风险评估管理程序46085.docx

《风险评估管理程序46085.docx》由会员分享，可在线阅读，更多相关《风险评估管理程序46085.docx（36页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 风险评估管管理程序 历史修订记记录序号更改单号更改说明修订人生效日期现行版次目 录1 概述52 术语与与定义52.1 风风险管理52.1.11 风险评评估52.2 其其他63 风险评评估框架及及流程73.1 风风险要素关关系73.2 风风险分析原原理93.3 实实施流程94 风险评评估准备过过程104.1 确确定范围104.2 确确定目标114.3 确确定组织结结构114.4 确确定风险评评估方法114.5 获获得最高管管理者批准准115 风险评评估实施过过程115.1 资资产赋值135.1.11 资产分分类145.1.22 资产价价值属性175.1.33 资产价价值属性赋赋值标准195.2

2、 威威胁评估235.2.11 威胁分分类235.2.22 威胁赋赋值265.3 脆脆弱性评估估275.4 确确定现有控控制305.5 风风险评估305.5.11 风险值值计算305.5.22 风险等等级划分315.5.33 风险评评估结果纪纪录316 风险管管理过程326.1 安安全控制的的识别与选选择336.2 降降低风险346.3 接接受风险356.4 风风险管理要要求357 相关文文件361 概述目前信息安安全管理的的发展趋势势是将风险险管理与信信息安全管管理紧密结结合在一起起，将风险险概念作为为信息安全全管理实践践的对象和和出发点，信信息安全管管理的控制制点以风险险出现的可可能性作为为

3、对象而展展开的。IISO277001标标准对信息息安全管理理体系(IISMS)的要求即即通过对信信息资产的的风险管理理,确定重重要信息资资产清单以以及风险等等级,从而而采取相应应的控制措措施来实现现信息资产产的安全。信息安全管管理是风险险管理的过过程，风险险评估是风风险管理的的基础。风风险管理是是指导和控控制组织风风险的过程程。风险管管理遵循管管理的一般般循环模式式计划 (Plann)、执行行 (Doo)、检查查 (Chheck)、行动 (Acttion)的持续改改进模式。IISO277001标标准要求企企业设计、实实施、维护护信息安全全管理体系系都要依据据PDCAA循环模式式。2 术语与定义

4、义2.1 风险管理风险管理是是以可接受受成本识别别、评估、控控制、降低低可能影响响信息系统统风险的过过程，通过过风险评估估识别风险险，通过制制定信息安安全方针，采采取适当的的控制目标标与控制方方式对风险险进行控制制，使风险险被避免、转转移或降低低到一个可可以被接受受的水平，同同时考虑控控制费用与与风险之间间的平衡。风险管理的的核心是信信息的保护护。信息对对于组织是是一种具有有重要价值值的资产。建建立信息安安全管理体体系(ISSMS)的的目的是在在最大范围围内保护信信息资产，确确保信息的的机密性、完完整性和可可用性，将将风险管理理自始至终终的贯穿于于整个信息息安全管理理体系中，这这种体系并并不能

5、完全全消除信息息安全的风风险，只是是尽量减少少风险，尽尽量将攻击击造成的损损失降低到到最低限度度。2.1.1 风险评估风险评估指指风险分析析和风险评评价的整个个过程，其其中风险分分析是指系系统化地识识别风险来来源和风险险类型，风风险评价是是指按组织织制定的风风险标准估估算风险水水平，确定定风险严重重性。风险评估的的出发点是是对与风险险有关的各各因素的确确认和分析析，与信息息安全风险险有关的因因素可以包包括四大类类：资产、威威胁、脆弱弱性、安全全控制措施施。风险评估是是对信息和和信息处理理设施的威威胁、脆弱弱性和风险险的评估，它它包含以下下元素：风险是被特特定威胁利利用的资产产的一种或或一组脆弱

6、弱性，导致致资产丢失失或损害的的潜在可能能性，即特特定威胁事事件发生的的可能性与与后果的结结合。资产是对组组织具有价价值的信息息资源，是是安全控制制措施保护护的对象。威胁是可能能对资产或或组织造成成损害的事事故的潜在在原因。脆弱性是资资产或资产产组中能被被威胁利用用的弱点。安全控制措措施是降低低风险的措措施、程序序或机制。2.2 其他1. 资产Assset：对对组织具有有价值的信信息或资源源，是安全全策略保护护的对象。2. 资产价值AAssett Vallue：资产的重重要程度或或敏感程度度的表征。资资产价值是是资产的属属性，也是是进行资产产识别的主主要内容。3. 机密性coonfiddent

