3信息安全风险评估ppt课件

1、信息平安管理 第二版 授课内容：信息平安风险评价 信息平安管理Information security management第3章 信息平安风险评价3.1 概述3.2 信息平安风险评价战略3.3 信息平安风险评价流程3.4 信息平安风险评价方法3.5 风险评价案例3.6 本章小结3.7 习题从一个故事开场认识“风险3.1概述 故事梗概傻根在外地打工挣了钱，随身携带着10万元钱坐上了一辆混杂着很多小偷的长途火车回家。傻根把钱就放在了普通的布质书包里。傻根没有坐软卧包厢，而是坐在挤满了上百人的硬座车厢。有时候累了，就坐着打个瞌睡。一路上，葛优等小偷团伙频频出手，尝试着偷这10万元钱。但是在好心人刘

2、德华和刘假设英等的维护下，葛优等小偷团伙未能得逞。好险啊，假设这钱被偷走了，傻根就娶不上媳妇了。天下无贼？3.1概述资产asset -对组织具有价值的任何东西 ISO/IEC TR 13335-1：2004概念要挟 threat -能够导致对系统或组织损害的不希望事故潜在原因 ISO/IEC TR 13335-1：2004脆弱性vulnerability也称脆弱点、破绽 -能够会被要挟所利用的资产或假设干资产的弱点 ISO/IEC TR 13335-1：20043.1概述风险管理 risk management -在风险方面指挥或控制一个组织的协调活动，普通包括风险评价、风险处置、风险接受和风

3、险传送 ISO Guide 73：2002风险 risk -事件的概率及其结果的组合 ISO Guide 73：2002风险评价risk evaluation -对照风险准那么比较被估计的风险，以确定风险严重性的过程 ISO Guide 73：2002概念3.1概述信息平安风险 信息平安风险是指信息资产的严密性、完好性和可用性遭到破坏的能够性。 信息平安风险只思索那些对组织有负面影响的事件。风险值=资产价值要挟能够性脆弱性严重性简单了解3.1概述 对信息和信息处置设备的要挟、影响(Impact，指平安事件所带来的直接和间接损失)和脆弱性及三者发生的能够性的评价。3.1概述风险评价Risk As

4、sessment故事分析 在火车开动到停顿这段时间内，综合资产、脆弱性、要挟和平安措施等各方面要素进展风险评价的结果是： 由于10万元钱不是一笔小数目资产，葛优等小偷才干很强且决心坚决要挟，且傻根对钱的保管手段技术和认识管理都缺乏脆弱性，差一点发生 “娶不上媳妇这样的结果风险。 因好心人刘德华和刘假设英等的维护到位平安措施，最终钱保住了风险消减。3.1概述以风险为中心的平安模型 ISO13335 风险平安措施信息资产要挟脆弱性平安需求降低添加添加利用暴露价值拥有抗击添加引出被满足3.1概述信息平安风险评价的意义和作用信息平安中的风险评价是传统的风险实际和方法在信息系统中的运用，是科学地分析和了

5、解信息与信息系统在严密性、完好性、可用性等方面所面临的风险，并在风险的减少、转移和躲避等风险控制方法之间做出决策的过程。风险评价将导出信息系统的平安需求，因此，一切信息平安建立都应该以风险评价为起点。信息平安建立的最终目的是效力于信息化，但其直接目的是为了控制平安风险。只需在正确、全面地了解和了解平安风险后，才干决议如何处置平安风险，从而在信息平安的投资、信息平安措施的选择、信息平安保证体系的建立等问题中做出合理的决策。继续的风险评价任务可以成为检查信息系统本身乃至信息系统拥有单位的绩效的有力手段，风险评价的结果可以供相关主管单位参考，并使主管单位经过行政手段对信息系统的立项、投资、运转产生影

6、响，促进信息系统拥有单位加强信息平安建立。3.1概述3.1概述3.1.1 信息平安风险评价相关要素信息平安风险评价的对象是信息系统，信息系统的资产、信息系统能够面对的要挟、系统中存在的弱点脆弱性、系统中已有的平安措施等是影响信息平安风险的根本要素，它们和平安风险、平安风险对业务的影响以及系统平安需求等构成信息平安风险评价的要素。1.资产根据ISO/IEC 13335-1,资产是指任何对组织有价值的东西，资产包括：物理资产、信息/数据 、软件、提供产品和效力的才干、人员、无形资产。 资产是指对组织具有价值的信息资源，是平安战略维护的对象。以多种方式存在，有无形的、有形的，有硬件、软件，有文档、代

