NIST SP800-30 摘要

威胁识别（Threat Identification）

缺陷识别（Vulnerability Identification）

控制分析（Control Analysis）

可能性确定（Likelihood Determination）

影响分析（Impact Analysis）

风险确定（Risk Determination）

控制建议（Control Recommendations）

结果报告（Results Documentation）

系统评定

确定风险评估工作的范围；

勾勒运作授权（或认可）边界；

提供定义系统风险的重要信息，这些信息主要包括以下类型：

o硬件；

o软件；

o系统接口（如内部和外部连接）；

o数据和信息；

o支持和使用IT系统的人员；

o系统的使命（如IT系统所起的作用）；

o系统和数据的关键程度（如系统的价值或对机构的重要性）；

o系统和数据的敏感性。

系统评定应收集的信息

IT系统的功能需求（Functional Requirements）；

系统的用户，包括为系统提供技术支持的系统用户（System Users），和使用系统执行业务功能的应用用户（Application Users）；

系统安全政策（Security Policy），包括机构政策（Organizational Policy）、政府要求（Federal Requirements）、法律法规（Law）和业界惯例（Industry Practices）；

系统安全架构（System Security Architecture）；

当前的网络拓扑（Topology）；

系统的可用性需求？

机构需要什么信息（包括双向的）？

系统生成、使用、处理、存取什么信息？

信息对于用户使命有多重要？

信息流经的路径？

系统处理和存储的信息类型（金融、人事、研发、医疗、控制）？

信息的敏感级别？

系统的哪些信息不应泄漏给哪些人？

信息处理和存储的明确地点？

信息存储器的类型？

如果信息泄漏给非授权人员会给机构带来怎样的潜在影响？

信息的可用性和完整性需求？

如果系统或信息不可靠会对机构产生什么影响？

机构能够容忍的系统停机时间？这个时间大于平均修复/恢复时间吗？用户还有其它处理或通讯选项吗？

系统或安全故障会造成人员伤亡吗？

缺陷识别

缺陷识别（Vulnerability Identification）的目的是编写可能被威胁源利用的系统缺陷清单；

识别系统缺陷的方法包括：

使用系统评定阶段的信息收集技术；

进行系统安全测试；

制定安全需求检查列表（Checklist）；

不同阶段的系统其缺陷识别方法有所不同：

设计阶段的系统可关注机构安全政策、所计划的安全规程、系统安全需求定义、开

认证、入侵检测、对象重用、系统审计等标准。

控制分析

安全控制可以减少或消除威胁利用系统缺陷的可能性，要确定系统面临的风险就必须对已部署或计划部署的控制进行分析；

控制方法可分为技术方法，即计算机硬件、软件或固件中的安全控制机制，非技术方法，即管理和运作控制方法，如安全政策、运作规程、人事、物理、环境安全控制；

控制方法还可进一步分为防御控制，如访问控制、加密、身份认证，检测控制，如审计跟踪、入侵检测和检验和；

为了更有效率和更全面地对安全控制进行分析，也可以使用缺陷分析中提到的安全需求检查列表的方法。

可能性确定

确定在当前系统环境中，潜在缺陷被利用的可能性，它取决于：

威胁源动机和能力；

缺陷性质；

现有控制的效力；

可能性可被描述为：

高，威胁源具有很强的动机和能力，现有控制无效；

中，威胁源具有相当的动机和能力，现有控制具有阻碍其利用缺陷的能力；

低，威胁源缺乏动机或能力，现有控制能够防止或有效阻碍其利用缺陷的能力。

影响分析

影响分析是确定一次缺陷的成功利用所造成的负面影响程度，它主要取决于：对系统所执行使命（如该系统执行的业务操作）的影响，可以通过业务影响分析（Business Impact Analysis）确定；