7、iialitty：数据据所具有的的特性，即即表示数据据所达到的的未提供或或未泄露给给未授权的的个人、过过程或其他他实体的程程度。4. 完整性inntegrrity：保证信息息及信息系系统不会被被非授权更更改或破坏坏的特性。包包括数据完完整性和系系统完整性性。5. 可用性avvailaabiliity：数数据或资源源的特性，被被授权实体体按要求能能访问和使使用数据或或资源。6. 数据完整性性dataa inttegriity ：数据所具具有的特性性，即无论论数据形式式作何变化化，数据的的准确性和和一致性均均保持不变变。7. 系统完整性性systtem iinteggrityy ：在防防止非授权权

8、用户修改改或使用资资源和防止止授权用户户不正确地地修改或使使用资源的的情况下，信信息系统能能履行其操操作目的的的品质。8. 信息安全风风险infformaationn seecuriity riskk：人为或或自然的威威胁利用信信息系统及及其管理体体系中存在在的脆弱性性导致安全全事件的发发生及其对对组织造成成的影响。9. 信息安全风风险评估iinforrmatiion ssecurrity riskk asssessmment：依据有关关信息安全全技术与管管理标准，对对信息系统统及由其处处理、传输输和存储的的信息的机机密性、完完整性和可可用性等安安全属性进进行评价的的过程。它它要评估资资产面临

9、的的威胁以及及威胁利用用脆弱性导导致安全事事件的可能能性，并结结合安全事事件所涉及及的资产价价值来判断断安全事件件一旦发生生对组织造造成的影响响。10. 信息系统iinforrmatiion systtem：由由计算机及及其相关的的和配套的的设备、设设施(含网网络)构成成的，按照照一定的应应用目标和和规则对信信息进行采采集、加工工、存储、传传输、检索索等处理的的人机系统统。典型的的信息系统统由三部分分组成：硬硬件系统（计计算机硬件件系统和网网络硬件系系统）；系系统软件（计计算机系统统软件和网网络系统软软件）；应应用软件（包包括由其处处理、存储储的信息）。11. 检查评估iinspeectioo

10、n asssesssmentt：由被评评估组织的的上级主管管机关或业业务主管机机关发起的的，依据国国家有关法法规与标准准，对信息息系统及其其管理进行行的具有强强制性的检检查活动。12. 组织orgganizzatioon：由作作用不同的的个体为实实施共同的的业务目标标而建立的的结构。组组织的特性性在于为完完成目标而而分工、合合作；一个个单位是一一个组织，某某个业务部部门也可以以是一个组组织。13. 残余风险rresiddual riskk：采取了了安全措施施后，仍然然可能存在在的风险。14. 自评估seelf-aassesssmennt：由组组织自身发发起，参照照国家有关关法规与标标准，对信信

11、息系统及及其管理进进行的风险险评估活动动。15. 安全事件ssecurrity evennt ：指指系统、服服务或网络络的一种可可识别状态态的发生，它它可能是对对信息安全全策略的违违反或防护护措施的失失效，或未未预知的不不安全状况况。16. 安全措施ssecurrity meassure：保护资产产、抵御威威胁、减少少脆弱性、降降低安全事事件的影响响，以及打打击信息犯犯罪而实施施的各种实实践、规程程和机制的的总称。17. 安全需求ssecurrity requuiremment：为保证组组织业务战战略的正常常运作而在在安全措施施方面提出出的要求。18. 威胁thrreat：可能导致致对系统或或

12、组织危害害的不希望望事故潜在在原因。19. 脆弱性vuulnerrabillity：可能被威威胁所利用用的资产或或若干资产产的弱点。3 风险评估框框架及流程程本章提出了了风险评估估的要素关关系、分析析原理及实实施流程。3.1 风险要素关关系资产所有者者应对信息息资产进行行保护，通通过分析信信息资产的的脆弱性来来确定威胁胁可能利用用哪些弱点点来破坏其其安全性。风风险评估要要识别资产产相关要素素的关系，从从而判断资资产面临的的风险大小小。风险评估中中各要素的的关系如图图3-1所所示：图3-1 风险要要素关系图图图3-1中中方框部分分的内容为为风险评估估的基本要要素，椭圆圆部分的内内容是与这这些要素

