信息安全风险评估培训(第十二期)-精选文档
合集下载
信息安全风险评估培训
威胁利用的缺点，弱点一旦被利用，就可能对资产造成损害。
风险（Risk）—— 特定威胁利用资产弱点给资产或资产组带来损害的潜在可能性。 可能性（Likelihood）—— 对威胁发生几率（Probability）或频率（Frequency）
的定性描述。
影响（Impact）—— 后果（Consequence），意外事件发生给企业带来的直接或间
其他考虑因素：范围、评估组织、评估要求、特殊情况等。
评估实施计划是对特定评估活动的具体安排，内容通常包括：
目的、范围、准则、评估组成员及分工、评估时间和地点、首末次会议及报告时间
评估计划应以文件形式颁发，评估实施计划应该有评估组长签名并得到 主管领导的批准。
63
风险评估计划示例
评估目的 评估范围 评估准则 评价信息安全管理体系运行的符合性和有效性 ×××××××××××××××××× 《XX公司信息安全管理办法》《ISO27001信息安全管理体系》。 评估组长 评估小组 ×××
人为因 素
恶意人 员
非恶意 人员
威 胁 分 类 表
脆弱性识别内容表
威胁与脆弱性之间的关系
风险分析原理
定性风险分析
风险计算方法
风险值=R(A,T,V)= R(L(T,V),F(Ia,Va ))
其中,R 表示安全风险计算函数;A 表示资产;T 表示威 胁;V 表示脆弱性; Ia 表示安全事件所作用的资产价 值;Va 表示脆弱性严重程度;L 表示威胁利用资产的脆 弱性导致安全事件发生的可能性;F 表示安全事件发 生后产生的损失。 一般风险计算方法：矩阵法和相乘法
筑物、数据库、文档信息、软件、信息服务和人员等，所有这些资产都需要妥善保护。
威胁（Threat）—— 可能对资产或企业造成损害的某种安全事件发生的潜在原因，
风险（Risk）—— 特定威胁利用资产弱点给资产或资产组带来损害的潜在可能性。 可能性（Likelihood）—— 对威胁发生几率（Probability）或频率（Frequency）
的定性描述。
影响（Impact）—— 后果（Consequence），意外事件发生给企业带来的直接或间
其他考虑因素：范围、评估组织、评估要求、特殊情况等。
评估实施计划是对特定评估活动的具体安排，内容通常包括：
目的、范围、准则、评估组成员及分工、评估时间和地点、首末次会议及报告时间
评估计划应以文件形式颁发，评估实施计划应该有评估组长签名并得到 主管领导的批准。
63
风险评估计划示例
评估目的 评估范围 评估准则 评价信息安全管理体系运行的符合性和有效性 ×××××××××××××××××× 《XX公司信息安全管理办法》《ISO27001信息安全管理体系》。 评估组长 评估小组 ×××
人为因 素
恶意人 员
非恶意 人员
威 胁 分 类 表
脆弱性识别内容表
威胁与脆弱性之间的关系
风险分析原理
定性风险分析
风险计算方法
风险值=R(A,T,V)= R(L(T,V),F(Ia,Va ))
其中,R 表示安全风险计算函数;A 表示资产;T 表示威 胁;V 表示脆弱性; Ia 表示安全事件所作用的资产价 值;Va 表示脆弱性严重程度;L 表示威胁利用资产的脆 弱性导致安全事件发生的可能性;F 表示安全事件发 生后产生的损失。 一般风险计算方法：矩阵法和相乘法
筑物、数据库、文档信息、软件、信息服务和人员等，所有这些资产都需要妥善保护。
威胁（Threat）—— 可能对资产或企业造成损害的某种安全事件发生的潜在原因，
信息安全风险评估工作课件
建设独立自主、符合国际惯例的风险评估技术支撑体系
举国家之力，支持建设独立自主、符合国际惯例的风险评估技术支撑体系。建设国家基础信息网络和重要信息系统风险评估的基础设施和基础环境；落实开发相关技术和产品的攻关项目。通过研发自主关键技术和设备，满足国家网络基础设施和重要信息系统的风险评估需求，支持安全评估应用逐步建立符合国际惯例、达到国际先进水平的安全评估技术支撑体系
试点工作与标准验证
