信息系统安全与保密-第3章信息安全风险评估与管理课件.pptVIP

第三章 信息安全风险评估与管理 * 风险管理的基本概念 风险评估与管理的流程 风险评估方法和技术 课程内容 1 风险管理的基本概念 1.3 要素分析 1.1 风险管理 1.2 风险评估 任务① - 风险识别 任务② - 风险控制 风险管理（Risk Management）：以可以接受的费用，识别、控制、 降低或消除可能影响信息系统的安全风险的过程及活动。 检查和说明组织信息系统的安全态势和面临的风险 采取控制手段，减少组织信息系统和数据的风险 “知己”“知彼”；风险评估是说明风险识别的结果。 1 风险管理的基本概念 1.3 要素分析 1.1 风险管理 1.2 风险评估 风险评估（Risk Assessment）：对各方面风险进行辨识和分析的过 程，即确认安全风险及其大小的过程。 风险评估是风险管理的基础，是风险控制的前提！！ 风险评估：对信息和信息处理过程设施的威胁、影响和脆弱点以 及三者发生的可能性的评估，即确定R = ?( A, T, V ) ISO/ IEC 27001:2005 1.3 风险评估的要素分析 风险 = 有害事件发生的可能性×危害的后果 威胁利用资产的脆弱性对组织的信息系统造成危害 通过安全措施的配置，风险可以被消除、降低和或转移 残留风险：信息系统业务可以容忍的风险 成本效益分析 (T) (V) (A) (R) R = ?( A, T, V ) 资产及 其价值 脆弱点 脆弱点 脆 弱 点 脆 弱 点 威胁 风险 残余风险 威胁 安全控制 安全控制 残余风险 威胁 安 全 控 制 威胁 残 余 风 险 图1 风险要素及其相互关系 资产价值越高，风险越大 威胁越大，风险越大 脆弱点越大，风险越大 安全事故影响越大，风险越大 适当的安全控制可以降低风险 安全风险指出组织的安全要求 确定评估范围 资产识别与重要性评估 威胁识别与 发生可能性评估 脆弱点检测与 被利用可能性评估 控制措施识别 与有效性评估 影 响 可能性 风 险 评 价 风险管理方案的 选择与优化 风 险 控 制 2 风险评估与管理的流程 (T) (V) (A) (R) (C) 2.1 确定评估范围 --基于风险评估目标确定风险评估的对象和范围是 完成风险评估的前提。 逻辑边界 定义了分析所需的广度和深度； 物理边界 定义了系统起于哪里止于哪里； 1）信息资产（如硬件、软件、信息）； 2）人员（职员、其他外部人员）； 3）环境（建筑物、基础设施）； 4）活动（信息处理相关操作、业务）。 2.2 资产识别与重要性评估 --划入风险评估范围和边界的每一项资产都应该被 确认和评估（可依据业务流程进行识别）。 信息资产清单 对资产赋值 --资产价值体现在对组织/业务的重要性或敏感度 资产评价常采用定性的方法！！ 包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性影响，如果泄漏会造成灾难性的损害 极高 5 包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害 高 4 包含组织的一般性秘密，其泄露会使组织的安全和利益受到损害 中等 3 包含仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成损害 低 2 包含可对社会公开的信息，公用的信息处理设备和系统资源等 可忽略 1 定 义 标识 赋值 表1 根据资产的敏感度分级模式 2 低 安全保卫人员 3 中 技术支持人员 3 中 课室管理人员 人员 2 低 演示程序 2 低 多媒体课件 信息 2 低 杀毒软件 3 中 应用软件 3 中 课件播放软件 3 中 系统软件 软件 2 低 网络电缆及接口 3 中 空调 2 低 投影幕 4 高 供电设备 3 中 控制台 4 高 投影仪 4 高 多媒体电脑 硬件 关键程度 名称 资产类别 附：案例分析 通过分析多媒体教学系统在硬件、软件信息、有关人员等方面的资产信息，并考察这些资产的价值以及对信息系统的关键程度。 经识别与分析后，有关资产及其关键程度如表所示。 2.3 威胁识别与重要性评估 -- 一项资产可能面临多个威胁，而一个威胁也可能 对不同的资产造成影响。 确认引发威胁的人或事物，即威胁源或威胁代理 关键环节 评估威胁发生的可能性（频率或概率） 动 机 能 力 人 员 利 用 网 络 访 问 的 威 胁 树 系 统 故 障 威 胁 树 威胁出现的频率很高，在大多数情况下几乎不可避免或者可以证实经常发生过 很高 5 威胁出现的频率较高，在大多数情况下很有可能会发生或者可以证实多次发生 高 4 威胁出现的频率中等，在某种情况下可能会发生或被证实曾经发生过 中 3 威胁出