信息安全風(fēng)險評估工作講義-在線瀏覽
2025-04-01 17:11本頁面
【正文】 ………………… 風(fēng)險評估實施流程示意圖 風(fēng)險分析主要內(nèi)容 ? 對資產(chǎn)進行識別，并對資產(chǎn)的重要性進行賦值； ? 對威脅進行識別，描述威脅的屬性，并對威脅出現(xiàn)的頻率賦值； ? 對資產(chǎn)的脆弱性進行識別，并對具體資產(chǎn)的脆弱性的嚴重程度賦值； ? 根據(jù)威脅和脆弱性的識別結(jié)果判斷安全事件發(fā)生的可能性； ? 根據(jù)脆弱性的嚴重程度及安全事件所作用資產(chǎn)的重要性計算安全事件的損失； ? 根據(jù)安全事件發(fā)生的可能性以及安全事件的損失，計算安全事件一旦發(fā)生對組織的影響，即風(fēng)險值。在風(fēng)險評估實施前，應(yīng)： ? 確定風(fēng)險評估的目標； ? 確定風(fēng)險評估的范圍； ? 組建適當(dāng)?shù)脑u估管理與實施團隊； ? 選擇與組織相適應(yīng)的具體的風(fēng)險判斷方法； ? 獲得最高管理者對風(fēng)險評估工作的支持。信息系統(tǒng)是重要的資產(chǎn)，其機密性、完整性和可用性對于維持競爭優(yōu)勢、獲利能力、法規(guī)要求和組織形象是必要的。風(fēng)險評估范圍可能是組織全部的信息及與信息處理相關(guān)的各類資產(chǎn)、管理機構(gòu)，也可能是某獨立的系統(tǒng)，關(guān)鍵業(yè)務(wù)流程，與客戶知識產(chǎn)權(quán)相關(guān)的系統(tǒng)或部門等。評估團隊?wèi)?yīng)能夠保證風(fēng)險評估工作的有效開展。 ? 獲得支持 ? 上述所有內(nèi)容確定后應(yīng)得到組織的最高管理者的支持、批準，并對管理和技術(shù)人員進行傳達和在組織范圍就風(fēng)險評估進行培訓(xùn) 資產(chǎn)識別 ? 資產(chǎn)是具有價值的信息或資源，是安全策略保護的對象。機密性、完整性和可用性是評價資產(chǎn)的三個安全屬性。安全屬性達成程度的不同將使資產(chǎn)具有不同的價值，而資產(chǎn)面臨的威脅、存在的脆弱性、以及已采取的安全措施都將對資產(chǎn)安全屬性的達成程度產(chǎn)生影響。 資產(chǎn)分類 ? 風(fēng)險評估中，資產(chǎn)大多屬于不同的信息系統(tǒng)，如OA系統(tǒng)、網(wǎng)管系統(tǒng)、業(yè)務(wù)生產(chǎn)系統(tǒng)等，而且對于提供多種業(yè)務(wù)的組織，其支持業(yè)務(wù)持續(xù)運行的系統(tǒng)數(shù)量可能更多。在實際工作中，具體的資產(chǎn)分類方法可以根據(jù)具體的評估對象和要求，由評估者來靈活把握。 風(fēng)險評估尚需探索、貴在實踐 ? 今年我有幸參加了國信辦組織的一些試點工作 ? 看到了試點單位的成績和取得的經(jīng)驗，獲益良多 ? 也發(fā)現(xiàn)了還有不少問題急需探索和研究 參與了試點咨詢工作 ? 協(xié)助修訂 《 關(guān)于開展信息安全風(fēng)險評估工作的意見 》 ，提供相關(guān)的咨詢和技術(shù)支持。 ? 標準培訓(xùn) ? 試點方案編制的培訓(xùn) ? 實施階段：調(diào)研試點方案實施情況，了解試點單位對評估及管理的流程、方法、工具的使用存在的問題，充實和完善標準。 ? 在各試點單位正式總結(jié)之前，召開專家組評審會； ? 為國信辦試點工作總結(jié)提供基礎(chǔ)素材。同時進行與標準相關(guān)的配套理論、方法和規(guī)范的研究。 ? 試點單位大都結(jié)合自身的具體情況，選擇了相應(yīng)的評估方法和適當(dāng)?shù)陌踩刂拼胧┘肮芾砹鞒?，實踐經(jīng)驗證明各試點單位評估基于的基本原則和核心方法與試行標準指南大體吻合一致。也就是說，目標系統(tǒng)的可接受風(fēng)險和系統(tǒng)殘余風(fēng)險間的差距就是系統(tǒng)存在的風(fēng)險 。 典型方法之三：量化風(fēng)險 ? 對風(fēng)險量化計算方法進行擴展 ? 風(fēng)險的計算方法目前還沒有明細的技術(shù)標準，通常效果比較好的計算方式為： ? R＝ A＊ T＊ V=E*D； T=Ts*T
黨政相關(guān)相關(guān)推薦
鄂ICP備17016276號-1