试点工作对去年国信办组织制定的两项试行标准进行了验证，提出了修订建议绝大多数试点单位大都参照了去年国信办和国家安标委组织编写的《信息安全风险评估指南》及《信息安全风险管理指南》。试点单位大都结合自身的具体情况，选择了相应的评估方法和适当的安全控制措施及管理流程，实践经验证明各试点单位评估基于的基本原则和核心方法与试行标准指南大体吻合一致。
典型方法之三：量化风险（续）
在本次试点中，结合试点单位评估实践经验、以及行业管理特性，有的试点单位对风险计算方法进行了如下的扩展：其中：c代表“机密性方面的”、i代表“完整性方面的”、a代表“可用性方面的”，t代表“技术方面的”、m代表“管理方面的”、o代表“运维方面的”、W为技术、运维和管理脆弱性之间的相关性，Wt 、Wm 、Wo 之和等于1。
下一步建议
认真总结经验统一规划、建立制度。制定国家基础网络和重要信息系统的风险评估总体规划以及“十一五”期间的工作计划。积极推进风险评估基本管理制度的建立；应尽快就国家基础信息网络和重要信息系统风险评估工作所涉及的领导体制、协调机制、认证与认可、监管和督察、评估时间、评估对象、评估范围、评估方式、评估人员资质、评估结果发布和备案等内容，进一步开展研究，形成风险评估工作管理法规制度加快建立、逐步完善标准规范体系。标准规范是推广和实施风险评估工作的法律依据和技术保障，要加快风险评估管理与技术标准的制定和完善， 研究评估机构服务标准、资质认可与资质的核查评估的管理办法；尽快出台国家标准。
安全风险评估培训
安全风险评估培训
汇报人：
2024-01-03
目录 Contents
• 安全风险评估概述 • 安全风险识别 • 安全风险分析 • 安全风险评价 • 安全风险控制 • 安全风险评估案例研究
01
安全风险评估概述
定义与目的
定义
安全风险评估是对潜在的安全威胁和 风险进行识别、评估和管理的过程， 旨在预防或减少安全事件的发生，保 障组织资产的安全。
目的
通过对安全风险进行全面、客观的评 估，为组织提供决策依据，制定相应 的安全措施，降低安全风险，提高组 织的安全水平。
风险评估的重要性
提高组织安全意识
通过安全风险评估，使组织成 员了解安全风险的存在和影响 ，提高安全意识，形成安全文
化。
预防安全事件
通过识别和评估潜在的安全威 胁和风险，采取相应的预防措 施，降低或避免安全事件的发 生。
列出可能存在的危险和隐患， 逐项检查以识别潜在的安全风
险。
风险评估软件
利用计算机辅助工具进行风险 评估，提高工作效率和准确性
。
专家评估
邀请安全专家对特定领域或复 杂系统进行安全风险评估。
模拟和仿真
通过模拟实际运行情况或使用 仿真软件来预测潜在的安全风
险。
识别步骤
信息收集
收集相关的工艺流程图、设备 参数、操作规程等信息，以便 进行安全风险分析。
持续改进
定期进行复评和更新，确保安全风险评估的有效性和准 确性。
04
安全风险评价
评价方法
风险矩阵法 概率风险评估法
故障树分析法 事件树分析法
通过将风险因素按照发生的可能性和影响程度进行分类，形成 风险等级矩阵，以便对风险进行排序和优先处理。
汇报人：
2024-01-03
目录 Contents
• 安全风险评估概述 • 安全风险识别 • 安全风险分析 • 安全风险评价 • 安全风险控制 • 安全风险评估案例研究
01
安全风险评估概述
定义与目的
定义
安全风险评估是对潜在的安全威胁和 风险进行识别、评估和管理的过程， 旨在预防或减少安全事件的发生，保 障组织资产的安全。
目的
通过对安全风险进行全面、客观的评 估，为组织提供决策依据，制定相应 的安全措施，降低安全风险，提高组 织的安全水平。
风险评估的重要性
提高组织安全意识
通过安全风险评估，使组织成 员了解安全风险的存在和影响 ，提高安全意识，形成安全文
化。
预防安全事件
通过识别和评估潜在的安全威 胁和风险，采取相应的预防措 施，降低或避免安全事件的发 生。
列出可能存在的危险和隐患， 逐项检查以识别潜在的安全风
险。
风险评估软件
