信息安全风险评估工作讲义.ppt
合集下载
信息安全风险评估教材.ppt
第二步 风险因素评估
• 1资产评估 • 识别信息资产，包括数据、软件、硬件、设备、 服务、文档等，制定《信息资产列表》 • 保密性、完整性、可用性是评价资产的三个安 全属性 • 风险评估中资产的价值不是以资产的经济价值 来衡量，而是由资产在这三个属性上的达成程 度或者其安全属性未达成时所造成的影响程度 来决定的。
风险要素关系
风险评估的两种方式
自评估和检查评估 1自评估 “谁主管谁负责，谁运营谁负责” 信息系统拥有者依靠自身力量，依据国家风险 评估的管理规范和技术标准，对自有的信息系 统进行风险评估的活动。 • 优点 • • • •
• • • • 有利于保密 有利于发挥行业和部门内人员的业务特长 有利于降低风险评估的费用 有利于提高本单位的风险评估能力与信息安全知识
风险评估的两种方式
• 2 检查评估 • 检查评估是由信息安全主管部门或业务部门发 起的一种评估活动，旨在依据已经颁布的法规 或标准，检查被评估单位是否满足了这些法规 或标准。 • 检查评估通常都是定期的、抽样进行的评估模 式 • 检查评估缺点：
• 间隔时间较长，如一年一次，通常还是抽样进行 • 不能贯穿一个部门信息系统生命周期的全过程，很 难对信息系统的整体风险状况作出完整的评价
风险评估的两种方式
• 无论是自评估，还是检查评估，都可以 委托风险评估服务技术支持方实施，如 国家测评认证机构或安全企业公司。
风险分析原理
• 风险分析中要涉及资产、威胁、脆弱性 三个基本要素。 • 风险分析原理图
风险分析原理
• 风险分析的主要内容为： • 1对资产进行识别，并对资产的价值进行赋值 • 2对威胁进行识别，描述威胁的属性（威胁主体，影响 对象，出现频率，动机等），并对威胁出现的频率赋 值 • 3对脆弱性进行识别，并对具体资产的脆弱性的严重程 度赋值 • 4根据威胁及威胁利用脆弱性的难易程度判断安全时间 发生的可能性 • 根据脆弱性的严重程度和安全事件所作用的资产的价 值计算安全事件造成的损失 • 根据安全事件发生的可能性以及安全事件出现后的损 失，计算安全事件一旦发生对组织的影响，即风险值
信息系统安全风险评估培训材料幻灯片PPT
第三方访问安全控制 系统建设安全控制
脆弱性识别方法-漏洞扫描
多种扫描工具优化组合
扫描内容
u 服务与端口开放情况 u 枚举帐号/组 u 检测弱口令 u 各种系统、服务和协议漏洞 u ……
脆弱性识别方法-渗透测试
什么是渗透测试 模拟黑客对网络中的核心效劳器及重要的网络设备，包括
效劳器、网络设备、防火墙等进展非破坏性质的攻击行为， 以发现系统深层次的漏洞，并将整个过程与细节报告给用 渗户透。测试的必要性
调查问卷及其他 ?需求文档清单? ?文档交接单? ?资产调查问卷? ?资产识别清单? ?重要资产清单?
