微软安全风险管理指南19225.docx

《微软安全风险管理指南19225.docx》由会员分享，可在线阅读，更多相关《微软安全风险管理指南19225.docx（200页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、微软安全风险管理指南V1.0深圳大成天天下信息息技术有有限公司司ShenZZhenn Unnnooo Innforrmattionn Teech., IInc.二五年年一月文档信息文档名称微软安全风风险管理理指南保密级别文档版本编编号V1.0制作人制作日期复审人复审日期适用范围本文件是从从微软网网页上摘摘录成ddoc，方方便读者者阅读。分发控制编号读者文档权限与文档的主主要关系系1大成科技项项目组创建、修改改、读取取项目组成员员，负责责编制、修修改、审审核本文文件2王娟批准项目的负责责人，负负责本文文档的批批准程序序3吴鲁加标准化审核核项目标准化化负责人人，对文文档进行行标准化化审核版本控制时

2、间版本说明修改人V1.0文档创建原文档参见见：httpp:/wwww.miicroosofft.ccom/chiina/tecchneet/ssecuuritty/gguiddancce/ssecrriskk/deefauult.msppx1. 概述客户在尝试试实施安安全风险险管理计计划时，可可能会觉觉得不知知所措。 原因可可能在于于他们没没有自己己的内部部专家、没没有预算算资源或或没有使使用外部部资源的的指南。 为了帮帮助这些些客户，MMicrrosooft 编写了了安全全风险管管理指南南。本指南帮助助各种类类型的客客户计划划、建立立和维护护一个成成功的安安全风险险管理计计划。 本指南南说明

3、如如何在四四阶段流流程（在在下文中中描述）中中实施风风险管理理计划中中的各个个阶段，以以及如何何建立一一个持续续的过程程以评定定安全风风险并将将其降低低到可接接受水平平。本指南不考考虑技术术因素，并并参考了了许多关关于安全全风险管管理的行行业认可可标准。 它是 Miccrossoftt 承诺诺提供高高质量指指南以帮帮助客户户保护其其信息技技术 (IT) 基础础结构之之安全的的一个重重要示例例。 本本指南结结合了来来自 MMicrrosooft IT 的实际际经验，也也包括了了由 MMicrrosooft 客户及及合作伙伙伴所提提供的资资料。本指南由安安全权威威专家组组开发、审审核并批批准。 本

4、指南南和其他他安全指指导主题题可在 wwww.miicroosofft.ccom/chiina/tecchneet/ssecuuritty/gguiddancce 上上的 SSecuuritty GGuiddancce CCentter 中找到到。 有有关本指指南的反反馈或问问题，请请发邮件件到 ssecwwishhmiicroosofft.ccom。本指南包括括六章和和四个附附录。2. 安全风险管管理指南南介绍2.1. 摘要2.1.1. 环境挑战大多数组织织都认识识到信息息技术 (ITT) 在在支持其其业务目目标中扮扮演的关关键角色色。 但但如今高高度连接接的 IIT 基基础结构构存在于于一

5、个敌敌对性不不断增加加的环境境中 - 攻击击的频率率越来越越高，而而要求的的反应时时间越来来越短。 通常，组组织不能能够在其其业务受受到影响响之前对对新的安安全威胁胁采取应应对措施施。 管管理基础础结构的的安全性性，以及及这些基基础结构构提供的的业务价价值，已已经成为为 ITT 部门门的首要要关注事事项。 此外，因隐隐私、财财政责任任和公司司管理而而制定的的法律强强制要求求组织比比过去更更加严密密且有效效地管理理他们的的 ITT 基础础结构。 很多政政府机构构和与这这些机构构没有联联系的组组织被法法律强制制要求至至少维持持一种最最低程度度的安全全监督。 未能前前瞻性地地管理安安全可能能因为违违

6、背信托托和法律律责任而而将管理理层和整整个组织织置于风风险之中中。2.1.2. 一种较好的的方法Microosofft 的的安全风风险管理理方法提提供了一一种前瞻瞻性的方方法，可可帮助各各种规模模的组织织响应他他们所在在的环境境以及法法律挑战战提出的的要求。 正式的的风险管管理流程程让企业业能够以以最具有有成本效效益的方方式运行行，并且且使已知知的业务务风险维维持在可可接受的的水平。 它还使使组织可可以用一一种一致致的、条条理清晰晰的方式式来组织织有限的的资源并并确定优优先级，更更好地管管理风险险。 在在您采用用适当的的、具有有成本效效益的控控制措施施将风险险降低到到可接受受水平时时，您将将认

