第06講octave風(fēng)險(xiǎn)評估方法-文庫吧資料
2025-03-09 11:57本頁面
【正文】 持 ? 評估組的組成： ?Lee（外科主任），評估組負(fù)責(zé)人； ?Susan（檔案科職員），書記員； ?Sunny（ IT人員）； ?Kris（后勤處副處長），負(fù)責(zé)后勤工作，兼職； ?Ruis（ IT職員），作為 Sunny的替補(bǔ)。天 過程 2 至少 4名來自評估涉及的業(yè)務(wù)區(qū)域的中層領(lǐng)導(dǎo) 189。 ? 挑選風(fēng)險(xiǎn)評估參與者 ?OCTAVE方法，是一個(gè)交互性很強(qiáng)的方法。如果評估范圍選的過大評估小組獲取和分析風(fēng)險(xiǎn)相關(guān)的信息將會(huì)變的非常困難。 風(fēng)險(xiǎn)評估的準(zhǔn)備 ? 設(shè)置合適的評估范圍（涉及的業(yè)務(wù)區(qū)域） ?OCTAVE評估要覆蓋全部的組織重要資產(chǎn)。 ? 小組成員應(yīng)具備充分的能力，并且勝任主持評估過程的工作。 ? 挑選評估小組成員 ? 評估小組應(yīng)由各個(gè)業(yè)務(wù)部門的人員組成，而不只是 IT部門。還鏈接若干小型數(shù)據(jù)庫，保存患者信息、診斷記錄、檢查結(jié)果、帳單等信息 ?一個(gè)獨(dú)立的提供商： ABC Systems，提供MedSite的大部分 IT設(shè)備，并對 MedSite的 IT人員給予培訓(xùn)?？剖邑?fù)責(zé)人是中層領(lǐng)導(dǎo)。 OCTAVE 方法（ Method） ? OCTAVE方法強(qiáng)調(diào)人員的交流和協(xié)作，依靠多次的研討會(huì)來獲取信息 ?前 3個(gè)過程，研討會(huì)參與者主要是評估組和組織各個(gè)管理層次的員工，目的是全面了解資產(chǎn)、威脅、脆弱性、現(xiàn)有安全措施等信息 ?后面過程中的研討會(huì)主要由評估組或?qū)I(yè)人員參與，目的是討論、分析已有資料，并給出結(jié)論。 ? 每個(gè)過程中有若干任務(wù)（ Activity）要執(zhí)行，執(zhí)行后會(huì)輸出一些信息。 ? 遵從 OCTAVE準(zhǔn)則的方法不只一種。 OCTAVE 的原則、屬性和輸出 階段 輸出 階段一 階段二 階段三 OCTAVE ? 什么是 OCTAVE？ ? OCTAVE準(zhǔn)則（ Criterion） ? OCTAVE方法（ Method） OCTAVE 方法（ Method） ? 什么是 OCTAVE方法？ ? OCTAVE方法是一種具體的風(fēng)險(xiǎn)評估方法，根據(jù)它你可以執(zhí)行一次實(shí)際的風(fēng)險(xiǎn)評估。 IT的參與 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表（續(xù)） 原則 原則解釋 屬性 集體合作 評估領(lǐng)導(dǎo)小組應(yīng)該由各個(gè)部門的人員組成；當(dāng)評估小組的人員能力不夠分析某資產(chǎn)的時(shí)候，要隨時(shí)補(bǔ)充專業(yè)人士，以增進(jìn)專業(yè)能力；所有參與的人要通力協(xié)作 估小組 力 IT的參與 OCTAVE 的原則、屬性和輸出 ? 什么是輸出（ Output）？ ?每一評估階段的階段性成果，它們決定了在每一個(gè)評估階段中，評估領(lǐng)導(dǎo)小組和其它參與評估的人員必須完成的一些任務(wù)（正式這些任務(wù)產(chǎn)生了輸出）。 點(diǎn)集中在重要資產(chǎn)上 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表（續(xù)） 原則 原則解釋 屬性 整體管理 制定安全戰(zhàn)略和計(jì)劃的時(shí)候，要放眼整個(gè)信息系統(tǒng)，在安全保護(hù)和系統(tǒng)業(yè)務(wù)能力上做權(quán)衡 IT的參與 開放交流 評估需要各部門協(xié)作；鼓勵(lì)在所有的管理層次都鼓勵(lì)交流有關(guān)風(fēng)險(xiǎn)的信息；要重視每個(gè)人的意見。 務(wù) 的目錄 向前看 用發(fā)展的眼光看待問題，要考慮隨著時(shí)間和環(huán)境變化而引起的當(dāng)前不確定的風(fēng)險(xiǎn) 中關(guān)注風(fēng)險(xiǎn) 集中精力在少數(shù)關(guān)鍵資產(chǎn)上 不可能面面俱到，什么都保護(hù)。其中要指定人員責(zé)任，確定要執(zhí)行的任務(wù)，定義要用到工具和表格，定義最終報(bào)告的格式等。 OCTAVE 的原則、屬性和輸出 OCTAVE原則和屬性的對照表 原則 原則解釋 屬性 自評估 風(fēng)險(xiǎn)評估由組織內(nèi)部人來執(zhí)行 的評估小組 能力 可適應(yīng)措施 風(fēng)險(xiǎn)評估需要得到諸如已有安全措施、威脅來源等的列表，這些列表的內(nèi)容可以隨著環(huán)境變化和技術(shù)的進(jìn)步而加以變更。 ? 屬性是由 OCTAVE原則決定的 。 ? 原則共有 10條，分成 3類 ?信息安全風(fēng)險(xiǎn)評估原則 ? 自評估、可適應(yīng)措施、已定義的過程、 評估過程連續(xù)性 ?風(fēng)險(xiǎn)管理原則 ? 向前看、集中精力在少數(shù)關(guān)鍵資產(chǎn)上、整體管理 ?組織和文化原則 ? 開放交流、全局觀念、集體合作 OCTAVE 的原則、屬性和輸出 OCTAVE 的原則、屬性和輸出 ? 什么是屬性（ Attribute）？ ? 屬性：評估的一些顯著特點(diǎn)和特征 ? 是對評估的一些要求 。 ?例如，“自評估”就是一條原則。 ?確定各個(gè)重要資產(chǎn)相關(guān)的信息技術(shù)組件； ?確定每一個(gè)這樣的組件的抗攻擊的能力 OCTAVE評估的 3個(gè)階段 ? 階段 3：制定安全戰(zhàn)略和（風(fēng)險(xiǎn)控制）計(jì)劃 ?確定出每個(gè)重要信息資產(chǎn)所面臨的風(fēng)險(xiǎn)； ?決定能夠?qū)@些風(fēng)險(xiǎn)做些什么； ?制定出組織保護(hù)策略和風(fēng)險(xiǎn)消減計(jì)劃以降低組織重要信息資產(chǎn)的風(fēng)險(xiǎn) OCTAVE 的原則、屬性和輸出 ? 什么是原則（ Principal）？ ?原則：驅(qū)動(dòng)風(fēng)險(xiǎn)評估的一些基本概念和存在于風(fēng)險(xiǎn)評估過程背后的原理性內(nèi)容。 OCTAV
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1