信息安全風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理

《信息安全風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理》由會(huì)員分享，可在線閱讀，更多相關(guān)《信息安全風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理（74頁珍藏版）》請(qǐng)?jiān)谘b配圖網(wǎng)上搜索。

1、L/O/G/O 信 息 安 全 風(fēng) 險(xiǎn) 評(píng) 估 與 風(fēng) 險(xiǎn) 管 理 L/O/G/O一 、 風(fēng) 險(xiǎn) 評(píng) 估 中 的 概 念 及 模 型二 、 風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn)三 、 風(fēng) 險(xiǎn) 評(píng) 估 流 程 與 方 法四 、 風(fēng) 險(xiǎn) 評(píng) 估 的 輸 出 結(jié) 果五 、 風(fēng) 險(xiǎn) 管 理六 、 總 結(jié)目錄 L/O/G/O信息安全的定義 機(jī) 密 性 （ integrity） ： 確 保 該 信 息 僅 對(duì) 已 授 權(quán) 訪 問 的 人 們 才 可 訪 問 只 有 擁 有 者 許 可 ， 才 可 被 其 他 人 訪 問 完 整 性 （ confidentiality） ： 保 護(hù) 信 息 及 處 理 方 法 的 準(zhǔn) 確

2、 性 和 完 備 性 ； 不 因 人 為 的 因 素 改 變 原 有 的 內(nèi) 容 ， 保 證 不 被 非 法改 動(dòng) 和 銷 毀 可 用 性 （ availability） ： 當(dāng) 要 求 時(shí) ， 即 可 使 用 信 息 和 相 關(guān) 資 產(chǎn) 。 不 因 系 統(tǒng) 故 障 或 誤 操 作 使 資 源 丟 失 。 響 應(yīng) 時(shí) 間 要 求 、 故 障 下 的 持 續(xù) 運(yùn) 行 。 其 他 ： 可 控 性 、 可 審 查 性 L/O/G/OKey words I信 息 的 保 密 性 、 完 整 性 、 可 用 性 的 保 持 。對(duì) 信 息 和 信 息 處 理 設(shè) 施 的 威 脅 ， 影 響 和 薄 弱點(diǎn)

3、以 及 威 脅 發(fā) 生 的 可 能 性 的 評(píng) 估 。以 可 接 受 的 費(fèi) 用 識(shí) 別 、 控 制 、 降 低 或 消 除 可能 影 響 信 息 系 統(tǒng) 安 全 的 風(fēng) 險(xiǎn) 的 過 程 。是 指 某 個(gè) 人 、 物 、 事 件 或 概 念 對(duì) 某 一資 源 的 保 密 性 、 完 整 性 、 可 用 性 或 合 法使 用 所 造 成 的 危 險(xiǎn) 。 L/O/G/OKey word IIv威 脅 (Threat): 是 指 可 能 對(duì) 資 產(chǎn) 或 組 織 造 成 損 害 的 事 故 的 潛 在 原 因 。v薄 弱 點(diǎn) (Vulnerability): 是 指 資 產(chǎn) 或 資 產(chǎn) 組 中 能 被

4、 威 脅 利 用 的 弱 點(diǎn) 。v風(fēng) 險(xiǎn) (Risk): 特 定 的 威 脅 利 用 資 產(chǎn) 的 一 種 或 一 組 薄 弱 點(diǎn) ， 導(dǎo) 致 資 產(chǎn) 的丟 失 或 損 害 的 潛 在 可 能 性 ， 即 特 定 威 脅 事 件 發(fā) 生 的 可 能性 與 后 果 的 結(jié) 合 。 L/O/G/O風(fēng)險(xiǎn)評(píng)估的目的和意義 認(rèn) 識(shí) 現(xiàn) 有 的 資 產(chǎn) 及 其 價(jià) 值 對(duì) 信 息 系 統(tǒng) 安 全 的 各 個(gè) 方 面 的 當(dāng) 前 潛 在 威 脅 、 弱 點(diǎn) 和 影 響 進(jìn)行 全 面 的 評(píng) 估 通 過 安 全 評(píng) 估 ， 能 夠 清 晰 地 了 解 當(dāng) 前 所 面 臨 的 安 全 風(fēng) 險(xiǎn) ， 清晰 地 了 解

5、 信 息 系 統(tǒng) 的 安 全 現(xiàn) 狀 明 確 地 看 到 當(dāng) 前 安 全 現(xiàn) 狀 與 安 全 目 標(biāo) 之 間 的 差 距 為 下 一 步 控 制 和 降 低 安 全 風(fēng) 險(xiǎn) 、 改 善 安 全 狀 況 提 供 客 觀 和 翔實(shí) 的 依 據(jù) L/O/G/O信息系統(tǒng)風(fēng)險(xiǎn)模型 所 有 者攻 擊 者 對(duì) 策 漏 洞 風(fēng) 險(xiǎn) 威 脅 資 產(chǎn) L/O/G/O風(fēng)險(xiǎn)計(jì)算依據(jù) L/O/G/O一 、 風(fēng) 險(xiǎn) 評(píng) 估 中 的 概 念 及 模 型二 、 風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn)三 、 風(fēng) 險(xiǎn) 評(píng) 估 流 程 與 方 法四 、 風(fēng) 險(xiǎn) 評(píng) 估 的 輸 出 結(jié) 果五 、 風(fēng) 險(xiǎn) 管 理六 、 總 結(jié)目錄 L/O/G/O國外

6、相關(guān)信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)簡介（1） ISO 27001： 信 息 安 全 管 理 體 系 規(guī) 范 、 ISO 17799 信 息 安 全 管 理 實(shí)踐 指 南 基 于 風(fēng) 險(xiǎn) 管 理 的 理 念 ， 提 出 了 11個(gè) 控 制 大 類 、 34個(gè) 控 制 目 標(biāo) 和 133個(gè) 控 制 措 施 ； 提 出 風(fēng) 險(xiǎn) 評(píng) 估 的 要 求 ， 并 未 對(duì) 適 用 于 信 息 系 統(tǒng) 的風(fēng) 險(xiǎn) 評(píng) 估 方 法 和 管 理 方 法 做 具 體 的 描 述 。 OCTAVE： Operationally Critical Threat, Asset, and Vulnerability Evaluation

7、 Framework 卡 耐 基 梅 隆 大 學(xué) 軟 件 工 程 研 究 所 （ CMU/SEI） 開發(fā) 的 一 種 綜 合 的 、 系 統(tǒng) 的 信 息 安 全 風(fēng) 險(xiǎn) 評(píng) 估 方 法 3個(gè) 階 段 8個(gè) 過 程 。 3個(gè) 階 段 分 別 是 建 立 企 業(yè) 范 圍內(nèi) 的 安 全 需 求 、 識(shí) 別 基 礎(chǔ) 設(shè) 施 脆 弱 性 、 決 定 安 全風(fēng) 險(xiǎn) 管 理 策 略 。 OCTAVE 實(shí) 施 指 南 （ OCTAVESM Catalog of Practices, Version 2.0） ， 該 實(shí) 施 指 南 闡 述 了 具體 的 安 全 策 略 、 威 脅 輪 廓 和 實(shí) 施 調(diào) 查

8、表 。 L/O/G/O AS/NZS 4360： 1999 風(fēng) 險(xiǎn) 管 理 澳 大 利 亞 和 新 西 蘭 聯(lián) 合 開 發(fā) 的 風(fēng) 險(xiǎn) 管 理 標(biāo) 準(zhǔn) 將 對(duì) 象 定 位 在 “信 息 系 統(tǒng) ”； 在 資 產(chǎn) 識(shí) 別 和 評(píng) 估 時(shí)， 采 取 半 定 量 化 的 方 法 ， 將 威 脅 、 風(fēng) 險(xiǎn) 發(fā) 生 可 能性 、 造 成 的 影 響 劃 分 為 不 同 的 等 級(jí) 。 分 為 建 立 環(huán) 境 、 風(fēng) 險(xiǎn) 識(shí) 別 、 風(fēng) 險(xiǎn) 分 析 、 風(fēng) 險(xiǎn) 評(píng) 價(jià)、 風(fēng) 險(xiǎn) 處 置 等 步 驟 。 ISO/IEC TR 13335信 息 技 術(shù) 安 全 管 理 指 南 提 出 了 風(fēng) 險(xiǎn) 評(píng) 估 的

