信息安全风险评估流程27p

LOGO信息平安风险评估流程信息平安风险评估流程培训讲师：jindaly培训日期：2021.6一、风险评估概述

二、风险评估目的

三、风险评估范围

四、风险评估流程

五、风险评估工作要点一、风险评估概述信息平安风险评估的概念在业内有多种说法，从国标?评估指南?对信息平安风险评估的表述中看出，评估涉及资产、威胁、脆弱性和风险四个主要因素。风险管理是区分信息系统潜在的风险，对其进行评估，并采取措施将其降低到可接受的水平的过程，而风险评估是其中最重要的环节。一、风险评估概述信息平安风险评估是依据有关信息平安技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等平安属性进行评价的过程。信息平安风险评估从管理的角度，运用科学的方法和手段，系统分析网络与信息系统所面临的威胁及存在的脆弱性。评估平安事件一旦发生可能造成的危害程度，提出有针对性地抵御平安威胁的防护措施，为防范和化解信息平安风险，或将风险控制在可以接受的水平，最大限度地保障网络正常运行和信息平安提供科学依据。二、风险评估目的信息平安风险评估是加强信息平安保障体系建设和管理的关键环节，通过开展信息平安风险评估工作，可以发现信息系统存在的主要问题和矛盾，找到解决诸多关键问题的方法。信息平安风险评估旨在认清信息平安环境，信息平安状况，有助于达成共识，明确责任，采取和完善平安保障措施，使其更加经济有效，并使信息平安策略保持一致性和持续性。并为信息系统的建设和改造提供依据，帮助信息平安建设者正确判断系统存在风险与漏洞，并采取适当补救措施。风险评估可以科学地分析和理解信息系统在保密性、完整性、可用性等方面的工作，只有正确、全面地了解理解平安风险后才能决定如何处理平安风险，从而在信息平安的投资，信息平安措施的选择，信息平安保障体系的建设做出合理的决策。三、风险评估范围信息平安风险评估适用于在信息平安管理体系下的所有信息资产、网络及任何管理和维护这些系统的流程所做的一切风险评估。信息平安风险评估包括信息资产的风险识别、评估与管理，即信息系统网络、管理制度、使用或管理信息系统的相关人员以及由信息系统使用时产生的文档、数据等的风险识别、评估与管理。四、风险评估流程信息平安风险评估的典型过程主要分为风险评估准备、资产识别、威胁识别、脆弱性识别、已有平安措施确认和风险分析六个阶段。风险评估准备资产识别威胁识别脆弱性识别已有平安措施确认风险分析四、风险评估流程该阶段的主要任务是制订评估工作方案，包括评估目标、评估范围、制订信息平安风险评估工作方案，并根据评估工作需要，组建评估团队，明确各方职责。

