信息安全风险评估(20090219)ppt课件
合集下载
信息安全风险评估工作课件
建设独立自主、符合国际惯例的风险评估技术支撑体系
举国家之力，支持建设独立自主、符合国际惯例的风险评估技术支撑体系。建设国家基础信息网络和重要信息系统风险评估的基础设施和基础环境；落实开发相关技术和产品的攻关项目。通过研发自主关键技术和设备，满足国家网络基础设施和重要信息系统的风险评估需求，支持安全评估应用逐步建立符合国际惯例、达到国际先进水平的安全评估技术支撑体系
试点工作与标准验证
试点工作对去年国信办组织制定的两项试行标准进行了验证，提出了修订建议绝大多数试点单位大都参照了去年国信办和国家安标委组织编写的《信息安全风险评估指南》及《信息安全风险管理指南》。试点单位大都结合自身的具体情况，选择了相应的评估方法和适当的安全控制措施及管理流程，实践经验证明各试点单位评估基于的基本原则和核心方法与试行标准指南大体吻合一致。
典型方法之三：量化风险（续）
在本次试点中，结合试点单位评估实践经验、以及行业管理特性，有的试点单位对风险计算方法进行了如下的扩展：其中：c代表“机密性方面的”、i代表“完整性方面的”、a代表“可用性方面的”，t代表“技术方面的”、m代表“管理方面的”、o代表“运维方面的”、W为技术、运维和管理脆弱性之间的相关性，Wt 、Wm 、Wo 之和等于1。
下一步建议
认真总结经验统一规划、建立制度。制定国家基础网络和重要信息系统的风险评估总体规划以及“十一五”期间的工作计划。积极推进风险评估基本管理制度的建立；应尽快就国家基础信息网络和重要信息系统风险评估工作所涉及的领导体制、协调机制、认证与认可、监管和督察、评估时间、评估对象、评估范围、评估方式、评估人员资质、评估结果发布和备案等内容，进一步开展研究，形成风险评估工作管理法规制度加快建立、逐步完善标准规范体系。标准规范是推广和实施风险评估工作的法律依据和技术保障，要加快风险评估管理与技术标准的制定和完善， 研究评估机构服务标准、资质认可与资质的核查评估的管理办法；尽快出台国家标准。
信息安全风险评估教材.ppt
第二步 风险因素评估
• 1资产评估 • 识别信息资产，包括数据、软件、硬件、设备、 服务、文档等，制定《信息资产列表》 • 保密性、完整性、可用性是评价资产的三个安 全属性 • 风险评估中资产的价值不是以资产的经济价值 来衡量，而是由资产在这三个属性上的达成程 度或者其安全属性未达成时所造成的影响程度 来决定的。
风险要素关系
风险评估的两种方式
自评估和检查评估 1自评估 “谁主管谁负责，谁运营谁负责” 信息系统拥有者依靠自身力量，依据国家风险 评估的管理规范和技术标准，对自有的信息系 统进行风险评估的活动。 • 优点 • • • •
• • • • 有利于保密 有利于发挥行业和部门内人员的业务特长 有利于降低风险评估的费用 有利于提高本单位的风险评估能力与信息安全知识
风险评估的两种方式
• 2 检查评估 • 检查评估是由信息安全主管部门或业务部门发 起的一种评估活动，旨在依据已经颁布的法规 或标准，检查被评估单位是否满足了这些法规 或标准。 • 检查评估通常都是定期的、抽样进行的评估模 式 • 检查评估缺点：
• 间隔时间较长，如一年一次，通常还是抽样进行 • 不能贯穿一个部门信息系统生命周期的全过程，很 难对信息系统的整体风险状况作出完整的评价
风险评估的两种方式
• 无论是自评估，还是检查评估，都可以 委托风险评估服务技术支持方实施，如 国家测评认证机构或安全企业公司。
风险分析原理
• 风险分析中要涉及资产、威胁、脆弱性 三个基本要素。 • 风险分析原理图
风险分析原理
