安全风险评估PPT
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
IATF 信息保障技术框架
BS 7799, ISO/IEC 17799 信息安全管理实践准则 其他相关标准、准则
例如：ISO/IEC 15443, COBIT。。。
ISSE 信息系统安全工程
SSE-CMM 系统安全工程能力成熟度模型
技术准则
（信息技术系统评估准则） 信
息
系
统
管理准则
安
（信息系统管理评估准则）
础之上
北邮 信息安全中心 崔宝江
信息安全风险评估和风险管理
• 风险评估是风险管理的第一步
安全需求
保 护 措 施
BS7799 控制目标
提出/确定
由…实现 选择安全措施
安全问题 （风险评估）
保 护 措 施
BS7799控制措 施
北邮 信息安全中心 崔宝江
信息安全风险评估和风险管理
风险评估是信息安全管理体系和信息安全风险管理的 基础
• 信息安全领域
信息安全风险是指信息资产的保密性、完整性和可用性遭到破坏的 可能性。
信息安全风险只考虑那些对组织有负面影响的事件。
北邮 信息安全中心
崔宝江
网络中存在的安全威胁
特洛伊木马
黑客攻击 后门、隐蔽通道 计算机病毒
信息丢失、 篡改、销毁
网络
拒绝服务攻击
逻辑炸弹
蠕虫
北邮 信息安全内中部心、外崔部宝江泄密
ISO/IEC 15408 GB/T 18336
设计阶段 实施阶段 运维阶段
安全技术
北邮 信息安全中心 崔宝江
安全生命周期
信息安全管理标准体系
• BS7799和ISO17799
由英国标准协会BSI制定的信息安全管理体系标准，后发布为国际ISO标准
• GAO/AIMD 98-68和GAO/AIMD 99-139：
信息系统风险评估
北京邮电大学信息安全中心 主讲人：崔宝江 博士
cuibj@bupt.edu.cn
2006年4月
北邮 信息安全中心 崔宝江
信息系统风险评估
• 一. 概述 • 二. 风险评估内容和方法 • 三. 风险评估实施过程 • 四. 风险评估实践和案例 • 五. 风险评估工具 • 六. 小结
北邮 信息安全中心 崔宝江
风险管理必要性
企事业单位对信息系统依赖性增强
安全威胁和风险无处不在
组织自身业务的需要
客户的要求
合作伙伴的要求
投标要求
竞争优势，树立品牌
加强内部管理的要求
法律法规的要求
计算机信息系统安全保护条例
互联网安全管理办法
知识产权保护 信息安全等级保护
北邮 信息安全中心 崔宝江
信息安全风险管理要依靠风险评估的结果来确定随后 的风险控制和审核批准活动
使得机构能够准确“定位”风险管理的策略、实践和工具 能够将安全活动的重点放在重要的问题上 能够选择成本效益合理的和适用的安全对策
北邮 信息安全中心 崔宝江
信息安全风险评估和风险管理
• 风险评估－确定安全风险及其大小的过程
全
保
障
评
估
准
过程准则
则
Байду номын сангаас
（信息系统安全工程评估准则）
北邮 信息安全中心 崔宝江
信息安全管理标准体现的原则
• 制定信息安全方针为信息安全管理提供导向和 支持
• 预防控制为主的思想原则 • 全员参与原则 • 动态管理原则 • 遵循管理的一般循环模式—PDCA持续改进模式 • 控制目标和控制方式的选择建立在风险评估基
美国国家安全局NSA等启动的信息安全工程能力成熟度模型
• AS/NZS4360 澳大利亚和新西兰发布的风险管理指南
• COBIT 美国信息系统审计和控制委员会ISACA北的邮信息信系息安统全和中技心术崔控宝制江目标
信息安全管理标准概述
GB 18336 idt ISO/IEC 15408 信息技术安全性评估准则
安全级别
5级：访问验证保护级 4级：结构化保护级 3级：安全标记保护级 2级：系统审计保护级
资产的分类与控 制
安全组织
1级：用户自主保护级
用
安
评
恶
安全策略
户标
全
估
意脆
密数 识 安 功 资 对 可 代 弱
码据 与 全 能 源 象 信 码 性
审通 支保 鉴 管 保 利 访 信 防 管
计信 持护 别 理 护 用 问 道 范 理
风险评估和管理的安全标准体系
BS7799
安 全
SSE-CMM 评