13、相相关的属性性。风险评评估围绕着着这些基本本要素展开开，在对这这些要素的的评估过程程中，需要要充分考虑虑业务战略略、资产价价值、安全全需求、安安全事件、残残余风险等等与这些基基本要素相相关的各类类属性。图3-1中中的风险要要素及属性性之间存在在着以下关关系： 1. 业务战略的的实现对资资产具有依依赖性，依依赖程度越越高，要求求其风险越越小；2. 资产是有价价值的，组组织的业务务战略对资资产的依赖赖程度越高高，资产价价值就越大大；3. 资产价值越越大，原则则上则其面面临的风险险越大；4. 风险是由威威胁引发的的，资产面面临的威胁胁越多则风风险越大，并并可能导致致安全事件件；5. 弱点越多，威威胁

14、利用脆脆弱性导致致安全事件件的可能性性越大；6. 脆弱性是未未被满足的的安全需求求，威胁利利用脆弱性性危害资产产，从而形形成风险；7. 风险的存在在及对风险险的认识导导出安全需需求；8. 安全需求可可通过安全全措施得以以满足，需需要结合资资产价值考考虑实施成成本；9. 安全措施可可抵御威胁胁，降低安安全事件发发生的可能能性，并减减少影响；10. 风险不可能能也没有必必要降为零零，在实施施了安全措措施后还可可能有残余余风险。有有些残余风风险的原因因可能是安安全措施不不当或无效效,需要继继续控制；而有些残残余风险则则是在综合合考虑了安安全成本与与效益后未未去控制的的风险，是是可以接受受的；11.

15、残余风险应应受到密切切监视，它它可能会在在将来诱发发新的安全全事件。3.2 风险分析原原理 风险分析析原理如图图3-2所所示：图3-2 风险分分析原理图图风险分析中中要涉及资资产、威胁胁、脆弱性性等基本要要素。每个个要素有各各自的属性性，资产的的属性是资资产价值；威胁的属属性可以是是威胁主体体、影响对对象、出现现频率、动动机等；脆脆弱性的属属性是资产产弱点的严严重程度。风风险分析的的主要内容容为：1. 对资产进行行识别，并并对资产的的价值进行行赋值；2. 对威胁进行行识别，描描述威胁的的属性，并并对威胁出出现的频率率赋值；3. 对资产的脆脆弱性进行行识别，并并对具体资资产的脆弱弱性的严重重程度

16、赋值值；4. 根据威胁及及威胁利用用弱点的难难易程度判判断安全事事件发生的的可能性；5. 根据脆弱性性的严重程程度及安全全事件所作作用资产的的价值计算算安全事件件的损失；6. 根据安全事事件发生的的可能性以以及安全事事件的损失失，计算安安全事件一一旦发生对对组织的影影响，即风风险值。3.3 实施流程图3-3给给出风险评评估的实施施流程，第第4章将围围绕风险评评估流程阐阐述风险评评估各具体体实施步骤骤。图3-3 风险评评估实施流流程图4 风险评估估准备过程程风险评估的的准备过程程是运维中中心进行风风险评估的的基础，是是整个风险险评估过程程有效性的的保证。运运维中心对对信息及信信息系统进进行风险评

17、评估是一种种战略性的的考虑，其其结果将受受到运维中中心业务需需求及战略略目标、文文化、业务务流程、安安全要求、规规模和结构构的影响。因因此在风险险评估实施施前，应：1. 确定风险评评估的范围围；2. 确定风险评评估的目标标；3. 建立适当的的组织结构构；4. 建立系统化化的风险评评估方法；5. 获得最高管管理者对风风险评估策策划的批准准。4.1 确定范围进行风险评评估是基于于运维中心心自身商业业要求及战战略目标的的要求，国国家法律法法规和行业业监管要求求，根据上上述要求确确定风险评评估范围，每每次评估范范围可以是是全公司的的信息和信信息系统，可可以是单独独的信息系系统，可以以是关键业业务流程。

