信息安全风险管理程序(0002)

信息安全风险管理程序城云科技（杭州）有限公司信息安全风险管理程序目录信息安全风险管理程序 (2)第一章目的1第二章范围1第三章名词解释1第四章风险评估方法2第五章风险评估实施5第六章风险管理要求20第七章附则21第八章检查要求21第一章目的第一条目的：指导信息安全组织针对信息系统及其管理开展的信息风险评估工作。

本指南定义了风险评估的基本概念、原理及实施流程；对资产、威胁和脆弱性识别要求进行了详细描述。

第二章范围第二条范围：适用于风险评估组开展各项信息安全风险评估工作。

第三章名词解释第三条资产对组织具有价值的信息或资源，是安全策略保护的对象。

第四条资产价值资产的重要程度或敏感程度的表征。

资产价值是资产的属性，也是进行资产识别的主要内容。

资产价值通过机密性、完整性和可用性三个方面评估计算获得。

（一）机密性（Confidentiality）：确保只有经过授权的人才能访问信息；（二）完整性（Integrality）：保护信息和信息的处理方法准确而完整；（三）可用性（Availability）：确保经过授权的用户在需要时可以访问信息并使用相关信息资产。

第五条威胁可能导致对系统或组织危害的不希望事故潜在起因。

第六条脆弱性可能被威胁所利用的资产或若干资产的弱点。

第七条信息安全风险人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。

第八条信息安全评估依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。

它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。

第九条残余风险采取了安全措施后，信息系统仍然可能存在的风险。

第四章风险评估方法第十条风险管理模型图1 风险管理模型图1为风险管理的基本模型，椭圆部分的内容是与这些要素相关的属性。

风险管理围绕着资产、威胁、脆弱性和安全措施这些基本要素展开。

信息安全风险评估在对风险管理要素的评估过程中，需要充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要素相关的各类属性。

图1中的风险管理要素及属性之间存在着以下关系：（一）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；（二）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；（三）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成为安全事件；（四）资产的脆弱性可能暴露资产的价值，资产具有的弱点越多则风险越大；（五）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；（六）风险的存在及对风险的认识导出安全需求；（七）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；（八）安全措施可抵御威胁，降低风险；（九）残余风险有些是安全措施不当或无效,需要加强才可控制的风险；而有些则是在综合考虑了安全成本与效益后不去控制的风险；（十）残余风险应受到密切监视，它可能会在将来诱发新的安全事件。

第十一条风险评估模型图2 风险评估原理图风险评估的过程中主要包含信息资产（Information Asset），脆弱性（Vulnerability）、威胁（Threat）、影响（Impact）和风险（Risk）五个要素。

信息资产的基本属性是资产价值（Assets Value），脆弱性的基本属性是被威胁利用的难易程度（How Easily Exploited by Threats）、威胁的基本属性是威胁的可能性（Threat Likelihood）、影响度的基本属性是严重性（Severity），它们直接影响风险的两个属性，风险的后果（Risk Consequence）和风险的可能性（Risk Likelihood）。

其中资产价值和影响的严重性构成风险的后果，脆弱性被威胁利用的难易程度和威胁的可能性构成风险的可能性，风险的后果和风险的可能性构成风险。

第十二条风险评估方法图3 风险评估方法风险评估的主要内容为：（一）对资产进行识别，并对资产的价值进行赋值；（二）对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；（三）对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；（四）根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性；（五）根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件的损失；（六）根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响；（七）综合分析，采用适当的方式计算风险值。

第五章风险评估实施第十三条风险评估的准备风险评估的准备是整个风险评估过程有效性的保证。

组织实施风险评估是一种战略性的考虑，其结果将受到组织业务战略、业务流程、安全需求、系统规模和结构等方面的影响。

因此，在风险评估实施前应：（一）确定风险评估的目标；（二）确定风险评估的范围；（三）组建适当的评估管理与实施团队；（四）进行系统调研；（五）确定评估依据和方法（即评估列表）；（六）获得最高管理者对风险评估工作的支持。

第十四条资产识别资产识别是对直接赋予了价值因而需要保护的资产进行分类和价值等级赋值。

资产分类和赋值方法可根据ISO27001体系结合组织自身情况完成，资产价值作为风险计算的输入。

第十五条威胁评估安全威胁是一种对系统、组织及其资产构成潜在破坏的可能性因素或者事件。

产生安全威胁的主要因素可以分为人为因素和环境因素。

人为因素包括有意因素和无意因素。

环境因素包括自然界的不可抗力因素和其它物理因素。

威胁可能是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。

威胁也可能是偶发的、或蓄意的事件。

一般来说，威胁总是要利用网络、系统、应用或数据的弱点才可能成功地对资产造成伤害。

安全事件及其后果是分析威胁的重要依据。

但是有相当一部分威胁发生时，由于未能造成后果，或者没有意识到，而被安全控制人员忽略。

这将导致对安全威胁的认识出现偏差。

威胁分析方法首先需要考虑威胁的来源，然后分析各种来源存在哪些威胁种类，最后做出威胁来源和威胁种类的列表进行威胁赋值。

（一）威胁来源分析信息系统的安全威胁来源可考虑以下方面：表1：威胁来源对安全威胁进行分类的方式有多种多样，针对上表威胁来源，组织信息管理部的安全威胁种类按类列举如下表所示。

