微软安全风险管理指南30331.docx

《微软安全风险管理指南30331.docx》由会员分享，可在线阅读，更多相关《微软安全风险管理指南30331.docx（141页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、微软安全风风险管理指指南V1.0深圳大成天天下信息技技术有限公公司ShenZZhen Unnooo Innformmatioon Teech., Incc.二五年年一月文档信息文档名称微软安全风风险管理指指南保密级别文档版本编编号V1.0制作人制作日期复审人复审日期适用范围本文件是从从微软网页页上摘录成成doc，方方便读者阅阅读。分发控制编号读者文档权限与文档的主主要关系1大成科技项项目组创建、修改改、读取项目组成员员，负责编编制、修改改、审核本本文件2王娟批准项目的负责责人，负责责本文档的的批准程序序3吴鲁加标准化审核核项目标准化化负责人，对对文档进行行标准化审审核版本控制时间版本说明修改人

2、V1.0文档创建原文档参见见：http:/1. 概述客户在尝试试实施安全全风险管理理计划时，可可能会觉得得不知所措措。 原因因可能在于于他们没有有自己的内内部专家、没没有预算资资源或没有有使用外部部资源的指指南。 为为了帮助这这些客户，MMicroosoftt 编写了了安全风风险管理指指南。本指南帮助助各种类型型的客户计计划、建立立和维护一一个成功的的安全风险险管理计划划。 本指指南说明如如何在四阶阶段流程（在在下文中描描述）中实实施风险管管理计划中中的各个阶阶段，以及及如何建立立一个持续续的过程以以评定安全全风险并将将其降低到到可接受水水平。本指南不考考虑技术因因素，并参参考了许多多关于安全

3、全风险管理理的行业认认可标准。 它是 MMicroosoftt 承诺提提供高质量量指南以帮帮助客户保保护其信息息技术 (IT) 基础结构构之安全的的一个重要要示例。 本指南结结合了来自自 Miccrosooft IIT 的实实际经验，也也包括了由由 Miccrosooft 客客户及合作作伙伴所提提供的资料料。本指南由安安全权威专专家组开发发、审核并并批准。 本指南和和其他安全全指导主题题可在 m/chiina/ttechnnet/ssecurrity/guiddancee 上的 Secuurityy Guiidancce Ceenterr 中找到到。 有关关本指南的的反馈或问问题，请发发邮件到

4、 secwwishmicrrosofft.coom。本指南包括括六章和四四个附录。2. 安全风险管管理指南介介绍2.1. 摘要2.1.1. 环境挑战大多数组织织都认识到到信息技术术 (ITT) 在支支持其业务务目标中扮扮演的关键键角色。 但如今高高度连接的的 IT 基础结构构存在于一一个敌对性性不断增加加的环境中中 - 攻攻击的频率率越来越高高，而要求求的反应时时间越来越越短。 通通常，组织织不能够在在其业务受受到影响之之前对新的的安全威胁胁采取应对对措施。 管理基础础结构的安安全性，以以及这些基基础结构提提供的业务务价值，已已经成为 IT 部部门的首要要关注事项项。 此外，因隐隐私、财政政责

5、任和公公司管理而而制定的法法律强制要要求组织比比过去更加加严密且有有效地管理理他们的 IT 基基础结构。 很多政府府机构和与与这些机构构没有联系系的组织被被法律强制制要求至少少维持一种种最低程度度的安全监监督。 未未能前瞻性性地管理安安全可能因因为违背信信托和法律律责任而将将管理层和和整个组织织置于风险险之中。2.1.2. 一种较好的的方法Microosoftt 的安全全风险管理理方法提供供了一种前前瞻性的方方法，可帮帮助各种规规模的组织织响应他们们所在的环环境以及法法律挑战提提出的要求求。 正式式的风险管管理流程让让企业能够够以最具有有成本效益益的方式运运行，并且且使已知的的业务风险险维持在

6、可可接受的水水平。 它它还使组织织可以用一一种一致的的、条理清清晰的方式式来组织有有限的资源源并确定优优先级，更更好地管理理风险。 在您采用用适当的、具具有成本效效益的控制制措施将风风险降低到到可接受水水平时，您您将认识到到使用安全全风险管理理的好处。 可接受风险险的定义以以及管理风风险的方法法，因各个个组织而异异。 没有有正确或错错误的答案案，目前有有许多风险险管理模型型在使用之之中。 每每个模型均均具有平衡衡准确性、资资源、时间间、复杂性性和主观性性的平衡点点。 投资资于具有固固定框架和和明确角色色和职责的的风险管理理流程，使使组织可以以确定优先先级，规划划以缓解威威胁，以及及解决业务务面

