预览加载中，请您耐心等待几秒...

信息安全风险评估方法与相关实践.ppt

预览
1/10
2/10
3/10
4/10
5/10
6/10
7/10
8/10
9/10
10/10

亲，该文档总共110页，到这已经超出免费预览范围，如果喜欢就直接下载吧～

下载提示 文本预览

如果您无法下载资料，请参考说明：

1、部分资料下载需要金币，请确保您的账户上有足够的金币

2、已购买过的文档，再次下载不重复扣费

3、资料包下载后请先用软件解压，在使用对应软件打开

信息安全风险评估方法与相关实践风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施风险评估概述（一）风险评估概述（二）风险评估概述（三）操作系统漏洞风险评估概述（四）风险评估概述（五）风险评估的相关概念风险关系图风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施安全风险管理现状风险管理要求风险管理的对象大类风险管理的内容和过程信息安全目标风险管理&安全目标&生命周期角色和责任风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施常见评估方法常见评估方法——SP800-30步骤1－系统特性分析：收集有价值的系统信息，如硬件、软件、系统接口、数据信息、相关人员、系统功能、系统数据重要程度等。 步骤2－脆弱性鉴别：列举出系统所存在的脆弱性。 步骤3－威胁鉴别：确定威胁源（如自然威胁、人为威胁、环境威胁等）以及各威胁源相应的动机和威胁形式。 步骤4－控制措施分析：对已经实施的或即将实施的用于降低系统被危害的可能性的风险控制方法进行分析。 步骤5－可能性确定：判断并确定威胁发生的可能性。 步骤6－影响分析：分析如果威胁发生，将会发生什么影响以及影响程度。 步骤7－风险确定：通过考虑威胁发生的可能性及相应的影响来确定风险的级别。 步骤8－控制措施建议：此时需要提出需要采用的控制手段的建议，以便使系统的风险控制在可以接受的范围之内。 步骤9－结果文档：风险评估完成后，所有的评估结果都应该正式记录在案。这一步骤就是将所有的评估结果进行记录。优点： 明确指出在判断可能性时，需要考虑现有控制措施的效力，也就是目前所实施的控制措施是否将降低威胁发生的可能性。 而其它许多风险评估方法在判断可能性时，却基本没考虑到现有措施对威胁发生可能性的作用。 不足： 在进行影响判断时，只考虑到系统的使命、系统和数据的关键性以及敏感性，而没有考虑到现有控制措施也有可能降低威胁发生的影响。常见评估方法——OCTAVE第1阶段：创建基于资产的威胁轮廓 过程1：识别高层管理人员认识 过程2：识别运营区域管理人员认识 过程3：识别职员认识 过程4：创建威胁轮廓 第2阶段：识别基础设施脆弱性 过程5：识别关键组件 过程6：评估所选择的组件 第3阶段：开发安全策略和计划 过程7：进行风险分析 过程8：制定防护策略优点： 明确指出要成功进行一个有效的风险评估，必须组织各级别人员（高层管理人员、运营区域管理人员、IT技术人员和一般职员）参与评估活动，而不仅仅是IT技术人员。 不足： 鉴别威胁的方法是通过与组织各级别人员的研讨会来获得的。在研讨会上，评估小组向参与人员分发《关心区域工作表》，要求参与人员基于该工作表来考虑可能的威胁情形。而该工作表只起到提示作用，所以除非参与人员在日常工作中比较关注安全问题，方能基于以上提示给出比较有意义的解答。否则，参与人员将只能提供一些简单的解答，对于了解组织的实际安全现状并不会起到太大的作用。 在OCTAVE中将安全需求与影响分开考虑，这种方式不是很合理。安全需求应该是因为如果资产遭受破坏，会导致什么样的影响，从而才能确定安全需求及其级别，而不是为了安全需求而考虑安全需求。常见评估方法——IAMIAM分成三个阶段： 评估前（Pre-assessment） 现场活动（On-siteactivities） 评估后（Post-assessment） 每个阶段都有特定的目标和输出优点： 明确提出了需要对18项内容进行评估，并将这18项内容分成3类：管理、技术和操作。风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施评估过程评估过程制定计划和培训资料收集风险分析形成报告风险评估概念 风险管理系统 相关标准介绍 风险评估实践过程 风险评估分析方法 OCTAVE风险评估的实施过程 企业风险评估策略 风险控制措施Venus评估方法Venus评估方法资产评估任务1：资产信息收集任务2：资产分类任务3：资产赋值资产评估结果（示例）Venus评估方法脆弱性识别脆弱性识别方法脆弱性扫描——定制策略脆弱性扫描——执行扫描脆弱性扫描——扫描结果脆弱性扫描——扫描结果脆弱性扫描——扫描结果脆弱性扫描——扫描结果脆弱性扫描——扫描结果脆弱性扫描——扫描结果脆弱性扫描——扫描结果脆弱性扫描——扫