風(fēng)險(xiǎn)評(píng)估流程

1、風(fēng)險(xiǎn)評(píng)估流程（總3頁）-本頁僅作為文檔封面，使用時(shí)請直接刪除即可-內(nèi)頁可以根據(jù)需求調(diào)整合適字體及大小-l險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)管理的基礎(chǔ)，是組織確定信息安全要求的途徑之一，屈于企業(yè)信息安全管理 體系策劃的過程。通過風(fēng)險(xiǎn)評(píng)估識(shí)別企業(yè)所面臨的安全風(fēng)險(xiǎn)并確定風(fēng)險(xiǎn)控制的優(yōu)先等級(jí)，從而 對其實(shí)施有效控制，將風(fēng)險(xiǎn)控制在企業(yè)可以接受的范圍之內(nèi)。1、在風(fēng)險(xiǎn)評(píng)估中，考慮的主要因素包括：1）信息資產(chǎn)及其價(jià)值2）對這些資產(chǎn)的威脅，以及它們發(fā)生的可能性3）薄弱點(diǎn)4）已有的安全控制措施2、風(fēng)險(xiǎn)評(píng)估的基本流程如下：1）按照企業(yè)商務(wù)運(yùn)作流程進(jìn)行信息資產(chǎn)識(shí)別，并根據(jù)估價(jià)原 則對信息資產(chǎn)進(jìn)行估價(jià)2）根據(jù)資產(chǎn)所處的環(huán)境進(jìn)行威脅

2、識(shí)別與評(píng)價(jià)3）對應(yīng)每一個(gè)威脅，對 資產(chǎn)或組織存在的薄弱點(diǎn)進(jìn)行識(shí)別與評(píng)價(jià)4）對以采取的安全控制進(jìn)行確認(rèn)5）建立風(fēng)險(xiǎn)測 呈的方法及風(fēng)險(xiǎn)等級(jí)評(píng)價(jià)原則，確定風(fēng)險(xiǎn)的大小與等級(jí)風(fēng)險(xiǎn)評(píng)估的形式風(fēng)險(xiǎn)評(píng)估的形式按照評(píng)估實(shí)施者的不同，可將風(fēng)險(xiǎn)評(píng)估形式分為自評(píng)估和檢查評(píng)估兩大類。自評(píng)估是由被評(píng)估信息系統(tǒng)的擁有者依靠自身的力量對其自身的信息系統(tǒng)進(jìn)行的風(fēng) 險(xiǎn)評(píng)估活動(dòng)。檢查評(píng)估則通當(dāng)是被評(píng)估信息系統(tǒng)的擁有者的上級(jí)主管機(jī)關(guān)或業(yè)務(wù)主管機(jī)關(guān) 發(fā)起的，旨在依據(jù)已經(jīng)頒布的法規(guī)或標(biāo)準(zhǔn)進(jìn)行的，具有強(qiáng)制意味的檢查活動(dòng)，是通過行政手段 加強(qiáng)信息安全的重要措施。自評(píng)估和檢查評(píng)估都可以通過信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)機(jī)構(gòu)進(jìn)行風(fēng) 險(xiǎn)評(píng)估的咨詢、服務(wù)、培

3、訓(xùn)以及風(fēng)險(xiǎn)評(píng)估有關(guān)工具的提供。而自評(píng)估是企業(yè)嵌不可或缺的安全 評(píng)估方式，它是檢查評(píng)估的基礎(chǔ)和必要條件。不論是保證企業(yè)日'常信息系統(tǒng)的正常運(yùn)行，還是 滿足上級(jí)檢查評(píng)估，自評(píng)估都發(fā)揮著舉足輕重的作用。風(fēng)險(xiǎn)評(píng)估的流程項(xiàng)目啟動(dòng)T類風(fēng)險(xiǎn)識(shí)別P類風(fēng)險(xiǎn)識(shí)別E類風(fēng)險(xiǎn)識(shí)別漏洞掃描人工審核網(wǎng)壽撲調(diào)研訪談間卷調(diào)查網(wǎng)絡(luò)安全現(xiàn)狀報(bào)告安全評(píng)估報(bào)告網(wǎng)絡(luò)安全建議一般來說，電信IP網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估實(shí)施過程主要包括以下兒個(gè)階段：1.確定評(píng)估范圉：調(diào)查并了解IP網(wǎng)絡(luò)節(jié)點(diǎn)的網(wǎng)絡(luò)拓?fù)?、評(píng)估對象、系統(tǒng)業(yè)務(wù)流程和運(yùn) 行環(huán)境，確定評(píng)估范圍的邊界以及范圉內(nèi)所有的評(píng)估對象；2.資產(chǎn)識(shí)別和估價(jià)：對評(píng)估范圉內(nèi)的所有電信資產(chǎn)進(jìn)行調(diào)查和識(shí)別，并根據(jù)該資產(chǎn)在網(wǎng)絡(luò)中 的位置作用、所承載業(yè)務(wù)系統(tǒng)的重要性、所存儲(chǔ)數(shù)據(jù)的重要程度等因素，對各 資產(chǎn)的相對價(jià)值進(jìn)行評(píng)估和賦值；3.安全漏洞評(píng)估：主要通過工具掃描、手工檢查、滲透測試、拓?fù)浞治龅仁侄螌W(wǎng)絡(luò)層、系統(tǒng)層以及應(yīng)用層面的各種 安全漏洞進(jìn)行識(shí)別和評(píng)估；4安全威脅評(píng)估：通過問卷調(diào)查、IDS取樣、日志分析等方式識(shí)別出資產(chǎn)所面臨的各種威脅，并評(píng)估它們發(fā)生的可能性；5.安全管理調(diào)查：通過調(diào)研、問卷調(diào)查和人員訪談等方式對節(jié)點(diǎn)安全管理措施的 完備性和有效性進(jìn)行評(píng)估；6.物理安全檢查：通過前往機(jī)房現(xiàn)場進(jìn)行檢查、人員訪談、問卷調(diào)查等方式對物理環(huán)境安全進(jìn)行檢查和評(píng)估；7.風(fēng)險(xiǎn)