9、 方 法 、 步 驟 和 主 要 內(nèi) 容 。 主 要 步 驟 包 括 ： 資 產(chǎn) 識(shí) 別 、 威 脅 識(shí) 別 、 脆 弱 性 識(shí)別 、 已 有 控 制 措 施 確 認(rèn) 、 風(fēng) 險(xiǎn) 計(jì) 算 等 過 程 。 NIST SP800-30： 信 息 技 術(shù) 系 統(tǒng) 風(fēng) 險(xiǎn) 管 理 指 南 提 出 了 風(fēng) 險(xiǎn) 評(píng) 估 的 方 法 論 和 一 般 原 則 ， 風(fēng) 險(xiǎn) 及 風(fēng) 險(xiǎn) 評(píng) 估 概 念 ： 風(fēng) 險(xiǎn) 就 是 不 利 事 件 發(fā) 生 的可 能 性 。 風(fēng) 險(xiǎn) 管 理 是 評(píng) 估 風(fēng) 險(xiǎn) 、 采 取 步 驟 將 風(fēng) 險(xiǎn)消 減 到 可 接 受 的 水 平 并 且 維 持 這 一 風(fēng) 險(xiǎn) 級(jí) 別 的 過程

10、。 國外相關(guān)信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)簡介（2） L/O/G/O我國信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)發(fā)展歷程 2001年 ， 隨 著 GB/T 18336的 正 式 發(fā) 布 ， 從 風(fēng) 險(xiǎn) 的 角 度 來 認(rèn) 識(shí) 、 理 解 信 息安 全 也 逐 步 得 到 了 業(yè) 界 的 認(rèn) 可 。 2003年 ， 國 務(wù) 院 信 息 化 辦 公 室 成 立 了 風(fēng) 險(xiǎn) 評(píng) 估 研 究 課 題 組 ， 對(duì) 風(fēng) 險(xiǎn) 評(píng) 估相 關(guān) 問 題 進(jìn) 行 研 究 。 2004年 ， 提 出 了 信 息 安 全 風(fēng) 險(xiǎn) 評(píng) 估 指 南 標(biāo) 準(zhǔn) 草 案 ， 其 規(guī) 定 了 風(fēng) 險(xiǎn) 評(píng)估 的 一 些 內(nèi) 容 和 流 程 ， 基 本 與 SP8

11、00-30中 的 內(nèi) 容 一 致 。 2005年 ， 國 信 辦 在 全 國 4個(gè) 省 市 和 3個(gè) 行 業(yè) 進(jìn) 行 風(fēng) 險(xiǎn) 評(píng) 估 的 試 點(diǎn) 工 作 ， 根據(jù) 試 點(diǎn) 結(jié) 果 對(duì) 信 息 安 全 風(fēng) 險(xiǎn) 評(píng) 估 指 南 進(jìn) 行 了 修 改 。 2005 2006年 ， 通 過 了 國 家 標(biāo) 準(zhǔn) 立 項(xiàng) 的 一 系 列 程 序 ， 目 前 已 進(jìn) 入 正 式 發(fā)布 階 段 。 正 式 定 名 為 ： 信 息 技 術(shù) 信 息 安 全 風(fēng) 險(xiǎn) 評(píng) 估 規(guī) 范 。 L/O/G/O信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范標(biāo)準(zhǔn)操作的主要內(nèi)容 引 言 定 義 與 術(shù) 語 風(fēng) 險(xiǎn) 評(píng) 估 概 述 風(fēng) 險(xiǎn) 評(píng) 估 流 程 及

12、 模 型 風(fēng) 險(xiǎn) 評(píng) 估 實(shí) 施 資 產(chǎn) 識(shí) 別 脆 弱 性 識(shí) 別 威 脅 識(shí) 別 已 有 安 全 措 施 確 認(rèn) 風(fēng) 險(xiǎn) 評(píng) 估 在 信 息 系 統(tǒng) 生 命 周 期 中 的 不 同 要 求 風(fēng) 險(xiǎn) 評(píng) 估 的 形 式 及 角 色 附 錄 L/O/G/O標(biāo)準(zhǔn)內(nèi)容：引言 提 出 了 風(fēng) 險(xiǎn) 評(píng) 估 的 作 用 、 定 位 及 目 的 。 作 用 ： 過 對(duì) 信 息 系 統(tǒng) 的 資 產(chǎn) 、 面 臨 威 脅 、 存 在 的 脆 弱 性、 采 用 的 安 全 控 制 措 施 等 進(jìn) 行 分 析 ， 確 定 信 息 系統(tǒng) 面 臨 的 安 全 風(fēng) 險(xiǎn) ， 從 技 術(shù) 和 管 理 兩 個(gè) 層 面 綜 合判

13、 斷 信 息 系 統(tǒng) 面 臨 的 風(fēng) 險(xiǎn) 。 定 位 建 立 信 息 安 全 保 障 機(jī) 制 中 的 一 種 科 學(xué) 方 法 。 目 的 信 息 系 統(tǒng) 所 有 者 ： 使 用 本 標(biāo) 準(zhǔn) 為 其 選 擇 安 全 措 施， 實(shí) 施 信 息 系 統(tǒng) 保 護(hù) 提 供 技 術(shù) 支 持 ， 依 據(jù) 本 標(biāo) 準(zhǔn)中 提 出 的 安 全 風(fēng) 險(xiǎn) 理 念 選 擇 技 術(shù) 與 管 理 控 制 措 施； 風(fēng) 險(xiǎn) 評(píng) 估 的 實(shí) 施 者 ： 依 據(jù) 本 標(biāo) 準(zhǔn) 進(jìn) 行 風(fēng) 險(xiǎn) 評(píng) 估 ， 依 據(jù) 本 標(biāo) 準(zhǔn) 的 判 定 準(zhǔn) 則 ， 做 出 科 學(xué) 的 判 斷 。 信 息 系 統(tǒng) 管 理 機(jī) 構(gòu) ： 依 據(jù) 本 標(biāo)

14、準(zhǔn) 對(duì) 信 息 系 統(tǒng) 及 其管 理 進(jìn) 行 安 全 檢 查 ， 推 動(dòng) 行 業(yè) 或 地 區(qū) 信 息 安 全 風(fēng)險(xiǎn) 管 理 的 實(shí) 施 。 L/O/G/O 范 圍 本 標(biāo) 準(zhǔn) 提 出 了 風(fēng) 險(xiǎn) 評(píng) 估 的 要 素 、 實(shí) 施 流 程 、 評(píng) 估 內(nèi) 容 、 評(píng)估 方 法 及 其 在 信 息 系 統(tǒng) 生 命 周 期 不 同 階 段 的 實(shí) 施 要 點(diǎn) ， 適用 于 組 織 開 展 的 風(fēng) 險(xiǎn) 評(píng) 估 工 作 。 規(guī) 范 性 引 用 文 件 說 明 標(biāo) 準(zhǔn) 中 引 用 到 其 他 的 標(biāo) 準(zhǔn) 文 件 或 條 款 。 術(shù) 語 和 定 義 對(duì) 標(biāo) 準(zhǔn) 中 涉 及 的 一 些 術(shù) 語 進(jìn) 行 定 義

