第06讲OCTAVE风险评估方法剖析.ppt

信息安全工程学 六、OCTAVE风险评估方法 需要大家知道的 什么是OCTAVE？ 什么是OCTAVE准则（Criterion）? 什么是OCTAVE方法（Method）？ 二者的关系？ OCTAVE的三个阶段 主要资料来源 [美]Christopher Alberts, Audrey Dorofee著，“Managing Information Security Risks—The OCTAVE Approach” OCTAVESM Criteria, Version 2.0 /octave/ OCTAVE 什么是OCTAVE？ OCTAVE准则（Criterion） OCTAVE方法（Method） 什么是OCTAVE？ Operationally Critical Threat, Asset, and Vulnerability Evaluation 卡内基-梅隆大学，软件工程学院（SEI） 定义了一套唯一的准则，说明OCTAVE风险评估的原则、属性，和评估应该输出的信息 可以有多种符合OCTAVE准则的评估方法，只要依照该方法进行的评估能够输出OCTAVE准则要求的输出信息。 什么是OCTAVE？ OCTAVE是一种“自我导向（Self-Oriented）”的风险评估，即由组织内部的人员对组织自身进行评估 OCTAVE是一种组合评估途径 先对组织范围内的信息资产进行基线评估，再对“关键资产（Critical Assets）”进行详细评估 OCTAVE强调了管理因素，即风险评估要同时从组织层面（较高抽象层次）和技术层面（较低抽象层次）来进行 OCTAVE 什么是OCTAVE？ OCTAVE准则（Criterion） OCTAVE方法（Method） OCTAVE准则（Criterion） 是OCTAVE的核心内容 规定了OCTAVE风险评估的三个阶段 规定了OCTAVE风险评估的： 原则（Principle） 属性（Attribute） 输出（Output） OCTAVE评估的3个阶段 阶段1：建立基于资产的威胁文件（Build Asset-Based Threat Profiles） 阶段2：识别基础设施脆弱性（Identify Infrastructure Vulnerabilities） 阶段3：制定安全战略和（风险控制）计划（Develop Security Strategy and Plans） OCTAVE评估的3个阶段 阶段1：建立基于资产的威胁文件 主要是在组织管理层面上识别风险； 确定哪些信息相关的资产对组织来说是重要的； 目前对这些重要资产做了哪些保护措施； 评估组挑选那些对组织来说最为重要的资产，并描述针对他们的安全需要； 最后确定这些重要资产所面临的威胁，并确定组织的基于资产的威胁文件。 OCTAVE评估的3个阶段 阶段2：识别基础设施的脆弱性 这一阶段，将从技术层面识别关键资产的脆弱性。实际上是对与该资产相对应的信息系统组件的脆弱性分析。 确定各个重要资产相关的信息技术组件； 确定每一个这样的组件的抗攻击的能力 OCTAVE评估的3个阶段 阶段3：制定安全战略和（风险控制）计划 确定出每个重要信息资产所面临的风险； 决定能够对这些风险做些什么； 制定出组织保护策略和风险消减计划以降低组织重要信息资产的风险 OCTAVE 的原则、属性和输出 什么是原则（Principal）？ 原则：驱动风险评估的一些基本概念和存在于风险评估过程背后的原理性内容。 原则决定了整个风险评估中要执行的各种任务，并为评估过程提供了参考基准。 例如，“自评估”就是一条原则。自评估的概念意味着组织内部的人士是领导评估开展和制定决策的最佳人选。 OCTAVE 的原则、属性和输出 原则共有10条，分成3类 信息安全风险评估原则 自评估、可适应措施、已定义的过程、评估过程连续性 风险管理原则 向前看、集中精力在少数关键资产上、整体管理 组织和文化原则 开放交流、全局观念、集体合作 OCTAVE 的原则、属性和输出 什么是属性（Attribute）？ 属性：评估的一些显著特点和特征 是对评估的一些要求。这些要求确定了OCTAVE风险评估的基本元素，和确定哪些东西是保证OCTAVE风险评估能够成功完成的。 属性是由OCTAVE原则决定的。 例如，“从组织内部选择一些跨部门的工作人员构成评估领导小组”是OCTAVE的一个属性，存在于这项属性背后的原则就是“自评估”原则。 OCTAVE 的原则、属性和输出 OCTAVE 的原则、属性和输出 OCTAVE 的原则、属性和输出 OCTAVE 的原则、属性和输出 OCTAVE 的原则、属性和输出 什么是输出（Output）？ 每一评估阶段的阶段性成果，它们决定了在每一个评估阶段中，评估领导