信息安全体系风险评估课件

1、信息安全体系风险评估1 信息安全体系风险评估信息安全体系风险评估 基本概念基本概念 重要意义重要意义 工作方式工作方式 几个关键问题几个关键问题 信息安全体系风险评估2 1 1、什么是风险评估、什么是风险评估 信息安全风险 人为或自然的威胁利用信息系统 及其管理体系中存在的脆弱性导致安全事件的发 生及其对组织造成的影响。 信息安全风险评估 依据有关信息安全技术与管 理标准，对信息系统及由其处理、传输和存储的 信息的保密性、完整性和可用性等安全属性进行 评价的过程。它要评估资产面临的威胁以及威胁 利用脆弱性导致安全事件的可能性，并结合安全 事件所涉及的资产价值来判断安全事件一旦发生 对组织造成的

2、影响。 什么是风险评估什么是风险评估 信息安全体系风险评估3 风险评估的基本概念风险评估的基本概念 信息安全体系风险评估4 对基本概念的解释对基本概念的解释 v 业务战略：即一个单位通过信息技术手段实现的 工作任务。一个单位的业务战略对信息系统和信 息的依赖程度越高，风险评估的任务就越重要。 v 为什么要首先谈业务战略？ 这是信息化的目的，一个信息系统如果不能实 现具体的工作任务，那么这个信息系统是没有 用处的。信息安全不是最终目的，信息安全要 服务于信息化。 信息安全体系风险评估5 对基本概念的解释（续）对基本概念的解释（续） v 资产：通过信息化建设积累起来的信息系统、信 息、生产或服务能

3、力、人员能力等。 这是需要保护的对象。只有资产得到保护，单 位的业务战略才可以实现。 v 资产价值：资产是有价值的，资产价值可通过资 产的敏感程度、重要程度和关键程度来表示。 这里指的资产价值不一定是购买时的货币价值 。资产价值与业务战略联系紧密。 信息安全的投入是有成本的，信息安全投入应 适当，与资产的价值相适宜。 信息安全体系风险评估6 对基本概念的解释（续）对基本概念的解释（续） v 威胁：一个单位的信息资产的安全可能受到的侵 害。威胁由多种属性来刻画：威胁的主体（威胁 源）、能力、资源、动机、行为、可能性和后果 。 v 为什么要谈威胁？ 如果没有威胁，就不会有安全事件。 信息安全体系风

4、险评估7 示示 例：例： 常常 见见 人人 为为 威威 胁胁 信息安全体系风险评估8 对基本概念的解释（续）对基本概念的解释（续） v 脆弱性：信息资产及其安全措施在安全方面的不 足和弱点。脆弱性也常常被称为漏洞。 v 威胁是外因，而脆弱性是内因。外因要通过内因 起作用。脆弱性是资产本身所具有的（例如系统 没有打补丁），威胁要利用脆弱性才能造成安全 事件。 信息安全体系风险评估9 脆弱性脆弱性/ /威胁对（示例）威胁对（示例） 信息安全体系风险评估10 对基本概念的解释（续）对基本概念的解释（续） v 事件：如果威胁主体能够产生威胁，利用资产 及其安全措施的脆弱性，那么实际产生危害的 情况称之

5、为事件。 v 在描述一个信息安全事件时，要明确： 安全事件是如何产生的（与威胁的属性和脆 弱性有关）？ 事件造成了什么后果（与资产有关）？ 事件的后果有多大（与资产的价值有关）？ 这个事件发生的可能性有多大（与威胁和脆 弱性存在的可能性、威胁的动机等属性有关 ）？ 信息安全体系风险评估11 对基本要素的解释（续）对基本要素的解释（续） v 风险：由于系统存在的脆弱性，人为或自然的威 胁导致安全事件发生的可能性及其造成的影响。 它由安全事件发生的可能性及其造成的影响这两 种因素来衡量。 v 为什么要提出风险的概念？ 安全事件的发生是有概率的。不能只根据安全 事件的后果便决定信息安全的投入和安全措

6、施 的强度。对后果严重的极小概率事件，不能盲 目投入。因此，要综合考虑安全事件的后果影 响及其可能性，两者的综合便是“风险”的概 念。 v 高风险要优先得到处理。 信息安全体系风险评估12 对基本要素的解释（续）对基本要素的解释（续） v 残余风险：采取了安全措施，提高了信息安全保 障能力后，仍然可能存在的风险。 v 为什么提出残余风险的概念？ 风险不可能完全消除。信息技术在发展，外部环境在变 化，信息系统本身也要发生变化，信息安全的动态性使 得不可能完全消除未来发生安全事件的风险。 风险不必要完全消除。资产的价值以及信息安全的投入 之间的比例关系决定了对有些安全风险，采取措施反而 比不采取措