15、。 L/O/G/O風(fēng)險(xiǎn)評(píng)估框架及流程 風(fēng) 險(xiǎn) 評(píng) 估 中 各 要 素 的 關(guān) 系 L/O/G/O風(fēng)險(xiǎn)分析原理 L/O/G/O （ 1） 對(duì) 資 產(chǎn) 進(jìn) 行 識(shí) 別 ， 并 對(duì) 資 產(chǎn) 的 價(jià) 值 進(jìn) 行 賦 值 ； （ 2） 對(duì) 威 脅 進(jìn) 行 識(shí) 別 ， 描 述 威 脅 的 屬 性 ， 并 對(duì) 威 脅 出 現(xiàn) 的 頻 率 賦 值 ； （ 3） 對(duì) 資 產(chǎn) 的 脆 弱 性 進(jìn) 行 識(shí) 別 ， 并 對(duì) 具 體 資 產(chǎn) 的 脆 弱 性 的 嚴(yán) 重 程 度 賦值 ； （ 4） 根 據(jù) 威 脅 及 威 脅 利 用 弱 點(diǎn) 的 難 易 程 度 判 斷 安 全 事 件 發(fā) 生 的 可 能 性； （ 5）

16、根 據(jù) 脆 弱 性 的 嚴(yán) 重 程 度 及 安 全 事 件 所 作 用 資 產(chǎn) 的 價(jià) 值 計(jì) 算 安 全 事件 的 損 失 ； （ 6） 根 據(jù) 安 全 事 件 發(fā) 生 的 可 能 性 以 及 安 全 事 件 的 損 失 ， 計(jì) 算 安 全 事 件一 旦 發(fā) 生 對(duì) 組 織 的 影 響 ， 即 風(fēng) 險(xiǎn) 值 。 L/O/G/O風(fēng)險(xiǎn)評(píng)估實(shí)施 (1) 風(fēng) 險(xiǎn) 評(píng) 估 的 準(zhǔn) 備 （ 1） 確 定 風(fēng) 險(xiǎn) 評(píng) 估 的 目 標(biāo) ； （ 2） 確 定 風(fēng) 險(xiǎn) 評(píng) 估 的 范 圍 ； （ 3） 組 建 適 當(dāng) 的 評(píng) 估 管 理 與 實(shí) 施 團(tuán) 隊(duì) ； （ 4） 進(jìn) 行 系 統(tǒng) 調(diào) 研 ； （ 5） 確

17、定 評(píng) 估 依 據(jù) 和 方 法 ； （ 6） 獲 得 最 高 管 理 者 對(duì) 風(fēng) 險(xiǎn) 評(píng) 估 工 作 的 支 持 。 L/O/G/O 資 產(chǎn) 識(shí) 別 資 產(chǎn) 分 類 資 產(chǎn) 賦 值 :機(jī) 密 性 、 完 整 性 、 可 用 性 三 方 面 的 賦值 資 產(chǎn) 重 要 性 等 級(jí) 威 脅 識(shí) 別 威 脅 分 類 威 脅 來 源 分 類 威 脅 賦 值 脆 弱 性 識(shí) 別 識(shí) 別 內(nèi) 容 ： 技 術(shù) 脆 弱 性 涉 及 物 理 層 、 網(wǎng) 絡(luò) 層 、 系統(tǒng) 層 、 應(yīng) 用 層 等 各 個(gè) 層 面 的 安 全 問 題 。 管 理 脆 弱 性 又 可 分 為 技 術(shù) 管 理 脆 弱 性 和 組 織 管

18、理 脆 弱 性 兩方 面 。 脆 弱 性 賦 值 ： 等 級(jí) 賦 值 ， 技 術(shù) 脆 弱 性 與 管 理 脆 弱性 的 結(jié) 合 。 風(fēng)險(xiǎn)評(píng)估實(shí)施 (2) L/O/G/O 已 有 安 全 措 施 確 認(rèn) 安 全 措 施 的 確 認(rèn) 應(yīng) 評(píng) 估 其 有 效 性 ， 即 是 否 真 正 地降 低 了 系 統(tǒng) 的 脆 弱 性 ， 抵 御 了 威 脅 。 安 全 措 施 確 認(rèn) 并 不 需 要 和 脆 弱 性 識(shí) 別 過 程 那 樣 具體 到 每 個(gè) 資 產(chǎn) 、 組 件 的 弱 點(diǎn) ， 而 是 一 類 具 體 措 施的 集 合 ， 為 風(fēng) 險(xiǎn) 處 理 計(jì) 劃 的 制 定 提 供 依 據(jù) 和 參 考。 風(fēng)

19、 險(xiǎn) 分 析 計(jì) 算 安 全 事 件 發(fā) 生 的 可 能 性 計(jì) 算 安 全 事 件 發(fā) 生 后 的 損 失 計(jì) 算 風(fēng) 險(xiǎn) 值 風(fēng) 險(xiǎn) 等 級(jí) 判 定 風(fēng)險(xiǎn)評(píng)估實(shí)施 (3) L/O/G/O 風(fēng) 險(xiǎn) 評(píng) 估 文 件 記 錄 風(fēng) 險(xiǎn) 評(píng) 估 文 件 記 錄 的 要 求 風(fēng) 險(xiǎn) 評(píng) 估 文 件 的 類 型 、 多 少 風(fēng) 險(xiǎn) 評(píng) 估 方 案 資 產(chǎn) 識(shí) 別 清 單 重 要 資 產(chǎn) 清 單 威 脅 列 表 脆 弱 性 列 表 風(fēng) 險(xiǎn) 評(píng) 估 報(bào) 告 風(fēng) 險(xiǎn) 處 理 計(jì) 劃 風(fēng)險(xiǎn)評(píng)估實(shí)施 (4) L/O/G/O信息系統(tǒng)生命周期各階段的風(fēng)險(xiǎn)評(píng)估 規(guī) 劃 階 段 的 風(fēng) 險(xiǎn) 評(píng) 估 設(shè) 計(jì) 階 段 的 風(fēng)

20、 險(xiǎn) 評(píng) 估 實(shí) 施 階 段 的 風(fēng) 險(xiǎn) 評(píng) 運(yùn) 行 維 護(hù) 階 段 的 風(fēng) 險(xiǎn) 評(píng) 估 廢 棄 階 段 的 風(fēng) 險(xiǎn) 評(píng) 估 每 個(gè) 階 段 的 實(shí) 施 內(nèi) 容 稍 有 不 同 ， 目 的 和 方 法 一 致。 L/O/G/O風(fēng)險(xiǎn)評(píng)估的工作形式 自 評(píng) 估 適 用 于 對(duì) 自 身 的 信 息 系 統(tǒng) 進(jìn) 行 安 全 風(fēng) 險(xiǎn) 的 識(shí) 別 、評(píng) 價(jià) 自 評(píng) 估 可 以 委 托 風(fēng) 險(xiǎn) 評(píng) 估 服 務(wù) 技 術(shù) 支 持 方 實(shí) 施 ，也 可 以 自 行 實(shí) 施 檢 查 評(píng) 估 ： 一 般 由 主 管 機(jī) 關(guān) 發(fā) 起 ， 通 常 都 是 定 期 的 、 抽 樣 進(jìn)行 的 評(píng) 估 模 式 旨 在 檢 查

21、關(guān) 鍵 領(lǐng) 域 、 或 關(guān) 鍵 點(diǎn) 的 信 息 安 全 風(fēng) 險(xiǎn) 是否 在 可 接 受 的 范 圍 內(nèi) 風(fēng) 險(xiǎn) 評(píng) 估 應(yīng) 以 自 評(píng) 估 為 主 ， 檢 查 評(píng) 估 對(duì) 自 評(píng)估 過 程 記 錄 與 評(píng) 估 結(jié) 果 的 基 礎(chǔ) 上 ， 驗(yàn) 證 和 確認(rèn) 系 統(tǒng) 存 在 的 技 術(shù) 、 管 理 和 運(yùn) 行 風(fēng) 險(xiǎn) ， 以 及 用 戶 實(shí) 施 自 評(píng) 估 后 采 取 風(fēng) 險(xiǎn) 控 制 措 施 取 得 的效 果 。 L/O/G/O附錄 風(fēng) 險(xiǎn) 的 計(jì) 算 方 法 矩 陣 法 ： 通 過 構(gòu) 造 兩 兩 要 素 計(jì) 算 矩 陣 ， 得 到 第 三個(gè) 要 素 的 判 斷 值 ， 是 一 種 基 于 經(jīng) 驗(yàn)