• 风险分析的主要内容为： • 1对资产进行识别，并对资产的价值进行赋值 • 2对威胁进行识别，描述威胁的属性（威胁主体，影响 对象，出现频率，动机等），并对威胁出现的频率赋 值 • 3对脆弱性进行识别，并对具体资产的脆弱性的严重程 度赋值 • 4根据威胁及威胁利用脆弱性的难易程度判断安全时间 发生的可能性 • 根据脆弱性的严重程度和安全事件所作用的资产的价 值计算安全事件造成的损失 • 根据安全事件发生的可能性以及安全事件出现后的损 失，计算安全事件一旦发生对组织的影响，即风险值
第8章 信息安全风险评估
其改进提供参考。
信息安全风险评估的原则有： (1) 可控性原则。
包括人员可控(资格审查备案与工作确认)、工具可控
(风险评估工具的选择，以及对相关方的知会)、项目过程 可控(重视项目的管理沟通，运用项目管理科学方法)。
(2) 可靠性原则。
要求风险评估要参考有关的信息安全标准和规定，例 如GB/T 20984—2007《信息安全风险评估规范》等，做到 有据可查。
25 例如某IT服务公司的服务器遭受DDoS等攻击，造成不能提
供正常的信息服务，其直接的损失表现为服务器本身的价
值损失和修复所需的人力、物力等，而间接损失较为复杂， 由于服务器不能正常工作，信息系统不能提供正常的服务，
导致公司业务量的损失、企业形象受损等，这些损失往往
流程
数据 文档 人员 其他
16
2. 威胁
威胁(Threat)是指可能对组织或资产导致损害的潜在原
因。 威胁有潜力导致不期望发生的安全事件发生，从而对
系统、组织、资产造成损害。这种损害可能是偶然性事件，
但更多的可能是蓄意的对信息系统和服务所处理信息的直 接或间接的攻击行为，例如非授权的泄露、修改、停机等。 威胁主要来源于环境因素和人为因素，其中人为因素 包括恶意的和非恶意人员。
受委托的评估方要对评估过程进行保密，应与委托的
被评估方签署相关的保密和非侵害性协议，未经允许不得 将数据泄露给任何其他组织和个人。
10
8.1.2
实施信息安全风险评估的好处
(1) 风险评估是建立信息安全风险管理策略的基础。如
果一个管理者不进行风险评估就选择了一种安全防护措施 (设备或方法)，也许或造成浪费或已实施的安全防护无法
8 (3) 完整性原则。
第八讲信息安全风险评估ppt课件
服务
办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务 网络服务：各种网络设备、设施提供的网络连接服务 信息服务：对外依赖该系统开展服务而取得业务收入的服务
文档
纸质的各种文件、传真、电报、财务报告、发展计划等
人员
掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等
风险评估
信息安全风险评估概述
信息安全风险评估策略
信息安全风险评估流程
信息安全风险评估方法
风险评估案例
风险评估概述
信息安全风险评估概述
风险评估概述
A风险因子
B风险因子
危险源
结合
隐患：内部失控
事故
外部作用
产生了人们不期望的后果
超出设定安全界限的状态、行为
风险评估概述
系统
减少：人的不安全行为
改变：环境不安全条件
6、低优先观察清单
5、进一步分析的风险
4、需近期处理的风险
3、风险成因及需关注领域
2、按类别分类的风险
1、优先级清单
风险登记册（更新）
组织过程资产
风险管理计划
项目范围说明书
风险分类
风险紧迫性评估
专家判断
风险评估概述
4、实施定量风险分析流程
依据
工具、技术
结果
风险登记册
风险管理计划
成本管理计划
进度管理计划
风险评估概述
