【精品】风险管理与应急体系.ppt

风险管理与应急体系 信息安全的风险管理和应急处理是信息安全保障体系中的重要环节。对保证电信网络的安全有至关重要的意义。科学合理的实施风险管理和应急处理，将为电信网络提供有效的安全保障手段。 一、信息安全的风险管理 风险：安全事件发生（即必威体育官网网址性、完整性、可用性损失）的概率及其可能造成影响下，脆弱性被利用后所产生的实际负面影响。 风险管理：识别风险, 评估风险, 采取步骤减缓风险并将它降到可接受的水平之内的过程。 风险管理就是保护组织机构的信息资产及业务，保护其完成使命的能力。不仅是其IT资产价值, 而且是专业人员实施技术功能和组织机构管理功能的综合。即信息资产的保护和业务能力的保证。 信息资产由价值表示，分为经济价值和社会价值。用下图表示： 业务能力表现在信息服务上，分为服务范围和连续性依赖程度。 等级保护应根据信息系统的综合价值和综合能力保证的要求不同来确定其相应的保护等级。 风险管理包括三个过程： 1、风险评估：对风险及其影响的识别和评价，建议如何降低风险。 2、风险减缓：对风险评估过程中所推荐的风险降低措施进行优先级排序，加以实现和维护。 3、评价确认：对风险评估结果进行判断，以明确在风险减缓措施实施后残余的风险是否可以接受。 降低残余风险： 成功的关键： 1、高层管理者的决心 2、IT团队全力支持和参与 3、风险评估小组能力 4、用户的意识和合作 5、对使命风险进行持续的评价和评估 二、信息安全应急体系框架 （一）应急规划 做好风险管理工作，使脆弱性和威胁最小化，但不可能完全消除，也有可能遭受系统被破坏。 安全应急是一种协调的战略过程，涉及到计划、流程和技术措施，以使IT系统、运行和数据在被破坏后能够得到恢复。这涉及到法律、组织管理和技术支持等环节，首先要做好应急规划。 * 国家信息化专家咨询委员会委员 沈昌祥 院士 经济价值 社会价值 综合价值 服务范围 连续性依赖 综合能力保证 否 是 否 风险评估实施流程图 是 风险评估准备 已有安全措施的确认 风险计算 风险是否接受 保持已有的安全措施 选择适当的安全措施并评估残余风险 实施风险管理 脆弱性识别 威胁识别 资产识别 是否接受残余风险 风险分析 评估过程文档 评估过程文档 风险评估文件记录 评估结果文档 ………………… 风险评估实施流程： 来自风险评估报告的风险级别 步骤1：对行动优先级进行排序 由高到低的行动优先级 风险评估报告 可能的控制清单 成本效益分析 所选择的安全控制 责任人清单 安全措施实现计划 步骤2：评估所建议的安全选项 可用性、有效性 步骤3：实施成本效益分析 步骤4：选择安全控制 步骤5：分配责任 步骤6：制定安全措施的实现计划 风险及相关风险的级别 优先级排序后的行动 所建议的控制 所选择的预期控制 责任人员 开始日期 目标完成日期 维护要求 步骤7：实现所选择的安全控制 残余风险 风险减缓方法流程： 降低威胁能力 降低脆弱性 新增或强化 安全措施 残余风险 能接受？ 降低负面影响 维 持 是 否 应急规划 计 划 流 程 技 术 基础信息网络 重要信息系统 应急规划： 同IT应急计划；涉及到IT系统破坏；不关注业务过程 提供恢复主应用或通用支撑系统的流程和能力 支持连续性计划 涉及到被认为是最关键的机构使命子集；通常在总部级制定；不关注IT 提供在30天之内在备用站点保持机构必要的战略功能的能力 运行连续性计划 涉及到业务过程；并不关注IT；仅限据其对业务过程的支持而涉及到IT 提供灾难发生后立即恢复业务运行的流程 业务恢复/再继续计划 涉及到业务过程，并由于其对业务过程的支持而涉及到IT 提供在从严重破坏中恢复时保持必要的业务运行的流程 业务连续性计划 范 围 目 的 计 划 应急计划类型（1/2）： 关注针对特定设施的特殊人员和财产；而不是基于业务过程或IT 系统功能 提供经过协调的流程，从而在应对物理威胁时,将生命损失和伤害降到最低，并保护财产免遭损害 拥有者应急计划 经常关注IT,限于会带来长时间破坏影响的主要破坏 为帮助在备用站点实现能力恢复提供详细流程 灾难恢复计划 关注于对影响系统和/或网络的事件的信息安全响应 为检测、响应恶意计算机事件，并限制其后果提供战略 计算机事件响应计划 涉及到和人员及公众的沟通,不关注IT 提供将状态报告分发给员工和公众的流程 危机沟通计划 范 围 目 的 计 划 应急计划类型（2/2）： 不同计划之间的关系： 应急贯穿系统全生命周期： 开发/采办阶段 实现阶段 运行/维护阶段 启动阶段 废弃阶段 进行测试 计划的培训、演习 随时准备 实现原系统 确定应急需求 确定应急方案 （二）应急规划过程 1、