22、 的 判 斷 方 法 。 相 乘 法 ： 直 接 使 用 兩 個(gè) 要 素 值 進(jìn) 行 相 乘 得 到 另 一個(gè) 要 素 的 值 。 相 乘 法 的 特 點(diǎn) 是 簡 單 明 確 ， 直 接 按照 統(tǒng) 一 公 式 計(jì) 算 。 風(fēng) 險(xiǎn) 評(píng) 估 的 工 具 風(fēng) 險(xiǎn) 評(píng) 估 與 管 理 工 具 系 統(tǒng) 基 礎(chǔ) 平 臺(tái) 風(fēng) 險(xiǎn) 評(píng) 估 工 具 風(fēng) 險(xiǎn) 評(píng) 估 輔 助 工 具 L/O/G/O一 、 風(fēng) 險(xiǎn) 評(píng) 估 中 的 概 念 及 模 型二 、 風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn)三 、 風(fēng) 險(xiǎn) 評(píng) 估 流 程 與 方 法四 、 風(fēng) 險(xiǎn) 評(píng) 估 的 輸 出 結(jié) 果五 、 風(fēng) 險(xiǎn) 管 理六 、 總 結(jié)目錄 L/O/G/O

23、現(xiàn)有風(fēng)險(xiǎn)評(píng)估方法綜述（1） 定 性 分 析 方 法 ： 針 對(duì) 某 個(gè) 被 評(píng) 估 對(duì) 象 ， 確 定 其 潛 在 的 風(fēng) 險(xiǎn) ， 描 述 可 能 引起 風(fēng) 險(xiǎn) 的 原 因 。 定 量 分 析 方 法 ： 在 某 個(gè) 基 準(zhǔn) 上 ， 建 立 不 同 資 產(chǎn) 的 等 級(jí) 化 評(píng) 價(jià) 模 型 ， 定 量描 述 某 個(gè) 資 產(chǎn) 的 風(fēng) 險(xiǎn) 值 ， 可 以 做 到 不 同 資 產(chǎn) 之 間 風(fēng) 險(xiǎn) 狀 況 的 對(duì) 比 。 基 于 系 統(tǒng) 安 全 模 型 體 系 的 分 析 方 法 ： 針 對(duì) 某 個(gè) 典 型 的 （ 或 固 定 ） 的 系 統(tǒng)， 建 立 其 安 全 要 素 的 模 型 ， 以 及 判 定

24、 某 個(gè) 要 素 的 條 件 和 內(nèi) 容 ， 有 相 對(duì) 完善 、 固 定 的 評(píng) 估 模 型 體 系 。 L/O/G/O現(xiàn)有風(fēng)險(xiǎn)評(píng)估方法綜述（2） 定 性 分 析 方 法 定 性 分 析 方 法 一 般 適 用 于 ： a） 風(fēng) 險(xiǎn) 識(shí) 別 ； b） 造 成 風(fēng) 險(xiǎn) 的 原 因 分 析 ； c） 威 脅 發(fā) 生 所 造 成 的 影 響 分 析 等 。 例 如 ： 針 對(duì) 操 作 系 統(tǒng) ， 采 用 掃 描 工 具 ， 發(fā) 現(xiàn) 其 漏 洞 ， 指 明 漏 洞的 嚴(yán) 重 程 度 ； L/O/G/O現(xiàn)有風(fēng)險(xiǎn)評(píng)估方法綜述（3） 定 量 分 析 方 法 以 獲 取 到 或 采 取 一 定 方 法 量

25、化 后 得 到 的 被 調(diào) 查 對(duì)象 的 定 量 數(shù) 據(jù) 為 基 本 材 料 ， 依 據(jù) 一 定 的 算 法 進(jìn) 行分 析 、 計(jì) 算 、 綜 合 ， 然 后 得 出 結(jié) 果 數(shù) 據(jù) 。 定 量 分析 方 法 一 般 適 用 于 ： a） 確 立 威 脅 發(fā) 生 概 率 ； b） 預(yù) 測 系 統(tǒng) 風(fēng) 險(xiǎn) 發(fā) 生 概 率 ； c） 確 立 系 統(tǒng) 總 體 風(fēng) 險(xiǎn) 評(píng) 價(jià) 等 。 例 如 ： 對(duì) 運(yùn) 行 在 某 個(gè) 平 臺(tái) 上 的 不 同 主 機(jī) 、 應(yīng) 用 系 統(tǒng) 分 別進(jìn) 行 等 價(jià) 化 的 賦 值 ， 綜 合 分 析 每 個(gè) 資 產(chǎn) 的 威 脅 、脆 弱 性 ， 得 到 各 資 產(chǎn) 的 風(fēng)

26、險(xiǎn) 量 化 值 。 L/O/G/O現(xiàn)有風(fēng)險(xiǎn)評(píng)估方法綜述（4） 基 于 系 統(tǒng) 安 全 模 型 體 系 的 分 析 方 法 在 一 般 風(fēng) 險(xiǎn) 評(píng) 估 原 理 的 指 導(dǎo) 下 ， 針 對(duì) 被 評(píng) 估 信 息系 統(tǒng) 實(shí) 際 情 況 （ 包 括 ： 系 統(tǒng) 技 術(shù) 特 性 、 組 織 特 性、 資 產(chǎn) 情 況 、 安 全 假 設(shè) 、 脆 弱 點(diǎn) 、 威 脅 、 保 護(hù) 措施 等 ） 建 立 有 針 對(duì) 性 、 合 理 的 評(píng) 估 安 全 需 求 ； 同 時(shí) 建 立 評(píng) 估 指 標(biāo) 體 系 、 評(píng) 估 流 程 、 評(píng) 估 模 型 ，通 過 系 統(tǒng) 對(duì) 評(píng) 估 要 求 的 滿 足 程 度 進(jìn) 行 判 斷

27、 風(fēng) 險(xiǎn) 評(píng)估 的 指 導(dǎo) 作 用 。 例 如 ： 網(wǎng) 上 政 務(wù) 安 信 息 系 統(tǒng) 安 全 保 障 要 求 HIS系 統(tǒng) 安 全 保 障 要 求 實(shí) 際 固 化 了 前 期 的 資 產(chǎn) 識(shí) 別 、 威 脅 分 析 ， 僅 做 審核 、 結(jié) 論 性 判 斷 。 L/O/G/O1） 資 產(chǎn) 識(shí) 別 與 賦 值2） 資 產(chǎn) 的 安 全 屬 性 賦 值 及 權(quán) 重 計(jì) 算 ；3） 威 脅 分 析 ；4） 薄 弱 點(diǎn) 分 析 ；5） 已 有 控 制 措 施 分 析 ；6） 影 響 分 析 ；7） 可 能 性 分 析 ；8） 風(fēng) 險(xiǎn) 計(jì) 算 ；9） 風(fēng) 險(xiǎn) 控 制 措 施 制 定 ；評(píng) 估 步 驟 L

