《信息安全工程学-夏鲁宁》第03讲+信息安全风险管理与评估.pptxVIP

信息安全工程学 第03讲 信息安全风险管理与评估 内容提要 信息安全风险的概念 风险管理与风险评估 风险评估的内容 风险评估的过程 风险处置方法 风险评估中的难点 内容提要 信息安全风险的概念 风险管理与风险评估 风险评估的内容 风险评估的过程 风险处置方法 风险评估中的难点 1 信息安全风险的概念 什么是风险？ 风险是相对某有机体的，指某可能发生的事件，如果发生，能阻碍有机体的发展，甚至走向衰亡，风险是指事件发生与否的不确定性。 常有人混淆“风险（Risk）”与“危害（Hazard）”，但它们并不相同。举例而言，存在于苹果中的蛀虫是一种危害，会造成苹果的伤害，但是风险强调的是这样的危害发生的机率以及所造成的可能后果。如果这个苹果本身就是被废弃的，没有人会吃它，则即便被蛀虫啃光了也不会造成不良后果，则风险可以认为没有。 风险的特征 客观可能性 风险是客观存在，虽然可以采用防范措施防止或降低风险发生导致的损失，但是不可能完全消除风险。 偶然性 对于个别事件来看，风险导致事故的发生又有不确定性，不幸事件何时何地如何发生带来多大损失，有很大的偶然性，对于独立个体来说，事先难以确定。 可测性 单个风险的发生虽然是偶然的，但是大量同质个体某一时期某种风险的发生又有其规律性。因此就统计规律而言而言，风险发生可以用概率加以测度。 风险举例 企业做了一项战略投资 可能性：由于技术因素，可能研发失败；由于市场因素，可能推广失败 影响：一旦失败，损失全部或部分投资，损失信誉，损失下游供应商 吃果子狸 可能性：可能会感染传染性非典型肺炎 影响：消弱身体健康，严重导致死亡 使用基于Linux的网站服务器 存在CNNVD-201409-045拒绝服务攻击漏洞 可能性：发生拒绝服务攻击 影响：网站无法提供服务 信息安全风险？ 威胁（Threats）利用脆弱点（Vulnerabilities）给信息资产（Assets）造成负面影响（Impacts）的潜在可能（Likelihood） 资产必须有价值 威胁、脆弱点、影响三要素缺一不可 风险取决于可能性和影响 存在CNNVD-201409-045拒绝服务攻击漏洞，但所使用的机器与互联网物理隔绝，则威胁不存在，没有风险； 机器接入互联网，但已经对存在CNNVD-201409-045漏洞进行了修补，脆弱点不存在，没有风险； 机器接入互联网，尚未对存在CNNVD-201409-045漏洞修补，但这台机器是闲置的，不提供对外服务，因此被拒绝服务攻击了也没有任何负面影响，没有风险。 信息安全风险术语 资产（Asset）：任何对组织具有价值的信息资产，包括计算机硬件、通信设施、建筑物、数据库、文档信息、软件、信息服务和人员等。 威胁（Threat）：潜在的可能会对信息资产造成破坏的威胁源及动机。 脆弱点（Vulnerability）：资产或资产组中存在的可被威胁利用的缺点。脆弱点本身并不能构成伤害，它只是威胁利用来实施影响的一个条件。 可能性（Likelihood）：对威胁事件发生的几率（Probability）或频率（Frequency）的描述。 信息安全风险术语 影响（Impact）或者后果（Consequence）：安全事件发生给组织带来的直接或间接的损失或伤害。 风险（Risk）：特定威胁利用资产的脆弱点给资产带来损害的潜在可能。 控制措施（control）/安全措施（Safeguard） /对策（countermeasure）：通过防范威胁、减少弱点、限制意外事件带来影响等途径来消减风险的机制、方法和措施。 剩余风险（Residual Risk）：在实施控制措施之后仍然存在的风险。 信息安全风险术语 内容提要 信息安全风险的概念 风险管理与风险评估 风险评估的内容 风险评估的过程 风险处置方法 风险评估中的难点 2 信息安全风险管理与评估 风险管理 风险评估的概念 2.1 信息安全风险管理 顾名思义，信息安全风险管理就是针对信息安全风险采用的管理措施和手段 信息安全风险管理需要识别所有风险； 信息安全风险管理需要采取措施应对风险； 信息安全风险管理是一个螺旋上升的过程，在循环中不断提升安全防护水平，降低风险 信息安全风险管理的目的是将风险降低到可接受水平，而非杜绝风险 有关风险管理的定义 风险管理是一个过程。通过这个过程，信息系统管理者能够综合衡量控制措施和实施成本，并通过为信息系统提供安全防护，促进组织的业务能力提升。 ——NIST SP800-30 信息安全风险管理依据等级保护的思想和适度安全的原则，平衡成本与效益，合理部署和利用信息安全的信任体系、监控体系和应急处理等重要的基础设施，确定合适的控制措施，从而确保机构具有完成其使命的信息安全保障能力。 ——GB 24364-2009信息安全风险管理指南 识别风