7、识到到使用安安全风险险管理的的好处。 可接受风险险的定义义以及管管理风险险的方法法，因各各个组织织而异。 没有正正确或错错误的答答案，目目前有许许多风险险管理模模型在使使用之中中。 每每个模型型均具有有平衡准准确性、资资源、时时间、复复杂性和和主观性性的平衡衡点。 投资于于具有固固定框架架和明确确角色和和职责的的风险管管理流程程，使组组织可以以确定优优先级，规规划以缓缓解威胁胁，以及及解决业业务面临临的下一一个威胁胁或漏洞洞。 此此外，有有效的风风险管理理计划将将帮助公公司在满满足新的的法律要要求方面面举得明明显的进进步。2.1.3. Microosofft 在在安全风风险管理理中的角角色这是

8、 Miicroosofft 出出版的第第一部完完全集中中论述安安全风险险管理的的说明性性指南。 以 MMicrrosooft 自己及及其客户户的经验验为基础础，本指指南在制制定过程程中经过过客户、合合作伙伴伴、技术术审核者者的测试试与审核核。 其其目的是是对如何何实施安安全风险险管理流流程提供供一个明明确的可可操作指指南。这这样做有有很多好好处，其其中包括括：使客户采取取前瞻性性安全方方法，从从被动的的令人灰灰心丧气气的流程程中解放放出来。通过显示安安全项目目的价值值来衡量量安全。帮助客户有有效地缓缓解环境境中的最最主要的的风险而而不是将将保贵的的资源用用于解决决所有可可能的风风险。2.1.4

9、. 指南概述本指南采用用行业标标准，在在一个循循环的四四阶段流流程中提提供已建建立的风风险管理理模型的的混合体体，从而而在成本本和效益益之间寻寻求平衡衡。 在在风险评评估流程程中，定定性步骤骤迅速地地确定最最重要的的风险。 一个以以详细定定义的角角色和职职责为基基础的量量化流程程。 本本方法非非常详细细，并得得出对最最重要风风险的充充分了解解。 风风险评估估流程中中的定性性和定量量步骤共共同提供供一个基基础，让让您可以以按照智智能业务务流程做做出关于于风险和和缓解措措施的可可靠决策策。注：如果本本摘要中中讨论的的某些概概念对您您而言是是新概念念，请不不要担心心；后续续章节中中将有详详细说明明。

10、 例例如，第第 2 章“安安全风险险管理实实践调查查”说明明风险评评估的定定性方法法与定量量方法之之间的区区别。Microosofft 安安全风险险管理流流程使组组织可以以实施和和维护确确定 IIT 环环境中的的风险并并确定优优先级的的流程。 使客户户从被动动关注转转向前瞻瞻性关注注，从根根本上改改善客户户环境的的安全。 反过来来，改善善的安全全有助于于提高 IT 基础结结构的可可用性，有有助于增增加业务务价值。 Microosofft 安安全风险险管理流流程将各各种方法法综合起起来，包包括纯粹粹的定量量分析、安安全投资资收益 (ROOSI) 分析析、定性性分析和和最佳做做法。 请注意意，本指

11、指南讲述述流程，没没有具体体的技术术要求。 2.1.5. 成功的关键键因素在整个组织织内成功功实施安安全风险险管理计计划有很很多重要要的成功功因素。 这些因因素中有有一部分分尤其至至关重要要，并将将在此处处介绍；另外一一些在本本章“成成功的关关键”一一节中讨讨论。首先，如果果没有管管理层的的支持与与承诺，安安全风险险管理必必将失败败。 当当从最高高层开始始实行安安全风险险管理时时，组织织可以根根据对企企业的价价值来确确定安全全。 其其次，角角色和职职责的明明确定义义是成功功的基石石。 企企业所有有者负责责确定风风险的影影响。 他们也也处在确确定发挥挥其功能能所必须须的资产产的业务务价值的的最佳

