信息安全风险评估方法与意义ppt(共43页)
合集下载
信息安全风险评估工作课件
建设独立自主、符合国际惯例的风险评估技术支撑体系
举国家之力，支持建设独立自主、符合国际惯例的风险评估技术支撑体系。建设国家基础信息网络和重要信息系统风险评估的基础设施和基础环境；落实开发相关技术和产品的攻关项目。通过研发自主关键技术和设备，满足国家网络基础设施和重要信息系统的风险评估需求，支持安全评估应用逐步建立符合国际惯例、达到国际先进水平的安全评估技术支撑体系
试点工作与标准验证
试点工作对去年国信办组织制定的两项试行标准进行了验证，提出了修订建议绝大多数试点单位大都参照了去年国信办和国家安标委组织编写的《信息安全风险评估指南》及《信息安全风险管理指南》。试点单位大都结合自身的具体情况，选择了相应的评估方法和适当的安全控制措施及管理流程，实践经验证明各试点单位评估基于的基本原则和核心方法与试行标准指南大体吻合一致。
典型方法之三：量化风险（续）
在本次试点中，结合试点单位评估实践经验、以及行业管理特性，有的试点单位对风险计算方法进行了如下的扩展：其中：c代表“机密性方面的”、i代表“完整性方面的”、a代表“可用性方面的”，t代表“技术方面的”、m代表“管理方面的”、o代表“运维方面的”、W为技术、运维和管理脆弱性之间的相关性，Wt 、Wm 、Wo 之和等于1。
下一步建议
认真总结经验统一规划、建立制度。制定国家基础网络和重要信息系统的风险评估总体规划以及“十一五”期间的工作计划。积极推进风险评估基本管理制度的建立；应尽快就国家基础信息网络和重要信息系统风险评估工作所涉及的领导体制、协调机制、认证与认可、监管和督察、评估时间、评估对象、评估范围、评估方式、评估人员资质、评估结果发布和备案等内容，进一步开展研究，形成风险评估工作管理法规制度加快建立、逐步完善标准规范体系。标准规范是推广和实施风险评估工作的法律依据和技术保障，要加快风险评估管理与技术标准的制定和完善， 研究评估机构服务标准、资质认可与资质的核查评估的管理办法；尽快出台国家标准。
信息安全风险评估教材.ppt
第二步 风险因素评估
• 1资产评估 • 识别信息资产，包括数据、软件、硬件、设备、 服务、文档等，制定《信息资产列表》 • 保密性、完整性、可用性是评价资产的三个安 全属性 • 风险评估中资产的价值不是以资产的经济价值 来衡量，而是由资产在这三个属性上的达成程 度或者其安全属性未达成时所造成的影响程度 来决定的。
风险要素关系
风险评估的两种方式
自评估和检查评估 1自评估 “谁主管谁负责，谁运营谁负责” 信息系统拥有者依靠自身力量，依据国家风险 评估的管理规范和技术标准，对自有的信息系 统进行风险评估的活动。 • 优点 • • • •
• • • • 有利于保密 有利于发挥行业和部门内人员的业务特长 有利于降低风险评估的费用 有利于提高本单位的风险评估能力与信息安全知识
风险评估的两种方式
• 2 检查评估 • 检查评估是由信息安全主管部门或业务部门发 起的一种评估活动，旨在依据已经颁布的法规 或标准，检查被评估单位是否满足了这些法规 或标准。 • 检查评估通常都是定期的、抽样进行的评估模 式 • 检查评估缺点：
• 间隔时间较长，如一年一次，通常还是抽样进行 • 不能贯穿一个部门信息系统生命周期的全过程，很 难对信息系统的整体风险状况作出完整的评价
风险评估的两种方式
• 无论是自评估，还是检查评估，都可以 委托风险评估服务技术支持方实施，如 国家测评认证机构或安全企业公司。
风险分析原理
• 风险分析中要涉及资产、威胁、脆弱性 三个基本要素。 • 风险分析原理图
风险分析原理
• 风险分析的主要内容为： • 1对资产进行识别，并对资产的价值进行赋值 • 2对威胁进行识别，描述威胁的属性（威胁主体，影响 对象，出现频率，动机等），并对威胁出现的频率赋 值 • 3对脆弱性进行识别，并对具体资产的脆弱性的严重程 度赋值 • 4根据威胁及威胁利用脆弱性的难易程度判断安全时间 发生的可能性 • 根据脆弱性的严重程度和安全事件所作用的资产的价 值计算安全事件造成的损失 • 根据安全事件发生的可能性以及安全事件出现后的损 失，计算安全事件一旦发生对组织的影响，即风险值
信息系统安全风险评估培训材料幻灯片PPT
第三方访问安全控制 系统建设安全控制
脆弱性识别方法-漏洞扫描
多种扫描工具优化组合
扫描内容
u 服务与端口开放情况 u 枚举帐号/组 u 检测弱口令 u 各种系统、服务和协议漏洞 u ……
脆弱性识别方法-渗透测试
什么是渗透测试 模拟黑客对网络中的核心效劳器及重要的网络设备，包括
效劳器、网络设备、防火墙等进展非破坏性质的攻击行为， 以发现系统深层次的漏洞，并将整个过程与细节报告给用 渗户透。测试的必要性
调查问卷及其他 ?需求文档清单? ?文档交接单? ?资产调查问卷? ?资产识别清单? ?重要资产清单?
