信息安全风险评估(20090219)ppt课件
合集下载
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
.
风险的定性描述
▪ 风险的可能性
等级 A B C D E
描述 几乎肯定 很可能 可能 不太可能 罕见
▪ 风险的影响
等级 1 2 3 4 5
描述 可以忽略 较小 中等 较大 灾难性
.
风险的分析矩阵
可能性
A 几乎肯定 B 很可能 C 可能 D 不太可能 E 罕见
可以忽略 1 H M L L L
较小 2 E H M L L
ISMS过程
PLAN 规划
DO 实施 CHECK 检查 ACT 检查
风险管理活动
建立环境，确定范畴 ； 风险评估； 风险处理计划； 风险接受
实施风险处理计划 （减缓风险的措施可参考ISO 27002或其他相关的指南）
持续的监视与评审风险 （环境、资产、威胁和脆弱性等发生变化时都需要密切监视）
保持与提高信息安全管理过程
ROSI = 实施前的ALE – 实施控制后的ALE – 年控制成本
一个组织的网络设备资产价值为100万元，一次意外火灾使其损失了25%，则 SLE=100×25%＝25万元。按照经验统计，这样的火灾每5年发生一次，则ARO=1/5=0.2 。ALE=25*0.2=5万元。 购买灭火器和火灾告警器可以降低火灾发生概率和损害程度，成本为3万元，寿命3年，则 年控制成本＝3/3＝1万元。 实施后，火灾损害率降为5％，发生次数为10年1次，则ALE=100*5%*0.1=5000元。 所以，ROSI=5-0.5-1=3.5万元。
.
风险管理是一个持续改进的过程
信息安全风险管理是一个持 续的过程。该过程应该建立 范畴，评估风险，并利用风 险处置计划来实施建议和决 策以处置风险。风险管理分 析，是在决定应该做什么和 什么时候做之前分析可能发 生什么以及可能的后果是什 么，以将风险降低到可以接 受的级别。
.
风险评估的基本要素
脆弱性 利用
信息安全技术风险管理
Information Security Risk Management
中山大学信息与网络中心 李磊 博士
lilei@mail.sysu.edu.cn 2009年2月
.
什么是风险
风险是一个指定的威胁 利用一项资产或多项资 产的脆弱性，并由此造 成损害或破坏的可能性 。
.
理解风险(1)
信息安全风险管理过程由确定范畴、风险评估、风 险处置、风险接受、风险沟通以及风险监视和评审 组成。
.
ISO 27005的风险管理模型
建立环境
风
险
风险识别
分
析
风险估算
风
风
险
险
风险评估
风险评价
沟
监 视
通
风险评估是否
no
满足要求？
和 评
yes
审
风险处理
风险处置是否
no
来自百度文库
满足要求？
yes
风险.接受
ISMS过程与风险管理活动
.
风险评估实施流程
资产识别
风险识别 保持已有的控制措施
风险评估的准备
威胁识别
已有安全措施的确认
风险计算
是
风险是否接受
否
选择适当的控制措施并评估残余风险
是否接受残余风险
否
是
实施风险.管理
脆弱性识别 评估过程文档 评估过程文档
评估结果文档 风险评估结果记录
………………
信息安全风险管理过程
信息安全风险管理过程可能应用于整个组织，组织 的任何部分（如部门、物理区域或某个服务），任 何信息系统，现有、计划或特定部分的控制措施（ 如业务连续性计划）。
.
风险管理过程
风险管理是指导和控制一个组织相关风险的协调活动。
.
风险的定量分析
SLE(Single Loss Expectancy，单一风险预期损失) ARO(Annual Rate of Occurrence，年发生次数) ALE(Annual Loss Expectancy，年预期损失)＝SLE * ARO ROSI(Return On Security Investment，确定安全投资收益)
威胁 演变
组织使命
暴露
依赖 资产
拥有
资产价值
增加
成本
增加
风险
导出
资产价值
残留
被满足
安全事件
残余风险
可能诱发
未控制
安全措施
.
风险评估工具
.
