信息安全風(fēng)險(xiǎn)評(píng)估工作講義-文庫(kù)吧資料
2025-03-04 17:11本頁(yè)面
【正文】 重要性 ? 分析威脅和分析脆弱性兩種途徑 ? 按層次分析脆弱性 ? 判定安全時(shí)間及其影響 ? 計(jì)算威脅風(fēng)險(xiǎn)值 ? 制定風(fēng)險(xiǎn)控制措施 典型方法之一：計(jì)算系統(tǒng)綜合風(fēng)險(xiǎn)（續(xù)） ? 資產(chǎn)綜合風(fēng)險(xiǎn)計(jì)算三種做法 ? 選擇該資產(chǎn)中分析風(fēng)險(xiǎn)最高的作為風(fēng)險(xiǎn)，乘以資產(chǎn)值，作為該資產(chǎn)風(fēng)險(xiǎn) ? 將資產(chǎn)中每一威脅的風(fēng)險(xiǎn)之于資產(chǎn)值相乘，得到多個(gè)資產(chǎn)的風(fēng)險(xiǎn)值 ? 構(gòu)建模型，進(jìn)行綜合計(jì)算 ? 綜合風(fēng)險(xiǎn)： ? R=V*[∑ cRti*Qc+∑ ARti*QA+∑ IRti*Qi] ? 其中 R:總風(fēng)險(xiǎn)， V:該資產(chǎn)得分， ∑ 為威脅累計(jì) ? C:機(jī)密性， I:完整性， A:可用性 典型方法之二：差距分析 ? 風(fēng)險(xiǎn)評(píng)估方法 差距分析法 ? 建立分析模型 ? 在風(fēng)險(xiǎn)評(píng)估中通過(guò)識(shí)別、判斷和分析目標(biāo)系統(tǒng)的安全現(xiàn)狀與安全要求之間的差距確定系統(tǒng)風(fēng)險(xiǎn)的分析方法。 試點(diǎn)工作與標(biāo)準(zhǔn)驗(yàn)證 ? 試點(diǎn)工作對(duì)去年國(guó)信辦組織制定的兩項(xiàng)試行標(biāo)準(zhǔn)進(jìn)行了驗(yàn)證，提出了修訂建議 ? 絕大多數(shù)試點(diǎn)單位大都參照了去年國(guó)信辦和國(guó)家安標(biāo)委組織編寫的 《 信息安全風(fēng)險(xiǎn)評(píng)估指南 》 及 《 信息安全風(fēng)險(xiǎn)管理指南 》 。 ? 標(biāo)準(zhǔn)的完善 ? 充實(shí)和完善 《 信息安全風(fēng)險(xiǎn)評(píng)估指南 》 和 《 信息安全風(fēng)險(xiǎn)管理指南 》 ，通過(guò)試點(diǎn)工作提出兩個(gè)標(biāo)準(zhǔn)的修改意見(jiàn)。 ? 選擇重點(diǎn)單位進(jìn)行調(diào)研，并對(duì)關(guān)鍵階段進(jìn)行蹲點(diǎn)，以切實(shí)了解單位試點(diǎn)工作過(guò)程中存在的問(wèn)題，為兩個(gè)標(biāo)準(zhǔn)的完善提供實(shí)踐素材； ? 進(jìn)行試點(diǎn)中期總結(jié)，為指導(dǎo)意見(jiàn)提供階段性素材； ? 根據(jù)試點(diǎn)單位需求，進(jìn)行有針對(duì)性的培訓(xùn)和咨詢，協(xié)助完成試點(diǎn)工作 參與了試點(diǎn)咨詢工作 （續(xù)） ? 總結(jié)階段：協(xié)助國(guó)信辦匯總試點(diǎn)工作情況，總結(jié)修改意見(jiàn)，并完善標(biāo)準(zhǔn)。 ? 參與試點(diǎn)的相關(guān)咨詢工作 ? 準(zhǔn)備階段：組織八個(gè)試點(diǎn)單位的相關(guān)人員進(jìn)行培訓(xùn)，明確風(fēng)險(xiǎn)評(píng)估流程和風(fēng)險(xiǎn)評(píng)估準(zhǔn)備階段的任務(wù)，協(xié)助試點(diǎn)單位制定其風(fēng)險(xiǎn)評(píng)估實(shí)施方案。 ? 根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、文檔、服務(wù)、人員等類。這時(shí)首先需要將信息系統(tǒng)及相關(guān)的資產(chǎn)進(jìn)行恰當(dāng)?shù)姆诸?，以此為基礎(chǔ)進(jìn)行下一步的風(fēng)險(xiǎn)評(píng)估。為此，有必要對(duì)組織中的資產(chǎn)進(jìn)行識(shí)別。信息安全風(fēng)險(xiǎn)評(píng)估中資產(chǎn)的價(jià)值不僅僅以資產(chǎn)的賬面價(jià)格來(lái)衡量，而是由資產(chǎn)在這三個(gè)安全屬性上的達(dá)成程度或者其安全屬性未達(dá)成時(shí)所造成的影響程度來(lái)決定的。它能夠以多種形式存在，有無(wú)形的、有形的，有硬件、軟件，有文檔、代碼，也有服務(wù)、形象等。 ? 選擇方法 ? 應(yīng)考慮評(píng)估的目的、范圍、時(shí)間、效果、人員素質(zhì)等因素來(lái)選擇具體的風(fēng)險(xiǎn)判斷方法，使之能夠與組織環(huán)境和安全要求相適應(yīng)。 ? 組建團(tuán)隊(duì) ? 組建適當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估管理與實(shí)施團(tuán)隊(duì)，以支持整個(gè)過(guò)程的推進(jìn)，如成立由管理層、相關(guān)業(yè)務(wù)骨干、 IT技術(shù)人員等組成的風(fēng)險(xiǎn)評(píng)估小組。 ? 確定范圍 ? 基于風(fēng)險(xiǎn)評(píng)估目標(biāo)確定評(píng)估范圍是完成風(fēng)險(xiǎn)評(píng)估的前提。 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備階段 ? 明確目標(biāo) ? 應(yīng)明確風(fēng)險(xiǎn)評(píng)估的目標(biāo)，為風(fēng)險(xiǎn)評(píng)估的過(guò)程提供導(dǎo)向。 不打無(wú)準(zhǔn)備之仗 — 做好準(zhǔn)備 ? 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備是整個(gè)風(fēng)險(xiǎn)評(píng)估過(guò)程有效性的保證。 ? 每個(gè)要素有
黨政相關(guān)相關(guān)推薦
鄂ICP備17016276號(hào)-1