7、施更糟糕。 此外，由于某些原因（例如时间、资金、业务、安全措 施不当等原因），仍有些风险需要在以后继续控制和处 理。 信息安全体系风险评估13 对基本要素的解释（续）对基本要素的解释（续） v残余风险应受到密切监视,因为它可能会在将来诱 发新的事件。 v所谓安全的信息系统，并不是指“万无一失”的 信息系统，而是指残余风险可以被接受的安全系 统。 信息安全体系风险评估14 对基本概念的解释（续）对基本概念的解释（续） v安全需求：为保证单位的业务能够正常开展，在 信息安全保障措施方面提出的要求。 v安全措施：对付威胁，减少脆弱性，保护资产， 限制意外事件的影响，检测、响应意外事件，促 进灾难恢复

8、和打击信息犯罪而实施的各种实践、 规程和机制的总称。 v资产的重要性和对风险的意识会导出安全需求;安 全需求要通过安全措施来得以满足，且是有成本 的。要根据威胁的属性和脆弱性的具体情况，有 针对性地选择和实施安全措施。 信息安全体系风险评估15 风险评估各个要素间的相互作用风险评估各个要素间的相互作用 资产 脆弱性 脆弱性 脆弱性 脆弱性 脆弱性 威胁 威胁 威胁 威胁 脆弱性 安全措施 安全措施 安全措施 安全措施 残余风险 残余风险 风险 残余风险 信息安全体系风险评估16 对各要素相互作用的解释对各要素相互作用的解释 v通过安全措施来对资产加以保护，对脆弱性加以 弥补，从而可降低风险；

9、v实施了安全措施后，威胁只能形成残余风险。 v某些情况下，也可能会有多个脆弱性被同时利用 。 v脆弱性与威胁是独立的，威胁要利用脆弱性才能 造成安全事件。 v某些脆弱性可以没有对应的威胁，这可能是由于 这个威胁不在考虑的范围内，或者这个威胁的影 响极小，以至忽略不计。 v采取安全措施的目的是控制风险，将残余风险限 制在能够接受的程度上。 信息安全体系风险评估17 内容简介内容简介 基本概念基本概念 重要意义重要意义 工作方式工作方式 几个关键问题几个关键问题 信息安全体系风险评估18 国家对信息安全风险评估工作的要求国家对信息安全风险评估工作的要求 v 国家信息化领导小组关于加强信息安全保障工

10、作 的意见的通知（中办发200327号）在“实行信 息安全等级保护”任务中提出：“要重视信息安全 风险评估工作，对网络与信息安全的潜在威胁、薄 弱环节、防护措施等进行分析评估，综合考虑网络 与信息系统的重要性、涉密程度和面临的信息安全 风险等因素，进行相应等级的安全建设和管理。” 信息安全体系风险评估19 国家对信息安全风险评估工作的要求国家对信息安全风险评估工作的要求 v 全国信息安全保障工作会议要求：“开展信息安全 风险评估和检查。抓紧研究制定基础信息网络和重 要信息系统风险评估的管理规范，并组织力量提供 技术支持。根据风险评估结果，进行相应等级的安 全建设和管理，特别是对涉及国家机密的信

11、息系统 ，要按照党和国家有关保密规定进行保护。对涉及 国计民生的重要信息系统，要进行必要的信息安全 检查。” 信息安全体系风险评估20 信息安全风险评估的重要意义信息安全风险评估的重要意义 v风险评估是信息系统安全的基础性工作 只有在正确、全面地了解和理解安全风险后，才能决定如 何处理安全风险，从而在信息安全的投资、信息安全措施 的选择、信息安全保障体系的建设等问题中做出合理的决 策。 持续的风险评估工作可以成为检查信息系统本身乃至信息 系统拥有单位的绩效的有力手段，风险评估的结果能够供 相关主管单位参考，并使主管单位通过行政手段对信息系 统的立项、投资、运行产生影响，促进信息系统拥有单位 加