在风险评估准备阶段，需要屡次与被评估方磋商，了解被评估方关注的重点，明确风险评估的目标和范围，为整个风险评估工作提供向导。在确定评估范围和目标之后，根据被评估对象的网络规模、复杂度、特殊性，成立评估工作小组，明确各方人员组成及职责分工。建立评估团队后，由评估工作人员进行现场调研，由被评估方介绍网络构建情况，平安管理制度和采取的平安防护措施以及业务运行情况。评估工作小组根据调研情况撰写信息平安风险评估工作方案。1.风险评估准备四、风险评估流程确定目标确定范围组建团队系统调研确定依据制定方案1.风险评估准备四、风险评估流程做好风险评估准备阶段的相关工作之后，需要通过多种途径采集评估对象的资产信息，为风险评估后续各阶段的工作提供根本素材。机密性、完整性和可用性是评价资产的三个平安属性。风险评估中的资产价值不是以资产的经济价值来衡量，而是由资产在这三个平安属性上的达成程度或其平安属性未达成时所造成的影响程度来决定的。资产识别主要通过向被评估方发放资产调查表来完成。在识别资产时，以被评估方提供的资产清单为依据，对重要和关键资产进行标注，对评估范围内的资产详细分类，防止遗漏，划入风险评估范围和边界内的每一项资产都应经过仔细确认。2.资产识别四、风险评估流程资产分类资产分类方法：根据资产的表现形式，可将资产分为数据、软件、硬件、效劳、人员等类型。在实际工作中，具体的资产分类方法可根据具体的评估对象和要求，由评估者灵活把握。资产赋值 根据资产在保密性、完整性、可用性上的不同要求，对资产进行保密性赋值、完整性赋值、可用性赋值。 资产价值应依据资产在保密性、完整性、可用性上的赋值等级，经过综合评定得出。2.资产识别四、风险评估流程在识别威胁时，应根据资产目前所处的环境条件和以前的记录情况来判断，威胁识别主要通过采集入侵检测系统〔IDS〕的报警信息、威胁问卷调查和对技术人员做参谋访谈的方式。为了确保收集到的威胁信息客观准确，威胁问卷调查的对象要覆盖被评估对象的领导层、技术主管、网络管理人员、系统管理人员、平安管理人员和普通员工等。参谋访谈要针对不同的访谈对象制订不同的访谈提纲。威胁识别的关键在于确认引发威胁的人或事物，威胁源可能是蓄意也可能是偶然的因素，通常包括人、系统和自然环境等。一项资产可能面临多个威胁，而一个威胁也可能对不同的资产造成影响。威胁识别完成后还应该对威胁发生的可能性进行评估，列出威胁清单，描述威胁属性，并对威胁出现的频率赋值。3.威胁识别四、风险评估流程威胁分类威胁可以通过威胁主体、资源、动机、途径等多种属性来描述，造成威胁的因素可分为人为因素和环境因素。在对威胁进行分类前，应考虑威胁的来源。威胁赋值 判断威胁出现的频率是威胁赋值的重要内容，评估者应根据经验和〔或〕有关统计数据来进行判断。3.威胁识别四、风险评估流程脆弱性识别是风险评估工作过程中最为复杂、较难把握的环节，同时也是非常重要的环节，对评估工作小组成员的专业技术水平要求较高。脆弱性分为管理脆弱性和技术脆弱性。管理脆弱性调查主要通过发放管理脆弱性调查问卷、参谋访谈以及收集分析现有的管理制度来完成；技术脆弱性检测主要借助专业的脆弱性检测工具和对评估范围内的各种软硬件平安配置进行检查来识别。在工作过程中，应注意脆弱性识别的全面性，包括物理、网络、应用和管理等方面。为了分析脆弱性影响的严重程度，最好对关键资产的脆弱性进行深度检测和验证，比方关键效劳的身份认证等。识别完成之后，还要对具体资产的脆弱性严重程度进行赋值。脆弱性严重程度可以等级化处理，不同等级分别表示资产脆弱性严重程度的上下。等级数值越大，脆弱性严重程度越高。4.脆弱性识别四、风险评估流程脆弱性识别脆弱性识别可以以资产为核心，针对每一项需要保护的资产,识别可能被威胁利用的弱点，并对脆弱性的严重程度进行评估；也可以从物理、网络、系统、应用等层次进行识别，然后与资产、威胁对应起来。脆弱性识别的依据可以是国际或国家平安标准，也可以是行业标准、应用流程的平安要求。对应用在不同环境中的相同的弱点，其脆弱性严重程度是不同的，评估者应从组织平安策略的角度考虑、判断资产的脆弱性及其严重程度。 脆弱性识别包括两个方面，即技术脆弱性和管理脆弱性。 脆弱性识别所采用的方法：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。脆弱性赋值 根据对资产的损害程度、技术实现的难易程度、弱点的流行程度，采用等级方式对已识别的脆弱性的严重程度进行赋值。4.脆弱性识别四、风险评估流程平安措施确实认应评估其有效性，即是否真正地降低了系统的脆弱性，抵御了威胁。有效的平安控制措施，可以降低平安事件发生的可能性，也可以减轻平安事件造成的不良影响。对有效的平安措施继续保持，以防止不必要的工作和费用，防止平安措施的重复实施。对确认为不适当的平安措施应该核实是否应被取消或对其进行修正，或采用更适宜的平安措施予以替代。因此，在进行平安风险分析计算之前，有必要识别目前已有的平安控制措施，包括平安控制措施的识别与确认、管理和操作控制措施的识别与确认。并对措施的有效性进行分析，为后续的风险分析提供参考依据。平安措施识别与确认，应由评估小组的平安控制措施识别小组、平安设备管理人员及平安设备厂家技术人员共同参与。5.已有平安措施确认四、风险评估流程平安措施可分为预防性平安措施和保护性平安措施两种。预防性平安措施可以降低威胁利用脆弱性导致平安事件发生的可能性，如入侵检测系统；保护性平安措施可以减少因平安事件发生后对组织或系统造成的影响。5.已有平安措施确认四、风险评估流程6.风险分析

