信息安全风险评估与风 险管理.ppt

* * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 测试 * 测试 * * * * * 反映了： 资产名称 资产面临的威胁 可能被威胁利用的脆弱电 威胁发生的可能性 威胁的影响程度 4.5信息资产综合风险值表 风险评估的输出结果——资产风险表 反映了： 资产名称 威胁/薄弱点 风险系数 风险处理措施 优先处理等级，等。 4.6不可接受风险处理计划表 风险评估的输出结果——风险处理计划 风险评估报告 评估方法 信息系统分析与描述 业务信息流分析 资产识别与划分 威胁分析 安全风险分析与统计 信息系统脆弱性评估报告：以资产为主线，描述各资产存在的脆弱性，包括： 主要服务器操作系统、数据库系统 应用系统 网络与交换设备 安全管理体系 物理环境 4.7 风险评估报告 风险评估的输出结果——风险评估报告 一、风险评估中的概念及模型 二、风险评估标准 三、风险评估流程与方法 四、风险评估的输出结果 五、风险管理 六、总结 目录 风险管理的目的和意义 信息安全风险管理是信息安全保障工作中的一项基础性工作。 1、信息安全风险管理体现在信息安全保障体系的技术、组织和管理等方面 2、信息安全风险管理贯穿信息系统生命周期的全部过程。 3、信息安全风险管理依据等级保护的思想和适度安全的原则，平衡成本与效益，合理部署和利用信息安全的信任体系、监控体系和应急处理等重要的基础设施，确定合适的安全措施，从而确保机构具有完成其使命的信息安全保障能力。 风险管理的对象与范围 信息自身：各类以电子形式或纸面文档方式表示的数据材料。 信息载体：支持信息处理的网络平台、通信平台、系统平台、应用软件等。 信息环境：支持系统运行的环境。包括环境设施、运行与维护、管理体系等内容。 风险控制措施确定 组织根据风险评估的结果，确定不可接受风险的范围，制定风险处理计划，增加控制措施，从而降低风险。 安全控制的识别和选择： 依据---风险评估的结果 原则---费用与风险平衡 构成---技术控制措施或管理控制措施 确定风险的等级和组织的可接受水平： 实施风险控制 风险降低示意图 威 胁 发 生 可 能 性 威胁的潜在影响(后果) R—风险 R1 R3 R2 高 中 低 低 中 高 风险确认与接受 为确保组织的信息安全，残余风险应在可接受范围内 残余风险R(r)=原有风险R(0)-控制?R 残余风险R（r）=可接受风险R(t) 安全控制 实施 风险确认 接受 不接受 增加控制 一、风险评估中的概念及模型 二、风险评估标准 三、风险评估流程与方法 四、风险评估的输出结果 五、风险管理 六、总结 目录 识别本单位信息安全的风险状况 重要的资产 面临的威胁 现有的安全措施和薄弱点 可能的风险 制定适合于本单位的风险评估程序 评估流程 评估管理制度，角色和责任 资产重要性、后果与影响、威胁可能性的判据 薄弱点的识别方法 建立风险控制措施或安全需求 根据评估结果，制定风险处理计划 根据实际要求，制定本单位的安全需求或安全规划 此次各试点单位风险评估的成果 谢谢 Question？ * * * * * * * * * * * * * * * * * * * * 1）资产识别与赋值2）资产的安全属性赋值及权重计算；3）威胁分析；4）薄弱点分析；5）已有控制措施分析；6）影响分析；7）可能性分析；8）风险计算；9）风险控制措施制定； 评估步骤 1、资产的识别 资产识别之前必须界定范围 识别资产最简单的方法就是列出对组织或组织的特定部门的业务过程有价值的任何事物 资产包括: 数据与文档/书面文件/软件/实物资产/人员/服务 资产识别的类型 2、资产的安全属性赋值及权重计算 信息资产分别具有不同的安全属性，机密性、完整性和可用性分别反映了资产在三个不同方面的特性。安全属性的不同通常也意味着安全控制、保护功能需求的不同。通过考察三种不同安全属性，可以得出一个能够基本反映资产价值的数值。对信息资产进行赋值的目的是为了更好地反映资产的价值，以便于进一步考察资产相关的弱点、威胁和风险属性，并进行量化。 资产价值与信息安全特性的关系 等级 机密性 1 资产对防止信息非授权泄露、破坏方面的要求可以忽略。 机密性价值或潜在影响可以忽略 2 资产对防止信息非授权泄露、破坏方面的要求有限。 机密性价值较低，潜在影响可以忍受，较容易弥补 3 资产对防止信息非授权泄露、破坏方面的要求一般 机密性价值中等，潜在影响重大，但可以弥补 4 资产对防