28、/O/G/O1、資產(chǎn)的識(shí)別 資 產(chǎn) 識(shí) 別 之 前 必 須 界 定 范 圍 識(shí) 別 資 產(chǎn) 最 簡 單 的 方 法 就 是 列 出 對(duì) 組 織 或 組 織 的 特 定 部 門 的業(yè) 務(wù) 過 程 有 價(jià) 值 的 任 何 事 物 資 產(chǎn) 包 括 : 數(shù) 據(jù) 與 文 檔 /書 面 文 件 /軟 件 /實(shí) 物 資 產(chǎn) /人 員 /服 務(wù) L/O/G/O資產(chǎn)識(shí)別的類型 L/O/G/O2、資產(chǎn)的安全屬性賦值及權(quán)重計(jì)算 信 息 資 產(chǎn) 分 別 具 有 不 同 的 安 全 屬 性 ， 機(jī) 密 性 、 完 整性 和 可 用 性 分 別 反 映 了 資 產(chǎn) 在 三 個(gè) 不 同 方 面 的 特 性 。安 全 屬 性

29、 的 不 同 通 常 也 意 味 著 安 全 控 制 、 保 護(hù) 功 能 需求 的 不 同 。 通 過 考 察 三 種 不 同 安 全 屬 性 ， 可 以 得 出 一個(gè) 能 夠 基 本 反 映 資 產(chǎn) 價(jià) 值 的 數(shù) 值 。 對(duì) 信 息 資 產(chǎn) 進(jìn) 行 賦值 的 目 的 是 為 了 更 好 地 反 映 資 產(chǎn) 的 價(jià) 值 ， 以 便 于 進(jìn) 一步 考 察 資 產(chǎn) 相 關(guān) 的 弱 點(diǎn) 、 威 脅 和 風(fēng) 險(xiǎn) 屬 性 ， 并 進(jìn) 行 量化 。 L/O/G/O資產(chǎn)價(jià)值與信息安全特性的關(guān)系等 級(jí) 機(jī) 密 性1 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 泄 露 、破 壞 方 面 的 要 求 可 以 忽 略

30、 。 機(jī) 密 性 價(jià) 值 或 潛 在 影 響 可 以 忽 略 2 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 泄 露 、破 壞 方 面 的 要 求 有 限 。 機(jī) 密 性 價(jià) 值 較 低 ， 潛 在 影 響 可 以 忍受 ， 較 容 易 彌 補(bǔ) 3 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 泄 露 、破 壞 方 面 的 要 求 一 般 機(jī) 密 性 價(jià) 值 中 等 ， 潛 在 影 響 重 大 ，但 可 以 彌 補(bǔ) 4 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 泄 露 、破 壞 方 面 的 要 求 較 高 機(jī) 密 性 價(jià) 值 較 高 ， 潛 在 影 響 嚴(yán) 重 ，企 業(yè) 將 蒙 受 嚴(yán) 重 損 失 ， 難

31、 以 彌 補(bǔ) 5 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 泄 露 、 破 壞 方 面 的 要 求 很 高 機(jī) 密 性 價(jià) 值 非 常 關(guān) 鍵 ， 具 有 致 命 性的 潛 在 影 響例 ： 對(duì) 應(yīng) 用 軟 件 ， 其 機(jī) 密 性 表 現(xiàn) 在 配 置 數(shù) 據(jù) 失 密 、 賬 號(hào) 口 令 信 息 失密 、 關(guān) 鍵 算 法 失 密 等 。 L/O/G/O資產(chǎn)價(jià)值與信息安全特性的關(guān)系等 級(jí) 完 整 性1 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 修 改 、破 壞 方 面 的 要 求 可 以 忽 略 。 完 整 性 價(jià) 值 或 潛 在 影 響 可 以 忽 略 2 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 修

32、 改 、破 壞 方 面 的 要 求 有 限 。 完 整 性 價(jià) 值 較 低 ， 潛 在 影 響 可 以 忍受 ， 較 容 易 彌 補(bǔ) 3 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 修 改 、破 壞 方 面 的 要 求 一 般 完 整 性 價(jià) 值 中 等 ， 潛 在 影 響 重 大 ，但 可 以 彌 補(bǔ) 4 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 修 改 、破 壞 方 面 的 要 求 較 高 完 整 性 價(jià) 值 較 高 ， 潛 在 影 響 嚴(yán) 重 ，企 業(yè) 將 蒙 受 嚴(yán) 重 損 失 ， 難 以 彌 補(bǔ) 5 資 產(chǎn) 對(duì) 防 止 信 息 非 授 權(quán) 修 改 、破 壞 方 面 的 要 求 很 高 完

33、整 性 價(jià) 值 非 常 關(guān) 鍵 ， 具 有 致 命 性的 潛 在 影 響例 ： 對(duì) 應(yīng) 用 軟 件 ， 其 完 整 性 表 現(xiàn) 在 配 置 數(shù) 據(jù) 被 修 改 、 軟 件 被 修 改 、數(shù) 據(jù) 被 修 改 L/O/G/O資產(chǎn)價(jià)值與信息安全特性的關(guān)系等 級(jí) 可 用 性1 資 產(chǎn) 對(duì) 防 止 信 息 不 可 用 方 面 的要 求 可 以 忽 略 。 可 用 性 價(jià) 值 或 潛 在 影 響 可 以 忽 略 2 資 產(chǎn) 對(duì) 防 止 信 息 不 可 用 方 面 的要 求 有 限 。 可 用 性 價(jià) 值 較 低 ， 潛 在 影 響 可 以 忍受 ， 較 容 易 彌 補(bǔ) 3 資 產(chǎn) 對(duì) 防 止 信 息 不

34、可 用 方 面 的要 求 一 般 可 用 性 價(jià) 值 中 等 ， 潛 在 影 響 重 大 ，但 可 以 彌 補(bǔ) 4 資 產(chǎn) 對(duì) 防 止 信 息 不 可 用 方 面 的要 求 較 高 可 用 性 價(jià) 值 較 高 ， 潛 在 影 響 嚴(yán) 重 ，企 業(yè) 將 蒙 受 嚴(yán) 重 損 失 ， 難 以 彌 補(bǔ) 5 資 產(chǎn) 對(duì) 防 止 信 息 不 可 用 方 面 的要 求 很 高 可 用 性 價(jià) 值 非 常 關(guān) 鍵 ， 具 有 致 命 性的 潛 在 影 響例 ： 對(duì) 應(yīng) 用 軟 件 ， 其 完 整 性 表 現(xiàn) 在 軟 件 故 障 、 喪 失 控 制 權(quán) 。 L/O/G/O3、威脅分析與評(píng)價(jià) 對(duì) 組 織 需 要

35、保 護(hù) 的 每 一 項(xiàng) 重 要 信 息 資 產(chǎn) 進(jìn) 行 威 脅 識(shí) 別 應(yīng) 考 慮 :v資 產(chǎn) 所 處 的 環(huán) 境 條 件v資 產(chǎn) 以 前 遭 受 威 脅 損 害 的 情 況 來 判 斷 :v一 項(xiàng) 資 產(chǎn) 可 能 面 臨 著 多 個(gè) 威 脅v一 個(gè) 威 脅 可 能 對(duì) 不 同 的 資 產(chǎn) 造 成 影 響v威 脅 識(shí) 別 應(yīng) 確 認(rèn) 威 脅 由 誰 或 什 么 事 物 引 發(fā)v威 脅 可 能 來 源 于 意 外 的 ， 或 有 預(yù) 謀 的 事 件 L/O/G/O威脅的識(shí)別與評(píng)價(jià)威 脅 列 表 : 空 氣 中 的 懸 浮 顆 粒 /灰 塵 維 護(hù) 錯(cuò) 誤 空 調(diào) 故 障 惡 意 軟 件 存 儲(chǔ)

