信息安全風(fēng)險評估標(biāo)準(zhǔn)編制與內(nèi)容介紹-在線瀏覽
2025-04-01 18:20本頁面
【正文】 姓 名 單 位 職務(wù) /職稱 沈昌祥 海軍計算技術(shù)研究所 院士 吉增瑞 公安部信息安全標(biāo)委會委員 研究員 趙戰(zhàn)生 國家信息化咨詢委員會 研究員 卿斯?jié)h 中科院信息安全技術(shù)工程研究中心 研究員 杜虹 國家保密技術(shù)研究所 所長 景乾元 公安部十一局 處長 崔書昆 國家信息化咨詢委員會 研究員 23 與 會專家聽取了起草小組的編制說明及內(nèi)容介紹，審閱了相關(guān)文檔資料，經(jīng)質(zhì)詢和討論，一致認(rèn)為： 一、送審稿規(guī)范了風(fēng)險評估的評估內(nèi)容與范圍、基本概念，明確 了資產(chǎn)、威脅、脆弱性和安全風(fēng)險等關(guān)鍵要素及其賦值原則和 要求，提出了實施流程與操作步驟、評估規(guī)則與基本方法，并 充分考慮與信息安全等級保護(hù)相關(guān)標(biāo)準(zhǔn)相銜接。 三、文本的編制符合國家標(biāo)準(zhǔn) 。建議起草組根據(jù)專家意見盡快修改完善后申報。 25 2023年 4月 18日 ， 全國信息安全標(biāo)準(zhǔn)化技術(shù)委員 （ 安標(biāo)委 ） 會第五工作組 （ WG5） 在北京召開全體工作組成員 標(biāo)準(zhǔn)投票會議 ， 對信息安全風(fēng)險評估國家標(biāo)準(zhǔn)送審稿進(jìn)行工 作組全體成員投票表決 。 26 2023年 6月 19日，全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會秘書處在北京組織召開了信息安全風(fēng)險評估標(biāo)準(zhǔn)送審稿的專家審查會，與會專家經(jīng)質(zhì)詢和討論，將標(biāo)準(zhǔn)正式命名為 《 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范 》 ，認(rèn)為該標(biāo)準(zhǔn)達(dá)到國家標(biāo)準(zhǔn)送審稿的要求，同意通過評審。 27 2023年 7月 19日 ， 全國信息安全標(biāo)準(zhǔn)化委員會主任辦公會上討論通過了 《 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范 》 (報批稿 ),目前已進(jìn)入報批程序 。 信息安全風(fēng)險評估 依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進(jìn)行評價的過程。 32 風(fēng)險評估要素關(guān)系圖 脆 弱 性 資 產(chǎn) 價 值威 脅資 產(chǎn)風(fēng) 險 安 全 需 求業(yè) 務(wù) 戰(zhàn) 略安 全 事 件 殘 余 風(fēng) 險 安 全 措 施利 用暴 露 具 有成 本被 滿 足未 控 制可 能 誘 發(fā)演 變增 加 導(dǎo) 出依 賴增 加降 低抵 御未 被 滿 足 圖中方框部分的內(nèi)容為風(fēng)險評估的基本要素 。 風(fēng)險評估圍繞著基本要素展開，同時需要充分考慮與基本要素相關(guān)的各類屬性。有些是安全措施不當(dāng)或無效 ,需要加強(qiáng)才可控制的風(fēng)險；而有些則是在綜合考慮了安全成本與效益后未去控制的風(fēng)險； （ 10）殘余風(fēng)險應(yīng)受到密切監(jiān)視，它可能會在將來誘發(fā)新的安全事件。 在信息化建設(shè)中，建設(shè)與運營的網(wǎng)絡(luò)與信息系統(tǒng)由于可能存在的系統(tǒng)設(shè)計缺陷、隱含于軟硬件設(shè)備的缺陷、系統(tǒng)集成時帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當(dāng)網(wǎng)絡(luò)與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時，都將使得面臨復(fù)雜環(huán)境的網(wǎng)絡(luò)與信息系統(tǒng)潛在著若干不同程度的安全風(fēng)險。 36 信 息安全風(fēng)險評估，是從風(fēng)險管理角度，運用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和整改措施。 （國信辦 [2023]5號文件） 37 二、標(biāo)準(zhǔn)的主要內(nèi)容 什么是風(fēng)險評估 為什么要做風(fēng)險評估 風(fēng)險評估怎么做 38 風(fēng)險評估怎么做 風(fēng)險評估實施流程 風(fēng)險評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險評估 39 風(fēng)險評估怎么做 風(fēng)險評估實施流程 風(fēng)險評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險評估 40 風(fēng)險評估的實施流程 ? 先期準(zhǔn)備 ? 要素分析 ? 風(fēng)險分析 ? 文檔記錄 風(fēng) 險 評 估 準(zhǔn) 備保 持 已 有 的 安 全 措 施威 脅 識 別已 有 安 全 措 施 的 確 認(rèn)風(fēng) 險 計 算制 定 和 實 施 風(fēng) 險 處 理計 劃 并 評 估 殘 余 風(fēng) 險風(fēng) 險 是 否 接 受是 否 接 受 殘 余 風(fēng) 險實 施 風(fēng) 險 管 理資 產(chǎn) 識 別 脆 弱 性 識 別評 估 過 程 文 檔評 估 過 程 文 檔評 估 過 程 文 檔..................否否是是風(fēng) 險 分 析風(fēng) 險 評 估 文 檔 記 錄風(fēng)險評估實施流程圖 41 實施步驟 (1) 風(fēng)險評估的準(zhǔn)備 (2) 資產(chǎn)識別 (3) 威脅識別 (4) 脆弱性識別 (5) 已有安全措施的確認(rèn) (6) 風(fēng)險分析 (7) 風(fēng)險評估文件記錄 42 風(fēng)險評估怎么做 風(fēng)險評估實施流程 風(fēng)險評估的形式 信息系統(tǒng)生命周期各階段的風(fēng)險評估 43 信 息安全風(fēng)險評估分為自評估、檢查評估兩種形式
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1