信息安全风险分析及安全需求挖掘.pptVIP

信息安全风险分析及安全需求挖掘 主要内容 现有的风险分析方法综述 风险分析中需要关注的一些问题 卫士通风险分析流程及安全需求挖掘 现有的风险分析方法综述 风险分析的两大类型 定量：准确量化风险分析的各个要素 单次损失估算值 × 年发生率 ＝ 年损失估算值 火灾 $500,000 × 0.1 = $500,000 错误操作 $50 × 1000 = $500,000 但是：资产价值的确定/发生概率的确定/最终数值的界定是比较困难的。 因此，真正使用此类方法来评估是很有难度的，需要专业性很强的公司介入项目。 定性：确定资产－发现威胁－得出脆弱性－风险分析－风险控制 一些定性风险分析的方法 基线法 (德国IT Baseline…) 为系统各部分的保护度设立一个统一的基准，结合最佳实践（BP）提供的安全措施制定解决方案。 适用范围：使用广泛的典型IT 系统。对保密性、完整性及可用性为一般要求。在基础设施、组织、人事、技术及权宜安排方面可采取标准安全措施。 详细的风险分析方法(SP800-30, …) 包括资产的深度鉴定和估价，对这些资产的威胁评估和脆弱性评估。结果用于评估风险及选择合理的安全设施。 步骤：了解系统特