信息安全管理规章技术-课稿.pptVIP

信息安全风险识别与评估 确认现有安全控制 在影响威胁事件发生的外部条件中，除了资产的弱点，再就是组织现有的安全控制措施。 在风险评估过程中，应当识别已有的（或已计划的）安全控制措施，分析安全控制措施的效力，有效的安全控制继续保持，而对于那些不适当的控制应当核查是否应被取消，或者用更合适的控制代替。 信息安全风险识别与评估 确认现有安全控制 对系统开发、维护和使用实施管理的措施，包括安全策略、程序管理、风险管理、安全保障和系统生命周期管理等 管理性安全控制 1 2 操作性安全控制 技术性安全控制 3 用来保护系统和应用操作的流程和机制，包括人员职责、应急响应、事件处理，安全意识培训、系统支持和操作、物理和环境安全等 身份识别与认证、逻辑访问控制、日志审计和加密等 安全控制方式的分类 (依据目标和针对性分类) 信息安全风险识别与评估 确认现有安全控制 此类控制可以降低蓄意攻击的可能性，实际上针对的是威胁源的动机 威慑性安全控制 1 2 预防性安全控制 检测性安全控制 3 4 纠正性安全控制 此类控制可以保护脆弱性，使攻击难以成功，或者降低攻击造成的影晌 此类控制可以检测并及时发现攻击活动，还可以激活纠正性或预防性安全控制 此类控制可以将攻击造成的影响降到最低 安全控制方式的分类 （依据功能分类) 信息安全风险识别与评估 确认现有安全控制 安全控制应对风险各要素的情况 利用 引发 造成 信息安全风险识别与评估 风险评价 风险评价就是利用适当的风险测量方法或工具确定风险的大小与等级，对组织信息安全管理范围内的每一信息资产因遭受泄露、修改、不可用和破坏所带来的任何影响做出一个风险测量的列表，以便识别与选择适当和正确的安全控制方式。 信息安全风险识别与评估 风险评价——风险度量常用方法 预定义价值矩阵法 按风险大小对威胁排序法 网络系统的风险计算方法 风险度量的目的是明确当前的安全状态、改善该状态并获得改善状态所需的资源 。 信息安全风险识别与评估 风险评价——风险度量常用方法 预定义价值矩阵法 该方法利用威胁发生的可能性、脆弱性被威胁利用的可能性及资产的相对价值三者预定义的三维矩阵来确定风险的大小。 威胁发生的可能性PT 低 0 中 1 高 2 脆弱性被利用的可能性PV 低 0 中 1 高 2 低 0 中 1 高 2 低 0 中 1 高 2 资 产 相 对 价 值 V 0 0 1 2 1 2 3 2 3 4 1 1 2 3 2 3 4 3 4 5 2 2 3 4 3 4 5 4 5 6 3 3 4 5 4 5 6 5 6 7 4 4 5 6 5 6 7 6 7 8 2+1+2=5 信息安全风险识别与评估 风险评价——风险度量常用方法 按风险大小对威胁排序法 该方法把风险对资产的影响与威胁发生的可能性联系起来，常用于考察和比较威胁对组织资产的危害程度。 第一步：按预定义的尺度，评估风险对资产的影响即资产的相 对价值I，例如，尺度可以是从1到5； 第二步：评估威胁发生的可能性PT，PT也可以用PTV（考虑被 利用的脆弱性因素）代替，例如尺度为1到5 ； 第三步：测量风险值R，R = R（PTV ，I）= PTV ×I ； 该方法把风险对资产的影响与威胁发生的可能性联系起来，常用于考察和比较威胁对组织资产的危害程度。 方法的实施过程是： 信息安全风险识别与评估 风险评价——风险度量常用方法 按风险大小对威胁排序法 威 胁 影响 （资产价值I） 威胁发生的可能性PTV 风险R 威胁的等级 威胁A 5 2 10 2 威胁B 2 4 8 3 威胁C 3 5 15 1 威胁D 1 3 3 5 威胁E 4 1 4 4 威胁F 2 4 8 3 R = PTV ×I=3 ×5=15 信息安全风险识别与评估 风险评价——风险度量常用方法 网络系统的风险计算方法 R = V×（1 - PD）×（1 - PO） 其中： V––––系统的重要性，是系统的保密性C、完整性I和可用性A三 项评价值的乘积，即V = C×I×A； PO––––防止威胁发生的可能性，与用户的个数、原先的信任、备份的频率以及强制安全措施需求的满足程度有关； PD––––防止系统性能降低的可能性，与组织已实施的保护性控制措施有关。 信息安全风险识别与评估 风险评价——风险度量常用方法 网络系统的风险计算方法 网络系统名称 保密性 C 完整性IN 可用性A 网络系统重要性V 防止威胁发生PO 防止系统性能降低PD 风险R 风险排序 管理 1 3 2 6 0.1 0.3 3