培訓(xùn)資料風(fēng)險(xiǎn)評估與管理(79頁)-管理培訓(xùn)-展示頁
2024-08-30 18:18本頁面
【正文】 概念解析 4 風(fēng)險(xiǎn)分析（續(xù)） ? 步驟 2：可能性的定性量度 等級 描述 詳細(xì)描述 A 幾乎肯定 預(yù)期在大多數(shù)情況下發(fā)生 B 很可能 在大多數(shù)情況下很可能會(huì)發(fā)生 C 可能 在某個(gè)時(shí)間可能會(huì)發(fā)生 D 不太可能 在某個(gè)時(shí)間能夠發(fā)生 E 罕見 僅在例外的情況下可能發(fā)生 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險(xiǎn)分析（續(xù)） ? 步驟 3：從而得出風(fēng)險(xiǎn)分析矩陣 其中： E：要求立即采取措施 H：需要高級管理部門的注意 M：必須規(guī)定管理責(zé)任 L：用日常程序處理 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險(xiǎn)分析（續(xù)） ? 定量風(fēng)險(xiǎn)分析的示例 : 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險(xiǎn)分析（續(xù)） ? 計(jì)算風(fēng)險(xiǎn)的年預(yù)期損失 ? ALE: Annual Risk Expectancy年預(yù)期損失 ? ARO: Annual Rate of Occurrence 年發(fā)生率 ? SLE: Single Loss Expectancy單一風(fēng)險(xiǎn)預(yù)期損失 ? ALE=ARO*SLE 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險(xiǎn)分析（續(xù)） ? 兩種方法的比較： ? 目前風(fēng)險(xiǎn)分析方法以定性分析為主。 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險(xiǎn)分析（續(xù)） ? 定量分析方法 ? 定量分析方法在后果和可能性分析中采用數(shù)值（不是定性分行中所使用的敘述性數(shù)值范圍），并采用從各種各樣的來源中得到的數(shù)據(jù)。主要采用文字形式或敘述性的數(shù)值范圍來描述潛在后果的大小程度及這些后果發(fā)生的可能性。 ? 盡管評估風(fēng)險(xiǎn)的方法有很多，但是大多數(shù)方法都是基于兩種方法或兩種方法的組合：定性的分析方法和定量的分析方法。 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險(xiǎn)分析（續(xù)） ? 就風(fēng)險(xiǎn)分析的方法而言，目前應(yīng)用中沒有所謂的正確或錯(cuò)誤的方法。當(dāng)潛在的與安全相關(guān)的事件在企業(yè)內(nèi)發(fā)生時(shí)，如變動(dòng)業(yè)務(wù)方法、發(fā)現(xiàn)新的漏洞等，組織都可能會(huì)啟動(dòng)風(fēng)險(xiǎn)評估。風(fēng)險(xiǎn)管理是一個(gè)持續(xù)循環(huán)，不斷上升的過程。 中管網(wǎng)制造業(yè)頻道 概念解析 3 風(fēng)險(xiǎn)評估（續(xù)） ? 區(qū)分風(fēng)險(xiǎn)評估和風(fēng)險(xiǎn)管理 ? 風(fēng)險(xiǎn)管理是把整個(gè)組織內(nèi)的風(fēng)險(xiǎn)降低到可接受水平的整個(gè)過程。 ? 風(fēng)險(xiǎn)評估是風(fēng)險(xiǎn)管理的基礎(chǔ)，是組織確定信息安全要求的途徑之一，屬于組織信息安全管理體系策劃的過程。 ? 風(fēng)險(xiǎn)管理被認(rèn)為是良好管理的一個(gè)組成部分。 ? 注 2 在某些情況下，風(fēng)險(xiǎn)是由偏離期望的結(jié)果或事件的可能性引起的。 中管網(wǎng)制造業(yè)頻道 概念解析 1 風(fēng)險(xiǎn)（續(xù)） ? 在 ISO/IEC GUIDE73將事件定義為： ? 事件的概率及其結(jié)果的組合。 中管網(wǎng)制造業(yè)頻道 風(fēng) 險(xiǎn)評估與管理 中管網(wǎng)制造業(yè)頻道 風(fēng)險(xiǎn)評估與管理 1. 