18、此此项工作需需要在资产产识别和分分类工作基基础上进行行。4.2 确定目标运维中心的的信息、信信息系统、应应用软件和和网络是运运维中心重重要的资产产，信息资资产的机密密性，完整整性和可用用性对于维维持竞争优优势，提高高安全管理理水平，符符合法律法法规要求和和运维中心心的形象是是必要的。运运维中心要要面对来自自四面八方方日益增长长的安全威威胁，信息息、信息系系统、应用用软件和网网络可能是是严重威胁胁的目标，同同时由于运运维中心信信息化程度度不断提高高，对信息息系统和技技术的依赖赖日益增加加，则可能能出现更多多的脆弱性性。运维中中心风险评评估的目标标来源于业业务持续发发展的需要要、满足国国家法律法法

19、规和行业业监管的要要求等方面面。4.3 确定组织结结构在风险评估估过程中，应应建立适合合的组织结结构，以推推进评估过过程，成立立由管理层层、相关业业务骨干、IIT技术人人员等组成成的风险评评估小组，以以保证能够够满足风险险评估的范范围、目标标。4.4 确定风险评评估方法风险评估方方法应考虑虑评估的范范围、目的的、时间、效效果、组织织文化、人人员素质以以及具体开开展的程度度等因素来来确定，使使之能够与与运维中心心的环境和和安全要求求相适应。4.5 获得最高管管理者批准准上述所有内内容应得到到运维中心心管理层批批准，并对对相关部门门和员工进进行传达，就就风险评估估相关内容容进行培训训，以明确确各有

20、关人人员在风险险评估中的的任务。5 风险评估实实施过程信息安全各各组成因素素：资产的的价值、对对资产的威威胁和威胁胁发生的可可能性、资资产脆弱性性、现有的的安全控制制提供的保保护，风险险评估过程程是综合以以上因素而而导出风险险的过程，如如图5-11所示：资产赋值脆弱性评估威胁评估确定现有控制风险评估图5-1风险评估估的过程详细的风险险评估方法法描述详细的风险险评估是对对资产、威威胁和脆弱弱点进行详详细的识别别和估价，评评估结果被被用于评估估风险和安安全控制的的识别和选选择。通过过识别资产产的风险并并将风险降降低到可接接受水平，来来证明管理理者所采用用的安全控控制是适当当的。详细的风险险评估，需

21、需要仔细地地制定被评评估的信息息系统范围围内的业务务环境、业业务运营、信信息和资产产的边界，是是一个需要要管理者持持续关注的的方法，如如下表：风险评估评估活动资产赋值识别和列出出信息安全全管理范围围内被评估估的业务环环境、业务务运营和信信息相关的的所有的资资产，定义义一个价值值尺度并为为每一项资资产分配价价值（机密密性、完整整性和可用用性的价值值）。威胁评估识别与资产产相关的所所有威胁，并并根据它们们发生的可可能性为它它们赋值。脆弱性评估估识别与资产产相关的所所有的脆弱弱点，并根根据它们被被威胁利用用的程度和和严重性来来赋值。确定现有控控制识别与记录录所有与资资产相关联联的、现有有的控制。风险

22、评估利用上述对对资产、威威胁、脆弱弱点的评价价结果，进进行风险评评估，风险险为资产的的相对价值值、威胁发发生的可能能性与脆弱弱点被利用用的可能性性的函数，采采用适当的的风险测量量工具进行行风险计算算。表5-1 详细风险险评估内容容详细风险评评估方法将将安全风险险作为资产产、威胁及及脆弱点的的函数来进进行识别与与评估，具具体程序包包括：1. 对资产（说说明它们的的价值、业业务相关性性）、威胁胁（说明它它们发生的的可能性）和和脆弱性（说说明有关它它们的弱点点和敏感性性的程度）进进行测量与与赋值。2. 使用预定义义风险计算算函数完成成风险测量量。5.1 资产赋值资产赋值就就是要识别别影响信息息系统的