7、临的下下一个威胁胁或漏洞。 此外，有有效的风险险管理计划划将帮助公公司在满足足新的法律律要求方面面举得明显显的进步。2.1.3. Microosoftt 在安全全风险管理理中的角色色这是 Miicrossoft 出版的第第一部完全全集中论述述安全风险险管理的说说明性指南南。 以 Micrrosofft 自己己及其客户户的经验为为基础，本本指南在制制定过程中中经过客户户、合作伙伙伴、技术术审核者的的测试与审审核。 其其目的是对对如何实施施安全风险险管理流程程提供一个个明确的可可操作指南南。这样做做有很多好好处，其中中包括：使客户采取取前瞻性安安全方法，从从被动的令令人灰心丧丧气的流程程中解放出出

8、来。通过显示安安全项目的的价值来衡衡量安全。帮助客户有有效地缓解解环境中的的最主要的的风险而不不是将保贵贵的资源用用于解决所所有可能的的风险。2.1.4. 指南概述本指南采用用行业标准准，在一个个循环的四四阶段流程程中提供已已建立的风风险管理模模型的混合合体，从而而在成本和和效益之间间寻求平衡衡。 在风风险评估流流程中，定定性步骤迅迅速地确定定最重要的的风险。 一个以详详细定义的的角色和职职责为基础础的量化流流程。 本本方法非常常详细，并并得出对最最重要风险险的充分了了解。 风风险评估流流程中的定定性和定量量步骤共同同提供一个个基础，让让您可以按按照智能业业务流程做做出关于风风险和缓解解措施的

9、可可靠决策。注：如果本本摘要中讨讨论的某些些概念对您您而言是新新概念，请请不要担心心；后续章章节中将有有详细说明明。 例如如，第 22 章“安安全风险管管理实践调调查”说明明风险评估估的定性方方法与定量量方法之间间的区别。Microosoftt 安全风风险管理流流程使组织织可以实施施和维护确确定 ITT 环境中中的风险并并确定优先先级的流程程。 使客客户从被动动关注转向向前瞻性关关注，从根根本上改善善客户环境境的安全。 反过来，改改善的安全全有助于提提高 ITT 基础结结构的可用用性，有助助于增加业业务价值。 Microosoftt 安全风风险管理流流程将各种种方法综合合起来，包包括纯粹的的定

10、量分析析、安全投投资收益 (ROSSI) 分分析、定性性分析和最最佳做法。 请注意，本本指南讲述述流程，没没有具体的的技术要求求。 2.1.5. 成功的关键键因素在整个组织织内成功实实施安全风风险管理计计划有很多多重要的成成功因素。 这些因素素中有一部部分尤其至至关重要，并并将在此处处介绍；另另外一些在在本章“成成功的关键键”一节中中讨论。首先，如果果没有管理理层的支持持与承诺，安安全风险管管理必将失失败。 当当从最高层层开始实行行安全风险险管理时，组组织可以根根据对企业业的价值来来确定安全全。 其次次，角色和和职责的明明确定义是是成功的基基石。 企企业所有者者负责确定定风险的影影响。 他他们

11、也处在在确定发挥挥其功能所所必须的资资产的业务务价值的最最佳位置。 信息安全全组负责通通过考虑当当前实施的的提议的控控制措施确确定风险发发生的可能能性。 当当利用可能能性表示风风险不可接接受时，信信息技术组组负责实施施安全筹划划指导委员员会选择的的控制措施施。2.1.6. 后续步骤投资于具有有可实现的的固定流程程以及明确确角色和职职责的风险险管理计划划，使组织织可以确定定优先级，规规划以缓解解威胁，以以及解决至至关重要的的业务威胁胁或漏洞。 使用本指指南来评估估您是否准准备好并提提升您的安安全风险管管理能力。 如果您需需要更多帮帮助，请联联系 Miicrossoft 客户服务务部或 MMicr

