信息安全风险评估与风险管理.ppt
合集下载
信息安全风险评估教材.ppt
第二步 风险因素评估
• 1资产评估 • 识别信息资产，包括数据、软件、硬件、设备、 服务、文档等，制定《信息资产列表》 • 保密性、完整性、可用性是评价资产的三个安 全属性 • 风险评估中资产的价值不是以资产的经济价值 来衡量，而是由资产在这三个属性上的达成程 度或者其安全属性未达成时所造成的影响程度 来决定的。
风险要素关系
风险评估的两种方式
自评估和检查评估 1自评估 “谁主管谁负责，谁运营谁负责” 信息系统拥有者依靠自身力量，依据国家风险 评估的管理规范和技术标准，对自有的信息系 统进行风险评估的活动。 • 优点 • • • •
• • • • 有利于保密 有利于发挥行业和部门内人员的业务特长 有利于降低风险评估的费用 有利于提高本单位的风险评估能力与信息安全知识
风险评估的两种方式
• 2 检查评估 • 检查评估是由信息安全主管部门或业务部门发 起的一种评估活动，旨在依据已经颁布的法规 或标准，检查被评估单位是否满足了这些法规 或标准。 • 检查评估通常都是定期的、抽样进行的评估模 式 • 检查评估缺点：
• 间隔时间较长，如一年一次，通常还是抽样进行 • 不能贯穿一个部门信息系统生命周期的全过程，很 难对信息系统的整体风险状况作出完整的评价
风险评估的两种方式
• 无论是自评估，还是检查评估，都可以 委托风险评估服务技术支持方实施，如 国家测评认证机构或安全企业公司。
风险分析原理
• 风险分析中要涉及资产、威胁、脆弱性 三个基本要素。 • 风险分析原理图
风险分析原理
• 风险分析的主要内容为： • 1对资产进行识别，并对资产的价值进行赋值 • 2对威胁进行识别，描述威胁的属性（威胁主体，影响 对象，出现频率，动机等），并对威胁出现的频率赋 值 • 3对脆弱性进行识别，并对具体资产的脆弱性的严重程 度赋值 • 4根据威胁及威胁利用脆弱性的难易程度判断安全时间 发生的可能性 • 根据脆弱性的严重程度和安全事件所作用的资产的价 值计算安全事件造成的损失 • 根据安全事件发生的可能性以及安全事件出现后的损 失，计算安全事件一旦发生对组织的影响，即风险值
信息系统安全风险评估培训材料幻灯片PPT
第三方访问安全控制 系统建设安全控制
脆弱性识别方法-漏洞扫描
多种扫描工具优化组合
扫描内容
u 服务与端口开放情况 u 枚举帐号/组 u 检测弱口令 u 各种系统、服务和协议漏洞 u ……
脆弱性识别方法-渗透测试
什么是渗透测试 模拟黑客对网络中的核心效劳器及重要的网络设备，包括
效劳器、网络设备、防火墙等进展非破坏性质的攻击行为， 以发现系统深层次的漏洞，并将整个过程与细节报告给用 渗户透。测试的必要性
调查问卷及其他 ?需求文档清单? ?文档交接单? ?资产调查问卷? ?资产识别清单? ?重要资产清单?
