信息系统安全与保密第3章信息安全风险评估与管理课件.docVIP

信息系统安全与保密-第3章信息安全风险评估与管理课件 第三章 信息安全风险评估与管理 课 程 1 风 险 管 理 的 基 本 概 念 内 容 2 风 险 评 估 与 管 理 的 流 程 3 风 险 评 估 方 法 和 技 术1 风险管理的基本概念 1.1 风险管理1.2 风险评估 1.3 要素分析 风险管理(Risk Management):以可以接受的费用,识别、控制、 降低或消除可能影响信息系统的安全风险的过程及活动。 任务① - 风险识别 检查和说明组织信息系统的安全态势和面临的风险 “知己”“知彼”;风险评估是说明风险识别的结果。 任务② - 风险控制 采取控制手段,减少组织信息系统和数据的风险1 风险管理的基本概念 1.1 风险管理1.2 风险评估 1.3 要素分析 风险评估(Risk Assessment):对各方面风险进行辨识和分析的过 程,即确认安全风险及其大小的过程。 风险评估是风险管理的基础,是风险控制的前提!! ISO/ IEC 27001:2005 风险评估:对信息和信息处理过程设施的威胁、影响和脆弱点以 及三者发生的可能性的评估,即确定R ? A, T, V 1.3 风险评估的要素分析 风险 有害事件发生的可能性×危害的后果 R R ? A, T, V 威胁利用资产的脆弱性对组织的信息系统造成危害 T V A 通过安全措施的配置,风险可以被消除、降低和或转移 成本效益分析 残留风险:信息系统业务可以容忍的风险威胁 残余风险 安全控制 脆弱点 残 安 脆 脆 余 资产及 威胁 风险 全 弱 弱 风 其价值 控 点 点 险 制 脆弱点 威胁 安全控制 残余风险 威胁图1 风险要素及其相互关系 资产价值越高,风险越大 安全事故影响越大,风险越大 威胁越大,风险越大 适当的安全控制可以降低风险 脆弱点越大,风险越大 安全风险指出组织的安全要求2 风险评估与管理的流程 确定评估范围 A 资产识别与重要性评估 T V C 威胁识别与 脆弱点检测与 控制措施识别 发生可能性评估 被利用可能性评估 与有效性评估 影 响 可能性 风 险 评 价 R 风险管理方案的 选择与优化 风 险 控 制2.1 确定评估范围 --基于风险评估目标确定风险评估的对象和范围是完成风险评估的前提。 定义了分析所需的广度和深度; 逻辑边界 物理边界 定义了系统起于哪里止于哪里; 1)信息资产(如硬件、软件、信息); 2)人员(职员、其他外部人员); 3)环境(建筑物、基础设施); 4)活动(信息处理相关操作、业务)。2.2 资产识别与重要性评估 --划入风险评估范围和边界的每一项资产都应该被确认和评估(可依据业务流程进行识别)。 信息资产清单 对资产赋值 --资产价值体现在对组织/业务的重要性或敏感度 资产评价常采用定性的方法!!表1 根据资产的敏感度分级模式 定 义 赋值 标识 包含可对社会公开的信息,公用的信息处理设备和系统 1 可忽略 资源等 包含仅能在组织内部或在组织某一部门内部公开的信息, 2 低 向外扩散有可能对组织的利益造成损害 包含组织的一般性秘密,其泄露会使组织的安全和利益 3 中等 受到损害 包含组织的重要秘密,其泄露会使组织的安全和利益遭 4 高 受严重损害 包含组织最重要的秘密,关系未来发展的前途命运,对 5 极高 组织根本利益有着决定性影响,如果泄漏会造成灾难性 的损害资产类别 名称 关键程度 附:案例分析 多媒体电脑 高 4 投影仪 高 4通过分析多媒 控制台 中 3 体教学系统在硬 供电设备 高 4 硬件 件、软件信息、 投影幕 低 2 有关人员等方面 空调 中 3 的资产信息,并 网络电缆及接口 低 2 考察这些资产的 系统软件 中 3 价值以及对信息 课件播放软件 中 3 系统的关键程度。 软件 应用软件 中 3经识别与分析 杀毒软件 低 2 后,有关资产及 多媒体课件 低 2 其关键程度如表 信息 演示程序 低 2 所示。 课室管理人员 中 3 技术支持人员 中 3 人员 安全保卫人员 低 22.3 威胁识别与重要性评估 -- 一项资产可能面临多个威胁,而一个威胁也可能 对不同的资产造成影响。 关键环节 确认引发威胁的人或事物,即威胁源或威胁代理 评估威胁发生的可能性(频率或概率) 动 机 能 力人 员 利 用 网 络 访 问 的 威 胁 树系 统 故 障 威 胁 树表2 威胁赋值表 等级 标识 定 义 威胁几乎不可能发生,仅可能在非常罕见和例外的情况 1 很低 下发生 威胁出现的频率较小,一般不太可能发生,也没有被证 2 低 实发生过 威胁出现的频率中等,在某种情况下可能会发生或被证 3 中 实曾经发生过 威胁出现的频率较高,在大多数情况