信息安全風(fēng)險管理程序(已改無錯字)
2023-05-18 07:05:59 本頁面
【正文】 場所很容易進(jìn)入VE04場所監(jiān)控有盲點(diǎn)VE05場所易受雷擊VE06場所易進(jìn)水VE07場所易燃燒VE08場所不抗震VE09電力容量不夠VE10場地不夠硬件VM01設(shè)備易受電力變化影響VM02設(shè)備、介質(zhì)易損壞VM03電源開關(guān)沒有限制未經(jīng)授權(quán)的使用VM04存儲空間不夠VM05運(yùn)算能力不夠VM06信號輻射VM07設(shè)備性能差VM08存在單點(diǎn)故障VM09口令更改周期較長VM10線路輻射VM11協(xié)議開放VM12明文傳輸VM13隨意接入VM14口令簡單VM15協(xié)議漏洞VM16帶寬不夠VM17很容易進(jìn)入VM18可用性差VM19SNMP的Community值為缺省VM20無網(wǎng)絡(luò)流量監(jiān)控管理措施VM21缺少處置、報(bào)廢規(guī)定軟件及應(yīng)用系統(tǒng)VS01系統(tǒng)沒有及時更新補(bǔ)丁VS02系統(tǒng)開放默認(rèn)服務(wù)和端口VS03系統(tǒng)存在可疑服務(wù)和端口VS04系統(tǒng)管理員和用戶弱口令或空口令VS05系統(tǒng)沒有實(shí)現(xiàn)賬號實(shí)名制VS06系統(tǒng)沒有開放審計(jì)日志功能VS07系統(tǒng)沒有啟用安全選項(xiàng)VS08系統(tǒng)沒有啟用帳戶密碼安全策略VS09系統(tǒng)使用默認(rèn)共享VS10系統(tǒng)無權(quán)限控制措施VS11特權(quán)賬戶沒有控制VS12版本較低VS13存在弱密碼或空密碼VS14系統(tǒng)漏洞VS15配置漏洞VS16存在后門VS17沒有數(shù)據(jù)加密功能VS18軟件架構(gòu)缺陷VS19很容易變更業(yè)務(wù)設(shè)計(jì)和流程VB01業(yè)務(wù)流程缺陷VB02業(yè)務(wù)邏輯錯誤VB03業(yè)務(wù)系統(tǒng)設(shè)計(jì)性能不足VB04業(yè)務(wù)系統(tǒng)功能實(shí)現(xiàn)不足VB05業(yè)務(wù)系統(tǒng)缺乏審計(jì)和記錄VB06業(yè)務(wù)系統(tǒng)缺乏連續(xù)性計(jì)劃服務(wù)VR01缺乏服務(wù)水平協(xié)議VR02服務(wù)不符合業(yè)務(wù)需求VR03服務(wù)響應(yīng)不及時VR04服務(wù)易中斷VR05沒有按照規(guī)范執(zhí)行VR06服務(wù)成本太高其他法規(guī)法規(guī)VL01沒有識別相應(yīng)的法律、法規(guī)VL02不符合法律法規(guī)要求信息類VI01信息缺乏準(zhǔn)確性VI02信息缺乏及時性VI03信息容易傳播VI04信息容易毀損VI05信息容易丟失無形資產(chǎn)類VT01恢復(fù)困難VT02容易受到損害表3：脆弱性類別列表（三）脆弱性屬性參照國際安全標(biāo)準(zhǔn)，本管理辦法將脆弱性屬性定義為脆弱性的嚴(yán)重性，既脆弱性被某些威脅利用后產(chǎn)生的影響的嚴(yán)重程度， （三）脆弱性賦值在CVE和業(yè)界大多數(shù)的掃描器中關(guān)于技術(shù)性脆弱性的嚴(yán)重性（Severity）定義中，都是指可能引發(fā)的影響的嚴(yán)重性，參考業(yè)界通用的脆弱性嚴(yán)重性等級劃分標(biāo)準(zhǔn)，我們采用的等級劃分標(biāo)準(zhǔn)如下：賦值簡稱說明4VH脆弱性很容易被利用，如果被威脅利用，將對資產(chǎn)造成完全損害3H脆弱性容易被利用，如果被威脅利用，將對資產(chǎn)造成重大損害2M脆弱性可以被利用，如果被威脅利用，將對資產(chǎn)造成一般損害 