信息安全风险评估方法与相关实践.ppt
( 4.5 )《信息安全风险评估方法与相关实践.ppt》由会员分享，可在线阅读，更多相关《信息安全风险评估方法与相关实践.ppt（110页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。
1、启启明明星星辰辰信信息息技技术术有有限限公公司司VENUS INFORMATION TECH INC.启启明明星星辰辰信信息息技技术术有有限限公公司司启启明明星星辰辰信信息息技技术术有有限限公公司司VENUS INFORMATION TECH INC.信息安全风险评估方法与相关实践 2006年年11月月第一页，编辑于星期六：十六点 十五分。Page 2启启明明星星辰辰信信息息技技术术有有限限公公司司n风险评估概念n风险管理系统n相关标准介绍n风险评估实践过程n风险评估分析方法nOCTAVE风险评估的实施过程n企业风险评估策略n风险控制措施目 录沉 静 的 力 量 可 信 的 保 障第二页，编辑
2、于星期六：十六点 十五分。Page 3启启明明星星辰辰信信息息技技术术有有限限公公司司n风险评估概念n风险管理系统n相关标准介绍n风险评估实践过程n风险评估分析方法nOCTAVE风险评估的实施过程n企业风险评估策略n风险控制措施目 录沉 静 的 力 量 可 信 的 保 障第三页，编辑于星期六：十六点 十五分。Page 4启启明明星星辰辰信信息息技技术术有有限限公公司司风险评估概述风险评估概述 （一）（一）我们进行信息安全建设的目的是什么？第四页，编辑于星期六：十六点 十五分。Page 5启启明明星星辰辰信信息息技技术术有有限限公公司司风险评估概述（二）风险评估概述（二）风险管理信息系统敏感信息
3、被泄露无法向合法用户提供信息和/或服务关键数据/信息被未经授权修改 违反法律、规章或契约 损害信息自主权 影响生命/健康 降低工作效率/生产力 降低信誉/客户信心 经济损失 其它风风险险影响组织运营（使命、战略目标、任务的实现）信息不安全第五页，编辑于星期六：十六点 十五分。Page 6启启明明星星辰辰信信息息技技术术有有限限公公司司风险评估概述（三）风险评估概述（三）n风险：风险：q特定威胁利用某一资产或一组资产的脆弱性，从而对组织产生损害的可能性。“Risk：the potential that a given threat will exploit vulnerabilities of
4、an asset or group of assets and thereby cause harm to the organization”【ISO/IEC TR 13335-1：2001，信息技术，信息技术-安全技术安全技术-IT安全管理指南（安全管理指南（Information Technology-Security techniques-Guidelines for the management of IT Security（GMITS）-Part 1：IT安全概念和模型（安全概念和模型（Concepts and models for IT Security）】第六页，编辑于星期六：十
5、六点 十五分。Page 7启启明明星星辰辰信信息息技技术术有有限限公公司司操作系统漏洞信息或数据黑客利用利用侵入侵入资资产产脆弱脆弱性性威胁威胁来源来源风风 险险可能性损害（影响）第七页，编辑于星期六：十六点 十五分。Page 8启启明明星星辰辰信信息息技技术术有有限限公公司司风险评估概述（四）风险评估概述（四）管理风险的第一步：识别、理解与支持组织使命完成的信息系统有关的风险。一个全面的风险评估可以帮助识别组织信息系统所存在的风险。第八页，编辑于星期六：十六点 十五分。Page 9启启明明星星辰辰信信息息技技术术有有限限公公司司风险评估概述（五）风险评估概述（五）n风险评估是：风险评估是：q
6、对信息系统的维护、管理、操作过程等进行分析q鉴别存在的脆弱性以及可能利用脆弱性的威胁q评价是否实施和维护了适当的安全措施q鉴别存在的风险以及风险发生的可能性和影响q选择将风险降低到组织可接受级别的安全措施n在评估过程中：在评估过程中：q信息系统评估人员要获得充分的、可靠的、有关的和有用的证据，以有效完成评估目标。q通过对证据进行适当的分析和解释，从而支持评估结果和结论。第九页，编辑于星期六：十六点 十五分。Page 10启启明明星星辰辰信信息息技技术术有有限限公公司司风险评估的相关概念风险评估的相关概念n资产评估资产评估弱点评估弱点评估威胁评估威胁评估威胁评估威胁评估风险评估风险评估第十页，编