7、码，也有效力、笼统等。根据资产的表现方式，可将资产分为数据、软件、硬件、文档、效力、人员等类。3.1概述2.要挟要挟是能够对资产或组织呵斥损害的潜在缘由。要挟有潜力导致不期望发生的事件发生，该事件能够对系统或组织及其资产呵斥损害。这些损害能够是蓄意的对信息系统和效力所处置信息的直接或间接攻击。也能够是偶发事件。根据要挟源的不同，要挟可分为：自然要挟、环境要挟、系统要挟、人员要挟3.脆弱性脆弱性是一个或一组资产所具有的，能够被要挟利用对资产呵斥损害的薄弱环节。4.风险根据ISO/IEC 13335-1，信息平安风险是指要挟利用利用一个或一组资产的脆弱性导致组织受损的潜在，并以要挟利用脆弱性呵斥的

8、一系列不期望发生的事件或称为平安事件表达3.1概述5.影响影响是要挟利用资产的脆弱性导致不期望发惹事件的后果。这些后果能够表现为直接方式，如物理介质或设备的破坏、人员的损伤、 直接的资金损失等；也能够表现为间接的损失如公司信誉、笼统受损、市场分额损失、法律责任等。 6.平安措施平安措施是指为维护资产、抵御要挟、减少脆弱性、限制不期望发惹事件的影响、加速不期望发惹事件的检测及呼应而采取的各种实际、规程和机制的总称。 7.平安需求平安需求是指为保证组织业务战略的正常运作而在平安措施方面提出的要求。3.1概述3.1.2 信息平安风险评价信息平安风险评价是指根据有关信息平安技术与管理规范，对信息系统及

9、由其处置、传输和存储的信息的性、完好性和可用性等平安属性进展评价的过程。3.1.3 风险要素相互间的关系资产、要挟、脆弱性是信息平安风险的根本要素与信息平安风险有关的要素还包括：平安措施、平安需求、影响等。ISO/IEC 13335-1对它们之间的关系描画如图2-1所示3.1概述GB/T20984 对ISO/IEC 13335-1提出风险要素关系模型进展了扩展我国提出的信息风险要素关系图3.2信息平安风险评价战略 3.2.1 基线风险评价要求组织根据本人的实践情况所在行业、业务环境与性质等，对信息系统进展基线平安检查将现有的平安措施与平安基线规定的措施进展比较，找出其中的差距，得出根本的平安需

10、求，经过选择并实施规范的平安措施来消减和控制风险。 可以根据以下资源来选择平安基线：(1)国际规范和国家规范(2)行业规范或引荐(3)来自其他有类似商务目的和规模的组织的惯例3.2信息平安风险评价战略基线评价的优点是： (1)风险分析和每个防护措施的实施管理只需求最少数量的资源，并且在选择防护措施时破费更少的时间和努力(2) 假设组织的大量系统都在普通环境下运转并且假设平安需求类似，那么很多系统都可以采用一样或类似的基线防护措施而不需求太多的努力 基线评价的的缺陷是： (1)基线程度难以设置 (2)风险评价不全面、不透彻，且不易处置变卦3.2信息平安风险评价战略3.2.2 详细风险评价详细风险

11、评价要求对资产、要挟和脆弱性进展详细识别和评价，并对能够引起风险的程度进展评价经过不期望事件的潜在负面业务影响评价和他们发生的能够性来完成。根据风险评价的结果来识别和选择平安措施，将风险降低到可接受的程度详细评价的优点是： (1)有能够为一切系统识别出适当的平安措施(2)详细分析的结果可用于平安变卦管理。详细评价的缺陷：需求更多的时间、努力和专业知识3.2信息平安风险评价战略3.2.3 综合风险评价基线风险评价耗费资源少、周期短、操作简单，但不够准确，适宜普通环境的评价详细风险评价准确而细致，但耗费资源较多，适宜严厉限定边境的较小范围内的评价实际中，多采用二者结合的综合评价方式3.3信息平安风