12、oosoftt 服务合合作伙伴。2.2. 本指南的目目标读者本指南主要要面向负责责进行跨平平台规划应应用或基础础结构开发发与部署的的顾问、安安全专家、系系统设计师师和 ITT 专业人人士。 这这些角色包包括负责以以下工作的的人：负责推动组组织的体系系结构工作作的设计和和规划人员员专门在组织织内提供跨跨平台安全全性的信息息安全组成成员负责确保组组织采取了了适当的预预防措施来来保护其重重要企业资资产的安全全和 ITT 审核者者具有关键业业务目标和和需求，需需要 ITT 的高级级管理人员员、业务分分析人员和和业务决策策者 (BBDM)需要企业客客户和合作作伙伴的知知识传送工工具的顾问问和合作伙伙伴2

13、.3. 指南的适用用范围本指南专注注于如何在在各种规模模和类型的的组织中规规划、建立立和维护一一个成功的的安全风险险管理流程程。 资料料解释如何何进行风险险管理计划划的各个阶阶段，以及及如何将项项目转换为为一个持续续流程，推推动组织实实施符合成成本效益的的最有效控控制措施来来缓解安全全风险。2.3.1. 内容概述安全风险险管理指南南包含六六章，以下下进行简要要介绍。 每章介绍绍在组织中中有效启动动和运行一一个持续安安全风险管管理流程所所需的循环环实践方法法。 在这这些章节之之后是有助助于组织安安全风险管管理计划的的附录与工工具。2.3.1.1. 第 1 章章：安全风风险管理指指南介绍此章介绍本

14、本指南并简简短地概述述后续各章章。2.3.1.2. 第 2 章章：安全风风险管理实实践调查通过审核组组织过去进进行安全风风险管理的的方法为 Micrrosofft 安全全风险管理理流程奠定定一个基础础非常重要要。 已经经精通安全全风险管理理的读者可可能希望快快速浏览本本章；鼓励励对安全或或风险管理理相对不熟熟悉的其他他人精读本本章。 此此章一开始始回顾风险险管理的前前瞻性方法法和反应性性方法的优优点与缺点点， 然后后详细回顾顾第 1 章“安全全风险管理理指南介绍绍”，介绍绍有组织的的风险管理理的完善程程度。 最最后，此章章评估和比比较两个传传统方法：定性风险险管理和定定量风险管管理。 此此流程

15、是一一种在这些些方法之间间提供平衡衡的备选方方法，经证证明，Miicrossoft 采用该流流程获得了了一个极为为有效的流流程。2.3.1.3. 第 3 章章：安全风风险管理概概述此章更详细细地介绍了了 Miccrosooft 安安全风险管管理流程，并并介绍了一一些重要概概念及成功功关键。 此章还提提供了有关关如何通过过使用有效效的规划并并建立具有有清晰定义义的角色和和职责的强强大安全风风险管理小小组准备流流程的建议议。2.3.1.4. 第 4 章章：评估风风险此章详细介介绍 Miicrossoft 安全风险险管理流程程的评估风风险阶段。 此阶段中中的步骤包包括规划、加加速数据收收集和确定定风

16、险优先先级。 风风险评估流流程包含多多个任务，其其中某些任任务对大组组织而言很很苛求。 例如，识识别和确定定企业资产产的价值需需要很多时时间。 确确定威胁和和漏洞等其其他任务需需要大量的的技术专家家。 与这这些任务相相关的挑战战说明了正正确规划和和建立坚实实的安全风风险管理小小组的重要要性，如第第 3 章章“安全风风险管理概概述”所强强调的。 在确定汇总总风险优先先级期间，安安全风险管管理小组使使用一种定定性方法来来类选安全全风险的完完整列表，从从而使小组组可以快速速确定最重重要的风险险以进行进进一步的分分析。 然然后用定量量技术来详详细分析顶顶级风险。 结果是一一份最重要要风险的简简短列表，

17、具具有详细的的资料，小小组可在流流程的下一一阶段中用用这些资料料来做出明明智的决策策。2.3.1.5. 第 5 章章：实施决决策支持在流程的实实施决策支支持阶段期期间，安全全风险管理理小组确定定如何以最最有效最经经济的方式式解决关键键风险。 小组确定定控制措施施，确定与与购买、实实施和支持持各个控制制措施有关关的成本，评评估各个控控制措施实实现的风险险降低程度度，配合安安全筹划指指导委员会会确定要实实施的控制制措施。 最终结果果是一个清清晰且可操操作的计划划，控制或或接受在评评估风险阶阶段确定的的顶级风险险。2.3.1.6. 第 6 章章：实施控控制和评定定计划有效效性此章解释 Micrros

