信息安全风险评估培训课件

信息系统安全与保密-第3章信息安全风险评估与管理课件第三章信息安全风险评估与管理课程1 风险管理的基本概念内容2 风险评估与管理的流程3 风险评估方法和技术1 风险管理的基本概念1.1 风险管理1.2 风险评估 1.3 要素分析风险管理(Risk Management):以可以接受的费用,识别、控制、降低或消除可能影响信息系统的安全风险的过程及活动。

任务① - 风险识别检查和说明组织信息系统的安全态势和面临的风险“知己”&“知彼”;风险评估是说明风险识别的结果。

任务② - 风险控制采取控制手段,减少组织信息系统和数据的风险1 风险管理的基本概念1.1 风险管理1.2 风险评估 1.3 要素分析风险评估(Risk Assessment):对各方面风险进行辨识和分析的过程,即确认安全风险及其大小的过程。

风险评估是风险管理的基础,是风险控制的前提!!ISO/ IEC 27001:2005风险评估:对信息和信息处理过程设施的威胁、影响和脆弱点以及三者发生的可能性的评估,即确定R ? A, T, V 1.3 风险评估的要素分析风险有害事件发生的可能性×危害的后果RR ? A, T, V威胁利用资产的脆弱性对组织的信息系统造成危害T V A通过安全措施的配置,风险可以被消除、降低和或转移成本效益分析残留风险:信息系统业务可以容忍的风险威胁残余风险安全控制脆弱点残安脆脆余资产及威胁风险全弱弱风其价值控点点险制脆弱点威胁安全控制残余风险威胁图1 风险要素及其相互关系资产价值越高,风险越大安全事故影响越大,风险越大威胁越大,风险越大适当的安全控制可以降低风险脆弱点越大,风险越大安全风险指出组织的安全要求 2 风险评估与管理的流程确定评估范围A资产识别与重要性评估T V C威胁识别与脆弱点检测与控制措施识别发生可能性评估被利用可能性评估与有效性评估影响可能性风险评价R风险管理方案的选择与优化风险控制2.1 确定评估范围--基于风险评估目标确定风险评估的对象和范围是完成风险评估的前提。

第二步 风险因素评估
• 1资产评估 • 识别信息资产，包括数据、软件、硬件、设备、 服务、文档等，制定《信息资产列表》 • 保密性、完整性、可用性是评价资产的三个安 全属性 • 风险评估中资产的价值不是以资产的经济价值 来衡量，而是由资产在这三个属性上的达成程 度或者其安全属性未达成时所造成的影响程度 来决定的。
风险要素关系
风险评估的两种方式
自评估和检查评估 1自评估 “谁主管谁负责，谁运营谁负责” 信息系统拥有者依靠自身力量，依据国家风险 评估的管理规范和技术标准，对自有的信息系 统进行风险评估的活动。 • 优点 • • • •
• • • • 有利于保密 有利于发挥行业和部门内人员的业务特长 有利于降低风险评估的费用 有利于提高本单位的风险评估能力与信息安全知识
风险评估的两种方式
• 2 检查评估 • 检查评估是由信息安全主管部门或业务部门发 起的一种评估活动，旨在依据已经颁布的法规 或标准，检查被评估单位是否满足了这些法规 或标准。 • 检查评估通常都是定期的、抽样进行的评估模 式 • 检查评估缺点：
• 间隔时间较长，如一年一次，通常还是抽样进行 • 不能贯穿一个部门信息系统生命周期的全过程，很 难对信息系统的整体风险状况作出完整的评价
风险评估的两种方式
• 无论是自评估，还是检查评估，都可以 委托风险评估服务技术支持方实施，如 国家测评认证机构或安全企业公司。
风险分析原理
• 风险分析中要涉及资产、威胁、脆弱性 三个基本要素。 • 风险分析原理图
风险分析原理
• 风险分析的主要内容为： • 1对资产进行识别，并对资产的价值进行赋值 • 2对威胁进行识别，描述威胁的属性（威胁主体，影响 对象，出现频率，动机等），并对威胁出现的频率赋 值 • 3对脆弱性进行识别，并对具体资产的脆弱性的严重程 度赋值 • 4根据威胁及威胁利用脆弱性的难易程度判断安全时间 发生的可能性 • 根据脆弱性的严重程度和安全事件所作用的资产的价 值计算安全事件造成的损失 • 根据安全事件发生的可能性以及安全事件出现后的损 失，计算安全事件一旦发生对组织的影响，即风险值

