信息安全风险评估演示课件

建设独立自主、符合国际惯例的风险评估技术支撑体系
举国家之力，支持建设独立自主、符合国际惯例的风险评估技术支撑体系。建设国家基础信息网络和重要信息系统风险评估的基础设施和基础环境；落实开发相关技术和产品的攻关项目。通过研发自主关键技术和设备，满足国家网络基础设施和重要信息系统的风险评估需求，支持安全评估应用逐步建立符合国际惯例、达到国际先进水平的安全评估技术支撑体系
试点工作与标准验证
试点工作对去年国信办组织制定的两项试行标准进行了验证，提出了修订建议绝大多数试点单位大都参照了去年国信办和国家安标委组织编写的《信息安全风险评估指南》及《信息安全风险管理指南》。试点单位大都结合自身的具体情况，选择了相应的评估方法和适当的安全控制措施及管理流程，实践经验证明各试点单位评估基于的基本原则和核心方法与试行标准指南大体吻合一致。
典型方法之三：量化风险（续）
在本次试点中，结合试点单位评估实践经验、以及行业管理特性，有的试点单位对风险计算方法进行了如下的扩展：其中：c代表“机密性方面的”、i代表“完整性方面的”、a代表“可用性方面的”，t代表“技术方面的”、m代表“管理方面的”、o代表“运维方面的”、W为技术、运维和管理脆弱性之间的相关性，Wt 、Wm 、Wo 之和等于1。
下一步建议
认真总结经验统一规划、建立制度。制定国家基础网络和重要信息系统的风险评估总体规划以及“十一五”期间的工作计划。积极推进风险评估基本管理制度的建立；应尽快就国家基础信息网络和重要信息系统风险评估工作所涉及的领导体制、协调机制、认证与认可、监管和督察、评估时间、评估对象、评估范围、评估方式、评估人员资质、评估结果发布和备案等内容，进一步开展研究，形成风险评估工作管理法规制度加快建立、逐步完善标准规范体系。标准规范是推广和实施风险评估工作的法律依据和技术保障，要加快风险评估管理与技术标准的制定和完善， 研究评估机构服务标准、资质认可与资质的核查评估的管理办法；尽快出台国家标准。

3.3 信息系统安全保护等级确定
5.确定定级对象的安全保护等级 (1)业务信息安全保护等级
表3-2 业务信息安全保护等级矩阵表
对相应客体的侵害程度
业务信息安全被破坏时所侵害的 客体
公民、法人和其他组织的合法权 益 社会秩序、公共利益 国家安全
一般损害 第一级 第二级 第三级
严重损害 第二级 第三级 第四级
信息系统生命周期包括五个阶段：启动准备阶段、设计/开发阶段、 实施/实现阶段、运行维护阶段和系统终止阶段。安全等级保护工作将贯 穿信息系统生命周期的各个阶段。
3.3 信息系统安全保护等级确定 1. 信息系统安全保护等级的定级因素
信息系统的安全保护等级应当根据信息系统在国家安全、
经济建设、社会生活中的重要程度决定。从另一个角度看， 信息系统重要程度越高，其遭到破坏后对国家安全、经济建
以整个行业或国家的总体利益作为判断侵害程度的基准
3.3 信息系统安全保护等级确定
一般损害：工作职能受到局部影响，业务能力有所降低但不 影响主要功能的执行，出现较轻的法律问题，较低的财产损 失，有限的社会不良影响，对其他组织和个人造成较低损害。 严重损害：工作职能受到严重影响，业务能力显著下降且严 重影响主要功能执行，出现较严重的法律问题，较高的财产 损失，较大范围的社会不良影响，对其他组织和个人造成较 严重损害。 特别严重损害：工作职能受到特别严重影响或丧失行使能力， 业务能力严重下降且或功能无法执行，出现极其严重的法律 问题，极高的财产损失，大范围的社会不良影响，对其他组 织和个人造成非常严重损害。
3.3 信息系统安全保护等级确定
(4)影响公民、法人和其他组织的合法权益是指由法律确认的 并受法律保护的公民、法人和其他组织所享有的一定的社会 权利和利益 确定作为定级对象的信息系统受到破坏后所侵害的客体时， 应首先判断是否侵害国家安全，然后判断是否侵害社会秩序 或公众利益，最后判断是否侵害公民、法人和其他组织的合 法权益。各行业可根据本行业业务特点，分析各类信息和各 类信息系统与国家安全、社会秩序、公共利益以及公民、法 人和其他组织的合法权益的关系，从而确定本行业各类信息 和各类信息系统受到破坏时所侵害的客体。