风险评估流程
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
资产识别
主要任务
u 资产信息搜集 u 资产分类 u 资产赋值
资产分类
资产类别
u 网络设备（包括路由器、交换机等） u 安全设备（包括防火墙、入侵检测系统、防病毒软件等） u 主机（包括服务器、PC终端等） u 机房及相关设施 (如UPS、门禁、灭火器、温湿计) u 重要数据（如计费数据、用户信息数据、用户帐单） u 管理制度及文档 u 人员
通过一套审计问题列表问答的形式对企业信息资产所有人和管理人员
进展访谈
信息安全现状总体评估
信息安全管理组织
10
桌面系统安全控制
信息安全风险管理
8
应用系统安全控制
6
信息安全管理制度
4
操作系统、数据库与
2
基础信息系统
安全控制
0
信息安全审计监督
网络安全控制
人员信息安全控制
物理和环境安全控制 系统运维安全控制
《信息安全》PPT课件
VPN（虚拟专用网络）技术通 过在公共网络上建立加密通道 ，确保远程用户安全地访问企 业内部网络资源。VPN技术提 供了数据加密、身份认证和访 问控制等安全功能。
远程访问安全最佳 实践
采用强密码认证、定期更换密 码、限制远程访问权限等安全 措施，确保远程访问的安全。 同时，结合VPN技术，进一步 提高远程访问的安全性。
信息安全风险是指由于威胁的存在而 导致的信息系统或其所在组织的潜在 损失，包括数据泄露、系统瘫痪、财 务损失、声誉损害等。
信息安全法律法规及合规性
信息安全法律法规
各国政府都制定了相应的信息安全法律法规，以确保信息安 全的合法性和规范性。例如，中国的《网络安全法》、欧洲 的《通用数据保护条例》(GDPR)等。
持续改进策略及最佳实践
持续改进策略
定期对信息安全管理体系进行审 查和评估，发现问题及时改进，
确保体系的持续有效运行。
最佳实践分享
借鉴国内外先进的信息安全管理经 验和最佳实践，不断提升组织的信 息安全管理水平。
创新技术应用
积极探索和应用新的信息安全技术 和管理手段，提高信息安全的防护 能力和效率。
THANK YOU
100%
数据备份策略
阐述定期备份数据的重要性，以 及不同备份策略（如完全备份、 增量备份、差异备份等）的优缺 点。
80%
数据恢复技术
探讨数据恢复的概念、方法及最 佳实践，包括文件恢复、数据库 恢复等。
数据泄露防护技术
数据泄露途径
分析数据泄露的常见途径，如 内部泄露、供应链泄露、网络 攻击等。
数据泄露防护策略
风险评估方法与流程
风险评估方法
采用定性与定量相结合的方法，对潜在的信息安全风险进行评估， 包括威胁识别、脆弱性分析、风险值计算等。
远程访问安全最佳 实践
采用强密码认证、定期更换密 码、限制远程访问权限等安全 措施，确保远程访问的安全。 同时，结合VPN技术，进一步 提高远程访问的安全性。
信息安全风险是指由于威胁的存在而 导致的信息系统或其所在组织的潜在 损失，包括数据泄露、系统瘫痪、财 务损失、声誉损害等。
信息安全法律法规及合规性
信息安全法律法规
各国政府都制定了相应的信息安全法律法规，以确保信息安 全的合法性和规范性。例如，中国的《网络安全法》、欧洲 的《通用数据保护条例》(GDPR)等。
持续改进策略及最佳实践
持续改进策略
定期对信息安全管理体系进行审 查和评估，发现问题及时改进，
确保体系的持续有效运行。
最佳实践分享
借鉴国内外先进的信息安全管理经 验和最佳实践，不断提升组织的信 息安全管理水平。
创新技术应用
积极探索和应用新的信息安全技术 和管理手段，提高信息安全的防护 能力和效率。
THANK YOU
100%
数据备份策略
阐述定期备份数据的重要性，以 及不同备份策略（如完全备份、 增量备份、差异备份等）的优缺 点。
80%
数据恢复技术
探讨数据恢复的概念、方法及最 佳实践，包括文件恢复、数据库 恢复等。
数据泄露防护技术
数据泄露途径
分析数据泄露的常见途径，如 内部泄露、供应链泄露、网络 攻击等。
数据泄露防护策略
风险评估方法与流程
风险评估方法
采用定性与定量相结合的方法，对潜在的信息安全风险进行评估， 包括威胁识别、脆弱性分析、风险值计算等。
ISMS-4-信息安全风险评估与管理
PKSEC
1.2.2 风险分析（续）
定性分析措施
定性分析措施是最广泛使用旳 风险分析措施。主要采用文字 形式或论述性旳数值范围来描 述潜在后果旳大小程度及这些 后果发生旳可能性。
该措施一般只关注威胁事件所 带来旳损失，而忽视事件发生 旳概率。
PKSEC
1.2.2 风险分析（续）
定量分析措施
注：风险管理一般涉及风险评估、风险处理、风险接受和沟通。
PKSEC
1.2 风险管理
风险管理旳概念
Wikipedia 维基百科 －自由、开发旳百科全书