18、offt 安全全风险管理理流程的最最后两个阶阶段：实施施控制和评评定计划有有效性。 顾名思义义，在“实实施控制”阶阶段中：缓缓解方案所所有者根据据在决策支支持流程中中产生的控控制解决方方案列表制制定并执行行计划，以以降低在评评估风险阶阶段中确定定的风险。 此章提供供了说明性性指导的链链接，在组组织的缓解解方案所有有者解决各各种风险时时可能有所所帮助。 评定计划划有效性阶阶段是一个个持续进行行的流程，在在这个阶段段中，安全全风险管理理小组定期期验证在之之前阶段中中实施的控控制确实提提供了预期期程度的保保护。此阶段的另另一个步骤骤是预测组组织在安全全风险管理理方面的整整体进度。 本章介绍绍了“安全

19、全风险记分分卡”的概概念，可用用它来追踪踪组织的实实施状况。 最后，本本章还解释释了观察计计算环境变变化的重要要性，如系系统和应用用程序的添添加和删除除，或者新新威胁和漏漏洞的出现现。 三种种类型的变变化可能要要求组织立立即采取行行动以针对对新的或改改变的风险险对自身提提供保护。2.3.1.7. 附录 A：特别风险险评估此附录将正正式的企业业风险评估估流程与很很多组织采采用的特别别方法进行行比较。 它突出各各个方法的的优点和缺缺点，并建建议在什么么情况下使使用什么方方法。2.3.1.8. 附录 B：常见信息息系统资产产此附录列出出各种类型型的组织中中常见的信信息系统资资产。 它它并不追求求全面

20、性，也也不会列出出在一个组组织的独特特环境中所所具备的全全部资产。 因此，在在风险评估估流程中定定制此列表表非常重要要。 它作作为参考列列表和开始始点提供，以以帮助贵组组织着手进进行。2.3.1.9. 附录 C：常见威胁胁本附录列出出了可能影影响许多组组织的威胁胁。 此列列表并不全全面，而且且因为它是是静态的，所所以并不是是最新的。 因此，在在项目的评评估阶段需需要删除与与贵组织不不相关的威威胁并添加加新确定的的威胁，这这点很重要要。 它作作为参考列列表和开始始点提供，以以帮助贵组组织着手进进行。2.3.1.10. 附录 D：漏洞本附录列出出了可能影影响许多组组织的漏洞洞。 此列列表并不全全面

21、，而且且因为它是是静态的，所所以并不是是最新的。 因此，在在风险评估估阶段需要要删除与贵贵组织不相相关的漏洞洞并添加新新确定的漏漏洞，这点点很重要。 它作为参参考列表和和开始点提提供，以帮帮助贵组织织着手进行行。2.3.2. 工具和模板板本指南随附附了一组工工具和模板板，帮助组组织实施 Micrrosofft 安全全风险管理理流程。 这些工具具和模板包包含在一个个可在下载载中心获得得的自解压压 WinnZip 压缩文件件中。 注注意，该压压缩文件也也包含本指指南的副本本。 当从从下载的压压缩文件抽抽取文件时时，将在您您指定的位位置创建以以下文件夹夹结构：安全风险险管理指南南 - 包包含本指南南

22、的 Poortabble DDocumment Formmat (PDF) 文件版版本。安全风险险管理指南南工具和和模板 - 包含以以下文件：数据收集模板 (SRMGTool1-Data Gathering Tool.doc)。 可在第 4 章“评估风险”所述的研讨会期间在评估风险阶段使用此模板。汇总级风险分析工作表 (SRMGTool2-Summary Risk Level.xls)。 此 Microsoft Excel 工作表帮助组织进行风险分析的第一阶段：汇总级分析。详细级风险分析工作表 (SRMGTool3-Detailed Level Risk Prioritization.xls)