风险评估流程
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认 风险分析
实施风险管理
资产识别
主要任务
u 资产信息搜集 u 资产分类 u 资产赋值
资产分类
资产类别
u 网络设备（包括路由器、交换机等） u 安全设备（包括防火墙、入侵检测系统、防病毒软件等） u 主机（包括服务器、PC终端等） u 机房及相关设施 (如UPS、门禁、灭火器、温湿计) u 重要数据（如计费数据、用户信息数据、用户帐单） u 管理制度及文档 u 人员
通过一套审计问题列表问答的形式对企业信息资产所有人和管理人员
进展访谈
信息安全现状总体评估
信息安全管理组织
10
桌面系统安全控制
信息安全风险管理
8
应用系统安全控制
6
信息安全管理制度
4
操作系统、数据库与
2
基础信息系统
安全控制
0
信息安全审计监督
网络安全控制
人员信息安全控制
物理和环境安全控制 系统运维安全控制
信息安全风险评估概述(PPT 85页)
LOGO
1.2 ISO 27001 的第3章 “术语和定义-3.7"
信息安全管理体系 (ISMS):
是整个管理体系的一部 分，建立在业务风险的 方法上，以：
建立 实施 运作 监控 评审 维护 改进 信息安全。
质量
职业健康安全
IT服务
建设了ISMS，尤其是获取了ISO27001认 证后，组织将在管信理息体安系全方面进入一个 强制的良性循环。
系统访问控制，其目标是：
控制对信息的访问； 防止对信息系统的非授权访问； 确保对网络服务的保护； 防止未授权的计算机访问； 检测未授权的活动； 确保便携式计算机和无线网络的信息安全。
*为设计控制措施提供实施指南
LOGO
1.6 ISO27001与ISO17799（27002）
ISO27001
Human Food Safety management system (HACCP)
IT Service Management System (ISO 20000)
Information security management system (ISO 27001)
LOGO
1.1 什么是信息安全？
规划Plan
建立ISMS
相关方
信息安全 要求和期望
实施 实施和 Do 运行ISMS
保持和 处置 改进ISMS Act
相关方
监视和 评审ISMS
检查Check
受控的 信息安全
图1 应用于ISMS过程的PDCA模型
LOGO
2.2 PDCA与4-8条款关系
PDCA各阶段
内容
对应标准条款
P-规划
P建L立AINSMS
信息安全风险评估34p课件
风险处理
风险处理是一种系统化方法，可通过多种方式实现： 风险承受 风险降低 风险规避 风险转移
风险处理
风险处理的针对性 针对威胁源 针对威胁者的能力 针对威胁者的资源 针对威胁者的途径
风险处理
风险管理概述
风险评估
风险处理
常用风险计算方法
常用风险评估工具
常用风险计算方法
脆弱点识别与评估
脆弱点识别 威胁总是要利用资产的弱点才可能造成危害。 脆弱性识别主要从技术和管理两个方面进行 。 脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。 脆弱点评估 根据对资产损害程度、技术实现的难易程度、弱点流行程度，采用等级方式对已识别的脆弱性的严重程度进行赋值。 对某个资产，其技术脆弱性的严重程度受到组织的管理脆弱性的影响。
风险评估案例
案例介绍 资产识别与评估 威胁识别与评估 脆弱点识别与评估 风险分析与等级划分 安全措施的选取
案例介绍
对于多媒体教学系统，其安全需求主要表现为系统的可用性，而完整性、机密性安全需求很低，通常不会涉及到。风险评估的目的是通过分析系统面临的影响系统可用性的安全风险，并选取相应的安全措施降低风险。
风险评估文件记录（二）
（6）脆弱性列表：根据脆弱性识别和赋值的结果，形成脆弱性列表，包括脆弱性名称、描述、类型及严重程度等； （7）已有安全措施确认表：根据已采取的安全措施确认的结果，形成已有安全措施确认表，包括已有安全措施名称、类型、功能描述及实施效果等； （8）风险评估报告：对整个风险评估过程和结果进行总结，详细说明被评估对象，风险评估方法，资产、威胁、脆弱性的识别结果，风险分析、风险统计和结论等内容； （9）风险处理计划：对评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价确保所选择安全措施的有效性； （10）风险评估记录：根据组织的风险评估程序文件，记录对重要资产的风险评估过程。
风险处理是一种系统化方法，可通过多种方式实现： 风险承受 风险降低 风险规避 风险转移
风险处理
风险处理的针对性 针对威胁源 针对威胁者的能力 针对威胁者的资源 针对威胁者的途径