12、强信息安全建设。 信息安全体系风险评估21 信息安全风险评估的重要意义（续）信息安全风险评估的重要意义（续） v风险评估是分级防护和突出重点的具体体现 信息安全建设必须从实际出发，坚持分级防护、突出重点 。风险评估正是这一要求在实际工作中的具体体现。从理 论上讲，不存在绝对的安全，实践中也不可能做到绝对安 全，风险总是客观存在的。安全是风险与成本的综合平衡 。盲目追求安全和完全回避风险是不现实的，也不是分级 防护原则所要求的。要从实际出发，坚持分级防护、突出 重点，就必须正确地评估风险，以便采取有效、科学、客 观和经济的措施。 信息安全体系风险评估22 v加强风险评估工作是当前信息安全工作的客

13、观需 要和紧迫需求 由于信息技术的飞速发展，关系国计民生的关键信息基础 设施的规模越来越大，同时也极大地增加了系统的复杂程 度。发达国家越来越重视风险评估工作，提倡风险评估制 度化。他们提出，没有有效的风险评估，便会导致信息安 全需求与安全解决方案的严重脱离。在我国目前的国情下 ，为加强宏观信息安全管理，促进信息安全保障体系建设 ，就必须加强风险评估工作，并逐步使风险评估工作朝着 制度化的方向发展。 信息安全风险评估的重要意义（续）信息安全风险评估的重要意义（续） 信息安全体系风险评估23 为什么要提出风险评估的概念？为什么要提出风险评估的概念？ 信息安全体系风险评估24 内容简介内容简介 基

14、本概念基本概念 重要意义重要意义 工作方式工作方式 几个关键问题几个关键问题 信息安全体系风险评估25 风险评估流程风险评估流程 v 确定评估范围确定评估范围 v 资产的识别和影响分析资产的识别和影响分析 v 威胁识别威胁识别 v 脆弱性评估脆弱性评估 v 威胁分析威胁分析 v 风险分析风险分析 v 风险管理风险管理 信息安全体系风险评估26 否 是 否 是 风险评估的准备 已有安全措施的确认 风险计算 风 险 是 否 接 受 保持已有的控制措施 施施施 选择适当的控制措施 并评估残余风险 实施风险管理 脆弱性识别威胁识别 资产识别 是否接受残余风 险 风险识别 评估过程文档 评估过程文档 风

15、险评估结果记录 评估结果文档 风险评估流程风险评估流程 信息安全体系风险评估27 资产分类方法资产分类方法 分分 类类 示例示例 数 据 保存在信息媒介上的各种数据资料,包括源代码、数据库数据、系统 文档、运行管理规程、 计划、报告、用户手册、各类纸质的文档等 软 件 系统软件:操作系统、数据库管理系统、语句包、开发系统等 应用软件:办公软件、数据库软件、各类工具软件等 源程序:各种共享源代码、自行或合作开发的各种代码等 硬 件 网络设备:路由器、网关、交换机等 计算机设备:大型机、小型机、服务器、工作站、台式计算机、便携 计算机等 存储设备:磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等 传

16、输线路:光纤、双绞线等 保障设备: UPS、变电设备等、空调、保险柜、文件柜、门禁、消防 设施等 安全保障：防火墙、入侵检测系统、身份鉴别等 其他:打印机、复印机、扫描仪、传真机等 信息安全体系风险评估28 资产分类方法资产分类方法 分分 类类 示例示例 服 务 信息服务:对外依赖该系统开展的各类服务 网络服务:各种 网络设备、设施提供的网络连接服务 办公服务:为提高效 率而开发的管理信息系统,包括各种内部配置管理、文件 流转管理等服务 人 员 掌握重要信息和核心业务的人员,如主机维护主管、网络 维护主管及应用项目经理等 其 它 企业形象、客户关系等 信息安全体系风险评估29 资产识别模型资产

17、识别模型 网络层 机房、通信链路 网络设备1 操作系统、主机设备 软件 OA 人员、文档、制度 业务层 物理层 主机层 应用层 管理层 EAI/EIP 工程管理物资管理生产管理营销系统人力资源综合管理 操作系统、主机设备 网络设备2 数据 软件软件软件 数据数据数据数据数据数据数据 数据层 信息安全体系风险评估30 资产保密性赋值资产保密性赋值 信息安全体系风险评估31 资产完整性赋值资产完整性赋值 信息安全体系风险评估32 资产可用性赋值资产可用性赋值 信息安全体系风险评估33 资产等级计算公式资产等级计算公式 AV=F(AC,AI,AA)AV=F(AC,AI,AA) Asset Value

