培训资料风险评估与管理(79页)-管理培训(编辑修改稿)

培训资料风险评估与管理(79页)-管理培训(编辑修改稿)内容摘要：

 恶意软件的引入可以是有意的（具有一定的目的和企图）和无意的（运行了来历不明的软件），恶意软件威胁资产的保密性、完整性和可用性。  软件失效  由于有预谋的事件或意外事件发生，从而导致软件的完整性与可用性的损失。 中管网制造业频道 概念解析 8 威胁（续）  火灾  这是一种意外事故，也可能是一种有预谋的事件，会影响资产的完整性与可用性。  偷窃  这是一种有预谋的威胁，可能会损害资产的保密性与可用性。  人员错误  可能是有意的或无意的行为，有时此类事件的发生仅仅是员工缺乏安全意识，并不是有什么恶意企图。 中管网制造业频道 概念解析 9 脆弱性  脆弱性 (Vulnerability)  脆弱性是信息资产及其防护措施在安全方面的不足和弱点。  脆弱性也常常被称为漏洞。  NIST SP80030将漏洞定义为安全程序、技术控制措施、物理控制措施或其他控制措施中可能被威胁利用的条件或弱点，或缺乏控制措施。 中管网制造业频道 概念解析 9 脆弱性（续）  经验表明：大多数重大的漏洞通常是由于缺乏良好的流程或指定了不适当的信息安全责任才出现的，但是进行风险评估时往往过分注重技术漏洞。 中管网制造业频道 概念解析 9 脆弱性（续）  以下都是常见的脆弱性：  缺乏物理保护或保护不适当  可能被威胁利用，损害资产的保密性、完整性和可用性  口令选择或使用不当  可能导致对系统信息的非授权访问，从而损害资产的保密性、完整性和可用性。 中管网制造业频道 概念解析 9 脆弱性（续）  与外部网络的连接没有保护  能导致在联网系统中存储与处理信息的保密性、完整性和可用性的损害。  没有保护的存档文件  有可能被偷窃，从而损害资产的保密性、完整性和可用性。  不足够的安全培训  可能造成用户缺乏足够的安全意识，破坏信息的保密性，或者产生用户错误，从而造成对资产的完整性和可用性的损害。 中管网制造业频道 概念解析 10 防护措施  防护措施 (safeguard)  防护措施是对付威胁，减少脆弱性，保护资产，限制意外事件的影响，检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称。  防护措施 本质上都是减少脆弱性的。 中管网制造业频道 概念解析 与要素相关概念小结 中管网制造业频道 风险评估与管理 1. 与风险评估和风险管理相关的概念解析 2. 信息安全风险管理的一般过程 3. 风险评估与风险管理的其它问题 中管网制造业频道 2 信息安全风险管理的一般过程 信息安全风险评估的过程 信息安全风险处理的过程 中管网制造业频道 信息安全风险评估的过程 输入 输出 风险评估活动 ● 硬件 ● 软件 ● 系统接口 ● 数据和信息 ● 人员 ● 系统使命 步骤 1：体系特征描述 ● 系统边界 ● 系统功能 ● 系统和数据的关键性 ● 系统和数据的敏感性 ● 系统遭受攻击的历史 ● 来自信息咨询机构、大众媒体的数据 ● 以前的风险评报告 ● 安全检查工作中提出的意见 ● 安全要求 ● 安全测试结果 ● 当前的以及规划中的安全措施 ● 威胁的属性（威胁源、动机、能力等） ● 脆弱性的性质 ● 当前的以及规划中的安全措施 ● 分析对使命的影响 ● 评估资产的关键性 ● 数据关键性 ● 数据敏感性 ● 威胁声明 ● 可能的脆弱性列表 ● 当前的以及规划中的安全措施 ● 可能性级别 ● 影响级别 步骤 2：识别威胁 步骤 3：识别脆弱性 步骤 4：分析安全措施 步骤 5：确定可能性 步骤 6：分析影响 完整性损失 可用性损失 保密性损失 步骤 7：确定风险 ● 威胁破坏的可能性 ● 影响的程度 ● 当前的以及规划中的安全措施的足够性 ● 风险及相关风险的级别 步骤 8：建议安全措施 步骤 9：记录结果 ● 建议的安全措施 ● 风险评估报告 风险评估流程图 中管网制造业频道 信息安全风险评估的过程 (续 )  步骤 1：描述系统特征  在对信息系统的风险进行评估中，第一步是定义工作范围。  在该步中，要确定信息系统的边界以及组成系统的资源和信息。 对信息系统的特征进行描述后便确立了风险评估工作的范围，刻画了对系统进行授权运行（或认可）的边界，并为风险定义提供了必要的信息（如硬件、软件、系统连通性、负责部门或支持人员）。 中管网制造业频道 信息安全风险评估的过程 (续 )  步骤 系统相关信息  步骤 信息收集技术  可以使用下列一项或多项技术在其运行边界内获取相关的系统信息：  调查问卷  现场面谈  文档审查  使用自动扫描工具 中管网制造业频道 信息安全风险评估的过程 (续 )  步骤 2：识别威胁  如果没有脆弱性，威胁源无法造成风险；在确定威胁的可能性时，应该考虑威胁源、潜在的脆弱性和现有的安全防护措施。  步骤 识别威胁源  步骤 动机和行为 中管网制造业频道 信息安全风险评估的过程 (续 )  步骤 3：识别脆弱性  本步的目标是制定系统中可能会被威胁源利用的脆弱性（缺陷或薄弱环节）的列表。  步骤 脆弱性源  步骤 系统。