1L脆弱性較難被利用，如果被威脅利用，將對資產(chǎn)造成較小損害0N脆弱性很難被利用，如果被威脅利用，將對資產(chǎn)造成的損害可以忽略表4：脆弱性賦值在實(shí)際評估工作中，脆弱性的值一般參考掃描工具的歸類標(biāo)準(zhǔn)，并參考CVE、中國國家漏洞庫等相關(guān)漏洞庫標(biāo)準(zhǔn)中的說明，按照實(shí)際情況進(jìn)行修正，從而獲得適用的脆弱性值。管理類的脆弱性值按照管理成熟度進(jìn)行賦值。第十七條 影響評估影響的屬性的評估方法主要考察一個屬性：嚴(yán)重性。本辦法將將影響嚴(yán)重性分為5個等級，分別是很高（VH）、高（H）、中等（M）、低（L）、可忽略（N），并且從高到低分別賦值40。賦值標(biāo)準(zhǔn)參照下表。賦值簡稱說明4VH可以造成資產(chǎn)全部損失或不可用，持續(xù)的業(yè)務(wù)中斷，巨大的財(cái)務(wù)損失等非常嚴(yán)重的影響；3H可以造成資產(chǎn)重大損失，業(yè)務(wù)中斷，較大的財(cái)務(wù)損失等嚴(yán)重影響； 2M可以造成資產(chǎn)損失，業(yè)務(wù)受到損害，中等的財(cái)務(wù)損失等影響1L可以造成資產(chǎn)較小損失，并且立即可以受到控制，較小的財(cái)務(wù)損失等影響；0N資產(chǎn)損失可以忽略、對業(yè)務(wù)無損害，輕微或可忽略的財(cái)務(wù)損失等影響。表5：脆弱性賦值影響嚴(yán)重性賦值標(biāo)準(zhǔn)第十八條 風(fēng)險計(jì)算在完成了資產(chǎn)識別、威脅識別、脆弱性識別，以及對已有安全措施確認(rèn)后，將采用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性。綜合安全事件所作用的資產(chǎn)價值及脆弱性的嚴(yán)重程度，判斷安全事件造成的損失對組織的影響，即安全風(fēng)險。(一) 風(fēng)險分析方法風(fēng)險分析方法可以是定性分析、半定量分析或定量分析，或者是這些分析方法的組合。如果按遞升次序?qū)⑦@些分析的復(fù)雜性和成本加以排列的話，將會是：定性分析、半定量、定量。實(shí)際上，定性分析往往首先被采用，來得到風(fēng)險程度的總的提示組織可根據(jù)信息管理實(shí)際評估效果、工作量、成本效益、技術(shù)復(fù)雜度和數(shù)據(jù)收集困難度等方面的考慮，選擇合適的分析方法作為安全風(fēng)險的計(jì)算方法。（二）風(fēng)險的計(jì)算本管理辦法采用相乘法進(jìn)行量值計(jì)算。相乘法提供一種定量的計(jì)算方法，直接使用兩個要素值進(jìn)行相乘得到另一個要素的值。相乘法的特點(diǎn)是簡單明確，直接按照統(tǒng)一公式計(jì)算，即可得到所需結(jié)果。在風(fēng)險值計(jì)算中，通常需要對兩個要素確定的另一個要素值進(jìn)行計(jì)算，例如由威脅和脆弱性確定安全事件發(fā)生可能性值、由資產(chǎn)和脆弱性確定安全事件的損失值，因此相乘法在風(fēng)險分析中得到廣泛采用即：風(fēng)險值=資產(chǎn)價值威脅可能性值脆弱性值影響性值（三）風(fēng)險等級化方法對風(fēng)險進(jìn)行定量取值后，將風(fēng)險值按照以“4”為底取對數(shù)計(jì)算并四舍五入得到風(fēng)險等級值，將風(fēng)險劃分為五個登記，如下表所描述：風(fēng)險等級等級描述風(fēng)險值范圍4該風(fēng)險將可觸發(fā)非常嚴(yán)重的經(jīng)
公司管理相關(guān)推薦
鄂ICP備17016276號-1