12、位位置。 信息安安全组负负责通过过考虑当当前实施施的提议议的控制制措施确确定风险险发生的的可能性性。 当当利用可可能性表表示风险险不可接接受时，信信息技术术组负责责实施安安全筹划划指导委委员会选选择的控控制措施施。2.1.6. 后续步骤投资于具有有可实现现的固定定流程以以及明确确角色和和职责的的风险管管理计划划，使组组织可以以确定优优先级，规规划以缓缓解威胁胁，以及及解决至至关重要要的业务务威胁或或漏洞。 使用本本指南来来评估您您是否准准备好并并提升您您的安全全风险管管理能力力。 如如果您需需要更多多帮助，请请联系 Miccrossoftt 客户户服务部部或 MMicrrosooft 服务合合

13、作伙伴伴。2.2. 本指南的目目标读者者本指南主要要面向负负责进行行跨平台台规划应应用或基基础结构构开发与与部署的的顾问、安安全专家家、系统统设计师师和 IIT 专专业人士士。 这这些角色色包括负负责以下下工作的的人：负责推动组组织的体体系结构构工作的的设计和和规划人人员专门在组织织内提供供跨平台台安全性性的信息息安全组组成员负责确保组组织采取取了适当当的预防防措施来来保护其其重要企企业资产产的安全全和 IIT 审审核者具有关键业业务目标标和需求求，需要要 ITT 的高高级管理理人员、业业务分析析人员和和业务决决策者 (BDDM)需要企业客客户和合合作伙伴伴的知识识传送工工具的顾顾问和合合作伙

14、伴伴2.3. 指南的适用用范围本指南专注注于如何何在各种种规模和和类型的的组织中中规划、建建立和维维护一个个成功的的安全风风险管理理流程。 资料解解释如何何进行风风险管理理计划的的各个阶阶段，以以及如何何将项目目转换为为一个持持续流程程，推动动组织实实施符合合成本效效益的最最有效控控制措施施来缓解解安全风风险。2.3.1. 内容概述安全风险险管理指指南包包含六章章，以下下进行简简要介绍绍。 每每章介绍绍在组织织中有效效启动和和运行一一个持续续安全风风险管理理流程所所需的循循环实践践方法。 在这些些章节之之后是有有助于组组织安全全风险管管理计划划的附录录与工具具。2.3.1.1. 第 1 章章：

15、安全全风险管管理指南南介绍此章介绍本本指南并并简短地地概述后后续各章章。2.3.1.2. 第 2 章章：安全全风险管管理实践践调查通过审核组组织过去去进行安安全风险险管理的的方法为为 Miicroosofft 安安全风险险管理流流程奠定定一个基基础非常常重要。 已经精精通安全全风险管管理的读读者可能能希望快快速浏览览本章；鼓励对对安全或或风险管管理相对对不熟悉悉的其他他人精读读本章。 此章一一开始回回顾风险险管理的的前瞻性性方法和和反应性性方法的的优点与与缺点， 然后详详细回顾顾第 11 章“安安全风险险管理指指南介绍绍”，介介绍有组组织的风风险管理理的完善善程度。 最后，此此章评估估和比较较

16、两个传传统方法法：定性性风险管管理和定定量风险险管理。 此流程程是一种种在这些些方法之之间提供供平衡的的备选方方法，经经证明，MMicrrosooft 采用该该流程获获得了一一个极为为有效的的流程。2.3.1.3. 第 3 章章：安全全风险管管理概述述此章更详细细地介绍绍了 MMicrrosooft 安全风风险管理理流程，并并介绍了了一些重重要概念念及成功功关键。 此章还还提供了了有关如如何通过过使用有有效的规规划并建建立具有有清晰定定义的角角色和职职责的强强大安全全风险管管理小组组准备流流程的建建议。2.3.1.4. 第 4 章章：评估估风险此章详细介介绍 MMicrrosooft 安全风风

17、险管理理流程的的评估风风险阶段段。 此此阶段中中的步骤骤包括规规划、加加速数据据收集和和确定风风险优先先级。 风险评评估流程程包含多多个任务务，其中中某些任任务对大大组织而而言很苛苛求。 例如，识识别和确确定企业业资产的的价值需需要很多多时间。 确定威威胁和漏漏洞等其其他任务务需要大大量的技技术专家家。 与与这些任任务相关关的挑战战说明了了正确规规划和建建立坚实实的安全全风险管管理小组组的重要要性，如如第 33 章“安安全风险险管理概概述”所所强调的的。 在确定汇总总风险优优先级期期间，安安全风险险管理小小组使用用一种定定性方法法来类选选安全风风险的完完整列表表，从而而使小组组可以快快速确定定