风险评估流程
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
资产识别
主要任务
u 资产信息搜集 u 资产分类 u 资产赋值
资产分类
资产类别
u 网络设备（包括路由器、交换机等） u 安全设备（包括防火墙、入侵检测系统、防病毒软件等） u 主机（包括服务器、PC终端等） u 机房及相关设施 (如UPS、门禁、灭火器、温湿计) u 重要数据（如计费数据、用户信息数据、用户帐单） u 管理制度及文档 u 人员
通过一套审计问题列表问答的形式对企业信息资产所有人和管理人员
进展访谈
信息安全现状总体评估
信息安全管理组织
10
桌面系统安全控制
信息安全风险管理
8
应用系统安全控制
6
信息安全管理制度
4
操作系统、数据库与
2
基础信息系统
安全控制
0
信息安全审计监督
网络安全控制
人员信息安全控制
物理和环境安全控制 系统运维安全控制
第8章 信息安全风险评估
其改进提供参考。
信息安全风险评估的原则有： (1) 可控性原则。
包括人员可控(资格审查备案与工作确认)、工具可控
(风险评估工具的选择，以及对相关方的知会)、项目过程 可控(重视项目的管理沟通，运用项目管理科学方法)。
(2) 可靠性原则。
要求风险评估要参考有关的信息安全标准和规定，例 如GB/T 20984—2007《信息安全风险评估规范》等，做到 有据可查。
25 例如某IT服务公司的服务器遭受DDoS等攻击，造成不能提
供正常的信息服务，其直接的损失表现为服务器本身的价
值损失和修复所需的人力、物力等，而间接损失较为复杂， 由于服务器不能正常工作，信息系统不能提供正常的服务，
导致公司业务量的损失、企业形象受损等，这些损失往往
流程
数据 文档 人员 其他
16
2. 威胁
威胁(Threat)是指可能对组织或资产导致损害的潜在原
因。 威胁有潜力导致不期望发生的安全事件发生，从而对
系统、组织、资产造成损害。这种损害可能是偶然性事件，
但更多的可能是蓄意的对信息系统和服务所处理信息的直 接或间接的攻击行为，例如非授权的泄露、修改、停机等。 威胁主要来源于环境因素和人为因素，其中人为因素 包括恶意的和非恶意人员。
受委托的评估方要对评估过程进行保密，应与委托的
被评估方签署相关的保密和非侵害性协议，未经允许不得 将数据泄露给任何其他组织和个人。
10
8.1.2
实施信息安全风险评估的好处
(1) 风险评估是建立信息安全风险管理策略的基础。如
果一个管理者不进行风险评估就选择了一种安全防护措施 (设备或方法)，也许或造成浪费或已实施的安全防护无法
8 (3) 完整性原则。
信息安全风险评估技术简介页PPT课件
通讯与信息网络上失密、泄密及窃密事件时有发生。直 接影响到政府管理效率和公众形象。
内部人员故意破坏。 内部人员误操作导致系统错误。 硬件问题，导致系统不能提供服务。 软件问题导致服务停止。
.
4
环境和背景
近年来，我国经济社会持续快速发展发展，信息化步伐加 快，在促进经济发展、调整经济结构、改造传统产业和提 高人民生活质量等方面发挥了不可替代的重要作用。一方 面社会经济对信息化的依赖程度越来越高，同时逐步建设 和积累了一批宝贵的信息资产。
透明和公开、实施过程的监督等）不完善； （3）缺乏信息化建设周期中质量控制和评估标准；
.
18
2.6我国信息安全风险的生成机理（续）
第四，安全子系统建设资金的预算和管理 能力差
（1）对信息系统未作风险评估和分析，安全子系统建设投资 预算缺乏科学依据 或过度保护 或保护不力；
（2）总体资金支持不足； （3）信息安全投资的回报难以监控和评估。
.
9
2.1 信息化风险的定义
风险指行动或者事件的结果的不确定性（uncertainty of outcome）。
信息化的风险被界定为信息化可能或者实际带来的消极威 胁。
风险管理泛指评估风险、确认风险、回应风险的过程。
.
