信息安全風(fēng)險(xiǎn)管理程序-在線瀏覽
2025-06-04 07:05本頁(yè)面
【正文】 第 16 頁(yè) 共 16 頁(yè)? 形成資產(chǎn)清單各部門的《重要資產(chǎn)調(diào)查與風(fēng)險(xiǎn)評(píng)估表》經(jīng)本部門負(fù)責(zé)人審核，報(bào)管理者代表確認(rèn)。要素標(biāo)識(shí)相對(duì)價(jià)值范圍等級(jí)資產(chǎn)等級(jí)很高15,14,134高12,11,103一般9,8,7,62低5,4,31② 按資產(chǎn)價(jià)值得出重要資產(chǎn)，資產(chǎn)價(jià)值為4，3的是重要資產(chǎn)，資產(chǎn)價(jià)值為2，1的是非重要資產(chǎn)。④ 各部門的《資產(chǎn)識(shí)別清單》經(jīng)本部門負(fù)責(zé)人審核，報(bào)管理者代表確認(rèn)，并分發(fā)各部門存檔。② 識(shí)別威脅216。威脅作用形式可以是對(duì)信息系統(tǒng)直接或間接的攻擊，例如非授權(quán)的泄露、篡改、刪除等，在保密性、完整性或可用性等方面造成損害；也可能是偶發(fā)的、或蓄意的事件。 威脅可基于表現(xiàn)形式分類，基于表現(xiàn)形式的威脅分類標(biāo)準(zhǔn)可參考下表：威脅分類表種類描述威脅子類軟硬件故障對(duì)業(yè)務(wù)實(shí)施或系統(tǒng)運(yùn)行產(chǎn)生影響的設(shè)備硬件故障、通訊鏈路中斷、系統(tǒng)本身或軟件缺陷等問(wèn)題設(shè)備硬件故障、傳輸設(shè)備故障、存儲(chǔ)媒體故障、系統(tǒng)軟件故障、應(yīng)用軟件故障、數(shù)據(jù)庫(kù)軟件故障、開(kāi)發(fā)環(huán)境故障等物理環(huán)境影響對(duì)信息系統(tǒng)正常運(yùn)行造成影響的物理環(huán)境問(wèn)題和自然災(zāi)害斷電、靜電、灰塵、潮濕、溫度、鼠蟻蟲(chóng)害、電磁干擾、洪災(zāi)、火災(zāi)、地震等無(wú)作為或操作失誤應(yīng)該執(zhí)行而沒(méi)有執(zhí)行相應(yīng)的操作，或無(wú)意執(zhí)行了錯(cuò)誤的操作維護(hù)錯(cuò)誤、操作失誤等管理不到位安全管理無(wú)法落實(shí)或不到位，從而破壞信息系統(tǒng)正常有序運(yùn)行管理制度和策略不完善、管理規(guī)程缺失、職責(zé)不明確、監(jiān)督控管機(jī)制不健全等惡意代碼故意在計(jì)算機(jī)系統(tǒng)上執(zhí)行惡意任務(wù)的程序代碼病毒、特洛伊木馬、蠕蟲(chóng)、陷門、間諜軟件、竊聽(tīng)軟件等越權(quán)或?yàn)E用通過(guò)采用一些措施，超越自己的權(quán)限訪問(wèn)了本來(lái)無(wú)權(quán)訪問(wèn)的資源，或者濫用自己的權(quán)限，做出破壞信息系統(tǒng)的行為非授權(quán)訪問(wèn)網(wǎng)絡(luò)資源、非授權(quán)訪問(wèn)系統(tǒng)資源、濫用權(quán)限非正常修改系統(tǒng)配置或數(shù)據(jù)、濫用權(quán)限泄露秘密信息等網(wǎng)絡(luò)攻擊利用工具和技術(shù)通過(guò)網(wǎng)絡(luò)對(duì)信息系統(tǒng)進(jìn)行攻擊和入侵網(wǎng)絡(luò)探測(cè)和信息采集、漏洞探測(cè)、嗅探（帳號(hào)、口令、權(quán)限等）、用戶身份偽造和欺騙、用戶或業(yè)務(wù)數(shù)據(jù)的竊取和破壞、系統(tǒng)運(yùn)行的控制和破壞等物理攻擊通過(guò)物理的接觸造成對(duì)軟件、硬件、數(shù)據(jù)的破壞物理接觸、物理破壞、盜竊等泄密信息泄露給不應(yīng)了解的他人內(nèi)部信息泄露、外部信息泄露等篡改非法修改信息，破壞信息的完整性使系統(tǒng)的安全性降低或信息不可用篡改網(wǎng)絡(luò)配置信息、篡改系統(tǒng)配置信息、篡改安全配置信息、篡改用戶身份信息或業(yè)務(wù)數(shù)據(jù)信息等抵賴不承認(rèn)收到的信息和所作的操作和交易原發(fā)抵賴、接收抵賴、第三方抵賴等216。③ 識(shí)別脆弱性216。脆弱性是資產(chǎn)本身存在的，如果沒(méi)有相應(yīng)的威脅發(fā)生，單純的脆弱性本身不會(huì)對(duì)資產(chǎn)造成損害。即，威脅總是要利用資產(chǎn)的脆弱性才可能造成危害。 資產(chǎn)的脆弱性具有隱蔽性，有些脆弱性只有在一定條件和環(huán)境下才能顯現(xiàn)，這是脆弱性識(shí)別中最為困難的部分。216。脆弱性識(shí)別時(shí)的數(shù)據(jù)應(yīng)來(lái)自于資產(chǎn)的所有者、使用者，以及相關(guān)業(yè)務(wù)領(lǐng)域的專家和軟硬件方面的專業(yè)人員。 脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行，技術(shù)脆弱性涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個(gè)層面的安全問(wèn)題。常見(jiàn)脆弱性序號(hào)類別薄弱點(diǎn)威脅1. 硬件缺少定期替換計(jì)劃可能會(huì)被存儲(chǔ)媒體退化這一威脅所利用● 容易受到電壓不穩(wěn)定的侵?jǐn)_可能會(huì)被功率波動(dòng)這一威脅所利用● 容易受到溫度變化的侵?jǐn)_可能會(huì)溫度的極端變化這一威脅所利用● 容易受到濕度、灰塵和污染的侵?jǐn)_可能會(huì)被灰塵這一威脅所利用● 對(duì)電磁輻射的敏感性可能會(huì)被電磁輻射這一威脅所利用● 不充分的維護(hù)/存儲(chǔ)媒體的錯(cuò)誤安裝可能會(huì)被維護(hù)失誤這一威脅所利用● 缺少有效的配置變化控制可能會(huì)被操作職員失誤這一威脅所利用3. 通訊通訊線路沒(méi)有保護(hù)可能會(huì)被偷聽(tīng)這一威脅所利用● 電纜連接差可能會(huì)被通訊滲透這一威脅所利用
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1