计算机信息安全风险评估概述.ppt

信息安全风险评估概述;1 信息安全风险评估发展概况;1.1 美国信息安全风险评估发展概况; 表5-1 风险评估发展过程;1.1 美国信息安全风险评估发展概况;1 信息安全风险评估发展概况;2 信息安全风险评估的目的和意义;2 信息安全风险评估的目的和意义;3．信息安全风险评估是需求主导和突出重点原则的具体体现 风险是客观存在的，试图完全消灭风险或完全避免风险是不现实的，要根据信息及信息系统的价值、威胁的大小和可能出现的问题的严重程度，以及在信息化建设不同阶段的信息安全要求，坚持从实际出发、需求主导、突出重点、分级防护，科学评估风险并有效地控制风险。 4．信息安全风险评估是组织机构实现信息系统安全的重要步骤 通过信息安全风险评估，可全面、准确地了解组织机构的安全现状,发现系统的安全问题及其可能的危害，分析信息系统的安全需求,找出目前的安全策略和实际需求的差距，提供严谨的安全理论依据和完整、规范的指导模型。;3 信息安全风险评估的原则;3．最小影响原则 从项目管理层面和工具技术层面，力求将风险评估对信息系统的正常运行的可能影响降低到最低限度。 4．必威体育官网网址原则 与评估对象签署必威体育官网网址协议和非侵害性协议，要求参与评估的单位或个人对评估过程和结果数据严格必威体育官网网址，未经授权不得泄露给任何企业和个人。 ;4 信息安全风险评估的概念;4 信息安全风险评估的概念;4.3 信息安全风险评估的两种方式;4.4 信息安全风险评估的分类;4.4 信息安全风险评估的分类;5 国外信息安全风险评估标准;5.1 OCTAVE;其核心是自主原则，即由组织内部的人员管理和指导该组织的信息安全风险评估。信息安全是组织内每个人的职责，而不只是IT部门的职责。组织内部的人员需要负责信息安全评估活动，并对改进信息安全的工作做出决策。 OCTAVE使组织能够理清复杂的组织问题和技术问题，了解安全问题，改善组织的安全状况并解决信息安全风险，而无需过分依赖外部专家和厂商。OCTAVE包括两种具体方法：面向大型组织的OCTAVE Method和面向小型组织的OCTAVE-S。 ;5.1.2 OCTAVE Method;OCTAVE Method包括3个阶段8个过程： 第1阶段：建立基于资产的威胁配置文件 第2阶段：识别基础设施的薄弱点 第3阶段：开发安全策略和计划 ;第一阶段主要由4个过程组成： · 过程1：收集高层管理部门的观点。参与者为组织的高层管理人员； · 过程2：收集业务区域管理部门的观点。参与者为组织业务区域（即中层管理部门）的经理； · 过程3：收集员工的观点。参与者是组织的一般员工，信息技术部门的员工通常与一般的员工分开，参与一个独立的讨论会； · 过程4: 建立威胁配置文件。包括整理过程1～过程3中所收集的信息、选择关键资产、提炼关键资产的安全需求、标识对关键资产构成影响的威胁等工作。 通用的配置文件是基于关键资产的威胁树。; 第二阶段中，对当前信息基础设施的评价，包括数据收集和分析活动。 本阶段主要由2个过程组成： ·过程5：识别关键单元，包括识别结构单元的种类、识别要分析的基础设施的结构单元等； ·过程6：评估选定的单元，包括对选定的基础设施的结构单元进行薄弱点检查、对技术薄弱点进行评审并总结。; 第三阶段：开发安全策略和计划 第3阶段旨在理解迄今为止在评估过程中收集到的信息，即分析风险。 本阶段主要由2个过程组成： ·过程7：执行风险分析，包括识别关键资产的威胁所产生的影响、制定风险评估标准、评估关键资产的威胁所产生的影响等； ·过程8：开发保护策略，评估小组开发整个组织的保护策略，该策略注重于提高组织的安全实践，以及关键资产的重要风险的削减计划。 ;5.1.3 OCTAVE-S; 1．第1阶段：建立资产的威胁描述文件 本阶段主要由2个过程组成： · 过程S1：收集组织信息。分析小组应识别与组织重要信息相关的资产，确定一组评估标准，并定义组织当前的安全实践状况； · 过程S2: 建立威胁描述。分析小组应选择3～5个关键信息资产，并为每个关键信息资产定义相应的安全要求和威胁描述文件。; 2．第2阶段：识别基础设施的薄弱点 本阶段主要由1个过程组成： 过程S3：检查与关键信息资产相关的的计算基础设施。分析小组对关键资产的支持系统中的访问路径进行分析，并确定这些技术措施对关键资产的保护程度； ; 3．第3阶段：开发安全策略和计划 本阶段主要由2个过程组成： ·过程S4：确定和分析风险。分析小组就风险所产生的影响、发生的可能性进行评估； ·过程S5：开发保护策略和风险降低计划。评估小组根据实际情况，开发一个整个组织范围的的保护策略和风险