利用计算机辅助工具进行风险 评估，提高工作效率和准确性
。
专家评估
邀请安全专家对特定领域或复 杂系统进行安全风险评估。
模拟和仿真
通过模拟实际运行情况或使用 仿真软件来预测潜在的安全风
险。
识别步骤
信息收集
收集相关的工艺流程图、设备 参数、操作规程等信息，以便 进行安全风险分析。
持续改进
定期进行复评和更新，确保安全风险评估的有效性和准 确性。
04
安全风险评价
评价方法
风险矩阵法 概率风险评估法
故障树分析法 事件树分析法
通过将风险因素按照发生的可能性和影响程度进行分类，形成 风险等级矩阵，以便对风险进行排序和优先处理。
信息安全风险评估 培训
信息安全风险评估培训
培训信息安全风险评估是指组织为员工提供相关信息安全风险评估知识和技能的培训活动。
通过此培训，员工可以了解信息安全风险评估的基本概念、方法和步骤，学习如何识别、评估和应对信息安全风险，以保护组织的信息资产免受威胁。
培训内容可以包括以下方面：
1. 信息安全风险评估的基本概念和原理：介绍信息安全风险评估的定义、目的和重要性，让员工了解信息安全风险评估在信息安全管理中的作用。
2. 信息安全风险评估的方法和步骤：介绍常用的信息安全风险评估方法和步骤，如风险识别、风险评估、风险处理等，让员工了解如何进行信息安全风险评估的全过程。
3. 风险评估工具和技术：介绍一些常用的风险评估工具和技术，如风险评估模型、风险评估工具软件等，让员工了解如何利用这些工具和技术来进行信息安全风险评估。
4. 风险评估案例分析：通过实际案例的分析，让员工了解信息安全风险评估的实际应用，掌握解决实际问题的能力。
5. 风险评估的实施和监督：介绍信息安全风险评估的实施和监督流程，让员工了解如何将风险评估纳入信息安全管理体系，并进行持续监督和改进。
培训的方式可以是面对面的讲座、研讨会，也可以是在线视频教学、在线课程等形式。
同时，可以结合实际案例和练习，让员工通过实际操作来巩固所学知识。
通过信息安全风险评估的培训，企业员工可以增强对信息安全风险评估的认知和理解，提高信息安全意识和能力，为企业的信息安全保驾护航。
信息安全风险评估课程
信息安全风险评估课程
信息安全风险评估课程通常是为了培训学生在信息安全领域进行风险评估和风险管理的技能和知识。
以下是课程可能涵盖的主题：
1. 信息安全风险评估基础知识：介绍信息安全、风险评估和风险管理的基本概念和原则。
2. 风险评估方法和工具：介绍不同类型的风险评估方法和工具，如定性和定量评估方法、风险矩阵、风险评估工具等。
3. 风险评估流程：介绍风险评估的整体流程，包括风险识别、风险分析、风险评估、风险处理和风险跟踪等步骤。
4. 信息安全威胁和漏洞分析：介绍常见的信息安全威胁和漏洞，并学习如何利用各种技术工具进行威胁和漏洞分析。
5. 风险评估报告和沟通：学习如何编写清晰、准确的风险评估报告，并学习如何与相关利益相关者进行有效的沟通。
6. 风险管理和控制措施：学习如何制定和实施针对已识别风险的控制措施，以降低风险的概率和影响。
7. 综合案例分析：通过实际案例的分析和讨论，加深学生对信息安全风险评估的理解和应用。
通过这样的课程学习，学生可以掌握基本的信息安全风险评估
技能，从而能够在实际工作中有效地评估和管理信息安全风险，保护组织的信息资产和利益。
安全风险评估49423【精选文档】
1 概述编辑本段安全风险评估：现代企业安全管理的必备手段在一个企业中,诱发安全事故的因素很多，“安全风险评估”能为全面有效落实安全管理工作提供基础资料．并评估出不同环境或不同时期的安全危险性的重点，加强安全管理，采取宣传教育、行政、技术及监督等措施和手段，推动各阶层员工做好每项安全工作。
使企业每位员工都能真正重视安全工作，让其了解及掌握基本安全知识,这样，绝大多数安全事故均是可以避免的.这也是安全风险评估的价值所在。
当任何生产经营活动被鉴定为有安全事故危险性时,便应考虑怎样进行评估工作,以简化及减少风险评估的次数来提高效率。
安全风险评估主要由以下3个步骤所组成：识别安全事故的危害、评估危害的风险和控制风险的措施及管理。
