6 - 资产识别风险管理课件.docxVIP

第六课 资产识别

本课目录

本课目录

1、资产概念

2、资产识别重要性

3、资产识别准备

4、实施资产识别及确认

5、资产赋值及确认

中中国国信信息息安安全全认认证证中中心心

2 信信息息安安全全保保障障人人员员认认证证

第六课资产识别

第六课

资产识别

中国信息安全认证中心信息安全保障人员认证PAGE

中国信息安全认证中心信息安全保障人员认证

PAGE10

一、概念：

１、资产：风险评估中的资产，是指信息系统的组成部分，是风险评估的对象。

一个信息系统的资产包括：

物理资产：包括服务器设备、终端设备、网络设备及其它设备等。

软件资产：包括系统软件、业务应用软件、办公自动化软件及其它应用软件等。

数据资产：包括系统数据、业务数据、办公数据、技术文档数据及其它数据等。

其他资产：包括组织机构的人力、声誉等。

2、资产识别：

资产识别就是测评或评估人员，按照技术方案中确定的范围，依次识别出被测（评估）组织及信息系统的物理、软件、数据及其它层面中的重要资产的活动。

资产识别包括三个步骤：

资产识别准备

资产识别实施

识别资产确认

资产赋值

中国信息安全认证中心信息安全保障人员认证PAGE

中国信息安全认证中心信息安全保障人员认证

PAGE5

?第六课 资产识别

?

３、资产识别在风险评估流程图中的位置

评估过程

评估过程

文档

评估过程

文档

Yes 风险是否接受

No

制定和实施风险处理计划并评估残余风险

No

是否接受残余风险

评估过程

Yes 文档

保持已有的安全措施

已有安全措施确认

脆弱性识别

资产识别

威胁识别

风险评估准备

实施风险管理

风险计算

第六课资产识别

第六课

资产识别

二、资产识别的重要性：

从风险评估流程图（见上页）中可以看出，资产识别是风险评估实施阶段的第一步，是风险评估的基础性工作，也是非常重要的工作。

只有完整、准确地识别出被测组织的资产，评估才能顺利地进行下去，得出可靠的评估结果。

该项工作看似简单，但如果不能严谨、一丝不苟地做，可能漏掉某些资产，导致项目返工，轻则延迟项目工期，重则导致评估结果的真实性和可靠性缺失，造成结果无用，项目失败，甚至引起法律纠纷。

三、资产识别准备

１、资产识别工具，包括资产识别列表（模板）、资产ＣＩＡ三性等级表（模板）、资产ＣＩＡ价值表（模板）、网络爬虫软件等。

２、资产识别需求资料清单，需要被服务方按清单提供相关的文档、手册、白皮书、网络拓补图等资料。

?

＊ 资产识别列表（模板）、资产ＣＩＡ三性等级表（模板）等在

下面列出。

ｘｘｘ项目ｘｘｘ系统资产识别调研表（模板）

资产类别

资产子类

资产名称

型号

寿命／保密期

使用年限

……

物理资产

服务器设备

终端设备

网络设备

其它设备

软件资产

系统软件

业务应用软件

办公自动化软件

及其它应用软件

数据资产

系统数据

业务数据

办公数据

技术文档数据

其它数据

其他资产

组织机构的人力

组织机构的声誉

例：资产ＣＩＡ三性等级表

资产编号

资产名称

安全属性赋值

保密性

完整性

可用性

１

核心交换机

３

５

５

２

Ｉｎｔｅｒｎｅｔ防火墙

３

５

５

３

流控设备

３

４

４

４

门户网站服务器

３

４

４

５

Ｘｘｘ管理系统服务器

３

４

４

６

门户网站数据库

３

４

４

７

Ｘｘｘ库管理系统数据库

４

４

４

８

门户网站中间件

３

４

４

……

……

例：资产ＣＩＡ价值表

资产编号

资产名称

安全属性赋值

权值

资产价值

资产重要性

保密性

完整性

可用性

保密性

完整性

可用性

１

核心交换

机

３

５

５

０．２

０．４

０．４

４．６

很高

２

Ｉｎｔｅｒｎｅｔ防火墙

３

５

５

０．２

０．４

０．４

４．６

很高

３

４

。。。

。。。

５

四、资产识别并确认

１、预先将系统资产识别调研表发往被测组织，限时反馈。

?

２、在得到系统资产识别调研表的反馈后，梳理被测组织的管理

和技术等各种资产，并进行及时有效的沟通。

３、在被测组织的安全人员和资产管理人员的协助下，到被测组织的机房、实验室、办公场所等处进行资产现场确认，形成被测组织的资产列表。

五、资产赋值并确认

1、依据资产ＣＩＡ三性等级表、资产ＣＩＡ价值表，检测评估人员对被测组织的资产进行分析、计算并赋值，形成资产赋值列表。

2、资产赋值列表经被测组织相关人员复核及确认后，形成资产赋值

列表。

３、如果在检测评估过程中发现漏掉的资产、或新增加的资产，应及时修正、补充被测组织的资产列表和资产赋值列表。

谢谢！