信息安全风险评估与管理总汇.ppt

5.4 C2risk 威胁管理 威胁管理的关键 建立标准的威胁库 自主威胁库管理 威胁的动态维护 5.4 C2risk 风险评估 风险评估的关键 确立风险评估的过程 选择风险评估方法 组合对象评估法 5.4 C2risk 控制措施管理 控制措施管理的关键 建立标准的控制措施库 自主控制措施库管理 实施的控制措施的动态维护 5.4 C2risk 安全等级评定 安全等级评定的关键 等级评定标准管理 风险影响因素管理 风险影响结果管理 等级评定方法 5.4 C2risk 风险管理报告 风险管理的报告关键 提供资产和对象级风险评估报告,可以动态产生 提供已采取措施\应采取措施报告 提供随措施变化的动态风险报告 提供等级保护要求的措施报告 总 结 风险和风险管理源于传统领域 信息安全风险主要考虑资产、威胁、脆弱性、影响 信息安全风险管理是一个持续改进的过程 * * * * * * * * * * * * * * * 5.1.2 包含详细风险分析的风险管理 步骤2：识别资产 资产是一次风险评估的评估对象，它可能是一个系统的组件或部分。 评估范围内的所有资产都要被识别。 资产可能包括：信息/数据、软硬件、基础设施、人员、无形资产等 5.1.2 包含详细风险分析的风险管理 步骤3：资产赋值 资产的价值代表资产对组织业务而言的重要性。 资产的所有者、使用者最清楚资产的价值。 定性和定量的赋值。定量赋值是困难的，定性赋值容易些。 等级 描述 详细情形 1 可以忽略 无伤害，低业务损失 2 较小 立即受控制，中等业务损失 3 中等 受控，高业务损失 4 较大 大伤害，失去生产能力有较大业务损失 5 灾难性 持续能力中断，巨大业务损失 5.1.2 包含详细风险分析的风险管理 步骤3：资产赋值 应识别一个资产对于其他资产的依赖。可能会影响资产的价值 对于有依赖关系的资产赋值时应予以修正： 如果依赖的资产（如数据）价值低于或等于被考虑的资产的价值（如服务器），其价值保持不变； 如果依赖的资产（如数据）价值较高，那么被考虑的资产的价值（如服务器）应予以增加。 5.1.2 包含详细风险分析的风险管理 步骤4：威胁评估 应从资产的所有者、使用者应、IT安全专家等处获得评估输入 当识别了威胁源和威胁目标后，应评估威胁发生的可能性： 威胁的频率； 动机 环境性因素，如靠近化工厂、餐馆、沿海等 威胁评估输出威胁列表，包括可能影响的资产、威胁发生的可能性。 5.1.2 包含详细风险分析的风险管理 步骤4：威胁评估 威胁表述 (a) 影响（资产） 价值 (b) 威胁发生的 可能性（c） 威胁排序 (d) 威胁A 5 2 2 威胁B 2 4 3 威胁C 3 5 1 威胁D 1 3 5 威胁E 4 1 4 威胁F 2 4 3 威胁评估的输出：威胁列表 5.1.2 包含详细风险分析的风险管理 步骤5：脆弱性评估 应识别包括资产自身、周围环境、管理等方面的脆弱性。 注意：未被正确实施或失效的防护措施，本身就可能是一个脆弱性。 识别脆弱性被威胁利用的难易程度，可以定性的度量：高、中、低等。 脆弱性评估的输出是脆弱性列表。 5.1.2 包含详细风险分析的风险管理 步骤6：识别已有或计划采取的防护措施 识别这些防护措施，判断其有效性，确定哪些改进、哪些保留、哪些需要替代。 评价风险时应考虑已采取的防护措施。 5.1.2 包含详细风险分析的风险管理 步骤7：评价风险 针对资产，考虑其价值、威胁和脆弱性，综合确定其风险的大小的过程，也可以称为风险计算。 通过风险计算，得出风险列表，并排序。 有许多风险计算的方法（见下页举例），组织可以选择使用。 为选择防护措施和实施防护措施的优先级提供依据。 5.1.2 包含详细风险分析的风险管理 风险计算例1：预先确定价值矩阵 项 目 威胁等级 低 中 高 脆弱性等级 低 中 高 低 中 高 低 中 高 资产价值 0 0 1 2 1 2 3 2 3 3 1 1 2 3 2 3 4 3 4 5 2 2 3 4 3 4 5 4 5 6 3 3 4 5 4 5 6 5 6 7 4 4 5 6 5 6 7 6 7 8 5.1.2 包含详细风险分析的风险管理 风险计算例2：按威胁排序 威胁表述 (a) 影响（资产） 价值 (b) 威胁发生的 可能性（c） 风险值 (d) 威胁排序 (e) 威胁A 5 2 10 2 威胁B 2 4 8 3 威胁C 3