10
2.2 信息安全基本属性
机密性 Confidentiality 完整性 Integrity 可用性 Availability
与之而来的各类计算机犯罪及“黑客”攻击网络事件屡有 发生，手段也越来越高技术化，从而对各国的主权、安全 和社会稳定构成了威胁。
计算机互联网络涉及社会经济生活各个领域，并直接与世 界相联，可以说是国家的一个政治“关口”，一条经济 “命脉”。网络与信息安全已上升为一个事关国家政治稳 定、社会安定、经济有序运行和社会主义精神文明建设的 全局性问题。
内部人员故意破坏。 内部人员误操作导致系统错误。 硬件问题，导致系统不能提供服务。 软件问题导致服务停止。
.
4
环境和背景
近年来，我国经济社会持续快速发展发展，信息化步伐加 快，在促进经济发展、调整经济结构、改造传统产业和提 高人民生活质量等方面发挥了不可替代的重要作用。一方 面社会经济对信息化的依赖程度越来越高，同时逐步建设 和积累了一批宝贵的信息资产。
透明和公开、实施过程的监督等）不完善； （3）缺乏信息化建设周期中质量控制和评估标准；
.
18
2.6我国信息安全风险的生成机理（续）
第四，安全子系统建设资金的预算和管理 能力差
（1）对信息系统未作风险评估和分析，安全子系统建设投资 预算缺乏科学依据 或过度保护 或保护不力；
（2）总体资金支持不足； （3）信息安全投资的回报难以监控和评估。
.
9
2.1 信息化风险的定义
风险指行动或者事件的结果的不确定性（uncertainty of outcome）。
信息化的风险被界定为信息化可能或者实际带来的消极威 胁。
风险管理泛指评估风险、确认风险、回应风险的过程。
.
10
2.2 信息安全基本属性
机密性 Confidentiality 完整性 Integrity 可用性 Availability
与之而来的各类计算机犯罪及“黑客”攻击网络事件屡有 发生，手段也越来越高技术化，从而对各国的主权、安全 和社会稳定构成了威胁。
计算机互联网络涉及社会经济生活各个领域，并直接与世 界相联，可以说是国家的一个政治“关口”，一条经济 “命脉”。网络与信息安全已上升为一个事关国家政治稳 定、社会安定、经济有序运行和社会主义精神文明建设的 全局性问题。
信息安全风险评估方法与意义(ppt 43页)
✓ 确定组织结构
组织结构的建立应考虑其结构和复杂程度，以保证能够满足风险评估 的范围、目标。
风险评估的准备(续）
✓ 确定方法
应考虑评估的范围、目的、时间、效果、组织文化、人员素质以及具 体开展的程度等因素来确定，使之能够与组织的环境和安全要求相适 应。
✓ 获得最高管理者批准
信息安全风险评估方法
➢ 风险评估的准备
➢ 资产识别 ➢ 威胁识别 ➢ 脆弱性识别 ➢ 设计解决方案 ➢ 项目规划
风险评估的准备
风险评估的准备
✓ 确定范围
范围可能是组织全部的信息和信息系统，可能是单独的信息系统，可 能是组织的关键业务流程，也可能是客户的知识产权。
✓ 确定目标
目标基本上来源于组织业务持续发展的需要、满足相关方的要求、满 足法律法规的要求等方面。
不计成本、片面地追求绝对安全、试图消灭风险或完 全避免风险是不现实的，也不是需求主导原则所要求的。 坚持从实际出发，坚持需求主导、突出重点，就必须科学 地评估风险，有效控制风险。
信息安全风险评估的意义
4. 重视风险评估是信息化比较发达国家的 基本经验
上个世纪70年代，美国政府就发布了《自动化数据外 理风险评估指南》。其后颁布的关于信息安全基本政策 文件《联邦信息资源安全》明确提出了信息安全风险评 估的要求，要求联邦政府部门依据信息和信息系统所面 临的风险，根据信息丢失、滥用、泄露、未授权访问等 造成损失的大小，制订、实施信息安全计划，以保证信 息和信息系统应有的安全。
险和所需的安全保障措施
✓为决策和政策考虑提供不同的解决方案，使信息科技安
全管理能够从策略性的层面推行
✓为日后比较信息科技安全措施的变化提供依据
问题思考
信息安全风险评估
组织结构的建立应考虑其结构和复杂程度，以保证能够满足风险评估 的范围、目标。
风险评估的准备(续）
✓ 确定方法
应考虑评估的范围、目的、时间、效果、组织文化、人员素质以及具 体开展的程度等因素来确定，使之能够与组织的环境和安全要求相适 应。
✓ 获得最高管理者批准
信息安全风险评估方法
➢ 风险评估的准备
➢ 资产识别 ➢ 威胁识别 ➢ 脆弱性识别 ➢ 设计解决方案 ➢ 项目规划
风险评估的准备
风险评估的准备
✓ 确定范围
