風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)流程常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)險(xiǎn)工具課件

信息安全管理信息安全管理風(fēng)險(xiǎn)評(píng)估的主要?dú)v程風(fēng)險(xiǎn)概述

風(fēng)險(xiǎn)評(píng)估流程

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)評(píng)估的主要?dú)v程風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)評(píng)估流程常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)管理概述

風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)處理

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)管理概述風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)處理常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)險(xiǎn)概述信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)要素相互間的關(guān)系概述信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素資產(chǎn)－對(duì)組織具有價(jià)值的信息資源，是安全策略保護(hù)的對(duì)象。

威脅－可能對(duì)資產(chǎn)或組織造成損害的潛在原因。脆弱點(diǎn)－可能被威脅利用對(duì)資產(chǎn)造成損害的薄弱環(huán)節(jié)。

風(fēng)險(xiǎn)－人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導(dǎo)致安全事件及其對(duì)組織造成的影響。

影響－威脅利用資產(chǎn)的脆弱點(diǎn)導(dǎo)致不期望發(fā)生事件的后果。安全措施－保護(hù)資產(chǎn)、抵御威脅、減少脆弱性、降低安全事件的影響，以及打擊信息犯罪而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制的總稱。

安全需求－為保證組織業(yè)務(wù)戰(zhàn)略的正常運(yùn)作而在安全措施方面提出的要求。

信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素資產(chǎn)－對(duì)組織具有價(jià)值的信息資源，是安信息安全風(fēng)險(xiǎn)評(píng)估

依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過程。它要評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來(lái)判斷安全事件一旦發(fā)生對(duì)組織造成的影響。

信息安全風(fēng)險(xiǎn)評(píng)估依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息風(fēng)險(xiǎn)要素關(guān)系圖

安全措施

抵御業(yè)務(wù)戰(zhàn)略脆弱性安全需求威脅風(fēng)險(xiǎn)殘余風(fēng)險(xiǎn)安全事件依賴具有被滿足利用暴露降低增加加依賴增加導(dǎo)出演變

未被滿足未控制可能誘發(fā)殘留成本資產(chǎn)資產(chǎn)價(jià)值風(fēng)險(xiǎn)要素關(guān)系圖安全措施抵御業(yè)務(wù)戰(zhàn)略脆弱性安全需求威風(fēng)險(xiǎn)評(píng)估的主要?dú)v程風(fēng)險(xiǎn)概述

風(fēng)險(xiǎn)評(píng)估流程

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)評(píng)估的主要?dú)v程風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)評(píng)估流程常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)評(píng)估流程圖資產(chǎn)識(shí)別與評(píng)估威脅識(shí)別與評(píng)估脆弱點(diǎn)識(shí)別與評(píng)估已有安全措施的確認(rèn)風(fēng)險(xiǎn)分析安全措施的選取風(fēng)險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)評(píng)估流程圖風(fēng)險(xiǎn)評(píng)估流程圖風(fēng)險(xiǎn)評(píng)估流程圖資產(chǎn)識(shí)別與評(píng)估資產(chǎn)識(shí)別資產(chǎn)識(shí)別內(nèi)容表。資產(chǎn)識(shí)別的方法主要有訪談、現(xiàn)場(chǎng)調(diào)查、問卷、文檔查閱等。資產(chǎn)評(píng)估對(duì)資產(chǎn)的賦值不僅要考慮資產(chǎn)本身的價(jià)值，更重要的是要考慮資產(chǎn)的安全狀況對(duì)于組織的重要性，即由資產(chǎn)在其三個(gè)安全屬性上的達(dá)成程度決定。資產(chǎn)重要性等級(jí)劃分表。資產(chǎn)識(shí)別與評(píng)估資產(chǎn)識(shí)別威脅識(shí)別與評(píng)估威脅識(shí)別威脅源及表現(xiàn)形式不同的威脅源能造成不同形式危害，應(yīng)對(duì)相關(guān)資產(chǎn)，考慮上述威脅源可能構(gòu)成的威脅。威脅評(píng)估威脅頻率等級(jí)劃分為五級(jí)，分別代表威脅出現(xiàn)的頻率的高低。等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高。威脅等級(jí)表威脅識(shí)別與評(píng)估威脅識(shí)別脆弱點(diǎn)識(shí)別與評(píng)估脆弱點(diǎn)識(shí)別威脅總是要利用資產(chǎn)的弱點(diǎn)才可能造成危害。脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行。脆弱性識(shí)別所采用的方法主要有：?jiǎn)柧碚{(diào)查、工具檢測(cè)、人工核查、文檔查閱、滲透性測(cè)試等。