风险处理
风险管理概述
风险评估
风险处理
常用风险计算方法
常用风险评估工具
常用风险计算方法
脆弱点识别与评估
脆弱点识别 威胁总是要利用资产的弱点才可能造成危害。 脆弱性识别主要从技术和管理两个方面进行 。 脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。 脆弱点评估 根据对资产损害程度、技术实现的难易程度、弱点流行程度，采用等级方式对已识别的脆弱性的严重程度进行赋值。 对某个资产，其技术脆弱性的严重程度受到组织的管理脆弱性的影响。
风险评估案例
案例介绍 资产识别与评估 威胁识别与评估 脆弱点识别与评估 风险分析与等级划分 安全措施的选取
案例介绍
对于多媒体教学系统，其安全需求主要表现为系统的可用性，而完整性、机密性安全需求很低，通常不会涉及到。风险评估的目的是通过分析系统面临的影响系统可用性的安全风险，并选取相应的安全措施降低风险。
风险评估文件记录（二）
（6）脆弱性列表：根据脆弱性识别和赋值的结果，形成脆弱性列表，包括脆弱性名称、描述、类型及严重程度等； （7）已有安全措施确认表：根据已采取的安全措施确认的结果，形成已有安全措施确认表，包括已有安全措施名称、类型、功能描述及实施效果等； （8）风险评估报告：对整个风险评估过程和结果进行总结，详细说明被评估对象，风险评估方法，资产、威胁、脆弱性的识别结果，风险分析、风险统计和结论等内容； （9）风险处理计划：对评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价确保所选择安全措施的有效性； （10）风险评估记录：根据组织的风险评估程序文件，记录对重要资产的风险评估过程。
信息安全风险评估概述PPT课件( 51页)
评估对象多为产品，很少延拓至系统，因而在严格意义上仍不是全面 的风险评估。 第三个阶段（90年代末，21世纪初）以信息系统为对象的信息保障阶段 随着信息保障的研究的深入，保障对象明确为信息和信息系统；保障能 力明确来源于技术、管理和人员三个方面；逐步形成了风险评估、自评 估、认证认可的工作思路
我国风险评估发展
• 银行业金融机构信息系统风险管理指 引
• 银行业金融机构内部审计指引 • 2006年度信息科技风险内部和外部
评价审计的通知
提纲
风险评估要素关系模型
业务战略
依赖
脆弱性
暴露
资产
拥有
资产价值
成本
利用
威胁
增加
风险
导出
安全需求
被满足
残留
演 变
安全事件
可能诱发 残余风险
未控制
安全措施
风险评估流程
• 确定评估范围 • 资产的识别和影响分析 • 威胁识别 • 脆弱性评估 • 威胁分析 • 风险分析 • 风险管理
Manipulation Destruction Falsification Repudiation
SECURITY = QUALITY
Availability
Continuity Interruption Punctuality Delay
Confidentiality
Exclusivity Divulgation
高
技术导向
•信息安全由IT部门管理
•有科学的安全预算
流 程
•分布式管理和非正规流程
要 •有较强的安全技术资源
求
安全的风险管理
风险避免，风险降低，风险转移，风险接受
高
我国风险评估发展
• 银行业金融机构信息系统风险管理指 引
• 银行业金融机构内部审计指引 • 2006年度信息科技风险内部和外部
评价审计的通知
提纲
风险评估要素关系模型
业务战略
依赖
脆弱性
暴露
资产
拥有
资产价值
成本
利用
威胁
增加
风险
导出
安全需求
被满足
残留
演 变
安全事件
可能诱发 残余风险
未控制
安全措施
风险评估流程
• 确定评估范围 • 资产的识别和影响分析 • 威胁识别 • 脆弱性评估 • 威胁分析 • 风险分析 • 风险管理
Manipulation Destruction Falsification Repudiation
SECURITY = QUALITY
Availability
Continuity Interruption Punctuality Delay
Confidentiality
Exclusivity Divulgation
高
技术导向
•信息安全由IT部门管理
•有科学的安全预算
流 程
•分布式管理和非正规流程
要 •有较强的安全技术资源
求
安全的风险管理
风险避免，风险降低，风险转移，风险接受
高
信息安全风险评估技术简介页PPT课件
通讯与信息网络上失密、泄密及窃密事件时有发生。直 接影响到政府管理效率和公众形象。
内部人员故意破坏。 内部人员误操作导致系统错误。 硬件问题，导致系统不能提供服务。 软件问题导致服务停止。
.