第一个步骤:识别安全事故的危害识别危害是安全风险评估的重要部分。
若不能完全找出安全事故危害的所在,就没法对每个危害的风险作出评估，并对安全事故危害作出有效的控制。
这里简单介绍如何识别安全事故的危害。
（1)危险材料识别一识别哪些东西是容易引发安全事故的材料，如易燃或爆炸性材料等，找出它们的所在位置和数量，处理的方法是否适当。
(2)危险工序识别一找出所有涉及高空或高温作业、使用或产生易燃材料等容易引发安全事故的工序,了解企业是否已经制定有关安全施工程序以控制这些存在安全危险的工序，并评估其成效。
(3)用电安全检查一电气安全事故是当今企业的一个带有普遍性的安全隐患，对电气的检查是每一个企业安全风险评估必不可少的一项内容。
用电安全检查包括检查电气设备安装是否符合安全要求、插座插头是否严重超负荷、电线是否老化腐蚀、易燃工作场所是否有防静电措施、电器设备有无定期维修保养以避免散热不良产生热源等.（4)工作场地整理一检查工场是否存在安全隐患，如是否堆积大量的可燃杂物（如纸张、布碎、垃圾等），材料有否摆放错误，脚手架是否牢固等等。
(5)工作场所环境安全隐患识别一工作场所由设施、工具和人三者组成一个特定的互相衔接的有机组合的环境，往往因为三者之间的联系而可能将安全事故的危害性无限扩展。
信息系统安全风险评估培训材料
脆弱性识别—工具
扫描工具 系统层：
X-scan、 Nessus、极光漏洞扫描系统、天镜漏洞扫描系统
应用层：
IBM Appscan、 Fortify 、 Acunetix Web Vulnerability Scanner
数据库：
Shadow DataBase Scanner、 ISS Database Scanner
30
20
10
管理制度、 文档类风险
80
50
30
20
10
5
风险处理建议
主要任务
u 对不可接受风险提出控制风险的安全建议
风险处理方式
u 降低风险——应用适当的控制措施 (预防性措施、保护性措施) u 接受风险——由于投入过高和收效不明显 u 避免风险——因为风险的代价太高，不允许执行会产生风险的活动 u 转移风险——转嫁给第三方（保险、供应商）
工信部安全防护系列标准
提纲
n 基础概念
n 风险评估流程
u 风险准备 u 资产识别 u 威胁识别 u 脆弱性识别 u 已有安全措施的确认 u 风险分析
n 实施要点及示例说明
风险评估流程
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
风险评估准备
工作内容
风险评估准备
渗透测试一般流程
计划与准备
测试计划 测试准备
侦查分析阶段
信息收集 目标判别 漏洞查找
攻击阶段
获取权限 权限提升 … …
脆弱性识别方法-人工审计
采用人工审计方式可以对漏洞扫描的结果进行验证和分析，也可以检 查某些无法利用工具扫描的内容
信息安全风险评估课件
场，造成了潜在的安全威胁 – 软件在接口的扩展性和兼容性方面考虑不周
2021/8/2
6.2 信息安全风险识别
• 6.3.1 人为因素 • 6.3.2 自然灾害 • 6.3.3 基础架构故障
2021/8/2
6.2.1 人为因素
• 人为因素源于人类的感知观念和处理事物能力， 其行为有可能增加系统的安全风险
• 具体因素
– 操作人员业务能力不足 – 操作人员不按规定操作 – 管理员对系统配置不当 – 管理制度不严使外部人员有机会接触系统
2021/8/2
6.4.1 通过定量分析方法进行威胁分析
• 单一预期亏损:用于替换该资源或恢复该资源所消 耗的支出
• 年预期被攻击概率:通过统计以往的被攻击的次数 来计算
• 年预期亏损量=单一预期亏损×年预期被攻击概率
2021/8/2
6.4.2 构建攻击模型
通过构建攻击模型是风险分析的一种有效技术手段。
主动防御。
术 5 系统漏洞识别与评估
自然灾害导致安全威胁的因素常见的有地震，火灾，洪水，台风，龙卷风，雷电等。 很多影响计算机安全系统的恶意行为都是由用户发动的，这些恶意行为主要有非法入侵系统，或制造能够威胁系统安全的软件