12、险评价流程3.3.1 风险评价流程概述风险评价四个阶段:阶段1:评价预备阶段2:风险识别阶段3:风险评价阶段4:风险处置3.3信息平安风险评价流程3.3.2 风险评价的预备风险评价的预备是整个风险评价过程有效性的保证包括：1确定风险评价目的2确定风险评价的对象和范围3组建团队。 组建适当的风险评价管理与实施团队，以支持整个过程的推进4选择方法 应思索评价的目的、范围、时间、效果、人员素质等要素来选择详细 的风险判别方法，使之可以与组织环境和平安要求相顺应。5获得支持6预备相关的评价工具3.3信息平安风险评价流程3.3.3 资产识别与评价1资产识别资产识别是风险识别的必要环节。资产识别的义务就是

13、对确定的评价对象所涉及或包含的资产进展详细的标识资产识别过程中要特别留意无形资产的脱漏，同时还应留意不同资产间的相互依赖关系，关系严密的资产可作为一个整体来思索，同一中类型的资产也应放在一同思索。资产识别方法: 访谈、现场调查、问卷、文档查阅3.3信息平安风险评价流程2资产评价资产的评价是对资产的价值或重要程度进展评价，资产本身的货币价值是资产价值的表达，但更重要的是资产对组织关键业务的顺利开展乃至组织目的实现的重要程度。由于多数资产不能以货币方式的价值来衡量，资产评价很难以定量的方式来进展，多数情况下只能以定性的方式，根据重要程度的不同划分等级定性：非常重要重要比较重要不太重要不重要 5级划

14、分定量： 5 4 3 2 1信息资产的性、完好性、可用性、可审计性和不可抵赖性等是评价资产的平安属性可以先分别对资产在以上各方面的重要程度进展评价，然后经过一定的方法进展综合,可得资产的综合价值2. 资产评价资产价值应根据资产在严密性、完好性和可用性上的赋值等级，经过综合评定得出 电子信息资产 纸介资产 软件资产 物理资产 人员 效力性资产 公司笼统和声誉3.3信息平安风险评价流程2. 资产评价资产价值应根据资产在严密性、完好性和可用性上的赋值等级，经过综合评定得出最大原那么：取5个属性中最大的那个属性赋值作为综合评价值 VA=Max(VAc, VAi, VAa, VAac, VAn)加权原那

15、么：根据属性维护对业务开展影响赋权重 Wc+Wi+Wa+Wac+Wn=1， VA= VAcWc+VAiWi+VAaWa+VAacWac+VAnWn3.3信息平安风险评价流程2. 资产评价GB/T20984引荐方法：首先，对资产的性、完好性、可用性定性赋值其次，用一定方法进展综合，根本属于最大原那么 性赋值表2-3P28 完好性赋值表2-4 P29 资产可用性赋值表2-5P29对关键资产进展风险评价是重点3.3信息平安风险评价流程2. 资产评价3.3信息平安风险评价流程赋值 标识 定义 5 很高 包含组织最重要的秘密，关系未来发展的前途命运，对组织根本利益有着决定性的影响，如果泄露会造成灾难性的

16、损害 4 高 包含组织的重要秘密，其泄露会使组织的安全和利益遭受严重损害 3 中等 组织的一般性秘密，其泄露会使组织的安全和利益受到损害 2 低 仅能在组织内部或在组织某一部门内部公开的信息，向外扩散有可能对组织的利益造成轻微损害 1 很低 可对社会公开的信息，公用的信息处理设备和系统资源等 资产性赋值表GB/T209842. 资产评价3.3信息平安风险评价流程资产完好性赋值表赋值 标识 定义 5 很高 完整性价值非常关键，未经授权的修改或破坏会对组织造成重大的或无法接受的影响，对业务冲击重大，并可能造成严重的业务中断，难以弥补 4 高 完整性价值较高，未经授权的修改或破坏会对组织造成重大影响

17、，对业务冲击严重，较难弥补 3 中等 完整性价值中等，未经授权的修改或破坏会对组织造成影响，对业务冲击明显，但可以弥补 2 低 完整性价值较低，未经授权的修改或破坏会对组织造成轻微影响，对业务冲击轻微，容易弥补 1 很低 完整性价值非常低，未经授权的修改或破坏对组织造成的影响可以忽略，对业务冲击可以忽略 GB/T209842. 资产评价3.3信息平安风险评价流程资产可用性赋值表赋值 标识 定义 5 很高 可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断 4 高 可用性价值较高，合法使用者对信息及信息系统的可用度达到每天90%以上，或系统允许中断时间小