4
环境和背景
近年来，我国经济社会持续快速发展发展，信息化步伐加 快，在促进经济发展、调整经济结构、改造传统产业和提 高人民生活质量等方面发挥了不可替代的重要作用。一方 面社会经济对信息化的依赖程度越来越高，同时逐步建设 和积累了一批宝贵的信息资产。
透明和公开、实施过程的监督等）不完善； （3）缺乏信息化建设周期中质量控制和评估标准；
.
18
2.6我国信息安全风险的生成机理（续）
第四，安全子系统建设资金的预算和管理 能力差
（1）对信息系统未作风险评估和分析，安全子系统建设投资 预算缺乏科学依据 或过度保护 或保护不力；
（2）总体资金支持不足； （3）信息安全投资的回报难以监控和评估。
.
9
2.1 信息化风险的定义
风险指行动或者事件的结果的不确定性（uncertainty of outcome）。
信息化的风险被界定为信息化可能或者实际带来的消极威 胁。
风险管理泛指评估风险、确认风险、回应风险的过程。
.
10
2.2 信息安全基本属性
机密性 Confidentiality 完整性 Integrity 可用性 Availability
与之而来的各类计算机犯罪及“黑客”攻击网络事件屡有 发生，手段也越来越高技术化，从而对各国的主权、安全 和社会稳定构成了威胁。
计算机互联网络涉及社会经济生活各个领域，并直接与世 界相联，可以说是国家的一个政治“关口”，一条经济 “命脉”。网络与信息安全已上升为一个事关国家政治稳 定、社会安定、经济有序运行和社会主义精神文明建设的 全局性问题。
内部人员故意破坏。 内部人员误操作导致系统错误。 硬件问题，导致系统不能提供服务。 软件问题导致服务停止。
.
4
环境和背景
近年来，我国经济社会持续快速发展发展，信息化步伐加 快，在促进经济发展、调整经济结构、改造传统产业和提 高人民生活质量等方面发挥了不可替代的重要作用。一方 面社会经济对信息化的依赖程度越来越高，同时逐步建设 和积累了一批宝贵的信息资产。
透明和公开、实施过程的监督等）不完善； （3）缺乏信息化建设周期中质量控制和评估标准；
.
18
2.6我国信息安全风险的生成机理（续）
第四，安全子系统建设资金的预算和管理 能力差
（1）对信息系统未作风险评估和分析，安全子系统建设投资 预算缺乏科学依据 或过度保护 或保护不力；
（2）总体资金支持不足； （3）信息安全投资的回报难以监控和评估。
.
9
2.1 信息化风险的定义
风险指行动或者事件的结果的不确定性（uncertainty of outcome）。
信息化的风险被界定为信息化可能或者实际带来的消极威 胁。
风险管理泛指评估风险、确认风险、回应风险的过程。
.
10
2.2 信息安全基本属性
机密性 Confidentiality 完整性 Integrity 可用性 Availability
与之而来的各类计算机犯罪及“黑客”攻击网络事件屡有 发生，手段也越来越高技术化，从而对各国的主权、安全 和社会稳定构成了威胁。
计算机互联网络涉及社会经济生活各个领域，并直接与世 界相联，可以说是国家的一个政治“关口”，一条经济 “命脉”。网络与信息安全已上升为一个事关国家政治稳 定、社会安定、经济有序运行和社会主义精神文明建设的 全局性问题。
信息安全风险评估课件
场，造成了潜在的安全威胁 – 软件在接口的扩展性和兼容性方面考虑不周
2021/8/2
6.2 信息安全风险识别
• 6.3.1 人为因素 • 6.3.2 自然灾害 • 6.3.3 基础架构故障
2021/8/2
6.2.1 人为因素
• 人为因素源于人类的感知观念和处理事物能力， 其行为有可能增加系统的安全风险
• 具体因素
– 操作人员业务能力不足 – 操作人员不按规定操作 – 管理员对系统配置不当 – 管理制度不严使外部人员有机会接触系统
2021/8/2
6.4.1 通过定量分析方法进行威胁分析