• 软件故障 相对系统软件，编写应用程序的门槛比较低
4 信息安全威胁分析方法
– 最严重的安全威胁来自于软件故障。 分类依据：系统性能、网络安全、网络性能和诊断、网络连接、动态IP和DNS记录、远程操作与文件共享事件记录、文件传输工具
应对方法：备份冗余、监控系统、硬件单元的恢复技术 原因：磨损、温度过高、湿度过湿或者灰尘过多
– 原因：复杂、测试困难、存在漏洞 单一预期亏损:用于替换该资源或恢复该资源所消耗的支出
2021/8/2
6.2 信息安全风险识别
• 6.3.1 人为因素 • 6.3.2 自然灾害 • 6.3.3 基础架构故障
2021/8/2
6.2.1 人为因素
• 人为因素源于人类的感知观念和处理事物能力， 其行为有可能增加系统的安全风险
• 具体因素
– 操作人员业务能力不足 – 操作人员不按规定操作 – 管理员对系统配置不当 – 管理制度不严使外部人员有机会接触系统
2021/8/2
6.4.1 通过定量分析方法进行威胁分析
• 单一预期亏损:用于替换该资源或恢复该资源所消 耗的支出
• 年预期被攻击概率:通过统计以往的被攻击的次数 来计算
• 年预期亏损量=单一预期亏损×年预期被攻击概率
2021/8/2
6.4.2 构建攻击模型
通过构建攻击模型是风险分析的一种有效技术手段。
主动防御。
术 5 系统漏洞识别与评估
自然灾害导致安全威胁的因素常见的有地震，火灾，洪水，台风，龙卷风，雷电等。 很多影响计算机安全系统的恶意行为都是由用户发动的，这些恶意行为主要有非法入侵系统，或制造能够威胁系统安全的软件
• 软件故障 相对系统软件，编写应用程序的门槛比较低
4 信息安全威胁分析方法
– 最严重的安全威胁来自于软件故障。 分类依据：系统性能、网络安全、网络性能和诊断、网络连接、动态IP和DNS记录、远程操作与文件共享事件记录、文件传输工具
应对方法：备份冗余、监控系统、硬件单元的恢复技术 原因：磨损、温度过高、湿度过湿或者灰尘过多
– 原因：复杂、测试困难、存在漏洞 单一预期亏损:用于替换该资源或恢复该资源所消耗的支出
【风险管理】信息系统安全风险评估培训材料
调查问卷及其他
《需求文档清单》 《文档交接单》 《资产调查问卷》 《资产识别清单》 《重要资产清单》 《脆弱性调查问卷》 《现场配合人员名单》
风险评估流程
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
资产识别
主要任务
资产信息搜集 资产分类 资产赋值
判断威胁出现频率，需要结合以下三个方面：
通过被评估对象体的历史故障报告或记录，统计各种发生过的威胁和其发生频率； 通过网管或安全管理系统的数据统计和分析；
通过整个社会同行业近年来曾发生过的威胁统计数据均值。
威胁赋值
风险评估流程
资产识别
风险评估准备
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
脆弱性识别
主要任务
---查找脆弱性 ---脆弱性严重程度赋值（简称脆弱性赋值）
脆弱性识别相关方法
访谈 现场勘察 漏洞扫描 渗透测试 人工审计
---文档检查 ---控制台审计
以前的审计和评估结果 …
脆弱性识别方法-访谈
访谈可以采取现场访谈的方式，也可以采取调查问卷的方式，通常是 两种方式的结合
社会影响力 业务价值 可用性
资产赋值（示例）
风险评估流程
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
威胁识别
主要任务：
---识别对系统、组织及其资产构成潜在破坏能力的可能性因素或 者事件
---威胁出现频率赋值（简称威胁赋值）
威胁赋值
赋值方法
系统 运维 管理
《需求文档清单》 《文档交接单》 《资产调查问卷》 《资产识别清单》 《重要资产清单》 《脆弱性调查问卷》 《现场配合人员名单》
风险评估流程
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