18、于10 min 3 中等 可用性价值中等，合法使用者对信息及信息系统的可用度在正常工作时间达到70%以上，或系统允许中断时间小于30 min 2 低 可用性价值较低，合法使用者对信息及信息系统的可用度在正常工作时间达到25%以上，或系统允许中断时间小于60 min 5 很高 可用性价值非常高，合法使用者对信息及信息系统的可用度达到年度99.9%以上，或系统不允许中断 GB/T209842. 资产评价3.3信息平安风险评价流程资产等级及含义描画等级标识描述5很高非常重要，其安全属性破坏后可能对组织造成非常严重的损失 4高重要，其安全属性破坏后可能对组织造成比较严重的损失 3中比较重要，其安全属性

19、破坏后可能对组织造成中等程度的损失 2低不太重要，其安全属性破坏后可能对组织造成较低的损失 1很低不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计 GB/T209843.3信息平安风险评价流程3.3.4 要挟识别与评价1要挟识别要挟识别的义务是对组织资产面临的要挟进展全面的标识要挟识别可从要挟源进展分析，也可根据有关规范、组织所提供的要挟参考目录进展分析。 如要挟树P30系统缺点要挟树P312要挟评价平安风险的大小是由平安事件发生的能够性以及它呵斥的影响决议，平安事件发生的能够性与要挟出现的频率有关，而平安事件的影响那么与要挟的强度或破坏才干有关要挟评价就是对要挟出现的频率及强度进

20、展评价，这是风险评价的重要环节评价者应根据阅历和或有关的统计数据来分析要挟出现的频率及其强度或破坏才干要挟评价的通用方法为要挟列表中的全部可赋值要挟类进展赋值 3.3信息平安风险评价流程等级标识定义5很高出现的频率很高（或1 次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生过 4高出现的频率较高（或 1 次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过 3中出现的频率中等（或 1 次/半年）；或在某种情况下可能会发生；或被证实曾经发生过 2低出现的频率较小；或一般不太可能发生；或没有被证实发生过 1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生 要挟赋值表G

21、B/T20984要挟评价的通用方法判别要挟出现的频率是要挟赋值的重要内容，应根据阅历和或有关的统计数据来进展判别。需求综合思索以下三个方面，以构成在某种评价环境中各种要挟出现的频率： -以往平安事件报告中出现过的要挟及其频率的统计； -实践环境中经过检测工具以及各种日志发现的要挟及其频率的统计； -近一两年来国际组织发布的对于整个社会或特定行业的要挟及其频率统计，以及发布的要挟预警。为简化后续的风险计算过程，防止不用要的计算任务，仅采用TOP5或者TOP10要挟参与风险计算3.3信息平安风险评价流程要挟举例 3.3信息平安风险评价流程外部要挟开展网络欺骗或讹诈感染恶意代码泄露重要信息手机攻击网

22、络仿冒网页篡改网页恶意代码渣滓邮件回绝服务攻击病毒蠕虫木马3.3信息平安风险评价流程3.3信息平安风险评价流程3.3.5 脆弱性识别与评价 1脆弱性识别也称为弱点识别。弱点是资产本身存在的，假设没有相应的要挟发生，单纯的弱点本身不会对资产呵斥损害。而且假设系统足够强壮，再严重的要挟也不会导致平安事件，并呵斥损失。 即, 要挟总是要利用资产的脆弱性才能够呵斥危害脆弱性识别时的数据应来自于资产的一切者、运用者，以及相关业务领域和软硬件方面的专业人员等脆弱性识别所采用的方法主要有： 问卷调查、工具检测、人工核对、文档查阅、浸透性测试等3.3信息平安风险评价流程3.3.5 脆弱性识别与评价 1脆弱性识

