7风险评估基本流程和技术方法.pdfVIP

《风险评估基本流程和技术方法》

一、风险评估的基本实施流程是什么？

风险评估的实施流程主要包括风险评估准备、资产识别、威胁识别、

脆弱性识别、已有安全措施确认、风险分析和风险评估文档记录七个阶

段（如图所示）。

二、开展风险评估需要做哪些准备？

风险评估准备是整个风险评估过程有效性的保证。因此，在风险评

估实施前，应：

（1）确定风险评估的目标；

（2）确定风险评估的范围；

（3）组建适当的评估管理与实施团队；

（4）进行系统调研；

（5）确定评估依据和方法；

（6）制定风险评估方案；

（7）获得最高管理者对风险评估工作的支持。

三、如何进行资产识别？

保密性、完整性和可用性是评价资产的三个安全属性。风险评估中

资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属

性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。

资产识别过程主要包括以下具体活动：

（1）回顾评估范围内的业务。回顾这些信息的主要目的是让资产

识别人员对所评估的业务和应用系统有一个大致的了解，为后续的资产

识别活动做准备。

（2）识别信息资产，进行合理分类。资产分类的目的是降低后续

分析和赋值活动的工作量。

（3）确定每类信息资产的安全需求。可以从保密性、完整性和可

用性三个方面对每个资产类别进行安全需求分析。

（4）为每类信息资产的重要性赋值。在上述安全需求分析的基础

上，按照一定的方法确定资产的价值或重要程度等级。

四、如何进行威胁识别？

威胁可以通过威胁主体、资源、动机、途径等多种属性来描述。造

成威胁的因素可分为人为因素和环境因素。根据威胁的动机，人为因素

又可分为恶意和非恶意两种。环境因素包括自然界不可抗的因素和其它

物理因素。威胁作用形式可以是对信息系统直接或间接的攻击，在保密

性、完整性和可用性等方面造成损害；也可能是偶发的、或蓄意的事件。

在对威胁进行分类前，应考虑威胁的来源。

威胁识别主要包括以下具体活动：

（1）威胁识别。威胁识别包括实际威胁识别和潜在威胁识别。

（2）威胁分类。对上述实际发生过的和潜在的威胁进行分类。

（3）构建威胁的场景。在上述工作基础上，为每个或每类关键资

源构建威胁场景图。

（4）威胁赋值。对具体威胁或威胁类别进行赋值。

五、如何进行脆弱性识别？

脆弱性识别是风险评估中最重要的一个环节，包括物理、系统、网

络、应用和管理五个方面。脆弱性识别主要包括以下具体活动：

（1）脆弱性识别。通过扫描工具或手工等不同方式，识别当前系

统中存在的脆弱性。

（2）识别结果整理与展示。在脆弱性识别阶段，应将脆弱性识别

结果以合理的方式展现给被评估的组织。

（3）脆弱性赋值。某些具体的风险分析、计算方法，需要对脆弱

性赋值，方能完成后续的风险计算活动，因此，若有此需要，应根据一

定的赋值准则，对被识别的脆弱性进行赋值。

六、如何识别与确认已有安全措施？

在识别脆弱性的同时，评估人员应对已采取的安全措施的有效性进

行确认。安全措施的确认应评估其有效性，即是否真正地降低了系统的

脆弱性，抵御了威胁。对有效的安全措施继续保持，以避免不必要的工

作和费用，防止安全措施的重复实施。对确认为不适当的安全措施应核

实是否应被取消或对其进行修正，或用更合适的安全措施替代。

安全控制措施大致可以分为技术控制措施、管理和操作控制措施两大

类。

（1）技术控制措施的识别与确认

识别已有的技术控制措施，并对其有效性进行分析和确认。

（2）管理和操作控制措施的识别与确认

识别已有的管理和操作控制措施，并对其有效性进行分析和确认。

七、如何进行风险分析？

在完成了资产识别、威胁识别、脆弱性识别，以及已有安全措施确

认后，将采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生

的可能性。综合安全事件所作用的资产价值及脆弱性的严重程度，判断

安全事件造成的损失对组织的影响，即安全风险。风险计算的原理是：

风险值=R（A，T，V）=R(L(T，V)，F(Ia，Va))。

其中，R表示安全风险计算函数；A表示资产；T表示威胁；V表示

脆弱性；Ia表示安全事件所作用的资产价值；Va表示脆弱性严重程度；

L