资产识别
主要任务
资产信息搜集 资产分类 资产赋值
判断威胁出现频率，需要结合以下三个方面：
通过被评估对象体的历史故障报告或记录，统计各种发生过的威胁和其发生频率； 通过网管或安全管理系统的数据统计和分析；
通过整个社会同行业近年来曾发生过的威胁统计数据均值。
威胁赋值
风险评估流程
资产识别
风险评估准备
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
脆弱性识别
主要任务
---查找脆弱性 ---脆弱性严重程度赋值（简称脆弱性赋值）
脆弱性识别相关方法
访谈 现场勘察 漏洞扫描 渗透测试 人工审计
---文档检查 ---控制台审计
以前的审计和评估结果 …
脆弱性识别方法-访谈
访谈可以采取现场访谈的方式，也可以采取调查问卷的方式，通常是 两种方式的结合
社会影响力 业务价值 可用性
资产赋值（示例）
风险评估流程
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
威胁识别
主要任务：
---识别对系统、组织及其资产构成潜在破坏能力的可能性因素或 者事件
---威胁出现频率赋值（简称威胁赋值）
威胁赋值
赋值方法
系统 运维 管理
信息安全风险评估培训(第十二期)-精选文档共74页
谢谢！
61、奢侈是舒适的，否则就不是奢侈 。——CocoCha nel 62、少而好学，如日出之阳；壮而好学 ，如日 中之光 ；志而 好学， 如炳烛 之光。 ——刘 向 63、三军可夺帅也，匹夫不可夺志也。 ——孔 丘 64、人生就是学校。在那里，与其说好 的教师 是幸福 ，不如 说好的 教师是 不幸。 ——海 贝尔 65、接受挑战，就可以享受胜利的喜悦 。——杰纳勒 尔·乔治·S·巴顿
信息安全Байду номын сангаас险评估培训(第十二期)-精
选文档
21、没有人陪你走一辈子，所以你要 适应孤 独，没 有人会 帮你一 辈子， 所以你 要奋斗 一生。 22、当眼泪流尽的时候，留下的应该 是坚强 。 23、要改变命运，首先改变自己。
24、勇气很有理由被当作人类德性之 首，因 为这种 德性保 证了所 有其余 的德性 。--温 斯顿． 丘吉尔 。 25、梯子的梯阶从来不是用来搁脚的 ，它只 是让人 们的脚 放上一 段时间 ，以便 让别一 只脚能 够再往 上登。
信息安全体系风险评估讲义(PPT 67页)
这个威胁不在考虑的范围内，或者这个威胁的影 响极小，以至忽略不计。 采取安全措施的目的是控制风险，将残余风险限 制在能够接受的程度上。
内容简介
基本概念 重要意义 工作方式 几个关键问题
国家对信息安全风险评估工作的要求
《国家信息化领导小组关于加强信息安全保障工作 的意见》的通知（中办发[2003]27号）在“实行信 息安全等级保护”任务中提出：“要重视信息安全 风险评估工作，对网络与信息安全的潜在威胁、薄 弱环节、防护措施等进行分析评估，综合考虑网络 与信息系统的重要性、涉密程度和面临的信息安全 风险等因素，进行相应等级的安全建设和管理。”
信息安全风险评估的重要意义（续）
加强风险评估工作是当前信息安全工作的客观需 要和紧迫需求
由于信息技术的飞速发展，关系国计民生的关键信息基础 设施的规模越来越大，同时也极大地增加了系统的复杂程 度。发达国家越来越重视风险评估工作，提倡风险评估制 度化。他们提出，没有有效的风险评估，便会导致信息安 全需求与安全解决方案的严重脱离。在我国目前的国情下 ，为加强宏观信息安全管理，促进信息安全保障体系建设 ，就必须加强风险评估工作，并逐步使风险评估工作朝着 制度化的方向发展。
资产
脆
弱
性
脆弱性
安全措施
残余风险
威胁
对各要素相互作用的解释
通过安全措施来对资产加以保护，对脆弱性加以 弥补，从而可降低风险；
实施了安全措施后，威胁只能形成残余风险。 某些情况下，也可能会有多个脆弱性被同时利用
。 脆弱性与威胁是独立的，威胁要利用脆弱性才能