18、最重要要的风险险以进行行进一步步的分析析。 然然后用定定量技术术来详细细分析顶顶级风险险。 结结果是一一份最重重要风险险的简短短列表，具具有详细细的资料料，小组组可在流流程的下下一阶段段中用这这些资料料来做出出明智的的决策。2.3.1.5. 第 5 章章：实施施决策支支持在流程的实实施决策策支持阶阶段期间间，安全全风险管管理小组组确定如如何以最最有效最最经济的的方式解解决关键键风险。 小组确确定控制制措施，确确定与购购买、实实施和支支持各个个控制措措施有关关的成本本，评估估各个控控制措施施实现的的风险降降低程度度，配合合安全筹筹划指导导委员会会确定要要实施的的控制措措施。 最终结结果是一一个清

19、晰晰且可操操作的计计划，控控制或接接受在评评估风险险阶段确确定的顶顶级风险险。2.3.1.6. 第 6 章章：实施施控制和和评定计计划有效效性此章解释 Miccrossoftt 安全全风险管管理流程程的最后后两个阶阶段：实实施控制制和评定定计划有有效性。 顾名思思义，在在“实施施控制”阶阶段中：缓解方方案所有有者根据据在决策策支持流流程中产产生的控控制解决决方案列列表制定定并执行行计划，以以降低在在评估风风险阶段段中确定定的风险险。 此此章提供供了说明明性指导导的链接接，在组组织的缓缓解方案案所有者者解决各各种风险险时可能能有所帮帮助。 评定计计划有效效性阶段段是一个个持续进进行的流流程，在在

20、这个阶阶段中，安安全风险险管理小小组定期期验证在在之前阶阶段中实实施的控控制确实实提供了了预期程程度的保保护。此阶段的另另一个步步骤是预预测组织织在安全全风险管管理方面面的整体体进度。 本章介介绍了“安安全风险险记分卡卡”的概概念，可可用它来来追踪组组织的实实施状况况。 最最后，本本章还解解释了观观察计算算环境变变化的重重要性，如如系统和和应用程程序的添添加和删删除，或或者新威威胁和漏漏洞的出出现。 三种类类型的变变化可能能要求组组织立即即采取行行动以针针对新的的或改变变的风险险对自身身提供保保护。2.3.1.7. 附录 A：特别风风险评估估此附录将正正式的企企业风险险评估流流程与很很多组织织

21、采用的的特别方方法进行行比较。 它突出出各个方方法的优优点和缺缺点，并并建议在在什么情情况下使使用什么么方法。2.3.1.8. 附录 B：常见信信息系统统资产此附录列出出各种类类型的组组织中常常见的信信息系统统资产。 它并不不追求全全面性，也也不会列列出在一一个组织织的独特特环境中中所具备备的全部部资产。 因此，在在风险评评估流程程中定制制此列表表非常重重要。 它作为为参考列列表和开开始点提提供，以以帮助贵贵组织着着手进行行。2.3.1.9. 附录 C：常见威威胁本附录列出出了可能能影响许许多组织织的威胁胁。 此此列表并并不全面面，而且且因为它它是静态态的，所所以并不不是最新新的。 因此，在在

22、项目的的评估阶阶段需要要删除与与贵组织织不相关关的威胁胁并添加加新确定定的威胁胁，这点点很重要要。 它它作为参参考列表表和开始始点提供供，以帮帮助贵组组织着手手进行。2.3.1.10. 附录 D：漏洞本附录列出出了可能能影响许许多组织织的漏洞洞。 此此列表并并不全面面，而且且因为它它是静态态的，所所以并不不是最新新的。 因此，在在风险评评估阶段段需要删删除与贵贵组织不不相关的的漏洞并并添加新新确定的的漏洞，这这点很重重要。 它作为为参考列列表和开开始点提提供，以以帮助贵贵组织着着手进行行。2.3.2. 工具和模板板本指南随附附了一组组工具和和模板，帮帮助组织织实施 Miccrossoftt 安

