信息系教材资料统安全跟保密-第3章节.pptVIP

第三章 信息安全风险评估与管理 * 风险管理的基本概念 风险评估与管理的流程 风险评估方法和技术 课程内容 1 风险管理的基本概念 1.3 要素分析 1.1 风险管理 1.2 风险评估 任务① - 风险识别 任务② - 风险控制 风险管理（Risk Management）：以可以接受的费用，识别、控制、 降低或消除可能影响信息系统的安全风险的过程及活动。 检查和说明组织信息系统的安全态势和面临的风险 采取控制手段，减少组织信息系统和数据的风险 “知己”“知彼”；风险评估是说明风险识别的结果。 1 风险管理的基本概念 1.3 要素分析 1.1 风险管理 1.2 风险评估 风险评估（Risk Assessment）：对各方面风险进行辨识和分析的过 程，即确认安全风险及其大小的过程。 风险评估是风险管理的基础，是风险控制的前提！！ 风险评估：对信息和信息处理过程设施的威胁、影响和脆弱点以 及三者发生的可能性的评估，即确定R = ?( A, T, V ) ISO/ IEC 27001:2005 1.3 风险评估的要素分析 风险 = 有害事件发生的可能性×危害的后果 威胁利用资产的脆弱性对组织的信息系统造成危害 通过安全措施的配置，风险可以被消除、降低和或转移 残留风险：信息系统业务可以容忍的风险 成本