信息安全風(fēng)險(xiǎn)評(píng)估國(guó)家標(biāo)準(zhǔn)編制及內(nèi)容介紹-在線瀏覽
2025-04-01 17:12本頁(yè)面
【正文】 會(huì)名單 姓 名 單 位 職務(wù) /職稱 沈昌祥 海軍計(jì)算技術(shù)研究所 院士 吉增瑞 公安部信息安全標(biāo)委會(huì)委員 研究員 趙戰(zhàn)生 國(guó)家信息化咨詢委員會(huì) 研究員 卿斯?jié)h 中科院信息安全技術(shù)工程研究中心 研究員 杜虹 國(guó)家保密技術(shù)研究所 所長(zhǎng) 景乾元 公安部十一局 處長(zhǎng) 崔書(shū)昆 國(guó)家信息化咨詢委員會(huì) 研究員 23 與 會(huì)專家聽(tīng)取了起草小組的編制說(shuō)明及內(nèi)容介紹，審閱了相關(guān)文檔資料，經(jīng)質(zhì)詢和討論，一致認(rèn)為： 一、送審稿規(guī)范了風(fēng)險(xiǎn)評(píng)估的評(píng)估內(nèi)容與范圍、基本概念，明確 了資產(chǎn)、威脅、脆弱性和安全風(fēng)險(xiǎn)等關(guān)鍵要素及其賦值原則和 要求，提出了實(shí)施流程與操作步驟、評(píng)估規(guī)則與基本方法，并 充分考慮與信息安全等級(jí)保護(hù)相關(guān)標(biāo)準(zhǔn)相銜接。 三、文本的編制符合國(guó)家標(biāo)準(zhǔn) 。建議起草組根據(jù)專家意見(jiàn)盡快修改完善后申報(bào)。 25 2023年 4月 18日 ， 全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員 （ 安標(biāo)委 ） 會(huì)第五工作組 （ WG5） 在北京召開(kāi)全體工作組成員 標(biāo)準(zhǔn)投票會(huì)議 ， 對(duì)信息安全風(fēng)險(xiǎn)評(píng)估國(guó)家標(biāo)準(zhǔn)送審稿進(jìn)行工 作組全體成員投票表決 。 26 2023年 6月 19日，全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)秘書(shū)處在北京組織召開(kāi)了信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)送審稿的專家審查會(huì)，與會(huì)專家經(jīng)質(zhì)詢和討論，將標(biāo)準(zhǔn)正式命名為 《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 》 ，認(rèn)為該標(biāo)準(zhǔn)達(dá)到國(guó)家標(biāo)準(zhǔn)送審稿的要求，同意通過(guò)評(píng)審。 27 2023年 7月 19日 ， 全國(guó)信息安全標(biāo)準(zhǔn)化委員會(huì)主任辦公會(huì)上討論通過(guò)了 《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 》 (報(bào)批稿 ),目前已進(jìn)入報(bào)批程序 。 信息安全風(fēng)險(xiǎn)評(píng)估 依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過(guò)程。 32 風(fēng)險(xiǎn)評(píng)估要素關(guān)系圖 脆 弱 性 資 產(chǎn) 價(jià) 值威 脅資 產(chǎn)風(fēng) 險(xiǎn) 安 全 需 求業(yè) 務(wù) 戰(zhàn) 略安 全 事 件 殘 余 風(fēng) 險(xiǎn) 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變?cè)?加 導(dǎo) 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內(nèi)容為風(fēng)險(xiǎn)評(píng)估的基本要素 。 風(fēng)險(xiǎn)評(píng)估圍繞著基本要素展開(kāi)，同時(shí)需要充分考慮與基本要素相關(guān)的各類屬性。有些是安全措施不當(dāng)或無(wú)效 ,需要加強(qiáng)才可控制的風(fēng)險(xiǎn)；而有些則是在綜合考慮了安全成本與效益后未去控制的風(fēng)險(xiǎn)； （ 10）殘余風(fēng)險(xiǎn)應(yīng)受到密切監(jiān)視，它可能會(huì)在將來(lái)誘發(fā)新的安全事件。 在信息化建設(shè)中，建設(shè)與運(yùn)營(yíng)的網(wǎng)絡(luò)與信息系統(tǒng)由于可能存在的系統(tǒng)設(shè)計(jì)缺陷、隱含于軟硬件設(shè)備的缺陷、系統(tǒng)集成時(shí)帶來(lái)的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當(dāng)網(wǎng)絡(luò)與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時(shí)，都將使得面臨復(fù)雜環(huán)境的網(wǎng)絡(luò)與信息系統(tǒng)潛在著若干不同程度的安全風(fēng)險(xiǎn)。 36 信 息安全風(fēng)險(xiǎn)評(píng)估，是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施。 （國(guó)信辦 [2023]5號(hào)文件） 37 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險(xiǎn)評(píng)估 為什么要做風(fēng)險(xiǎn)評(píng)估 風(fēng)險(xiǎn)評(píng)估怎么做 38 風(fēng)險(xiǎn)評(píng)估怎么做 風(fēng)險(xiǎn)評(píng)估實(shí)施流程 風(fēng)險(xiǎn)評(píng)估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估 39 風(fēng)險(xiǎn)評(píng)估怎么做 風(fēng)險(xiǎn)評(píng)估實(shí)施流程 風(fēng)險(xiǎn)評(píng)估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估 40 風(fēng)險(xiǎn)評(píng)估的實(shí)施流程 ? 先期準(zhǔn)備 ? 要素分析 ? 風(fēng)險(xiǎn)分析 ? 文檔記錄 風(fēng) 險(xiǎn) 評(píng) 估 準(zhǔn) 備保 持 已 有 的 安 全 措 施威 脅 識(shí) 別已 有 安 全 措 施 的 確 認(rèn)風(fēng) 險(xiǎn) 計(jì) 算制 定 和 實(shí) 施 風(fēng) 險(xiǎn) 處 理計(jì) 劃 并 評(píng) 估 殘 余 風(fēng) 險(xiǎn)風(fēng) 險(xiǎn) 是 否 接 受是 否 接 受 殘 余 風(fēng) 險(xiǎn)實(shí) 施 風(fēng) 險(xiǎn) 管 理資 產(chǎn) 識(shí) 別 脆 弱 性 識(shí) 別評(píng) 估 過(guò) 程 文 檔評(píng) 估 過(guò) 程 文 檔評(píng) 估 過(guò) 程 文 檔..................否否是是風(fēng) 險(xiǎn) 分 析風(fēng) 險(xiǎn) 評(píng) 估 文 檔 記 錄風(fēng)險(xiǎn)評(píng)估實(shí)施流程圖 41 實(shí)施步驟 (1) 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 (2) 資產(chǎn)識(shí)別 (3) 威脅識(shí)別 (4) 脆弱性識(shí)別 (5) 已有安全措施的確認(rèn) (6) 風(fēng)險(xiǎn)分析 (7) 風(fēng)險(xiǎn)評(píng)估文件記錄 42 風(fēng)險(xiǎn)評(píng)估怎么做 風(fēng)險(xiǎn)評(píng)估實(shí)施流程 風(fēng)險(xiǎn)評(píng)估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估 43 信 息安全風(fēng)險(xiǎn)評(píng)估分為自評(píng)估、檢查評(píng)估
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1