电子商务安全管理 作者 秦成德 第13章 电子商务的风险管理.pptVIP

13．2．5 风险分析? 2．风险计算原理 在完成了资产识别、威胁识别、脆弱性识别?，以及对已有安全措施确认后，将采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性，考虑安全事件一旦发生，根据其所针对的资产的重要性及脆弱性的严重程度判断安全事件造成的损失对组织的影响，即安全风险。本标准给出了风险计算原理，以下面的范式形式化加以说明： 风险值=R(A，T，V)=R(L(T，V)，F(Ia，Va)) ?此三项分别是13.2.2、13.2.3、13.2.4的内容，可见“风险计算”在逻辑上应该是顺承下来的。但是中间缺少“对已有安全措施确认”这一块 13．2．5 风险分析? 3．风险结果判定 风险等级划分为五级，等级越高，风险越高。评估者应根据所采用的风险计算方法为每个等级设定风险值范围，并对所有风险计算结果进行等级处理。表13-5提供了一种风险等级划分方法。应当综合考虑风险控制成本与风险造成的影响，提出一个可接受风险阈值。对某些风险，如果评估值小于或等于可接受风险阈值，是可接受风险，可保持已有的安全措施：如果评估值大于可接受风险阈值，是不可接受风险，则需要采取安全措施以降低，控制风险。安全措施的选择应兼顾管理与技术两个方面，可以参照信息安全的相关标准实施。某些风险可能在选择了适当的安全措施后仍处于不可接受的风险范围内，应考虑是否接受此风险或进一步增加相应的安全措施。 13．2．5 风险分析? 3．风险评估文件记录 （一）风险评估文件记录的要求 记录风险评估过程的相关文件，应该符合以下要求(但不仅限于此)： (1)确保文件发布前是得到批准的， (2)确保文件的更改和现行修订状态是可识别的： (3)确保在使用时可获得有关版本的适用文件： (4)确保文件的分发得到适当的控制： (5)防止作废文件的非预期使用，若因任何目的需保留作废文件时，应对这些文件进行适当的标识。 对于风险评估过程中形成的相关文件，还应规定其标识、储存、保护、检索、保存期限以及处置所需的控制。相关文件是否需要以及详略程度由管理过程来决定。 13．2．5 风险分析? （二）风险评估文件 风险评估文件包括在整个风险评估过程中产生的评估过程文档和评估结果文档，包括(但不仅限于此)： (1)风险评估计划：阐述风险评估的目标、范围、团队、评估方法、评估结果的形式和实施进度等， (2)风险评估程序：明确评估的目的、职责、过程、相关的文件要求，并且准备实施评估需要的文档， (3)资产识别清单：根据组织在风险评估程序文件中所确定的资产分类方法进行资产识别，形成资产识别清单，清单中应明确各资产的责任人／部门， 13．3风险处理 13.3.1风险处理方式 13.3.2风险处理的针对性 13.3.3风险处理的过程 13.3.4风险处理的成本分析 13.3.5风险计算方法与评估软件  13．3风险处理 电子商务本身改变了传统的商业运作模式,不走传统的产购销渠道,企业管理层不熟悉行业的游戏规则,在电子商务中,如何确认没有白纸黑字和签字盖章的电子订单交易,网上信息传递如何保密等问题,管理者深感力不从心,使得管理控制风险增大。 　　(1)在电子商务环境中,数据的电子化高度集中,并以磁介质为主要存储载体,电子商务数据易导致机密的数据被不法分子拷贝,甚至对原始数据进行非法修改和删除而不留下任何痕迹。  (2)电子商务改变了传统的商务运作模式,企业的财务信息存储于信息系统中,会计的确认、计量、记录和报告都集中由计算机按程序指令执行,使得内部控制更加复杂。 　　(3)人员的安全意识淡薄,管理、控制的任何环节的忽视,都会给舞弊或攻击者留下可乘之机,内部离职人员的蓄意破坏,将会造成整个系统的瘫痪,这对营运以及资产的安全性将会带来严重的威胁。 　　(4)网络管理人员专业素质差,难以及时有效地防御外界的恶意攻击。 13.3.1风险处理方式 风险处理是风险管理的第二个过程，包括对风险评估过程中建议的安全措施进行优先级排序、评估和实施。 消除所有风险往往是不切实际的，也是不可能的，必须在权衡成本的前提下实现最合适的安全措施，将风险控制在可接受的级别，使得可能的负面影响最小化。 风险处理是一种系统化方法，可通过多种方式实现： (1)风险承受：接受潜在的风险并继续运行信息系统，不对风险进行处理。 (2)风险降低：通过实现安全措施来降低风险，从而将脆弱性被威胁源利用后可能带来的不利影响最小化(如使用防火墙、漏洞扫描系统等安全产品)。 13.3.1风险处理方式 (3)风险规避：不介入风险，通过消除风险的原因和／或后果(如放弃系统某项功能或关闭