信息安全风险评估培训绪论.ppt

信息安全风险评估 什么是风险评估？ ——从深夜一个回家的女孩开始讲起…… 风险评估的基本概念 各安全组件之间的关系 资产 影响 威胁 弱点 风险 钱被偷 100块 没饭吃 小偷 打瞌睡 服务器 黑客 软件漏洞 被入侵 数据失密 通俗的比喻 风险评估 6 风险 风险管理（Risk Management）就是以可接受的代价，识别、控制、减少或消除可能影响信息系统的安全风险的过程。 在信息安全领域，风险（Risk）就是指各种威胁导致安全事件发生的可能性及其对组织所造成的负面影响。 风险管理 风险评估（Risk Assessment）就是对各方面风险进行辨识和分析的过程，它包括风险分析和风险评价，是确认安全风险及其大小的过程。 概 述 相关概念 资产（Asset）—— 任何对企业具有价值的东西，包括计算机硬件、通信设施、建筑物、数据库、文档信息、软件、信息服务和人员等，所有这些资产都需要妥善保护。 威胁（Threat）—— 可能对资产或企业造成损害的某种安全事件发生的潜在原因，通常需要识别出威胁源（Threat source）或威胁代理（Threat agent）。 弱点（Vulnerability）—— 也被称作漏洞或脆弱性，即资产或资产组中存在的可被威胁利用的缺点，弱点一旦被利用，就可能对资产造成损害。 风险（Risk）—— 特定威胁利用资产弱点给资产或资产组带来损害的潜在可能性。 可能性（Likelihood）—— 对威胁发生几率（Probability）或频率（Frequency）的定性描述。 影响（Impact）—— 后果（Consequence），意外事件发生给企业带来的直接或间接的损失或伤害。 安全措施（Safeguard）—— 控制措施（control）或对策（countermeasure），即通过防范威胁、减少弱点、限制意外事件带来影响等途径来消减风险的机制、方法和措施。 残留风险（Residual Risk）—— 在实施安全措施之后仍然存在的风险。 原有风险 采取措施后的剩余风险 风险管理的目标 资产分类方法 资产分类方法 资产识别模型 资产价值的评估 信息安全属性 保密性CONFIDENTIALATY 确保信息只能由那些被授权使用的人获取 完整性INTEGRITY 保护信息及其处理方法的准确性和完整性 可用性AVAILABILITY 确保被授权使用人在需要时可以获取信息和使用相关的资产 资产等级计算公式 AV=F(AC,AI,AA) 例1：AV=MAX(AC,AI,AA) 例2：AV=AC+AI+AA 例3：AV=AC×AI×AA 威胁来源列表 威胁分类表 脆弱性识别内容表 威胁与脆弱性之间的关系 风险分析原理 定性风险分析 风险计算方法 风险值=R(A,T,V)= R(L(T,V),F(Ia,Va )) 其中,R 表示安全风险计算函数;A 表示资产;T 表示威胁;V 表示脆弱性; Ia 表示安全事件所作用的资产价值;Va 表示脆弱性严重程度;L 表示威胁利用资产的脆弱性导致安全事件发生的可能性;F 表示安全事件发生后产生的损失。 一般风险计算方法：矩阵法和相乘法 矩阵法 风险评价示例 31 确定风险处置策略 降低风险（Reduce Risk）—— 采取适当的控制措施来降低风险，包括技术手段和管理手段，如安装防火墙，杀毒软件，或是改善不规范的工作流程、制定业务连续性计划，等等。 避免风险（Avoid Risk）—— 通过消除可能导致风险发生的条件来避免风险的发生，如将公司内外网隔离以避免来自互联网的攻击，或是将机房安置在不可能造成水患的位置，等等。 转移风险（Transfer Risk）—— 将风险全部或者部分地转移到其他责任方，例如购买商业保险。 接受风险（Accept Risk）—— 在实施了其他风险应对措施之后，对于残留的风险，组织可以有意识地选择接受。 32 评价残留风险 绝对安全（即零风险）是不可能的。 实施安全控制后会有残留风险或残存风险（Residual Risk）。 为了确保信息安全，应该确保残留风险在可接受的范围内： 残留风险Rr ＝ 原有的风险R0 － 控制ΔR 残留风险Rr ≤ 可接受的风险Rt 对残留风险进行确认和评价的过程其实就是风险接受的过程。决策者可以根据风险评估的结果来确定一个阀值，以该阀值作为是否接受残留风险的标准。 等保测评与风险评估的区别 目的不同 等级测评：以是否符合等级保护基本要求为目的 照方抓药 风险评估：以PDCA循环持续推进风险管理为目的 对症下药 等保测评与风险评估的区别 参照标准不同 等级测评： GB 17859-1999《计算机信息系统安