23、信信息资产（以以下简称资资产），并并评估其价价值，包括括资产识别别与资产赋赋值两部分分。1. 资产识别 资资产是影响响信息系统统运行而需需要保护的的有用资源源，资产以以多种形式式存在。运运维中心资资产分为：硬件类、系系统服务类类、支撑服服务类、信信息类、人人员、无形形资产等，每每类资产具具有不同价价值属性和和存在特点点，固有的的弱点、面面临的威胁胁、需要实实施的保护护和安全控控制各不相相同。 为为了对资产产进行有效效的保护，组组织需要在在各个管理理层对资产产落实责任任，进行恰恰当的管理理。 在在信息安全全体系范围围内识别资资产并为资资产编制清清单是一项项重要工作作，每项资资产都应该该清晰地定定

24、义，在组组织中明确确资产所有有权关系，进进行安全分分类，并以以文件方式式详细记录录在案。2. 资产赋值值 为为了明确对对资产的保保护，有必必要对资产产进行估价价，其价值值大小不仅仅仅是考虑虑其自身的的价值，还还要考虑其其业务的相相关性和一一定条件下下的潜在价价值。资产产价值常常常是以安全全事件发生生时所产生生的潜在业业务影响来来衡量，安安全事件会会导致资产产机密性、完完整性和可可用性的损损失，从而而导致企业业资金、市市场份额、企企业形象的的损失。为为了资产评评估的一致致性与准确确性，组织织应当建立立一个资产产的价值评评估标准，对对每一种资资产和每一一种可能的的损失，例例如机密性性、完整性性和可

25、用性性的损失，都都可以赋予予一个价值值。但采用用精确的方方式给资产产赋值是较较困难的一一件事，一一般采用定定性的方式式，按照事事前建立的的资产的价价值评估标标准将资产产的价值划划分为不同同等级。经经过资产的的识别与估估价后，组组织应根据据资产价值值大小，进进一步确定定要保护的的关键资产产。 资资产分别具具有不同的的安全属性性，机密性性、完整性性和可用性性分别反映映了资产在在三个不同同方面的特特性。安全全属性的不不同通常也也意味着安安全控制、保保护功能需需求的不同同。通过考考察三种不不同安全属属性，可以以得出一个个能够基本本反映资产产价值的数数值。对信信息资产进进行估价赋赋值的目的的是为了更更好

26、地反映映资产的价价值，以便便于进一步步考察资产产相关的弱弱点、威胁胁和风险属属性，并进进行量化。 在在评估过程程，为了保保证没有资资产被忽略略和遗漏，应应该先确定定信息安全全管理体系系(ISMMS)范围围，建立资资产的评审审边界。评评估资产最最简单的方方式是列出出组织业务务过程中、安安全管理体体系范围内内所有具有有价值的资资产，然后后对资产赋赋予一定的的价值，这这种价值应应该反映资资产对组织织业务运营营的重要性性，并以对对业务的潜潜在影响程程度表现出出来。例如如，资产价价值越大，由由于泄露、修修改、损害害、不可用用等安全事事件对组织织业务的潜潜在影响就就越大。基基于组织业业务需要的的资产的识识

27、别与估价价，是建立立信息安全全体系，确确定风险的的重要一步步。 资资产的价值值应当由资资产的所有有者和相关关用户来确确定，只有有他们才最最清楚资产产对组织业业务的重要要性，才能能较准确地地评估出资资产的实际际价值。为为确保资产产赋值时的的一致性和和准确性，组组织应建立立一个资产产价值评价价尺度，以以指导资产产赋值。 在在对资产赋赋予价值时时，一方面面要考虑资资产购买成成本及维护护成本，另另一方面主主要考虑当当这种资产产的机密性性、完整性性、可用性性受到损害害时，对业业务运营的的负面影响响程度。在在信息安全全管理中，并并不是直接接采用资产产的账面价价值，在运运维中心风风险评估中中采用以定定性分级

28、的的方式建立立资产的相相对价值，以以相对价值值来作为确确定重要资资产的依据据和为这种种资产的保保护投入多多大资源的的依据。5.1.1 资产分类 运维维中心资产产分类见下下表：大类小类名称硬件类H010大型机H020小型机H030PC服务器器H040PC台式机机H050PC移动电电脑H060业务终端H070通讯设施H080网络交换机机H090网络路由器器H100负载均衡器器H110网络安全设设备H120数据存储设设备H130移动存储设设备H140存储介质H150纸质文档H160智能卡设备备H170UPS设备备H180发电机H190设备管理间间H200电线电缆H210显示设备H220监控设备H23

