信息安全风险评估8p

1、信息安沓凤险评估【经典资料，WORD文档，可编辑修改】【经典考试资料，答案附后，看后必过，WORD文档，可修改】信息安全风险评估目录、信息安全风险评估简介 3二、信息安全风险评估流程 31风险评估准备32资产识别33威胁识另U .44脆弱性识别45.风险分析.4三、信息安全风险评估策略方法 51）定量分析方法52）定性分析方法 53）综合分析方法6四、信息安全风险评估的注意事项 61、各级领导对评估工作的重视 62、加强评估工作的组织和管理 63、注意评估过程中的风险控制。 64、做好各方的协调配合工作。 65、提供评估所必须的保障条件。 7信息安全风险评估亠、信息安全风险评估简介信息安全风险

2、评估的概念涉及资产、威胁、脆弱性和风险4个主要因素。信息安全风险评估就是 从管理的角度，运用科学的方法和手段，系统分析网络与信息系统所面临的威胁及存在的脆弱性。 评估安全事件一旦发生可能造成的危害程度，提出有针对性地抵御安全威胁的防护措施，为防范 和化解信息安全风险，将风险控制在可以接受的水平，最大限度地保障网络正常运行和信息安全 提供科学依据。1、信息安全风险评估流程信息安全风险评估的典型过程主要分为风险评估准备、资产识别、威胁识别、脆弱性识别和风险分析5个阶段。1. 风险评估准备该阶段的主要任务是制订评估工作计划， 包括评估目标、评估范围、制订信息安全风险评估工 作方案，并根据评估工作需要

3、，组建评估团队，明确各方职责。在风险评估准备阶段，需要多次与被评估方磋商，了解被评估方关注的重点，明确风险评估 的范围和目标，为整个风险评估工作提供向导。 在确定评估范围和目标之后，根据被评估对象的 网络规模、复杂度、特殊性，成立评估工作小组，明确各方人员组成及职责分工。建立评估团队 后，由评估工作人员进行现场调研，由被评估方介绍网络构建情况，安全管理制度和采取的安全 防护措施以及业务运行情况。评估工作小组根据调研情况撰写信息安全风险评估工作方案。2. 资产识别做好风险评估准备阶段的相关工作之后，需要通过多种途径采集评估对象的资产信息，为风 险评估后续各阶段的工作提供基本素材。资产识别主要通过

4、向被评估方发放资产调查表来完成。在识别资产时，以被评估方提供的资 产清单为依据，对重要和关键资产进行标注，对评估范围内的资产详细分类，防止遗漏，划入风 险评估范围和边界内的每一项资产都应经过仔细确认。3. 威胁识别在识别威胁时，应根据资产目前所处的环境条件和以前的记录情况来判断，威胁识别主要通过采集入侵检测系统（IDS）的报警信息、威胁问卷调查和对技术人员做顾问访谈的方式。为了确保 收集到的威胁信息客观准确，威胁问卷调查的对象要覆盖被评估对象的领导层、技术主管、网络管理人员、系统管理人员、安全管理人员和普通员工等。顾问访谈要针对不同的访谈对象制订不 同的访谈提纲。威胁识别的关键在于确认引发威胁

5、的人或事物， 威胁源可能是蓄意也可能是偶然的因素， 通 常包括人、系统和自然环境等。一项资产可能面临多个威胁，而一个威胁也可能对不同的资产造 成影响。威胁识别完成后还应该对威胁发生的可能性进行评估，列出威胁清单，描述威胁属性， 并对威胁出现的频率赋值。4. 脆弱性识别脆弱性识别是风险评估工作过程中最为复杂、较难把握的环节，同时也是非常重要的环节，对 评估工作小组成员的专业技术水平要求较高。 脆弱性分为管理脆弱性和技术脆弱性。 管理脆弱性 调查主要通过发放管理脆弱性调查问卷、顾问访谈以及收集分析现有的管理制度来完成；技术脆 弱性检测主要借助专业的脆弱性检测工具和对评估范围内的各种软硬件安全配置进

6、行检查来识 别。在工作过程中，应注意脆弱性识别的全面性，包括物理、网络、应用和管理等方面。为了分 析脆弱性影响的严重程度，最好对关键资产的脆弱性进行深度检测和验证，比如关键服务的身份 认证等。识别完成之后，还要对具体资产的脆弱性严重程度进行赋值。脆弱性严重程度可以等级 化处理，不同等级分别表示资产脆弱性严重程度的高低。等级数值越大，脆弱性严重程度越高。5. 风险分析构成风险的要素主要有资产、威胁和脆弱性，在识别了这些要素之后，就可以确定存在什么风 险。风险分析阶段需要完成的工作主要有 3项：风险计算、形成风险评估报告和给出风险控制建 议。风险计算是针对每一项信息资产、根据其自身存在的脆弱性列表

