风险评估介绍.pptVIP

风险评估流程 风险评估准备内容包括确定风险评估范围可能涉及的组织全部的信息及与信息处理相关的各类资产、管理机构，准备风险评估工作中使用的表格、文档、检测工具等以及制定风险评估进度计划和安排人员计划等工作，是顺利实施风险评估工作的基础。 赋值 标识 定义 5 非常高 非常重要，其安全属性破坏后可能对组织造成非常严重的损失。 4 高 重要，其安全属性破坏后可能对组织造成比较严重的损失。 3 中 比较重要，其安全属性破坏后可能对组织造成中等程度的损失。 2 低 不太重要，其安全属性破坏后可能对组织造成较低的损失。 1 很低 不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计 来源 描述 环境因素 断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震、意外事故等环境危害或自然灾害，以及软件、硬件、数据、通讯线路等方面的故障。 人为因素 恶意人员 不满的或有预谋的内部人员对信息系统进行恶意破坏；采用自主或内外勾结的方式盗窃机密信息或进行篡改，获取利益 外部人员利用信息系统的脆弱性，对网络或系统的机密性、完整性和可用性进行破坏，以获取利益或炫耀能力。 非恶意人员 内部人员由于缺乏责任心，或者由于不关心和不专注，或者没有遵循规章制度和操作流程而导致故障或信息损坏；内部人员由于缺乏培训、专业技能不足、不具备岗位技能要求而导致信息系统故障或被攻击。 脆弱性类别 脆弱性因素 物理环境 从机房场地、机房失火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别。 网络结构 从网络结构设计、边界防护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别。 系统软件 从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、系统配置、网络安全、恶意代码防范等方面进行识别。 数据库软件 从补丁安装、鉴别机制、口令机制、访问控制、网络和服务设置、备份恢复机制、审计机制等方面进行识别。 应用中间件 从协议安全、交易完整性、数据完整性等方面进行识别。 应用系统 从审计机制、审计存储、访问控制策略、数据完整性、通信安全、身份鉴别、密码保护等方面进行识别。 第三十页，编辑于星期六：五点 二十三分。 风险评估流程 在识别脆弱性的同时，评估人员对已采取的安全措施的有效性进行确认。安全措施的确认应评估其有效性，即是否真正地降低了系统的脆弱性，抵御了威胁。对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施。对确认为不适当的安全措施应核实是否应被取消或对其进行修正，或用更合适的安全措施替代。 本次评估我们采用如下算式来得到资产的风险赋值： 风险值=（风险发生的可能性×风险产生后果） 其中： 风险发生的可能性=SQRT（威胁频率×脆弱性严重程度） 风险产生后果＝SQRT（资产价值×脆弱性严重程度） 第三十一页，编辑于星期六：五点 二十三分。 风险评估 风险评估的整体理论、流程和评估方法 gexiaoliang@163.com 第一页，编辑于星期六：五点 二十三分。 目录： 基本概念 实施原则 分析原理 实施流程 评估方法 风险评估举例 第二页，编辑于星期六：五点 二十三分。 风险评估的基本概念 依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性 和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。 风险评估概念 可用性 availability 数据或资源的特性，被授权实体按要求能访问和使用数据或资源。 机密性 confidentiality 数据所具有的特性，即表示数据所达到的未提供或未泄露给非授权的个人、过程或其他实体的程度。 完整性 integrity 保证信息及信息系统不会被非授权更改或破坏的特性。包括数据完整性和系统完整性。 安全的三个属性 第三页，编辑于星期六：五点 二十三分。 风险评估的实施原则 信息系统的安全风险评估，应按照GB/T 20984-2007中规定的评估流程进行实施，包括各阶段性的评估工作。 信息安全风险评估应以被评估组织的关键业务作为评估工作的核心，把涉及这些业务的相关网络与系统，包括基础网络、业务网络、应用基础平台、业务应用平台等作为评估的重点。 a）服务可控性 b）人员与信息可控性 c）过程可控性 d）工具可控性 对于在线业务系统的风险评估，应采用最小影响原则，即首要保障业务系统的稳定运行，而对于需要进行攻击性测试的工作内容，需与用户沟通并进行应急备份，同时选择避开业务的高峰时间进行。 第四页，编辑于星期六：五点 二十三分。 风险评估的原理 风