29、0传真机/传传真系统H240照明设施H250供电设施H260供水设施H270暖通空调H280消防设施H290门禁系统H300打印机H310复印机H320扫描仪H330投影机H340机架系统服务类类S010核心业务应应用系统S020辅助业务应应用系统S030网络基础应应用系统S040网络安全系系统S050操作系统S060数据库S070中间件S080软件开发工工具S090软件测试工工具S100其他系统或或服务信息类I010软件I020开发文档及及源代码I030用户文档I040系统业务数数据I050系统支撑数数据I060密码数据I070其他支撑服务类类F010通讯服务F020系统运行F030系统维护

30、F040软件开发F050软件维护F060安全保卫F070人力资源服服务F080财务服务F090供电F100供暖F110消防F120照明F130空调F140咨询服务F150培训服务F160审计服务人员类R010管理层人员员R020网络管理人人员R030系统管理人人员R040安全管理人人员R050软件开发人人员R060软件测试人人员R070通讯管理人人员R080文档管理人人员R090系统用户R100企业客户R110签约供应商商R120第三方人员员R130临时人员无形资产类类W010公信力 W020组织形象与与声誉 W030商标W040产品名称W050知识产权表5-2 资产分类类表5.1.2 资产价

31、值属属性除了机密性性、完整性性和可用性性外，在运运维中心风风险评估中中引入系统统对业务的的重要程度度、资产对对系统的重重要程度，资资产花费等等资产价值值属性，各各价值属性性图示如下下：图5-2 资产价值值属性1. 系统服务范范围：说明明当前业务务系统应用用或服务的的范围，评评估人员可可以人工分分析并选择择系统服务务范围值。2. 业务对系统统的依赖程程度：用于于衡量部门门业务对当当前业务系系统的依赖赖程度，评评估人员可可以人工分分析并选择择业务对系系统的依赖赖程度值。3. 系统对业务务的重要程程度：用于于衡量业务务系统对业业务的重要要性，其值值由系统服服务范围和和业务对系系统的依赖赖程度确定定。

32、4. 信息保密性性：说明信信息资产本本身或硬件件、系统服服务类资产产所包含信信息的保密密性价值，评评估人员可可以人工分分析并选择择信息保密密性值。5. 信息完整性性：说明信信息资产本本身或硬件件、系统服服务类资产产所包含信信息的完整整性价值，评评估人员可可以人工分分析并选择择信息完整整性值。6. 信息可用性性：说明信信息资产本本身或硬件件、系统服服务类资产产所包含信信息的可用用性价值，评评估人员可可以人工分分析并选择择信息可用用性值。7. 资产信息重重要性：用用于衡量信信息资产本本身或硬件件、系统服服务类资产产所包含信信息的信息息价值，其其值由信息息保密性、信信息完整性性和信息可可用性确定定。

33、8. 资产对系统统的重要程程度：用于于衡量硬件件、系统服服务类资产产对业务系系统的可用用性价值，评评估人员可可以人工分分析并选择择对系统的的重要程度度值。9. 资产对业务务的重要程程度：用于于衡量硬件件、系统服服务类资产产对业务的的重要性，其其值由系统统对业务的的重要程度度和资产对对系统的重重要程度确确定。10. 资产业务价价值：用于于衡量硬件件、系统服服务、人员员及其它类类资产对业业务的价值值，对于人人员及无形形类资产，其其值由对业业务的重要要程度确定定，对于硬硬件、系统统服务类资资产，其值值由对业务务的重要程程度和资产产信息重要要性确定。11. 花费：用于于衡量购买买或恢复被被破坏的资资产

34、所需要要的花消，评评估人员可可以人工分分析并选择择花费值。12. 资产价值：用于表示示资产的重重要性，其其值由资产产业务价值值和花费确确定。不同类别资资产赋值可可能采用不不同的价值值属性。具具体见下表表：资产类别价值属性硬件类系统服务类类信息类支撑服务人员无形资产系统服务范范围业务对系统统的依赖程程度系统对业务务的重要程程度保密性完整性可用性资产CIAA重要性资产对系统统的重要程程度资产对业务务的重要程程度资产业务价价值花费表5-3 不同资产产采用的价价值属性5.1.3 资产价值属属性赋值标标准运维中心风风险评估使使用的资产产属性赋值值标准见下下表：l 系统服务范范围赋值系统服务范范围赋值描述

