- 24 -
All rights reserved © 2006
附录
风险的计算方法
• 矩阵法 :通过构造两两要素计算矩阵,得到第三个要素的判断值,是 一种基于经验的判断方法。
• 相乘法 :直接使用两个要素值进行相乘得到另一个要素的值。相乘法 的特点是简单明确,直接按照统一公式计算 。
风险评估的工具
完整性、可用性或合法使用所造成的危险。
-4-
All rights reserved © 2006
Key word II
❖ 威胁(Threat): 是指可能对资产或组织造成损害的事故的潜在原因。
❖ 薄弱点(Vulnerability): 是指资产或资产组中能被威胁利用的弱点。
❖ 风险(Risk): 特定的威胁利用资产的一种或一组薄弱点,导致资产的
2004年,提出了《信息安全风险评估指南》标准草案 ,其规定了风险评 估的一些内容和流程,基本与SP800-30中的内容一致。
2005年,国信办在全国4个省市和3个行业进行风险评估的试点工作,根 据试点结果对《信息安全风险评估指南》 进行了修改。
2005~2006年,通过了国家标准立项的一系列程序,目前已进入正式发 布阶段。正式定名为:信息技术 信息安全风险评估规范。
• 3个阶段8个过程。3个阶段分别是建立企业范围内的安全需求、识别 基础设施脆弱性、决定安全风险管理策略。
• OCTAVE 实施指南(OCTAVESM Catalog of Practices, Version 2.0),该实施指南阐述了具体的安全策略、威胁轮廓和实施调查表。
- 10 -
All rights reserved © 2006
现有风险评估方法综述(1)
定性分析方法:针对某个被评估对象,确定其潜在的风险,描述可能引 起风险的原因。