脆弱点主要表现在从技术和管理两个方面 技术脆弱点是指信息系统在设计、实现、运行时在技术方面存在的缺陷或弱点。 管理脆弱点则是指组织管理制度、流程等方面存在的缺陷或不足。例如： 安装杀毒软件或病毒库未及时升级 操作系统或其他应用软件存在拒绝服务攻击漏洞 数据完整性保护不够完善 数据库访问控制机制不严格都属于技术脆弱点 系统机房钥匙管理不严、人员职责不清、未及时注销离职人员对信息系统的访问权限等
办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务 网络服务：各种网络设备、设施提供的网络连接服务 信息服务：对外依赖该系统开展服务而取得业务收入的服务
文档
纸质的各种文件、传真、电报、财务报告、发展计划等
人员
掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等
风险评估
信息安全风险评估概述
信息安全风险评估策略
信息安全风险评估流程
信息安全风险评估方法
风险评估案例
风险评估概述
信息安全风险评估概述
风险评估概述
A风险因子
B风险因子
危险源
结合
隐患：内部失控
事故
外部作用
产生了人们不期望的后果
超出设定安全界限的状态、行为
风险评估概述
系统
减少：人的不安全行为
改变：环境不安全条件
6、低优先观察清单
5、进一步分析的风险
4、需近期处理的风险
3、风险成因及需关注领域
2、按类别分类的风险
1、优先级清单
风险登记册（更新）
组织过程资产
风险管理计划
项目范围说明书
风险分类
风险紧迫性评估
专家判断
风险评估概述
4、实施定量风险分析流程
依据
工具、技术
结果
风险登记册
风险管理计划
成本管理计划
进度管理计划
风险评估概述
脆弱点主要表现在从技术和管理两个方面 技术脆弱点是指信息系统在设计、实现、运行时在技术方面存在的缺陷或弱点。 管理脆弱点则是指组织管理制度、流程等方面存在的缺陷或不足。例如： 安装杀毒软件或病毒库未及时升级 操作系统或其他应用软件存在拒绝服务攻击漏洞 数据完整性保护不够完善 数据库访问控制机制不严格都属于技术脆弱点 系统机房钥匙管理不严、人员职责不清、未及时注销离职人员对信息系统的访问权限等
《信息安全风险评估》课件
风险评估
根据识别的威胁和脆弱性，评估潜在的后果 和可能性，确定风险的等级。
04
风险评价
评价方法
定性评价法
基于专家经验和知识，对风险进行主观评估 。
定量评价法
运用数学模型和统计方法，对风险进行客观 量化的评估。
综合评价法
结合定性评价和定量评价，综合考虑各种因 素，得出全面准确的风险评估结果。
评价工具
保障业务连续性
有效的风险评估有助于降低安全事件发生的可能性，减少业务中断 的风险，保障业务的连续性。
风险评估的流程
确定评估范围
明确评估对象和范围，确定需要评估的信息系统和相关 资产。
收集信息
收集与信息系统相关的各种信息，包括系统架构、安全 配置、安全日志等。
识别威胁和脆弱性
分析信息系统中可能存在的威胁和脆弱性，了解潜在的 安全风险。
05
风险应对
应对策略
检测策略
通过检测机制及时发现和响应信息安全风险 ，降低风险影响程度。
预防策略
通过采取预防措施，降低或消除信息安全风 险的发生概率。
恢复策略
制定和实施恢复计划，以尽快恢复受影响的 信息系统和服务。
应对措施
技术措施
采用先进的安全技术，如加 密、防火墙、入侵检测等， 提高信息系统的安全性。
风ห้องสมุดไป่ตู้评估
对识别出的威胁和脆弱性进行定性和定量评估，确定风 险等级和影响程度。
制定控制措施
根据风险评估结果，制定相应的风险控制措施，降低或 消除风险。
持续监测与改进
对实施控制措施后的信息系统进行持续监测，及时发现 和处理新的风险，不断改进和完善风险评估体系。
02
风险识别