35、1运维中心内内部。2面向开发基基地。3面向整个公公司内部。4面向整个公公司内部及及客户、政政府、组织织等。表5-4 系统服务务范围赋值值表l 业务对系统统的依赖程程度赋值业务对系统统依赖程度度赋值描述1整个业务处处理流程可可以通过手手工方式或或其他方式式完成，而而且这些替替代方式对对组织业务务的开展没没有或极少少影响。2整个业务处处理流程可可以通过手手工方式或或其他方式式完成，但但这些替代代方式对组组织业务的的开展有较较大的影响响。3业务处理流流程的部分分环节可以以通过手工工方式或其其他方式替替代完成, 这些替替代方式对对组织业务务的开展有有较大的影影响。4业务处理流流程完全依依赖信息系系统，

36、手工工方式无法法完成。表5-5业业务对系统统的依赖程程度赋值表表l 系统对业务务的重要程程度计算系统重要程程度权值（WW）系统统服务范围围值+业务务对系统依依赖程度值值系统重要程程度值TT1（W）T1是非线线性函数，用用于将计算算出的权值值W映射到到5级，得得到系统重重要程度值值，见下表表：系统对业务务重要程度度赋值描述1W=2，332W=43W=54W=65W=7，88表5-6系系统对业务务的重要程程度计算表表l 信息保密性性赋值信息保密性性赋值描述1信息的未授授权泄露对对运维中心心的业务以以及利益基基本不会受受到影响或或损害极小小。2信息的未授授权泄露对对运维中心心的业务以以及利益带带来一

37、定的的损失或破破坏。3信息的未授授权泄露对对运维中心心的业务、利利益以及整整个公司利利益带来严严重的损失失或破坏。4信息的未授授权泄露对对运维中心心的业务、利利益以及整整个公司利利益带来极极其严重的的损失或破破坏。5信息的未授授权泄露会会对运维中中心的业务务、利益以以及整个公公司利益带带来灾难性性的损失或或破坏。表5-7信信息保密性性赋值表l 信息完整性性赋值信息完整性性赋值描述1信息的未授授权的修改改或破坏对对运维中心心的业务以以及利益基基本不会受受到影响或或损害极小小。2信息的未授授权的修改改或破坏对对运维中心心的业务以以及利益带带来一定的的损失或破破坏。3信息的未授授权的修改改或破坏对对

38、运维中心心的业务、利利益以及整整个公司利利益带来严严重的损失失或破坏。4信息的未授授权的修改改或破坏会会对运维中中心的业务务、利益以以及整个公公司利益带带来极其严严重的损失失或破坏。5信息的未授授权的修改改或破坏会会对运维中中心的业务务、利益以以及整个公公司利益带带来灾难性性的损失或或破坏。表5-8信信息完整性性赋值表l 信息可用性性赋值信息可用性性赋值描述1可用性价值值可以忽略略，合法使使用者对信信息及信息息系统的可可用度在正正常工作时时间低于225%2可用性价值值较低，合合法使用者者对信息及及信息系统统的可用度度在正常工工作时间达达到25%以上3可用性价值值中等，合合法使用者者对信息及及信

39、息系统统的可用度度在正常工工作时间达达到70%以上4可用性价值值较高，合合法使用者者对信息及及信息系统统的可用度度达到每天天90%以以上5可用性价值值非常高，合合法使用者者对信息及及信息系统统的可用度度达到年度度99.99%以上表5-9信信息可用性性赋值表l 资产CIAA重要性计计算资产CIAA重要性值值MAXX（保密性性值、完整整性值、可可用性值）l 资产对系统统的重要程程度赋值对系统的重重要程度赋赋值描述1资产出现问问题对整个个业务系统统的可用性性影响极小小或没有影影响。2资产出现问问题对整个个业务系统统的可用性性有一定的的影响。3资产出现问问题对整个个业务系统统的可用性性有较大的的影响。

