脆弱性与已有控制措施识别.pdfVIP

信息安全风险管理与评估 ——脆弱性与已有控制措施识别 江苏省信息安全测评中心 介绍内容  脆弱性识别  已有控制措施的识别和确认  风险分析与计算  风险评估报告  风险评估工具 2 1. 脆弱性识别 1.1 脆弱性——可能被威胁所利用的资产或若干资 产的薄弱环节[GB/T20984-2007]。 1.2 脆弱性是资产本身存在的，如果没有被相应的 威胁利用，单纯的脆弱性本身不会对资产造成损 害。而且如果系统足够强健，严重的威胁也不会 导致安全事件发生，并造成损失。所以，威胁总 是要利用资产的脆弱性才可能造成危害。 1.3 资产的脆弱性具有隐蔽性，有些脆弱性只有在 一定条件和环境下才能显现，这是脆弱性识别中 最为困难的部分。不正确的、起不到应有作用的 或没有正确实施的安全措施本身就可能是一个脆 弱性。