• 单一预期亏损:用于替换该资源或恢复该资源所消 耗的支出
• 年预期被攻击概率:通过统计以往的被攻击的次数 来计算
• 年预期亏损量=单一预期亏损×年预期被攻击概率
2021/8/2
6.4.2 构建攻击模型
通过构建攻击模型是风险分析的一种有效技术手段。
主动防御。
术 5 系统漏洞识别与评估
自然灾害导致安全威胁的因素常见的有地震，火灾，洪水，台风，龙卷风，雷电等。 很多影响计算机安全系统的恶意行为都是由用户发动的，这些恶意行为主要有非法入侵系统，或制造能够威胁系统安全的软件
• 软件故障 相对系统软件，编写应用程序的门槛比较低
4 信息安全威胁分析方法
– 最严重的安全威胁来自于软件故障。 分类依据：系统性能、网络安全、网络性能和诊断、网络连接、动态IP和DNS记录、远程操作与文件共享事件记录、文件传输工具
应对方法：备份冗余、监控系统、硬件单元的恢复技术 原因：磨损、温度过高、湿度过湿或者灰尘过多
– 原因：复杂、测试困难、存在漏洞 单一预期亏损:用于替换该资源或恢复该资源所消耗的支出
2021/8/2
6.2 信息安全风险识别
• 6.3.1 人为因素 • 6.3.2 自然灾害 • 6.3.3 基础架构故障
2021/8/2
6.2.1 人为因素
• 人为因素源于人类的感知观念和处理事物能力， 其行为有可能增加系统的安全风险
• 具体因素
– 操作人员业务能力不足 – 操作人员不按规定操作 – 管理员对系统配置不当 – 管理制度不严使外部人员有机会接触系统
2021/8/2
6.4.1 通过定量分析方法进行威胁分析
• 单一预期亏损:用于替换该资源或恢复该资源所消 耗的支出
• 年预期被攻击概率:通过统计以往的被攻击的次数 来计算
• 年预期亏损量=单一预期亏损×年预期被攻击概率
2021/8/2
6.4.2 构建攻击模型
通过构建攻击模型是风险分析的一种有效技术手段。
主动防御。
术 5 系统漏洞识别与评估
自然灾害导致安全威胁的因素常见的有地震，火灾，洪水，台风，龙卷风，雷电等。 很多影响计算机安全系统的恶意行为都是由用户发动的，这些恶意行为主要有非法入侵系统，或制造能够威胁系统安全的软件
• 软件故障 相对系统软件，编写应用程序的门槛比较低
4 信息安全威胁分析方法
– 最严重的安全威胁来自于软件故障。 分类依据：系统性能、网络安全、网络性能和诊断、网络连接、动态IP和DNS记录、远程操作与文件共享事件记录、文件传输工具
应对方法：备份冗余、监控系统、硬件单元的恢复技术 原因：磨损、温度过高、湿度过湿或者灰尘过多
– 原因：复杂、测试困难、存在漏洞 单一预期亏损:用于替换该资源或恢复该资源所消耗的支出
第八讲信息安全风险评估ppt课件
服务
办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务 网络服务：各种网络设备、设施提供的网络连接服务 信息服务：对外依赖该系统开展服务而取得业务收入的服务
文档
纸质的各种文件、传真、电报、财务报告、发展计划等
人员
掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等
风险评估
信息安全风险评估概述
信息安全风险评估策略
信息安全风险评估流程
信息安全风险评估方法
风险评估案例
风险评估概述
信息安全风险评估概述
风险评估概述
A风险因子
B风险因子
危险源
结合
隐患：内部失控
事故
外部作用
产生了人们不期望的后果
超出设定安全界限的状态、行为
风险评估概述
系统
减少：人的不安全行为
改变：环境不安全条件
6、低优先观察清单
5、进一步分析的风险
4、需近期处理的风险
3、风险成因及需关注领域
2、按类别分类的风险
1、优先级清单
风险登记册（更新）
组织过程资产
风险管理计划
项目范围说明书
风险分类
风险紧迫性评估
专家判断
风险评估概述
4、实施定量风险分析流程
