信息系统的安全风险评估关注的要素何为信息—课程中心—湖南大学.ppt

9.5 涉密信息系统风险评级与处置 * 评测结果判据 评测项目分为基本要求项和一般要求项 基本要求项?高风险 一般要求项?低风险 检测项目结果判据 如果一个大项中所有小项均为“合格”，则该大项为“合格” 如果一个大项中“不合格”的小项超过40%，则该大项为“不合格” 除上述以外的其他情况，均为“基本合格” 9.5 涉密信息系统风险评级与处置 * 评测结果判据 检测结论判据 基本要求项中有一个大项“不合格”，检测结论“不合格” 基本要求项中60%（含）“合格”，其他基本要求项为“基本合格”，且一般要求项中60%以上（含）“合格”，检测结论即为“合格” 除上述两种情况以外的其他情况，检测结论即为“基本合格” 9.5 涉密信息系统风险评级与处置 * 评测结果判据 检测意见、专家评估意见与评测结论的关系 检测意见认为“不合格”，待整改复测后，再召开专家评估会进行评估 检测意见认为“合格”，专家评估意见为“基本合格”，则评测结论为“基本合格” 检测意见认为“基本合格”，专家评估意见认为“不合格”，待整改复测后，再给出评测结论 9.5 涉密信息系统风险评级与处置 * 风险处置 检测意见为“不合格”，即表示存在风险 需要针对评测项目，采取相应的技术或非技术措施进行专项整治，切实降低风险。风险处置后，需要重新评估，直至达标为止 风险处置需要注意 目的是降低风险，使残余风险在可接受的范围之内即可 要严防采取风险控制措施本身而带来新的风险 9.6 涉密信息系统安全保密风险评估的方法 * 风险评估的三种形式 自我评估 本机构信息系统安全管理人员进行评估 自查自纠 专业性和客观性差 委托评估 委托具有相应资质的评估单位进行评估 专业性、公证性和客观性较强 对于评估可能引入的新风险，要加强控制 9.6 涉密信息系统安全保密风险评估的方法 * 风险评估的三种形式 检查评估 信息系统拥有者的上级机关进行评估 专业性、公证性和客观性较强 一般不会引入评估带来的新的风险 9.6 涉密信息系统安全保密风险评估的方法 * 涉密信息系统的风险评估 自我评估 涉密信息系统的拥有者进行评估 是安全风险评估的主要方式 检查评估 国家保密局涉密信息系统安全保密测评中心进行评估 可在已建涉密信息系统安全改进方案之前进行，作为方案涉及的依据 可在已建涉密信息系统审批运行之前进行，作为保密局审批的依据 可在已建涉密信息系统开通运行一段时间之后进行，作为控制新的安全风险的依据 彭 飞 湖南大学国家保密学院 eepengf@ Q A * 彭 飞 湖南大学国家保密学院 eepengf@ 第9章 涉密信息系统的安全风险管理 * 内容提要 信息系统安全风险理论的基本概念 信息安全风险管理体系 涉密信息系统的安全风险评估 涉密信息系统安全保密风险评估的实施 涉密信息系统风险评级与处置 * 概述 信息系统的安全是一个动态的复杂过程，它贯穿于信息系统的整个生命周期 信息安全的本质在于风险管理 信息安全风险管理的核心是风险评估 * 9.1 信息系统安全风险理论的基本概念 * 信息安全风险的定义 NIST SP 800-30：风险就是给定的威胁源攻击一个特定潜在弱点的可能性，以及此风险对事件对机构产生的影响 ISO Guide 73:2002：风险为某事件发生的可能性及其后果的结合 OCTAVE method：风险就是遭到破坏或者收到损失的可能性，指一个人作出不受欢迎的事情，或自然发生的、可能导致不良后果的情况 SSE-CMM：将风险定义为有害事件发生的可能性 9.1 信息系统安全风险理论的基本概念 * 信息安全风险辨析 信息安全事件发生的可能性是信息安全风险的重要特征 信息系统的安全风险是一种潜在的、尚未发生但可能发生的安全事件 任何信息系统都有安全风险 安全的信息系统是指信息系统在实施了风险评估并作出风险控制后，仍然存在的残余风险可被接收的信息系统 9.1 信息系统安全风险理论的基本概念 * 信息系统的安全风险评估关注的要素 使命：一个组织机构通过信息化形成的能力来进行的工作任务 资产：逻辑资产，非物质化的智力财富 ；物理资产，实物资产 价值：资产的重要程度 威胁：指一个威胁源攻击（偶然触发或故意破坏）一个具体弱点潜在的可能性 人为威胁：人为故意行为造成的威胁和人为的非故意行为造成的威胁 自然威胁：系统故障威胁或自然灾害威胁 9.1 信息系统安全风险理论的基本概念 * 信息系统的安全风险评估关注的要素 脆弱性：指信息系统及其防护措施在安全流程、涉及、实现、配置或内部控制中的不足或缺陷 技术脆弱性：技术方面的因素造成的弱点，如OS的漏洞等。又分为设计弱点/实现弱点/配置弱点 结构脆弱性：信息系统网络在拓扑结构的设计、布局等方面存在的缺陷 组织脆弱性：系统运行的物理环境、组织制度、业务策略、人