23、别脆弱性识别主要从技术和管理两个方面进展 技术脆弱性涉及物理层、网络层、系统层、运用层等各个层面的平安问题 管理脆弱性又可分为技术管理和组织管理两方面，前者与详细技术活动相关，后者与管理环境相关1脆弱性识别类型识别对象识别内容技术脆弱性网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别系统软件从补丁安装、物理保护、用户帐号、口令策略、资源共享、事件审计、访问控制、新系统配置、注册表加固、网络安全、系统管理等方面进行识别应用中间件从协议安全、交易完整性、数据完整性等方面进行识别应用系统从审计机制、审计存储、访问控制策略、数据完整性、通信、鉴别机制

24、、密码保护等方面进行识别管理脆弱性技术管理从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别组织管理从安全策略、组织安全、资产分类与控制、人员安全、符合性等方面进行识别3.3信息平安风险评价流程脆弱性识别内容表 3.3信息平安风险评价流程2.脆弱性评价对脆弱性被利用后对资产损害程度、技术实现的难易程度、弱点流行程度进展评价，评价的结果普通都是定性等级划分方式，综合的标识脆弱性的严重程度。也可对脆弱性被利用后对资产的损害程度以及被利用的能够性分别评价，然后以一定方式综合。假设多个脆弱性反映同一个问题，应综合思索这些脆弱性，确定该类脆弱性严重程度脆弱性评价3.3信

25、息平安风险评价流程等级标识定义5很高如果被威胁利用，将对资产造成完全损害。 4高如果被威胁利用，将对资产造成重大损害。 3中等如果被威胁利用，将对资产造成一般损害 。 2低如果被威胁利用，将对资产造成较小损害。 1很低如果被威胁利用，将对资产造成的损害可以忽略。 脆弱性严重程度赋值表 脆弱性严重程度可以进展等级化处置，不同的等级分别代表资产脆弱性严重程度的高低。等级数值越大，脆弱性严重程度越高GB/T209843.3信息平安风险评价流程3.3.6 已有平安措施确实认平安措施可以分为预防性平安措施和维护性平安措施两种预防性平安措施可以降低要挟利用脆弱性导致平安事件发生的能够性，如入侵检测系统经过

26、两个方面的作用来实现 1减少要挟出现的频率，如经过立法或健全制度加大对员工恶意行为的惩罚，可以减少员工故意行为要挟出现的频率，经过平安培训可以减少无意行为导致平安事件出现的频率； 2减少脆弱性，如及时为系统打补丁、对硬件设备定期检查可以减少系统的技术脆弱性等。维护性平安措施可以减少因平安事件发生后对组织或系统呵斥的影响。 3.3信息平安风险评价流程3.3.6 已有平安措施确实认对已采取的平安措施进展确认，至少有两个方面的意义 1有助于对当前信息系统面临的风险进展分析 2经过对当前平安措施确实认，分析其有效性，对有效的平安措施继续坚持，以防止不用要的任务和费用，防止平安措施的反复实施3.3信息平

27、安风险评价流程3.3.7 风险分析风险分析就是利用资产、要挟、脆弱性识别与评价结果以及对已有平安措施确认后，采用适当的方法与工具确定要挟利用脆弱性导致平安事件发生的能够性。综合平安事件所作用的资产价值及脆弱性的严重程度，判别平安事件呵斥的损失对组织的影响，即平安风险3.3信息平安风险评价流程3.3.7 风险分析1风险计算如前所述，风险可方式化的表示为R=(A,T,V)，其中R表示风险、A表示资产、T表示要挟、V表示脆弱性。相应的风险值由A、T、V的取值决议，是它们的函数，可以表示为： 风险值=RA，T，V= R(L(T，V)，F(Ia，Va ) Va表示脆弱性严重程度；L表示要挟利用资产的脆弱

28、性导致平安事件发生的能够性；F表示平安事件发生后产生的损失3.3信息平安风险评价流程3.3.7 风险分析1风险计算三个关键计算环节：a计算平安事件发生的能够性根据要挟出现频率及弱点的情况，计算要挟利用脆弱性导致平安事件发生的能够性，即： 平安事件发生的能够性=L(要挟出现频率，脆弱性) = L(T，V ) 在详细评价中，应综合攻击者技术才干专业技术程度、攻击设备等、脆弱性被利用的难易程度可访问时间、设计和操作知识公开程度等、资产吸引力等要素来判别平安事件发生的能够性。 3.3信息平安风险评价流程3.3.7 风险分析1风险计算三个关键计算环节：b计算平安事件发生后的损失 根据资产价值及脆弱性严重