23、全全风险管管理流程程。 这这些工具具和模板板包含在在一个可可在下载载中心获获得的自自解压 WinnZipp 压缩缩文件中中。 注注意，该该压缩文文件也包包含本指指南的副副本。 当从下下载的压压缩文件件抽取文文件时，将将在您指指定的位位置创建建以下文文件夹结结构：安全风险险管理指指南 - 包含含本指南南的 PPorttablle DDocuumennt FFormmat (PDDF) 文件版版本。安全风险险管理指指南工工具和模模板 - 包含含以下文文件：数据收集模板 (SRMGTool1-Data Gathering Tool.doc)。 可在第 4 章“评估风险”所述的研讨会期间在评估风险阶段

24、使用此模板。汇总级风险分析工作表 (SRMGTool2-Summary Risk Level.xls)。 此 Microsoft Excel 工作表帮助组织进行风险分析的第一阶段：汇总级分析。详细级风险分析工作表 (SRMGTool3-Detailed Level Risk Prioritization.xls)。 此 Excel 工作表帮助组织对在汇总级分析中确定的顶级风险进行更加详细的分析。日程安排示例 (SRMGTool4-Sample Project Schedule.xls)。 此 Excel 工作表显示一个针对 Microsoft 安全风险管理流程的高级项目日程安排。 它包含本指南

25、讨论的阶段、步骤和任务。2.4. 成功的关键键无论何时一一个组织织实施重重大的新新变革时时，只有有具备各各种基础础性的要要素才能能获得成成功。 Miccrossoftt 已经经确定出出在成功功实施安安全风险险管理流流程时必必须具备备的组成成要素以以及在开开始实施施后必须须继续存存在的组组成要素素。 它它们是： 管理层的资资助。一份详细的的风险管管理风险险承担者者列表。在风险管理理方面的的组织完完善程度度。开放式交流流的氛围围。团队精神。对组织的全全盘考虑虑。安全风险管管理小组组授权。以下几节讨讨论整个个安全风风险管理理流程所所需的这这些要素素；其他他只与具具体阶段段有关的的要素在在讨论这这些阶

26、段段的章节节中突出出介绍。2.4.1. 上级主管高级管理层层必须明明确且热热情地支支持安全全风险管管理流程程。 没没有这种种支持关关系，风风险承担担者可能能会抵触触或破坏坏使用风风险管理理以使组组织更加加安全的的努力。 此外，没没有明确确的管理理层支持持，单个个雇员可可能会不不理睬如如何执行行工作或或帮助保保护组织织资产的的指示。 雇员不不合作可可能有很很多原因因。 其其中之一一是对改改变的一一般性抵抵触；缺缺乏对有有效安全全风险管管理的重重要性的的正确评评价；错错误地认认为他们们作为个个体对如如何保护护业务资资产有着着充分的的了解，即即使他们们的观点点在范围围和尝试试上可能能与安全全风险管管

27、理小组组不一致致；或相相信他们们所在的的组织部部分绝不不会成为为潜在攻攻击者的的目标。支持意味着着：委托安全风风险管理理小组在在明确定定义的项项目范围围内行使使权力，履履行职责责支持所有员员工根据据需要参参与分配有限的的资源，例例如人力力与财政政资源明确且积极极支持安安全风险险管理流流程参与审核安安全风险险管理流流程的发发现以及及建议2.4.2. 一份详细的的风险管管理风险险承担者者列表本指南经常常用到风风险承担担者，该该术语在在本文中中指与安安全风险险管理流流程的结结果有利利害关系系的组织织成员。 安全风风险管理理小组需需要知道道所有风风险承担担者，包包括核心心小组自自身以及及上级主主管。

28、还包括括拥有要要评估的的企业资资产的所所有者。 负责设设计、部部署和管管理企业业资产的的 ITT 人员员也是关关键的风风险承担担者。 必须确定风风险承担担者以便便他们可可以参与与安全风风险管理理流程。 安全风风险管理理小组必必须用一一些时间间来帮助助这些人人了解流流程以及及流程如如何帮助助他们保保护其资资产并从从长期来来看节约约他们的的资金。 2.4.3. 在风险管理理方面的的组织完完善程度度如果一个组组织当前前没有实实施安全全风险管管理流程程，Miicroosofft 案案例风险险管理流流程可能能涉及太太多的改改变以便便完全实实施其内内容，所所有的均均是一次次性完成成。 即即使一个个组织已已

