octave评估.pptVIP

OCTAVE评估方法 思路 OCTAVE方法着眼于组织自身 识别出组织所需保护的对象 明确它为什么存在风险 然后开发出技术与实践相结合的解决方案 风险评估 风险评估（Risk Assessment）--在IT行业，专指信息安全风险评估，指依据有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性（Confidentiality）、完整性（Integrity）和可用性（Availability）等安全属性进行科学、公正的综合评估的过程。它是对信息资产面临的威胁、存在的弱点、造成的影响，以及三者综合作用而带来风险的可能性的评估。 风险评估目的 对信息系统进行风险评估，其目的是为了了解信息系统目前与未来的风险所在，评估这些风险可能带来的安全威胁与影响程度，为安全策略的确定、信息系统的建立及安全运行提供依据。 风险评估是风险管理的基础，是组织确定信息安全需求的一个重要途径，属于组织信息安全管理体系策划的过程。 OCTAVE OCTAVE -- O—可操作性，C—关键性，T—威胁，A—资产，V—脆弱性，E—评估。也就是说，它最注重可操作性，其次对关键性很关注。 OCTAVE方法--一种3阶段方法对管理问题和技术问题进行研究，从而使组织人员能够全面把握组织的信息安全需求。 OCTAVE过程 OCTAVE流程 OCTAVE过程 OCTAVE过程 OCTAVE过程 OCTAVE过程 OCTAVE过程 OCTAVE过程 阶段1 过程4 创建资产的威胁概要 阶段2 过程5 标识关键组件 标识重要资产关键组件 任务： 对重要资产的组件进行分类，并识别关键组件。 方法： 根据拓扑结构、重要资产访问路径来标识重要资产的关键组件； 标识重要资产-PIDS关键组件 PIDS-组件类别列表 PIDS-关键组件列表 阶段2 过程6 关键组件的脆弱性评估 阶段3 过程7 风险分析 阶段3 过程8 制定保护策略 1、制定保护策略 1、制定保护策略（续） 1、制定保护策略（续） 2、制定风险降低计划 3、短期内风险控制措施 1、对重要资产的风险影响进行描述 风险分析-资产影响描述 高级 没有PIDS不能进行有效的治疗 高级 中断对我们在机构中的角色有直接的影响 中断 高级 PIDS中的信息不能及时重建 丢失/损坏 中级 医疗机构会失去信誉，导致患者转投其它医院 高级 医疗计划和记录的不适当修改会对患者的生命和健康造成威胁 中级 如果进行了修改可能会影响工作，患者信息的确认可能比较慢 中级 不正确的修改可能影响预约和治疗 修改 中级 保护秘密的失败可能导致医疗信誉的下降 暴露 PIDS 价值 影响描述 结果 资产 2、针对重要资产进行风险统计 风险分析---风向统计 任务： 为企业制定保护策略； 制定关键资产的降低风险方案； 制定短期内实施的措施； 制定保护策略 制定保护策略----数据流程图 OP2-信息技术安全 OP2.2-系统管理工具 OP2.2.1 对适用于组织机构安全策略的安全工具、程序和机制应当进行例行审核； OP2.2.2 安全系统与网络管理使用的工具、机制应当进行审核、更新或替换，如： 数据完整性检查； 加密工具； 脆弱性扫描器； 口令质量检车工具； 病毒扫描； 进程管理工具； 入侵检测系统； 远程管理； 网络服务器工具； 流量分析； 安全事件响应工具； 数据分析鉴定工具； OP2-信息技术安全 OP2.3-监视与审计IT安全 OP2.3.1 机构使用系统与网络监控和审计工具，依照适当的方针处理不寻常的行动； OP2.3.2 防火墙和其它安全组件进行周期性的审计看是否与安全方针一致； OP2-信息技术安全 OP2.4-认证与授权 OP2.4.1 与安全策略一致的、适当的访问控制与用户认证（如文件权限、网络配置）用于限制用户访问； 信息； 系统工具； 程序源代码； 敏感系统； 制定应用和业务； 机构内部网络连接； 来自外部机构的网络连接； OP2-信息技术安全 OP2.4-认证与授权 OP2.4.2 有建立、终止个人或组织对信息访问权限的安全方针和处理过程，包括： 建立规则来授予适当的访问权限； 建立初始化访问权限； 修改访问权限； 终止访问权限； 周期性审查并核查访问权限； OP2-信息技术安全 OP2.4-认证与授权 OP2.4.3 访问控制方法、机制根据安全方针和规定确定的权限来限制对资源的访问控制 ： OP2.4.4 访问控制方法、机制应当进行周期性复审和检查； OP2.4.5 对确保敏感信息不被未授权访问、改变或破坏的方法或机制，而且对它们进行定期的审核和校验 ； OP2.4.6 用于保护敏感信息的可用性、完整性和机密性的认证机制，如数字签名等。 OP2-信息技术安全 OP2.5-脆弱性