的業(yè)務(wù)過程有價值的任何事物，以便根據(jù)組織的商務(wù)
語文相關(guān)推薦
鄂ICP備17016276號-1