3信息安全风险评估简析.ppt

3.6 本章小结 信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。狭义的风险评估包括：评估前准备、资产识别与评估、威胁识别与评估、脆弱性识别与评估、当前安全措施的识别与评估、风险分析以及根据风险评估的结果选取适当的安全措施以降低风险的过程。 本章对信息安全风险评估的有关概念、策略、流程以及方法进行详细阐述，并通过一简单案例说明风险评估过程。信息安全风险评估是新兴的研究课题，很多方面还不够成熟，从事信息安全风险评估的学习和工作的人员应更多的从金融风险评估、环境安全风险评估、电力安全风险评估等方面借鉴有关的方法。 3.7 习题 1. 什么是信息安全风险评估？它由哪些基本步骤组成？ 2. 信息资产可以分为哪几类？请分别举出一两个例子说明。 3. 威胁源有哪些？其常见表现形式分别是什么？ 4. 请解释以下名词： （1）资产； （2）威胁； （3）脆弱性； （4）风险； （5）影响。 5. 风险评估方法分为哪几种？其优缺点分别是什么？ 6. 请写出风险计算公式，并解释其中各项所代表的含义。 7. 风险评估文件由哪些主要文档组成？ 8. 常用的综合评价方法有哪些，试进行比较。 9. 常用的定性与定量的风险分析方法有哪些？各有什么特点？ 1．脆弱性识别 类型 识别对象 识别内容 技术脆弱性 网络结构 从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别 系统软件 从补丁安装、物理保护、用户帐号、口令策略、资源共享、事件审计、访问控制、新系统配置、注册表加固、网络安全、系统管理等方面进行识别 应用中间件 从协议安全、交易完整性、数据完整性等方面进行识别 应用系统 从审计机制、审计存储、访问控制策略、数据完整性、通信、鉴别机制、密码保护等方面进行识别 管理脆弱性 技术管理 从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别 组织管理 从安全策略、组织安全、资产分类与控制、人员安全、符合性等方面进行识别 3.3 信息安全风险评估流程 脆弱性识别内容表 3.3 信息安全风险评估流程 2.脆弱性评估 对脆弱性被利用后对资产损害程度、技术实现的难易程度、弱点流行程度进行评估，评估的结果一般都是定性等级划分形式，综合的标识脆弱性的严重程度。 也可对脆弱性被利用后对资产的损害程度以及被利用的可能性分别评估，然后以一定方式综合。 若多个脆弱性反映同一个问题，应综合考虑这些脆弱性，确定该类脆弱性严重程度 脆弱性评估 3.3 信息安全风险评估流程 如果被威胁利用，将对资产造成的损害可以忽略。 很低 1 如果被威胁利用，将对资产造成较小损害。 低 2 如果被威胁利用，将对资产造成一般损害 。 中等 3 如果被威胁利用，将对资产造成重大损害。 高 4 如果被威胁利用，将对资产造成完全损害。 很高 5 定义 标识 等级 脆弱性严重程度赋值表 脆弱性严重程度可以进行等级化处理，不同的等级分别代表资产脆弱性严重程度的高低。等级数值越大，脆弱性严重程度越高 《信息安全风险评估规范》GB/T20984 3.3 信息安全风险评估流程 3.3.6 已有安全措施的确认 安全措施可以分为预防性安全措施和保护性安全措施两种 预防性安全措施可以降低威胁利用脆弱性导致安全事件发生的可能性，如入侵检测系统 通过两个方面的作用来实现 （1）减少威胁出现的频率，如通过立法或健全制度加大对员工恶意行为的惩罚，可以减少员工故意行为威胁出现的频率，通过安全培训可以减少无意行为导致安全事件出现的频率； （2）减少脆弱性，如及时为系统打补丁、对硬件设备定期检查能够减少系统的技术脆弱性等。 保护性安全措施可以减少因安全事件发生后对组织或系统造成的影响。 3.3 信息安全风险评估流程 3.3.6 已有安全措施的确认 对已采取的安全措施进行确认，至少有两个方面的意义 （1）有助于对当前信息系统面临的风险进行分析 （2）通过对当前安全措施的确认，分析其有效性，对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施 3.3 信息安全风险评估流程 3.3.7 风险分析 风险分析就是利用资产、威胁、脆弱性识别与评估结果以及对已有安全措施确认后，采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性。综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，即安全风险 3.3 信息安全风险评估流程 3.3.7