系统和数据的关键程度（如系统的价值或对机构的重要程度），可以通过资产关键程度分析确定；

系统和数据的敏感性，可通过丧失完整性、可用性、保密性的影响分析确定；

系统和信息的拥有者负责确定其系统和信息受到影响的程度，所以影响分析的主要工作是访问系统和信息的拥有者。

定性与定量分析方法

定量分析，对一些有形的损失，如收入、维修费用、恢复费用可以通过定量的方式衡量；定性分析，对于另外一些影响，如公众信任、机构信誉、形象和长远利益的损失难以使用定

控制建议

提供消减风险的控制措施建议，应考虑以下因素：

建议选项的有效性（Effectiveness）；

法律法规（Legislation and Regulation）；

机构政策（Organizational Policy）；

运作影响（Operational Impact）；

安全性和可靠性（Safety and Reliability）；

控制建议将作为风险消减阶段的输入，风险消减阶段将对这些控制选项进行成本效益（Cost-Benefit）分析，并研究其可行性（Feasibility）和对运作（如性能、用户友好）的影响。

结果报告

风险评估结束时，应将其结果记录在正式的风险评估报告中，该报告描述系统面临的威胁和缺陷，风险评测的结果，消减风险的安全控制建议等内容；

风险评估报告的目的是帮助高级管理人员作出政策、规程、预算、系统运作和管理更改方面的决策；

与审计和调查报告不同，风险评估报告不是寻找系统中的差错，而是对系统风险的全面分析，所以在报告中应将威胁/缺陷对作为观察结果加以记录，以便管理者客观、全面了解系统面临的风险。

风险评估报告的组成

概述

1、简介

目的

此风险评估的范围

描述系统组件、要素、用户、地点以及其它与评估有关的系统细节。

2、风险评估方法

简要描述风险评估所使用的方法，如：

参与者（如风险评估团队成员）；

收集信息所使用的技术（如工具和问卷的使用）；

风险等级的制定和描述（如3X3、4X4、5X5风险水平矩阵）；

3、系统评定

评定系统，包括硬件（服务器、路由器、交换机）、软件（如应用程序、操作系统、协议）、

系统接口（如通讯链路）、数据、用户。提供连接图或系统输入、输出流程图以明确风险评估工作的范围；

4、威胁描述

汇集和列出潜在威胁源及其威胁活动清单；

5、风险评估结果

列出观察结果（缺陷/威胁对）。每个观察结果必须包括：

观察结果编号及其简要描述（如观察结果1:用户系统口令可以被猜测或破解）；

威胁源和缺陷对的讨论；

现有消减安全控制的识别；

可能性讨论和评价（如高、中、低可能性）；

影响分析讨论和评价（如高、中、低影响）；

基于分析水平矩阵的风险评级（如高、中、低风险）；

用以降低风险控制建议或备用选项；

6、总结

观察结果总数。使用表格方式总结观察结果、相关风险等级、控制建议等内容。

风险消减

风险消减的任务是对风险评估中所推荐的控制措施进行排序（Prioritizing）、评价（Evaluating）和部署（Implementing），达到以最小的代价部署最合适的控制，将风险降低到机构可接受水平的目的；

