计算机信息安全风险评估的基本过程.ppt

信息平安风险评估的根本过程;;1信息平安风险评估的过程;信息平安风险评估完整的过程如图7-1所示;2评估准备;2.1确定信息平安风险评估的目标

在信息平安风险评估准备阶段应明确风险评估的目标，为信息平安风险评估的过程提供导向。信息平安需求是一个组织为保证其业务正常、有效运转而必须到达的信息平安要求，通过分析组织必须符合的相关法律法规、组织在业务流程中对信息平安等的必威体育官网网址性、完整性、可用性等方面的需求，来确定信息平安风险评估的目标。;;;;;;;3识别并评价资产;资产识别活动中，可能会用到工具有以下几种。

1．资产管理工具

2．主动探测工具

3．手工记录表格;3.2资产分类

资产的分类并没有严格的标准，在实际工作中，具体的资产分类方法可以根据具体的评估对象和要求，由评估者灵活把握，表7-2列出了一种根据资产的表现形式的资产分类方法。;分类;定性分析

定性风险评估一般将资产按其对于业务的重要性进行赋值，结果是资产的重要度列表。资产的重要度一般定义为“高〞、“中〞、“低〞等级别，或直接用数字1～3表示。组织可以按照自己的实际情况选择3个级别、5个级别等，表7-3给出了5级分法的资产重要性等级划分表。;等级;信息平安风险评估中资产的价值不是以资产的经济价值来衡量，而是以资产的必威体育官网网址性、完整性和可用性三个平安属性为根底进行衡量。资产在必威体育官网网址性、完整性和可用性三个属性上的要求不同，那么资产的最终价值也不同，表7-4、表7-5、表7-6分别给出了资产的必威体育官网网址性、完整性和可用性的赋值表。;赋值;赋值;赋值;;3.4输出结果

在资产划分的根底上，再进行资产的统计、汇总，形成完备的?资产及评价报告?。;4识别并评估威胁;威胁识别活动中，可能会用到工具有以下几种：

1．IDS采样分析

2．日志分析

3．人员访谈

;4.2威胁分类

在对威胁进行分类前，首先要考虑威胁的来源。

;表7-8威胁来源列表;;4.3威胁赋值

识别资产面临的威胁后，还应该评估威胁出现的频率。威胁出现??频率是衡量威胁严重程度的重要因素。;表7-10威胁赋值表;;5识别并评估脆弱性;;

表7-14脆弱性分类表;;;表7-16脆弱性列表例如;6识别平安措施;;;构成风险的要素有4个：资产、威胁、脆弱性和平安措施，在识别了这4个要素之后，存在什么风险就可以显现了。

评价风险有2个关键因素：一个是威胁对信息资产造成的影响，另一个是威胁发生的可能性。

定性的分析产生影响和可能性的级别，定量的分析产生相应的损失大小和发生概率。;7.1分析可能性

根据威胁出现频率及脆弱性状况，计算威胁利用脆弱性导致平安事件发生的可能性，即：平安事件发生的可能性=L(威胁出现频率，脆弱性)＝L(T，V)

目前，定量分析可能性要用到的数据贫乏，很难实现，多采用定性分析的方法。;表7-17可能性级别定义;7.2分析影响

根据资产重要程度及脆弱性严重程度，计算平安事件一旦发生后的损失，即：平安事件的影响=F(资产重要程度，脆弱性严重程度)＝F(Ia，Va)

影响级别是威胁一次成功地利用脆弱性后对组织造成的不期望的后果或损失的相对等级。;表7-18影响级别定义;8风险计算;8风险计算;常用的风险评估方法有矩阵法和相乘法。

注：实际上，L不仅与威胁和脆弱性有关部门，还与采取的控制措施Ct有关；F亦与Ct有关。有效的控制措施可以减少或降低L和F的值或等级，为简单起见，这里不考虑控制措施的影响。;8.1使用矩阵法计算风险

矩阵法主要适用于由两个要素值确定一个要素值的情形，假设：

x={x1,x2,…,xi,…,xm},1≤