国际资讯安全标准ISO27001之网路架构设计–以国-电算中心网路组.PPTVIP

國際資訊安全標準ISO 27001之網路架構設計–以國網中心為例探討風險管理 李慧蘭 國家實驗研究院國家高速網路與計算中心 gracelee@nchc.org.tw Outline ISO 27001標準 ISMS資訊安全管理系統 風險管理 國網中心風險管理為例 ISO 27001的架構 ISMS Framework ISMS建置流程 風險管理 風險評鑑 風險計算 總風險值 = 資產價值 × 破壞事件嚴重程度 資產價值 資產價值 = 機密性評價 + 完整性評價 + 可用性評價 破換事件的嚴重程度 破壞事件的嚴重程度 = 威脅等級 × 脆弱點等級 × 衝擊等級 訂定風險等級 風險處理 降低、接受、迴避、轉移 評估殘餘風險 機密性、完整性、可用性評價參照 破壞事件的嚴重程度= 威脅等級×脆弱點等級×衝擊等級 破壞事件的嚴重程度= 威脅等級×脆弱點等級×衝擊等級 訂定風險等級 總風險值 = 資產價值 × 破壞事件嚴重程度 國網中心專業資訊安全管理委員會的決議，可接 受的風險等級為D 風險等級為C以上者，須作風險處理以減輕其風險。 以國網中心為例的風險管理 網際網路連線服務風險管理 儲存伺服器服務風險管理 網際網路連線服務風險管理 伺服器服務風險管理 符合可接受風險等級要求的網路架構 * 網際網路連線服務 資產價值評等 機密性評價 = 2 完整性評價 = 4 可用性評價 = 4 資產價值 = 10 破壞事件評等 + 中斷 IOS更新 3 * 3 * 3 = 27 維護不當 4 * 2 * 2 = 16 對外連線中斷 2 * 2 * 3 = 12 火災 停電 router chassis故障 模組故障 內部線路中斷 威脅點 脆弱點 嚴重程度 = 威脅等級 * 脆弱等級 * 衝擊等級 總風險值 = 資產價值 * 嚴重程度 10 * 27 = 270 10 * 16 = 160 10 * 12 = 120 風險等級 2 * 1 * 3 = 6 1 * 1 * 4 = 4 2 * 2 * 4 = 16 1 * 1 * 4 = 4 3 * 1 * 4 = 12 10 * 6 = 60 10 * 4 = 40 10 * 16 = 160 10 * 4 = 40 10 * 12 = 120 C D D D D D D D 伺服器服務 資產價值評等 機密性評價 = 4 完整性評價 = 4 可用性評價 = 4 資產價值 = 12 破壞事件評等 + 威脅點 脆弱點 嚴重程度 = 威脅等級 * 脆弱等級 * 衝擊等級 總風險值 = 資產價值 * 嚴重程度 風險等級 中斷 維護不當 3 * 2 * 2 = 12 火災 停電 模組故障 2 * 2 * 3 = 12 1 * 1 * 4 = 4 3 * 1 * 4 = 12 12 * 12 = 144 D D 入侵 病毒感染 DoS/DDoS 存取控管 3 * 3 * 3 = 27 12 * 27 = 324 3 * 3 * 2 = 18 1 * 1 * 4 = 4 3 * 3 * 2 = 18 12 * 18 = 216 12 * 4 = 48 12 * 18 = 216 維護不當 12 * 12 = 144 12 * 12 = 144 12 * 4 = 48 D D C C D C 謝謝!! * *