风险管理又名危机管理，是指怎样在一种肯定有风险旳环境 里把风险减至最低旳管理过程。当中涉及了对风险旳量度、 评估和应变策略。理想旳风险管理，是一连串排好优先顺序 旳过程，使当中旳能够引致最大损失及最可能发生旳事情优 先处理、而相对风险较低旳事情则压后处理。 理想旳风险管理，正希望能够花至少旳资源去尽量化解最大 旳危机。
经过风险评估辨认组织所面临旳安全风 险并拟定风险控制旳优先等级，从而对 其实施有效控制，将风险控制在组织能 够接受旳范围之内。
PKSEC
1.2.1 风险评估（续）
区别风险评估和风险管理
风险管理是把整个组织内旳风险降低到可接受水平旳整个过程。 风险管理是一种连续旳周期，一般以一定旳间隔重新开始，来 更新流程中各个阶段旳数据。风险管理是一种连续循环，不断 上升旳过程。
风险评估是拟定组织面临旳风险并拟定其优先级旳过程，是风 险管理流程中最必须，最谨慎旳一种过程。当潜在旳与安全有 关旳事件在企业内发生时，如变动业务措施、发觉新旳漏洞等， 组织都可能会开启风险评估。
PKSEC
1.2.2 风险分析
风险分析(risk analysis)
1.2.2 风险分析（续）
定性分析措施
定性分析措施是最广泛使用旳 风险分析措施。主要采用文字 形式或论述性旳数值范围来描 述潜在后果旳大小程度及这些 后果发生旳可能性。
该措施一般只关注威胁事件所 带来旳损失，而忽视事件发生 旳概率。
PKSEC
1.2.2 风险分析（续）
定量分析措施
注：风险管理一般涉及风险评估、风险处理、风险接受和沟通。
PKSEC
1.2 风险管理
风险管理旳概念
Wikipedia 维基百科 －自由、开发旳百科全书
风险管理又名危机管理，是指怎样在一种肯定有风险旳环境 里把风险减至最低旳管理过程。当中涉及了对风险旳量度、 评估和应变策略。理想旳风险管理，是一连串排好优先顺序 旳过程，使当中旳能够引致最大损失及最可能发生旳事情优 先处理、而相对风险较低旳事情则压后处理。 理想旳风险管理，正希望能够花至少旳资源去尽量化解最大 旳危机。
经过风险评估辨认组织所面临旳安全风 险并拟定风险控制旳优先等级，从而对 其实施有效控制，将风险控制在组织能 够接受旳范围之内。
PKSEC
1.2.1 风险评估（续）
区别风险评估和风险管理
风险管理是把整个组织内旳风险降低到可接受水平旳整个过程。 风险管理是一种连续旳周期，一般以一定旳间隔重新开始，来 更新流程中各个阶段旳数据。风险管理是一种连续循环，不断 上升旳过程。
风险评估是拟定组织面临旳风险并拟定其优先级旳过程，是风 险管理流程中最必须，最谨慎旳一种过程。当潜在旳与安全有 关旳事件在企业内发生时，如变动业务措施、发觉新旳漏洞等， 组织都可能会开启风险评估。
PKSEC
1.2.2 风险分析
风险分析(risk analysis)
信息安全风险评估与风险管理(完整版)
> OCTAVE：Operationally Critical Threat, Asset, and Vulnerability Evaluation Framework • 卡耐基梅隆大学软件工程研究所（CMU/SEI）开发的一种综合的、系 统的信息安全风险评估方法
• 3个阶段8个过程。3个阶段分别是建立企业范围内的安全需求、识别 基础设施脆弱性、决定安全风险管理策略。
> 完整性（confidentiality）： • 保护信息及处理方法的准确性和完备性； • 不因人为的因素改变原有的内容，保证不被非法改动和销毁
> 可用性（availability）： • 当要求时，即可使用信息和相关资产。 • 不因系统故障或误操作使资源丢失。 • 响应时间要求、故障下的持续运行。
> 2005年，国信办在全国4个省市和3个行业进行风险评估的试点工作，根 据试点结果对《信息安全风险评估指南》 进行了修改。
> 2005～2006年，通过了国家标准立项的一系列程序，目前已进入正式发 布阶段。正式定名为：信息技术 信息安全风险评估规范。
- 12 -
All rights reserved © 2006
> ISO/IEC TR 13335信息技术安全管理指南 • 提出了风险评估的方法、步骤和主要内容。 • 主要步骤包括：资产识别、威胁识别、脆弱性识别、已有控制措施确 认、风险计算等过程。
> NIST SP800-30：信息技术系统风险管理指南 • 提出了风险评估的方法论和一般原则， • 风险及风险评估概念：风险就是不利事件发生的可能性。风险管理是 评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级 别的过程。
-9-
All rights reserved © 2006
• 3个阶段8个过程。3个阶段分别是建立企业范围内的安全需求、识别 基础设施脆弱性、决定安全风险管理策略。