40、4资产出现问问题将导致致整个业务务系统丧失失可用性。表5-100资产对系系统的重要要程度赋值值表l 资产对业务务的重要程程度计算资产对业务务的重要程程度权重(W)系系统对业务务的重要程程度值资产对系系统的重要要程度值资产对业业务的重要要程度值T2（WW）T2是非线线性函数，用用于将计算算出的权值值W映射到到5级，得得到资产对对业务重要要程度值，见见下表：资产对业务务重要程度度赋值描述1W=1，222W=3，44，53W=6，88，94W=100，125W=155，16，220表5-111资产对业业务的重要要程度计算算表l 资产业务价价值计算资产业务价价值MAAX（资产产对业务的的重要程度度值、

41、资产产CIA重重要性值）l 花费赋值资产花费赋赋值描述1购买或恢复复资产花费费=0.1万元。20.1万元元购买或或恢复资产产花费11万元。31万元购购买或恢复复资产花费费10万万元。410万元购买或恢恢复资产花花费500万元。550万元购买或恢恢复资产花花费表5-122资产花费费赋值表l 资产价值计计算资产价值MAX（资资产业务价价值、花费费）5.2 威胁评估威胁是一种种对运维中中心资产构构成潜在破破坏的可能能性因素或或者事件。无无论对于实实施多少安安全控制的的信息系统统，威胁始始终是一个个客观存在在的，因此此在风险评评估中威胁胁是需要考考虑的重要要因素之一一。威胁可以通通过威胁主主体、资源源

42、、动机、途途径等多种种属性来描描述。造成成威胁的因因素可分为为人为因素素和环境因因素。根据据威胁的动动机，人为为因素又可可分为恶意意和非恶意意两种。环环境因素包包括自然界界不可抗的的因素和其其它物理因因素。威胁胁作用形式式可以是对对信息系统统直接或间间接的攻击击，在机密密性、完整整性或可用用性等方面面造成损害害；也可能能是偶发的的、或蓄意意的事件。5.2.1 威胁分类在对威胁进进行分类前前，应考虑虑威胁的来来源。威胁胁来源如下下表述：威胁编号威胁来源威胁来源描描述TR01环境因素、意意外事故或或故障由于断电、静静电、灰尘尘、潮湿、温温度、鼠蚁蚁虫害、电电磁干扰、洪洪灾、火灾灾、地震等等环境条件

43、件和自然灾灾害；意外外事故或由由于软件、硬硬件、数据据、通讯线线路方面的的故障TR02无恶意内部部人员内部人员由由于缺乏责责任心，或或者由于不不关心和不不专注，或或者没有遵遵循规章制制度和操作作流程而导导致故障或或被攻击；内部人员员由于缺乏乏培训，专专业技能不不足,不具具备岗位技技能要求而而导致信息息系统故障障或被攻击击TR03恶意内部人人员不满的或有有预谋的内内部人员对对信息系统统进行恶意意破坏；采采用自主的的或内外勾勾结的方式式盗窃机密密信息或进进行篡改，获获取利益TR04第三方第三方合作作伙伴和供供应商，包包括电信、移移动等业务务合作伙伴伴以及软件件开发合作作伙伴、系系统集成商商、服务商

44、商和产品供供应商；包包括第三方方恶意的和和无恶意的的行为TR05外部人员攻攻击外部人员利利用信息系系统的脆弱弱性，对网网络和系统统的机密性性、完整性性和可用性性进行破坏坏，以获取取利益或炫炫耀能力表5-133威胁来源源表在威胁评估估过程中，首首先就要对对运维中心心需要保护护的每一项项关键资产产进行威胁胁识别。在在威胁识别别过程中，应应根据资产产所处的环环境条件和和资产以前前遭受威胁胁损害的情情况来判断断。一项资资产可能面面临着多个个威胁，同同样一个威威胁可能对对不同的资资产造成影影响。在运运维中心风风险评估中中采用问卷卷调查和小小组访谈进进行威胁识识别和评估估。对威胁进行行分类的方方式有多种种多样，可可以根据其其表现形式式将威胁分分为以下种种类：编号种类描述威胁子类TC01软硬件故障障由于设备硬硬件故障、通通讯链路中中