信息安全体系风险评估

❖事件：如果威胁主体能够产生威胁，利用资产 及其安全措施的脆弱性，那么实际产生危害的 情况称之为事件。
❖ 在描述一个信息安全事件时，要明确： ✓安全事件是如何产生的（与威胁的属性和脆 弱性有关）？ ✓事件造成了什么后果（与资产有关）？ ✓事件的后果有多大（与资产的价值有关）？ ✓这个事件发生的可能性有多大（与威胁和脆 弱性存在的可能性、威胁的动机等属性有关 ）？
4
wk.baidu.com
安全ppt
对基本概念的解释（续）
❖资产：通过信息化建设积累起来的信息系统、信 息、生产或服务能力、人员能力等。 ▪ 这是需要保护的对象。只有资产得到保护，单 位的业务战略才可以实现。
❖资产价值：资产是有价值的，资产价值可通过资 产的敏感程度、重要程度和关键程度来表示。 ▪ 这里指的资产价值不一定是购买时的货币价值 。资产价值与业务战略联系紧密。 ▪ 信息安全的投入是有成本的，信息安全投入应 适当，与资产的价值相适宜。
10
安全ppt
对基本要素的解释（续）
❖ 风险：由于系统存在的脆弱性，人为或自然的威 胁导致安全事件发生的可能性及其造成的影响。 它由安全事件发生的可能性及其造成的影响这两 种因素来衡量。
❖ 为什么要提出风险的概念？ ▪ 安全事件的发生是有概率的。不能只根据安全 事件的后果便决定信息安全的投入和安全措施 的强度。对后果严重的极小概率事件，不能盲 目投入。因此，要综合考虑安全事件的后果影 响及其可能性，两者的综合便是“风险”的概 念。
❖ 所谓安全的信息系统，并不是指“万无一失”的 信息系统，而是指残余风险可以被接受的安全系 统。
13
安全ppt
对基本概念的解释（续）
❖ 安全需求：为保证单位的业务能够正常开展，在 信息安全保障措施方面提出的要求。
❖ 安全措施：对付威胁，减少脆弱性，保护资产， 限制意外事件的影响，检测、响应意外事件，促 进灾难恢复和打击信息犯罪而实施的各种实践、 规程和机制的总称。
▪ 风险不必要完全消除。资产的价值以及信息安全的投入 之间的比例关系决定了对有些安全风险，采取措施反而 比不采取措施更糟糕。
▪ 此外，由于某些原因（例如时间、资金、业务、安全措 施不当等原因），仍有些风险需要在以后继续控制和处 理。
12
安全ppt
对基本要素的解释（续）
❖ 残余风险应受到密切监视,因为它可能会在将来诱 发新的事件。
5
安全ppt
对基本概念的解释（续）
❖威胁：一个单位的信息资产的安全可能受到的侵 害。威胁由多种属性来刻画：威胁的主体（威胁 源）、能力、资源、动机、行为、可能性和后果 。
❖ 为什么要谈威胁？ ▪ 如果没有威胁，就不会有安全事件。
6
安全ppt
威胁源
黑客 计算机罪犯
恐怖分子
动机
挑战 自负 反叛
破坏信息 非法泄漏信息 非法篡改数据 获取钱财
2
安全ppt
风险评估的基本概念
3
安全ppt
对基本概念的解释
❖业务战略：即一个单位通过信息技术手段实现的 工作任务。一个单位的业务战略对信息系统和信 息的依赖程度越高，风险评估的任务就越重要。
❖ 为什么要首先谈业务战略？ ▪ 这是信息化的目的，一个信息系统如果不能实 现具体的工作任务，那么这个信息系统是没有 用处的。信息安全不是最终目的，信息安全要 服务于信息化。
❖ 高风险要优先得到处理。
11
安全ppt
对基本要素的解释（续）
❖ 残余风险：采取了安全措施，提高了信息安全保 障能力后，仍然可能存在的风险。
❖ 为什么提出残余风险的概念？
▪ 风险不可能完全消除。信息技术在发展，外部环境在变 化，信息系统本身也要发生变化，信息安全的动态性使 得不可能完全消除未来发生安全事件的风险。
8
安全ppt
脆弱性/威胁对（示例）
脆弱性
威胁源
威胁行为
离职员工的系统账号没 离职员工
拨号进入网络，并访问单位的保密
有从系统中注销
数据
防火墙允许进入方向的 未经授权的用户（例如 通过 telnet，用 guest 账号进入服务
telnet，并且在某服务器上 黑客、离职员工、计算 器，浏览系统文件 允许以 guest 账号进入 机罪犯、恐怖分子）
信息安全体系风险评估
基本概念 重要意义 工作方式 几个关键问题
1
安全ppt
什么是风险评估
1、什么是风险评估
信息安全风险 人为或自然的威胁利用信息系统 及其管理体系中存在的脆弱性导致安全事件的发 生及其对组织造成的影响。
信息安全风险评估 依据有关信息安全技术与管 理标准，对信息系统及由其处理、传输和存储的 信息的保密性、完整性和可用性等安全属性进行 评价的过程。它要评估资产面临的威胁以及威胁 利用脆弱性导致安全事件的可能性，并结合安全 事件所涉及的资产价值来判断安全事件一旦发生 对组织造成的影响。
厂商在系统安全设计中 未经授权的用户（例如 基于已为人所知的系统的脆弱性，
存在为人所知的缺陷，但 黑客、离职员工、计算 未授权地访问敏感的系统文件
还没有补丁文件
机罪犯、恐怖分子）
数据中心使用洒水器来 火灾、人员疏忽大意 打开了数据中心的洒水器
灭火，没有用防水油布来
保护硬件和设备
9
安全ppt
对基本概念的解释（续）
❖ 资产的重要性和对风险的意识会导出安全需求;安 全需求要通过安全措施来得以满足，且是有成本 的。要根据威胁的属性和脆弱性的具体情况，有 针对性地选择和实施安全措施。
14
安全ppt
风险评估各个要素间的相互作用
威胁
威胁
残 余 风 险
施 措 全 安
险 风
施 措 全 安
勒索 破坏 恶意利用 复仇
工业间谍
竞争优势 经济间谍
威胁行为
破解
社会工程
系统入侵、闯入 未授权访问 计算机犯罪（例如网络骚扰） 欺诈行为（例如重放、身份假冒、截获） 伪造 系统入侵 炸弹/恐怖主义 信息战 系统攻击（例如分布式拒绝服务） 系统渗透 系统篡改 信息窃取 侵犯个人隐私
示 例 ： 常 见 人 为 威 胁
社会工程
系统渗透
未授权的系统访问
7
安全ppt
对基本概念的解释（续）
❖脆弱性：信息资产及其安全措施在安全方面的不 足和弱点。脆弱性也常常被称为漏洞。
❖威胁是外因，而脆弱性是内因。外因要通过内因 起作用。脆弱性是资产本身所具有的（例如系统 没有打补丁），威胁要利用脆弱性才能造成安全 事件。