7、辑于星期六：十六点 十五分。Page 11启启明明星星辰辰信信息息技技术术有有限限公公司司 VulnerabilitiesVulnerabilities弱点弱点弱点弱点Threat-SourcesThreat-Sources威胁源威胁源威胁源威胁源利用利用利用利用威胁（可能性）威胁（可能性）威胁（可能性）威胁（可能性）破坏（影响）破坏（影响）破坏（影响）破坏（影响）存在存在存在存在AssetsAssets资产资产资产资产RisksRisks风险风险风险风险风险评估的相关概念风险评估的相关概念第十一页，编辑于星期六：十六点 十五分。Page 12启启明明星星辰辰信信息息技技术术有有限限公公司司风
8、险关系图风险关系图第十二页，编辑于星期六：十六点 十五分。Page 13启启明明星星辰辰信信息息技技术术有有限限公公司司n风险评估概念n风险管理系统n相关标准介绍n风险评估实践过程n风险评估分析方法nOCTAVE风险评估的实施过程n企业风险评估策略n风险控制措施目 录沉 静 的 力 量 可 信 的 保 障第十三页，编辑于星期六：十六点 十五分。Page 14启启明明星星辰辰信信息息技技术术有有限限公公司司安全风险管理现状安全风险管理现状n大型企业和政府组织大型企业和政府组织q地域分布，网络规模庞大q业务应用日益复杂n安全风险多样化安全风险多样化q外部威胁q内部威胁n分散的管理分散的管理q没有完
9、整的企业风险视图q增加管理成本和管理难度q难以执行统一的安全策略q管理孤岛难以阻挡风险的引入和蔓延第十四页，编辑于星期六：十六点 十五分。Page 15启启明明星星辰辰信信息息技技术术有有限限公公司司风险管理要求风险管理要求n以资产为核心的安全管理体系以资产为核心的安全管理体系q资产价值q资产安全环境q资产风险q资产风险变化n集中管理集中管理q统一的安全策略q多级安全风险管理v安全风险视图v安全风险控制v安全风险监控第十五页，编辑于星期六：十六点 十五分。Page 16启启明明星星辰辰信信息息技技术术有有限限公公司司风险管理的对象风险管理的对象第十六页，编辑于星期六：十六点 十五分。Page
10、17启启明明星星辰辰信信息息技技术术有有限限公公司司大类子类示例信息文本、图形、图片、音频、视频、动画、立体等形式。信息载体物理平台计算芯片（CPU、控制芯片、专用处理芯片等）、存储介质（内存、磁盘、光盘、磁带等）、通信介质（双绞线、同轴电缆、光纤、微波、红外线、卫星等）、人机界面（终端、键盘、鼠标、打印机、扫描仪、数字摄像机、数字放映机等）等硬件。系统平台操作系统、数据库系统等系统软件。通信平台通信协议及其软件。网络平台网络协议及其软件。应用平台应用协议及其软件。信息环境硬环境机房、电力、照明、温控、湿控、防盗、防火、防震、防水、防雷、防电磁辐射、抗电磁干扰等设施。软环境国家法律、行政法规、
11、部门规章、政治经济、社会文化、思想意识、教育培训、人员素质、组织机构、监督管理、安全认证等方面。第十七页，编辑于星期六：十六点 十五分。Page 18启启明明星星辰辰信信息息技技术术有有限限公公司司风险管理的内容和过程风险管理的内容和过程第十八页，编辑于星期六：十六点 十五分。Page 19启启明明星星辰辰信信息息技技术术有有限限公公司司信息安全目标信息安全目标第十九页，编辑于星期六：十六点 十五分。Page 20启启明明星星辰辰信信息息技技术术有有限限公公司司风险管理风险管理&安全目标安全目标&生命周期生命周期第二十页，编辑于星期六：十六点 十五分。Page 21启启明明星星辰辰信信息息技技
12、术术有有限限公公司司角色和责任角色和责任层面信息系统信息安全风险管理角色内外部责任角色内外部责任决策层主管者内负责信息系统的重大决策。主管者内负责信息安全风险管理的重大决策。管理层管理者内负责信息系统的规划，以及建设、运行、维护和监控等方面的组织和协调。管理者内负责信息安全风险管理的规划，以及实施和监控过程中的组织和协调。执行层建设者内或外负责信息系统的设计和实施。执行者内或外负责信息安全风险管理的实施。运行者内负责信息系统的日常运行和操作。维护者内或外负责信息系统的日常维护，包括维修和升级。监控者内负责信息系统的监视和控制。监控者内负责信息安全风险管理过程、成本和结果的监视和控制。支持层专业
13、者外为信息系统提供专业咨询、培训、诊断和工具等服务。专业者外为信息安全风险管理提供专业咨询、培训、诊断和工具等服务。用户层使用者内或外利用信息系统完成自身的任务。受益者内或外反馈信息安全风险管理的效果。第二十一页，编辑于星期六：十六点 十五分。Page 22启启明明星星辰辰信信息息技技术术有有限限公公司司n风险评估概念n风险管理系统n相关标准介绍n风险评估实践过程n风险评估分析方法nOCTAVE风险评估的实施过程n企业风险评估策略n风险控制措施目 录沉 静 的 力 量 可 信 的 保 障第二十二页，编辑于星期六：十六点 十五分。Page 23启启明明星星辰辰信信息息技技术术有有限限公公司司常见