识别方法
信息安全风险评估ppt
信息安全风险评估ppt
标题：信息安全风险评估
内容：
1. 什么是信息安全风险评估？
- 信息安全风险评估是对组织的信息系统和数据进行全面评估，从而了解可能存在的安全威胁和风险。
2. 为什么进行信息安全风险评估？
- 保护组织的敏感信息和数据不被盗窃、泄露或被破坏。
- 遵守法规和合规要求。
- 提高组织的信誉和声誉。
- 减少潜在的财务损失。
3. 信息安全风险评估的步骤：
- 确定评估目标和范围。
- 收集和分析信息。
- 评估和计算风险。
- 提出建议和措施。
- 编写报告和总结。
4. 信息安全风险评估的工具和技术：
- 漏洞扫描工具：用于检测系统中的漏洞和弱点。
- 渗透测试：模拟黑客攻击，评估系统的安全性。
- 安全评估问卷调查：了解员工对安全措施的知识和实际应用情况。
- 日志和监控系统：分析系统日志和监控数据，发现异常活
动。
5. 信息安全风险评估的挑战：
- 技术限制：一些系统可能无法完全评估。
- 人为因素：员工的行为和意识对信息安全的影响。
- 不断变化的威胁：安全威胁和攻击技术不断演进。
6. 信息安全风险评估的好处：
- 提供全面的安全风险意识和认知。
- 为制定安全策略和措施提供依据。
- 降低安全风险和潜在损失。
结束语：
信息安全风险评估是确保组织安全重要步骤之一，通过评估和识别潜在的安全威胁和风险，组织能够制定相应的安全措施和策略，保护敏感信息和数据。
不断进行风险评估是持续改进和保障信息安全的关键。
信息安全风险评估(20090219)
风险管理是一个持续改进的过程
处理 评价
分析 估算
信息安全风险管理是一个持 续的过程。该过程应该建立 范畴，评估风险，并利用风 险处置计划来实施建议和决 策以处置风险。风险管理分 析，是在决定应该做什么和 什么时候做之前分析可能发 生什么以及可能的后果是什 么，以将风险降低到可以接 受的级别。
风险评估的基本要素
信息安全风险管理过程由确定范畴、风险评估、风 险处置、风险接受、风险沟通以及风险监视和评审 组成。
ISO 27005的风险管理模型
建立环境
风 险
风险识别
分
析
风险估算
风
风
险
险
风险评估
风险评价
沟
监 视
通
风险评估是否
no
满足要求？
和 评
yes
审
风险处理
风险处置是否
no
满足要求？
yes
风险接受
ISMS过程与风险管理活动
风险评估实施流程
资产识别
风险识别 保持已有的控制措施
风险评估的准备
威胁识别
已有安全措施的确认
风险计算
是
风险是否接受
否
选择适当的控制措施并评估残余风险
是否接受残余风险
否
是
实施风险管理
脆弱性识别 评估过程文档 评估过程文档
评估结果文档 风险评估结果记录
………………
信息安全风险管理过程
信息安全风险管理过程可能应用于整个组织，组织 的任何部分（如部门、物理区域或某个服务），任 何信息系统，现有、计划或特定部分的控制措施（ 如业务连续性计划）。
影响 中等
3 E E H M M
较大 4 E E E H H
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
信息安全风险管理过程由确定范畴、风险评估、风 险处置、风险接受、风险沟通以及风险监视和评审 组成。
.
ISO 27005的风险管理模型
建立环境
风
险
风险识别
分
析
风险估算
风
风
险
险
风险评估
风险评价
沟
监 视
通
风险评估是否
no
满足要求？
和 评
yes
审
风险处理
风险处置是否
no
满足要求？
yes
风险.接受
ISMS过程与风险管理活动
.
风险管理过程
风险管理是指导和控制一个组织相关风险的协调活动。
.