23、。 此 Excel 工作表帮助组织对在汇总级分析中确定的顶级风险进行更加详细的分析。日程安排示例 (SRMGTool4-Sample Project Schedule.xls)。 此 Excel 工作表显示一个针对 Microsoft 安全风险管理流程的高级项目日程安排。 它包含本指南讨论的阶段、步骤和任务。2.4. 成功的关键键无论何时一一个组织实实施重大的的新变革时时，只有具具备各种基基础性的要要素才能获获得成功。 Micrrosofft 已经经确定出在在成功实施施安全风险险管理流程程时必须具具备的组成成要素以及及在开始实实施后必须须继续存在在的组成要要素。 它它们是： 管理层的资资助。一

24、份详细的的风险管理理风险承担担者列表。在风险管理理方面的组组织完善程程度。开放式交流流的氛围。团队精神。对组织的全全盘考虑。安全风险管管理小组授授权。以下几节讨讨论整个安安全风险管管理流程所所需的这些些要素；其其他只与具具体阶段有有关的要素素在讨论这这些阶段的的章节中突突出介绍。2.4.1. 上级主管高级管理层层必须明确确且热情地地支持安全全风险管理理流程。 没有这种种支持关系系，风险承承担者可能能会抵触或或破坏使用用风险管理理以使组织织更加安全全的努力。 此外，没没有明确的的管理层支支持，单个个雇员可能能会不理睬睬如何执行行工作或帮帮助保护组组织资产的的指示。 雇员不合合作可能有有很多原因因

25、。 其中中之一是对对改变的一一般性抵触触；缺乏对对有效安全全风险管理理的重要性性的正确评评价；错误误地认为他他们作为个个体对如何何保护业务务资产有着着充分的了了解，即使使他们的观观点在范围围和尝试上上可能与安安全风险管管理小组不不一致；或或相信他们们所在的组组织部分绝绝不会成为为潜在攻击击者的目标标。支持意味着着：委托安全风风险管理小小组在明确确定义的项项目范围内内行使权力力，履行职职责支持所有员员工根据需需要参与分配有限的的资源，例例如人力与与财政资源源明确且积极极支持安全全风险管理理流程参与审核安安全风险管管理流程的的发现以及及建议2.4.2. 一份详细的的风险管理理风险承担担者列表本指南

26、经常常用到风险险承担者，该该术语在本本文中指与与安全风险险管理流程程的结果有有利害关系系的组织成成员。 安安全风险管管理小组需需要知道所所有风险承承担者，包包括核心小小组自身以以及上级主主管。 还还包括拥有有要评估的的企业资产产的所有者者。 负责责设计、部部署和管理理企业资产产的 ITT 人员也也是关键的的风险承担担者。 必须确定风风险承担者者以便他们们可以参与与安全风险险管理流程程。 安全全风险管理理小组必须须用一些时时间来帮助助这些人了了解流程以以及流程如如何帮助他他们保护其其资产并从从长期来看看节约他们们的资金。 2.4.3. 在风险管理理方面的组组织完善程程度如果一个组组织当前没没有实

27、施安安全风险管管理流程，MMicroosoftt 案例风风险管理流流程可能涉涉及太多的的改变以便便完全实施施其内容，所所有的均是是一次性完完成。 即即使一个组组织已经具具有了一些些正式的流流程，例如如针对具体体安全事务务而启动的的特别措施施，流程也也可能是相相当复杂的的。 但是是，就风险险管理而言言，在更加加完善的组组织中会非非常有效；通过风险险管理以及及明确的安安全流程、在在组织的很很多层面充充分了解和和接受安全全风险管理理来证明完完善程度。 第 3 章“安全全风险管理理概述”讨讨论安全风风险管理完完善程度的的概念以及及如何计算算组织的完完美程度。2.4.4. 开放式交流流的氛围很多组织和和

28、项目纯粹粹是在需要要知道的基基础上运作作，从而经经常导致误误解并影响响小组提供供成功解决决方案的能能力。 MMicroosoftt 安全风风险管理流流程需要在在小组内以以及小组与与关键风险险承担者之之间进行的的一种开放放且诚实的的交流方法法。 毫无无障碍的交交流不仅仅仅减少误解解及浪费工工作的风险险，还确保保所有小组组成员能够够帮助减少少围绕项目目的不确定定性。 开开放且诚实实地讨论确确定的风险险以及什么么控制措施施可有效缓缓解这些风风险是流程程举得成功功的关键。2.4.5. 团队精神参与 Miicrossoft 安全风险险管理流程程的所有人人员之间的的关系的强强度和活力力对工作成成效有重要要