依据
工具、技术
结果
风险登记册
风险管理计划
成本管理计划
进度管理计划
风险评估概述
脆弱点主要表现在从技术和管理两个方面 技术脆弱点是指信息系统在设计、实现、运行时在技术方面存在的缺陷或弱点。 管理脆弱点则是指组织管理制度、流程等方面存在的缺陷或不足。例如： 安装杀毒软件或病毒库未及时升级 操作系统或其他应用软件存在拒绝服务攻击漏洞 数据完整性保护不够完善 数据库访问控制机制不严格都属于技术脆弱点 系统机房钥匙管理不严、人员职责不清、未及时注销离职人员对信息系统的访问权限等
办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务 网络服务：各种网络设备、设施提供的网络连接服务 信息服务：对外依赖该系统开展服务而取得业务收入的服务
文档
纸质的各种文件、传真、电报、财务报告、发展计划等
人员
掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等
风险评估
信息安全风险评估概述
信息安全风险评估策略
信息安全风险评估流程
信息安全风险评估方法
风险评估案例
风险评估概述
信息安全风险评估概述
风险评估概述
A风险因子
B风险因子
危险源
结合
隐患：内部失控
事故
外部作用
产生了人们不期望的后果
超出设定安全界限的状态、行为
风险评估概述
系统
减少：人的不安全行为
改变：环境不安全条件
6、低优先观察清单
5、进一步分析的风险
4、需近期处理的风险
3、风险成因及需关注领域
2、按类别分类的风险
1、优先级清单
风险登记册（更新）
组织过程资产
风险管理计划
项目范围说明书
风险分类
风险紧迫性评估
专家判断
风险评估概述
4、实施定量风险分析流程
依据
工具、技术
结果
风险登记册
风险管理计划
成本管理计划
进度管理计划
风险评估概述
脆弱点主要表现在从技术和管理两个方面 技术脆弱点是指信息系统在设计、实现、运行时在技术方面存在的缺陷或弱点。 管理脆弱点则是指组织管理制度、流程等方面存在的缺陷或不足。例如： 安装杀毒软件或病毒库未及时升级 操作系统或其他应用软件存在拒绝服务攻击漏洞 数据完整性保护不够完善 数据库访问控制机制不严格都属于技术脆弱点 系统机房钥匙管理不严、人员职责不清、未及时注销离职人员对信息系统的访问权限等
《信息安全风险评估》课件
风险评估
根据识别的威胁和脆弱性，评估潜在的后果 和可能性，确定风险的等级。
04
风险评价
评价方法
定性评价法
基于专家经验和知识，对风险进行主观评估 。
定量评价法
运用数学模型和统计方法，对风险进行客观 量化的评估。
综合评价法
结合定性评价和定量评价，综合考虑各种因 素，得出全面准确的风险评估结果。
评价工具
保障业务连续性
有效的风险评估有助于降低安全事件发生的可能性，减少业务中断 的风险，保障业务的连续性。
风险评估的流程
确定评估范围
明确评估对象和范围，确定需要评估的信息系统和相关 资产。
收集信息
收集与信息系统相关的各种信息，包括系统架构、安全 配置、安全日志等。
识别威胁和脆弱性
分析信息系统中可能存在的威胁和脆弱性，了解潜在的 安全风险。
05
风险应对
应对策略
检测策略
通过检测机制及时发现和响应信息安全风险 ，降低风险影响程度。
预防策略
通过采取预防措施，降低或消除信息安全风 险的发生概率。
恢复策略
制定和实施恢复计划，以尽快恢复受影响的 信息系统和服务。
应对措施
技术措施
采用先进的安全技术，如加 密、防火墙、入侵检测等， 提高信息系统的安全性。
风ห้องสมุดไป่ตู้评估
对识别出的威胁和脆弱性进行定性和定量评估，确定风 险等级和影响程度。
制定控制措施
根据风险评估结果，制定相应的风险控制措施，降低或 消除风险。
持续监测与改进
对实施控制措施后的信息系统进行持续监测，及时发现 和处理新的风险，不断改进和完善风险评估体系。
