信息系统安全管理理论及应用作者李建华信息系统安全管理理论及应用1-4第4章信息系统的安全风险评估与管理课案.pptVIP

* * * * 风险的评价 评价风险有两个关键因素 一个是威胁发生对信息资产造成的影响，通过资产识别与评价以及评估对应的威胁和弱点对资产的影响程度来评价。 另一个是威胁发生的可能性，需要根据威胁评估、弱点评估、现有控制的评估来进行认定。 * 风险控制 风险控制是依据决策后的风险管理方案而实施控制措施。 在风险控制阶段，通过操作、维护、监视、响应、审计和再评估、安全意识与培训，以及其他风险管理的跟进活动（配置变更管理、业务连续性管理等），力求控制风险并维持现有的安全状态的过程。 风险管理不是一次性的，而是持续不断、循环递进的一个过程。风险控制中的再评估使得风险管理可以有效地维持。 * 谢 谢! * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 信息系统的安全风险评估与管理 * * 相关术语 资产（Asset）－任何对组织具有价值的东西，包括计算机硬件、通信设施、建筑物、数据库、文档信息、信息服务和人员等，所有这此资产都需要妥善保护。 威胁（Threat）－某种威胁源（threat source）或威胁代理（threat agent）成功利用特定弱点对资产造成负面影响的潜在可能。 弱点（Vulnerability）－也被称作漏洞或脆弱性，即资产或资产组中存在的可被威胁利用的缺点。弱点一旦被利用，就可能对资产