gbt22080信息安全風險評估管理程序-在線瀏覽
2024-11-08 07:53本頁面
【正文】 險為不可接受的。采取的措施包括： 德信誠 培訓網(wǎng) 更多免費資料下載請進： 好好學習社區(qū) 采用適當?shù)目刂拼胧? 避免風險； 風險轉(zhuǎn)移； 接受風險； 6 風險評估過程 風險評估的流程如圖 3所示。風險評估中資產(chǎn)的價值不是以資產(chǎn)的經(jīng)濟價值來衡量， 而是由資產(chǎn)在這三個安全屬性上的達成程度或者其安全屬性未達成時所造成的影響程度來決定的。表 1列資產(chǎn)分類方法。詳細見表 2。造成威脅的因素可 以 是人為 因素，也可以是環(huán)境因素， 在本評估方法中將 根據(jù)其表現(xiàn)形式 進行分類，詳見表 3。 威脅分類 針對威脅來源，根據(jù)其表現(xiàn)形式將威脅主要分為以下幾類。 表 3 基于表現(xiàn)形式的威脅分類表 種類 描述 威脅子類 軟硬件故障 對業(yè)務實施或系統(tǒng)運行產(chǎn)生影響的設備硬件故障、通訊鏈路中斷、系統(tǒng)本身設備硬件故障、傳輸設備故障、存儲媒體故障、系統(tǒng)軟件故障、應用 德信誠 培訓網(wǎng) 更多免費資料下載請進： 好好學習社區(qū) 或軟件缺陷等問題 軟件故障、數(shù)據(jù)庫軟件故障、開發(fā)環(huán)境故障等 物理環(huán)境影響 對信息系統(tǒng)正常運行造成影響的物理環(huán)境問題和自然災害 斷電、靜電、灰塵、 潮濕、溫度、鼠蟻蟲害、 電磁干擾 、 洪災、火災、地震等 無作為或操作失誤 應該執(zhí)行而沒有執(zhí)行相應的操作，或無意執(zhí)行了錯誤的操作 維護錯誤、操作失誤等 管理不到位 安全 管理無法落實 或 不到位 ，從而破壞信息系統(tǒng)正常有序運行 管理制度和策略不完善、管理規(guī)程缺失、職責不明 確、監(jiān)督控管機制不健全等 惡意代碼 故意在計算機系統(tǒng)上執(zhí)行惡意任務的程序代碼 病毒、特洛伊木馬、蠕蟲、陷門、間諜軟件、竊聽軟件等 越權或濫用 通過采用一些措施，超越自己的權限訪問了本來無權訪問的資源，或者濫用自己的權限，做出破壞信息系統(tǒng)的行為 非授權訪問網(wǎng)絡資源、非授權訪問系統(tǒng)資源、濫用權限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權限泄露秘密信息等 網(wǎng)絡攻擊 利用工具和技術通過網(wǎng)絡對信息系統(tǒng)進行攻擊和入侵 網(wǎng)絡探測和 信息采集、漏洞探測、嗅探（帳號、口令、權限等）、用戶身份偽造和欺騙、用戶或業(yè)務數(shù)據(jù)的竊取和破壞、系統(tǒng)運行的控制和破壞等 物理攻擊 通過物理的接觸造成對軟件、硬件、數(shù)據(jù)的破壞 物理接觸、物理破壞、盜竊等 泄密 信息泄露給不應了解的他人 內(nèi)部信息泄露、外部信息泄露等 篡改 非法修改信息，破壞信息的完整性使系統(tǒng)的安全性降低或信息不可用 篡改網(wǎng)絡配置信息、篡改系統(tǒng)配置信息、篡改安全配置信息、篡改用戶身份信息或業(yè)務數(shù)據(jù)信息等 抵賴 不承認收到的信息 和 所作的操作和交易 原發(fā)抵賴、接收抵賴、第三方抵賴等 威脅賦值 判斷 威脅 出現(xiàn) 的 頻率 是 威脅賦值 的重要 內(nèi)容 ，評估者應根據(jù)經(jīng)驗和（或）有關的統(tǒng)計數(shù)據(jù)來 進行 判斷。 對威脅出現(xiàn)的頻率進行等級化處理，不同等級分別代表威脅出現(xiàn)的頻率的高低。表 4是 威脅出現(xiàn)頻率的賦值方法。而且如果系統(tǒng)足夠強健，嚴重的威脅也不會導致安全事件發(fā)生，并造成損失。 脆弱性識別以資產(chǎn)為核心， 針對每一項需要保護的資產(chǎn) ,識別可能被 威脅利用的 弱點 ，并對脆弱性的嚴重程度進行評估 ； 脆弱性 識別 所采用的方法主要 有 ：問卷調(diào)查、工具 檢測 、 人工核 查、文檔查 閱 、滲透 性 測試等。管理脆弱性又可分為技術管理脆弱性和公司管理脆弱性兩方面，前者與具體技術活動相關，后者與管理環(huán)境相
公司管理相關推薦
鄂ICP備17016276號-1