29、程度，计算平安事件一旦发生后的损失，即： 平安事件的损失=F(资产价值，脆弱性严重程度) =F(Ia，Va ) 部分平安事件的发生呵斥的损失不仅仅是针对该资产本身，还能够影响业务的延续性；不同平安事件的发生对组织呵斥的影响也是不一样的。在计算某个平安事件的损失时，应将对组织的影响也思索在内。 对发生能够性极小的平安事件，可以不计算其损失3.3信息平安风险评价流程3.3.7 风险分析1风险计算三个关键计算环节：c计算风险值 根据计算出的平安事件发生的能够性以及平安事件的损失，计算风险值，即： 风险值=R(平安事件发生的能够性，平安事件呵斥的损失) =R(L(T，V)，F(Ia，Va ) 可根据本

30、身情况选择相应的风险计算方法计算风险值，如矩阵法或相乘法。矩阵法经过构造一个二维矩阵，构成平安事件发生的能够性与平安事件的损失之间的二维关系相乘法经过构造阅历函数，将平安事件发生的能够性与平安事件的损失进展运算得到风险值。3.3信息平安风险评价流程2影响分析平安事件对组织的影响可表达在以下方面： 直接经济损失、物理资产的损坏、业务影响、 法律责任、人员平安危害、信誉笼统损失上述损失有些容易定量表示，有些那么很难3能够性分析平安事件发生的能够性的要素有： 资产吸引力、要挟出现的能够性、 脆弱性的属性、平安措施的效能等。根据要挟源的分类，引起平安事件发生的缘由能够 自然灾祸、环境及系统要挟、 人员

31、无意行为、人员故意行为等不同类型的平安事件，其能够性影响要素也有点不同3.3信息平安风险评价流程4. 风险结果断定 为实现对风险的控制与管理，可以对风险评价的结果进展等级化处置。可以将风险划分为五级，等级越高，风险越高根据所采用的风险计算方法，计算每种资产面临的风险值根据风险值的分布情况，为每个等级设定风险值范围，并对一切风险计算结果进展等级处置。每个等级代表了相应风险的严重程度等 级标 识描 述5很高一旦发生将产生非常严重的经济或社会影响，如组织信誉严重破坏、严重影响组织的正常经营，经济损失重大、社会影响恶劣 4高一旦发生将产生较大的经济或社会影响，在一定范围内给组织的经营和组织信誉造成损害

32、 3中等一旦发生会造成一定的经济、社会或生产经营影响，但影响面和影响程度不大 2低一旦发生造成的影响程度较低，一般仅限于组织内部，通过一定手段很快能解决 1很低一旦发生造成的影响几乎不存在，通过简单的措施就能弥补 风险等级划分表 3.3信息平安风险评价流程3.3.8 平安措施的选取风险评价的目的不仅是获取组织面临的有关风险信息，更重要的是采取适当的措施将平安风险控制在可接受的范围内。平安措施可以降低平安事件呵斥的影响，也可以降低平安事件发生的能够性，在对组织面临的平安风险有全面认识后，应根据风险的性质选取适宜的平安措施，并对对能够的剩余风险进展分析，直到剩余风险为可接受风险为止。3.3信息平安

33、风险评价流程3.3.9 风险评价文件记录风险评价文件包括在整个风险评价过程中产生的评价过程文档和评价结果文档，这些文档包括： (1)风险评价方案 (2)风险评价程序 (3)资产识别清单 (4)重要资产清单 (5)要挟列表 (6)脆弱性列表 (7)已有平安措施确认表 (8)风险评价报告 (9)风险处置方案 (10)风险评价记录3.3信息平安风险评价流程3.3.10 信息系统生命周期各阶段评价风险评价应贯穿于信息系统生命周期的各阶段中信息系统生命周期各阶段中涉及的风险评价的原那么和方法是一致的，但由于各阶段实施的内容、对象、平安需求不同，使得风险评价的对象、目的、要求等各方面也有所不同。规划设计阶

