2021/6/2
什么是信息安全
信息本身的机密性（Confidentiality）、完整性（Integrity） 和可用性（Availability）的保持，即防止防止未经授权使用信 息、防止对信息的非法修改和破坏、确保及时可靠地使用信息。
保密性：确保信息没有非授权的泄漏，不 被非授权的个人、组织和计算机程序使用
• 当攻击成本小于攻击可能的获利时，运用保护措施，通过 提高攻击者成本来降低攻击者的攻击动机，如加强访问控 制，限制系统用户的访问对象和行为，降低攻击获利；
• 当风险预期损失较大时，优化系统设计、加强容错容灾以 及运用非技术类保护措施来限制攻击的范围，从而将风险 降低到可接受范围。
2021/6/2
具体的风险控制措施
• 风险转移是指通过使用其它措施来补偿损失 ，从而转移风险，如购买保险等。
2021/6/2
安全风险系统判断过程
2021/6/2
风险控制具体做法
• 当存在系统脆弱性时，减少或修补系统脆弱性，降低脆弱 性被攻击利用的可能性；
• 当系统脆弱性可利用时，运用层次化保护、结构化设计以 及管理控制等手段，防止脆弱性被利用或降低被利用后的 危害程度；
2021/6/2
风险评估
风险评估主要包括风险分析和风险评价
➢风险分析：全面地识别风险来源及类型；
➢风险评价：依据风险标准估算风险水平,确定风险的 严重性。
➢与信息安全风险有关的因素：
➢资产：是指对组织具有价值的信息资源，是安全策略保护 的对象。
➢威胁：主要指可能导致资产或组织受到损害的安全事件的 潜在因素。
关键活动
输入 资源
·信息输入
标准 ·立法
测量
记录 ·摘要
输出
