cisp0302信息安全风险管理_v30资料教材.pptVIP

信息安全风险管理 吴金城版本：3.0 发布日期：2014-12-1 生效日期：2015-1-1 课程内容 2 知识体 知识域 知识子域 信息安全 风险管理 信息安全风险 管理主要内容 信息安全风险 管理基础 信息安全风险 评估 知识域：信息安全风险管理基础 知识子域： 风险相关基础概念 理解风险的概念，理解资产、威胁、脆弱性、业务战略、安全事件、安全需求、安全措施等风险相关概念 理解风险准则、风险评估、风险处理、风险管理、残余风险的概念，掌握信息安全风险评估的概念 理解风险相关要素之间的关系 3 风险，指事态的概率及其结果的组合 （—— GB/Z 24364-2009《信息安全风险管理指南》） 信息安全风险，指人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响（—— GB/T 20984-2007《信息安全风险评估规范》） 信息安全风险会破坏组织信息资产的保密性、完整性或可用性等属性 风险、信息安全风险的概念 4 风险的构成包括五个方面：起源（威胁源）、方式（威胁行为）、途径（脆弱性）、受体（资产）和后果（影响） 风险的构成 5 风险相关术语 资产（Asset） 威胁（ Threat ） 脆弱性（Vunerability） 可能性（Likelihood, Probability） 安全措施/控制措施（Counter