范围可能是组织全部的信息和信息系统，可能是单独的信息系统，可 能是组织的关键业务流程，也可能是客户的知识产权。
✓ 确定目标
目标基本上来源于组织业务持续发展的需要、满足相关方的要求、满 足法律法规的要求等方面。
不计成本、片面地追求绝对安全、试图消灭风险或完 全避免风险是不现实的，也不是需求主导原则所要求的。 坚持从实际出发，坚持需求主导、突出重点，就必须科学 地评估风险，有效控制风险。
信息安全风险评估的意义
4. 重视风险评估是信息化比较发达国家的 基本经验
上个世纪70年代，美国政府就发布了《自动化数据外 理风险评估指南》。其后颁布的关于信息安全基本政策 文件《联邦信息资源安全》明确提出了信息安全风险评 估的要求，要求联邦政府部门依据信息和信息系统所面 临的风险，根据信息丢失、滥用、泄露、未授权访问等 造成损失的大小，制订、实施信息安全计划，以保证信 息和信息系统应有的安全。
险和所需的安全保障措施
✓为决策和政策考虑提供不同的解决方案，使信息科技安
全管理能够从策略性的层面推行
✓为日后比较信息科技安全措施的变化提供依据
问题思考
信息安全风险评估
[课件]信息安全风险评估的目的和意义PPT
![[课件]信息安全风险评估的目的和意义PPT](https://img.taocdn.com/s3/m/6d1032f080eb6294dd886c20.png)
总是试图找出最合理的答案。这一过程实际上 就是风险评估。早在上个世纪初期，科学家 就已开始研究风险管理理论。
信息安全风险评估的目的和意义
2、信息安全风险评估是信息安全建设的起点 和基础 信息安全风险评估是风险评估理论和方法在 信息系统中的运用，是科学分析理解信息和 信息系统在机密性、完整性、可用性等方面 所面临的风险，并在风险的预防、风险的控 制、风险的转移、风险的补偿、风险的分散 等之间作出决策的过程。
信息安全风险评估的目的和意义
信息安全风险全风险评估工作，可以发 现信息安全存在的主要问题和矛盾， 找到解决诸多关键问题的办法。
信息安全风险评估的目的和意义
1、风险评估是分析确定风险的过程 任何系统的安全性都可以通过风险的大 小来衡量。科学分析系统的安全风险， 综合平衡风险和代价的过程就是风险 评估。
信息安全风险评估的目的和 意义
信息安全风险评估的目的和意义
1、风险评估是分析确定风险的过程 2、信息安全风险评估是信息安全建设的起点和 基础 3、信息安全风险评估是需求主导和突出重点原 则的具体体现 4、重视风险评估是信息化比较发达国家的基本 经验 5、信息安全风险评估的组织者是信息系统的主 管部门和运营单位 6、信息安全风险评估工作的协调合作与信息交 流
信息安全风险评估的目的和意义
所有信息安全建设都应该是基于信息 安全风险评估，只有在正确地、全面 地理解风险后，才能在控制风险、减 少风险、转移风险之间作出正确的判 断，决定调动多少资源、以什么的代 价、采取什么样的应对措施去化解、 控制风险。
信息安全风险评估的目的和意义
3、信息安全风险评估是需求主导和突出 重点原则的具体体现 如果说信息安全建设必须从实际出发， 坚持需求主导、突出重点，则风险评 估（需求分析）就是这一原则在实际 工作中的重要体现。从理论上讲风险 总是客观存在的。安全是安全风险与 安全建设管理代价的综合平衡。
《信息安全风险评估》课件
风险评估
根据识别的威胁和脆弱性，评估潜在的后果 和可能性，确定风险的等级。
04
风险评价
评价方法
定性评价法
基于专家经验和知识，对风险进行主观评估 。
定量评价法
运用数学模型和统计方法，对风险进行客观 量化的评估。
综合评价法
结合定性评价和定量评价，综合考虑各种因 素，得出全面准确的风险评估结果。
评价工具
保障业务连续性
有效的风险评估有助于降低安全事件发生的可能性，减少业务中断 的风险，保障业务的连续性。
风险评估的流程
确定评估范围
明确评估对象和范围，确定需要评估的信息系统和相关 资产。
收集信息
收集与信息系统相关的各种信息，包括系统架构、安全 配置、安全日志等。
识别威胁和脆弱性
分析信息系统中可能存在的威胁和脆弱性，了解潜在的 安全风险。
05
风险应对
应对策略
检测策略
通过检测机制及时发现和响应信息安全风险 ，降低风险影响程度。
预防策略
通过采取预防措施，降低或消除信息安全风 险的发生概率。
恢复策略
制定和实施恢复计划，以尽快恢复受影响的 信息系统和服务。
应对措施
技术措施
采用先进的安全技术，如加 密、防火墙、入侵检测等， 提高信息系统的安全性。
风ห้องสมุดไป่ตู้评估
