信息安全风险评估与风险管理PPT课件.ppt

信息安全风险评估与风险管理一、风险评估中的概念及模型二、风险评估标准三、风险评估流程与方法四、风险评估的输出结果五、风险管理六、总结信息安全的定义KeywordsIKeywordII风险评估的目的和意义信息系统风险模型风险计算依据一、风险评估中的概念及模型二、风险评估标准三、风险评估流程与方法四、风险评估的输出结果五、风险管理六、总结国外相关信息安全风险评估标准简介（1）AS/NZS4360：1999风险管理澳大利亚和新西兰联合开发的风险管理标准将对象定位在“信息系统”；在资产识别和评估时，采取半定量化的方法，将威胁、风险发生可能性、造成的影响划分为不同的等级。分为建立环境、风险识别、风险分析、风险评价、风险处置等步骤。ISO/IECTR13335信息技术安全管理指南提出了风险评估的方法、步骤和主要内容。主要步骤包括：资产识别、威胁识别、脆弱性识别、已有控制措施确认、风险计算等过程。NISTSP800-30：信息技术系统风险管理指南提出了风险评估的方法论和一般原则，风险及风险评估概念：风险就是不利事件发生的可能性。风险管理是评估风险、采取步骤将风险消减到可接受的水平并且维持这一风险级别的过程。我国信息安全风险评估标准发展历程《信息安全风险评估规范》标准操作的主要内容标准内容：引言风险评估框架及流程风险分析原理风险评估实施(1)资产识别资产分类资产赋值:机密性、完整性、可用性三方面的赋值资产重要性等级威胁识别威胁分类威胁来源分类威胁赋值脆弱性识别识别内容：技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。管理脆弱性又可分为技术管理脆弱性和组织管理脆弱性两方面。脆弱性赋值：等级赋值，技术脆弱性与管理脆弱性的结合。已有安全措施确认安全措施的确认应评估其有效性，即是否真正地降低了系统的脆弱性，抵御了威胁。安全措施确认并不需要和脆弱性识别过程那样具体到每个资产、组件的弱点，而是一类具体措施的集合，为风险处理计划的制定提供依据和参考。风险分析计算安全事件发生的可能性计算安全事件发生后的损失计算风险值风险等级判定风险评估文件记录风险评估文件记录的要求风险评估文件的类型、多少风险评估方案资产识别清单重要资产清单威胁列表脆弱性列表风险评估报告风险处理计划信息系统生命周期各阶段的风险评估风险评估的工作形式附录一、风险评估中的概念及模型二、风险评估标准三、风险评估流程与方法四、风险评估的输出结果五、风险管理六、总结现有风险评估方法综述（1）现有风险评估方法综述（2）现有风险评估方法综述（3）现有风险评估方法综述（4）1）资产识别与赋值2）资产的安全属性赋值及权重计算；3）威胁分析；4）薄弱点分析；5）已有控制措施分析；6）影响分析；7）可能性分析；8）风险计算；9）风险控制措施制定；1、资产的识别资产识别的类型2、资产的安全属性赋值及权重计算资产价值与信息安全特性的关系资产价值与信息安全特性的关系资产价值与信息安全特性的关系3、威胁分析与评价威胁的识别与评价威胁的识别与评价分析威胁与C,I,A之间的关系4、薄弱点分析与评价有关实物和环境安全方面的薄弱点列表例：常见系统薄弱点及其对应威胁5、已有安全控制分析与确认6、威胁影响分析威胁影响程度判断准则7、威胁的可能性分析8、风险值的计算9、风险控制措施确定实施风险控制风险控制曲线图风险控制要点一、风险评估中的概念及模型二、风险评估标准三、风险评估流程与方法四、风险评估的输出结果五、风险管理六、总结风险评估的输出结果反映了：资产名称描述范围重要性程度部门所属业务流程反映了：资产名称描述范围机密性、可用性、完整性评分等级资产与信息安全系数关系所属业务流程反映了：资产名称面临的威胁类具体可能的威胁反映了：脆弱性分类（网络、操作系统、管理、数据库等）脆弱性的详细描述脆弱性的严重程度与威胁的对应关系可能影响的资产反映了：资产名称资产面临的威胁可能被威胁利用的脆弱电威胁发生的可能性威胁的影响程度反映了：资产名称威胁/薄弱点风险系数风险处理措施优先处理等级，等。风险评估报告评估方法信息系统分析与描述业务信息流分析资产识别与划分威胁分析安全风险分析与统计信息系统脆弱性评估报告：以资产为主线，描述各资产存在的脆弱性，包括：主要服务器操作系统、数据库系统应用系统网络与交换设备安全管理体系物理环境一、风险评估中的概念及模型二、风险评估标准三、风险评估流程与方法四、风险评估的输出结果五、风险管理六、总结风险管理的目的和意义风险管理的对象与范围风险控制措施确定实施风险控制风险确认与接受为确保组织的信息安全，残余风险应在可接受范围内一、风险评估中的概念及模型二、风险评估标准三、风险评估流程与方法四、风险评估的输出结果五、风险管理六、总结识别本单位信息安全的风险状况重要的资产面临的威胁现有的安全措施和薄弱点可能的风险