LOGO
1.2 ISO 27001 的第3章 “术语和定义-3.7"
信息安全管理体系 (ISMS):
是整个管理体系的一部 分，建立在业务风险的 方法上，以：
建立 实施 运作 监控 评审 维护 改进 信息安全。
质量
职业健康安全
IT服务
建设了ISMS，尤其是获取了ISO27001认 证后，组织将在管信理息体安系全方面进入一个 强制的良性循环。
系统访问控制，其目标是：
控制对信息的访问； 防止对信息系统的非授权访问； 确保对网络服务的保护； 防止未授权的计算机访问； 检测未授权的活动； 确保便携式计算机和无线网络的信息安全。
*为设计控制措施提供实施指南
LOGO
1.6 ISO27001与ISO17799（27002）
ISO27001
Human Food Safety management system (HACCP)
IT Service Management System (ISO 20000)
Information security management system (ISO 27001)
LOGO
1.1 什么是信息安全？
规划Plan
建立ISMS
相关方
信息安全 要求和期望
实施 实施和 Do 运行ISMS
保持和 处置 改进ISMS Act
相关方
监视和 评审ISMS
检查Check
受控的 信息安全
图1 应用于ISMS过程的PDCA模型
LOGO
2.2 PDCA与4-8条款关系
PDCA各阶段
内容
对应标准条款
P-规划
P建L立AINSMS

风险处理
风险处理是一种系统化方法，可通过多种方式实现： 风险承受 风险降低 风险规避 风险转移
风险处理
风险处理的针对性 针对威胁源 针对威胁者的能力 针对威胁者的资源 针对威胁者的途径
风险处理
风险管理概述
风险评估
风险处理
常用风险计算方法
常用风险评估工具
常用风险计算方法
脆弱点识别与评估
脆弱点识别 威胁总是要利用资产的弱点才可能造成危害。 脆弱性识别主要从技术和管理两个方面进行 。 脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。 脆弱点评估 根据对资产损害程度、技术实现的难易程度、弱点流行程度，采用等级方式对已识别的脆弱性的严重程度进行赋值。 对某个资产，其技术脆弱性的严重程度受到组织的管理脆弱性的影响。
风险评估案例
案例介绍 资产识别与评估 威胁识别与评估 脆弱点识别与评估 风险分析与等级划分 安全措施的选取
案例介绍
对于多媒体教学系统，其安全需求主要表现为系统的可用性，而完整性、机密性安全需求很低，通常不会涉及到。风险评估的目的是通过分析系统面临的影响系统可用性的安全风险，并选取相应的安全措施降低风险。
风险评估文件记录（二）
（6）脆弱性列表：根据脆弱性识别和赋值的结果，形成脆弱性列表，包括脆弱性名称、描述、类型及严重程度等； （7）已有安全措施确认表：根据已采取的安全措施确认的结果，形成已有安全措施确认表，包括已有安全措施名称、类型、功能描述及实施效果等； （8）风险评估报告：对整个风险评估过程和结果进行总结，详细说明被评估对象，风险评估方法，资产、威胁、脆弱性的识别结果，风险分析、风险统计和结论等内容； （9）风险处理计划：对评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价确保所选择安全措施的有效性； （10）风险评估记录：根据组织的风险评估程序文件，记录对重要资产的风险评估过程。

