第2讲第二章信息安全风险评估.pptxVIP

第2讲 信息安全风险评估（一） 北京邮电大学 计算机学院 副教授 郭燕慧 概述 风险评估方法 详细风险评估流程 风险计算方法 风险评估简例 1 概述 1.1 信息安全风险评估相关要素 1.2 信息安全风险评估 1.3 风险要素相互间关系 1.1 信息安全风险评估相关要素 资产 威胁 脆弱点 风险 影响 安全措施 安全需求 资产 根据ISO/IEC 13335-1,资产是指任何对组织有价值的东西，资产包括： 物理资产（如，计算机硬件，通讯设施，建筑物）； 信息/数据（如，文件，数据库）； 软件； 提供产品和服务的能力； 人员； 无形资产（如，信誉，形象）。 我国的《信息安全风险评估指南》认为 资产是指对组织具有价值的信息资源，是安全策略保护的对象。它能够以多种形式存在，有无形的、有形的，有硬件、软件，有文档、代码，也有服务、形象等。 根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类，如表3-1所示 分类 示例 数据 存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册等 软件 系统软件：操作系统、语言包、工具软件、各种库等 应用软件：外部购买的应用软件，外包开发的应用软件等 源程序：各种共享源代码、可执行程序、自行或合作开发的各种程序等 硬件 网络设备：路由器、网关、交换机等 计算机设备：大型机、服务器、工作站、台式计算机、移动计算机等 存储设备：磁带机、磁盘阵列等 移动存储设备：磁带、光盘、软盘、U盘、移动硬盘等 传输线路：光纤、双绞线等 保障设备：动力保障设备（UPS、变电设备等）、空调、保险柜、文件柜、门禁、消防设施等 安全保障设备：防火墙、入侵检测系统、身份验证等 其他电子设备：打印机、复印机、扫描仪、传真机等 服务 办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务 网络服务：各种网络设备、设施提供的网络连接服务 信息服务：对外依赖该系统开展服务而取得业务收入的服务 文档 纸质的各种文件、传真、电报、财务报告、发展计划等 人员 掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等 其它 企业形象，客户关系等 两种看法之比较： 两种定义基本上是一致的，所包含的内容也基本是一致的，主要的区别在于后者把资产限定在“信息资源”范围内，这是基于信息安全风险评估应的特殊性的考虑，信息安全风险评估应重点分析信息资产面临的风险。 从具体分类明细看，后者还是包含了其他内容，如保障设备、人员、企业形象、客户关系等，这些未必都能视为信息资产。 威胁 威胁是可能对资产或组织造成损害的潜在原因。 威胁有潜力导致不期望发生的事件发生，该事件可能对系统或组织及其资产造成损害。这些损害可能是蓄意的对信息系统和服务所处理信息的直接或间接攻击。也可能是偶发事件。 根据威胁源的不同，威胁可分为： 自然威胁：指自然界的不可抗力导致的威胁 环境威胁：指信息系统运行环境中出现的重大灾害或事故所带来的威胁 系统威胁：指系统软硬件故障所引发的威胁 人员威胁：包含内部人员与外部人员，由于内部人员熟悉系统的运行规则，内部人员的威胁更为严重 表2给出了需识别的威胁源以及其威胁的表现形式。 威胁源 常见表现形式 自然威胁 地震 、飓风 、火山 、洪水、海啸 、泥石流、暴风雪 、雪崩 、雷电、其他 环境威胁 火灾 、战争、重大疫情 、恐怖主义、供电故障、供水故障 、其他公共设施中断 、危险物质泄漏、重大事故（如交通工具碰撞等）、污染、温度或湿度、其他 系统威胁 网络故障、硬件故障 、软件故障 、恶意代码、存储介质的老化 、其他 外部人员 网络窃听、拒绝服务攻击、用户身份仿冒、系统入侵、盗窃、物理破坏、信息篡改、泄密、抵赖、其他。 内部人员 未经授权信息发布、未经授权的信息读写、抵赖、电子攻击（如利用系统漏洞提升权限）、物理破坏（系统或存储介质损坏）、盗窃、越权或滥用、误操作 根据威胁的动机 人员威胁又可分为恶意和无意两种，但无论是无意行为还是恶意行为，都可能对信息系统构成严重的损害，两者都应该予以重视 脆弱点 脆弱点是一个或一组资产所具有的，可能被威胁利用对资产造成损害的薄弱环节。如操作系统存在漏洞、数据库的访问没有访问控制机制、系统机房任何人都可进入等等。 脆弱点是资产本身存在的，如果没有相应的威胁出现，单纯的脆弱点本身不会对资产造成损害。另一方面如果系统足够强健，再严重的威胁也不会导致安全事件，并造成损失。即：威胁总是要利用资产的弱点才可能造成危害。 资产的脆弱点具有隐蔽性，有些弱点只有在一定条件和环境下才能显现，这是脆弱点识别中最为困难的部分。需要注意的是，不正确的、起不到应有作用的或没有正确实施的安全措施