ch4信息安全風(fēng)險評估-在線瀏覽
2025-02-25 21:47本頁面
【正文】 一的規(guī)范要求，在缺乏信息系統(tǒng)安全風(fēng)險評估專業(yè)人才的情況下，自評估的結(jié)果可能不深入、不規(guī)范、不到位 ? 自評估中，可能會存在某些不利的干預(yù)，從而影響風(fēng)險評估結(jié)果的客觀性，降低評估結(jié)果的置信度 ? 某些時候，即使自評估的結(jié)果比較樂觀，也必須與管理層進(jìn)行溝通 風(fēng)險評估的兩種方式 ? 2 檢查評估 ? 檢查評估是由信息安全主管部門或業(yè)務(wù)部門發(fā)起的一種評估活動，旨在依據(jù)已經(jīng)頒布的法規(guī)或標(biāo)準(zhǔn)，檢查被評估單位是否滿足了這些法規(guī)或標(biāo)準(zhǔn)。 風(fēng)險分析原理 ? 風(fēng)險分析中要涉及資產(chǎn)、威脅、脆弱性三個基本要素。 第二步 風(fēng)險因素評估 ? 1資產(chǎn)評估 ? 識別信息資產(chǎn)，包括數(shù)據(jù)、軟件、硬件、設(shè)備、服務(wù)、文檔等，制定 《 信息資產(chǎn)列表 》 ? 保密性、完整性、可用性是評價資產(chǎn)的三個安全屬性 ? 風(fēng)險評估中資產(chǎn)的價值不是以資產(chǎn)的經(jīng)濟(jì)價值來衡量，而是由資產(chǎn)在這三個屬性上的達(dá)成程度或者其安全屬性未達(dá)成時所造成的影響程度來決定的。綜合評定方法可以根據(jù)自身的特點(diǎn)，選擇對資產(chǎn)保密性、完整性和可用性最重要的一個屬性的賦值等級作為資產(chǎn)的最終賦值結(jié)果；或三者進(jìn)行加權(quán)計(jì)算得到資產(chǎn)的最終賦值結(jié)果。 ? 威脅分析包括：潛在威脅分析、威脅審計(jì)和入侵檢測分析、綜合分析 ? 威脅賦值應(yīng)根據(jù)威脅發(fā)生的可能性和威脅產(chǎn)生的影響程度綜合確定 威脅出現(xiàn)頻率（發(fā)生的可能性）的賦值 第二步 風(fēng)險因素評估 ? 3弱點(diǎn)評估 ? 脆弱點(diǎn)（ Vulnerability）：是指資產(chǎn)或資產(chǎn)組中能被威脅利用的弱點(diǎn)。 ? 脆弱性識別的方法主要有：問卷調(diào)查、工具檢測、人工核查、文檔查閱、滲透性測試等。對有效的安全措施繼續(xù)保持，對確認(rèn)為不適當(dāng)?shù)陌踩胧?yīng)核實(shí)是否應(yīng)被取消或?qū)ζ溥M(jìn)行修正，或用更合適的安全措施替代。 第四步 風(fēng)險判定 ? 對所有風(fēng)險計(jì)算結(jié)果進(jìn)行等級化處理，每個等級代表了相應(yīng)風(fēng)險的嚴(yán)重程度。 ? 風(fēng)險處理計(jì)劃中應(yīng)明確采取的彌補(bǔ)脆弱性的安全措施、預(yù)期效果、實(shí)施條件、進(jìn)度安排、責(zé)任部門等。 風(fēng)險評估文檔記錄 風(fēng)險的計(jì)算方法 ? 計(jì)算原理 ? 風(fēng)險值 =R(A,T,V)=R(L(T,V),F(Ia， Va)) ? R：安全風(fēng)險計(jì)算函數(shù) ? A：資產(chǎn) ? T：威脅 ? V：脆弱性 ? Ia：安全事件所作用的資產(chǎn)價值 ? Va：脆弱性嚴(yán)重程度 ? L：威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件的可能性 ? F：安全事件發(fā)生后造成的損失 ? 評估者可根據(jù)自身情況選擇相應(yīng)的風(fēng)險計(jì)算方法來計(jì)算風(fēng)險值，如矩陣法或相乘法。 使用矩陣法計(jì)算風(fēng)險值 ? 對于 z值的計(jì)算，可以采取以下計(jì)算公式 ? Zij=xi+yj 或 ? Zij=xiXyj 或 ? Zij=aXxi+bXyj， a， b為正常數(shù) ? Zij的計(jì)算需要根據(jù)實(shí)際情況確定，矩陣內(nèi) zij的值不一定遵循統(tǒng)一的計(jì)算公式，但必須具有統(tǒng)一的增減趨勢，即如果 f是遞增函數(shù)， z
試題試卷相關(guān)推薦
鄂ICP備17016276號-1