29、经具有有了一些些正式的的流程，例例如针对对具体安安全事务务而启动动的特别别措施，流流程也可可能是相相当复杂杂的。 但是，就就风险管管理而言言，在更更加完善善的组织织中会非非常有效效；通过过风险管管理以及及明确的的安全流流程、在在组织的的很多层层面充分分了解和和接受安安全风险险管理来来证明完完善程度度。 第第 3 章“安安全风险险管理概概述”讨讨论安全全风险管管理完善善程度的的概念以以及如何何计算组组织的完完美程度度。2.4.4. 开放式交流流的氛围围很多组织和和项目纯纯粹是在在需要知知道的基基础上运运作，从从而经常常导致误误解并影影响小组组提供成成功解决决方案的的能力。 Miccrossoft

30、t 安全全风险管管理流程程需要在在小组内内以及小小组与关关键风险险承担者者之间进进行的一一种开放放且诚实实的交流流方法。 毫无障障碍的交交流不仅仅仅减少少误解及及浪费工工作的风风险，还还确保所所有小组组成员能能够帮助助减少围围绕项目目的不确确定性。 开放且且诚实地地讨论确确定的风风险以及及什么控控制措施施可有效效缓解这这些风险险是流程程举得成成功的关关键。2.4.5. 团队精神参与 Miicroosofft 安安全风险险管理流流程的所所有人员员之间的的关系的的强度和和活力对对工作成成效有重重要的影影响。 不管来来自高级级管理层层的支持持，在安安全人员员和管理理层以及及组织的的其余部部分之间间建

31、立的的关系以以流程的的整体成成功也至至关重要要。 安安全风险险管理小小组与来来自不同同业务单单元的代代表建立立团队精精神，并并在整个个项目中中应用团团队精神神进行合合作，这这一点极极其重要要。 小小组可通通过向来来自这些些业务单单元的经经理有效效演示安安全风险险管理的的业务价价值，以以及通过过向成员员说明长长期运行行项目时时如何使使他们更更加轻松松且有效效地开展展他们的的工作，从从而推动动团队精精神的建建设。2.4.6. 对组织的全全盘考虑虑 Microosofft 安安全风险险管理流流程的所所有参与与者，特特别是安安全风险险管理小小组，需需要在其其工作中中考虑整整个组织织。 对对一名具具体雇

32、员员而言是是最好的的往往并并非对整整个组织织而言是是最好的的。 同同样的，对对一个业业务单元元最有利利益的可可能并不不是对整整个组织织也最有有利益。 来自具具体业务务单元的的员工和和经理将将本能地地努力推推动有利利于他们们以及他他们所在在的组织织部分的的流程获获得成功功。 2.4.7. 整个流程中中的权力力Microosofft 安安全风险险管理流流程的参参与者承承担确定定和控制制组织面面临的最最重要的的安全风风险。 为了通通过实施施合理的的控制措措施有效效缓解这这些风险险，他们们也需要要足够的的权力来来进行适适当的改改变。 小组成成员必须须获得与与委派给给自己的的使命相相一致的的权力。 授权

33、要要求小组组成员获获得开展展工作所所必须的的资源，负负责做出出影响工工作的决决策，了了解他们们的权力力限制以以及用于于处理超超出这些些限制的的事务的的上报途途径。2.5. 术语和定义义与安全风险险管理有有关的术术语有时时非常难难以理解解。 有有时候，对对于一个个轻松认认可的术术语，不不同的人人有不同同的解释释。 出出于这些些原因，您您理解本本指南的的作者在在本指南南中使用用的重要要术语的的定义非非常重要要。 以以下提供供的很多多定义来来自两个个组织发发布的文文档：国国际标准准化组织织 (IISO) 和 Intternnet 工程任任务组 (IEETF)。 这这些组织织的网址址在本章章后面的的“

34、更多多信息”一一节中提提供。 下表提提供安全全风险管管理的主主要组成成部分的的一致见见解：年预期损损失 (ALEE) 组织在在未采取取减轻风风险的措措施的情情况下一一年损失失的总金金额。年发生率 (ARRO) 估计风风险在一一年内可可能发生生的次数数。资产对组织织有价值值的任何何东西，例例如硬件件和软件件、数据据、人员员和文档档。可用性 确保授授权的系系统用户户在需要要时可访访问并使使用的系系统或系系统资源源的属性性。 可可用性是是安全系系统的核核心特性性之一。CIA 请参阅阅“机密密性 (Connfiddenttiallityy)”、“完完整性 (Innteggritty)”和和“可用用性