> 完整性（confidentiality）： • 保护信息及处理方法的准确性和完备性； • 不因人为的因素改变原有的内容，保证不被非法改动和销毁
> 可用性（availability）： • 当要求时，即可使用信息和相关资产。 • 不因系统故障或误操作使资源丢失。 • 响应时间要求、故障下的持续运行。
> 2005年，国信办在全国4个省市和3个行业进行风险评估的试点工作，根 据试点结果对《信息安全风险评估指南》 进行了修改。
> 2005～2006年，通过了国家标准立项的一系列程序，目前已进入正式发 布阶段。正式定名为：信息技术 信息安全风险评估规范。
- 12 -
All rights reserved © 2006
> ISO/IEC TR 13335信息技术安全管理指南 • 提出了风险评估的方法、步骤和主要内容。 • 主要步骤包括：资产识别、威胁识别、脆弱性识别、已有控制措施确 认、风险计算等过程。
> NIST SP800-30：信息技术系统风险管理指南 • 提出了风险评估的方法论和一般原则， • 风险及风险评估概念：风险就是不利事件发生的可能性。风险管理是 评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级 别的过程。
-9-
All rights reserved © 2006
安全风险评估ppt课件
信息系统风险评估
2006年4月
北邮 信息安全中心 崔宝江
信息系统风险评估
• 一. 概述 • 二. 风险评估内容和方法 • 三. 风险评估实施过程 • 四. 风险评估实践和案例 • 五. 风险评估工具 • 六. 小结
北邮 信息安全中心 崔宝江
风险的定义
• 普通字典的解释
风险：遭受损害或损失的可能性
环境威胁：长时间电力故障、污染、化学、液体泄漏 等。
北邮 信息安全中心 崔宝江
风险的要素－脆弱性
• 与信息资产有关的弱点或安全隐患，
• 脆弱性本身并不对资产构成危害，但是在一定条件 得到满足时，脆弱性会被威胁加以利用来对信息资
产造成危害。
• 脆弱性举例
系统漏洞
配置不当
程序Bug 专业人员缺乏
L: 低风险
北邮 信息安全中心 崔宝江
定性的风险分析
风险的处理措施（示例）
E：极度风险---要求立即采取措施 H：高风险-----需要高级管理部门的注意 M：中等风险---必须规定管理责任 L: 低风险-----用日常程序处理
北邮 信息安全中心 崔宝江
定量的风险分析
定量分析：
✓ 对后果和可能性进行分析 ✓ 采用量化的数值描述后果（估计出可能损失的金额）
半定量分析
半定量分析：
✓ 在半定量分析中，上述的那些定性数值范围均为已知值。 每项说明所指的数字并不一定与后果或可能性的实际大小 程度具有精确的关系。
✓ 半定量分析的目的是为了得到比通常在定性分析中所得到 的更为详细的风险程度，但并非要提出任何在定量分析中 所得到的风险实际值。
北邮 信息安全中心 崔宝江
• 风险处理
修改风险手段的选择和实施的处理过程
2006年4月
北邮 信息安全中心 崔宝江
信息系统风险评估
• 一. 概述 • 二. 风险评估内容和方法 • 三. 风险评估实施过程 • 四. 风险评估实践和案例 • 五. 风险评估工具 • 六. 小结
北邮 信息安全中心 崔宝江
风险的定义
• 普通字典的解释
风险：遭受损害或损失的可能性
环境威胁：长时间电力故障、污染、化学、液体泄漏 等。
北邮 信息安全中心 崔宝江
风险的要素－脆弱性
• 与信息资产有关的弱点或安全隐患，
• 脆弱性本身并不对资产构成危害，但是在一定条件 得到满足时，脆弱性会被威胁加以利用来对信息资
产造成危害。
• 脆弱性举例
系统漏洞
配置不当
程序Bug 专业人员缺乏
L: 低风险
北邮 信息安全中心 崔宝江
定性的风险分析
风险的处理措施（示例）
E：极度风险---要求立即采取措施 H：高风险-----需要高级管理部门的注意 M：中等风险---必须规定管理责任 L: 低风险-----用日常程序处理
北邮 信息安全中心 崔宝江
定量的风险分析
定量分析：
✓ 对后果和可能性进行分析 ✓ 采用量化的数值描述后果（估计出可能损失的金额）
半定量分析
半定量分析：
✓ 在半定量分析中，上述的那些定性数值范围均为已知值。 每项说明所指的数字并不一定与后果或可能性的实际大小 程度具有精确的关系。
✓ 半定量分析的目的是为了得到比通常在定性分析中所得到 的更为详细的风险程度，但并非要提出任何在定量分析中 所得到的风险实际值。
北邮 信息安全中心 崔宝江
• 风险处理
修改风险手段的选择和实施的处理过程
风险评估与管理ppt课件
定量分析步骤主要集中在现场 调查阶段，针对系统关键资产 进行定量的调查、分析，为后 续评估工作提供参考依据。
概念解析4 - 风险分析（续）