威胁的编号按照类别进行划分，以字母“T”开头（Threats），第二个字母为威胁类型，例如人员威胁为TP为前缀，以“-”连接，以数字后缀为序列。

（三）威胁赋值本风险评估管理办法通过对于威胁的可能性（Likelihood）属性（*注意: 此处描述的是威胁的可能性，并不是风险的可能性，威胁要实际产生影响还要考虑脆弱性被利用的难易程度这个因素。

）进行分析赋值。

赋值取决于威胁发生的概率和威胁发生的频率。

我们用变量T来表示威胁的可能性，它可以被赋予一个数值，来表示该属性的程度。

确定威胁发生的可能性是风险评估的重要环节，评估人员应该根据经验和相关的统计数据来判断威胁发生的概率和频率。

实际评估过程中，威胁的可能性赋值需要参考下面三方面的资料和信息来源，综合考虑，形成在特定评估环境中各种威胁发生的可能性。

（1）通过评估体过去的安全事件报告或记录，统计各种发生过的威胁和其发生频率；（2）在评估体实际环境中，通过安全设备系统获取的威胁发生数据的统计和分析，各种日志中威胁发生的数据的统计和分析；（3）过去一年或两年来相关信息安全管理机构发布的对于整个社会或特定行业安全威胁发生频率的统计数据均值。

威胁的赋值标准参照下表：第十六条脆弱性评估脆弱性评估主要目的是评估信息资产的弱点。

通常信息资产存在的弱点主要表现在三个方面：安全控制方面、承载信息资产的IT设备方面以及处理、加工这些信息资产的应用系统方面。

因此弱点评估也主要按照这三个方面进行。

（一）脆弱性的识别脆弱性的识别和获取通过以下多种方式：工具扫描、人工分析、模拟攻击测试（Penetration Testing）、网络架构分析、业务流程分析等。

评估人员根据具体的评估对象、评估目的来选择具体的脆弱性获取方式。

在脆弱性的识别和获取必须对应前一个过程中识别出的威胁列表，不能被列表中威胁所利用的脆弱性在风险评估中没有意义，可以不进行识别。

同时，因为威胁来源可以分为内部和外部，所以脆弱性的获取方法也可以根据威胁的来源不同而选择不同的获取方式，比如从内网获取和从外网获取。

●安全控制脆弱性评估：可根据ISO 27002的14个方面对整体安全控制评估；●设备脆弱性评估：可通过网络扫描及专家人工评估方法对IT设备进行评估；●应用系统脆弱性评估：可通过对应用系统的网络构架、系统主机、数据流分析等方法进行评估。

（二）脆弱性分类脆弱性包括物理环境、组织、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性。

脆弱性的编号按照类别进行划分，以字母“V”开头（Vulnerabilities），第二个字母为脆弱性类型，例如组织管理脆弱性以VP为前缀，以“-”连接，以数字后缀为序列。

（三）脆弱性属性参照国际安全标准，本管理办法将脆弱性属性定义为脆弱性的严重性，既脆弱性被某些威胁利用后产生的影响的严重程度，（三）脆弱性赋值在CVE和业界大多数的扫描器中关于技术性脆弱性的严重性（Severity）定义中，都是指可能引发的影响的严重性，参考业界通用的脆弱性严重性等级划分标准，我们采用的等级划分标准如下：表4：脆弱性赋值在实际评估工作中，脆弱性的值一般参考扫描工具的归类标准，并参考CVE、中国国家漏洞库等相关漏洞库标准中的说明，按照实际情况进行修正，从而获得适用的脆弱性值。

管理类的脆弱性值按照管理成熟度进行赋值。

第十七条影响评估影响的属性的评估方法主要考察一个属性：严重性。

本办法将将影响严重性分为5个等级，分别是很高（VH）、高（H）、中等（M）、低（L）、可忽略（N），并且从高到低分别赋值4-0。

赋值标准参照下表。

第十八条风险计算在完成了资产识别、威胁识别、脆弱性识别，以及对已有安全措施确认后，将采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性。

综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，即安全风险。

(一)风险分析方法风险分析方法可以是定性分析、半定量分析或定量分析，或者是这些分析方法的组合。

如果按递升次序将这些分析的复杂性和成本加以排列的话，将会是：定性分析、半定量、定量。

实际上，定性分析往往首先被采用，来得到风险程度的总的提示组织可根据信息管理实际评估效果、工作量、成本效益、技术复杂度和数据收集困难度等方面的考虑，选择合适的分析方法作为安全风险的计算方法。