35、(Avaailaabillityy)”。机密性 信息不不适用于于或不透透露给未未经授权权的个人人、实体体或流程程的属性性 (IISO 74998-22)。控制 管理风风险的一一种有组组织有步步骤或技技术性的的措施；是安全全措施或或对策的同同义词。成本效益分分析 相对价价值与各各个提议议的控制制措施的的成本之之间的估估计与比比较，从从而实施施最有效效的控制制措施。决策支持 根据成成本效益益分析确确定风险险优先级级。 将将缓解风风险的安安全解决决方案之之成本与与缓解风风险而取取得的业业务好处处进行比比较。纵深防御 采取多多层安全全措施预预防单一一安全措措施失败败的方法法。利用 使用漏漏洞以便便危害

36、业业务活动动或信息息安全的的手段。暴露 一种威威胁行动动，借此此行动，敏敏感性数数据直接接暴露给给未经授授权的实实体 (RFCC 28828)。 MMicrrosooft 安全风风险管理理流程将将此定义义收窄到到专注于于对企业业资产的的损坏程程度。影响 当威胁胁利用漏漏洞损坏坏资产时时预计的的整体业业务损失失。完整性 数据据未通过过未经授授权的方方式被修修改或破破坏的属属性 (ISOO 74498-2)。缓解 通过采采取专为为应对潜潜在威胁胁而设计计的措施施来解决决风险。缓解方案 控控制措施施的实施施，是用用来管理理安全风风险的有有组织、有有步骤或或技术性性的控制制措施。可能性 事件件发生的的

37、概率。定性风险管管理 一种种风险管管理方法法，在该该方法中中参与者者向资产产、风险险、控制制措施和和影响分分配一个个相对价价值。定量风险管管理 一种种风险管管理方法法，在该该方法中中参与者者尝试向向资产、风风险、控控制措施施和影响响分配一一个主观观性的数数字价值值（例如如货币值值）。 名誉 人们对对一个组组织的评评价；大大多数组组织的名名誉都有有实际价价值，即即使是无无形的并并且难以以计算。安全投资收收益 (ROSSI) 组织在在实施安安全控制制措施后后一年内内预期节节约的总总金额。风险 事件的的可能性性及其后后果的组组合。 (ISSO GGuidde 773)。风险评估 确定风风险及其其影响

38、的的流程。风险管理 确定可可接受的的风险、评评估风险险的当前前程度、采采取措施施将风险险降低到到可接受受水平以以及维持持风险程程度的流流程。单一预期损损失 (SLEE) 发生一一次风险险引起的的收入损损失总额额。威胁 系统或或组织面面临的不不希望有有的影响响的原因因。 (ISOO 1333355-1)。漏洞 使信息息资产易易受威胁胁利用的的任何弱弱点、管管理流程程、措施施或物理理暴露。 2.6. 样式约定本指南使用用下列样样式约定定和术语语。表 1.11：样式式约定元素含义注意提醒读者阅阅读补充充信息。Woodggrovve 示示例提醒读者内内容与一一个假想想示例公公司“WWooddgroov

39、e 银行”有有关。2.7. 获取有关本本指南的的支持本指南竭力力清晰地地描述一一个组织织可遵循循以实施施和维护护安全风风险管理理计划的的流程。 如果在在实施风风险管理理计划时时需要帮帮助，请请联系 Miccrossoftt 客户户服务人人员。 未提供供有关本本指南的的电话支支持。关于本指南南的反馈馈或问题题，请发发邮件到到：seecwiishmiccrossoftt.coom。2.8. 更多信息以下信息来来源是在在本指南南发布时时与安全全风险管管理紧密密相关的的最新主主题内容容。Microosofft 操操作框架架 (MMicrrosooft Opeerattionns FFrammewoor

40、k, MOOF) 提供技技术指南南，该指指南使组组织在使使用 MMicrrosooft 产品和和技术构构建的 IT 解决方方案中获获得重要要的系统统可靠性性、可用用性、可可支持性性和可管管理性。 MOFF 以白白皮书、操操作指南南、评估估工具、最最佳实践践方法、案案例研究究、模板板、支持持工具和和服务等等形式提提供可操操作的指指导。 该指导导解决了了与不同同种类的的复杂分分布式 IT 环境有有关的人人员、过过程、技技术和管管理问题题。 有有关 MMOF 的详细细信息，请请参见 wwww.miicroosofft.ccom/moff。Microosofft 解解决方案案框架 (MSSF) 可帮您

