信息安全风险评估与风险管理-PPT.ppt

信息安全风险评估与风险管理一、风险评估中的概念及模型
二、风险评估标准
三、风险评估流程与方法
四、风险评估的输出结果
五、风险管理
六、总结
信息安全的定义KeywordsIKeywordII风险评估的目的和意义信息系统风险模型风险计算依据一、风险评估中的概念及模型
二、风险评估标准
三、风险评估流程与方法
四、风险评估的输出结果
五、风险管理
六、总结
国外相关信息安全风险评估标准简介（1）AS/NZS4360：1999风险管理
澳大利亚和新西兰联合开发的风险管理标准
将对象定位在“信息系统”；在资产识别和评估时，采取半定量化的方法，将威胁、风险发生可能性、造成的影响划分为不同的等级。
分为建立环境、风险识别、风险分析、风险评价、风险处置等步骤。
ISO/IECTR13335信息技术安全管理指南
提出了风险评估的方法、步骤和主要内容。
主要步骤包括：资产识别、威胁识别、脆弱性识别、已有控制措施确认、风险计算等过程。
NISTSP800-30：信息技术系统风险管理指南
提出了风险评估的方法论和一般原则，
风险及风险评估概念：风险就是不利事件发生的可能性。风险管理是评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级别的过程。我国信息安全风险评估标准发展历程《信息安全风险评估规范》标准操作的主要内容标准内容：引言风险评估框架及流程风险分析原理风险评估实施(1)资产识别
资产分类
资产赋值:机密性、完整性、可用性三方面的赋值
资产重要性等级
威胁识别
威胁分类
威胁来源分类
威胁赋值
脆弱性识别
识别内容：技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理脆弱性和组织管理脆弱性两方面。
脆弱性赋值：等级赋值，技术脆弱性与管理脆弱性的结合。 已有安全措施确认
安全措施的确认应评估其有效性，即是否真正地降低了系统的脆弱性，抵御了威胁。
安全措施确认并不需要和脆弱性识别过程那样具体到每个资产、组件的弱点，而是一类具体措施的集合，为风险处理计划的制定提供依据和参考。
风险分析
计算安全事件发生的可能性
计算安全事件发生后的损失
计算风险值
风险等级判定
风险评估文件记录
风险评估文件记录的要求
风险评估文件的类型、多少
风险评估方案
资产识别清单
重要资产清单
威胁列表
脆弱性列表
风险评估报告
风险处理计划
信息系统生命周期各阶段的风险评估风险评估的工作形式附录一、风险评估中的概念及模型
二、风险评估标准
三、风险评估流程与方法
四、风险评估的输出结果
五、风险管理
六、总结
现有风险评估方法综述（1）现有风险评估方法综述（2）现有风险评估方法综述（3）现有风险评估方法综述（4）1）资产识别与赋值2）资产的安全属性赋值及权重计算；3）威胁分析；4）薄弱点分析；5）已有控制措施分析；6）影响分析；7）可能性分析；8）风险计算；9）风险控制措施制定；1、资产的识别资产识别的类型2、资产的安全属性赋值及权重计算资产价值与信息安全特性的关系资产价值与信息安全特性的关系资产价值与信息安全特性的关系3、威胁分析与评价威胁的识别与评价 威胁的识别与评价 分析威胁与C,I,A之间的关系4、薄弱点分析与评价有关实物和环境安全方面的薄弱点列表例：常见系统薄弱点及其对应威胁5、已有安全控制分析与确认 6、威胁影响分析威胁影响程度判断准则7、威胁的可能性分析8、风险值的计算9、风险控制措施确定实施风险控制风险控制曲线图风险控制要点一、风险评估中的概念及模型
二、风险评估标准
三、风险评估流程与方法
四、风险评估的输出结果
五、风险管理
六、总结
风险评估的输出结果反映了：
资产名称
描述范围
重要性程度
部门
所属业务流程
反映了：
资产名称
描述范围
机密性、可用性、完整性评分等级
资产与信息安全系数关系
所属业务流程
反映了：
资产名称
面临的威胁类
具体可能的威胁

反映了：
脆弱性分类（网络、操作系统、管理、数据库等）
脆弱性的详细描述
脆弱性的严重程度
与威胁的对应关系
可能影响的资产
反映了：
资产名称
资产面临的威胁
可能被威胁利用的脆弱电
威胁发生的可能性
威胁的影响程度
反映了：
资产名称
威胁/薄弱点
风险系数
风险处理措施
优先处理等级，等。风险评估报告
评估方法
信息系统分析与描述
业务信息流分析
资产识别与划分
威胁分析
安全风险分析与统计
信息系统脆弱性评估报告：以资产为主线，描述各资产存在的脆弱性，包括：
主要服务器操作系统、数据库系统
应用系统
网络与交换设备
安全管理体系
物理环境一、风险评估中的概念及模型
二、风险评估标准
三、风险评估流程与方法
四、风险评估的输出结果
五、风险管理
六、总结
风险管理的目的和意义风险管理的对象与范围风险控制措施确定实施风险控制风险确认