18、 Asset Value 资产价值资产价值 Asset Confidentiality Asset Confidentiality 资产保密性赋值资产保密性赋值 Asset Integrity Asset Integrity 资产完整性赋值资产完整性赋值 Asset Availability Asset Availability 资产可用性赋值资产可用性赋值 例1：AV=MAX(AC,AI,AA) 例2：AV=AC+AI+AA 例3：AV=ACAIAA 信息安全体系风险评估34 资产价值赋值资产价值赋值 信息安全体系风险评估35 威胁来源列表威胁来源列表 来源来源描述描述 环境因素断电、静电、

19、灰尘、潮湿、温度、鼠蚁虫害、电磁干 扰、洪灾、火灾、地震、意外 事故等环境危害或自然 灾害,以及软件、硬件、数据、通讯线路等方面的故障 人为因 素 恶意人 员 不满的或有预谋的内部人员对信息系统进行恶意破坏; 采用自主或内外勾结的方式 盗窃机密信息或进行篡改, 获取利益 外部人员利用信息系统的脆弱性,对网络或系统的机密 性、完整性和可用性进行破 坏,以获取利益或炫耀能 力 非恶意 人员 内部人员由于缺乏责任心,或者由于不关心和不专注, 或者没有遵循规章制度和操 作流程而导致故障或信息 损坏;内部人员由于缺乏培训、专业技能不足、不具备 岗 位技能要求而导致信息系统故障或被攻击。 信息安全体系风险

20、评估36 威胁威胁 分类分类 表表 信息安全体系风险评估37 威胁赋值威胁赋值 信息安全体系风险评估38 脆弱性识别脆弱性识别内容表内容表 信息安全体系风险评估39 风险分析原理风险分析原理 L F R 信息安全体系风险评估40 风险值=R(A,T,V)= R(L(T,V),F(Ia,Va ) 其中,R 表示安全风险计算函数; A 表示资产;T 表示威胁;V 表示脆弱性; Ia 表示安全事件所作用的资产价值;Va 表示脆弱性 严重程度; L 表示威胁利用资产的脆弱性导致安全事件发生的可 能性; F 表示安全事件发生后产生的损失。 一般风险计算方法：矩阵法和相乘法 风险计算方法风险计算方法 信息

21、安全体系风险评估41 矩阵法 矩阵法风险计算矩阵法风险计算 信息安全体系风险评估42 风险等级表风险等级表 信息安全体系风险评估43 43 u 降低风险（降低风险（Reduce Risk） 采取适当的控制措施来降 低风险，包括技术手段和管理手段，如安装防火墙，杀毒软件， 或是改善不规范的工作流程、制定业务连续性计划，等等。 u 避免风险（避免风险（Avoid Risk） 通过消除可能导致风险发生 的条件来避免风险的发生，如将公司内外网隔离以避免来自互 联网的攻击，或是将机房安置在不可能造成水患的位置，等等。 u 转移风险（转移风险（Transfer Risk） 将风险全部或者部分地 转移到其他

22、责任方，例如购买商业保险。 u 接受风险（接受风险（Accept Risk） 在实施了其他风险应对措 施之后，对于残留的风险，组织可以有意识地选择接受。 风险处置策略风险处置策略 信息安全体系风险评估44 44 u 绝对安全（即零风险）是不可能 的。 u 实施安全控制后会有残留风险或 残存风险（Residual Risk）。 u 为了确保信息安全，应该确保残 留风险在可接受的范围内： 残留风险Rr 原有的风险R0 控制R 残留风险Rr 可接受的风险Rt u 对残留风险进行确认和评价的过程 其实就是风险接受的过程。决策者可 以根据风险评估的结果来确定一个阀 值，以该阀值作为是否接受残留风险 的标

23、准。 残留风险评价残留风险评价 信息安全体系风险评估45 等级保护下风险评估实施框架等级保护下风险评估实施框架 保护对象划分和定级保护对象划分和定级 网络系统划分和定级网络系统划分和定级 资产 脆弱性 威胁 风险分析 基本安全要求 等级保护管理办法、指南 信息安全政策、标准、法律法规 安全需求 风险列表 安全规划 风险评估 信息安全体系风险评估46 结合等保测评的风险评估流程结合等保测评的风险评估流程 信息安全体系风险评估47 47474747 风险评估项目实施过程风险评估项目实施过程 信息安全体系风险评估48 48484848 风险评估常用方法风险评估常用方法 u 检查列表：评估员根据自己的