定性风险分析示例（此示例来源于 ISO/IEC13335-3）
概念解析4 - 风险分析（续）
步骤1：结果或影响的定性量度
等级 1 2 3 4 5
描述 可以忽略 较小 中等 较大 灾难性
详详细描述 无伤害，低财物损失 立即受控制，中等财物损失 受控， 高财物损失 大伤害，失去生产能力，较大财物损失 持续能力中断，巨大财物损失
概念解析4 - 风险分析（续）
步骤2：可能性的定性量度
等级 A B C D E
描述 几乎肯定 很可能 可能 不太可能 罕见
详细描述 预期在大多数情况下发生 在大多数情况下很可能会发生 在某个时间可能会发生 在某个时间能够发生 仅在例外的情况下可能发生
识 别 评 估 资 产
识 别 评 估 威 胁
识 别 评 估 脆 弱 性
识 别 评 估 控 制 措 施
风 险 评 价
确 定选制实 风择定施 险安安安 处全全全 理措计计 策施划划 略
风险分析
风险处理
概念解析3 - 风险评估
风险评估(risk assessment)
风险评估指风险分析和风险评价的整个 过程。
在ISO/IEC GUIDE73将事 件定义为：
事件的概率及其结果的组合。 注1 通常，只有至少存在产 生不利结果可能性的情况下 才使用“风险”术语。 注2 在某些情况下，风险是 由偏离期望的结果或事件的 可能性引起的。
概念解析2 - 风险管理
风险管理(Risk management)
ARO: Annual Rate of Occurrence 年发生率 SLE: Single Loss Expectancy单一风险预期损失
概念解析4 - 风险分析（续）
定性风险分析示例（此示例来源于 ISO/IEC13335-3）
概念解析4 - 风险分析（续）
步骤1：结果或影响的定性量度
等级 1 2 3 4 5
描述 可以忽略 较小 中等 较大 灾难性
详详细描述 无伤害，低财物损失 立即受控制，中等财物损失 受控， 高财物损失 大伤害，失去生产能力，较大财物损失 持续能力中断，巨大财物损失
概念解析4 - 风险分析（续）
步骤2：可能性的定性量度
等级 A B C D E
描述 几乎肯定 很可能 可能 不太可能 罕见
详细描述 预期在大多数情况下发生 在大多数情况下很可能会发生 在某个时间可能会发生 在某个时间能够发生 仅在例外的情况下可能发生
识 别 评 估 资 产
识 别 评 估 威 胁
识 别 评 估 脆 弱 性
识 别 评 估 控 制 措 施
风 险 评 价
确 定选制实 风择定施 险安安安 处全全全 理措计计 策施划划 略
风险分析
风险处理
概念解析3 - 风险评估
风险评估(risk assessment)
风险评估指风险分析和风险评价的整个 过程。
在ISO/IEC GUIDE73将事 件定义为：
事件的概率及其结果的组合。 注1 通常，只有至少存在产 生不利结果可能性的情况下 才使用“风险”术语。 注2 在某些情况下，风险是 由偏离期望的结果或事件的 可能性引起的。
概念解析2 - 风险管理
风险管理(Risk management)
ARO: Annual Rate of Occurrence 年发生率 SLE: Single Loss Expectancy单一风险预期损失
信息安全风险评估与风险管理
为信息安全风险管理提供专 业咨询、培训、诊断 和工具等服务。
反馈信息安全风险管理的效 果。
三、信息安全风险管理各组成部分
1、对象确立 2、风险评估 3、风险控制 4、审核批准 5、沟通与咨询 6、监控与审查
三、信息安全风险管理各组成部分
1、对象确立 2、风险评估 3、风险控制 4、审核批准 5、沟通与咨询 6、监控与审查
sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsic201920191010212126风险评估过程风险评估对象确立风险控制风险等级评价风险程度分析风险评估准备风险因素识别风险评估的沟通与咨询风险评估的监控与审查sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsic201920191010212127风险评估准备对象确立风险评估计划风险评估程序入选风险评估方法和工具列表制定风险评估计划确定风险评估程序选择风险评估方法和工具现有风险评估方法和工具库信息系统的安全要求报告信息系统的描述报告信息系统的分析报告sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsic201920191010212128风险因素识别需要保护的资产清单面临的威胁列表存在的脆弱性列表识别需要保护的资产识别面临的威胁识别存在的脆弱性漏洞库威胁库信息系统的安全要求报告信息系统的描述报告信息系统的分析报告sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsic201920191010212129风险程度分析已有安全措施分析报告威胁源分析报告威胁行为分析报告脆弱性分析报告资产价值分析报告影响程度分析报告确认已有的安全措施分析威胁源的动机分析威胁行为的能力分析脆弱性的被利用性分析资产的价值分析影响的程度存在的脆弱性列表面临的威胁列表需要保护的资产清单信息系统的描述报告信息系统的分析报告信息系统的安全要求报告sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfose
反馈信息安全风险管理的效 果。
三、信息安全风险管理各组成部分
1、对象确立 2、风险评估 3、风险控制 4、审核批准 5、沟通与咨询 6、监控与审查
三、信息安全风险管理各组成部分
1、对象确立 2、风险评估 3、风险控制 4、审核批准 5、沟通与咨询 6、监控与审查
sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsic201920191010212126风险评估过程风险评估对象确立风险控制风险等级评价风险程度分析风险评估准备风险因素识别风险评估的沟通与咨询风险评估的监控与审查sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsic201920191010212127风险评估准备对象确立风险评估计划风险评估程序入选风险评估方法和工具列表制定风险评估计划确定风险评估程序选择风险评估方法和工具现有风险评估方法和工具库信息系统的安全要求报告信息系统的描述报告信息系统的分析报告sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsic201920191010212128风险因素识别需要保护的资产清单面临的威胁列表存在的脆弱性列表识别需要保护的资产识别面临的威胁识别存在的脆弱性漏洞库威胁库信息系统的安全要求报告信息系统的描述报告信息系统的分析报告sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsic201920191010212129风险程度分析已有安全措施分析报告威胁源分析报告威胁行为分析报告脆弱性分析报告资产价值分析报告影响程度分析报告确认已有的安全措施分析威胁源的动机分析威胁行为的能力分析脆弱性的被利用性分析资产的价值分析影响的程度存在的脆弱性列表面临的威胁列表需要保护的资产清单信息系统的描述报告信息系统的分析报告信息系统的安全要求报告sicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfosecsicinfose
第八讲信息安全风险评估ppt课件
服务
办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务 网络服务：各种网络设备、设施提供的网络连接服务 信息服务：对外依赖该系统开展服务而取得业务收入的服务
文档
纸质的各种文件、传真、电报、财务报告、发展计划等
人员
掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等
风险评估
信息安全风险评估概述
信息安全风险评估策略
信息安全风险评估流程
信息安全风险评估方法
风险评估案例
风险评估概述
信息安全风险评估概述
风险评估概述
A风险因子
B风险因子
危险源
结合
隐患：内部失控
事故
外部作用
产生了人们不期望的后果
超出设定安全界限的状态、行为
风险评估概述
系统
减少：人的不安全行为
改变：环境不安全条件
6、低优先观察清单
5、进一步分析的风险
4、需近期处理的风险
3、风险成因及需关注领域
2、按类别分类的风险
1、优先级清单
风险登记册（更新）
组织过程资产
风险管理计划
项目范围说明书
风险分类
风险紧迫性评估
专家判断
风险评估概述
4、实施定量风险分析流程
依据
工具、技术
结果
风险登记册
风险管理计划
成本管理计划
进度管理计划
风险评估概述
脆弱点主要表现在从技术和管理两个方面 技术脆弱点是指信息系统在设计、实现、运行时在技术方面存在的缺陷或弱点。 管理脆弱点则是指组织管理制度、流程等方面存在的缺陷或不足。例如： 安装杀毒软件或病毒库未及时升级 操作系统或其他应用软件存在拒绝服务攻击漏洞 数据完整性保护不够完善 数据库访问控制机制不严格都属于技术脆弱点 系统机房钥匙管理不严、人员职责不清、未及时注销离职人员对信息系统的访问权限等
