信息安全风险评估与风险管理课件.pptx

信息安全风险评估与风险管理;一、风险评估中的概念及模型 二、风险评估标准 三、风险评估流程与方法 四、风险评估的输出结果 五、风险管理 六、总结 ;信息安全的定义; Key words I;Key word II;风险评估的目的和意义;信息系统风险模型;风险计算依据;一、风险评估中的概念及模型 二、风险评估标准 三、风险评估流程与方法 四、风险评估的输出结果 五、风险管理 六、总结 ;国外相关信息安全风险评估标准简介（1）;AS/NZS 4360：1999 风险管理 澳大利亚和新西兰联合开发的风险管理标准 将对象定位在“信息系统”；在资产识别和评估时，采取半定量化的方法，将威胁、风险发生可能性、造成的影响划分为不同的等级。 分为建立环境、风险识别、风险分析、风险评价、风险处置等步骤。 ISO/IEC TR 13335信息技术安全管理指南 提出了风险评估的方法、步骤和主要内容。 主要步骤包括：资产识别、威胁识别、脆弱性识别、已有控制措施确认、风险计算等过程。 NIST SP800-30：信息技术系统风险管理指南 提出了风险评估的方法论和一般原则， 风险及风险评估概念：风险就是不利事件发生的可能性。风险管理是评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级别的过程。 ;我国信息安全风险评估标准发展历程;《信息安全风险评估规范》标准操作的主要内容;标准内容：引言;;风险评估框架及流程 ;风险分析原理 ;;风险评估实施 (1);资产识别 资产分类 资产赋值 :机密性、完整性、可用性三方面的赋值 资产重要性等级 威胁识别 威胁分类 威胁来源分类 威胁赋值 脆弱性识别 识别内容 ：技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理脆弱性和组织管理脆弱性两方面。 脆弱性赋值 ：等级赋值，技术脆弱性与管理脆弱性的结合。 ;已有安全措施确认 安全措施的确认应评估其有效性，即是否真正地降低了系统的脆弱性，抵御了威胁。 安全措施确认并不需要和脆弱性识别过程那样具体到每个资产、组件的弱点，而是一类具体措施的集合，为风险处理计划的制定提供依据和参考。 风险分析 计算安全事件发生的可能性 计算安全事件发生后的损失 计算风险值 风险等级判定 ;风险评估文件记录 风险评估文件记录的要求 风险评估文件 的类型、多少 风险评估方案 资产识别清单 重要资产清单 威胁列表 脆弱性列表 风险评估报告 风险处理计划 ;信息系统生命周期各阶段的风险评估 ;风险评估的工作形式 ;附录;一、风险评估中的概念及模型 二、风险评估标准 三、风险评估流程与方法 四、风险评估的输出结果 五、风险管理 六、总结 ;现有风险评估方法综述（1）;现有风险评估方法综述（2）;现有风险评估方法综述（3）;现有风险评估方法综述（4）;1）资产识别与赋值2）资产的安全属性赋值及权重计算；3）威胁分析；4）薄弱点分析；5）已有控制措施分析；6）影响分析；7）可能性分析；8）风险计算；9）风险控制措施制定；;1、资产的识别;资产识别的类型;2、资产的安全属性赋值及权重计算;资产价值与信息安全特性的关系;资产价值与信息安全特性的关系;资产价值与信息安全特性的关系;3、威胁分析与评价;威胁的识别与评价 ; 威胁的识别与评价 ;分析威胁与C,I,A之间的关系;4、薄弱点分析与评价;有关实物和环境安全方面的薄弱点列表;例：常见系统薄弱点及其对应威胁; 5、已有安全控制分析与确认 ;6、威胁影响分析;威胁影响程度判断准则;7、威胁的可能性分析;;8、风险值的计算;9、风险控制措施确定;实施风险控制;风险控制曲线图;;;风险控制要点;一、风险评估中的概念及模型 二、风险评估标准 三、风险评估流程与方法 四、风险评估的输出结果 五、风险管理 六、总结 ; 风险评估的输出结果;反映了： 资产名称 描述范围 重要性程度 部门 所属业务流程 ;反映了： 资产名称 描述范围 机密性、可用性、完整性评分等级 资产与信息安全系数关系 所属业务流程 ;反映了： 资产名称 面临的威胁类 具体可能的威胁 ;反映了： 脆弱性分类（网络、操作系统、管理、数据库等） 脆弱性的详细描述 脆弱性的严重程度 与威胁的对应关系 可能影响的资产 ;反映了： 资产名称 资产面临的威胁 可能被威胁利用的脆弱电 威胁发生的可能性 威胁的影响程度 ;反映了： 资产名称 威胁/薄弱点 风险系数 风险处理措施 优先处理等级，等。;风险评估报告 评估方法 信息系统分析与描述 业务信息流分析 资产识别与划分 威胁分析 安全风险分析与统计 信息系统脆弱性评估报告：以资产为主线，描述各资产存在的脆弱性，包括： 主要