36、媒 體 的 老 化 用 戶 身 份 的 偽 裝 電 子 郵 件 炸 彈 未 授 權(quán) 網(wǎng) 絡(luò) 訪 問 地 震 操 作 人 員 的 錯(cuò) 誤 竊 聽 供 電 波 動(dòng) 環(huán) 境 污 染 否 定 或 抵 賴 極 端 的 溫 度 和 濕 度 軟 件 故 障 通 信 服 務(wù) 故 障 員 工 短 缺 L/O/G/O 威脅的識(shí)別與評(píng)價(jià)威 脅 列 表 (續(xù) ): 火 災(zāi) 傳 輸 錯(cuò) 誤 洪 水 軟 件 未 授 權(quán) 使 用 硬 件 故 障 存 儲(chǔ) 媒 體 未 授 權(quán) 使 用 軟 件 的 非 法 進(jìn) /出 口 軟 件 被 未 授 權(quán) 用 戶 使 用 軟 件 的 非 法 使 用 軟 件 以 未 經(jīng) 許 可 的 方 法 使

37、 用 工 業(yè) 活 動(dòng) 用 戶 錯(cuò) 誤 閃 電 故 意 破 壞 通 信 電 纜 損 壞 資 源 濫 用 網(wǎng) 絡(luò) 組 件 的 故 障 盜 竊 電 力 供 應(yīng) 故 障 颶 風(fēng) 供 應(yīng) 故 障 通 信 量 超 載 L/O/G/O分析威脅與C,I,A之間的關(guān)系 例 如 :電 腦 遭 遇 黒 客 入 侵 資 產(chǎn) 是 電 腦 威 脅 是 黒 客 攻 擊 薄 弱 點(diǎn) 是 口 令 強(qiáng) 度 不 夠 等 在 考 慮 此 威 脅 發(fā) 生 時(shí) ,對(duì) 此 資 產(chǎn) 而 言 ,最 先 遭 破 壞 的 是 完 整 性 ,其 次 才 是 保 密 性 或 可 用 性 。 L/O/G/O4、薄弱點(diǎn)分析與評(píng)價(jià)v 由 于 組 織 缺 乏

38、 充 分 的 安 全 控 制 ， 組 織 需 要 保 護(hù) 的 信 息 資 產(chǎn) 或 系 統(tǒng) 存 在 著可 能 被 威 脅 所 利 用 的 弱 點(diǎn) 。v 來 自 組 織 結(jié) 構(gòu) /人 員 /管 理 /程 序 /資 產(chǎn) 本 身 的 缺 陷v 應(yīng) 針 對(duì) 每 一 項(xiàng) 信 息 資 產(chǎn) ， 找 出 每 一 種 威 脅 所 能 利 用 的 薄 弱 點(diǎn) L/O/G/O有關(guān)實(shí)物和環(huán)境安全方面的薄弱點(diǎn)列表薄 弱 點(diǎn) 利 用 薄 弱 點(diǎn) 的 威 脅對(duì) 建 筑 、 房 屋 和 辦 公 室 實(shí) 物 訪 問 控制 的 不 充 分 或 疏 忽 故 意 破 壞對(duì) 于 建 筑 、 門 和 窗 缺 乏 物 理 保 護(hù) 盜 竊位

39、于 易 受 洪 水 影 響 的 區(qū) 域 洪 水未 保 護(hù) 的 儲(chǔ) 藏 庫 盜 竊缺 乏 維 護(hù) 程 序 或 維 護(hù) 作 業(yè) 指 導(dǎo) 維 護(hù) 人 員 操 作 失 誤缺 乏 定 期 的 設(shè) 備 更 新 計(jì) 劃 存 儲(chǔ) 媒 體 老 化 設(shè) 備 缺 乏 必 要 防 護(hù) 措 施 空 氣 中 的 顆 粒 /灰塵設(shè) 備 對(duì) 溫 度 變 化 敏 感 或 缺 乏 空 調(diào) 設(shè)備 極 端 溫 度 (高 溫 或 低溫 )設(shè) 備 易 受 電 壓 變 化 的 影 響 、 不 穩(wěn) 定的 高 壓 輸 電 網(wǎng) 、 確 保 供 電 保 護(hù) 設(shè) 施 電 壓 波 動(dòng) L/O/G/O例：常見系統(tǒng)薄弱點(diǎn)及其對(duì)應(yīng)威脅 L/O/G/O 5、

40、已有安全控制分析與確認(rèn)v 識(shí) 別 已 經(jīng) 存 在 和 策 劃 了 的 安 全 控 制v 對(duì) 現(xiàn) 有 的 和 已 計(jì) 劃 好 的 控 制 加 以 確 定 ， 可 以 避 免 不 必 要 的 工 作 和費(fèi) 用v 應(yīng) 核 查 控 制 是 否 有 效 。 移 除 ？ 替 換 ？ 增 加 ？ 保 留 ？v 現(xiàn) 有 的 或 已 計(jì) 劃 好 的 控 制 是 否 和 將 要 采 取 的 安 全 控 制 相 一 致 ？ L/O/G/O6、威脅影響分析n 評(píng) 價(jià) 威 脅 發(fā) 生 所 造 成 的 后 果 或 潛 在 影 響n不 同 的 威 脅 對(duì) 同 一 資 產(chǎn) 或 組 織 所 產(chǎn) 生 的 影 響 不 同 ， 即

41、導(dǎo) 致 的 價(jià) 值 損失 也 不 同 ， 但 損 失 的 程 度 應(yīng) 以 資 產(chǎn) 的 相 對(duì) 價(jià) 值 (或 重 要 度 )為 限 。n對(duì) 影 響 的 評(píng) 估 ， 應(yīng) 在 脆 弱 性 嚴(yán) 重 程 度 的 基 礎(chǔ) 上 考 慮 。 脆 弱 性 越 嚴(yán) 重 ，表 明 被 威 脅 利 用 后 產(chǎn) 生 的 后 果 越 嚴(yán) 重 ； 被 某 個(gè) 威 脅 利 用 的 脆 弱 性 越多 ， 其 造 成 的 影 響 也 越 大 。n采 用 5個(gè) 等 級(jí) 來 描 述 影 響 程 度 ， 對(duì) 不 同 的 資 產(chǎn) 有 不 同 評(píng) 價(jià) 原 則 。n參 考 威 脅 影 響 程 度 判 斷 準(zhǔn) 則 L/O/G/O威脅影響程度判

42、斷準(zhǔn)則 威 脅 影 響 保 密 性 （ C） 客 戶 對(duì) 業(yè) 務(wù) /服 務(wù) 的 影 響 C I/A I/A1 公 開 信 息 幾 乎 無 影 響 幾 乎 不 影 響2 內(nèi) 部 公 開 信 息 對(duì) 單 次 合 同 產(chǎn) 生 負(fù) 面 影響 影 響 單 項(xiàng) 業(yè) 務(wù) ， 且 可立 即 恢 復(fù)3 敏 感 信 息 可 能 導(dǎo) 致 一 次 中 小 合 同流 失 影 響 單 項(xiàng) 業(yè) 務(wù) ， 可 部分 恢 復(fù) 4 屬 于 組 織 秘 密 ， 泄漏 會(huì) 引 起 經(jīng) 濟(jì) 賠 償 可 能 導(dǎo) 致 數(shù) 次 中 小 合 同或 一 次 大 合 同 失 敗 ， 引起 經(jīng) 濟(jì) 賠 償 導(dǎo) 致 系 統(tǒng) 資 源 故 障 ，影 響 大

43、 部 分 業(yè) 務(wù)5 屬 于 組 織 機(jī) 密 ， 泄漏 會(huì) 引 起 法 律 訴 訟及 經(jīng) 濟(jì) 賠 償 可 能 導(dǎo) 致 客 戶 或 合 作 伙伴 的 丟 失 ， 引 起 法 律 訴訟 及 經(jīng) 濟(jì) 賠 償 2天 以 上 業(yè) 務(wù) 內(nèi) 無 法恢 復(fù) L/O/G/O7、威脅的可能性分析 組 織 應(yīng) 根 據(jù) 專 家 意 見 或 有 關(guān) 的 統(tǒng) 計(jì) 數(shù) 據(jù) 來 判 斷 威 脅發(fā) 生 的 頻 率 或 者 威 脅 發(fā) 生 的 概 率 。威 脅 發(fā) 生 的 可 能 性 受 下 列 因 素 的 影 響 :v資 產(chǎn) 的 吸 引 力v資 產(chǎn) 轉(zhuǎn) 化 成 報(bào) 酬 的 容 易 程 度v威 脅 的 技 術(shù) 含 量 v薄 弱 點(diǎn)

