信息安全体系风险评估讲义.pptVIP

信息安全体系风险评估;1、什么是风险评估;;对基本概念的解释;对基本概念的解释（续）;对基本概念的解释（续）;;对基本概念的解释（续）;脆弱性/威胁对（示例）;对基本概念的解释（续）;对基本要素的解释（续）;对基本要素的解释（续）;对基本要素的解释（续）;对基本概念的解释（续）;风险评估各个要素间的相互作用;对各要素相互作用的解释;内容简介;国家对信息安全风险评估工作的要求;国家对信息安全风险评估工作的要求;信息安全风险评估的重要意义;信息安全风险评估的重要意义（续）;加强风险评估工作是当前信息安全工作的客观需要和紧迫需求 由于信息技术的飞速发展，关系国计民生的关键信息基础设施的规模越来越大，同时也极大地增加了系统的复杂程度。发达国家越来越重视风险评估工作，提倡风险评估制度化。他们提出，没有有效的风险评估，便会导致信息安全需求与安全解决方案的严重脱离。在我国目前的国情下，为加强宏观信息安全管理，促进信息安全保障体系建设，就必须加强风险评估工作，并逐步使风险评估工作朝着制度化的方向发展。;为什么要提出风险评估的概念？;内容简介;风险评估流程;否;资产分类方法;资产分类方法;资产识别模型;资产保密性赋值;资产完整性赋值;资产可用性赋值;资产等级计算公式;资产价值赋值;威胁来源列表;威胁分类表;威胁赋值;脆弱性识别内容表;风险分析原理;风险值=R(A,T,V)= R(L(T,V),F(Ia,Va )) 其中,R 表示安全风险计算函数; A 表示资产;T 表示威胁;V 表示脆弱性; Ia 表示安全事件所作用的资产价值;Va 表示脆弱性严重程度; L 表示威胁利用资产的脆弱性导致安全事件发生的可能性; F 表示安全事件发生后产生的损失。 一般风险计算方法：矩阵法和相乘法 ;矩阵法;风险等级表;*;*;;结合等保测评的风险评估流程;*;*;*;*;信息安全风险评估分为自评估、检查评估两种形式。自评估为主，自评估和检查评估相互结合、互为补充。自评估和检查评估可依托自身技术力量进行，也可委托第三方机构提供技术支持。 自评估可由发起方实施或委托风险评估服务技术支持方实施。由发起方实施的评估可以降低实施的费用、提高信息系统相关人员的安全意识，但可能由于缺乏风险评估的专业技能，其结果不够深入准确；同时，受到组织内部各种因素的影响，其评估结果的客观性易受影响。委托风险评估服务技术支持方实施的评估，过程比较规范、评估结果的客观性比较好，可信程度较高；但由于受到行业知识技能及业务了解的限制，对被评估系统的了解，尤其是在业务方面的特殊要求存在一定的局限。但由于引入第三方本身就是一个风险因素，因此，对其背景与资质、评估过程与结果的保密要求等方面应进行控制。 ;自评估中的“自”不仅仅是指自已做评估的“自”，也不仅仅是指自愿做评估的“自”。由于“谁主管谁负责”，出于对自身信息系统的安全责任考虑，信息系统主管者应定期对系统进行风险评估，具体实施时可以依托自身的评估队伍进行，也可委托有资质的第三方提供评估服务技术支持，但无论是哪一种形式，责任都是由信息系统主管者自已担负的。因此，自评估中的“自”的含义是自已负责的“自”。包括自已负责系统的安全、自己发起对信息系统的风险评估以及自己负责为保障系统安全所做的风险评估的安全等。 此外，为保证风险评估的实施，与系统相连的相关方也应配合，以防止给其他方的使用带来困难或引入新的风险也往往较多，因此，要对实施检查评估机构的资质进行严格管理。 ; 检查评估; ;规划阶段的风险评估 设计阶段的风险评估 实施阶段的风险评估 运行维护阶段的风险评估 废弃阶段的风险评估;规划阶段风险评估的目的是识别系统的业务战略，以支撑系统安全需求及安全战略等。规划阶段的评估应能够描述信息系统建成后对现有业务模式的作用，包括技术、管理等方面，并根据其作用确定系统建设应达到的安全目标。 设计阶段的风险评估需要根据规划阶段所明确的系统运行环境、资产重要性，提出安全功能需求。设计阶段的风险评估结果应对设计方案中所提供的安全功能符合性进行判断，作为采购过程风险控制的依据。 ; 实施阶段风险评估的目的是根据系统安全需求和运行环境对系统开发、实施过程进行风险识别，并对系统建成后的安全功能进行验证。根据设计阶段分析的威胁和制定的安全措施，在实施及验收时进行质量控制。 基于设计阶段的资产列表、安全措施，实施阶段应对规划阶段的安全威胁进行进一步细分，同时评估安全措施的实现程度，从而确定安全措施能否抵御现有威胁、脆弱性的影响。实施阶段风险评估主要对系统的开发与技术/产品获取、系统交付实施两个过程进行评估。;运行维护阶段风险评估的目的是了解和控制运行过程中的安全风险，是一种较为全面的风险评估。评估内容包括对真实运行的信息