对识别出的威胁和脆弱性进行定性和定量评估，确定风 险等级和影响程度。
制定控制措施
根据风险评估结果，制定相应的风险控制措施，降低或 消除风险。
持续监测与改进
对实施控制措施后的信息系统进行持续监测，及时发现 和处理新的风险，不断改进和完善风险评估体系。
02
风险识别
识别方法
信息安全风险评估ppt
信息安全风险评估ppt
标题：信息安全风险评估
内容：
1. 什么是信息安全风险评估？
- 信息安全风险评估是对组织的信息系统和数据进行全面评估，从而了解可能存在的安全威胁和风险。
2. 为什么进行信息安全风险评估？
- 保护组织的敏感信息和数据不被盗窃、泄露或被破坏。
- 遵守法规和合规要求。
- 提高组织的信誉和声誉。
- 减少潜在的财务损失。
3. 信息安全风险评估的步骤：
- 确定评估目标和范围。
- 收集和分析信息。
- 评估和计算风险。
- 提出建议和措施。
- 编写报告和总结。
4. 信息安全风险评估的工具和技术：
- 漏洞扫描工具：用于检测系统中的漏洞和弱点。
- 渗透测试：模拟黑客攻击，评估系统的安全性。
- 安全评估问卷调查：了解员工对安全措施的知识和实际应用情况。
- 日志和监控系统：分析系统日志和监控数据，发现异常活
动。
5. 信息安全风险评估的挑战：
- 技术限制：一些系统可能无法完全评估。
- 人为因素：员工的行为和意识对信息安全的影响。
- 不断变化的威胁：安全威胁和攻击技术不断演进。
6. 信息安全风险评估的好处：
- 提供全面的安全风险意识和认知。
- 为制定安全策略和措施提供依据。
- 降低安全风险和潜在损失。
结束语：
信息安全风险评估是确保组织安全重要步骤之一，通过评估和识别潜在的安全威胁和风险，组织能够制定相应的安全措施和策略，保护敏感信息和数据。
不断进行风险评估是持续改进和保障信息安全的关键。
信息安全风险评估与风险管理课件
> 2005年，国信办在全国4个省市和3个行业进行风险评估的试点工作，根 据试点结果对《信息安全风险评估指南》 进行了修改。
> 2005～2006年，通过了国家标准立项的一系列程序，目前已进入正式发 布阶段。正式定名为：信息技术 信息安全风险评估规范。
信息安全风险评估与风险管理
《信息安全风险评估规范》标准操作的主 要内容
信息安全风险评估与风险管理
信息系统生命周期各阶段的风险评估
> 规划阶段的风险评估 > 设计阶段的风险评估 > 实施阶段的风险评 > 运行维护阶段的风险评估 > 废弃阶段的风险评估
• 每个阶段的实施内容稍有不同，目的和方法一致。
信息安全风险评估与风险管理
风险评估的工作形式
> 自评估
• 适用于对自身的信息系统进行安全风险的识别、评价 • 自评估可以委托风险评估服务技术支持方实施，也可以自行实施
> 其他：可控性、可审查性
信息安全风险评估与风险管理
Key words I
信息安全：信息的保密性、完整性、可用性的保持。
风险评估：对信息和信息处理设施的威胁，影响和薄弱 点以及威胁发生的可能性的评估。
风险管理：以可接受的费用识别、控制、降低或消除可 能影响信息系统安全的风险的过程。
威胁：是指某个人、物、事件或概念对某一资源的保密性、
信息安全风险评估与风险管理
风险评估实施 (2)
> 资产识别
• 资产分类 • 资产赋值 :机密性、完整性、可用性三方面的赋值 • 资产重要性等级
> 威胁识别
• 威胁分类 • 威胁来源分类 • 威胁赋值
> 脆弱性识别
• 识别内容 ：技术脆弱性涉及物理层、网络层、系统层、应用层等各 个层面的安全问题。管理脆弱性又可分为技术管理脆弱性和组织管 理脆弱性两方面。
> 2005～2006年，通过了国家标准立项的一系列程序，目前已进入正式发 布阶段。正式定名为：信息技术 信息安全风险评估规范。
信息安全风险评估与风险管理
《信息安全风险评估规范》标准操作的主 要内容
信息安全风险评估与风险管理
信息系统生命周期各阶段的风险评估
> 规划阶段的风险评估 > 设计阶段的风险评估 > 实施阶段的风险评 > 运行维护阶段的风险评估 > 废弃阶段的风险评估
• 每个阶段的实施内容稍有不同，目的和方法一致。
信息安全风险评估与风险管理
风险评估的工作形式
> 自评估
• 适用于对自身的信息系统进行安全风险的识别、评价 • 自评估可以委托风险评估服务技术支持方实施，也可以自行实施
> 其他：可控性、可审查性
信息安全风险评估与风险管理
Key words I
信息安全：信息的保密性、完整性、可用性的保持。
