某通信公司网络信息安全培训课程.ppt

威胁分类（示例） 判断威胁出现的频率是威胁赋值的重要内容，评估者应根据经验和（或）有关的统计数据来进行判断。 威胁赋值 威胁发生可能性 1）脆弱性识别内容 2）脆弱性分类 3）脆弱性赋值 4）脆弱性等级 脆弱性识别阶段的主要任务 脆弱性识别主要从技术和管理两个方面进行，技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理和组织管理两方面，前者与具体技术活动相关，后者与管理环境相关。 脆弱性主要识别内容 脆弱性分类 可以根据对资产的损害程度、技术实现的难易程度、弱点的流行程度，采用等级方式对已识别的脆弱性的严重程度进行赋值。 脆弱性赋值 脆弱性等级 已有安全措施的确认 在识别脆弱性的同时，评估人员应对已采取的安全措施的有效性进行确认，即安全措施是否真正地降低了系统的脆弱性，抵御了威胁。安全措施可以分为预防性安全措施和保护性安全措施两种。 1）风险计算 2）风险等级 3）风险处理计划 风险分析阶段的主要任务 风险计算 在完成了资产识别、威胁识别、脆弱性识别，以及对已有安全措施确认后，应采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性。综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，即安全风险。 风险分析原理图 风险分析原理的形式化范式： 风险值=R（A，T，V）= R(L(T，V)，F(Ia，Va )) 其中，R表示安全风险计算函数；A表示资产；T表示威胁；V表示脆弱性；Ia表示安全事件所作用的资产重要程度；Va表示脆弱性严重程度；L表示威胁利用资产的脆弱性导致安全事件发生的可能性；F表示安全事件发生后产生的损失。 有以下三个关键的计算环节： 　 一是计算安全事件发生的可能性 　　根据威胁出现频率及脆弱性状况，计算威胁利用脆弱性导致安全事件发生的可能性，即： 安全事件发生的可能性＝L(威胁出现频率，脆弱性) ＝L(T，V ) 　　 二是计算安全事件发生后的损失 　　根据资产重要程度及脆弱性严重程度，计算安全事件发生后的损失，即： 安全事件的损失＝F(资产重要程度，脆弱性严重程度) ＝F(Ia，Va ) 三是计算风险值 　　根据计算出的安全事件发生的可能性以及安全事件的损失，计算风险值，即： 风险值＝R(安全事件发生的可能性，安全事件的损失) 　　　　 ＝R(L(T，V)，F(Ia，Va )) 　　　　 风险等级的确定 以上标准中的资产、威胁、脆弱性和风险的等级划分，遵照了由公安部、国家必威体育官网网址局、国家密码管理局和国务院信息化工作办公室四部委联合颁发的66号文件的精神。 　 系统管理者应综合考虑风险控制成本与风险造成的影响，提出一个可接受风险范围。对某些风险，如果评估值在可接受风险范围内，可以保持已有的安全措施；如果评估值超出了可接受风险值的范围，则需要采取安全措施以降低、控制风险。 风险处理计划 　 对不可接受的风险应根据导致该风险的脆弱性制定风险处理计划。风险处理计划中明确应采取的弥补弱点的安全措施、预期效果、实施条件、进度安排、责任部门等。 在对于不可接受的风险选择适当安全措施后，为确保安全措施的有效性，可进行再评估，以判断实施安全措施后的残余风险是否已经降低到可接受的水平。 某些风险可能在选择了适当的安全措施后，残余风险的结果仍处于不可接受的风险范围内，应考虑是否接受此风险或进一步增加相应的安全措施。　 　　国信办[2006]5号文件指出：信息安全风险评估应贯穿于网络与信息系统建设运行的全过程。在网络与信息系统的设计、验收及运行维护阶段均应当进行信息安全风险评估。如在网络与信息系统规划设计阶段，应通过信息安全风险评估进一步明确安全需求和安全目标。 信息安全风险评估分为自评估、检查评估两种形式。自评估为主，自评估和检查评估相互结合、互为补充。自评估和检查评估可依托自身技术力量进行，也可委托第三方机构提供技术支持。 以上是《信息安全风险评估指南》的主要内容 中国移动风险自评估将向何处发展？ 风险自评估（FUTURE？） 将风险评估和改进融入到业务系统设计、产品开发、入网测试和运维工作中去，这是我们安全工作的目标。 结合现有人员