ISO/IEC
TR
13335
估 和
法律依从
GAO/AIMD-99-139
管 理
业务连续性
NISP SP 800-30 系统开发与维护
OCTAVE AS/NZS 4360 访问控制
通信和操作管理
物理和环境安全
人员安全
GB/T 17859 GA/T 388－2002
风险的定义
• 普通字典的解释
风险：遭受损害或损失的可能性
• AS/NZS 4360：澳大利亚/新西兰国家标准
风险：对目标产生影响的某种事件发生的机会。它可以用后果和可 能性来衡量。
• ISO/IEC TR 13335-1:1996
安全风险：是指一种特定的威胁利用一种或一组脆弱性造成组织的 资产损失或损害的可能性。
安全事件发生，组织会遭受怎样的损失或面临 怎样的负面影响？
组织应采取怎样的安全措施来有效控制风险？
北邮 信息安全中心 崔宝江
风险评估的目的
• 明确信息系统的安全现状，明晰安全需求 • 确定信息系统的主要安全风险，选择风险
处置措施 • 指导组织信息系统安全技术体系与管理体
美国审计总署GAO发布的信息安全管理实施指南和信息安全风险评估指南
• NIST SP800-30
美国国家标准和技术学会NIST的信息技术实验室ITL发布的IT系统风险管理指南
• OCTAVE
卡耐基梅隆大学软件工程研究所CMU/SEI创建的可操作的关键威胁、资产和弱点 评估方法和流程
• SSE-CMM
风险分析
系统地使用信息以识别起源并估计风险
风险评价
将评估的风险与给的风险原则进行比较以决定重大 风险的过程
• 风险处理
修改风险手段的选择和实施的处理过程
北邮 信息安全中心 崔宝江
信息安全风险评估
对信息系统及由其处理、传输和存储的信息的 保密性、完整性和可用性等安全属性进行科学 识别和评价的过程。
评估信息系统的脆弱性、信息系统面临的威胁 以及脆弱性被威胁源利用后所产生的实际负面 影响
北邮 信息安全中心 崔宝江
风险评估解决的问题
要保护的对象（或资产）是什么？它的直接和 间接价值如何？
资产面临那些潜在威胁？导致威胁的问题何在？ 威胁发生的可能性有多大？
资产中存在哪些脆弱点可能被利用？利用的难 易程度如何？
BS 7799, ISO/IEC 17799 信息安全管理实践准则 其他相关标准、准则
例如：ISO/IEC 15443, COBIT。。。
ISSE 信息系统安全工程
SSE-CMM 系统安全工程能力成熟度模型
技术准则
（信息技术系统评估准则） 信
息
系
统
管理准则
安
（信息系统管理评估准则）
础之上
北邮 信息安全中心 崔宝江
信息安全风险评估和风险管理
• 风险评估是风险管理的第一步
安全需求
保 护 措 施
BS7799 控制目标
提出/确定
由…实现 选择安全措施
安全问题 （风险评估）
保 护 措 施
BS7799控制措 施
北邮 信息安全中心 崔宝江
信息安全风险评估和风险管理
风险评估是信息安全管理体系和信息安全风险管理的 基础
• 信息安全领域
信息安全风险是指信息资产的保密性、完整性和可用性遭到破坏的 可能性。
信息安全风险只考虑那些对组织有负面影响的事件。
北邮 信息安全中心
崔宝江
网络中存在的安全威胁
特洛伊木马
黑客攻击 后门、隐蔽通道 计算机病毒
信息丢失、 篡改、销毁
网络
拒绝服务攻击
逻辑炸弹
蠕虫
北邮 信息安全内中部心、外崔部宝江泄密
ISO/IEC 15408 GB/T 18336
设计阶段 实施阶段 运维阶段
安全技术
北邮 信息安全中心 崔宝江
安全生命周期
信息安全管理标准体系
• BS7799和ISO17799
由英国标准协会BSI制定的信息安全管理体系标准，后发布为国际ISO标准
• GAO/AIMD 98-68和GAO/AIMD 99-139：
信息系统风险评估
北京邮电大学信息安全中心 主讲人：崔宝江 博士
cuibj@bupt.edu.cn
2006年4月
北邮 信息安全中心 崔宝江
信息系统风险评估
• 一. 概述 • 二. 风险评估内容和方法 • 三. 风险评估实施过程 • 四. 风险评估实践和案例 • 五. 风险评估工具 • 六. 小结
北邮 信息安全中心 崔宝江
风险管理必要性
