企业信息安全风险评估资料

1、目录【最新资料，WORD文档，可编辑修改】一、信息安全风险评估简介二、信息安全风险评估流程风险评估准备资产识别威胁识别脆弱性识别风险分析三、信息安全风险评估策略方法1）定量分析方法2）定性分析方法3）综合分析方法四、信息安全风险评估的注意事项1、各级领导对评估工作的重视2、加强评估工作的组织和管理3、注意评估过程中的风险控制。4、做好各方的协调配合工作。5、提供评估所必须的保障条件。信息安全风险评估一、信息安全风险评估简介信息安全风险评估的概念涉及资产、威胁、脆弱性和风险4个主要因素。信息安 全风险评估就是从管理的角度，运用科学的方法和手段，系统分析网络与信息系统所 面临的威胁及存在的脆弱性。

2、评估安全事件一旦发生可能造成的危害程度，提出有针 对性地抵御安全威胁的防护措施，为防范和化解信息安全风险，将风险控制在可以接 受的水平，最大限度地保障网络正常运行和信息安全提供科学依据。二、信息安全风险评估流程信息安全风险评估的典型过程主要分为风险评估准备、资产识别、威胁识别、脆 弱性识别和风险分析5个阶段。风险评估准备该阶段的主要任务是制订评估工作计划，包括评估目标、评估范围、制订信息安 全风险评估工作方案，并根据评估工作需要，组建评估团队，明确各方职责。在风险评估准备阶段，需要多次与被评估方磋商，了解被评估方关注的重点，明 确风险评估的范围和目标，为整个风险评估工作提供向导。在确定评估范围

3、和目标之 后，根据被评估对象的网络规模、复杂度、特殊性，成立评估工作小组，明确各方人 员组成及职责分工。建立评估团队后，由评估工作人员进行现场调研，由被评估方介 绍网络构建情况，安全管理制度和采取的安全防护措施以及业务运行情况。评估工作 小组根据调研情况撰写信息安全风险评估工作方案。资产识别做好风险评估准备阶段的相关工作之后，需要通过多种途径采集评估对象的资产 信息，为风险评估后续各阶段的工作提供基本素材。资产识别主要通过向被评估方发放资产调查表来完成。在识别资产时，以被评估 方提供的资产清单为依据，对重要和关键资产进行标注，对评估范围内的资产详细分 类，防止遗漏，划入风险评估范围和边界内的每

4、一项资产都应经过仔细确认。威胁识别在识别威胁时，应根据资产目前所处的环境条件和以前的记录情况来判断，威胁 识别主要通过采集入侵检测系统（IDS）的报警信息、威胁问卷调查和对技术人员做顾 问访谈的方式。为了确保收集到的威胁信息客观准确，威胁问卷调查的对象要覆盖被 评估对象的领导层、技术主管、网络管理人员、系统管理人员、安全管理人员和普通 员工等。顾问访谈要针对不同的访谈对象制订不同的访谈提纲。威胁识别的关键在于确认引发威胁的人或事物，威胁源可能是蓄意也可能是偶然 的因素，通常包括人、系统和自然环境等。一项资产可能面临多个威胁，而一个威胁 也可能对不同的资产造成影响。威胁识别完成后还应该对威胁发生

5、的可能性进行评 估，列出威胁清单，描述威胁属性，并对威胁出现的频率赋值。脆弱性识别脆弱性识别是风险评估工作过程中最为复杂、较难把握的环节，同时也是非常重 要的环节，对评估工作小组成员的专业技术水平要求较高。脆弱性分为管理脆弱性和 技术脆弱性。管理脆弱性调查主要通过发放管理脆弱性调查问卷、顾问访谈以及收集 分析现有的管理制度来完成；技术脆弱性检测主要借助专业的脆弱性检测工具和对评 估范围内的各种软硬件安全配置进行检查来识别。在工作过程中，应注意脆弱性识别的全面性，包括物理、网络、应用和管理等方 面。为了分析脆弱性影响的严重程度，最好对关键资产的脆弱性进行深度检测和验 证，比如关键服务的身份认证等

6、。识别完成之后，还要对具体资产的脆弱性严重程度 进行赋值。脆弱性严重程度可以等级化处理，不同等级分别表示资产脆弱性严重程度 的高低。等级数值越大，脆弱性严重程度越高。风险分析构成风险的要素主要有资产、威胁和脆弱性，在识别了这些要素之后，就可以确 定存在什么风险。风险分析阶段需要完成的工作主要有3项：风险计算、形成风险评 估报告和给出风险控制建议。风险计算是针对每一项信息资产、根据其自身存在的脆 弱性列表、所面临的威胁列表，考虑资产自身在信息系统中的重要程度（资产赋值）， 依据风险计算公式，计算出该信息资产的风险值，最终形成风险列表。风险评估报告 主要结合风险评估工作过程中采集到的中间数据，对信