风险的定量分析
SLE(Single Loss Expectancy，单一风险预期损失) ARO(Annual Rate of Occurrence，年发生次数) ALE(Annual Loss Expectancy，年预期损失)＝SLE * ARO ROSI(Return On Security Investment，确定安全投资收益)
.
风险的定性描述
▪ 风险的可能性
等级 A B C D E
描述 几乎肯定 很可能 可能 不太可能 罕见
▪ 风险的影响
等级 1 2 3 4 5
描述 可以忽略 较小 中等 较大 灾难性
.
风险的分析矩阵
可能性
A 几乎肯定 B 很可能 C 可能 D 不太可能 E 罕见
可以忽略 1 H M L L L
较小 2 E H M L L
影响 中等
3 E E H M M
较大 4 E E E H H
灾难性 5 E E E E H
E——要求立即采取措施 M——必须规定管理责任
H——需要高级管理部门的注意 L——. 用日常程序处理
定性与定量
目前没有严格的定量分析的计算公式。 定量分析的数字来源往往并不精确。 目前信息安全事件管理的水平还比较低，难 以做定量分析。 在积累了足够多的样本后，才能比较精确地 估算事件发生的概率和发生后的后果。 在实践中，定量与定性的风险分析方法要综 合使用。
ISMS过程
PLAN 规划
DO 实施 CHECK 检查 ACT 检查
风险管理活动
建立环境，确定范畴 ； 风险评估； 风险处理计划； 风险接受
实施风险处理计划 （减缓风险的措施可参考ISO 27002或其他相关的指南）
持续的监视与评审风险 （环境、资产、威胁和脆弱性等发生变化时都需要密切监视）
保持与提高信息安全管理过程
.
ISO 27001对风险评估的要求(1)
章条
引言 0.2 过程方法
引言 0.2 过程方法
内容
b) 从组织整体业务风险的角度，实施和运行控制措施，以管理组 织的信息安全风险；
本标准为实施OECD指南中规定的风险评估、安全设计和实施、 安全管理和再评估的原则提供了一个强健的模型。
.
风险评估实施流程
资产识别
风险识别 保持已有的控制措施
风险评估的准备
威胁识别
已有安全措施的确认
风险计算
是
风险是否接受
否
选择适当的控制措施并评估残余风险
是否接受残余风险
否
是
实施风险.管理
脆弱性识别 评估过程文档 评估过程文档
评估结果文档 风险评估结果记录
………………信息安全风险管过程信息安全风险管理过程可能应用于整个组织，组织 的任何部分（如部门、物理区域或某个服务），任 何信息系统，现有、计划或特定部分的控制措施（ 如业务连续性计划）。
ROSI = 实施前的ALE – 实施控制后的ALE – 年控制成本
一个组织的网络设备资产价值为100万元，一次意外火灾使其损失了25%，则 SLE=100×25%＝25万元。按照经验统计，这样的火灾每5年发生一次，则ARO=1/5=0.2 。ALE=25*0.2=5万元。 购买灭火器和火灾告警器可以降低火灾发生概率和损害程度，成本为3万元，寿命3年，则 年控制成本＝3/3＝1万元。 实施后，火灾损害率降为5％，发生次数为10年1次，则ALE=100*5%*0.1=5000元。 所以，ROSI=5-0.5-1=3.5万元。
威胁 演变
组织使命
暴露
依赖 资产
拥有
资产价值
增加
成本
增加
风险
导出
资产价值
残留
被满足
安全事件
残余风险
可能诱发
未控制
安全措施
.
风险评估工具
.