7、、所面临的威胁列表，考虑 资产自身在信息系统中的重要程度（资产赋值），依据风险计算公式，计算出该信息资产的风险 值，最终形成风险列表。风险评估报告主要结合风险评估工作过程中采集到的中间数据，对信息系统中的安全风险进行定性和定量分析。风险控制建议主要由评估工作小组在对被评估对象的安 全现状进行综合分析的基础上，有针对性地给出。风险只能被预防、避免、降低、转移或接受，而不可能完全消除。高风险和严重风险是不可 接受的，必须选择实施相应的对策来消减。对于中等风险和低风险，可以选择接受，一般评估工 作小组应针对被评估对象的中低风险给出风险控制建议。此阶段的输出主要包括：信息安全风险评估风险列表、信息安全

8、风险评估报告、信息 安全风险评估风险控制建议等。凤睑评仏准缶 J豉眇评估二)是否匕有玄全描越的碗认 )恋疋和实链泌笹处理 计划并评估残余； 睑总图2信息安全g危评估实饱流锂图实施凤险音理)二、信息安全风险评估策略方法目前，信息安全风险评估的方法层出不穷，这些方法在很大程度上缩短了信息安全风险评估 所花费的资源、时间，提高了评估的效率，改善了评估的效果。按照各因素计算数据要求的程 度，可以将这些方法分为为定量分析方法、定性分析方法和综合分析方法。1) 定量分析方法定量分析方法是指对度量风险的所有要素赋予一定的数值，依据这些数据，建立数学模型，把整个信息安全风险评估的过程和结果进行量化，然后对各项

9、指标进行计算分析，通过这些被量化的数值对信息系统的安全风险进行评估判定。简单地说，定量分析就是用数量化的指标数值来对风险进行评估。比较常见的定量分析方法有Markov分析法、时序序列分析法、因子分析法、决策树法、聚类分析法、熵权系数法等。定量分析方法的优点是分类清楚，比较客观；缺点 是容易简单化、模糊化，造成误解和曲解。2) 定性分析方法定性分析方法不需要严格量化各个属性，只是采用人为的判断，依赖于分析者的经验、直觉等一些非量化的指标，主观性很强，对风险评估者的经验等要求很高。它可以较好的挖掘出 一些蕴藏很深的思想，使做出的评估结论更全面、更深刻。在采用定性分析方法进行评估时， 不使用具体的数

10、量化的数据，而是对各个指标给出一定的指定期望值，利用这样一种非量化的形式对信息系统的安全风险做出判断。常见的定性分析方法有德尔菲法(Delphi Method )、可操作的关键威胁、资产和脆弱评估方法(OCTAVE，Operati on ally Critical Threat，Asset and Vul nerability Evaluatio n)等。定性分析方法的优点是可以挖掘出一些蕴藏很深的思想，使评估的结论更全面深刻；缺点是主观性强，对评估者要求很高。3）综合分析方法定量分析方法和定性分析方法是相辅相成、相互联系的。定量分析法是定性分析法的基础 和前提，反过来，定性分析法又是建立在定

11、量分析法基础上揭示客观事物内在规律的。在复杂的校园信息化信息系统风险评估中，要将定量分析法和定性分析法融合起来使用，这就是综合分析方法。在本文中针对数字化校园的信息安全风险评估中也采用综合分析方法。四、信息安全风险评估的注意事项做好风险评估工作，特别要注意以下 5方面的工作。1、各级领导对评估工作的重视风险评估工作只有得到各级领导的广泛认同和支持，才能顺利地开展并卓有成效地进行，获得客观、真实和有效的评估结果，作为今后信息安全建设的重要参考依据。2、加强评估工作的组织和管理信息安全风险评估工作启动后，应及时组建评估项目组，加强对整个评估工作的组织和管理。 项目组主要包括项目领导小组、项目负责人

12、和项目工作小组。3、注意评估过程中的风险控制。评估工作过程中所面临的风险，主要是敏感信息泄露和评估过程中的各种技术性评估带来 的。规避敏感信息泄露风险，主要应该注意几点：一是参与评估的人员必须遵守国家有关信息安 全的法律法规以及总行关于信息安全的相关管理规定，承担相应的义务和责任；二是被评估方应 与参与评估的所有人员签订具有法律约束力的保密协议；三是评估过程中做好审核确认工作。对于规避技术性评估所带来的风险，例如进行漏洞扫描有时引起扫描对象宕机等， 在制订各种技术 性评估方案时，应当由被评估方和评估方共同审核确认，尽量避免采取可能造成不良影响的操作， 最好事先经过测试。4、做好各方的协调配合工作。信息安全风险评估工作涉及信息系统的主管部门、 建设单位或上级机关、运行维护部门、使 用部门、安全管理部门和保密部门以及技术支持单位和产品或服务提供商。 因此需要高层领导直 接组织，需要被评估方和评估方的密切配合，相互支持。5、提供评估所必须的保障条件。在评估过程中，要考虑完成信息安全风险评估工作的相关保障条件，包括人员、时间和经费等。人员保障主要涉