造成安全事件。 某些脆弱性可以没有对应的威胁，这可能是由于
示 例 ： 常 见 人 为 威 胁
对基本概念的解释（续）
内容简介
基本概念 重要意义 工作方式 几个关键问题
国家对信息安全风险评估工作的要求
《国家信息化领导小组关于加强信息安全保障工作 的意见》的通知（中办发[2003]27号）在“实行信 息安全等级保护”任务中提出：“要重视信息安全 风险评估工作，对网络与信息安全的潜在威胁、薄 弱环节、防护措施等进行分析评估，综合考虑网络 与信息系统的重要性、涉密程度和面临的信息安全 风险等因素，进行相应等级的安全建设和管理。”
信息安全风险评估的重要意义（续）
加强风险评估工作是当前信息安全工作的客观需 要和紧迫需求
由于信息技术的飞速发展，关系国计民生的关键信息基础 设施的规模越来越大，同时也极大地增加了系统的复杂程 度。发达国家越来越重视风险评估工作，提倡风险评估制 度化。他们提出，没有有效的风险评估，便会导致信息安 全需求与安全解决方案的严重脱离。在我国目前的国情下 ，为加强宏观信息安全管理，促进信息安全保障体系建设 ，就必须加强风险评估工作，并逐步使风险评估工作朝着 制度化的方向发展。
资产
脆
弱
性
脆弱性
安全措施
残余风险
威胁
对各要素相互作用的解释
通过安全措施来对资产加以保护，对脆弱性加以 弥补，从而可降低风险；
实施了安全措施后，威胁只能形成残余风险。 某些情况下，也可能会有多个脆弱性被同时利用
。 脆弱性与威胁是独立的，威胁要利用脆弱性才能
造成安全事件。 某些脆弱性可以没有对应的威胁，这可能是由于
示 例 ： 常 见 人 为 威 胁
对基本概念的解释（续）
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
可控性
不可抵赖性
不可抵赖曾经完成的操作和承诺
进不来
拿不走
改不了
看不懂
跑不了
可审查
威胁来源列表
来源
环境因素
描述
断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干 扰、洪灾、火灾、地震、意外 事故等环境危害或自然 灾害,以及软件、硬件、数据、通讯线路等方面的故障 不满的或有预谋的内部人员对信息系统进行恶意破坏; 采用自主或内外勾结的方式 盗窃机密信息或进行篡改, 获取利益 外部人员利用信息系统的脆弱性,对网络或系统的机密 性、完整性和可用性进行破 坏,以获取利益或炫耀能 力 内部人员由于缺乏责任心,或者由于不关心和不专注, 或者没有遵循规章制度和操 作流程而导致故障或信息 损坏;内部人员由于缺乏培训、专业技能不足、不具备 岗 位技能要求而导致信息系统故障或被攻击。
例1：AV=MAX(AC,AI,AA) 例2：AV=AC+AI+AA 例3：AV=AC×AI×AA
资产价值赋值
信息安全属性
保密性 完整性
可用性 可审计性
确保只有获得授权的人才能访问信息 保护信息和处理方法的准确和完整 确保获得授权的用户可访问信息并使用相关信息资产
确保硬件、软件、环境各方面的运行可以审计 可控制网络信息传播及内容
– 确保信息只能由那些被授权使 用的人获取
• 完整性INTEGRITY
– 保护信息及其处理方法的准确 性和完整性
• 可用性AVAILABILITY
– 确保被授权使用人在需要时可 以获取信息和使用相关的资产
资产保密性赋值
资产完整性赋值
资产可用性赋值
资产等级计算公式
AV=F(AC,AI,AA) Asset Value 资产价值 Asset Confidentiality 资产保密性赋值 Asset Integrity 资产完整性赋值 Asset Availability 资产可用性赋值
信息安全风险评估
程晓峰
广东计安信息网络培训中心
——从深夜一个回家的女孩开始讲起……
什么是风险评估？
风险评估的基本概念
风险评估通俗类比
资产 威胁
100块 小偷
服务器 黑客 被入侵 数据失密
钱被偷 业务影响 没饭吃
脆弱性 风险
打瞌睡 软件漏洞
风险
