《信息安全工程学-夏是鲁宁》第03讲 信息安全风险管理与评估.pptx

信息安全工程学;内容提要;内容提要;1 信息安全风险的概念;风险的特征;风险举例;信息安全风险？;信息安全风险术语;信息安全风险术语;信息安全风险术语;内容提要;2 信息安全风险管理与评估;2.1 信息安全风险管理;有关风险管理的定义;风险管理与信息安全管理;风险管理的对象;风险管理的对象;风险管理的过程;风险管理的过程（2）;风险管理的过程（3）;风险管理过程评价;2.2 风险评估的概念;风险评估就是确定风险的活动;风险评估的目的和用途;内容提要;3 风险评估的内容;3.1 标识资产价值与重要性;资产分类识别 在一个组织中，资产有多种表现形式。同样的两个资产也因属于不同的信息系统而重要性不同，而且对于提供多种业务的组织，其支持业务持续运行的系统数量可能更多。 这时首先需要将信息系统及相关的资产进行恰当的分类，以此为基础进行下一步的风险评估。 在实际工作中，具体的资产分类方法可以根据具体的评估对象和要求，由评估者灵活把握。例如根据资产的表现形式，可将资产分为数据、软件、硬件、服务、人员等类型。;一种资产分类形式;确定资产价值 多数情况下，不能仅根据设备的自身价值来定位。购买时花费10000元的数据库服务器，在存储了长期的财务数据后，万一发生物理损坏，其损失不仅仅是10000元货币这么简单 信息资产的价值估计，多数情况下与“影响”是有关联的，即发生各类安全事件后的价值损失 在风险评估中，一般对于“影响”的分析，是根据发生特定安全事件后，对信息资产的机密性、完整性和可用性造成的缺失来衡量的。因此对于资产的价值衡量多采用相同的方法。即便采用不同的对待资产赋值和影响分析，也要在二者之间建立映射关系;资产机密性赋值表;资产完整性赋值表;资产可用性赋值表;资产的重要性;资产重要性等级;威胁：可能造成潜在破坏的威胁源及动机;威胁源;威胁源分类;威胁动机;人为威胁源及动机示例;威胁分级;威胁分析结果示例;脆弱点：资产或资产组中存在的可被威胁利用的缺点 脆弱点包括管理上的脆弱点和技术上的脆弱点 脆弱点本身不构成伤害，只是威胁利用来实施影响的必要条件;可以以资产为核心，针对每一项需保护的资产，识别可能被威胁利用的弱点，也可以从物理、网络、系统、应用等层次进行识别，然后与资产、威胁对应起来 对应用在不同环境中的相同的弱点，其脆弱点严重程度是不同的 脆弱点识别的依据可以是国际或国家安全标准，也可以是行业规范、应用流程的安全要求 物理环境：GB/T 9361 计算机场地安全要求 操作系统：GB/T 20272 操作系统安全技术要求 数据库：GB/T 20273 数据库管理系统安全技术要求 交换机：GB/T 21050 网络交换机安全技术要求 管理脆弱点：GB/T 19716 信息安全管理使用规则;脆弱点识别内容样例;脆弱点列表样例;脆弱点来源;示例：国家漏洞库;脆弱性分级;脆弱点分析结果示例;3.4 识别现有控制措施;3.4 识别现有控制措施;控制措施样例;3.5 识别可能性;可能性分级;可能性赋值样例;3.6 识别影响;资产机密性赋值表;资产完整性赋值表;资产可用性赋值表;内容提要;4 风险评估的过程;4.1 风险评估的方法;基线评估;基线评估的优缺点;详细评估;详细评估的优缺点;组合评估;组合评估的优缺点;定量评估;定量评估;定量评估方法的评价;定性评估;定性评估;定性评估与定量评估结合;基于知识专家的分析方法;基于知识专家的分析方法;基于模型的分析方法;4.2 风险评估的步骤;NIST SP800-30风险评估步骤;系统特性分析;收集系统信息用到的技术;识别威胁;识别脆弱点;分析现有控制措施;确定可能性;分析影响;确定风险;风险等级示例;风险等级计算样例;风险等级的作用;提出控制措施建议;选择控制措施应考虑的要素;残余风险评估;评估结果文档化管理;风险评估结果报告样例;5 风险评估结果 列出每一个风险点及其描述。描述包括： 资产列表与重要性等级； 威胁源、威胁动机、威胁等级； 脆弱点与脆弱点等级； 现有控制措施及效能评价； 可能性等级； 风险等级。 6 控制措施建议 建议采用的控制措施，控制措施实施后可降低风险的等级，以及依据。 7 总结 系统风险点统计；总结和系统风险水平相关的系统风险点；建议风险控制措施；并以表格的形式对建议的分析控制措施在系统中实施要注意的事项进行描述。 ;ISO 27005 风险评估步骤;GBT 20984 风险评估步骤;三个风险评估过程的比较;三个风险评估过程的比较;有关风险评估的个人见解;风险评估共性要素总结;内容提要;5 风险处置方法;风险接受;风险消减;风险转移;内容提要;6 风险评估中的难点;本讲结束！