威胁脆弱性-IntosaiCommunityPortal.PPT

IT 安全 第 2节 风险分析 什么是 “风险分析”? 风险分析的目的是识别数据与其它IT资产受到威胁的不同方式，以及这些暴露的后续影响 暴露的解决措施作为”风险管理”的输入 一些概念 威胁 概率/可能性/机会 IT资产 脆弱性 影响 (C.I.A.) 风险 业务后果 记住 – 没有威胁就没有风险 IT风险的组成 风险模型 什么是潜在威胁? 为什么要分析IT风险? 以确保IT安全符合成本效益 了解 风险环境:- 内部因素, 如 :- 现有哪些计算机系统？ 以及为什么? 它们对业务的重要性如何? 它们面临什么威胁? 外部因素, 如 :- 盗窃和损坏的威胁 黑客 的威胁 对外部供应商的依赖 IT风险分析需要什么? 项目管理原则的运用 :- 成立审查指导委员会 批准 TOR 和审查范围 批准计划和资源需求 确定指导委员会会议的日期 维护 :- 健全的文档管理 一个好的审计轨迹 IT风险分析包含什么内容? IT风险分包括了解- 哪些IT资产需要加以保护 来自于什么类型的威胁 这些威胁如何显现 它们发生的可能性 导致的业务后果 现有的保护措施 管理报告 需要检查的系统优先次序表 每个系统以及所依赖的关键资产 (硬件、软件、通信、数据、文档、人员) 威胁、脆弱性、影响和业务后果的详细情况和测量 现有保护措施有效性的评估 固有风险水平的评估 风险分析 – 警告! 注意! 初始的风险分析会比较昂贵，但 后续审查比较便宜 方法 好的方法应提供 防御型的风险分析技术 项目管理框架 开展工作的详细指导 ，包括- 审查问卷 表格和其它文具 辅助风险管理 - 适当控制的选择 控制实施的优先次序 手工方法 优点 便宜，使用方便 益于快速/高层评审 缺点... 无自动化的文档管理/审计轨迹 无自动化的数据处理 (电子表格和数据库软件可提供有限的帮助) 风险管理的有限帮助 (检查列表) 更多的依赖于审查人员的经验而不是专门的软件包 软件辅助方法 优点 : 动化的文档管理/审计轨迹 自动化的数据处理 风险分析和风险管理的完全整合 支持自动化的 “如果?” 规则 缺点 成本 (逐渐降低) 初始采购成本和每年的维护成本 用户培训 强大的 PC和激光打印机 此方法会很容易控制任务 总结 IT 风险分析 - 识别和量化安全暴露 告知风险管理流程 仅是一个 “快照” 流程 - 评估系统对业务的重要程度 识别IT资产和它们的从属 评估威胁和脆弱性的程度 方法 - 手工 软件支持 IT 审计 培训 IT 安全 : S2/ * 2007,3 威胁 脆弱性 影响 风险 (安全 需求) 安全措施 风险 分析 风险 管理 电力中断 客户查询 系统 不可用性 不支持决策 制定 业务损失 额外工作 威胁/ 脆弱性 IT 资产 影响 业务 后果 大型机 工作站 以太网 服务器 X.25 工作站 工作站 服务器 网桥 磁盘阵列 小型机 网桥 打印机 帐户 X.25 X.25 Page * IT 审计 培训 IT 安全 : S2/ * 2007,3