脆弱性识别威胁出现的频率脆弱性的严重程度资产的重要性安全事件的损失风险值资产识别平安事件的可能性威胁识别风险分析原理图四、风险评估流程6.风险分析构成风险的要素主要有资产、威胁和脆弱性，在识别了这些要素之后，就可以确定存在什么风险。风险分析阶段需要完成的工作主要有3项：风险计算、形成风险评估报告和给出风险控制建议。风险计算是针对每一项信息资产、根据其自身存在的脆弱性列表、所面临的威胁列表，考虑资产自身在信息系统中的重要程度〔资产赋值〕，依据风险计算公式，计算出该信息资产的风险值，最终形成风险列表。风险评估报告主要结合风险评估工作过程中采集到的中间数据，对信息系统中的平安风险进行定性和定量分析。风险控制建议主要由评估工作小组在对被评估对象的平安现状进行综合分析的根底上，有针对性地给出。风险只能被预防、防止、降低、转移或接受，而不可能完全消除。高风险和严重风险是不可接受的，必须选择实施相应的对策来消减。对于中等风险和低风险，可以选择接受，一般评估工作小组应针对被评估对象的中低风险给出风险控制建议。四、风险评估流程6.风险分析风险计算原理风险值=R(A,T,V)=R(L(T,V),F(La，Va)) 其中，R表示平安风险计算函数；A表示资产；T表示威胁；V表示脆弱性；La表示平安事件所作用的资产价值；Va表示脆弱性严重程度；L表示威胁利用资产的脆弱性导致平安事件发生的可能性；F表示平安事件发生后产生的损失。风险结果判断 为实现对风险的控制与管理，可以对风险评估的结果进行等级化处理。风险处理方案 对不可接受的风险应根据导致该风险的脆弱性制定风险处理方案。剩余风险评估 在对于不可接受的风险选择适当平安措施后，为确保平安措施的有效性，可进行再评估，以判断实施平安措施后的剩余风险是否已经降低到可接受的水平。四、风险评估流程风险评估文件记录〔1〕风险评估方案：阐述风险评估的目标、范围、团队、评估方法、评估结果的形式和实施进度等；〔2〕风险评估程序：明确评估的目的、职责、过程、相关的文件要求，并且准备实施评估需要的文档；〔3〕资产识别清单：根据组织在风险评估程序文件中所确定的资产分类方法进行资产识别，形成资产识别清单，清单中应明确各资产的责任人/部门；〔4〕重要资产清单：根据资产识别和赋值的结果，形成重要资产列表，包括重要资产名称、描述、类型、重要程度、责任人/部门等；〔5〕威胁列表：根据威胁识别和赋值的结果，形成威胁列表，包括威胁名称、种类、来源、动机及出现的频率等；〔6〕脆弱性列表：根据脆弱性识别和赋值的结果，形成脆弱性列表，包括脆弱性名称、描述、类型及严重程度等；〔7〕已有平安措施确认表：根据已采取的平安措施确认的结果，形成已有平安措施确认表，包括已有平安措施名称、类型、功能描述及实施效果等；〔8〕风险评估报告：对整个风险评估过程和结果进行总结，详细说明被评估对象，风险评估方法，资产、威胁、脆弱性的识别结果，风险分析、风险统计和结论等内容；〔9〕风险处理方案：对评估结果中不可接受的风险制定风险处理方案，选择适当的控制目标及平安措施，明确责任、进度、资源，并通过对剩余风险的评价确保所选择平安措施的有效性；〔10〕风险评估记录：根据组织的风险评估程序文件，记录对重要资产的风险评估过程。

五、风险评估工作的要点第一，各级领导对评估工作的重视。风险评估工作只有得到各级领导的广泛认同和支持，才能顺利地开展并卓有成效地进行，获得客观、真实和有效的评估结果，作为今后信息平安建设的重要参考依据。第二，加强评估工作的组织和管理。信息平安风险评估工作启动后，应及时组建评估工程组，加强对整个评估工作的组织和管理。工程组主要包括工程领导小组、工程负责人和工程工作小组。做好风险评估工作，特别要注意以下五方面的工作：五、风险评估工作的要点第三，注意评估过程中的风险控制。评估工作过程中所面临的风险，主要是敏感信息泄露和评估过程中的各种技术性评估带来的。躲避敏感信息泄露风险，主要应该注意几点：参与评估的人员必须遵守国家有关信息平安的法律法规以及总行关于信息平安的相关管理规定，承担相应的义务和责任；被评估方应与参与评估的所有人员签订具有法律约束力的保密协议；评估过程中做好审核确认工作。对于躲避技术性评估所带来的