與風(fēng)險(xiǎn)評估和風(fēng)險(xiǎn)管理相關(guān)的概念解析 2. 信息安全風(fēng)險(xiǎn)管理的一般過程 3. 風(fēng)險(xiǎn)評估與風(fēng)險(xiǎn)管理的其它問題 中管網(wǎng)制造業(yè)頻道 1 概念解析 與 過程相關(guān)的概念 ① 風(fēng)險(xiǎn) ② 風(fēng)險(xiǎn)管理 ③ 風(fēng)險(xiǎn)評估 ④ 風(fēng)險(xiǎn)分析 ⑤ 風(fēng)險(xiǎn)評價(jià) ⑥ 風(fēng)險(xiǎn)處理 ⑦ 資產(chǎn) ⑧ 威脅 ⑨ 脆弱性 ⑩ 防護(hù)措施 與 要素相關(guān)的概念 中管網(wǎng)制造業(yè)頻道 概念解析 1 風(fēng)險(xiǎn) ? 風(fēng)險(xiǎn)（ risk） ? 風(fēng)險(xiǎn)是指遭受損害或損失的可能性，是實(shí)現(xiàn)一個(gè)事件的不想要的負(fù)面結(jié)果的潛在因素。 ? 對信息系統(tǒng)而言：兩種因素造成對其使命的實(shí)際影響：（ 1）一個(gè)特定的威脅源利用或偶然觸發(fā)一個(gè)特定的信息系統(tǒng)脆弱性的概率；（ 2）上述事件發(fā)生之后所帶來的影響。 ? 注 1 通常，只有至少存在產(chǎn)生不利結(jié)果可能性的情況下才使用 “ 風(fēng)險(xiǎn) ” 術(shù)語。 中管網(wǎng)制造業(yè)頻道 概念解析 2 風(fēng)險(xiǎn)管理 ? 風(fēng)險(xiǎn)管理 (Risk management) ? 風(fēng)險(xiǎn)管理指標(biāo)識、控制和消除可能影響信息系統(tǒng)資源的不確定事件或使這些事件降至最少的全部過程。 中管網(wǎng)制造業(yè)頻道 概念解析 2 風(fēng)險(xiǎn)管理 ? 對風(fēng)險(xiǎn)管理的過程而言，不同的方法或工具提供了不同的步驟，但是信息安全風(fēng)險(xiǎn)管理可操作的相關(guān)過程和活動(dòng)一般都要包括： 確定評估范圍 識別評估控制措施 識別評估資產(chǎn) 識別評估威脅 選擇安全措施 識別評估脆弱性 確定風(fēng)險(xiǎn)處理策略 風(fēng)險(xiǎn)評價(jià) 制定安全計(jì)劃 實(shí)施安全計(jì)劃 風(fēng)險(xiǎn)分析 風(fēng)險(xiǎn)處理 中管網(wǎng)制造業(yè)頻道 概念解析 3 風(fēng)險(xiǎn)評估 ? 風(fēng)險(xiǎn)評估 (risk assessment) ? 風(fēng)險(xiǎn)評估指風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評價(jià)的整個(gè)過程。 ? 通過風(fēng)險(xiǎn)評估識別組織所面臨的安全風(fēng)險(xiǎn)并確定風(fēng)險(xiǎn)控制的優(yōu)先等級，從而對其實(shí)施有效控制，將風(fēng)險(xiǎn)控制在組織可以接受的范圍之內(nèi)。風(fēng)險(xiǎn)管理是一個(gè)持續(xù)的周期，通常以一定的間隔重新開始，來更新流程中各個(gè)階段的數(shù)據(jù)。 ? 風(fēng)險(xiǎn)評估是確定組織面臨的風(fēng)險(xiǎn)并確定其優(yōu)先級的過程，是風(fēng)險(xiǎn)管理流程中最必須，最謹(jǐn)慎的一個(gè)過程。 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險(xiǎn)分析 ? 風(fēng)險(xiǎn)分析 (risk analysis) ? 風(fēng)險(xiǎn)分析是標(biāo)識安全風(fēng)險(xiǎn)，確定其大小和標(biāo)識需要保護(hù)措施的區(qū)域的過程，其目的是分離可接受的小風(fēng)險(xiǎn)和不能接受的大風(fēng)險(xiǎn)，為風(fēng)險(xiǎn)評價(jià)和風(fēng)險(xiǎn)處理提供數(shù)據(jù)。一個(gè)組織選擇一個(gè)自己感覺順手，可以信任，且能產(chǎn)生可比較、可再現(xiàn)性的結(jié)果才是最重要的。 中管網(wǎng)制造業(yè)頻道 概念解析 4 風(fēng)險(xiǎn)分析（續(xù)） ? 定性分析方法 ? 定性分析方法是最廣泛使用
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1