41、您成功地地实施作作为 MMicrrosooft 安全风风险管理理流程的的一部分分制定的的操作计计划。 MSFF 旨在在帮助组组织按时时提交高高质量技技术解决决方案并并符合预预算，是是一个适适合技术术项目的的详细且且严格的的方法，并并基于 Miccrossoftt 提供供的一组组明确的的原则、模模型、准准则、概概念、指指导以及及经证实实的做法法。 有有关 MMSF 的详细细信息，请请参见 wwww.miicroosofft.ccom/msff。Microosofft 安安全指南南中心 (SGGC) ，是一一个介绍绍各种安安全主题题的详尽尽且组织织良好的的文档库库。 SSGC 位于 wwww.mi

42、icroosofft.ccom/seccuriity/guiidannce/deffaullt.mmspxx。MicroosofftWinndowws 220000 Seerveer 安安全解决决方案是是一个描描述性解解决方案案，旨在帮帮助减少少 Miicroosofft WWinddowss 220000 环境境中的漏漏洞并降降低暴露露和安全全管理的的成本。 MicrosoftWindows 2000 Server Solution for Security（Windows 2000 Server 安全解决方案）指南的第 2、3、4 章包含 Microsoft 发布的第一个安全风险管理指南，

43、称为安全风险管理规则 (Security Risk Management Discipline, SRMD)。 您正阅读的指南替代 MicrosoftWindows 2000 Server Solution for Security（Windows 2000 Server 安全解决方案）指南中安全风险管理内容。 位于 fwlink/?LinkId=14837。美国国家标标准与技技术协会会 (NNISTT) 提提供了一一个有关关风险管管理的优优秀指南南，标题为为 Rissk MManaagemmentt Guuidee foor IInfoormaatioon TTechhnollogyy Sy

44、ysteems（信息技技术系统统风险管管理指南南，20002 年 7 月发布布）。 位于 htttp:/cssrc.nisst.ggov/pubbliccatiionss/niistppubss/8000-330/ssp8000-330.ppdf。NIST 也提供供了一个个有关对对组织进进行安全全评估的的指南，标题为为Seccuriity Sellf-AAsseessmmentt Guuidee foor IInfoormaatioon TTechhnollogyy Syysteems（信息技技术系统统安全自自我评估估指南，220011 年 111 月发发布）。 位于 htttp:/cssrc

45、.nisst.ggov/pubbliccatiionss/niistppubss/8000-226/ssp8000-226.ppdf。ISO 提提供了一一个高级级实施细细则，称为 Infformmatiion tecchnoologgy Coode of praactiice forr innforrmattionn seecurrityy maanaggemeent（信息技技术 - 信息息安全管管理实施施细则），也称称为 IISO 177799。 位于 wwww.isso.oorg/isoo/enn/CaatalloguueDeetaiilPaage.CattaloogueeDettaill

46、?CSSNUMMBERR=3334411&ICCS1=35&ICSS2=440&IICS33=（获取资资料需付付费）。ISO 已已经出版版了各种种各样的的其他标标准文件件，本指指南也引引用了其其中部分分标准。 这些标标准文件件均可在在 wwww.iiso.orgg 付费费获得。位于卡内基基美隆大大学软件件工程学学院的计计算机紧紧急事件件响应组组 (CCERTT) 已已经开发发出 OOCTAAVE （操操作性关关系威胁胁、资产产和漏洞洞评估SSM），一一种自我我指导的的风险评评估与规规划技术术。 有有关 OOCTAAVE 的详细细信息，请请浏览 wwww.ceert.orgg/occtavve。信息控制目目标和相相关技术术 (CConttroll Obbjecctivves forr Innforrmattionn annd RRelaatedd Teechnnoloogy, CoobiTT) 为为良好的的 ITT 安全全和控制制措施提提供一般般性的可可应用并并被接受受的标准准，向管管理层、用用户、信信息安全全审核、控控制和安安全从业业人员提提供一种种参考框框架。 可付费费在线从从 ITT Gooverrnannce Inssti