Lecture6 信息安全测评与风险评估 教学课件.pptVIP

今日长缨在手 何时缚住苍龙 当刘邦击筑高唱这首传世之作的时候，他是否隐隐约约感到了汉王朝以后将面临的潜在风险？… * 牛顿发现了宇宙空间的三定律，虚拟空间的“牛顿定律”是什么？ 互联网、物联网、人联网…谁是主宰？网还是人？ 善攻者动于九天之上，善守者藏于九地之下 ？九天九地是什么？ 阶级社会：我饿；风险社会：我怕 南海公司引发的泡沫法案（babble act） 尽管美国空军从上个世纪七十年代初就已经形成了系统的信息安全框架理念 美国国防科技委员会关于信息系统安全规范的想法甚至还可以追溯到1967年， 但信息安全战略上升为国家安全战略，RAND功不可没 在这两次演习中，方法论很重要 我国的GB/T 20984—2007标准参考的另一个NIST标准，NIST 800-26已在FY 2007中被FISMA撤销。 NIST 800-30的九个步骤大致可以分为三个环节： 风险识别、风险分析和风险报告 我国的GB/T 20984-2007也基本遵循了这个流程（增加了评估准备环节） 现场测评包括资产识别、威胁识别和脆弱性识别，是风险评估最重要的环节。测评人员需要尽量记录、提取各种数据，已备场外分析和撰写文档之用。 传统的婚嫁流程： 相亲、订婚、礼单、迎亲… 在实际测评工作中，我们主要是采用四大步骤。 在资产识别过程中，业务战略和信息化战略往往是长期的，持续的，而系统建设则是分阶段的。 对于企业而