34、段，经过风险评价以确定系统的平安目的；建立验收阶段，经过风险评价以确定系统的平安目的达成与否；运转维护阶段，要不断地实施风险评价以识别系统面临的不断变化的风险和脆弱性，从而确定平安措施的有效性，确保平安目的得以实现。每个阶段风险评价的详细实施应根据该阶段的特点有所偏重有条件时，应采用风险评价工具开展风险评价活动 3.3信息平安风险评价流程3.3.10 信息系统生命周期各阶段评价规划阶段的风险评价详见GB/T 209842007 设计阶段的风险评价详见GB/T 209842007 实施阶段的风险评价详见GB/T 209842007运转维护阶段的风险评价详见GB/T 209842007废弃阶段的风

35、险评价详见GB/T 209842007 3.3信息平安风险评价流程3.3.11 风险评价的任务方式 分为自评价和检查评价两种方式。信息平安风险评价应以自评价为主，自评价和检查评价相结合、互为补充 自评价 是指信息系统拥有、运营或运用单位发起的对本单位信息系统进展的风险评价自评价应在本规范的指点下，结合系统特定的平安要求进展实施周期性进展的自评价可以在评价流程上适当简化，重点调查自上次评价后系统发生变化后引入的新要挟，以及系统脆弱性的完好识别，以便于两次评价结果的对比但系统发生艰苦变卦时，应根据本规范进展完好的评价 3.3信息平安风险评价流程3.3.11 风险评价的任务方式 分为自评价和检查评价

36、两种方式。信息平安风险评价应以自评价为主，自评价和检查评价相结合、互为补充 检查评价 是指信息系统上级管理部门组织或国家有关职能部门依法开展的风险评价。检查评价可根据本规范的要求，实施完好的风险评价过程。检查评价也可在自评价实施的根底上，对关键环节或重点内容实施抽样评价3.3信息平安风险评价流程3.3.11 风险评价的任务方式 检查评价 包括以下内容 a自评价队伍及技术人员审查； b自评价方法的检查； c自评价过程控制与文档记录检查； d自评价资产列表审查； e自评价要挟列表审查； f自评价脆弱性列表审查； g现有平安措施有效性检查； h自评价结果审查与采取相应措施的跟踪检查； i自评价技术技

37、艺限制未完成工程的检查评价； j上级关注或要求的关键环节和重点内容的检查评价； k软硬件维护制度及实施管理的检查； l突发事件应对措施的检查； 3.4信息平安风险评价方法3.4.1 概述 信息平安风险评价是经过采用一定的方法对组织面临的风险进展识别，并分析风险对组织带来的影响以及其发生的能够性大小，然后经过一定的综合评价方法来评价组织面临的风险，并选取适当的措施来控制风险。风险评价的复杂性决议了风险评价方法的多样性。 从实际上看，风险评价方法的实际根底包括：概率风险分析方法、模糊决策方法、人工智能、定性推理方法、灰色决策实际、综合评价方法等。 从风险评价过程整体上看，风险评价方法有：基于资产驱

38、动的风险评价方法、要挟驱动的风险评价方法、脆弱性驱动的风险评价方法、基于案例的风险评价方法等。 从风险分析方法来看，风险评价方法可分为两大类：定量方法与定性方法。3.4信息平安风险评价方法3.4.2 信息平安风险评价实际根底 1.概率风险分析 概率风险分析方法的思想是利用概率论方法来识别和分析风险，这类方法主要包括：缺点树分析法FTA，缺点方式影响和危害程度分析方法FMECA，危害及可操作性研讨分析方法HazOp和Markov分析法。 2.模糊决策方法 风险评价的对象以及信息系统的形状具有不确定性，经典的数学模型由于其准确性特点使得它很难很好的把握问题的本质，模糊决策方法填补了这方面的缺乏。

39、模糊决策实际不是把问题变成模糊不清的东西，相反，它具有数学的共性：条理清楚、一丝不苟，它是经过规范化的实际体系来描画模糊的对象，使模糊对象能明晰的呈如今决策者面前，这是经典的数学实际所不能做到的。3.4信息平安风险评价方法3.人工智能 人工智能是20世纪中期产生的并正在迅速开展的新兴边缘学科,它是探求和模拟人的智能和思想过程的规律,并进而设计出类似人的某些智能化的科学。 信息系统形状变化规律的复杂性决议了很难用一确定的数学模型来描画，应综合神经网络、智能推理，知识库等多方面知识，建立一个具有自学习才干的专家系统，目前基于案例的风险评价方法就是这一实际的详细运用。6.灰色系统实际 部分信息知、部