企事业单位对信息系统依赖性增强
安全威胁和风险无处不在
组织自身业务的需要
客户的要求
合作伙伴的要求
投标要求
竞争优势，树立品牌
加强内部管理的要求
法律法规的要求
计算机信息系统安全保护条例
互联网安全管理办法
知识产权保护 信息安全等级保护
北邮 信息安全中心 崔宝江
信息安全风险管理要依靠风险评估的结果来确定随后 的风险控制和审核批准活动
使得机构能够准确“定位”风险管理的策略、实践和工具 能够将安全活动的重点放在重要的问题上 能够选择成本效益合理的和适用的安全对策
北邮 信息安全中心 崔宝江
信息安全风险评估和风险管理
• 风险评估－确定安全风险及其大小的过程
全
保
障
评
估
准
过程准则
则
Байду номын сангаас
（信息系统安全工程评估准则）
北邮 信息安全中心 崔宝江
信息安全管理标准体现的原则
• 制定信息安全方针为信息安全管理提供导向和 支持
• 预防控制为主的思想原则 • 全员参与原则 • 动态管理原则 • 遵循管理的一般循环模式—PDCA持续改进模式 • 控制目标和控制方式的选择建立在风险评估基
美国国家安全局NSA等启动的信息安全工程能力成熟度模型
• AS/NZS4360 澳大利亚和新西兰发布的风险管理指南
• COBIT 美国信息系统审计和控制委员会ISACA北的邮信息信系息安统全和中技心术崔控宝制江目标
信息安全管理标准概述
GB 18336 idt ISO/IEC 15408 信息技术安全性评估准则
安全级别
5级：访问验证保护级 4级：结构化保护级 3级：安全标记保护级 2级：系统审计保护级
资产的分类与控 制
安全组织
1级：用户自主保护级
用
安
评
恶
安全策略
户标
全
估
意脆
密数 识 安 功 资 对 可 代 弱
码据 与 全 能 源 象 信 码 性
审通 支保 鉴 管 保 利 访 信 防 管
计信 持护 别 理 护 用 问 道 范 理
风险评估和管理的安全标准体系
BS7799
安 全
SSE-CMM 评
ISO/IEC
TR
13335
估 和
法律依从
GAO/AIMD-99-139
管 理
业务连续性
NISP SP 800-30 系统开发与维护
OCTAVE AS/NZS 4360 访问控制
通信和操作管理
物理和环境安全
人员安全
GB/T 17859 GA/T 388－2002
风险的定义
• 普通字典的解释
风险：遭受损害或损失的可能性
• AS/NZS 4360：澳大利亚/新西兰国家标准
风险：对目标产生影响的某种事件发生的机会。它可以用后果和可 能性来衡量。
• ISO/IEC TR 13335-1:1996
安全风险：是指一种特定的威胁利用一种或一组脆弱性造成组织的 资产损失或损害的可能性。
安全事件发生，组织会遭受怎样的损失或面临 怎样的负面影响？
组织应采取怎样的安全措施来有效控制风险？
北邮 信息安全中心 崔宝江
风险评估的目的
• 明确信息系统的安全现状，明晰安全需求 • 确定信息系统的主要安全风险，选择风险
处置措施 • 指导组织信息系统安全技术体系与管理体
美国审计总署GAO发布的信息安全管理实施指南和信息安全风险评估指南
• NIST SP800-30
美国国家标准和技术学会NIST的信息技术实验室ITL发布的IT系统风险管理指南
• OCTAVE
卡耐基梅隆大学软件工程研究所CMU/SEI创建的可操作的关键威胁、资产和弱点 评估方法和流程
• SSE-CMM
风险分析
系统地使用信息以识别起源并估计风险
风险评价
将评估的风险与给的风险原则进行比较以决定重大 风险的过程
• 风险处理
修改风险手段的选择和实施的处理过程
北邮 信息安全中心 崔宝江
信息安全风险评估
对信息系统及由其处理、传输和存储的信息的 保密性、完整性和可用性等安全属性进行科学 识别和评价的过程。
评估信息系统的脆弱性、信息系统面临的威胁 以及脆弱性被威胁源利用后所产生的实际负面 影响
北邮 信息安全中心 崔宝江
风险评估解决的问题
要保护的对象（或资产）是什么？它的直接和 间接价值如何？
资产面临那些潜在威胁？导致威胁的问题何在？ 威胁发生的可能性有多大？
资产中存在哪些脆弱点可能被利用？利用的难 易程度如何？