脆弱點(diǎn)評(píng)估根據(jù)對(duì)資產(chǎn)損害程度、技術(shù)實(shí)現(xiàn)的難易程度、弱點(diǎn)流行程度，采用等級(jí)方式對(duì)已識(shí)別的脆弱性的嚴(yán)重程度進(jìn)行賦值。對(duì)某個(gè)資產(chǎn)，其技術(shù)脆弱性的嚴(yán)重程度受到組織的管理脆弱性的影響。

脆弱點(diǎn)識(shí)別與評(píng)估脆弱點(diǎn)識(shí)別已有安全措施的確認(rèn)對(duì)已采取的安全措施的有效性進(jìn)行確認(rèn)，對(duì)有效的安全措施繼續(xù)保持，或者用更合適的安全措施替代。安全措施可以分為預(yù)防性安全措施和保護(hù)性安全措施兩種。如入侵檢測(cè)系統(tǒng)；如業(yè)務(wù)持續(xù)性計(jì)劃。已有安全措施的確認(rèn)與脆弱性識(shí)別存在一定的聯(lián)系。已有安全措施的確認(rèn)對(duì)已采取的安全措施的有效性進(jìn)行確認(rèn)，對(duì)有效風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)計(jì)算影響分析可能性分析風(fēng)險(xiǎn)值=R(安全事件發(fā)生的可能性，安全事件的損失)＝R(L(T，V)，F(xiàn)(Ia，Va))其中，R表示安全風(fēng)險(xiǎn)計(jì)算函數(shù)；A表示資產(chǎn)；T表示威脅；V表示脆弱性；Ia表示安全事件所作用的資產(chǎn)重要程度；Va表示脆弱性嚴(yán)重程度；L表示威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件發(fā)生的可能性；F表示安全事件發(fā)生后產(chǎn)生的損失。風(fēng)險(xiǎn)等級(jí)劃分風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)計(jì)算風(fēng)險(xiǎn)分析示意圖威脅識(shí)別脆弱性識(shí)別威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)的重要性安全事件的損失風(fēng)險(xiǎn)值資產(chǎn)識(shí)別安全事件的可能性風(fēng)險(xiǎn)分析示意圖威脅識(shí)別脆弱性識(shí)別威脅出現(xiàn)脆弱性的資產(chǎn)的安全事安全措施的選取安全措施可以降低、控制風(fēng)險(xiǎn)。安全措施的選擇應(yīng)兼顧管理與技術(shù)兩個(gè)方面。在對(duì)于不可接受風(fēng)險(xiǎn)選擇適當(dāng)?shù)陌踩胧┖螅瑸榇_保安全措施的有效性，可進(jìn)行再評(píng)估，以判斷實(shí)施安全措施后的殘余風(fēng)險(xiǎn)是否已經(jīng)降低到可接受的水平。

安全措施的選取安全措施可以降低、控制風(fēng)險(xiǎn)。安全措施的選擇應(yīng)兼風(fēng)險(xiǎn)評(píng)估文件記錄（一）（1）風(fēng)險(xiǎn)評(píng)估計(jì)劃：闡述風(fēng)險(xiǎn)評(píng)估的目標(biāo)、范圍、團(tuán)隊(duì)、評(píng)估方法、評(píng)估結(jié)果的形式和實(shí)施進(jìn)度等；（2）風(fēng)險(xiǎn)評(píng)估程序：明確評(píng)估的目的、職責(zé)、過程、相關(guān)的文件要求，并且準(zhǔn)備實(shí)施評(píng)估需要的文檔；（3）資產(chǎn)識(shí)別清單：根據(jù)組織在風(fēng)險(xiǎn)評(píng)估程序文件中所確定的資產(chǎn)分類方法進(jìn)行資產(chǎn)識(shí)別，形成資產(chǎn)識(shí)別清單，清單中應(yīng)明確各資產(chǎn)的責(zé)任人/部門；（4）重要資產(chǎn)清單：根據(jù)資產(chǎn)識(shí)別和賦值的結(jié)果，形成重要資產(chǎn)列表，包括重要資產(chǎn)名稱、描述、類型、重要程度、責(zé)任人/部門等；（5）威脅列表：根據(jù)威脅識(shí)別和賦值的結(jié)果，形成威脅列表，包括威脅名稱、種類、來(lái)源、動(dòng)機(jī)及出現(xiàn)的頻率等；

