全面风险评估实施中需要注意的问题.pptxVIP

内容提要 明确风险评估的目的 确定清晰的评估范围 选择有效的评估手段 科学规范的计算方法 重点突出的风险分析 动态持续的风险评估一、明确风险评估的目的生命周期中的风险评估信息安全生命周期（APDRR）评估、防护、监测、响应、恢复评估是安全保障体系的首要和必要组成部分信息系统开发生命周期（SDLC）规划/启动、设计/开发/采购、实施、运行/维护、废弃评估是SDLC各个阶段的安全保障手段一般的风险评估目的组织自身的要求了解和评价信息安全现状提出信息系统的安全需求选择最佳的风险控制措施建立信息安全管理体系制订有效的安全策略法律规范的要求信息系统安全域划分信息系统安全等级保护《国家信息化领导小组关于加强信息安全保障工作的意见》中办发[2003]27号其他具体的风险评估目的其他具体的评估目的应用系统的风险系统漏洞导致的风险技术方面的安全问题……风险评估方法基线：标准非正式：简单实用、针对详细：全面、完整综合：重点突出二、确定清晰的评估范围确定评估范围评估范围内的所有业务和应用系统评估边界资产（如硬件、软件、数据）相关人员（各业务的系统用户和应用用户、项目组人员）环境（如建筑、设备位置）活动（如可对设备进行的操作及其权限等） 设备IP信息风险评估内容物理层：机房、设备、办公、线路、环境网络层：架构安全、设备漏洞、设备配置缺陷系统层：系统漏洞、配置缺陷应用层：软件漏洞、安全功能缺陷管理层：组织、