信息安全风险评估方法汇总.docxVIP

信息安全风险评估方法汇总

在数字化浪潮席卷全球的今天，信息系统已成为组织运营的核心支柱。然而，随之而来的信息安全威胁日益复杂多变，从数据泄露到勒索攻击，各类风险层出不穷。信息安全风险评估作为识别、分析和评价这些潜在风险的关键手段，其重要性不言而喻。它不仅是制定有效安全策略的基础，也是满足合规要求、保障业务连续性的前提。本文将系统梳理当前主流的信息安全风险评估方法，剖析其核心思想与适用场景，为组织选择和实施适合自身的风险评估体系提供参考。

一、主流标准与框架类方法

（一）ISO/IEC____风险管理标准

ISO/IEC____作为信息安全管理体系（ISO/IEC____）的配套标准，提供了一个通用的风险管理框架。它强调风险管理是一个持续改进的过程，而非一次性活动。其核心流程包括：

1.风险评估准备：明确评估范围、目标、准则（包括风险接受准则）以及组织所处的内外部环境。此阶段的关键在于获得高层管理支持并组建合适的评估团队。

2.风险识别：识别评估范围内的资产、威胁、脆弱性以及现有的控制措施。资产不仅包括硬件、软件、数据，也包括服务、人员能力等无形资产。威胁可能来自内部或外部，蓄意或无意。脆弱性则是资产本身存在的弱点。

3.风险分析：分析威胁发生的可能性、脆弱性被利用的程度，以及一旦发生可能对资产造成的影响。分析方法可采用定性（如高、中、低）、定量（如数值化概率和损失）或两者结合的方式。

4.风险评价：将风险分析的结果与预先设定的风险接受准则进行比较，确定风险等级，判断哪些风险需要处理，哪些可以接受。

5.风险处理：对需要处理的风险，选择合适的风险处理措施，包括风险规避、风险转移、风险缓解或风险接受。

6.风险监控与评审：持续监控风险状况的变化以及风险处理措施的有效性，并定期评审整个风险管理过程。

ISO/IEC____的优势在于其通用性和系统性，适用于各种规模和类型的组织，但在具体实施时需要结合组织实际进行细化。

（二）NISTSP____风险管理指南

美国国家标准与技术研究院（NIST）发布的SP____《风险评估指南》在政府及相关行业具有广泛影响力。其方法论同样遵循风险管理的基本流程，但在术语和具体步骤划分上略有不同，更侧重于实用性和可操作性。

其核心步骤包括：

1.准备：与ISO类似，强调计划和组织。

2.资产识别与赋值：更明确地提出对资产价值进行评估，包括机密性、完整性、可用性三个维度。

3.威胁识别：识别潜在的威胁源和威胁事件。

4.脆弱性识别：识别系统、程序、人员等方面的脆弱性。

5.现有控制措施评估：评估已有的安全控制措施的有效性。

6.可能性评估：评估威胁事件发生的可能性。

7.影响评估：评估威胁事件发生后对组织资产的影响。

8.风险计算：综合可能性和影响得出风险等级。

9.风险决策：基于风险计算结果做出风险应对决策。

NISTSP____提供了丰富的工作表和示例，有助于实际操作，其风险计算方法也为定量分析提供了一定的指导。

二、经典与专项评估方法

（一）资产驱动的风险评估方法

这类方法的核心思想是从组织的关键资产出发，围绕资产的价值、面临的威胁和自身的脆弱性来评估风险。

*DREAD模型：虽然最初主要用于漏洞风险评估，但其思想也可扩展。DREAD代表：

*DamagePotential(潜在损害)：漏洞被利用后可能造成的损害程度。

*Reproducibility(可重现性)：漏洞被成功利用的难易程度。

*Exploitability(可利用性)：攻击者利用漏洞所需的努力和技能水平。

*AffectedUsers(受影响用户)：可能受到影响的用户或系统范围。

*Discoverability(可发现性)：漏洞被发现的难易程度。

对每个维度进行评分（如1-5分），然后取平均分或加权得分来衡量风险等级。DREAD的优点是简单直观，但主观性较强，不同评估者可能给出不同分数。

（二）威胁驱动的风险评估方法

此类方法侧重于识别和分析可能面临的威胁，以及这些威胁可能利用的脆弱性。

*STRIDE模型：由微软提出，用于识别计算机系统面临的安全威胁类型。STRIDE代表六种威胁类别：

*Spoofing(伪装)：冒充他人身份。

*Tampering(篡改)：未经授权修改数据。

*Repudiation(否认)：行为人否认其行为。

*InformationDisclosure(信息泄露)：敏感信息被未授权访问。

*DenialofService(拒绝服务)：使系统无法正常提供服务。

*ElevationofPrivi