風(fēng)險(xiǎn)評(píng)估文件記錄（一）（1）風(fēng)險(xiǎn)評(píng)估計(jì)劃：闡述風(fēng)險(xiǎn)評(píng)估的目標(biāo)風(fēng)險(xiǎn)評(píng)估文件記錄（二）（6）脆弱性列表：根據(jù)脆弱性識(shí)別和賦值的結(jié)果，形成脆弱性列表，包括脆弱性名稱、描述、類型及嚴(yán)重程度等；（7）已有安全措施確認(rèn)表：根據(jù)已采取的安全措施確認(rèn)的結(jié)果，形成已有安全措施確認(rèn)表，包括已有安全措施名稱、類型、功能描述及實(shí)施效果等；（8）風(fēng)險(xiǎn)評(píng)估報(bào)告：對(duì)整個(gè)風(fēng)險(xiǎn)評(píng)估過程和結(jié)果進(jìn)行總結(jié)，詳細(xì)說(shuō)明被評(píng)估對(duì)象，風(fēng)險(xiǎn)評(píng)估方法，資產(chǎn)、威脅、脆弱性的識(shí)別結(jié)果，風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)統(tǒng)計(jì)和結(jié)論等內(nèi)容；（9）風(fēng)險(xiǎn)處理計(jì)劃：對(duì)評(píng)估結(jié)果中不可接受的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處理計(jì)劃，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施，明確責(zé)任、進(jìn)度、資源，并通過對(duì)殘余風(fēng)險(xiǎn)的評(píng)價(jià)確保所選擇安全措施的有效性；（10）風(fēng)險(xiǎn)評(píng)估記錄：根據(jù)組織的風(fēng)險(xiǎn)評(píng)估程序文件，記錄對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)評(píng)估過程。風(fēng)險(xiǎn)評(píng)估文件記錄（二）（6）脆弱性列表：根據(jù)脆弱性識(shí)別和賦值風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理是一種系統(tǒng)化方法，可通過多種方式實(shí)現(xiàn)：風(fēng)險(xiǎn)承受風(fēng)險(xiǎn)降低風(fēng)險(xiǎn)規(guī)避風(fēng)險(xiǎn)轉(zhuǎn)移風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理是一種系統(tǒng)化方法，可通過多種方式實(shí)現(xiàn)：風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理的針對(duì)性針對(duì)威脅源針對(duì)威脅者的能力針對(duì)威脅者的資源針對(duì)威脅者的途徑風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理的針對(duì)性風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)管理概述

風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)處理

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)管理概述風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)處理常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)矩陣測(cè)量法這種方法的特點(diǎn)是事先建立資產(chǎn)價(jià)值、威脅等級(jí)和脆弱性等級(jí)的一個(gè)對(duì)應(yīng)矩陣，預(yù)先將風(fēng)險(xiǎn)等級(jí)進(jìn)行了確定。然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險(xiǎn)。使用本方法需要首先確定資產(chǎn)、威脅和脆弱性的賦值，要完成這些賦值，需要組織內(nèi)部的管理人員、技術(shù)人員、后勤人員等方面的配合常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)矩陣測(cè)量法常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)險(xiǎn)計(jì)算方法威脅分級(jí)計(jì)算法這種方法是直接考慮威脅、威脅對(duì)資產(chǎn)產(chǎn)生的影響以及威脅發(fā)生的可能性來(lái)確定風(fēng)險(xiǎn)。常用風(fēng)險(xiǎn)計(jì)算方法威脅分級(jí)計(jì)算法常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)綜合評(píng)價(jià)法這種方法中風(fēng)險(xiǎn)由威脅產(chǎn)生的可能性、威脅對(duì)資產(chǎn)的影響程度以及已經(jīng)存在的控制措施三個(gè)方面來(lái)確定。與風(fēng)險(xiǎn)矩陣法和威脅分級(jí)法不同，本方法將控制措施的采用引入風(fēng)險(xiǎn)的評(píng)價(jià)之中。常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)綜合評(píng)價(jià)法常用風(fēng)險(xiǎn)計(jì)算方法安全屬性矩陣法這種方法將資產(chǎn)的三個(gè)安全屬性（完整性、機(jī)密性、可用性）與兩個(gè)安全風(fēng)險(xiǎn)（意外事件、故意行為）聯(lián)系到一起形成一個(gè)風(fēng)險(xiǎn)矩陣常用風(fēng)險(xiǎn)計(jì)算方法安全屬性矩陣法風(fēng)險(xiǎn)管理概述

