信息安全风险评估方法与相关实践.ppt

信息安全风险评估方法与相关实践 风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施 风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施 风险评估概述 （一） 风险评估概述（二） 风险评估概述（三） 风险： 特定威胁利用某一资产或一组资产的脆弱性，从而对组织产生损害的可能性。 风险评估概述（四） 风险评估概述（五） 风险评估是： 对信息系统的维护、管理、操作过程等进行分析 鉴别存在的脆弱性以及可能利用脆弱性的威胁 评价是否实施和维护了适当的安全措施 鉴别存在的风险以及风险发生的可能性和影响 选择将风险降低到组织可接受级别的安全措施 在评估过程中： 信息系统评估人员要获得充分的、可靠的、有关的和有用的证据，以有效完成评估目标。 通过对证据进行适当的分析和解释，从而支持评估结果和结论。 风险评估的相关概念 资产评估 风险关系图 风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施 安全风险管理现状 大型企业和政府组织 地域分布，网络规模庞大 业务应用日益复杂 安全风险多样化 外部威胁 内部威胁 分散的管理 没有完整的企业风险视图 增加管理成本和管理难度 难以执行统一的安全策略 管理孤岛难以阻挡风险的引入和蔓延 风险管理要求 以资产为核心的安全管理体系 资产价值 资产安全环境 资产风险 资产风险变化 集中管理 统一的安全策略 多级安全风险管理 安全风险视图 安全风险控制 安全风险监控 风险管理的对象 风险管理的内容和过程 信息安全目标 风险管理安全目标生命周期 角色和责任 风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施 常见评估方法 常见评估方法——SP800-30 SP800-30（Risk Management Guide for Information Technology Systems）——信息技术系统风险管理指南 提供了进行风险评估工作需要考虑的基本因素，包括资产、脆弱性、威胁、现有控制措施； 然后基于这些信息确定威胁发生的可能性和影响，从而确定组织所面临的风险级别，并针对不可接受风险提供相应的控制措施建议。 步骤1－系统特性分析：收集有价值的系统信息，如硬件、软件、系统接口、数据信息、相关人员、系统功能、系统数据重要程度等。 步骤2－脆弱性鉴别：列举出系统所存在的脆弱性。 步骤3－威胁鉴别：确定威胁源（如自然威胁、人为威胁、环境威胁等）以及各威胁源相应的动机和威胁形式。 步骤4－控制措施分析：对已经实施的或即将实施的用于降低系统被危害的可能性的风险控制方法进行分析。 步骤5－可能性确定：判断并确定威胁发生的可能性。 步骤6－影响分析：分析如果威胁发生，将会发生什么影响以及影响程度。 步骤7－风险确定：通过考虑威胁发生的可能性及相应的影响来确定风险的级别。 步骤8－控制措施建议：此时需要提出需要采用的控制手段的建议，以便使系统的风险控制在可以接受的范围之内。 步骤9－结果文档：风险评估完成后，所有的评估结果都应该正式记录在案。这一步骤就是将所有的评估结果进行记录。 优点： 明确指出在判断可能性时，需要考虑现有控制措施的效力，也就是目前所实施的控制措施是否将降低威胁发生的可能性。 而其它许多风险评估方法在判断可能性时，却基本没考虑到现有措施对威胁发生可能性的作用。 不足： 在进行影响判断时，只考虑到系统的使命、系统和数据的关键性以及敏感性，而没有考虑到现有控制措施也有可能降低威胁发生的影响。 常见评估方法——OCTAVE OCTAVE（The Operationally Critical Threat, Asset, and Vulnerability Evaluation）——可操作的关键威胁、资产和脆弱性评价 通过分析组织的关键资产、威胁和脆弱性、来实现对组织的信息安全进行全面评估。 第1阶段：创建基于资产的威胁轮廓 过程1：识别高层管理人员认识 过程2：识别运营区域管理人员认识 过程3：识别职员认识 过程4：创建威胁轮廓 第2阶段：识别基础设施脆弱性 过程5：识别关键组件 过程6：评估所选择的组件 第3阶段：开发安全策略和计划 过程7：进行风险分析 过程8：制定防护策略 优点： 明确指出要成功进行一个有效的风险评估，必须组织各级别人员（高层管理人员、运营区域管理人员、IT技术人员和一般职员）参与评估活动，而不仅仅是IT技术人员。 不足： 鉴别威胁的方