14、评估方法常见评估方法NIST SP800-30 Risk Management Guide for Information Technology Systems信息技术系统风险管理信息技术系统风险管理指南指南CERT OCTAVEThe Operationally Critical Threat,Asset,and Vulnerability Evaluation可操作的关键威胁、资产可操作的关键威胁、资产和脆弱性评价和脆弱性评价NSA IAMINFOSEC Assessment Methodology信息安全信息安全评估方法评估方法第二十三页，编辑于星期六：十六点 十五分。Page 24启启
15、明明星星辰辰信信息息技技术术有有限限公公司司常见评估方法常见评估方法SP800-30nSP800-30（Risk Management Guide for Information Technology Systems）信信息技术系统风险管理指南息技术系统风险管理指南q提供了进行风险评估工作需要考虑的基本因素，包括资产、脆弱性、威胁、现有控制措施；q然后基于这些信息确定威胁发生的可能性和影响，从而确定组织所面临的风险级别，并针对不可接受风险提供相应的控制措施建议。第二十四页，编辑于星期六：十六点 十五分。Page 25启启明明星星辰辰信信息息技技术术有有限限公公司司n步骤步骤1系统特性分析：收集
16、有价值的系统信息，如硬件、软件、系统特性分析：收集有价值的系统信息，如硬件、软件、系统接口、数据信息、相关人员、系统功能、系统数据重要程度系统接口、数据信息、相关人员、系统功能、系统数据重要程度等。等。n步骤步骤2脆弱性鉴别：列举出系统所存在的脆弱性。脆弱性鉴别：列举出系统所存在的脆弱性。n步骤步骤3威胁鉴别：确定威胁源（如自然威胁、人为威胁鉴别：确定威胁源（如自然威胁、人为威胁、环境威胁等）以及各威胁源相应的动机和威胁威胁、环境威胁等）以及各威胁源相应的动机和威胁形式。形式。n步骤步骤4控制措施分析：对已经实施的或即将实施的用于降控制措施分析：对已经实施的或即将实施的用于降低系统被危害的可能
17、性的风险控制方法进行分析。低系统被危害的可能性的风险控制方法进行分析。n步骤步骤5可能性确定：判断并确定威胁发生的可能性。可能性确定：判断并确定威胁发生的可能性。n步骤步骤6影响分析：分析如果威胁发生，将会发生什么影响以及影响分析：分析如果威胁发生，将会发生什么影响以及影响程度。影响程度。n步骤步骤7风险确定：通过考虑威胁发生的可能性及相应的风险确定：通过考虑威胁发生的可能性及相应的影响来确定风险的级别。影响来确定风险的级别。n步骤步骤8控制措施建议：此时需要提出需要采用的控制手段的控制措施建议：此时需要提出需要采用的控制手段的建议，以便使系统的风险控制在可以接受的范围之内。建议，以便使系统的
18、风险控制在可以接受的范围之内。n步骤步骤9结果文档：风险评估完成后，所有的评估结果都应该正式结果文档：风险评估完成后，所有的评估结果都应该正式记录在案。这一步骤就是将所有的评估结果进行记录。记录在案。这一步骤就是将所有的评估结果进行记录。第二十五页，编辑于星期六：十六点 十五分。Page 26启启明明星星辰辰信信息息技技术术有有限限公公司司n优点：优点：q明确指出在判断可能性时，需要考虑现有控制措施的效力，也就是目前所实施的控制措施是否将降低威胁发生的可能性。q而其它许多风险评估方法在判断可能性时，却基本没考虑到现有措施对威胁发生可能性的作用。n不足：不足：q在进行影响判断时，只考虑到系统的使
19、命、系统和数据的关键性以及敏感性，而没有考虑到现有控制措施也有可能降低威胁发生的影响。第二十六页，编辑于星期六：十六点 十五分。Page 27启启明明星星辰辰信信息息技技术术有有限限公公司司常见评估方法常见评估方法OCTAVEnOCTAVE（The Operationally Critical Threat,Asset,and Vulnerability Evaluation）可操作的关键威胁、资产可操作的关键威胁、资产和脆弱性评价和脆弱性评价q通过分析组织的关键资产、威胁和脆弱性、来实现对组织的信息安全进行全面评估。第二十七页，编辑于星期六：十六点 十五分。Page 28启启明明星星辰辰信信