風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)處理

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)管理概述風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)處理常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)常用風(fēng)險(xiǎn)評(píng)估工具風(fēng)險(xiǎn)評(píng)估輔助工具風(fēng)險(xiǎn)評(píng)估輔助工具主要用來(lái)收集評(píng)估所需要的數(shù)據(jù)和資料，幫助完成現(xiàn)狀分析和趨勢(shì)分析。

如入侵監(jiān)測(cè)系統(tǒng)，幫助檢測(cè)各種攻擊試探和誤操作；同時(shí)也可以作為一個(gè)警報(bào)器，提醒管理員發(fā)生的安全狀況。安全審計(jì)工具主要是用來(lái)記錄網(wǎng)絡(luò)行為，分析系統(tǒng)或網(wǎng)絡(luò)安全現(xiàn)狀，其所提供的審計(jì)記錄為風(fēng)險(xiǎn)評(píng)估提供安全現(xiàn)狀數(shù)據(jù)。

系統(tǒng)軟件評(píng)估工具主要用于對(duì)一些信息系統(tǒng)的部件（如操作系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、網(wǎng)絡(luò)設(shè)備等）的漏洞進(jìn)行分析，或?qū)嵤┗诼┒吹墓簦?/p>

常用的系統(tǒng)軟件評(píng)估工具有：ISSInternetScanner、Nessus、SAINT等。

安全管理評(píng)價(jià)系統(tǒng)根據(jù)一定的安全管理模型，基于專家經(jīng)驗(yàn)，對(duì)輸入輸出進(jìn)行模型分析。

常用的評(píng)估工具包括：CRAMM(CCTARiskAnalysisaridManagementMethod)、COBRA（Consultative,ObjectiveandBi-functionalRiskAnalysis）、ASSET、@RISK等

常用風(fēng)險(xiǎn)評(píng)估工具風(fēng)險(xiǎn)評(píng)估輔助工具風(fēng)險(xiǎn)評(píng)估案例案例介紹資產(chǎn)識(shí)別與評(píng)估威脅識(shí)別與評(píng)估脆弱點(diǎn)識(shí)別與評(píng)估風(fēng)險(xiǎn)分析與等級(jí)劃分安全措施的選取風(fēng)險(xiǎn)評(píng)估案例案例介紹案例介紹

對(duì)于多媒體教學(xué)系統(tǒng)，其安全需求主要表現(xiàn)為系統(tǒng)的可用性，而完整性、機(jī)密性安全需求很低，通常不會(huì)涉及到。風(fēng)險(xiǎn)評(píng)估的目的是通過分析系統(tǒng)面臨的影響系統(tǒng)可用性的安全風(fēng)險(xiǎn)，并選取相應(yīng)的安全措施降低風(fēng)險(xiǎn)。案例介紹對(duì)于多媒體教學(xué)系統(tǒng)，其安全需求主要表現(xiàn)為系統(tǒng)資產(chǎn)識(shí)別與評(píng)估資產(chǎn)識(shí)別與評(píng)估信息安全管理信息安全管理風(fēng)險(xiǎn)評(píng)估的主要?dú)v程風(fēng)險(xiǎn)概述

風(fēng)險(xiǎn)評(píng)估流程

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)評(píng)估的主要?dú)v程風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)評(píng)估流程常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)管理概述

風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)處理

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)管理概述風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)處理常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)險(xiǎn)概述信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)要素相互間的關(guān)系概述信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素資產(chǎn)－對(duì)組織具有價(jià)值的信息資源，是安全策略保護(hù)的對(duì)象。