02
风险识别
识别方法
信息安全风险评估ppt
信息安全风险评估ppt
标题：信息安全风险评估
内容：
1. 什么是信息安全风险评估？
- 信息安全风险评估是对组织的信息系统和数据进行全面评估，从而了解可能存在的安全威胁和风险。
2. 为什么进行信息安全风险评估？
- 保护组织的敏感信息和数据不被盗窃、泄露或被破坏。
- 遵守法规和合规要求。
- 提高组织的信誉和声誉。
- 减少潜在的财务损失。
3. 信息安全风险评估的步骤：
- 确定评估目标和范围。
- 收集和分析信息。
- 评估和计算风险。
- 提出建议和措施。
- 编写报告和总结。
4. 信息安全风险评估的工具和技术：
- 漏洞扫描工具：用于检测系统中的漏洞和弱点。
- 渗透测试：模拟黑客攻击，评估系统的安全性。
- 安全评估问卷调查：了解员工对安全措施的知识和实际应用情况。
- 日志和监控系统：分析系统日志和监控数据，发现异常活
动。
5. 信息安全风险评估的挑战：
- 技术限制：一些系统可能无法完全评估。
- 人为因素：员工的行为和意识对信息安全的影响。
- 不断变化的威胁：安全威胁和攻击技术不断演进。
6. 信息安全风险评估的好处：
- 提供全面的安全风险意识和认知。
- 为制定安全策略和措施提供依据。
- 降低安全风险和潜在损失。
结束语：
信息安全风险评估是确保组织安全重要步骤之一，通过评估和识别潜在的安全威胁和风险，组织能够制定相应的安全措施和策略，保护敏感信息和数据。
不断进行风险评估是持续改进和保障信息安全的关键。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
风险评估是一种方法和依据
信息安全风险是由于资产的重要性，人为或自然的威 胁利用信息系统及其管理体系的脆弱性，导致安全事 件一旦发生所造成的影响。信息安全风险评估是指依 据有关信息安全技术与管理标准，对信息系统及由其 处理、传输和存储的信息的机密性、完整性和可用性 等安全属性进行评价的过程。它要评估资产面临的威 胁以及威胁利用脆弱性导致安全事件的可能性，并结 合安全事件所涉及的资产价值来判断安全事件一旦发 生对组织造成的影响，即信息安全的风险。
参与试点的相关咨询工作
1、准备阶段：组织八个试点单位的相关人员进行培训，明确风险 评估流程和风险评估准备阶段的任务，协助试点单位制定其风险评 估实施方案。
资产分类
风险评估中，资产大多属于不同的信息系统，如 OA系统、网管系统、业务生产系统等，而且对于 提供多种业务的组织，其支持业务持续运行的系统 数量可能更多。这时首先需要将信息系统及相关的 资产进行恰当的分类，以此为基础进行下一步的风 险评估。在实际工作中，具体的资产分类方法可以 根据具体的评估对象和要求，由评估者来灵活把握。
风险评估准备
威胁识别
已有安全措施的确认
风险计算
是 风险是否接受
否 选择适当的安全措施并评估残余 风险
是否接受残余风险
否
是 实施风险管理
脆弱性识别 评估过程文档 评估过程文档
评估结果文档 风险评估文件记录
……………… …
风险分析主要内容
对资产进行识别，并对资产的重要性进行赋值； 对威胁进行识别，描述威胁的属性，并对威胁出现的频
根据资产的表现形式，可将资产分为数据、软件、 硬件、文档、服务、人员等类。
风险评估尚需探索、贵在实践
今年我有幸参加了国信办组织的一些 试点工作
看到了试点单位的成绩和取得的经验， 获益良多
也发现了还有不少问题急需探索和研 究
参与了试点咨询工作
协助修订《关于开展信息安全风险评估工作的意见》，提 供相关的咨询和技术支持。
导出
风险
残留
残余风险
未控制
被满足
安全需求
安全措施
风险分析的基本要素
风险分析中要涉及资产、威胁、脆弱 性等基本要素。
每个要素有各自的属性
资产的属性是资产价值； 威胁的属性是威胁出现的频率； 脆弱性的属性是资产弱点的严重程度。