40、分信息未知的系统称为灰色系统。灰色系统实际是研讨和处理灰色系统分析、建模、预测和控制的实际。在信息世界，由于数据的短缺或事物本身的特性，很多景象是“灰色的，其意义是指其中含有知的、未知的与非确定的种种信息。3.4信息平安风险评价方法7.综合评价方法 信息平安风险评价对象是多目的的复杂系统，对于多目的系统，评价目的有多个，不同目的有不同的量纲，多目的系统的评价过程中必需处理以下两个问题：其一是采用什么方法将不同量纲目的无量纲化，其二是采用何种方式确定不同目的的相对重要性，通常是引入权向量来描画。不同综合评价方法有不同的处置方法，常用的综合评价方法有综合指数法、效果评分法、TOPSIS法、层次分析

41、法、主成份分析法、聚类分析法等(1)综合指数法是多目的系统的一种评价方法。综合指数法经过计算各评价对象对每个目的折算指数值来实现不同目的值的无量纲化，并经过加权平均方法计算综合指数值3.4信息平安风险评价方法 (2) 效果评分法经过效果系数来实现不同目的的无量纲化，然后在利用其他方法来确定效果权值，如均权法、层次分析法、离差权法等。 (3)TOPSIS法3.4信息平安风险评价方法3.4信息平安风险评价方法(4) 层次分析法是将决策问题的有关元素分解成目的、准那么、方案等层次，在此根底上进展定量和定性分析的一种决策方法。层次分析法的决策过程如下： a)分析各影响要素间的关系，建立层次模型 b)构

42、建两两比较判别矩阵 c)计算单个判别矩阵对应的权重向量 d)计算各层元素对目的层的合成权重向量(5) 主成分分析是一种多元统计分析方法，对于多目的的复杂评价系统，由于目的多，数据处置相当复杂，由于目的之间存在一定的关系，可以适当简化。主成分分析的思想是经过一定的变换，用较少的目的来替代原先较多的目的，从而到达简化问题的处置与分析的目的。(6) 聚类分析法是处理“物以类聚，处理事务分类的一种数学方法。它是在没有或不用样品所述类别信息的情况下，根据对样品采集的数据的内在构造以及相互间的关系，在样品间类似性度量的根底上，对样品进展分类的一种方法3.4信息平安风险评价方法3.4.3 定量方法 定量方法

43、试图用详细的货币表示方式的损失值来分析和度量风险，定量方法主要有基于期望损失的风险评价方法与基于期望损失成效的风险评价方法等。1基于期望损失的风险评价方法 类似的定义还有期望年损失ALEAnnual Loss Expectancy，它是以组织在目前平安形状下平均年损失作为风险度量的规范。假设风险事件E呵斥的相对损失为loss，其发生的能够性为L，loss和L均为取值在0,1区间定量值。假设根据期望损失实际，将根据lossL值大小划分等级，等级划分方法结果如图2-9所示3.4信息平安风险评价方法2基于期望损失成效的风险评价方法假设经过风险评价，风险事件E呵斥的相对损失为loss，其发生的能够性为

44、L，loss和L均为取值在0,1区间定量值。建立风险等级划分方法，结果见图所示 这种方法的益处就是可以更好的区分“高损失、低能够性及“低损失、高能够性两种不同平安事件的风险。3.4信息平安风险评价方法3.4.4 定性方法 定性方法不是给出详细的货币方式的损失，而是用诸如“极为严重、严重、普通、可忽略等定性方法来度量风险。定性方法普通基于一定的定量方法，在定量方法的根底上进展裁剪和简化。典型的定性风险分析与评价方法有风险矩阵丈量、要挟分级法、风险综合评价等。1风险矩阵丈量这种方法的特点是事先建立资产价值、要挟等级和脆弱性等级的一个对应矩阵，预先将风险等级进展了确定。然后根据不同资产的赋值从矩阵中确定不同的风险。2要挟分级法这种方法是直接思索要挟、要挟导致的平安事件对资产产生的影响以及要挟导致平安事件发生的能够性来确定风险。3风险综合评价这种方法中风险由要挟导致的平安事件发生的能够性、对资产的影响程度以及曾经存在的控制措施三个方面来确定。与风险矩阵法和要挟分级法不同，本方法将控制措施的采用引入风险