3.3 信息系统安全保护等级确定
5.确定定级对象的安全保护等级 (1)业务信息安全保护等级
表3-2 业务信息安全保护等级矩阵表
对相应客体的侵害程度
业务信息安全被破坏时所侵害的 客体
公民、法人和其他组织的合法权 益 社会秩序、公共利益 国家安全
一般损害 第一级 第二级 第三级
严重损害 第二级 第三级 第四级
信息系统生命周期包括五个阶段：启动准备阶段、设计/开发阶段、 实施/实现阶段、运行维护阶段和系统终止阶段。安全等级保护工作将贯 穿信息系统生命周期的各个阶段。
3.3 信息系统安全保护等级确定 1. 信息系统安全保护等级的定级因素
信息系统的安全保护等级应当根据信息系统在国家安全、
经济建设、社会生活中的重要程度决定。从另一个角度看， 信息系统重要程度越高，其遭到破坏后对国家安全、经济建
以整个行业或国家的总体利益作为判断侵害程度的基准
3.3 信息系统安全保护等级确定
一般损害：工作职能受到局部影响，业务能力有所降低但不 影响主要功能的执行，出现较轻的法律问题，较低的财产损 失，有限的社会不良影响，对其他组织和个人造成较低损害。 严重损害：工作职能受到严重影响，业务能力显著下降且严 重影响主要功能执行，出现较严重的法律问题，较高的财产 损失，较大范围的社会不良影响，对其他组织和个人造成较 严重损害。 特别严重损害：工作职能受到特别严重影响或丧失行使能力， 业务能力严重下降且或功能无法执行，出现极其严重的法律 问题，极高的财产损失，大范围的社会不良影响，对其他组 织和个人造成非常严重损害。
3.3 信息系统安全保护等级确定
(4)影响公民、法人和其他组织的合法权益是指由法律确认的 并受法律保护的公民、法人和其他组织所享有的一定的社会 权利和利益 确定作为定级对象的信息系统受到破坏后所侵害的客体时， 应首先判断是否侵害国家安全，然后判断是否侵害社会秩序 或公众利益，最后判断是否侵害公民、法人和其他组织的合 法权益。各行业可根据本行业业务特点，分析各类信息和各 类信息系统与国家安全、社会秩序、公共利益以及公民、法 人和其他组织的合法权益的关系，从而确定本行业各类信息 和各类信息系统受到破坏时所侵害的客体。

最新文档
2.6我国信息安全风险的生成机理（续）
第三，信息化管理的能力差，管理体系不成熟。
（1）对信息化管理的理念认识和关注不足； （2）管理基础（包括信息化建设中决策机制、信息
透明和公开、实施过程的监督等）不完善； （3）缺乏信息化建设周期中质量控制和评估标准；
最新文档
2.6我国信息安全风险的生成机理（续）
信息安全风险评估是信息系统安全保障机制建立过
程中的一种评价方法，其结果为信息安全风险管理
提供依据。
最新文档
信息安全风险评估的概念
风险评估是对系统进行信息安全风险管理的基础， 也是系统的使用单位或组织判定在系统的整个生 命周期中，有关风险级别的过程。其结果是残留 风险是否达到可接受水平的一个明确界定，或者 是一个是否应当实施额外的安全控制以进一步降 低风险的结论。
最新文档
居安思危，思则有备
温总理：清醒就是要认识到我们已经取得的成绩，只是在 现代化的进程迈出了第一步，今后的路还更长，更艰苦。 形势稍好，尤需兢慎。思所以危则安，思所以乱则治，思 所以亡则存。
《左传》云：“居安思危，思则有备，有备无患，敢以此 规。”安全风险评估同样蕴涵了这一思想。
曾有一个关于名医扁鹊的传说。扁鹊有兄弟三人，有一次 齐国国君问他：“其孰最善为医？”扁鹊答：两个哥哥都 在自己之上。齐王不解。扁鹊说：两个哥哥都是治大病于 小恙，或者防病于未然，而他是直到病人病情完全显露， 才能加以诊治。
去年6月浙江警方破获一起“黑客窃取网游密码案”，单 单一个黑客就窃取网游账号6万多个，价值上百万元。
去年6月3日至9月19日，就发现较大规模僵尸网络59个， 平均每天发现3万个受黑客控制的“僵尸”计算机。
包含间谍软件、恶意插件和浏览器劫持在内的流氓软件 也大行其道，它们侵入用户电脑安装插件和后门程序， 窃取个人信息，一年之内使自己的流量上升600%；而通 过设立搏彩、低价网络购物等欺诈性网站直接骗取用户 钱财等等，更是数不胜数。