信息安全风险管理的内容
识别风险 依据风险造成的业务后果和发生的可能性进行风险评估 就风险的后果和可能性进行沟通并达成理解 建立风险处置的优先次序 对降低风险的活动进行排序 在做出风险管理决策时，让利益相关方参与，并及时告知风险管理的状 态 有效监视风险处置 监视风险和风险管理过程，并定期评审 收集信息以改进风险管理方法 应该对管理者和员工进行有关风险和减轻风险所应采取行动的培训
残余风险 residual risk 经过风险处理后遗留的风险。
风险接受 risk acceptance 接受风险的决定。
风险管理 risk management 指导和控制一个组织相关风险的协. 调活动。
理解风险(2)
风险是客观存在的。 风险和不确定性紧密相连，但不能完全等同。 风险强调的是损害的潜在可能性，而不是事实上的损害。 风险不能消除至尽，包括人为因素带来的风险，也一样不能 消除至尽。 衡量风险的两个基本要素就是事件的概率和其（产生的）后 果。 对信息安全而言，导致风险的事件是威胁利用了资产（或系 统）的脆弱点。
风险分析 risk analysis 系统地使用信息来识别风险来源和估计风险。
风险评价 risk evaluation 将估计的风险与给定的风险准则加以比较以确定风险严重性的过程。
风险评估 risk assessment 风险分析和风险评价的整个过程。
风险处理 risk treatment 选择并且执行措施来更改风险的过程。
信息安全技术风险管理
Information Security Risk Management
中山大学信息与网络中心 李磊 博士
lilei@ 2009年2月
.
什么是风险
风险是一个指定的威胁 利用一项资产或多项资 产的脆弱性，并由此造 成损害或破坏的可能性 。
.
理解风险(1)
.
风险管理是一个持续改进的过程
信息安全风险管理是一个持 续的过程。该过程应该建立 范畴，评估风险，并利用风 险处置计划来实施建议和决 策以处置风险。风险管理分 析，是在决定应该做什么和 什么时候做之前分析可能发 生什么以及可能的后果是什 么，以将风险降低到可以接 受的级别。
.
风险评估的基本要素
脆弱性 利用
.
ISO 27005的风险管理模型
建立环境
风
险
风险识别
分
析
风险估算
风
风
险
险
风险评估
风险评价
沟
监 视
通
风险评估是否
no
满足要求？
和 评
yes
审
风险处理
风险处置是否
no
满足要求？
yes
风险.接受
ISMS过程与风险管理活动
.
风险管理过程
风险管理是指导和控制一个组织相关风险的协调活动。
.
风险的定量分析
SLE(Single Loss Expectancy，单一风险预期损失) ARO(Annual Rate of Occurrence，年发生次数) ALE(Annual Loss Expectancy，年预期损失)＝SLE * ARO ROSI(Return On Security Investment，确定安全投资收益)
.
风险的定性描述
▪ 风险的可能性
等级 A B C D E
描述 几乎肯定 很可能 可能 不太可能 罕见
▪ 风险的影响
等级 1 2 3 4 5
描述 可以忽略 较小 中等 较大 灾难性
.
风险的分析矩阵
可能性
A 几乎肯定 B 很可能 C 可能 D 不太可能 E 罕见
可以忽略 1 H M L L L
较小 2 E H M L L
影响 中等
3 E E H M M
较大 4 E E E H H
灾难性 5 E E E E H
E——要求立即采取措施 M——必须规定管理责任
H——需要高级管理部门的注意 L——. 用日常程序处理
定性与定量
目前没有严格的定量分析的计算公式。 定量分析的数字来源往往并不精确。 目前信息安全事件管理的水平还比较低，难 以做定量分析。 在积累了足够多的样本后，才能比较精确地 估算事件发生的概率和发生后的后果。 在实践中，定量与定性的风险分析方法要综 合使用。
ISMS过程
PLAN 规划
DO 实施 CHECK 检查 ACT 检查
风险管理活动
建立环境，确定范畴 ； 风险评估； 风险处理计划； 风险接受
实施风险处理计划 （减缓风险的措施可参考ISO 27002或其他相关的指南）
持续的监视与评审风险 （环境、资产、威胁和脆弱性等发生变化时都需要密切监视）
保持与提高信息安全管理过程
.