威脅－可能對(duì)資產(chǎn)或組織造成損害的潛在原因。脆弱點(diǎn)－可能被威脅利用對(duì)資產(chǎn)造成損害的薄弱環(huán)節(jié)。

風(fēng)險(xiǎn)－人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導(dǎo)致安全事件及其對(duì)組織造成的影響。

影響－威脅利用資產(chǎn)的脆弱點(diǎn)導(dǎo)致不期望發(fā)生事件的后果。安全措施－保護(hù)資產(chǎn)、抵御威脅、減少脆弱性、降低安全事件的影響，以及打擊信息犯罪而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制的總稱。

安全需求－為保證組織業(yè)務(wù)戰(zhàn)略的正常運(yùn)作而在安全措施方面提出的要求。

信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素資產(chǎn)－對(duì)組織具有價(jià)值的信息資源，是安信息安全風(fēng)險(xiǎn)評(píng)估

依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過程。它要評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來(lái)判斷安全事件一旦發(fā)生對(duì)組織造成的影響。

信息安全風(fēng)險(xiǎn)評(píng)估依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息風(fēng)險(xiǎn)要素關(guān)系圖

安全措施

抵御業(yè)務(wù)戰(zhàn)略脆弱性安全需求威脅風(fēng)險(xiǎn)殘余風(fēng)險(xiǎn)安全事件依賴具有被滿足利用暴露降低增加加依賴增加導(dǎo)出演變

未被滿足未控制可能誘發(fā)殘留成本資產(chǎn)資產(chǎn)價(jià)值風(fēng)險(xiǎn)要素關(guān)系圖安全措施抵御業(yè)務(wù)戰(zhàn)略脆弱性安全需求威風(fēng)險(xiǎn)評(píng)估的主要?dú)v程風(fēng)險(xiǎn)概述

風(fēng)險(xiǎn)評(píng)估流程

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)評(píng)估的主要?dú)v程風(fēng)險(xiǎn)概述風(fēng)險(xiǎn)評(píng)估流程常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)評(píng)估流程圖資產(chǎn)識(shí)別與評(píng)估威脅識(shí)別與評(píng)估脆弱點(diǎn)識(shí)別與評(píng)估已有安全措施的確認(rèn)風(fēng)險(xiǎn)分析安全措施的選取風(fēng)險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)評(píng)估流程圖風(fēng)險(xiǎn)評(píng)估流程圖風(fēng)險(xiǎn)評(píng)估流程圖資產(chǎn)識(shí)別與評(píng)估資產(chǎn)識(shí)別資產(chǎn)識(shí)別內(nèi)容表。資產(chǎn)識(shí)別的方法主要有訪談、現(xiàn)場(chǎng)調(diào)查、問卷、文檔查閱等。資產(chǎn)評(píng)估對(duì)資產(chǎn)的賦值不僅要考慮資產(chǎn)本身的價(jià)值，更重要的是要考慮資產(chǎn)的安全狀況對(duì)于組織的重要性，即由資產(chǎn)在其三個(gè)安全屬性上的達(dá)成程度決定。資產(chǎn)重要性等級(jí)劃分表。資產(chǎn)識(shí)別與評(píng)估資產(chǎn)識(shí)別威脅識(shí)別與評(píng)估威脅識(shí)別威脅源及表現(xiàn)形式不同的威脅源能造成不同形式危害，應(yīng)對(duì)相關(guān)資產(chǎn)，考慮上述威脅源可能構(gòu)成的威脅。威脅評(píng)估威脅頻率等級(jí)劃分為五級(jí)，分別代表威脅出現(xiàn)的頻率的高低。等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高。威脅等級(jí)表威脅識(shí)別與評(píng)估威脅識(shí)別脆弱點(diǎn)識(shí)別與評(píng)估脆弱點(diǎn)識(shí)別威脅總是要利用資產(chǎn)的弱點(diǎn)才可能造成危害。脆弱性識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行。脆弱性識(shí)別所采用的方法主要有：?jiǎn)柧碚{(diào)查、工具檢測(cè)、人工核查、文檔查閱、滲透性測(cè)試等。

脆弱點(diǎn)評(píng)估根據(jù)對(duì)資產(chǎn)損害程度、技術(shù)實(shí)現(xiàn)的難易程度、弱點(diǎn)流行程度，采用等級(jí)方式對(duì)已識(shí)別的脆弱性的嚴(yán)重程度進(jìn)行賦值。對(duì)某個(gè)資產(chǎn)，其技術(shù)脆弱性的嚴(yán)重程度受到組織的管理脆弱性的影響。