风险评估实施流程示意图
资产识别
风险分析 保持已有的安全措施 施施施
风险评估的准备是整个风险评估过程有效性 的保证。在风险评估实施前，应：
确定风险评估的目标； 确定风险评估的范围； 组建适当的评估管理与实施团队； 选择与组织相适应的具体的风险判断方法； 获得最高管理者对风险评估工作的支持。
风险评估的准备阶段
明确目标
应明确风险评估的目标，为风险评估的过程提供导向。信息系统是重要的 资产，其机密性、完整性和可用性对于维持竞争优势、获利能力、法规要 求和组织形象是必要的。
信息安全风险评估是信息系统安全保障机制建立过程 中的一种评价方法，其结果为信息安全风险管理提供 依据。
风险评估的理念
安全需要风险管理，信息安全更需要风 险管理
风险评估是当前解决信息安全问题的重 要手段
风险要素关系示意图
业务战略
依赖
暴露
脆弱性
具有
演变
安全事件
可能诱发
选择方法
应考虑评估的目的、范围、时间、效果、人员素质等因素来选择具体的风 险判断方法，使之能够与组织环境和安全要求相适应。
获得支持
上述所有内容确定后应得到组织的最高管理者的支持、批准，并对管理和 技术人员进行传达和在组织范围就风险评估进行培训
资产识别
资产是具有价值的信息或资源，是安全策略保护 的对象。它能够以多种形式存在，有无形的、有 形的，有硬件、软件，有文档、代码，也有服务、 形象等。机密性、完整性和可用性是评价资产的 三个安全属性。信息安全风险评估中资产的价值 不仅仅以资产的账面价格来衡量，而是由资产在 这三个安全属性上的达成程度或者其安全属性未 达成时所造成的影响程度来决定的。安全属性达 成程度的不同将使资产具有不同的价值，而资产 面临的威胁、存在的脆弱性、以及已采取的安全 措施都将对资产安全属性的达成程度产生影响。 为此，有必要对组织中的资产进行识别。
信息系统也一样，在安全状态方面，常常处 于“亚健康”甚至患病状态，因此也要“体 检”—这就是风险评估
环境和背景
近年来，我国经济社会持续快速发展发展，信息化步伐加 快，在促进经济发展、调整经济结构、改造传统产业和提 高人民生活质量等方面发挥了不可替代的重要作用。一方 面社会经济对信息化的依赖程度越来越高，同时逐步建设 和积累了一批宝贵的信息资产。
与之而来的各类计算机犯罪及“黑客”攻击网络事件屡有 发生，手段也越来越高技术化，从而对各国的主权、安全 和社会稳定构成了威胁。
计算机互联网络涉及社会经济生活各个领域，并直接与世 界相联，可以说是国家的一个政治“关口”，一条经济 “命脉”。网络与信息安全已上升为一个事关国家政治稳 定、社会安定、经济有序运行和社会主义精神文明建设的 全局性问题。
率赋值； 对资产的脆弱性进行识别，并对具体资产的脆弱性的严
重程度赋值； 根据威胁和脆弱性的识别结果判断安全事件发生的可能
性； 根据脆弱性的严重程度及安全事件所作用资产的重要性
计算安全事件的损失； 根据安全事件发生的可能性以及安全事件的损失，计算
安全事件一旦发生对组织的影响，即风险值。
不打无准备之仗—做好准备
确定范围
基于风险评估目标确定评估范围是完成风险评估的前提。风险评估范围可 能是组织全部的信息及与信息处理相关的各类资产、管理机构，也可能是 某独立的系统，关键业务流程，与客户知识产权相关的系统或部门等。
组建团队
组建适当的风险评估管理与实施团队，以支持整个过程的推进，如成立由 管理层、相关业务骨干、IT技术人员等组成的风险评估小组。评估团队应 能够保证风险评估工作的有效开展。
我看信息安全风险评估工作
宁家骏（国家信息中心） 2005.10
提纲
信息安全与风险评估 风险评估贵在探索 努力研发符合我国特色的评估体系 安全保密需要风险评估
克服安全“亚健康”的必由之 路
医学专家告诉我们：
人的躯体有健康、亚健康和患病等多种状态 但成年人多数处于亚健康状态 如何确认和发现问题，必须体检