在信息安全领域，风险（Risk）就是指 各种威胁导致安全事件发生的可能性及 其对组织所造成的负面影响。
资产识别模型
管理层 业务层
人员、文档、制度
OA
EAI/EIP 工程管理 物资管理 生产管理 营销系统 人力资源 综合管理
数据层 应用层 主机层
数据 软件
数据
数据 软件
数据
数据 软件
数据
数据 软件
数据
操作系统、主机设备
操作系统、主机设备
网络层
物理层
网络设备1
机房、通信链路
网络设备2
信息安全属性
• 保密性CONFIDENTIALATY
风险评估（Risk Assessment）就 是对各方面风险进行辨识和分析的过程， 它包括风险分析和风险评价，是确认安 全风险及其大小的过程。
风险评估
风险管理
风险管理（Risk Management）就是以 可接受的代价，识别、控制、减少或消除可 能影响信息系统的安全风险的过程。
5
风险管理的目标
影响
人为因 素
恶意人 员
非恶意 人员
威 胁 分 类 表
威胁赋值
脆弱性识别内容表
脆弱性赋值
风险分析原理
F R
L
风险计算方法
风险值=R(A,T,V)= R(L(T,V),F(Ia,Va ))
其中,R 表示安全风险计算函数; A 表示资产;T 表示威胁;V 表示脆弱性; Ia 表示安全事件所作用的资产价值;Va 表示脆弱性 严重程度;
影响
风险
威胁 脆弱性 威胁
风险 RISK
RISK
RISK
脆弱性
险评估和风险管理的关系
风险评估是风险管理的关键环节，在风险管理循 环中，必须依靠风险评估来确定随后的风险控制 与改进活动。
资产分类方法
分 类 示例 数 保存在信息媒介上的各种数据资料,包括源代码、数据库数据、系统 据 文档、运行管理规程、 计划、报告、用户手册、各类纸质的文档等 系统软件:操作系统、数据库管理系统、语句包、开发系统等 软 应用软件:办公软件、数据库软件、各类工具软件等 件 源程序:各种共享源代码、自行或合作开发的各种代码等 网络设备:路由器、网关、交换机等 计算机设备:大型机、小型机、服务器、工作站、台式计算机、便携 计算机等 存储设备:磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等 硬 传输线路:光纤、双绞线等 件 保障设备: UPS、变电设备等、空调、保险柜、文件柜、门禁、消防 设施等 安全保障：防火墙、入侵检测系统、身份鉴别等 其他:打印机、复印机、扫描仪、传真机等
风险评价示例
完整性风险 机密性风险 可用性风险
风险处置策略
降低风险（Reduce Risk）—— 采取适当的控制措施来降 低风险，包括技术手段和管理手段，如安装防火墙，杀毒软件， 或是改善不规范的工作流程、制定业务连续性计划，等等。 避免风险（Avoid Risk）—— 通过消除可能导致风险发生 的条件来避免风险的发生，如将公司内外网隔离以避免来自互 联网的攻击，或是将机房安置在不可能造成水患的位置，等等。 转移风险（Transfer Risk）—— 将风险全部或者部分地转 移到其他责任方，例如购买商业保险。
L 表示威胁利用资产的脆弱性导致安全事件发生的可 能性;
F 表示安全事件发生后产生的损失。 一般风险计算方法：矩阵法和相乘法
矩阵法风险计算
矩阵法
风险等级表
1000
2000
3000
4000
5000
6000
7000
0
边界人员，攻击 混合病毒 好奇员工，攻击 内部外部人员误操作 普通员工，滥用 网络病毒 内部外部人员恶意 基础服务失效 交换机硬件失效 灾难 服务器硬件失效 雷击 漏水 服务器软件失效 电源失效 交换机软件失效 温度、湿度、灰尘、静电等 邮件病毒 链路失效 介质病毒
资产分类方法
分 类 示例 信息服务:对外依赖该系统开展的各类服务 网络服务:各种 网络设备、设施提供的网络连接服务 办公服务:为提高效 率而开发的管理信息系统,包括各种内部配置管理、文件 流转管理等服务 掌握重要信息和核心业务的人员,如主机维护主管、网络 维护主管及应用项目经理等
服 务
人 员
其 企业形象、客户关系等 它