7、息系统中的安全风险进行定性 和定量分析。风险控制建议主要由评估工作小组在对被评估对象的安全现状进行综合 分析的基础上，有针对性地给出。风险只能被预防、避免、降低、转移或接受，而不可能完全消除。高风险和严重 风险是不可接受的，必须选择实施相应的对策来消减。对于中等风险和低风险，可以 选择接受，一般评估工作小组应针对被评估对象的中低风险给出风险控制建议。此阶段的输出主要包括：信息安全风险评估风险列表、信息安全风险评估 报告、信息安全风险评估风险控制建议等。三、信息安全风险评估策略方法目前，信息安全风险评估的方法层出不穷，这些方法在很大程度上缩短了信息安 全风险评估所花费的资源、时间，提高了评估的效

8、率，改善了评估的效果。按照各 因素计算数据要求的程度，可以将这些方法分为为定量分析方法、定性分析方法和综 合分析方法。1）定量分析方法定量分析方法是指对度量风险的所有要素赋予一定的数值，依据这些数据，建立 数学模型，把整个信息安全风险评估的过程和结果进行量化，然后对各项指标进行计 算分析，通过这些被量化的数值对信息系统的安全风险进行评估判定。简单地说， 定量分析就是用数量化的指标数值来对风险进行评估。比较常见的定量分析方法有 Markov分析法、时序序列分析法、因子分析法、决策树法、聚类分析法、熵权系数 法等。定量分析方法的优点是分类清楚，比较客观；缺点是容易简单化、模糊化， 造成误解和曲解。

9、2）定性分析方法定性分析方法不需要严格量化各个属性，只是采用人为的判断，依赖于分析者的 经验、直觉等一些非量化的指标，主观性很强，对风险评估者的经验等要求很高。 它可以较好的挖掘出一些蕴藏很深的思想，使做出的评估结论更全面、更深刻。在 采用定性分析方法进行评估时，不使用具体的数量化的数据，而是对各个指标给出一 定的指定期望值，利用这样一种非量化的形式对信息系统的安全风险做出判断。常见 的定性分析方法有德尔菲法（Delphi Method）、可操作的关键威胁、资产和脆弱评估 方法（OCTAVE，Operationally Critical Threat， Asset and Vulnerabil

10、ity Evaluation）等。 定性分析方法的优点是可以挖掘出一些蕴藏很深的思想，使评估的结论更全面深 刻；缺点是主观性强，对评估者要求很高。3）综合分析方法定量分析方法和定性分析方法是相辅相成、相互联系的。定量分析法是定性分析 法的基础和前提，反过来，定性分析法又是建立在定量分析法基础上揭示客观事物内 在规律的。在复杂的校园信息化信息系统风险评估中，要将定量分析法和定性分析法 融合起来使用，这就是综合分析方法。在本文中针对数字化校园的信息安全风险评 估中也采用综合分析方法。四、信息安全风险评估的注意事项做好风险评估工作，特别要注意以下5方面的工作。1、各级领导对评估工作的重视风险评估工作

11、只有得到各级领导的广泛认同和支持，才能顺利地开展并卓有成效 地进行，获得客观、真实和有效的评估结果，作为今后信息安全建设的重要参考依 据。2、加强评估工作的组织和管理信息安全风险评估工作启动后，应及时组建评估项目组，加强对整个评估工作的 组织和管理。项目组主要包括项目领导小组、项目负责人和项目工作小组。3、注意评估过程中的风险控制。评估工作过程中所面临的风险，主要是敏感信息泄露和评估过程中的各种技术性 评估带来的。规避敏感信息泄露风险，主要应该注意几点：一是参与评估的人员必须 遵守国家有关信息安全的法律法规以及总行关于信息安全的相关管理规定，承担相应 的义务和责任；二是被评估方应与参与评估的所

12、有人员签订具有法律约束力的保密协 议；三是评估过程中做好审核确认工作。对于规避技术性评估所带来的风险，例如进 行漏洞扫描有时引起扫描对象宕机等，在制订各种技术性评估方案时，应当由被评估 方和评估方共同审核确认，尽量避免采取可能造成不良影响的操作，最好事先经过测 试。4、做好各方的协调配合工作。信息安全风险评估工作涉及信息系统的主管部门、建设单位或上级机关、运行维 护部门、使用部门、安全管理部门和保密部门以及技术支持单位和产品或服务提供 商。因此需要高层领导直接组织，需要被评估方和评估方的密切配合，相互支持。5、提供评估所必须的保障条件。在评估过程中，要考虑完成信息安全风险评估工作的相关保障条件，包括人员、 时间和经费等。人员保障主要涉及完成风险评估工