29、的影响。 不管来自自高级管理理层的支持持，在安全全人员和管管理层以及及组织的其其余部分之之间建立的的关系以流流程的整体体成功也至至关重要。 安全风险险管理小组组与来自不不同业务单单元的代表表建立团队队精神，并并在整个项项目中应用用团队精神神进行合作作，这一点点极其重要要。 小组组可通过向向来自这些些业务单元元的经理有有效演示安安全风险管管理的业务务价值，以以及通过向向成员说明明长期运行行项目时如如何使他们们更加轻松松且有效地地开展他们们的工作，从从而推动团团队精神的的建设。2.4.6. 对组织的全全盘考虑 Microosoftt 安全风风险管理流流程的所有有参与者，特特别是安全全风险管理理小组

30、，需需要在其工工作中考虑虑整个组织织。 对一一名具体雇雇员而言是是最好的往往往并非对整个个组织而言言是最好的的。 同样样的，对一一个业务单单元最有利利益的可能能并不是对对整个组织织也最有利利益。 来来自具体业业务单元的的员工和经经理将本能能地努力推推动有利于于他们以及及他们所在在的组织部部分的流程程获得成功功。 2.4.7. 整个流程中中的权力Microosoftt 安全风风险管理流流程的参与与者承担确确定和控制制组织面临临的最重要要的安全风风险。 为为了通过实实施合理的的控制措施施有效缓解解这些风险险，他们也也需要足够够的权力来来进行适当当的改变。 小组成员员必须获得得与委派给给自己的使使命

31、相一致致的权力。 授权要求求小组成员员获得开展展工作所必必须的资源源，负责做做出影响工工作的决策策，了解他他们的权力力限制以及及用于处理理超出这些些限制的事事务的上报报途径。2.5. 术语和定义义与安全风险险管理有关关的术语有有时非常难难以理解。 有时候，对对于一个轻轻松认可的的术语，不不同的人有有不同的解解释。 出出于这些原原因，您理理解本指南南的作者在在本指南中中使用的重重要术语的的定义非常常重要。 以下提供供的很多定定义来自两两个组织发发布的文档档：国际标标准化组织织 (ISSO) 和和 Intterneet 工程程任务组 (IETTF)。 这些组织织的网址在在本章后面面的“更多多信息”

32、一一节中提供供。 下表表提供安全全风险管理理的主要组组成部分的的一致见解解：年预期损损失 (AALE) 组织在未未采取减轻轻风险的措措施的情况况下一年损损失的总金金额。年发生率 (AROO) 估计风险险在一年内内可能发生生的次数。资产对组织有有价值的任任何东西，例例如硬件和和软件、数数据、人员员和文档。可用性 确保授权权的系统用用户在需要要时可访问问并使用的的系统或系系统资源的的属性。 可用性是是安全系统统的核心特特性之一。CIA 请参阅“机机密性 (Conffidenntiallity)”、“完完整性 (Inteegritty)”和和“可用性性 (Avvailaabiliity)”。机密性

33、信息不适适用于或不不透露给未未经授权的的个人、实实体或流程程的属性 (ISOO 74998-2)。控制 管理风险险的一种有有组织有步步骤或技术术性的措施施；是安全全措施或对策的同义义词。成本效益分分析 相对价值值与各个提提议的控制制措施的成成本之间的的估计与比比较，从而而实施最有有效的控制制措施。决策支持 根据成本本效益分析析确定风险险优先级。 将缓解风风险的安全全解决方案案之成本与与缓解风险险而取得的的业务好处处进行比较较。纵深防御 采取多层层安全措施施预防单一一安全措施施失败的方方法。利用 使用漏洞洞以便危害害业务活动动或信息安安全的手段段。暴露 一种威胁胁行动，借借此行动，敏敏感性数据据