ISO 27001对风险评估的要求(1)
章条
引言 0.2 过程方法
引言 0.2 过程方法
内容
b) 从组织整体业务风险的角度，实施和运行控制措施，以管理组 织的信息安全风险；
本标准为实施OECD指南中规定的风险评估、安全设计和实施、 安全管理和再评估的原则提供了一个强健的模型。
.
风险评估实施流程
资产识别
风险识别 保持已有的控制措施
风险评估的准备
威胁识别
已有安全措施的确认
风险计算
是
风险是否接受
否
选择适当的控制措施并评估残余风险
是否接受残余风险
否
是
实施风险.管理
脆弱性识别 评估过程文档 评估过程文档
评估结果文档 风险评估结果记录
………………信息安全风险管过程信息安全风险管理过程可能应用于整个组织，组织 的任何部分（如部门、物理区域或某个服务），任 何信息系统，现有、计划或特定部分的控制措施（ 如业务连续性计划）。
ROSI = 实施前的ALE – 实施控制后的ALE – 年控制成本
一个组织的网络设备资产价值为100万元，一次意外火灾使其损失了25%，则 SLE=100×25%＝25万元。按照经验统计，这样的火灾每5年发生一次，则ARO=1/5=0.2 。ALE=25*0.2=5万元。 购买灭火器和火灾告警器可以降低火灾发生概率和损害程度，成本为3万元，寿命3年，则 年控制成本＝3/3＝1万元。 实施后，火灾损害率降为5％，发生次数为10年1次，则ALE=100*5%*0.1=5000元。 所以，ROSI=5-0.5-1=3.5万元。
威胁 演变
组织使命
暴露
依赖 资产
拥有
资产价值
增加
成本
增加
风险
导出
资产价值
残留
被满足
安全事件
残余风险
可能诱发
未控制
安全措施
.
风险评估工具
.
信息安全风险管理的内容
识别风险 依据风险造成的业务后果和发生的可能性进行风险评估 就风险的后果和可能性进行沟通并达成理解 建立风险处置的优先次序 对降低风险的活动进行排序 在做出风险管理决策时，让利益相关方参与，并及时告知风险管理的状 态 有效监视风险处置 监视风险和风险管理过程，并定期评审 收集信息以改进风险管理方法 应该对管理者和员工进行有关风险和减轻风险所应采取行动的培训
残余风险 residual risk 经过风险处理后遗留的风险。
风险接受 risk acceptance 接受风险的决定。
风险管理 risk management 指导和控制一个组织相关风险的协. 调活动。
理解风险(2)
风险是客观存在的。 风险和不确定性紧密相连，但不能完全等同。 风险强调的是损害的潜在可能性，而不是事实上的损害。 风险不能消除至尽，包括人为因素带来的风险，也一样不能 消除至尽。 衡量风险的两个基本要素就是事件的概率和其（产生的）后 果。 对信息安全而言，导致风险的事件是威胁利用了资产（或系 统）的脆弱点。
风险分析 risk analysis 系统地使用信息来识别风险来源和估计风险。
风险评价 risk evaluation 将估计的风险与给定的风险准则加以比较以确定风险严重性的过程。
风险评估 risk assessment 风险分析和风险评价的整个过程。
风险处理 risk treatment 选择并且执行措施来更改风险的过程。
信息安全技术风险管理
Information Security Risk Management
中山大学信息与网络中心 李磊 博士
lilei@ 2009年2月
.
什么是风险
风险是一个指定的威胁 利用一项资产或多项资 产的脆弱性，并由此造 成损害或破坏的可能性 。
.
理解风险(1)
.
风险管理是一个持续改进的过程
信息安全风险管理是一个持 续的过程。该过程应该建立 范畴，评估风险，并利用风 险处置计划来实施建议和决 策以处置风险。风险管理分 析，是在决定应该做什么和 什么时候做之前分析可能发 生什么以及可能的后果是什 么，以将风险降低到可以接 受的级别。
.
风险评估的基本要素
脆弱性 利用