24、需要，事先编制针对某方面问题的检查列 表，然后逐项检查符合性，在确认检查列表应答时，评估员可以采取调查 问卷、文件审查、现场观察和人员访谈等方式。 u 文件评估：评估员在现场评估之前，应该对受评估方与信息安全管理活 动相关的所有文件进行审查，包括安全方针和目标、程序文件、作业指导 书和记录文件。 u 现场观察：评估员到现场参观，可以观察并获取关于现场物理环境、信 息系统的安全操作和各类安全管理活动的第一手资料。 u 人员访谈：与受评估方人员进行面谈，评估员可以了解其职责范围、工 作陈述、基本安全意识、对安全管理获知的程度等信息。评估员进行人员 访谈时要做好记录和总结，必要时要和访谈对象进行确认

25、。 u 技术评估：评估员可以采用各种技术手段，对技术性控制的效力及符合 性进行评估。这些技术性措施包括：自动化的扫描工具、网络拓扑结构分 析、本地主机审查、渗透测试等。 信息安全体系风险评估49 49494949 评估员检查工具评估员检查工具检查列表检查列表 u 检查列表（检查列表（Checklist）是评估员进行评估时必备的自用工具，是评估前）是评估员进行评估时必备的自用工具，是评估前 需准备的一个重要工作文件。需准备的一个重要工作文件。 u 在实施评估之前，评估员将根据分工情况来准备各自在现场评估所需的在实施评估之前，评估员将根据分工情况来准备各自在现场评估所需的 检查列表，检查列表的内容

26、，取决于评估主题和被评估部门的职能、范围、检查列表，检查列表的内容，取决于评估主题和被评估部门的职能、范围、 评估方法及要求。评估方法及要求。 u 检查列表在信息安全管理体系内部评估中起着以下重要作用：检查列表在信息安全管理体系内部评估中起着以下重要作用： 明确与评估目标有关的抽样问题；明确与评估目标有关的抽样问题； 使评估程序规范化，减少评估工作的随意性和盲目性；使评估程序规范化，减少评估工作的随意性和盲目性； 保证评估目标始终明确，突出重点，避免在评估过程中因迷失方向保证评估目标始终明确，突出重点，避免在评估过程中因迷失方向 而浪费时间；而浪费时间； 更好地控制评估进度；更好地控制评估进度

27、； 检查列表、评估计划和评估报告一起，都作为评估记录而存档。检查列表、评估计划和评估报告一起，都作为评估记录而存档。 信息安全体系风险评估50 5050 常用技术工具清单常用技术工具清单 u 技术漏洞扫描工具技术漏洞扫描工具 针对操作系统、典型应用软件漏洞（针对操作系统、典型应用软件漏洞（Nessus 、绿盟极光、绿盟极光、 启明天镜）启明天镜） 针对网络端口（针对网络端口（Nmap） 针对数据库漏洞针对数据库漏洞(安信通、安恒安信通、安恒) 针对针对Web漏洞（漏洞（IBM Appscan、HP WebInspect WVS） 针对网络数据流（针对网络数据流（WireShark、Ethere

28、al） 信息安全体系风险评估51 信息安全风险评估分为自评估、检查评估两种形式。自 评估为主，自评估和检查评估相互结合、互为补充。自 评估和检查评估可依托自身技术力量进行，也可委托第 三方机构提供技术支持。 自评估可由发起方实施或委托风险评估服务技术支持方 实施。由发起方实施的评估可以降低实施的费用、提高 信息系统相关人员的安全意识，但可能由于缺乏风险评 估的专业技能，其结果不够深入准确；同时，受到组织 内部各种因素的影响，其评估结果的客观性易受影响。 委托风险评估服务技术支持方实施的评估，过程比较规 范、评估结果的客观性比较好，可信程度较高；但由于 受到行业知识技能及业务了解的限制，对被评估

29、系统的 了解，尤其是在业务方面的特殊要求存在一定的局限。 但由于引入第三方本身就是一个风险因素，因此，对其 背景与资质、评估过程与结果的保密要求等方面应进行 控制。 风险评估的形式风险评估的形式 信息安全体系风险评估52 自评估中的“自”不仅仅是指自已做评估的“自”，也 不仅仅是指自愿做评估的“自”。由于“谁主管谁负责 ”，出于对自身信息系统的安全责任考虑，信息系统主 管者应定期对系统进行风险评估，具体实施时可以依托 自身的评估队伍进行，也可委托有资质的第三方提供评 估服务技术支持，但无论是哪一种形式，责任都是由信 息系统主管者自已担负的。因此，自评估中的“自”的 含义是自已负责的“自”。包括

