信息安全管理（第四章 信息安全风险评估）.pptVIP

典型的风险分析方法 德尔斐法 德尔斐法是一种定性预测方法，通过背对背群体决策咨询的方法，群体成员各自独立工作，然后以系统的、独立的方式综合他们的判断，克服了为某些权威所左右的缺点，减少调查对象的心理压力，使预测的可靠性增加。 层次分析法 层次分析法是一种定性与定量相结合的多目标决策分析方法。 典型的风险分析方法 层次分析法的决策过程如下： 层次分析法建立的层次模型如图4-6所示，层次模型至少包含三层。 图4-6 层次结构模型 典型的风险分析方法 构建两两比较判断矩阵 计算单个判断矩阵对应的权重向量 计算各层元素对目标层的合成权重向量 事件树分析法 事件树分析是风险分析的一种重要方法。它是在给定系统事件的情况下，分析此事件可能导致的各种事件的一系列结果。 原因后果分析 原因-后果分析实际上是故障树分析（FTA）和事件树分析（ETA）的混合。 典型的风险分析方法 概率风险评估和动态风险概率评估 该风险分析方法以事件树和故障树为核心的分析方法。其分析步骤如下： 识别系统中存在的事件，找出风险源 对各风险源考察其在系统安全中的地位，及相互逻辑关系，给出系统的风险源树 标识各风险源后果大小及风险概率 对风险源通过逻辑及数学方法进行组合，最后得到系统风险的度量 典型的风险分析方法 OCTAVE模型 它的实施分为三个阶段： 建立基于资产的威胁配置文件（Threat Profile） 标识基础结构的弱点 开发安全策略和计划 数据采集方法与评价工具 风险分析数据的采集方法 风险评估过程中，可以利用一些辅助性的工具和方法来采集数据，包括： 调查问卷 检查列表 人员访谈 文档检查 漏洞扫描器 渗透测试 数据采集方法与评价工具 风险评价工具 SAFESuite套件 KaneSecurityAnalyst WebTrendsSecurityAnalyzer COBRA CRAMM ASSET CORA 风险评估实例报告 风险评估实例报告 * LOGO LOGO LOGO LOGO 第四章 信息安全风险评估 信息安全管理 本讲内容 信息安全风险评估策略 1 2 3 5 信息安全风险评估过程 典型的风险分析方法 3 4 4 5 风险评估实例报告 数据采集方法与评价工具 信息安全风险评估策略 风险评估（也称风险分析）是风险管理的基础，是组织确定信息安全要求的途径之一，属于组织信息安全管理体系策划的过程。 常见的风险评估方法策略有三种： 基线风险评估 详细风险评估 综合风险评估 信息安全风险评估策略 基线风险评估 基线评估的优点是： 只需要最少 数量的资源，并且在选择防护措施时花费更少的时间和努力 可以采用相同或相似的基线防护措施而不需要太多的努力 基线评估的的缺点是： 基线水平难以设置 风险评估不全面、不透彻，且不易处理变更 信息安全风险评估策略 详细风险评估 详细评估的优点是： 有可能为所有系统识别出适当的安全措施 详细分析的结果可用于安全变更管理 详细评估的缺点是： 需要更多的时间、努力和专业知识 信息安全风险评估策略 综合风险评估 基线风险评估耗费资源少、周期短、操作简单，但不够准确，适合一般环境的评估；详细风险评估准确而细致，但耗费资源较多，适合严格限定边界的较小范围内的评估。 /IEC 13335-3提出了综合风险评估框架，其实施流程如图4-1所示。 信息安全风险评估策略 信息安全风险评估策略 综合评估将基线和详细风险评估的优势结合起来，既节省了评估所耗费的资源，又能确保获得一个全面系统的评估结果，而且，组织的资源和资金能够应用到最能发挥作用的地方，具有高风险的信息系统能够被预先关注。 风险评估流程概述 当前在国内各行业都比较认可的信息安全风险 评估流程如下。 信息安全风险评估过程 信息安全风险评估过程 风险评估的准备 风险评估的准备是整个风险评估过程有效性的保证。其工作主要包括： 确定风险评估目标 确定风险评估的对象和范围 组建团队 选择方法 获得支持 准备相关的评估工具 信息安全风险评估过程 资产识别与评估 资产识别 资产是指对组织具有价值的信息资源。资产识别是风险识别的必要环节。 资产识别的任务就是对确定的评估对象所涉及或包含的资产进行详细的标识，由于它以多种形式存在，有无形的、有形的。 资产识别的方法主要有访谈、现场调查、问卷、文档查阅等。 信息安全风险评估过程 资产评估 资产的评价是对资产的价值或重要程度进行评估，资产本身的货币价值是资产价值的体现，但更重要的是资产对组织