信息安全风险管理.pptVIP

3.7风险管理的讨论要点 风险可接受程序的定义：当机构评估绝对安全与无限制访问之间的平衡时愿意接受的风险的级别和种类。 残留风险：未能完全排除、缓解、规划的一些风险。 （1）降低了通过安全措施减少威胁效果的一种威胁 （2）降低了通过安全措施减少漏洞效果的一种漏洞 （3）降低了通过安全措施保护资产价值的效果的一种资产 3.8 验证结果 提交结果方式：执行控制风险的系统方法、风险评估项目和特定主题的风险评估 。 第三章 信息安全风险管理 主讲:焦杨 学习目标： 定义风险管理、风险识别、风险控制； 理解如何识别和评估风险； 评估风险发生的可能性及其对机构的影响； 通过创建风险评估机制，掌握描述风险的基本方法； 描述控制风险的风险减轻策略； 识别控制的类别； 承认评估风险控制存在的概念框架，并能清楚地阐述成本收益分析； 理解如何维护风险控制 3.1 引言 风险管理：识别和控制机构面临风险的过程。 1.风险识别：检查和说明机构信息技术的安全态势和机构面临的风险。 （风险评估就是说明风险识别的结果） 2.风险控制：采取控制手段，减少机构数据和信息系统的风险。 风险管理整个过程：找出机构信息系统中的漏洞，采取适当的步骤，确保机构信息系统中所有组成部分的机密性、完整性和有效性。 3.2风险管理概述 3.2.1 知己 识别、检查和熟悉机构中当前的信息及系统。 3.2.2 知彼 识别、检查和熟悉机构面临的威胁。 3.2.3 利益团体的作用 1.信息安全 信息安全团队组成：最了解把风险带入机构的威胁和攻击的成员 2.管理人员 确保给信息安全和信息技术团体分配充足资源（经费和人员），以满足机构的安全需要。 3.信息技术 建立安全的系统，并且安全地操作这些系统 信息安全保护的对象是什么？ 资产 资产是各种威胁以及威胁代理的目标。 风险管理的目标就是保护资产不受威胁。 3.3风险识别 风险识别：规划并组织过程、对系统组件进行分类、列出资产清单并分类、识别出威胁、指出易受攻击的资产。 风险评估:为资产受到的攻击赋值、评估漏洞攻击的可能性、计算资产的相对风险因素、检查可能的控制措施、记录所发现的事件。 规划并组织过程 对系统组件进行分类 列出资产清单并分类 识别出威胁 指出易受攻击的资产 风险识别 为资产受到的攻击赋值 评估漏洞攻击的可能性 计算资产的相对风险因素 检查可能的控制措施 记录所发现的事件 风险评估 3.3.1 资产识别和评估 1. 人员、过程及数据资产的识别 （1）人员 （2）过程 （3）数据 2. 硬件、软件和网络资产的识别 3.3.2 信息资产分类 传统的系统组成 SecSDLC及管理系统的组成 人员 员工 信任的员工 其他员工 非员工 信任机构的人员 陌生人 过程 过程 IT及商业标准过程 IT及商业敏感过程 数据 信息 传输 处理 存储 软件 软件 应用程序 操作系统 安全组件 硬件 系统设备及外设 系统及外设 安全设备 网络组件 内部连网组建 因特网或DMZ组件 3.3.3 信息资产评估 评估资产的价值。 评估价值标准： 1.哪一项信息资产对于成功是最关键的？ 2.那一项信息资产创造的收效最多？ 3.哪一项资产的获利最多？ 4.哪一项信息资产在替换时最昂贵？ 5.哪一项信息资产的保护费用最高？ 6.哪一项信息资产是最麻烦的，或者泄漏后麻烦最大？ 3.3.4 安全调查 数据分类技术——个人安全调查机构 给每一个数据用户分配一个单一的授权等级 3.3.5 分类数据管理 1.数据的存储 2.数据的分布移植 3.数据的销毁 清洁桌面政策：要求员工在下半时将所有的信息 放到适当的存储器中。 3.3.6 威胁识别和威胁评估 威 胁 实 例 1.人为过时或失败行为 意外事故、员工过失 2.侵害知识产权 盗版、版权侵害 3.间谍或人侵蓄意行为 未授权访问和收集数据 4.蓄意信息敲诈行为 以泄露信息为要挟进行勒索 5.蓄意破坏行为 破坏系统或信息 6.蓄意窃取行为 非法使用硬件设备或信息 7.蓄意软件攻击 病毒、蠕虫、宏、拒绝服务 8.自然灾害 火灾、水灾、地震、闪电 9.服务提供商的服务质量差 电源及WAN服务问题 10.技术硬件故障或错误 设备故障 11.技术软件故障或错误 漏洞、代码问题、未知问题 12.技术淘汰 陈旧或过时的技术 威胁评估过程： 一、针对每种威胁提出同样问题: （1）在给定的环境下，哪一种威胁对机构的资产而言是危险的？ （2）哪一种威胁对机构的信息而言是最危险的？ （3）从成功的攻击中恢复需要多少费用？ （4）防