脆弱點(diǎn)識(shí)別與評(píng)估脆弱點(diǎn)識(shí)別已有安全措施的確認(rèn)對(duì)已采取的安全措施的有效性進(jìn)行確認(rèn)，對(duì)有效的安全措施繼續(xù)保持，或者用更合適的安全措施替代。安全措施可以分為預(yù)防性安全措施和保護(hù)性安全措施兩種。如入侵檢測(cè)系統(tǒng)；如業(yè)務(wù)持續(xù)性計(jì)劃。已有安全措施的確認(rèn)與脆弱性識(shí)別存在一定的聯(lián)系。已有安全措施的確認(rèn)對(duì)已采取的安全措施的有效性進(jìn)行確認(rèn)，對(duì)有效風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)計(jì)算影響分析可能性分析風(fēng)險(xiǎn)值=R(安全事件發(fā)生的可能性，安全事件的損失)＝R(L(T，V)，F(xiàn)(Ia，Va))其中，R表示安全風(fēng)險(xiǎn)計(jì)算函數(shù)；A表示資產(chǎn)；T表示威脅；V表示脆弱性；Ia表示安全事件所作用的資產(chǎn)重要程度；Va表示脆弱性嚴(yán)重程度；L表示威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件發(fā)生的可能性；F表示安全事件發(fā)生后產(chǎn)生的損失。風(fēng)險(xiǎn)等級(jí)劃分風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)計(jì)算風(fēng)險(xiǎn)分析示意圖威脅識(shí)別脆弱性識(shí)別威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)的重要性安全事件的損失風(fēng)險(xiǎn)值資產(chǎn)識(shí)別安全事件的可能性風(fēng)險(xiǎn)分析示意圖威脅識(shí)別脆弱性識(shí)別威脅出現(xiàn)脆弱性的資產(chǎn)的安全事安全措施的選取安全措施可以降低、控制風(fēng)險(xiǎn)。安全措施的選擇應(yīng)兼顧管理與技術(shù)兩個(gè)方面。在對(duì)于不可接受風(fēng)險(xiǎn)選擇適當(dāng)?shù)陌踩胧┖?，為確保安全措施的有效性，可進(jìn)行再評(píng)估，以判斷實(shí)施安全措施后的殘余風(fēng)險(xiǎn)是否已經(jīng)降低到可接受的水平。

安全措施的選取安全措施可以降低、控制風(fēng)險(xiǎn)。安全措施的選擇應(yīng)兼風(fēng)險(xiǎn)評(píng)估文件記錄（一）（1）風(fēng)險(xiǎn)評(píng)估計(jì)劃：闡述風(fēng)險(xiǎn)評(píng)估的目標(biāo)、范圍、團(tuán)隊(duì)、評(píng)估方法、評(píng)估結(jié)果的形式和實(shí)施進(jìn)度等；（2）風(fēng)險(xiǎn)評(píng)估程序：明確評(píng)估的目的、職責(zé)、過程、相關(guān)的文件要求，并且準(zhǔn)備實(shí)施評(píng)估需要的文檔；（3）資產(chǎn)識(shí)別清單：根據(jù)組織在風(fēng)險(xiǎn)評(píng)估程序文件中所確定的資產(chǎn)分類方法進(jìn)行資產(chǎn)識(shí)別，形成資產(chǎn)識(shí)別清單，清單中應(yīng)明確各資產(chǎn)的責(zé)任人/部門；（4）重要資產(chǎn)清單：根據(jù)資產(chǎn)識(shí)別和賦值的結(jié)果，形成重要資產(chǎn)列表，包括重要資產(chǎn)名稱、描述、類型、重要程度、責(zé)任人/部門等；（5）威脅列表：根據(jù)威脅識(shí)別和賦值的結(jié)果，形成威脅列表，包括威脅名稱、種類、來(lái)源、動(dòng)機(jī)及出現(xiàn)的頻率等；