风险评估：对信息和信息处理设施的威胁，影响和薄弱 点以及威胁发生的可能性的评估。
风险管理：以可接受的费用识别、控制、降低或消除可 能影响信息系统安全的风险的过程。
威胁：是指某个人、物、事件或概念对某一资源的保密性、
信息安全风险评估与风险管理
风险评估实施 (2)
> 资产识别
• 资产分类 • 资产赋值 :机密性、完整性、可用性三方面的赋值 • 资产重要性等级
> 威胁识别
• 威胁分类 • 威胁来源分类 • 威胁赋值
> 脆弱性识别
• 识别内容 ：技术脆弱性涉及物理层、网络层、系统层、应用层等各 个层面的安全问题。管理脆弱性又可分为技术管理脆弱性和组织管 理脆弱性两方面。
相关主题
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
不计成本、片面地追求绝对安全、试图消灭风险或完 全避免风险是不现实的，也不是需求主导原则所要求的。 坚持从实际出发，坚持需求主导、突出重点，就必须科学 地评估风险，有效控制风险。
信息安全风险评估的意义
4. 重视风险评估是信息化比较发达国家的 基本经验
上个世纪70年代，美国政府就发布了《自动化数据外 理风险评估指南》。其后颁布的关于信息安全基本政策 文件《联邦信息资源安全》明确提出了信息安全风险评 估的要求，要求联邦政府部门依据信息和信息系统所面 临的风险，根据信息丢失、滥用、泄露、未授权访问等 造成损失的大小，制订、实施信息安全计划，以保证信 息和信息系统应有的安全。
1.风险评估是分析确定风险的过程
任何系统的安全性都可以通过风险的大小来衡量。科学 分析系统的安全风险，综合平衡风险和代价的过程就 是风险评估。
信息安全风险评估的意义
2. 信息安全风险评估是信息安全建设的起 点和基础
信息安全风险评估是风险评估理论和方法在信息系统中 的运用，是科学分析理解信息和信息系统在机密性、完整性、 可用性等方面所面临的风险，并在风险的预防、风险的控制、 风险的转移、风险的补偿、风险的分散等之间作出决策的过 程。
信息安全风险评估方法
风险评估的准备
资产识别 威胁识别 脆弱性识别 设计解决方案 项目规划
风险评估的准备
风险评估的准备
确定范围
范围可能是组织全部的信息和信息系统，可能是单独的信息系统，可 能是组织的关键业务流程，也可能是客户的知识产权。
确定目标
目标基本上来源于组织业务持续发展的需要、满足相关方的要求、满 足法律法规的要求等方面。
对信息安全风险评估的思考
上海上讯信息系统工程有限公司
安全咨询事业部
黄永飞
安全咨询顾问
问题思考
风险评估
信息安全风险评估
What ? Why ? How ?
问题思考
信息安全风险评估
What
信息安全风险评估是什么？
信息系统的安全风险是指由于系统存在的
脆弱性，人为或自然的威胁导致安全事件发生的 可能性及其造成的影响。
安全风险评估是什么？
人们经常会提出这样一些问题：
什么地方、什么时间可能出问题？ 出问题的可能性有多大？ 这些问题的后果是什么？ 应该采取什么样的措施加以避免和弥补？
总是试图找出最合理的答案，这一过程实际上就是风险评 估。早在上个世纪初期，科学家就已开始研究风险管理 理论。
问题思考
信息安全风险评估的意义
所有信息安全建设都应该是基于信息安全风险评估， 只有在正确地、全面地理解风险后，才能在控制风险、减 少风险、转移风险之间作出正确的判断，决定调动多少资 源、以什么的代价、采取什么样的应对措施去化解、控制 风险。
信息安全风险评估的意义
3. 信息安全风险评估是需求主导和突出重 点原则的具体体现
信息安全风险评估的意义
英国标准化协会（BSI）1995年颁布了《信息安全 管理指南》（BS 7799），BS 7799分为两个部分： BS 7799-1《信息安全管理实施规则》和BS 7799-2 《信息安全管理体系规范》。2002年又颁布了《信息安全管 理系统规范说明》（BS 7799-2:2002）。它将信息安全管理 的有关问题划分成了10个控制要项、36 个控制目标和127 个控制措施。目前，在BS77992中，提出了如何了建立信息 安全管理体系的步骤。
险和所需的安全保障措施
为决策和政策考虑提供不同的解决方案，使信息科技安
全管理能够从策略性的层面推行Βιβλιοθήκη 日后比较信息科技安全措施的变化提供依据
问题思考
信息安全风险评估
How
问题思考
1. 信息安全风险评估怎么实施？ 2. 信息安全风险评估实施前需要准备什么？ 3. 信息资产的属性怎么进行量化？ 4. 发现信息资产的弱点后怎么进行补救?
