风险评估方法介绍课件.pptVIP

练习2续：威胁可能性等级标准 风险评估与管理 等级 可能性取值 可能性描述（威胁发生的频率） Very High 4 每月发生一次或更多 High 3 每个季度发生一次 Middle 2 每半年发生一次 Low 1 每年发生一次或更少 风险评估与管理 资产名称 价值（重要性） 威胁 威胁值 C I A 一个巴掌拍不响！ 外因是条件 内因才是根本！ 风险评估与管理 识别并评估弱点 风险评估与管理 针对每一项需要保护的资产，找到可被威胁利用的弱点，包括： 技术性弱点：系统、程序、设备中存在的漏洞或缺陷。 操作性弱点：配置、操作和使用中的缺陷，包括人员的不良习惯、审计或备份中的漏洞。 管理性弱点：策略、程序、规章制度、人员意识、组织结构等方面的不足。 弱点的识别途径： 审计报告、事件报告、安全检查报告、系统测试和评估报告 专业机构发布的漏洞信息 自动化的漏洞扫描工具和渗透测试 对弱点的评估需要结合威胁因素，主要考虑其严重程度（Severity）或暴露程度（Exposure，即被利用的容易度），也可以用“高”、“中”、“低”三级来衡量。 如果资产没有弱点或者弱点很轻微，威胁源无论能力或动机如何，都很难对资产造成损害。 信息系统存在诸多危及安全的漏洞 风险评估与管理 —— 摘自CERT/CC的统计报告 2003年12月 人最常犯的一些错误 将口令写在便签上，贴在电脑监视器旁 开着电脑离开，就像离开家却忘记关灯那样 轻易相信来自陌生人的邮件，好奇打开邮件附件 使用容易猜测的口令，或者根本不设口令 丢失笔记本电脑 不能保守秘密，口无遮拦，泄漏敏感信息 随便在服务器上接Modem，或者随意将服务器连入网络 事不关己，高高挂起，不报告安全事件 在系统更新和安装补丁上总是行动迟缓 只关注外来的威胁，忽视企业内部人员的问题 风险评估与管理 资产 威胁A 来源A1 来源A2 …… 威胁B 来源B1 来源B2 …… 弱点A1 弱点A2 …… 弱点B1 弱点B2 …… 资产、威胁和弱点的关系 弱点 威胁 影响的资产 没有逻辑访问控制 蓄意破坏软件 软件，信誉 窃取软件 数据完整性，信誉 没有应急计划 火灾、飓风、地震、水灾、恐怖攻击 设施、硬件、存储介质、数据可用性、软件、信誉 窃取软件 数据完整性，信誉 风险评估与管理 练习3(1)：识别并评价弱点 考虑到面临的威胁，找到每一项资产可能存在并被威胁利用的弱点？只选择最明显并最严重的。 评价该弱点的严重性 风险评估与管理 练习3（2）：弱点严重性等级标准 风险评估与管理 等级 严重性取值 严重性描述（弱点一旦被利用可能对资产造成的冲击） Very High 4 弱点一旦被威胁利用，会造成存在此弱点的信息资产：－ 立即停止为相关业务提供服务，半天内无法恢复－ 或者完全被威胁源所控制，使该资产完全不可信－ 或者完全泄密 High 3 弱点一旦被威胁利用，会造成存在此弱点的信息资产：－ 立即停止为相关业务提供服务，但半天内可以恢复－ 或者被威胁源获得部分控制权，基本上不可信－ 或者大部分泄密 Middle 2 弱点一旦被威胁利用，会造成存在此弱点的信息资产：－ 降低为相关业务提供服务的效率，但服务仍可继续－ 或者基本上还可信，只是在控制上不大便利－ 或者小部分泄密 Low 1 弱点一旦被威胁利用，会造成存在此弱点的信息资产：－ 对继续为相关业务提供服务没有影响－ 仍然可信－ 不会泄密 风险评估与管理 资产名称 价值（重要性） 威胁 威胁值 弱点 弱点值 C I A 风险评估过程与方法(3)--风险评价和控制措施制定 风险评估方法介绍 风险评估与管理 风险 风险管理（Risk Management）就是以可接受的代价，识别、控制、减少或消除可能影响信息系统的安全风险的过程。 在信息安全领域，风险（Risk）就是指信息资产遭受损坏并给企业带来负面影响的潜在可能性。 风险评估 风险管理 风险评估（Risk Assessment）就是对信息和信息处理设施面临的威胁、受到的影响、存在的弱点以及威胁发生的可能性的评估。 风险评估与管理 风险评估和管理的目标 低影响 高可能性 高影响 高可能性 高影响 低可能性 低影响 低可能性 威胁带来的影响 威胁发生的可能性 目标 采取有效措施，降低威胁事件发生的可能性，或者减小威胁事件造成的影响，从而将风险消减到可接受的水平。 风险 RISK RISK RISK RISK 风险 基本的风险 采取措施后剩余的风险 资产 威胁 漏洞 资产 威胁 漏洞 风险评估与管理 风险管理目标更形象的描述 绝对的零风险是不存在的，要想实现零风险，也是不现实的；