風(fēng)險(xiǎn)評(píng)估文件記錄（一）（1）風(fēng)險(xiǎn)評(píng)估計(jì)劃：闡述風(fēng)險(xiǎn)評(píng)估的目標(biāo)風(fēng)險(xiǎn)評(píng)估文件記錄（二）（6）脆弱性列表：根據(jù)脆弱性識(shí)別和賦值的結(jié)果，形成脆弱性列表，包括脆弱性名稱、描述、類型及嚴(yán)重程度等；（7）已有安全措施確認(rèn)表：根據(jù)已采取的安全措施確認(rèn)的結(jié)果，形成已有安全措施確認(rèn)表，包括已有安全措施名稱、類型、功能描述及實(shí)施效果等；（8）風(fēng)險(xiǎn)評(píng)估報(bào)告：對(duì)整個(gè)風(fēng)險(xiǎn)評(píng)估過程和結(jié)果進(jìn)行總結(jié)，詳細(xì)說(shuō)明被評(píng)估對(duì)象，風(fēng)險(xiǎn)評(píng)估方法，資產(chǎn)、威脅、脆弱性的識(shí)別結(jié)果，風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)統(tǒng)計(jì)和結(jié)論等內(nèi)容；（9）風(fēng)險(xiǎn)處理計(jì)劃：對(duì)評(píng)估結(jié)果中不可接受的風(fēng)險(xiǎn)制定風(fēng)險(xiǎn)處理計(jì)劃，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施，明確責(zé)任、進(jìn)度、資源，并通過對(duì)殘余風(fēng)險(xiǎn)的評(píng)價(jià)確保所選擇安全措施的有效性；（10）風(fēng)險(xiǎn)評(píng)估記錄：根據(jù)組織的風(fēng)險(xiǎn)評(píng)估程序文件，記錄對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)評(píng)估過程。風(fēng)險(xiǎn)評(píng)估文件記錄（二）（6）脆弱性列表：根據(jù)脆弱性識(shí)別和賦值風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理是一種系統(tǒng)化方法，可通過多種方式實(shí)現(xiàn)：風(fēng)險(xiǎn)承受風(fēng)險(xiǎn)降低風(fēng)險(xiǎn)規(guī)避風(fēng)險(xiǎn)轉(zhuǎn)移風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理是一種系統(tǒng)化方法，可通過多種方式實(shí)現(xiàn)：風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理的針對(duì)性針對(duì)威脅源針對(duì)威脅者的能力針對(duì)威脅者的資源針對(duì)威脅者的途徑風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理的針對(duì)性風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)處理風(fēng)險(xiǎn)管理概述

風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)處理

常用風(fēng)險(xiǎn)計(jì)算方法

常用風(fēng)險(xiǎn)評(píng)估工具

第四章信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)管理概述風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)處理常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)矩陣測(cè)量法這種方法的特點(diǎn)是事先建立資產(chǎn)價(jià)值、威脅等級(jí)和脆弱性等級(jí)的一個(gè)對(duì)應(yīng)矩陣，預(yù)先將風(fēng)險(xiǎn)等級(jí)進(jìn)行了確定。然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險(xiǎn)。使用本方法需要首先確定資產(chǎn)、威脅和脆弱性的賦值，要完成這些賦值，需要組織內(nèi)部的管理人員、技術(shù)人員、后勤人員等方面的配合常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)矩陣測(cè)量法常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)險(xiǎn)計(jì)算方法常用風(fēng)險(xiǎn)計(jì)算方法威脅分級(jí)計(jì)算法這種方法是直接考慮威脅、威脅對(duì)資產(chǎn)產(chǎn)生的影響以及威脅發(fā)生的可能性來(lái)確定風(fēng)險(xiǎn)。常用風(fēng)險(xiǎn)計(jì)算方法威脅分級(jí)計(jì)算法常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)綜合評(píng)價(jià)法這種方法中風(fēng)險(xiǎn)由威脅產(chǎn)生的可能性、威脅對(duì)資產(chǎn)的影響程度以及已經(jīng)存在的控制措施三個(gè)方面來(lái)確定。與風(fēng)險(xiǎn)矩陣法和威脅分級(jí)法不同，本方法將控制措施的采用引入風(fēng)險(xiǎn)的評(píng)價(jià)之中。常用風(fēng)險(xiǎn)計(jì)算方法風(fēng)險(xiǎn)綜合評(píng)價(jià)法常用風(fēng)險(xiǎn)計(jì)算方法安全屬性矩陣法這種