20、息息技技术术有有限限公公司司n第第1阶段：创建基于资产的阶段：创建基于资产的威胁轮廓威胁轮廓q过程1：识别高层管理人员认识q过程2：识别运营区域管理人员认识q过程3：识别职员认识q过程4：创建威胁轮廓n第第2阶段：识别基础设施脆弱阶段：识别基础设施脆弱性性q过程5：识别关键组件q过程6：评估所选择的组件n第第3阶段：开发安全策略和计阶段：开发安全策略和计划划q过程7：进行风险分析q过程8：制定防护策略第二十八页，编辑于星期六：十六点 十五分。Page 29启启明明星星辰辰信信息息技技术术有有限限公公司司n优点：优点：q明确指出要成功进行一个有效的风险评估，必须组织各级别人员（高层管理人员、运营
21、区域管理人员、IT技术人员和一般职员）参与评估活动，而不仅仅是IT技术人员。n不足：不足：q鉴别威胁的方法是通过与组织各级别人员的研讨会来获得的。在研讨会上，评估小组向参与人员分发关心区域工作表，要求参与人员基于该工作表来考虑可能的威胁情形。而该工作表只起到提示作用，所以除非参与人员在日常工作中比较关注安全问题，方能基于以上提示给出比较有意义的解答。否则，参与人员将只能提供一些简单的解答，对于了解组织的实际安全现状并不会起到太大的作用。q在OCTAVE中将安全需求与影响分开考虑，这种方式不是很合理。安全需求应该是因为如果资产遭受破坏，会导致什么样的影响，从而才能确定安全需求及其级别，而不是为了
22、安全需求而考虑安全需求。第二十九页，编辑于星期六：十六点 十五分。Page 30启启明明星星辰辰信信息息技技术术有有限限公公司司常见评估方法常见评估方法IAMnIAM（INFOSEC Assessment Methodology）信息安全评估方法信息安全评估方法qNSA（美国国家安全局）为保护国家安全开发的一种信息安全风险评估方法。q1998年，由于第63号总统令（克林顿政府对关键基础设施保护的政策）的发布以及NSA规模的缩减，为了最大化利用资源来尽可能向所有的联邦政府机构提供安全指南，NSA 开发了IAM以满足对信息安全评估的需要。在2001年许多商业机构也开始使用NSA IAM来评估自身的
23、信息系统安全状况。第三十页，编辑于星期六：十六点 十五分。Page 31启启明明星星辰辰信信息息技技术术有有限限公公司司nIAM分成三个阶段：分成三个阶段：q评估前（Pre-assessment）q现场活动（On-site activities）q评估后（Post-assessment）n每个阶段都有特定的目标和输出每个阶段都有特定的目标和输出评估前现场活动评估后提炼客户需求理解客户的信息关键性鉴别系统，包括系统边界协调后勤编写评估计划探测和确认在评估前阶段获得的信息和结论通过访谈、文档和系统示范，进行数据收集和验证向客户提供初始分析和反馈完成分析准备和调整最终报告第三十一页，编辑于星期六：十
24、六点 十五分。Page 32启启明明星星辰辰信信息息技技术术有有限限公公司司n优点：优点：q明确提出了需要对18项内容进行评估，并将这18项内容分成3类：管理、技术和操作。n不足：不足：qIAM是一种基于信息的安全评估方法。它首先需要确定组织的信息。由于组织里存在着众多的信息，随着评估活动的发展，将会不时发现新的信息，因此以这种方式开始评估容易导致丢失信息，从而影响下一步的评估工作。在IAM课程中虽然也提到这个过程在评估中可能会有所反复，但也就因此，容易导致评估工作难以控制，使得评估周期延长。除非组织人员对组织里的所有信息都有明确的认识。管理技术操作信息安全文档信息安全角色和职责应急计划配置管
25、理识别和认证帐号管理会话控制审计恶意代码防护维护系统保障网络/连接通信安全介质控制标记物理环境人员安全教育培训和意识第三十二页，编辑于星期六：十六点 十五分。Page 33启启明明星星辰辰信信息息技技术术有有限限公公司司n风险评估概念n风险管理系统n相关标准介绍n风险评估实践过程n风险评估分析方法nOCTAVE风险评估的实施过程n企业风险评估策略n风险控制措施目 录沉 静 的 力 量 可 信 的 保 障第三十三页，编辑于星期六：十六点 十五分。Page 34启启明明星星辰辰信信息息技技术术有有限限公公司司评估过程评估过程第一阶段第一阶段 计划准备阶段计划准备阶段q确定范围对象q确定进度计划第二
- 配套讲稿：
如PPT文件的首页显示word图标，表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制：
部分文档作品中含有的国旗、国徽等图片，仅作为作品整体效果示例展示，禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词：
- 信息 安全 风险 评估 方法 相关 实践
淘文阁 - 分享文档赚钱的网站所有资源均是用户自行上传分享，仅供网友学习交流，未经上传用户书面授权，请勿作他用。
限制150内