44、 被 利 用 的 難 易 程 度 L/O/G/O賦 值 描 述 說 明5 很 高 預(yù) 期 在 大 多 數(shù) 情 況 下 發(fā) 生 ， 不 可 避 免 （ 90%）（ 或 1 次 /周 ）4 高（ 很 可 能 ） 在 大 多 數(shù) 情 況 下 ， 很 有 可 能 會(huì) 發(fā) 生 （ 50% 90%）（ 或 1 次 /月 ）3 中 等（ 可 能 ） 在 某 種 情 況 下 或 某 個(gè) 時(shí) 間 ， 可 能 會(huì) 發(fā) 生 （ 20% 50%）（ 或 1 次 /半 年 ）2 低（ 不 太 可 能 ） 發(fā) 生 的 可 能 性 很 小 ， 不 太 可 能 （ 20%） 1 極 低 僅 在 非 常 例 外 的 情 況 下

45、 發(fā) 生 ， 非 常 罕 見 ， 幾 乎 不 可能 （ 0%1%） L/O/G/O8、風(fēng)險(xiǎn)值的計(jì)算威 脅 的 風(fēng) 險(xiǎn) 值 （ RT） 威 脅 的 影 響 值 (I)威 脅 發(fā) 生 的 可 能 性 (P) L/O/G/O9、風(fēng)險(xiǎn)控制措施確定 組 織 根 據(jù) 風(fēng) 險(xiǎn) 評(píng) 估 的 結(jié) 果 ， 確 定 不 可 接 受 風(fēng) 險(xiǎn) 的范 圍 ， 制 定 風(fēng) 險(xiǎn) 處 理 計(jì) 劃 ， 增 加 控 制 措 施 ， 從 而 降 低風(fēng) 險(xiǎn) 。安 全 控 制 的 識(shí) 別 和 選 擇 ：依 據(jù) -風(fēng) 險(xiǎn) 評(píng) 估 的 結(jié) 果原 則 -費(fèi) 用 與 風(fēng) 險(xiǎn) 平 衡 構(gòu) 成 -技 術(shù) 控 制 措 施 或 管 理 控 制 措 施確

46、 定 風(fēng) 險(xiǎn) 的 等 級(jí) 和 組 織 的 可 接 受 水 平 ： L/O/G/O實(shí)施風(fēng)險(xiǎn)控制風(fēng) 險(xiǎn) 確 認(rèn) 與 接 受 為 確 保 組 織 的 信 息 安 全 ， 殘 余 風(fēng) 險(xiǎn) 應(yīng) 在 可 接 受 范 圍 內(nèi)殘 余 風(fēng) 險(xiǎn) R(r)=原 有 風(fēng) 險(xiǎn) R(0)-控 制 R殘 余 風(fēng) 險(xiǎn) R（ r） =可 接 受 風(fēng) 險(xiǎn) R(t)安 全 控 制實(shí) 施 風(fēng) 險(xiǎn) 確 認(rèn) 接 受不 接 受 增 加 控 制 L/O/G/O風(fēng)險(xiǎn)控制曲線圖風(fēng) 險(xiǎn) R 資 產(chǎn) 序 列原 有 風(fēng) 險(xiǎn) 曲 線可 接 受 風(fēng) 險(xiǎn) 曲 線殘 余 風(fēng) 險(xiǎn) 曲 線 L/O/G/O L/O/G/O L/O/G/O風(fēng)險(xiǎn)控制要點(diǎn)風(fēng) 險(xiǎn) 是 一

47、 個(gè) 變 數(shù) !v要 定 期 進(jìn) 行 風(fēng) 險(xiǎn) 評(píng) 估v在 以 下 情 況 進(jìn) 行 臨 時(shí) 評(píng) 估 當(dāng) 組 織 新 增 信 息 資 產(chǎn) 時(shí) 當(dāng) 系 統(tǒng) 發(fā) 生 重 大 變 更 時(shí) 發(fā) 生 嚴(yán) 重 信 息 安 全 事 故 時(shí) L/O/G/O一 、 風(fēng) 險(xiǎn) 評(píng) 估 中 的 概 念 及 模 型二 、 風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn)三 、 風(fēng) 險(xiǎn) 評(píng) 估 流 程 與 方 法四 、 風(fēng) 險(xiǎn) 評(píng) 估 的 輸 出 結(jié) 果五 、 風(fēng) 險(xiǎn) 管 理六 、 總 結(jié)目錄 L/O/G/O 風(fēng)險(xiǎn)評(píng)估的輸出結(jié)果資產(chǎn)識(shí)別4.1 資產(chǎn)識(shí)別表資產(chǎn)賦值威脅分析4.3 資產(chǎn)威脅表4.2 重要資產(chǎn)賦值表 脆弱性分析4.6不可接受風(fēng)險(xiǎn)處 理計(jì)劃表

48、 影響、可能性分析4.5信息資產(chǎn)綜合風(fēng)險(xiǎn)值表 風(fēng)險(xiǎn)計(jì)算及評(píng)估結(jié)果4.4 脆弱性匯總表風(fēng)險(xiǎn)評(píng)估報(bào)告 L/O/G/O 反 映 了 ： 資 產(chǎn) 名 稱 描 述 范 圍 重 要 性 程 度 部 門 所 屬 業(yè) 務(wù) 流 程4. 1 資產(chǎn)識(shí)別表 風(fēng)險(xiǎn)評(píng)估的輸出結(jié)果資產(chǎn)識(shí)別表 L/O/G/O 反 映 了 ： 資 產(chǎn) 名 稱 描 述 范 圍 機(jī) 密 性 、 可 用 性 、 完 整 性 評(píng) 分 等 級(jí) 資 產(chǎn) 與 信 息 安 全 系 數(shù) 關(guān) 系 所 屬 業(yè) 務(wù) 流 程4.2 重要資產(chǎn)賦值表 風(fēng)險(xiǎn)評(píng)估的輸出結(jié)果重要資產(chǎn)列表 L/O/G/O 反 映 了 ： 資 產(chǎn) 名 稱 面 臨 的 威 脅 類 具 體 可 能 的

49、 威 脅4.3 資產(chǎn)威脅表 風(fēng)險(xiǎn)評(píng)估的輸出結(jié)果威脅列表 L/O/G/O 反 映 了 ： 脆 弱 性 分 類 （ 網(wǎng) 絡(luò) 、 操 作 系 統(tǒng) 、 管 理 、 數(shù) 據(jù) 庫 等 ） 脆 弱 性 的 詳 細(xì) 描 述 脆 弱 性 的 嚴(yán) 重 程 度 與 威 脅 的 對(duì) 應(yīng) 關(guān) 系 可 能 影 響 的 資 產(chǎn)4.4 脆弱性匯總表風(fēng)險(xiǎn)評(píng)估的輸出結(jié)果脆弱性識(shí)別表 L/O/G/O 反 映 了 ： 資 產(chǎn) 名 稱 資 產(chǎn) 面 臨 的 威 脅 可 能 被 威 脅 利 用 的 脆 弱 電 威 脅 發(fā) 生 的 可 能 性 威 脅 的 影 響 程 度4.5信息資產(chǎn)綜合風(fēng)險(xiǎn)值表 風(fēng)險(xiǎn)評(píng)估的輸出結(jié)果資產(chǎn)風(fēng)險(xiǎn)表 L/O/G/O