办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务 网络服务：各种网络设备、设施提供的网络连接服务 信息服务：对外依赖该系统开展服务而取得业务收入的服务
文档
纸质的各种文件、传真、电报、财务报告、发展计划等
人员
掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等
风险评估
信息安全风险评估概述
信息安全风险评估策略
信息安全风险评估流程
信息安全风险评估方法
风险评估案例
风险评估概述
信息安全风险评估概述
风险评估概述
A风险因子
B风险因子
危险源
结合
隐患：内部失控
事故
外部作用
产生了人们不期望的后果
超出设定安全界限的状态、行为
风险评估概述
系统
减少：人的不安全行为
改变：环境不安全条件
6、低优先观察清单
5、进一步分析的风险
4、需近期处理的风险
3、风险成因及需关注领域
2、按类别分类的风险
1、优先级清单
风险登记册（更新）
组织过程资产
风险管理计划
项目范围说明书
风险分类
风险紧迫性评估
专家判断
风险评估概述
4、实施定量风险分析流程
依据
工具、技术
结果
风险登记册
风险管理计划
成本管理计划
进度管理计划
风险评估概述
脆弱点主要表现在从技术和管理两个方面 技术脆弱点是指信息系统在设计、实现、运行时在技术方面存在的缺陷或弱点。 管理脆弱点则是指组织管理制度、流程等方面存在的缺陷或不足。例如： 安装杀毒软件或病毒库未及时升级 操作系统或其他应用软件存在拒绝服务攻击漏洞 数据完整性保护不够完善 数据库访问控制机制不严格都属于技术脆弱点 系统机房钥匙管理不严、人员职责不清、未及时注销离职人员对信息系统的访问权限等
《信息安全风险评估》课件
风险评估
根据识别的威胁和脆弱性，评估潜在的后果 和可能性，确定风险的等级。
04
风险评价
评价方法
定性评价法
基于专家经验和知识，对风险进行主观评估 。
定量评价法
运用数学模型和统计方法，对风险进行客观 量化的评估。
综合评价法
结合定性评价和定量评价，综合考虑各种因 素，得出全面准确的风险评估结果。
评价工具
保障业务连续性
有效的风险评估有助于降低安全事件发生的可能性，减少业务中断 的风险，保障业务的连续性。
风险评估的流程
确定评估范围
明确评估对象和范围，确定需要评估的信息系统和相关 资产。
收集信息
收集与信息系统相关的各种信息，包括系统架构、安全 配置、安全日志等。
识别威胁和脆弱性
分析信息系统中可能存在的威胁和脆弱性，了解潜在的 安全风险。
05
风险应对
应对策略
检测策略
通过检测机制及时发现和响应信息安全风险 ，降低风险影响程度。
预防策略
通过采取预防措施，降低或消除信息安全风 险的发生概率。
恢复策略
制定和实施恢复计划，以尽快恢复受影响的 信息系统和服务。
应对措施
技术措施
采用先进的安全技术，如加 密、防火墙、入侵检测等， 提高信息系统的安全性。
风ห้องสมุดไป่ตู้评估
对识别出的威胁和脆弱性进行定性和定量评估，确定风 险等级和影响程度。
制定控制措施
根据风险评估结果，制定相应的风险控制措施，降低或 消除风险。
持续监测与改进
对实施控制措施后的信息系统进行持续监测，及时发现 和处理新的风险，不断改进和完善风险评估体系。
02
风险识别
识别方法
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
-6-
All rights reserved © 2006
信息系统风险模型
所有者 攻击者
对策
漏洞
威胁
风险
资产
-7-
All rights reserved © 2006
风险计算依据
资产拥有者
信息资产 价值
弱点 难易程度
威胁来源
威胁
可能性
影响
严重性
-8-
All rights reserved © 2006
ISO/IEC TR 13335信息技术安全管理指南 • 提出了风险评估的方法、步骤和主要内容。
• 主要步骤包括：资产识别、威胁识别、脆弱性识别、已有控制措施确 认、风险计算等过程。
NIST SP800-30：信息技术系统风险管理指南 • 提出了风险评估的方法论和一般原则， • 风险及风险评估概念：风险就是不利事件发生的可能性。风险管理是
完整性、可用性或合法使用所造成的危险。
-4-
All rights reserved © 2006
Key word II
❖ 威胁(Threat): 是指可能对资产或组织造成损害的事故的潜在原因。
❖ 薄弱点(Vulnerability): 是指资产或资产组中能被威胁利用的弱点。
❖ 风险(Risk): 特定的威胁利用资产的一种或一组薄弱点，导致资产的
- 12 -
All rights reserved © 2006
《信息安全风险评估规范》标准操作的主 要内容
