风险评估参考PPT
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
或者减小威胁事件造成的影响，从而将风险消减
风险评估与管理的目标
资产
资产
风险
威胁
漏洞
基本的风险
RISK
威胁
漏洞
采取措施后剩余的风险
绝对安全是不存在的！
绝对的零风险是不存在的，要想实现零风险，也 是不现实的；
计算机系统的安全性越高，其可用性越低，需要 在计算机安全领域有一句格言： 付出的成本也就越大，一般 来说，需要在安全性
资产登记表图例
资产识别>>资产分析
资产分析主要根据信息资产的三属性对资产的价值进
行分析：
机密性
(Confidentiality)
完整性 （Integrity ）
可用性 (Avail
在资产分析分析过程中，除了结合资产具有三属性 进行分析外，还要需结合以下几种方式进行分析：
弱点（Vulnerability）—— 也被称作漏洞或脆弱性，即资产或资产组中
存在的可被威胁利用的缺点，弱点一旦被利用，就可能对资产造成损害。
可能性（Likelihood）——对威胁发生几率（Probability）或频率
（Frequency）的定性描述。
影响（Impact）—— 后果（Consequence），意外事件发生给组织带来的直
接或间接的损失或伤害。
安全措施（Safeguard）—— 控制措施（control）或对策
（countermeasure），即通过防范威胁、减少弱点、限制意外事件带来影响等途径来消减风 险的机制、方法和措施。
与风险评估相关的概念
保密性（confidentiality）——数据所具有的特性，即表示数据所达到的
对资产进行保护是信息安全和风险管理的首要目标。
划入风险评估范围和边界的每项资产都应该被识别和评价。
应该清楚识别每项资产的拥有者、保管者和使用者。
组织应该建立资产清单，可以根据业务流程来识别信息资 产。
信息资产的存在形式有多种，物理的、逻辑的、无形的。
• 数据资产：存在于电子媒介中的各种数据和资料，包括源代码、数据库、数据文件、系统文件等 • 软件资产：应用软件，系统软件，开发工具，公用程序 • 实物资产：计算机和通信设备，磁介质，电源和空调等技术性设备，家具，场所 • 人员：承担特定职能和责任的人员 • 服务：计算和通信服务，其他技术性服务， 例如供暖、照明、水电、UPS等
平
与风险评估相关的概念
资产（Asset）—— 任何对组织具有价值的东西，包括计算机硬件、通信设
施、建筑物、数据库、文档信息、软件、信息服务和人员等，所有这些资产都需要妥善保 护。
威胁（Threat）—— 可能对资产或组织造成损害的某种安全事件发生的潜
在原因，通常需要识别出威胁源（Threat source）或威胁代理（Threat agent）。
威胁、受到的影响、存在的弱点以
及风威险胁发管生理的可能性的风评险估管。理（Risk Management）
就是以可接受的代价，识别、控制、
减少或消除可能影响信息系统的安全
风险评估与管理的目标
威
胁
发
生
低影响
的
高可能性
可
能
性
低影响 低可能性
高影响 高可能性
高影响 低可能性
威胁带来的影响
采取有效措施，降低威胁事件发生的可能性，
✓ ISO/IEC 27001：2005《信息安全管理体系 要求》； ✓ ISO/IEC 17799：2005《信息安全管理实用规则》； ✓ GB/T 20984《信息安全风险评估规范》
其它依据
✓ 信息安全等级保护基本要求 ✓ GB/T 9361-2000 计算机场地安全要求 ✓ GB 17859-1999 计算机信息系统安全保护等级划分准则 ✓ GB/T 18336-2001 信息技术 安全技术 信息技术安全性评估准则（ISO/IEC 15408：
未提供或未泄露给非授权的个人、过程或其他实体的程度。
完整性（ integrity）——保证信息及信息系统不会被非授权更改或破坏的特
性。包括数据完整性和系统完整性。
可用性（availability）——数据或资源的特性，被授权实体按要求能访问和
使用数据或资源。
风险评估依据及原则
风险评估的依据
主要依据：
1999） ✓ GB/T 19716-2005 信息技术 信息安全管理实用规则（ISO/IEC 17799：2000，IDT） ✓ …….