50、 反 映 了 ： 資 產(chǎn) 名 稱 威 脅 /薄 弱 點(diǎn) 風(fēng) 險(xiǎn) 系 數(shù) 風(fēng) 險(xiǎn) 處 理 措 施 優(yōu) 先 處 理 等 級(jí) ， 等 。4.6不可接受風(fēng)險(xiǎn)處理計(jì)劃表 風(fēng)險(xiǎn)評(píng)估的輸出結(jié)果風(fēng)險(xiǎn)處理計(jì)劃 L/O/G/O 風(fēng) 險(xiǎn) 評(píng) 估 報(bào) 告 評(píng) 估 方 法 信 息 系 統(tǒng) 分 析 與 描 述 業(yè) 務(wù) 信 息 流 分 析 資 產(chǎn) 識(shí) 別 與 劃 分 威 脅 分 析 安 全 風(fēng) 險(xiǎn) 分 析 與 統(tǒng) 計(jì) 信 息 系 統(tǒng) 脆 弱 性 評(píng) 估 報(bào) 告 ： 以 資 產(chǎn) 為 主 線 ， 描 述 各 資 產(chǎn) 存 在 的 脆弱 性 ， 包 括 ： 主 要 服 務(wù) 器 操 作 系 統(tǒng) 、 數(shù) 據(jù) 庫 系 統(tǒng) 應(yīng) 用 系 統(tǒng)

51、 網(wǎng) 絡(luò) 與 交 換 設(shè) 備 安 全 管 理 體 系 物 理 環(huán) 境4.7 風(fēng)險(xiǎn)評(píng)估報(bào)告 風(fēng)險(xiǎn)評(píng)估的輸出結(jié)果風(fēng)險(xiǎn)評(píng)估報(bào)告 L/O/G/O一 、 風(fēng) 險(xiǎn) 評(píng) 估 中 的 概 念 及 模 型二 、 風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn)三 、 風(fēng) 險(xiǎn) 評(píng) 估 流 程 與 方 法四 、 風(fēng) 險(xiǎn) 評(píng) 估 的 輸 出 結(jié) 果五 、 風(fēng) 險(xiǎn) 管 理六 、 總 結(jié)目錄 L/O/G/O風(fēng)險(xiǎn)管理的目的和意義信 息 安 全 風(fēng) 險(xiǎn) 管 理 是 信 息 安 全 保 障 工 作 中 的 一 項(xiàng) 基 礎(chǔ) 性 工 作 。1、 信 息 安 全 風(fēng) 險(xiǎn) 管 理 體 現(xiàn) 在 信 息 安 全 保 障 體 系 的 技 術(shù) 、 組 織 和 管 理

52、等 方面2、 信 息 安 全 風(fēng) 險(xiǎn) 管 理 貫 穿 信 息 系 統(tǒng) 生 命 周 期 的 全 部 過 程 。3、 信 息 安 全 風(fēng) 險(xiǎn) 管 理 依 據(jù) 等 級(jí) 保 護(hù) 的 思 想 和 適 度 安 全 的 原 則 ， 平 衡 成 本與 效 益 ， 合 理 部 署 和 利 用 信 息 安 全 的 信 任 體 系 、 監(jiān) 控 體 系 和 應(yīng) 急 處 理 等重 要 的 基 礎(chǔ) 設(shè) 施 ， 確 定 合 適 的 安 全 措 施 ， 從 而 確 保 機(jī) 構(gòu) 具 有 完 成 其 使 命的 信 息 安 全 保 障 能 力 。 L/O/G/O風(fēng)險(xiǎn)管理的對(duì)象與范圍 信 息 自 身 ： 各 類 以 電 子 形 式

53、或 紙 面 文 檔 方 式 表 示 的 數(shù) 據(jù) 材 料。 信 息 載 體 ： 支 持 信 息 處 理 的 網(wǎng) 絡(luò) 平 臺(tái) 、 通 信 平 臺(tái) 、 系 統(tǒng) 平 臺(tái)、 應(yīng) 用 軟 件 等 。 信 息 環(huán) 境 ： 支 持 系 統(tǒng) 運(yùn) 行 的 環(huán) 境 。 包 括 環(huán) 境 設(shè) 施 、 運(yùn) 行 與 維護(hù) 、 管 理 體 系 等 內(nèi) 容 。 L/O/G/O風(fēng)險(xiǎn)控制措施確定 組 織 根 據(jù) 風(fēng) 險(xiǎn) 評(píng) 估 的 結(jié) 果 ， 確 定 不 可 接 受 風(fēng) 險(xiǎn) 的范 圍 ， 制 定 風(fēng) 險(xiǎn) 處 理 計(jì) 劃 ， 增 加 控 制 措 施 ， 從 而 降 低風(fēng) 險(xiǎn) 。安 全 控 制 的 識(shí) 別 和 選 擇 ：依 據(jù) -風(fēng)

54、險(xiǎn) 評(píng) 估 的 結(jié) 果原 則 -費(fèi) 用 與 風(fēng) 險(xiǎn) 平 衡 構(gòu) 成 -技 術(shù) 控 制 措 施 或 管 理 控 制 措 施確 定 風(fēng) 險(xiǎn) 的 等 級(jí) 和 組 織 的 可 接 受 水 平 ： L/O/G/O實(shí)施風(fēng)險(xiǎn)控制風(fēng) 險(xiǎn) 降 低 示 意 圖 威脅發(fā)生可能性 威 脅 的 潛 在 影 響 (后 果 )R風(fēng) 險(xiǎn) R1R3 R2高中低 低 中 高 L/O/G/O風(fēng) 險(xiǎn) 確 認(rèn) 與 接 受 為 確 保 組 織 的 信 息 安 全 ， 殘 余 風(fēng) 險(xiǎn) 應(yīng) 在 可 接 受 范 圍 內(nèi)殘 余 風(fēng) 險(xiǎn) R(r)=原 有 風(fēng) 險(xiǎn) R(0)-控 制 R殘 余 風(fēng) 險(xiǎn) R（ r） =可 接 受 風(fēng) 險(xiǎn) R(t)安 全

55、 控 制實(shí) 施 風(fēng) 險(xiǎn) 確 認(rèn) 接 受不 接 受 增 加 控 制 L/O/G/O一 、 風(fēng) 險(xiǎn) 評(píng) 估 中 的 概 念 及 模 型二 、 風(fēng) 險(xiǎn) 評(píng) 估 標(biāo) 準(zhǔn)三 、 風(fēng) 險(xiǎn) 評(píng) 估 流 程 與 方 法四 、 風(fēng) 險(xiǎn) 評(píng) 估 的 輸 出 結(jié) 果五 、 風(fēng) 險(xiǎn) 管 理六 、 總 結(jié)目錄 L/O/G/O 識(shí) 別 本 單 位 信 息 安 全 的 風(fēng) 險(xiǎn) 狀 況 重 要 的 資 產(chǎn) 面 臨 的 威 脅 現(xiàn) 有 的 安 全 措 施 和 薄 弱 點(diǎn) 可 能 的 風(fēng) 險(xiǎn) 制 定 適 合 于 本 單 位 的 風(fēng) 險(xiǎn) 評(píng) 估 程 序 評(píng) 估 流 程 評(píng) 估 管 理 制 度 ， 角 色 和 責(zé) 任 資 產(chǎn) 重 要 性 、 后 果 與 影 響 、 威 脅 可 能 性 的 判據(jù) 薄 弱 點(diǎn) 的 識(shí) 別 方 法 建 立 風(fēng) 險(xiǎn) 控 制 措 施 或 安 全 需 求 根 據(jù) 評(píng) 估 結(jié) 果 ， 制 定 風(fēng) 險(xiǎn) 處 理 計(jì) 劃 根 據(jù) 實(shí) 際 要 求 ， 制 定 本 單 位 的 安 全 需 求 或 安全 規(guī) 劃 此次各試點(diǎn)單位風(fēng)險(xiǎn)評(píng)估的成果 L/O/G/O 謝 謝Question？