引言 定义与术语 风险评估概述 风险评估流程及模型 风险评估实施 • 资产识别 • 脆弱性识别 • 威胁识别 • 已有安全措施确认 风险评估在信息系统生命周期中的不同要求 风险评估的形式及角色 附录
评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级 别的过程。
- 11 -
All rights reserved © 2006
我国信息安全风险评估标准发展历程
2001年，随着GB/T 18336的正式发布，从风险的角度来认识、理解信 息安全也逐步得到了业界的认可。
2003年，国务院信息化办公室成立了风险评估研究课题组，对风险评估 相关问题进行研究。
-3-
All rights reserved © 2006
Key words I
信息安全：信息的保密性、完整性、可用性的保持。
风险评估：对信息和信息处理设施的威胁，影响和薄弱 点以及威胁发生的可能性的评估。
风险管理：以可接受的费用识别、控制、降低或消除可 能影响信息系统安全的风险的过程。
威胁：是指某个人、物、事件或概念对某一资源的保密性、
后果 风险
可能性
目录
一、风险评估中的概念及模型 二、风险评估标准 三、风险评估流程与方法 四、风险评估的输出结果 五、风险管理 六、总结
-9-
All rights reserved © 2006
国外相关信息安全风险评估标准简介（1）
ISO 27001：信息安全管理体系规范、ISO 17799 信息安全管理实践指南 • 基于风险管理的理念，提出了11个控制大类、34个控制目标和133个
2004年，提出了《信息安全风险评估指南》标准草案 ，其规定了风险评 估的一些内容和流程，基本与SP800-30中的内容一致。
2005年，国信办在全国4个省市和3个行业进行风险评估的试点工作，根 据试点结果对《信息安全风险评估指南》 进行了修改。
2005～2006年，通过了国家标准立项的一系列程序，目前已进入正式发 布阶段。正式定名为：信息技术 信息安全风险评估规范。
丢失或损害的潜在可能性，即特定威胁事件发生的可能性 与后果的结合。
-5-
All rights reserved © 2006
风险评估的目的和意义
认识现有的资产及其价值 对信息系统安全的各个方面的当前潜在威胁、弱点和影响进 行全面的评估 通过安全评估，能够清晰地了解当前所面临的安全风险，清 晰地了解信息系统的安全现状 明确地看到当前安全现状与安全目标之间的差距 为下一步控制和降低安全风险、改善安全状况提供客观和翔 实的依据
- 13 -
All rights reserved © 2006
标准内容：引言
提出了风险评估的作用、定位及目的。
作用：
• 过对信息系统的资产、面临威胁、存在的脆弱性、采用的安全控制措 施等进行分析，确定信息系统面临的安全风险，从技术和管理两个层 面综合判断信息系统面临的风险。
信息安全风险评估与风险管理
目录
一、风险评估中的概念及模型 二、风险评估标准 三、风险评估流程与方法 四、风险评估的输出结果 五、风险管理 六、总结
-2-
All rights reserved © 2006
信息安全的定义
机密性（integrity）： • 确保该信息仅对已授权访问的人们才可访问 • 只有拥有者许可，才可被其他人访问 完整性（confidentiality）： • 保护信息及处理方法的准确性和完备性； • 不因人为的因素改变原有的内容，保证不被非法改动和销毁 可用性（availability）： • 当要求时，即可使用信息和相关资产。 • 不因系统故障或误操作使资源丢失。 • 响应时间要求、故障下的持续运行。 其他：可控性、可审查性
控制措施 ； • 提出风险评估的要求，并未对适用于信息系统的风险评估方法和管理
方法做具体的描述。
OCTAVE：Operationally Critical Threat, Asset, and Vulnerability Evaluation Framework
• 卡耐基梅隆大学软件工程研究所（CMU/SEI）开发的一种综合的、系 统的信息安全风险评估方法
国外相关信息安全风险评估标准简介（2）
AS/NZS 4360：1999 风险管理 • 澳大利亚和新西兰联合开发的风险管理标准 • 将对象定位在“信息系统”；在资产识别和评估时，采取半定量化的
方法，将威胁、风险发生可能性、造成的影响划分为不同的等级。 • 分为建立环境、风险识别、风险分析、风险评价、风险处置等步骤。
• 3个阶段8个过程。3个阶段分别是建立企业范围内的安全需求、识别 基础设施脆弱性、决定安全风险管理策略。
• OCTAVE 实施指南（OCTAVESM Catalog of Practices, Version 2.0），该实施指南阐述了具体的安全策eserved © 2006