34、直接暴露露给未经授授权的实体体 (RFFC 28828)。 Micrrosofft 安全全风险管理理流程将此此定义收窄窄到专注于于对企业资资产的损坏坏程度。影响 当威胁利利用漏洞损损坏资产时时预计的整整体业务损损失。完整性 数据未未通过未经经授权的方方式被修改改或破坏的的属性 (ISO 74988-2)。缓解 通过采取取专为应对对潜在威胁胁而设计的的措施来解解决风险。缓解方案 控制制措施的实实施，是用用来管理安安全风险的的有组织、有有步骤或技技术性的控控制措施。可能性 事件发发生的概率率。定性风险管管理 一种风险险管理方法法，在该方方法中参与与者向资产产、风险、控控制措施和和影响分配配一个相对

35、对价值。定量风险管管理 一种风险险管理方法法，在该方方法中参与与者尝试向向资产、风风险、控制制措施和影影响分配一一个主观性性的数字价价值（例如如货币值）。 名誉 人们对一一个组织的的评价；大大多数组织织的名誉都都有实际价价值，即使使是无形的的并且难以以计算。安全投资收收益 (RROSI) 组织在实实施安全控控制措施后后一年内预预期节约的的总金额。风险 事件的可可能性及其其后果的组组合。 (ISO Guidde 733)。风险评估 确定风险险及其影响响的流程。风险管理 确定可接接受的风险险、评估风风险的当前前程度、采采取措施将将风险降低低到可接受受水平以及及维持风险险程度的流流程。单一预期损损失

36、 (SSLE) 发生一次次风险引起起的收入损损失总额。威胁 系统或组组织面临的的不希望有有的影响的的原因。 (ISOO 133335-11)。漏洞 使信息资资产易受威威胁利用的的任何弱点点、管理流流程、措施施或物理暴暴露。 2.6. 样式约定本指南使用用下列样式式约定和术术语。表 1.11：样式约约定元素含义注意提醒读者阅阅读补充信信息。Woodggrovee 示例提醒读者内内容与一个个假想示例例公司“WWoodggrovee 银行”有有关。2.7. 获取有关本本指南的支支持本指南竭力力清晰地描描述一个组组织可遵循循以实施和和维护安全全风险管理理计划的流流程。 如如果在实施施风险管理理计划时需

37、需要帮助，请请联系 MMicroosoftt 客户服服务人员。 未提供有有关本指南南的电话支支持。关于本指南南的反馈或或问题，请请发邮件到到：seccwishhmiccrosooft.ccom。2.8. 更多信息以下信息来来源是在本本指南发布布时与安全全风险管理理紧密相关关的最新主主题内容。Microosoftt 操作框框架 (MMicroosoftt Opeeratiions Frammeworrk, MMOF) 提供技术术指南，该该指南使组组织在使用用 Miccrosooft 产产品和技术术构建的 IT 解解决方案中中获得重要要的系统可可靠性、可可用性、可可支持性和和可管理性性。 MOOF

38、 以白白皮书、操操作指南、评评估工具、最最佳实践方方法、案例例研究、模模板、支持持工具和服服务等形式式提供可操操作的指导导。 该指指导解决了了与不同种种类的复杂杂分布式 IT 环环境有关的的人员、过过程、技术术和管理问问题。 有有关 MOOF 的详详细信息，请请参见 m/moff。Microosoftt 解决方方案框架 (MSFF) 可帮帮您成功地地实施作为为 Miccrosooft 安安全风险管管理流程的的一部分制制定的操作作计划。 MSF 旨在帮助助组织按时时提交高质质量技术解解决方案并并符合预算算，是一个个适合技术术项目的详详细且严格格的方法，并并基于 MMicroosoftt 提供的的

39、一组明确确的原则、模模型、准则则、概念、指指导以及经经证实的做做法。 有有关 MSSF 的详详细信息，请请参见 m/msff。Microosoftt 安全指指南中心 (SGCC) ，是是一个介绍绍各种安全全主题的详详尽且组织织良好的文文档库。 SGC 位于 www.micrrosofft.coom/seecuriity/gguidaance/defaault.mspxx。MicroosofttWinddows 20000 Serrver 安全解决决方案是一一个描述性性解决方案案，旨在帮助助减少 MMicroosoftt Winndowss 20000 环环境中的漏漏洞并降低低暴露和安安全管理的

