信息安全导论 课件 第四章 信息安全风险管理.pptx

4.1信息安全风险管理第一章揭开信息安全的神秘面纱

目录4.1.1信息安全风险评估概念4.1.2信息安全风险评估组成要素4.1.3信息安全风险评估流程4.1.4信息安全风险评估方法与工具

信息安全风险评估概念01

信息安全风险定义风险是指一定条件下和一定时期内可能发生的不利事件发生的可能性。风险在澳大利亚/新西兰国家标准AS/NZS4360中，信息安全风险指对目标产生影响的某种事件发生的可能性，可以用后果和可能性来衡量。在ISO/IEC13335-1中，信息安全风险是指某个特定的威胁利用单个或一组资产的脆弱点造成资产受损的潜在可能性。在我国GB/T20984-2022《信息安全技术信息安全风险评估方法》中，信息安全风险是指人为或自然的威胁利用信息系统及其管理体系中存在的脆弱点导致安全事件的发生及其对组织造成的影响。

信息安全风险的表现010203威胁资产脆弱点一般而言，信息安全风险可表现为威胁、脆弱点和资产之间的相互作用，即“风险=威胁＋脆弱点＋资产”，其中风险会随着任一因素的增加而增大，减少而减少。

根据GB/T20984-2022《信息安全技术信息安全风险评估方法》，信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系统及其处理。信息安全风险评估传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。评估资产面临的威胁以及威胁利用脆弱点导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。信息安全风险评估定义

信息安全风险评估组成要素02

CC(信息技术安全评估通用标准)ISO接纳CC2.0版为ISO/IEC15408草案，并命名为信息技术-安全技术-IT安全性评估准则，并于同年正式发布国际标准ISO/IEC15408CC2.1版。美国、加拿大与欧洲四国组成六国七方，共同制定了国际通用的评估准则CC，其目的是建立一个各国都能接受的通用的信息安全产品和系统的安全性评价标准。1993年在1996年颁布了CC1.0版，1998年颁布了CC2.0版1999年1996~1998

CC标准组成CC标准主要由三部分构成∶简介和一般模型、安全功能要求和安全保障要求。在简介和一般模型中，定义了信息安全风险构成要素威胁，风险，脆弱点，资产，对策等关键风险要素的概念，同时又提出了所有者和威胁主体的概念。

风险要素之间的关系风险要素之间的关系可概括为如下过程∶（1）信息资产的所有者给资产赋予了一定的价值，威胁主体希望滥用或破坏资产，因而引发威胁利用脆弱点，导致风险的产生。（2）资产所有者意识到脆弱点的存在和脆弱点被利用而导致的风险，因而希望通过对策来降低风险，使风险最小化。（3）脆弱点可能被对策减少，但是同时对策本身可能具有其他的脆弱点。

ISO13335标准ISO/IEC13335是信息安全管理方面的指导性标准，其中ISO/IEC13335-1以风险为中心，确定了资产、威胁、脆弱点、影响、风险、防护措施为信息安全风险的要素，并描述了它们之间的关系

GB/T20984-2022我国的GB/T20984-2022《信息安全技术信息安全风险评估方法》对该模型进行了深化。风险评估围绕着资产、威胁、脆弱点和安全措施这些基本要素展开，对在基本要素的评估过程中，充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要素相关的各类属性。

风险要素及属性之间的关系具体而言，风险要素及属性之间的关系如下∶（1）风险要素的核心是资产,而资产存在脆弱性。（2）安全措施的实施通过降低资产脆弱性被利用难易程度,抵御外部威胁,以实现对资产的保护。（3）威胁通过利用资产存在的脆弱性导致风险。（4）风险转化成安全事件后,会对资产的运行状态产生影响。（5）风险分析时,应综合考虑资产、脆弱性、威胁和安全措施等基本因素。

信息安全风险评估流程03

风险要素及属性之间的关系根据我国的GB/T20984-2022《信息安全技术信息安全风险评估方法》，详细的风险评估实施流程如下。

风险评估流程该阶段是整个风险评估过程有效性的保证。组织实施风险评估是一种战略性地考虑，其结果将受到组织的业务战略、业务流程、安全需求、系统规模和结构等方面的影响。风险评估准备

在风险评估实施前，应完成的任务有∶确定风险评估的目标，确定风险评估的范围，组建合适的评估管理与实施团队，进行系统调研，确定评估依据和方法，建立风险评价准则，制定风险评估方案，获得最高管理者对风险评估工作的支持。风险评估准备

风险评估流程该阶段主要完成资产分类、资产赋值两个方面的内容。资产识别

资产识别资产分类是进行下一步的基础，在实际工作中，具体的资产分类方法可根据实际情况的需要，由评估值灵活把握。一般而言，根据资产的表现形