信息安全风险管理培训教材.pptVIP

第三章 信息安全风险管理;学习目标：;3.1 引言;1.风险识别：检查和说明机构信息技术的安全态势和机构面临的风险。 （风险评估就是说明风险识别的结果） 2.风险控制：采取控制手段，减少机构数据和信息系统的风险。 风险管理整个过程：找出机构信息系统中的漏洞，采取适当的步骤，确保机构信息系统中所有组成部分的机密性、完整性和有效性。 ;3.2风险管理概述; 3.2.3 利益团体的作用 1.信息安全 信息安全团队组成：最了解把风险带入机构的威胁和攻击的成员 2.管理人员 确保给信息安全和信息技术团体分配充足资源（经费和人员），以满足机构的安全需要。 3.信息技术 建立安全的系统，并且安全地操作这些系统;信息安全保护的对象是什么？;3.3风险识别;规划并组织过程 ;为资产受到的攻击赋值 ;3.3.1 资产识别和评估;3.3.2 信息资产分类;3.3.3 信息资产评估 评估资产的价值。 评估价值标准： 1.哪一项信息资产对于成功是最关键的？ 2.那一项信息资产创造的收效最多？ 3.哪一项资产的获利最多？ 4.哪一项信息资产在替换时最昂贵？ 5.哪一项信息资产的保护费用最高？ 6.哪一项信息资产是最麻烦的，或者泄漏后麻烦最大？;3.3.4 安全调查 数据分类技术——个人安全调查机构 给每一个数据用户分配一个单一