风险管理与应急体系课件

确定应急方案
开发/采办阶 段
确定应急需求 启动阶段
进行测试 实现阶段
废弃阶段 随时准备 实现原系统
运行/维护阶 段
计划的培训、演习
风险管理与应急体系
（二）应急规划过程
1、制定应急规划的政策说明 2、实施业务影响分析 3、确定预防性控制 4、制定恢复战略 5、制定IT应急计划 6、计划的测试、培训和演习 7、计划维护
由高到低的行动优先级 可能的控制清单 成本效益分析 所选择的安全控制 责任人清单
安全措施实现计划
步骤7：实现所选择的安全控制
残余风险
风险管理与应急体系
降低残余风险：
降低脆弱性
新增或强化 安全措施
降低威胁能力
残余风险
降低负面影响
能接受？
否
是
维持
风险管理与应急体系
成功的关键：
1、高层管理者的决心 2、IT团队全力支持和参与 3、风险评估小组能力 4、用户的意识和合作 5、对使命风险进行持续的评价和评估
风险管理与应急体系
应急规划的过程：
风险管理与应急体系
（三）技术支持
常见的考虑事项包括： • 数据、应用和操作系统的备份与异地存储 • 关键系统组建或能力的冗余 • 系统配置和要求文档 • 在系统组件间以及主备点间互操作，以加
快系统恢复 • 适当规模的电源管理系统和环境控制
风险管理与应急体系
广域网应急策略：
•WAN的文档记录 •和厂商的协调 •与安全政策和控制保持协调 •确定单点故障 •实现关键组件冗余 •制定服务级别协定
风险管理与应急体系
应急方案：确保广域网的可用性
•冗余的通信线路：线路在物理上是分离的； •冗余的网络服务提供商：NSP之间没有任何点 共享同一设备； •冗余的网络连接设备：双重网络连接设备； •来自NSP或者ISP的冗余：评估其核心网络的 健壮性、可靠性。
风险管理与应急体系
国家信息化专家咨询委员会委员 沈昌祥 院士
风险管理与应急体系
信息安全的风险管理和应急处 理是信息安全保障体系中的重要环 节。对保证电信网络的安全有至关 重要的意义。科学合理的实施风险 管理和应急处理，将为电信网络提 供有效的安全保障手段。
风险管理与应急体系
一、信息安全的风险管理
范围
涉及到和人员及公众的 沟通,不关注IT
关注于对影响系统和/或 网络的事件的信息安全 响应
经常关注IT,限于会带来 长时间破坏影响的主要 破坏
关注针对特定设施的特 殊人员和财产；而不是 基于业务过程或IT 系统 功能
风险管理与应急体系
不同计划之间的关系：
风险管理与应急体系
应急贯穿系统全生命周期：
风险评估实施流程：
风险评估准备
资产识别
威胁识别
脆弱性识别
已有安全措施的确认
风险分析
是 保持已有的安全措施
风险计算
风险是否接受 否
选择适当的安全措施 并评估残余风险
是否接受残余风险
否
是 实施风险管理
…………………
评估过程文档 评估过程文档
评估结果文档 风险评估文件记录
风险评估实施流风程险图管理与应急体系
风险管理与应急体系
风险管理包括三个过程： 1、风险评估：对风险及其影响的识别
和评价，建议如何降低风险。
2、风险减缓：对风险评估过程中所推 荐的风险降低措施进行优先级排序， 加以实现和维护。
3、评价确认：对风险评估结果进行判 断，以明确在风险减缓措施实施后 残余的风险是否可以接受。
风险管理与应急体系
风险管理与应急体系
应急规划：
应 计划
急 规
流程
划 技术
基础信息网络 重要信息系统
风险管理与应急体系
应急计划类型（1/2）：
计划
业务连续性计划 业务恢复/再继续计划
运行连续性计划 支持连续性计划
目的
提供在从严重破坏中恢复 时保持必要的业务运行的 流程
提供灾难发生后立即恢复 业务运行的流程
提供在30天之内在备用站 点保持机构必要的战略功 能的能力
风险管理与应急体系
• 信息资产由价值表示，分为经济价值和 社会价值。用下图表示：
经
综合价值
济
价
值
社会价值
风险管理与应急体系
• 业务能力表现在信息服务上，分为服务 范围和连续性依赖程度。
服
综合能力保证
务
范
围
连续性依赖
风险管理与应急体系
• 等级保护应根据信息系统的综合价 值和综合能力保证的要求不同来确 定其相应的保护等级。
风险管理与应急体系
百度文库
二、信息安全应急体系框架
（一）应急规划 • 做好风险管理工作，使脆弱性和威胁最
小化，但不可能完全消除，也有可能遭 受系统被破坏。
• 安全应急是一种协调的战略过程，涉及 到计划、流程和技术措施，以使IT系统、 运行和数据在被破坏后能够得到恢复。 这涉及到法律、组织管理和技术支持等 环节，首先要做好应急规划。
应急计划类型（2/2）：
计划 危机沟通计划 计算机事件响应计划 灾难恢复计划
拥有者应急计划
目的
提供将状态报告分发给员 工和公众的流程
为检测、响应恶意计算机 事件，并限制其后果提供 战略
为帮助在备用站点实现能 力恢复提供详细流程
提供经过协调的流程，从 而在应对物理威胁时,将生 命损失和伤害降到最低， 并保护财产免遭损害
风险减缓方法流程：
来自风险评估报告的风险 级别
风险评估报告
步骤1：对行动优先级进行排序
步骤2：评估所建议的安全选项 可用性、有效性
步骤3：实施成本效益分析
步骤4：选择安全控制
步骤5：分配责任
步骤6：制定安全措施的实现计划
•风险及相关风险的级别 •优先级排序后的行动 •所建议的控制 •所选择的预期控制 •责任人员 •开始日期 •目标完成日期 •维护要求
提供恢复主应用或通用支 撑系统的流程和能力
范围
涉及到业务过程，并由于 其对业务过程的支持而涉 及到IT
涉及到业务过程；并不关 注IT；仅限据其对业务过 程的支持而涉及到IT
涉及到被认为是最关键的 机构使命子集；通常在总 部级制定；不关注IT
同IT应急计划；涉及到IT 系统破坏；不关注业务过 程
风险管理与应急体系
• 风险：安全事件发生（即保密性、完整 性、可用性损失）的概率及其可能造成 影响下，脆弱性被利用后所产生的实际 负面影响。
• 风险管理：识别风险, 评估风险, 采取步 骤减缓风险并将它降到可接受的水平之 内的过程。
风险管理与应急体系
• 风险管理就是保护组织机构 的信息资产及业务，保护其 完成使命的能力。不仅是其IT 资产价值, 而且是专业人员实 施技术功能和组织机构管理 功能的综合。即信息资产的 保护和业务能力的保证。