通过对国家级重点电子政务系统、电子商务系统以及 重要信息基础设施的风险评估工作，从中摸索经验， 不断探索，逐步完善我国风险评估工作的管理机制。
四、建立风险评估基本管理制度的建议
1、风险评估制度。包括信息系统在设计阶段要进行风险评估以确 定系统的安全目标；在建设验收阶段要进行风险评估以确定系统的 安全目标达到与否；在运行维护阶段要针对安全形势和问题定期或 不定期地不断进行风险评估以确定安全措施的有效性，确保安全保 障目标始终如一得以实现。
4、All that you do, do with your might; things done by halves are never done right. ----R.H. Stoddard, American poet做一切事都应尽力而为，半途而废永远不行6.17.20216.17.202110:5110:5110:51:1910:51:19
17、儿童是中心，教育的措施便围绕 他们而 组织起 来。上 午6时3 3分6 秒上午6 时33 分06:3 3:062 1.7.3
July 2021
2、Our destiny offers not only the cup of despair, but the chalice of opportunity. (Richard Nixon, American President )命运给予我们的不是失望之酒，而是机会之杯。二〇二一年六月十七日2021年6月17日星期四
13、He who seize the right moment, is the right man.谁把握机遇，谁就心想事成。 21.7. 321.7. 306:3 3:060 6:33: 06July 3, 2021
14、谁要是自己还没有发展培养和教 育好， 他就不 能发展 培养和 教育别 人。20 21年7 月3日 星期六 上午6 时33分6 秒06: 33:06 21.7.3

服务
办公服务：为提高效率而开发的管理信息系统（MIS），它包括各种内部配置管理、文件流转管理等服务 网络服务：各种网络设备、设施提供的网络连接服务 信息服务：对外依赖该系统开展服务而取得业务收入的服务
文档
纸质的各种文件、传真、电报、财务报告、发展计划等
人员
掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等
风险评估
信息安全风险评估概述
信息安全风险评估策略
信息安全风险评估流程
信息安全风险评估方法
风险评估案例
风险评估概述
信息安全风险评估概述
风险评估概述
A风险因子
B风险因子
危险源
结合
隐患：内部失控
事故
外部作用
产生了人们不期望的后果
超出设定安全界限的状态、行为
风险评估概述
系统
减少：人的不安全行为
改变：环境不安全条件
6、低优先观察清单
5、进一步分析的风险
4、需近期处理的风险
3、风险成因及需关注领域
2、按类别分类的风险
1、优先级清单
风险登记册（更新）
组织过程资产
风险管理计划
项目范围说明书
风险分类
风险紧迫性评估
专家判断
风险评估概述
4、实施定量风险分析流程
依据
工具、技术
结果
风险登记册
风险管理计划
成本管理计划
进度管理计划
风险评估概述
脆弱点主要表现在从技术和管理两个方面 技术脆弱点是指信息系统在设计、实现、运行时在技术方面存在的缺陷或弱点。 管理脆弱点则是指组织管理制度、流程等方面存在的缺陷或不足。例如： 安装杀毒软件或病毒库未及时升级 操作系统或其他应用软件存在拒绝服务攻击漏洞 数据完整性保护不够完善 数据库访问控制机制不严格都属于技术脆弱点 系统机房钥匙管理不严、人员职责不清、未及时注销离职人员对信息系统的访问权限等

风险评估
根据识别的威胁和脆弱性，评估潜在的后果 和可能性，确定风险的等级。
04
风险评价
评价方法
定性评价法
基于专家经验和知识，对风险进行主观评估 。
定量评价法
运用数学模型和统计方法，对风险进行客观 量化的评估。
综合评价法
结合定性评价和定量评价，综合考虑各种因 素，得出全面准确的风险评估结果。
评价工具
保障业务连续性
有效的风险评估有助于降低安全事件发生的可能性，减少业务中断 的风险，保障业务的连续性。
风险评估的流程
确定评估范围
明确评估对象和范围，确定需要评估的信息系统和相关 资产。
收集信息
收集与信息系统相关的各种信息，包括系统架构、安全 配置、安全日志等。
识别威胁和脆弱性
分析信息系统中可能存在的威胁和脆弱性，了解潜在的 安全风险。
05
风险应对
应对策略
检测策略
通过检测机制及时发现和响应信息安全风险 ，降低风险影响程度。
预防策略
通过采取预防措施，降低或消除信息安全风 险的发生概率。
恢复策略
制定和实施恢复计划，以尽快恢复受影响的 信息系统和服务。
应对措施
技术措施
采用先进的安全技术，如加 密、防火墙、入侵检测等， 提高信息系统的安全性。
风ห้องสมุดไป่ตู้评估
对识别出的威胁和脆弱性进行定性和定量评估，确定风 险等级和影响程度。
制定控制措施
根据风险评估结果，制定相应的风险控制措施，降低或 消除风险。
持续监测与改进
对实施控制措施后的信息系统进行持续监测，及时发现 和处理新的风险，不断改进和完善风险评估体系。
02
风险识别
识别方法