风险评估的原则
标准化和规范化 安全性原则 一致性原则 整体性原则 动态性原则 经济性原则
风险评估的流程
风险评估的方法
资产识别>>资产识别及分类
定性分析时，我们关心的是资产对组织的重要性或其 敏感程度，即由于资产受损而引发的潜在的业务影响或 后果。
资产赋值
赋值 5
标识 很高
4
高
3
中等
2
低
1
很低
定义 包含组织最重要的秘密，关系未来发展的前途命运，对组织 根本利益有着决定性的影响，如果泄露会造成灾难性的损害
包含组织的重要秘密，其泄露会使组织的安全和利益遭受严 重损害 组织的一般性秘密，其泄露会使组织的安全和利益受到损害 仅能在组织内部或在组织某一部门内部公开的信息，向外扩 散有可能对组织的利益造成轻微损害
风险评估简介
目录
• 风险评估概述 • 风险评估的依据及原则 • 风险评估流程 • 风险评估的方法 • 风险评估的输出结果 • Q&A
风险评估概述
风险
在信息安全领域，风险（Risk）
就是指信息资产遭受损坏并给企业带
来负面影响的潜在可能性。
风险评估（Risk Assessment） 风险评估
就是对信息和信息处理设施面临的
资产评价时应该考虑：
✓ 信息资产因为受损而对业务造成的直接损失； ✓ 信息资产恢复到正常状态所付出的代价，包括检测、控制、修复时的人力和物力； ✓ 信息资产受损对其他部门的业务造成的影响； ✓ 组织在公众形象和名誉上的损失； ✓ 因为业务受损导致竞争优势降级而引发的间接损失； ✓ 其他损失，例如保险费用的增加。
“真正安全的计算机是拔下网线，断 和可用性，以及安全性和成本投入之间做一种平衡。
掉电源，放置在地下掩体的保险柜中， 并在掩体内充满毒气，在掩体外安排 士兵守卫。”
显然，这样的计算机是无法使用的。
关键是实现成本利益的平衡
高
安全事件的损失
/
损安 失全
成 本
低
安全控制的成本
最小化的总
成本
所提供的安全水
高
风险评估与管理的目标
资产
资产
风险
威胁
漏洞
基本的风险
RISK
威胁
漏洞
采取措施后剩余的风险
绝对安全是不存在的！
绝对的零风险是不存在的，要想实现零风险，也 是不现实的；
计算机系统的安全性越高，其可用性越低，需要 在计算机安全领域有一句格言： 付出的成本也就越大，一般 来说，需要在安全性
资产登记表图例
资产识别>>资产分析
资产分析主要根据信息资产的三属性对资产的价值进
行分析：
机密性
(Confidentiality)
完整性 （Integrity ）
可用性 (Avail
在资产分析分析过程中，除了结合资产具有三属性 进行分析外，还要需结合以下几种方式进行分析：
弱点（Vulnerability）—— 也被称作漏洞或脆弱性，即资产或资产组中
存在的可被威胁利用的缺点，弱点一旦被利用，就可能对资产造成损害。
可能性（Likelihood）——对威胁发生几率（Probability）或频率
（Frequency）的定性描述。
影响（Impact）—— 后果（Consequence），意外事件发生给组织带来的直
接或间接的损失或伤害。
安全措施（Safeguard）—— 控制措施（control）或对策
（countermeasure），即通过防范威胁、减少弱点、限制意外事件带来影响等途径来消减风 险的机制、方法和措施。
与风险评估相关的概念
保密性（confidentiality）——数据所具有的特性，即表示数据所达到的
对资产进行保护是信息安全和风险管理的首要目标。
划入风险评估范围和边界的每项资产都应该被识别和评价。
应该清楚识别每项资产的拥有者、保管者和使用者。
组织应该建立资产清单，可以根据业务流程来识别信息资 产。
信息资产的存在形式有多种，物理的、逻辑的、无形的。
• 数据资产：存在于电子媒介中的各种数据和资料，包括源代码、数据库、数据文件、系统文件等 • 软件资产：应用软件，系统软件，开发工具，公用程序 • 实物资产：计算机和通信设备，磁介质，电源和空调等技术性设备，家具，场所 • 人员：承担特定职能和责任的人员 • 服务：计算和通信服务，其他技术性服务， 例如供暖、照明、水电、UPS等
