信息安全的风险管理.ppt

信息安全风险管理 10.1 风险管理概述 “知己知彼，百战不殆。 知己而不知彼，即便获得胜利也损失惨重。既不知已又不知彼，每仗必败。” 为了取得信息安全管理的胜利，必须知己知彼。 10.1.1 知己 首先必须识别、检查和熟悉机构中当前的信息及系统，这是不言而喻的。 要想保护资产就必须熟悉它们是什么，它们对机构的价值，以及可能有哪些漏洞。 资产在这里是指信息及使用、存储和传输这些信息的系统。 10.1.2 知彼 知彼，这就意味着识别、检查并熟悉机构面临的威胁。 必须确定出对机构信息资产的安全影响最直接的威胁。 然后，通过对这些威胁的理解，按照每项资产对于机构的重要程度，建立一个威胁等级列表。 10.1.3 利益团体的作用 机构中的每一个利益团体都有责任管理机构面临的风险，可以从以下三方面的分析中看出： 1.信息安全 因为信息安全团体的成员最了解把风险带入机构的威胁和攻击，所以他们常常在处理风险时处于领导地位。 10.1.3 利益团体的作用 2.管理人员 管理人员和用户经过适当的培训，会对机构面临的威胁有着清醒的认识，在早期的检测和响应阶段起一定的作用。 3. 信息技术 利益团体必须建立安全的系统，并且安全的操作这些系统。 例如，IT操作应进行合理的备份，以避免硬盘故障引起的风险。 10.2 风险管理的基本概念 10.2.1 资产相关概念 1．资产 所谓资产就