信息安全风险管理的内容
识别风险 依据风险造成的业务后果和发生的可能性进行风险评估 就风险的后果和可能性进行沟通并达成理解 建立风险处置的优先次序 对降低风险的活动进行排序 在做出风险管理决策时，让利益相关方参与，并及时告知风险管理的状 态 有效监视风险处置 监视风险和风险管理过程，并定期评审 收集信息以改进风险管理方法 应该对管理者和员工进行有关风险和减轻风险所应采取行动的培训
残余风险 residual risk 经过风险处理后遗留的风险。
风险接受 risk acceptance 接受风险的决定。
风险管理 risk management 指导和控制一个组织相关风险的协. 调活动。
理解风险(2)
风险是客观存在的。 风险和不确定性紧密相连，但不能完全等同。 风险强调的是损害的潜在可能性，而不是事实上的损害。 风险不能消除至尽，包括人为因素带来的风险，也一样不能 消除至尽。 衡量风险的两个基本要素就是事件的概率和其（产生的）后 果。 对信息安全而言，导致风险的事件是威胁利用了资产（或系 统）的脆弱点。
.
ISO 27001对风险评估的要求(1)
章条
引言 0.2 过程方法
引言 0.2 过程方法
内容
b) 从组织整体业务风险的角度，实施和运行控制措施，以管理组 织的信息安全风险；
本标准为实施OECD指南中规定的风险评估、安全设计和实施、 安全管理和再评估的原则提供了一个强健的模型。
影响 中等
3 E E H M M
较大 4 E E E H H
灾难性 5 E E E E H
E——要求立即采取措施 M——必须规定管理责任
H——需要高级管理部门的注意 L——. 用日常程序处理
定性与定量
目前没有严格的定量分析的计算公式。 定量分析的数字来源往往并不精确。 目前信息安全事件管理的水平还比较低，难 以做定量分析。 在积累了足够多的样本后，才能比较精确地 估算事件发生的概率和发生后的后果。 在实践中，定量与定性的风险分析方法要综 合使用。
风险分析 risk analysis 系统地使用信息来识别风险来源和估计风险。
风险评价 risk evaluation 将估计的风险与给定的风险准则加以比较以确定风险严重性的过程。
风险评估 risk assessment 风险分析和风险评价的整个过程。
风险处理 risk treatment 选择并且执行措施来更改风险的过程。
风险的定性描述
▪ 风险的可能性
等级 A B C D E
描述 几乎肯定 很可能 可能 不太可能 罕见
▪ 风险的影响
等级 1 2 3 4 5
描述 可以忽略 较小 中等 较大 灾难性
.
风险的分析矩阵
可能性
A 几乎肯定 B 很可能 C 可能 D 不太可能 E 罕见
可以忽略 1 H M L L L
较小 2 E H M L L
ISMS过程
PLAN 规划
DO 实施 CHECK 检查 ACT 检查
风险管理活动
建立环境，确定范畴 ； 风险评估； 风险处理计划； 风险接受
实施风险处理计划 （减缓风险的措施可参考ISO 27002或其他相关的指南）
持续的监视与评审风险 （环境、资产、威胁和脆弱性等发生变化时都需要密切监视）
保持与提高信息安全管理过程
ROSI = 实施前的ALE – 实施控制后的ALE – 年控制成本
一个组织的网络设备资产价值为100万元，一次意外火灾使其损失了25%，则 SLE=100×25%＝25万元。按照经验统计，这样的火灾每5年发生一次，则ARO=1/5=0.2 。ALE=25*0.2=5万元。 购买灭火器和火灾告警器可以降低火灾发生概率和损害程度，成本为3万元，寿命3年，则 年控制成本＝3/3＝1万元。 实施后，火灾损害率降为5％，发生次数为10年1次，则ALE=100*5%*0.1=5000元。 所以，ROSI=5-0.5-1=3.5万元。
.
风险管理是一个持续改进的过程
信息安全风险管理是一个持 续的过程。该过程应该建立 范畴，评估风险，并利用风 险处置计划来实施建议和决 策以处置风险。风险管理分 析，是在决定应该做什么和 什么时候做之前分析可能发 生什么以及可能的后果是什 么，以将风险降低到可以接 受的级别。
.
风险评估的基本要素
脆弱性 利用
信息安全技术风险管理
Information Security Risk Management
中山大学信息与网络中心 李磊 博士
lilei@mail.sysu.edu.cn 2009年2月
.