30、自已负责系统的安全、 自己发起对信息系统的风险评估以及自己负责为保障系 统安全所做的风险评估的安全等。 此外，为保证风险评估的实施，与系统相连的相关方也 应配合，以防止给其他方的使用带来困难或引入新的风 险也往往较多，因此，要对实施检查评估机构的资质进 行严格管理。 风险评估的形式风险评估的形式 信息安全体系风险评估53 检查评估检查评估 检查评估是指信息系统上级管理部门组织的或国家有 关职能部门依法开展的风险评估。 检查评估可依据本标准的要求，实施完整的风险评估 过程。 风险评估的形式风险评估的形式 信息安全体系风险评估54 国信办20065号文件指出：信息安全风险评估应贯穿 于网络与信息系

31、统建设运行的全过程。在网络与信息 系统的设计、验收及运行维护阶段均应当进行信息安 全风险评估。如在网络与信息系统规划设计阶段，应 通过信息安全风险评估进一步明确安全需求和安全目 标。 信息系统生命周期各阶段的风险评估信息系统生命周期各阶段的风险评估 信息安全体系风险评估55 规划阶段的风险评估 设计阶段的风险评估 实施阶段的风险评估 运行维护阶段的风险评估 废弃阶段的风险评估 信息系统生命周期各阶段的风险评估信息系统生命周期各阶段的风险评估 信息安全体系风险评估56 规划阶段风险评估的目的是识别系统的业务战略，以支撑 系统安全需求及安全战略等。规划阶段的评估应能够描述 信息系统建成后对现有业务

32、模式的作用，包括技术、管理 等方面，并根据其作用确定系统建设应达到的安全目标。 设计阶段的风险评估需要根据规划阶段所明确的系统运行 环境、资产重要性，提出安全功能需求。设计阶段的风险 评估结果应对设计方案中所提供的安全功能符合性进行判 断，作为采购过程风险控制的依据。 信息系统生命周期各阶段的风险评估信息系统生命周期各阶段的风险评估 信息安全体系风险评估57 实施阶段风险评估的目的是根据系统安全需求和运 行环境对系统开发、实施过程进行风险识别，并对 系统建成后的安全功能进行验证。根据设计阶段分 析的威胁和制定的安全措施，在实施及验收时进行 质量控制。 基于设计阶段的资产列表、安全措施，实施阶段

33、应 对规划阶段的安全威胁进行进一步细分，同时评估 安全措施的实现程度，从而确定安全措施能否抵御 现有威胁、脆弱性的影响。实施阶段风险评估主要 对系统的开发与技术/产品获取、系统交付实施两个 过程进行评估。 信息系统生命周期各阶段的风险评估信息系统生命周期各阶段的风险评估 信息安全体系风险评估58 运行维护阶段风险评估的目的是了解和控制运行过程中的 安全风险，是一种较为全面的风险评估。评估内容包括对 真实运行的信息系统、资产、威胁、脆弱性等各方面。 信息系统生命周期各阶段的风险评估信息系统生命周期各阶段的风险评估 信息安全体系风险评估59 当信息系统不能满足现有要求时，信息系统进入废弃阶 段。根

34、据废弃的程度，又分为部分废弃和全部废弃两种。 废弃阶段风险评估着重在以下几方面： 1、确保硬件和软件等资产及残留信息得到了适当的处 置，并确保系统组件被合理地丢弃或更换； 2、如果被废弃的系统是某个系统的一部分，或与其他 系统存在物理或逻辑上的连接，还应考虑系统废弃后与其他 系统的连接是否被关闭； 3、如果在系统变更中废弃，除对废弃部分外，还应对 变更的部分进行评估，以确定是否会增加风险或引入新的风 险； 4、是否建立了流程，确保更新过程在一个安全、系统 化的状态下完成。 信息系统生命周期各阶段的风险评估信息系统生命周期各阶段的风险评估 信息安全体系风险评估60 内容简介内容简介 基本概念基本概念 重要意义重要意义 工作方式工作方式 几个关键问题几个关键问题 信息安全体系风险评估61 （1 1）风险评估的完整性）风险评估的完整性 v漏洞扫描、IDS监视、渗透性测试、调查问卷 等工作只是风险评估中的步骤之一，尚不能称 之为完整的风险评估。在早期，很多企业和机 构声称的风险评估服务，实质上是在以偏概全 。 v当然，根据具体情况，在进行风险评估时可以 有所侧重。例如，如果某单位曾经实施过风险 评估，其业务此后也没有发生变化，那么再次 评估时，该单位有可能只需关注新的漏洞就可 以了。这时，风险评估就可