40、的成本。 MicrrosofftWinddows 20000 Serrver Soluutionn forr Seccuritty（Wiindowws 20000 SServeer 安全全解决方案案）指南的第第 2、3、4 章包含含 Miccrosooft 发发布的第一一个安全风风险管理指指南，称为安全全风险管理理规则 (Secuurityy Rissk Maanageementt Dissciplline, SRMMD)。 您正阅读读的指南替替代 MicrrosofftWinddows 20000 Serrver Soluutionn forr Seccuritty（Wiindowws 20

41、000 SServeer 安全全解决方案案）指南中安安全风险管管理内容。 位于 fwlink/?LinkId=14837。美国国家标标准与技术术协会 (NISTT) 提供供了一个有有关风险管管理的优秀秀指南，标题为 Riskk Mannagemment Guidde foor Innformmatioon Teechnoologyy Sysstemss（信息技术术系统风险险管理指南南，20002 年 7 月发发布）。 位于 httpp:/ccsrc.nistt.govv/pubblicaationns/niistpuubs/8800-330/spp800-30.ppdf。NIST 也提供了了一

42、个有关关对组织进进行安全评评估的指南南，标题为Seecuriity SSelf-Asseessmeent GGuidee forr Infformaationn Tecchnollogy Systtems（信息技术术系统安全全自我评估估指南，22001 年 11 月发布）。 位于 httpp:/ccsrc.nistt.govv/pubblicaationns/niistpuubs/8800-226/spp800-26.ppdf。ISO 提提供了一个个高级实施施细则，称为 Infoormattion techhnoloogy Codde off praacticce foor innformma

43、tioon seecuriity mmanaggemennt（信息技术术 - 信息息安全管理理实施细则则），也称为为 ISOO 177799。 位于 www.iso.org/iso/en/CCatallogueeDetaailPaage.CCatallogueeDetaail?CCSNUMMBER=334441&ICCS1=335&ICCS2=440&ICCS3=（获取资料料需付费）。ISO 已已经出版了了各种各样样的其他标标准文件，本本指南也引引用了其中中部分标准准。 这些些标准文件件均可在 www.iso.org 付费获得得。位于卡内基基美隆大学学软件工程程学院的计计算机紧急急事件响应应组

44、 (CCERT) 已经开开发出 OOCTAVVE （操作作性关系威威胁、资产产和漏洞评评估SM），一一种自我指指导的风险险评估与规规划技术。 有关 OOCTAVVE 的详详细信息，请请浏览 wwww.ccert.org/octaave。信息控制目目标和相关关技术 (Conttrol Objeectivves ffor IInforrmatiion aand RRelatted TTechnnologgy, CCobiTT) 为良良好的 IIT 安全全和控制措措施提供一一般性的可可应用并被被接受的标标准，向管管理层、用用户、信息息安全审核核、控制和和安全从业业人员提供供一种参考考框架。 可付费在

45、在线从 IIT Goovernnancee Insstituute 获获得，网址址为 htttp:/wwww.isaaca.oorg/ccobitt。IETF 已经发布布了 Reequesst foor Coommennts (RFC) 28228，它是是一个向公公众开放的的备忘录，为为大量的信信息系统安安全术语提提供标准定定义。 位位于 wwww.faaqs.oorg/rrfcs/rfc22828.htmll。3. 安全风险管管理实践调调查本章一开始始回顾安全全风险管理理的前瞻性性方法和反反应性方法法的优点与与缺点， 接着评估估和比较两两个传统方方法：定性性安全风险险管理和定定量安全风风险管

46、理。 Micrrosofft 安全全风险管理理流程是一一种在这些些方法之间间提供平衡衡的备选方方法，经证证明，Miicrossoft 采用该流流程获得了了一个极为为有效的流流程。注：通过审审核组织过过去进行安安全风险管管理的方法法为 Miicrossoft 安全风险险管理流程程奠定一个个基础非常常重要。 已经精通通安全风险险管理的读读者可能希希望快速浏浏览本章；鼓励对安安全或风险险管理相对对不熟悉的的其他人精精读本章。3.1. 比较风险管管理的方法法很多组织都都被通过响响应一个相相对较小的的安全事件件引入安全全风险管理理。 例如如，一名员员工的计算算机感染了了病毒，担担任办公室室经理的内内部电脑专专家必须指指出如何根根除病毒而而不破坏计计算机或计计算机存储储的数据。 无论最初初的事件是是什么，随随着越来越越多与安全全有关的问问题出现并并开始影响响业务，很很多组织对对响应一个个接一