什么是风险
风险是一个指定的威胁 利用一项资产或多项资 产的脆弱性，并由此造 成损害或破坏的可能性 。
.
理解风险(1)
信息安全风险管理过程由确定范畴、风险评估、风 险处置、风险接受、风险沟通以及风险监视和评审 组成。
.
ISO 27005的风险管理模型
建立环境
风
险
风险识别
分
析
风险估算
风
风
险
险
风险评估
风险评价
沟
监 视
通
风险评估是否
no
满足要求？
和 评
yes
审
风险处理
风险处置是否
no
来自百度文库
满足要求？
yes
风险.接受
ISMS过程与风险管理活动
.
风险评估实施流程
资产识别
风险识别 保持已有的控制措施
风险评估的准备
威胁识别
已有安全措施的确认
风险计算
是
风险是否接受
否
选择适当的控制措施并评估残余风险
是否接受残余风险
否
是
实施风险.管理
脆弱性识别 评估过程文档 评估过程文档
评估结果文档 风险评估结果记录
………………
信息安全风险管理过程
信息安全风险管理过程可能应用于整个组织，组织 的任何部分（如部门、物理区域或某个服务），任 何信息系统，现有、计划或特定部分的控制措施（ 如业务连续性计划）。
.
风险管理过程
风险管理是指导和控制一个组织相关风险的协调活动。
.
风险的定量分析
SLE(Single Loss Expectancy，单一风险预期损失) ARO(Annual Rate of Occurrence，年发生次数) ALE(Annual Loss Expectancy，年预期损失)＝SLE * ARO ROSI(Return On Security Investment，确定安全投资收益)
威胁 演变
组织使命
暴露
依赖 资产
拥有
资产价值
增加
成本
增加
风险
导出
资产价值
残留
被满足
安全事件
残余风险
可能诱发
未控制
安全措施
.
风险评估工具
.
信息安全风险管理的内容
识别风险 依据风险造成的业务后果和发生的可能性进行风险评估 就风险的后果和可能性进行沟通并达成理解 建立风险处置的优先次序 对降低风险的活动进行排序 在做出风险管理决策时，让利益相关方参与，并及时告知风险管理的状 态 有效监视风险处置 监视风险和风险管理过程，并定期评审 收集信息以改进风险管理方法 应该对管理者和员工进行有关风险和减轻风险所应采取行动的培训
残余风险 residual risk 经过风险处理后遗留的风险。
风险接受 risk acceptance 接受风险的决定。
风险管理 risk management 指导和控制一个组织相关风险的协. 调活动。
理解风险(2)
风险是客观存在的。 风险和不确定性紧密相连，但不能完全等同。 风险强调的是损害的潜在可能性，而不是事实上的损害。 风险不能消除至尽，包括人为因素带来的风险，也一样不能 消除至尽。 衡量风险的两个基本要素就是事件的概率和其（产生的）后 果。 对信息安全而言，导致风险的事件是威胁利用了资产（或系 统）的脆弱点。
.
ISO 27001对风险评估的要求(1)
章条
引言 0.2 过程方法
引言 0.2 过程方法
内容
b) 从组织整体业务风险的角度，实施和运行控制措施，以管理组 织的信息安全风险；
本标准为实施OECD指南中规定的风险评估、安全设计和实施、 安全管理和再评估的原则提供了一个强健的模型。
影响 中等
3 E E H M M
较大 4 E E E H H
灾难性 5 E E E E H
E——要求立即采取措施 M——必须规定管理责任
H——需要高级管理部门的注意 L——. 用日常程序处理
定性与定量
目前没有严格的定量分析的计算公式。 定量分析的数字来源往往并不精确。 目前信息安全事件管理的水平还比较低，难 以做定量分析。 在积累了足够多的样本后，才能比较精确地 估算事件发生的概率和发生后的后果。 在实践中，定量与定性的风险分析方法要综 合使用。
风险分析 risk analysis 系统地使用信息来识别风险来源和估计风险。
风险评价 risk evaluation 将估计的风险与给定的风险准则加以比较以确定风险严重性的过程。
风险评估 risk assessment 风险分析和风险评价的整个过程。
风险处理 risk treatment 选择并且执行措施来更改风险的过程。