否更多的节约投入成本？ 。。。。。。。。。。。。。。。。。。。。。。。。。
信息安全风险评估的意义
1. 风险评估是分析确定风险的过程 2. 信息安全风险评估是信息安全建设的起点和基础 3. 信息安全风险评估是需求主导和突出重点原则的具体体现 4. 重视风险评估是信息化比较发达国家的基本经验
信息安全风险评估的意义
确定组织结构
组织结构的建立应考虑其结构和复杂程度，以保证能够满足风险评估 的范围、目标。
风险评估的准备(续）
确定方法
应考虑评估的范围、目的、时间、效果、组织文化、人员素质以及具 体开展的程度等因素来确定，使之能够与组织的环境和安全要求相适 应。
获得最高管理者批准
如果说信息安全建设必须从实际出发，坚持需求主导、 突出重点，则风险评估（需求分析）就是这一原则在实际工 作中的重要体现。从理论上讲风险总是客观存在的。安全是 安全风险与安全建设管理代价的综合平衡。
信息安全风险评估的意义
不考虑风险的信息化是要付出代价 有时代价可能很高，甚至难以承受
信息安全风险评估的意义
在信息安全管理体系的核心部位是风险评估和风险管理。目 前，全球通过BS7799认证的数量达450家左右，其中绝大部 分分布在欧洲和亚洲，整个中国地区（包括香港和台湾在内） 通过BS7799认证的数量近20家。
信息安全风险评估的意义-总结
为用户提供具有针对性的安全产品和安全技术 给用户提供量化的信息资产价值列表和资产风险列表 可全面和有条理地向管理层反映现有的信息科技安全风
信息安全风险评估
Why
问题思考
1. “三分技术，七分管理”，我们的员工安全意识如何？ 2. 依靠现有的安全产品是否能够解决现在的安全问题？ 3. 现有的安全产品是否真正的起到了作用？ 4. 如果发生安全事故，我们能否在最短时间内恢复业务系统？ 5. 对未来的网络扩展和安全配置升级有没有前瞻性的规划？能
信息安全风险评估就是从风险管理角度，运用科学的
分析方法和手段，系统地分析信息化业务和信息系统所面临 的人为和自然的威胁及其存在的脆弱性，评估安全事件一旦 发生可能造成的危害程度，提出有针对性的抵御威胁的防护 对策和整改措施，以防范和化解风险，或者将残余风险控制 在可接受的水平，从而最大限度地保障网络与信息安全。
信息安全风险评估的意义
4. 重视风险评估是信息化比较发达国家的 基本经验
上个世纪70年代，美国政府就发布了《自动化数据外 理风险评估指南》。其后颁布的关于信息安全基本政策 文件《联邦信息资源安全》明确提出了信息安全风险评 估的要求，要求联邦政府部门依据信息和信息系统所面 临的风险，根据信息丢失、滥用、泄露、未授权访问等 造成损失的大小，制订、实施信息安全计划，以保证信 息和信息系统应有的安全。
1.风险评估是分析确定风险的过程
任何系统的安全性都可以通过风险的大小来衡量。科学 分析系统的安全风险，综合平衡风险和代价的过程就 是风险评估。
信息安全风险评估的意义
2. 信息安全风险评估是信息安全建设的起 点和基础
信息安全风险评估是风险评估理论和方法在信息系统中 的运用，是科学分析理解信息和信息系统在机密性、完整性、 可用性等方面所面临的风险，并在风险的预防、风险的控制、 风险的转移、风险的补偿、风险的分散等之间作出决策的过 程。
信息安全风险评估方法
风险评估的准备
资产识别 威胁识别 脆弱性识别 设计解决方案 项目规划
风险评估的准备
风险评估的准备
确定范围
范围可能是组织全部的信息和信息系统，可能是单独的信息系统，可 能是组织的关键业务流程，也可能是客户的知识产权。
确定目标
目标基本上来源于组织业务持续发展的需要、满足相关方的要求、满 足法律法规的要求等方面。
对信息安全风险评估的思考
上海上讯信息系统工程有限公司
安全咨询事业部
黄永飞
安全咨询顾问
问题思考
风险评估
信息安全风险评估
What ? Why ? How ?