平
与风险评估相关的概念
资产（Asset）—— 任何对组织具有价值的东西，包括计算机硬件、通信设
施、建筑物、数据库、文档信息、软件、信息服务和人员等，所有这些资产都需要妥善保 护。
威胁（Threat）—— 可能对资产或组织造成损害的某种安全事件发生的潜
在原因，通常需要识别出威胁源（Threat source）或威胁代理（Threat agent）。
威胁、受到的影响、存在的弱点以
及风威险胁发管生理的可能性的风评险估管。理（Risk Management）
就是以可接受的代价，识别、控制、
减少或消除可能影响信息系统的安全
风险评估与管理的目标
威
胁
发
生
低影响
的
高可能性
可
能
性
低影响 低可能性
高影响 高可能性
高影响 低可能性
威胁带来的影响
采取有效措施，降低威胁事件发生的可能性，
✓ ISO/IEC 27001：2005《信息安全管理体系 要求》； ✓ ISO/IEC 17799：2005《信息安全管理实用规则》； ✓ GB/T 20984《信息安全风险评估规范》
其它依据
✓ 信息安全等级保护基本要求 ✓ GB/T 9361-2000 计算机场地安全要求 ✓ GB 17859-1999 计算机信息系统安全保护等级划分准则 ✓ GB/T 18336-2001 信息技术 安全技术 信息技术安全性评估准则（ISO/IEC 15408：
未提供或未泄露给非授权的个人、过程或其他实体的程度。
完整性（ integrity）——保证信息及信息系统不会被非授权更改或破坏的特
性。包括数据完整性和系统完整性。
可用性（availability）——数据或资源的特性，被授权实体按要求能访问和
使用数据或资源。
风险评估依据及原则
风险评估的依据
主要依据：
1999） ✓ GB/T 19716-2005 信息技术 信息安全管理实用规则（ISO/IEC 17799：2000，IDT） ✓ …….
风险评估的原则
标准化和规范化 安全性原则 一致性原则 整体性原则 动态性原则 经济性原则
风险评估的流程
风险评估的方法
资产识别>>资产识别及分类
定性分析时，我们关心的是资产对组织的重要性或其 敏感程度，即由于资产受损而引发的潜在的业务影响或 后果。
资产赋值
赋值 5
标识 很高
4
高
3
中等
2
低
1
很低
定义 包含组织最重要的秘密，关系未来发展的前途命运，对组织 根本利益有着决定性的影响，如果泄露会造成灾难性的损害
包含组织的重要秘密，其泄露会使组织的安全和利益遭受严 重损害 组织的一般性秘密，其泄露会使组织的安全和利益受到损害 仅能在组织内部或在组织某一部门内部公开的信息，向外扩 散有可能对组织的利益造成轻微损害
风险评估简介
目录
• 风险评估概述 • 风险评估的依据及原则 • 风险评估流程 • 风险评估的方法 • 风险评估的输出结果 • Q&A
风险评估概述
风险
在信息安全领域，风险（Risk）
就是指信息资产遭受损坏并给企业带
来负面影响的潜在可能性。
风险评估（Risk Assessment） 风险评估
就是对信息和信息处理设施面临的
资产评价时应该考虑：
✓ 信息资产因为受损而对业务造成的直接损失； ✓ 信息资产恢复到正常状态所付出的代价，包括检测、控制、修复时的人力和物力； ✓ 信息资产受损对其他部门的业务造成的影响； ✓ 组织在公众形象和名誉上的损失； ✓ 因为业务受损导致竞争优势降级而引发的间接损失； ✓ 其他损失，例如保险费用的增加。
“真正安全的计算机是拔下网线，断 和可用性，以及安全性和成本投入之间做一种平衡。
掉电源，放置在地下掩体的保险柜中， 并在掩体内充满毒气，在掩体外安排 士兵守卫。”
显然，这样的计算机是无法使用的。
关键是实现成本利益的平衡
高
安全事件的损失
/
损安 失全
成 本
低
安全控制的成本
最小化的总
成本
所提供的安全水
高