信息安全体系风险评估教案.ppt

* 国信办[2006]5号文件指出：信息安全风险评估应贯穿于网络与信息系统建设运行的全过程。在网络与信息系统的设计、验收及运行维护阶段均应当进行信息安全风险评估。如在网络与信息系统规划设计阶段，应通过信息安全风险评估进一步明确安全需求和安全目标。 信息系统生命周期各阶段的风险评估 * 规划阶段的风险评估 设计阶段的风险评估 实施阶段的风险评估 运行维护阶段的风险评估 废弃阶段的风险评估 信息系统生命周期各阶段的风险评估 * 规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等。规划阶段的评估应能够描述信息系统建成后对现有业务模式的作用，包括技术、管理等方面，并根据其作用确定系统建设应达到的安全目标。 设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性，提出安全功能需求。设计阶段的风险评估结果应对设计方案中所提供的安全功能符合性进行判断，作为采购过程风险控制的依据。 信息系统生命周期各阶段的风险评估 * 实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别，并对系统建成后的安全功能进行验证。根据设计阶段分析的威胁和制定的安全措施，在实施及验收时进行质量控制。 基于设计阶段的资产列表、安全措施，实施阶段应对规划阶段的安全威胁进行进一步细分，同时评估安全措施的实现程度，从而确定安全措施能否抵御现有威胁、脆弱性的影响。实施阶段风险评估主要对系统的开发与技术/产品获取、系统交付实施两个过程进行评估。 信息系统生命周期各阶段的风险评估 * 运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种较为全面的风险评估。评估内容包括对真实运行的信息系统、资产、威胁、脆弱性等各方面。 信息系统生命周期各阶段的风险评估 * 当信息系统不能满足现有要求时，信息系统进入废弃阶段。根据废弃的程度，又分为部分废弃和全部废弃两种。 废弃阶段风险评估着重在以下几方面： 1、确保硬件和软件等资产及残留信息得到了适当的处置，并确保系统组件被合理地丢弃或更换； 2、如果被废弃的系统是某个系统的一部分，或与其他系统存在物理或逻辑上的连接，还应考虑系统废弃后与其他系统的连接是否被关闭； 3、如果在系统变更中废弃，除对废弃部分外，还应对变更的部分进行评估，以确定是否会增加风险或引入新的风险； 4、是否建立了流程，确保更新过程在一个安全、系统化的状态下完成。 信息系统生命周期各阶段的风险评估 内容简介 基本概念 重要意义 工作方式 几个关键问题 （1）风险评估的完整性 漏洞扫描、IDS监视、渗透性测试、调查问卷等工作只是风险评估中的步骤之一，尚不能称之为完整的风险评估。在早期，很多企业和机构声称的风险评估服务，实质上是在以偏概全。 当然，根据具体情况，在进行风险评估时可以有所侧重。例如，如果某单位曾经实施过风险评估，其业务此后也没有发生变化，那么再次评估时，该单位有可能只需关注新的漏洞就可以了。这时，风险评估就可以简化为脆弱性评估。 （2）风险评估的最终目的 风险评估结果是后续安全建设的依据。单独的信息系统的安全风险值没有实际意义，不能将计算风险值作为风险评估工作的唯一重点，也不能把风险值作为风险评估工作的唯一成果。否则，这是一种误区。 风险的控制措施有四种，这与风险值和成本因素密切相关。而成本因素便是通过在风险评估的步骤中得出的信息进行判断的。 （3）风险控制的实施点 （3）风险控制的实施点 当存在系统脆弱性（缺陷或弱点）时：减少或修补系统脆弱性，降低脆弱性被攻击的可能性； 当系统脆弱性可被恶意攻击时：运用层次化保护、结构化设计、管理控制将风险最小化或防止脆弱性被利用； 当攻击者的成本小于攻击的可能所得时：运用保护措施，通过提高攻击者成本来降低攻击者的攻击动机（例如使用系统访问控制，限制系统用户的访问对象和行为）。 当损失巨大时：运用系统设计中的基本原则及结构化设计、技术或非技术类保护措施来限制攻击的范围，从而降低可能的损失。 （4）风险评估与其它工作的关系 风险评估与其它工作不是并列关系。任何信息安全工作，其最终目的都是控制信息安全风险，使残余风险可接受，从而促进信息化健康发展。 因此，风险评估在实质上不是一项独立的过程，而是其它信息安全工作的基础，贯穿在其它工作之中。更重要的是，基于风险的思想是信息安全中的核心思想。 风险评估突出了“有的放矢”，这个“的”便是信息安全需求。而信息安全需求是贯穿在信息系统生命周期的全过程的。 * （5）风险评估中的角色与责任 （6）等级保护中是如何体现风险思想的 等级保护的定级过程 这个过程引入了对风险的认识，但其与风险评估过程的最大不同