信息安风险评估与风险管理.pptVIP

信息安全风险评估与风险管理第一页，共七十五页。

-2-Allrightsreserved?2006一、风险评估中的概念及模型二、风险评估标准三、风险评估流程与方法四、风险评估的输出结果五、风险管理六、总结目录第二页,共七十五页。

-3-Allrightsreserved?2006信息安全的定义机密性（integrity）:确保该信息仅对已授权访问的人们才可访问只有拥有者许可，才可被其他人访问完整性（confidentiality）:保护信息及处理方法的准确性和完备性；不因人为的因素改变原有的内容，保证不被非法改动和销毁可用性（availability）:当要求时，即可使用信息和相关资产。不因系统故障或误操作使资源丢失。响应时间要求、故障下的持续运行。其他:可控性、可审查性第三页,共七十五页。

-4-Allrightsreserved?2006KeywordsI信息安全:信息的保密性、完整性、可用性的保持。风险评估:对信息和信息处理设施的威胁，影响和薄弱点以及威胁发生的可能性的评估。风险管理:以可接受的费用识别、控制、降低或消除可能影响信息系统安全的风险的过程。威胁:是指某个人、物、事件或概念对某一资源的保密性、完整性、可用性或合法使用所造成的危险。第四页,共七十五页。

-5-Allrightsreserved?2006KeywordII威胁(Threat):是指可能对资产或组织造成损害的事故的潜在原因。薄弱点(Vulnerability):是指资产或资产组中能被威胁利用的弱点。风险(Risk):特定的威胁利用资产的一种或一组薄弱点,导致资产的丢失或损害的潜在可能性,即特定威胁事件发生的可能性与后果的结合。第五页,共七十五页。

-6-Allrightsreserved?2006风险评估的目的和意义认识现有的资产及其价值对信息系统安全的各个方面的当前潜在威胁、弱点和影响进行全面的评估通过安全评估,能够清晰地了解当前所面临的安全风险,清晰地了解信息系统的安全现状明确地看到当前安全现状与安全目标之间的差距为下一步控制和降低安全风险、改善安全状况提供客观和翔实的依据第六页,共七十五页。

-7-Allrightsreserved?2006信息系统风险模型攻击者所有者对 策漏洞风 险威胁资产第七页,共七十五页。

-8-Allrightsreserved?2006风险计算依据价值资产拥有者信息资产威胁来源风险后果可能性难易程度严重性弱点可能性威胁影响第八页,共七十五页。

-9-Allrightsreserved?2006一、风险评估中的概念及模型二、风险评估标准三、风险评估流程与方法四、风险评估的输出结果五、风险管理六、总结目录第九页,共七十五页。

-10-Allrightsreserved?2006国外相关信息安全风险评估标准简介（1）ISO27001:信息安全管理体系规范、ISO17799信息安全管理实践指南基于风险管理的理念，提出了11个控制大类、34个控制目标和133个控制措施；提出风险评估的要求，并未对适用于信息系统的风险评估方法和管理方法做具体的描述。OCTAVE:OperationallyCriticalThreat,Asset,andVulnerabilityEvaluationFramework卡耐基梅隆大学软件工程研究所（CMU/SEI）开发的一种综合的、系统的信息安全风险评估方法3个阶段8个过程。3个阶段分别是建立企业范围内的安全需求、识别基础设施脆弱性、决定安全风险管理策略。OCTAVE实施指南（OCTAVESMCatalogofPractices,Version2.0），该实施指南阐述了具体的安全策略、威胁轮廓和实施调查表。第十页,共七十五页。

-11-Allrightsreserved?2006AS/NZS4360:1999 风险管理澳大利亚和新西兰联合开发的风险管理标准将对象定位在“信息系统”；在资产识别和评估时，采取半定量化的方 法，将威胁、风险发生可能性、造成的影响划分为不同的等级。分为建立环境、风险识别、风险分析、风险评价、风险处置等步骤。ISO/IECTR13335信息技术安全管理指南提出了风险评估的方法、步骤和主要内容。主要步骤包括:资产识别、威胁识别、脆弱性识别、已有控制措施确认、风险计算等过程。NISTSP800-30:信息技术系统风险管理指南提出了风险评估的方法论和一般原则，风险及风险评估概念:风险就是不利事件发生的可能性