问题思考
信息安全风险评估
What
信息安全风险评估是什么？
信息系统的安全风险是指由于系统存在的
脆弱性，人为或自然的威胁导致安全事件发生的 可能性及其造成的影响。
安全风险评估是什么？
人们经常会提出这样一些问题：
什么地方、什么时间可能出问题？ 出问题的可能性有多大？ 这些问题的后果是什么？ 应该采取什么样的措施加以避免和弥补？
总是试图找出最合理的答案，这一过程实际上就是风险评 估。早在上个世纪初期，科学家就已开始研究风险管理 理论。
问题思考
信息安全风险评估的意义
所有信息安全建设都应该是基于信息安全风险评估， 只有在正确地、全面地理解风险后，才能在控制风险、减 少风险、转移风险之间作出正确的判断，决定调动多少资 源、以什么的代价、采取什么样的应对措施去化解、控制 风险。
信息安全风险评估的意义
3. 信息安全风险评估是需求主导和突出重 点原则的具体体现
信息安全风险评估的意义
英国标准化协会（BSI）1995年颁布了《信息安全 管理指南》（BS 7799），BS 7799分为两个部分： BS 7799-1《信息安全管理实施规则》和BS 7799-2 《信息安全管理体系规范》。2002年又颁布了《信息安全管 理系统规范说明》（BS 7799-2:2002）。它将信息安全管理 的有关问题划分成了10个控制要项、36 个控制目标和127 个控制措施。目前，在BS77992中，提出了如何了建立信息 安全管理体系的步骤。
险和所需的安全保障措施
为决策和政策考虑提供不同的解决方案，使信息科技安
全管理能够从策略性的层面推行Βιβλιοθήκη 日后比较信息科技安全措施的变化提供依据
问题思考
信息安全风险评估
How
问题思考
1. 信息安全风险评估怎么实施？ 2. 信息安全风险评估实施前需要准备什么？ 3. 信息资产的属性怎么进行量化？ 4. 发现信息资产的弱点后怎么进行补救?
否更多的节约投入成本？ 。。。。。。。。。。。。。。。。。。。。。。。。。
信息安全风险评估的意义
1. 风险评估是分析确定风险的过程 2. 信息安全风险评估是信息安全建设的起点和基础 3. 信息安全风险评估是需求主导和突出重点原则的具体体现 4. 重视风险评估是信息化比较发达国家的基本经验
信息安全风险评估的意义
确定组织结构
组织结构的建立应考虑其结构和复杂程度，以保证能够满足风险评估 的范围、目标。
风险评估的准备(续）
确定方法
应考虑评估的范围、目的、时间、效果、组织文化、人员素质以及具 体开展的程度等因素来确定，使之能够与组织的环境和安全要求相适 应。
获得最高管理者批准
如果说信息安全建设必须从实际出发，坚持需求主导、 突出重点，则风险评估（需求分析）就是这一原则在实际工 作中的重要体现。从理论上讲风险总是客观存在的。安全是 安全风险与安全建设管理代价的综合平衡。
信息安全风险评估的意义
不考虑风险的信息化是要付出代价 有时代价可能很高，甚至难以承受
信息安全风险评估的意义
在信息安全管理体系的核心部位是风险评估和风险管理。目 前，全球通过BS7799认证的数量达450家左右，其中绝大部 分分布在欧洲和亚洲，整个中国地区（包括香港和台湾在内） 通过BS7799认证的数量近20家。
信息安全风险评估的意义-总结
为用户提供具有针对性的安全产品和安全技术 给用户提供量化的信息资产价值列表和资产风险列表 可全面和有条理地向管理层反映现有的信息科技安全风
信息安全风险评估
Why
问题思考
1. “三分技术，七分管理”，我们的员工安全意识如何？ 2. 依靠现有的安全产品是否能够解决现在的安全问题？ 3. 现有的安全产品是否真正的起到了作用？ 4. 如果发生安全事故，我们能否在最短时间内恢复业务系统？ 5. 对未来的网络扩展和安全配置升级有没有前瞻性的规划？能
信息安全风险评估就是从风险管理角度，运用科学的
分析方法和手段，系统地分析信息化业务和信息系统所面临 的人为和自然的威胁及其存在的脆弱性，评估安全事件一旦 发生可能造成的危害程度，提出有针对性的抵御威胁的防护 对策和整改措施，以防范和化解风险，或者将残余风险控制 在可接受的水平，从而最大限度地保障网络与信息安全。