消除所有风险是不可能或不现实的，机构应该根据风险对机构的影响程度将威胁和缺陷对排序，并根据机构的具体情况确定处理每一项风险的手段；

在处理风险时，机构应考虑所有可能的处理选项，包括非技术和管理手段，在各种安全解决方案中选择最适合的方法；

风险消减选项

风险承受（Assumption），接受潜在风险，继续运行系统，或采取措施将风险降低到可接受的水平；

风险规避（Avoidance），通过消除风险源或影响（如放弃相关系统功能或在发现风险时关闭系统）的方式规避风险；

风险限制（Limitation），通过部署控制措施（如使用支持、防御、检测控制措施）

减少威胁利用缺陷造成的负面影响限制风险；

风险规划（Planning），通过制定风险消减计划对控制措施进行排序、部署和维护来

管理风险；

研究和确认（Research and Acknowledgment），通过确认缺陷或错误以及研究校正缺陷的控制措施来降低遭受损失的风险；

风险转移（Transference），通过采用其它选项进行补偿以转移风险，入购买保险；风险消减原则

如果存在缺陷（或错误、弱点），则部署保障措施减少缺陷被利用的可能性；

如果缺陷可能被利用，则运用多层防护、体系设计和管理控制措施来防止或减少其发生；

如果攻击者的成本小于潜在收益，则通过部署保护措施增加攻击者的成本来减少攻击者的动机（如使用系统控制措施限制系统用户的访问权限来减少攻击者的收益）；

如果损失过大，则运用设计原则、体系设计，以及技术和非技术保护措施限制攻击范围，以减少潜在损失。

控制部署方法

第一步：活动排序，根据风险评估确定的风险水平排定相应部署活动的优先顺序，风险越高，优先级别越高；

第二步：控制选项评价，对推荐的控制选项进行可行性（如兼容性、用户接受性）和有效性（如保护程度和风险消减水平）分析，选择有效、可行的控制选项；

第三步：成本收益分析，分析控制选项的成本收益；

第四步：选择控制措施，根据成本收益分析的结果选择最具成本效益的控制措施，所选择的控制措施应结合技术、运作和管理手段以确保系统安全；

第五步：设定工作责任，挑选具有相关技术和能力的人负责所选控制措施的部署工作；

第六步：制定保护措施部署计划；

第七步，部署所选择的控制措施；

制定保护措施部署计划

保护措施部署计划应包括：

风险（缺陷/威胁对）及其风险级别（来自风险评估报告）；

推荐的控制措施（来自风险评估报告）；

经过排序的活动（高风险项目的优先顺序）；

面的系统保护安全措施等；

防御型，防止安全事件的发生，如口令、PIN、令牌、数字证书等身份鉴别手段，授权管理，MAC、DAC等访问控制策略执行，抗抵赖服务、基于密码技术的通信保护和事务隐私保护措施；

检测和恢复型，检测安全事件的发生并进行恢复，如审计、入侵检测和控制、完整性验证、安全状态恢复、病毒检测和清除等；

管理类安全控制，涉及到信息保护政策、指导方针、标准的制定，包括：

防御型，安全责任的设定、安全计划的制定和维护、实施职责分离、最小特权等人事安全控制，进行安全意识和技能培训等；

检测型，实施背景调查、岗位轮换等人事安全控制，定期对安全控制进行检查，定期的系统审计，持续性的安全管理，对残留风险的接受等；

恢复型，如业务连续性计划的支持、制定、测试和维护，识别、报告、响应、处理安全事件及其准备工作的事件响应机制等。

运作类安全控制，涉及到校正可能被潜在威胁源利用的运作缺陷，包括：

防御型，如介质访问和处置，系统外数据分发，软件病毒控制，计算设施保护，线缆及布线间保护措施，数据和系统备份规程，离站存储规程，笔记本、个人电脑、工作站保护措施，灭火器、喷淋系统、气体灭火系统等消防措施的使用规程，对不间断电源和备用发电机的需求，空调、散热器等温度、湿度控制措施的运行等；

检查型，如入侵探头、闭路监视系统、警报等物理安全控制措施的使用，火警等环境安全控制措施的使用；

成本收益分析

确定部署控制措施带来的影响；

确定不部署控制措施带来的影响；

估计部署费用，其中应包括：

硬件和软件购置费用；

部署控制措施可能导致系统有效性（如性能或功能）降低带来的损失；

部署附加政策和规程的成本；

部署政策、规程和服务的附加人工费用；

培训费用；

维护费用；

评估部署费用和收益以确定部署控制措施对于机构是否合算。

成本效益分析原则

虽然不同机构的风险接受能力不同，但在确定是否采纳某项控制措施时都遵循以下原则：如果控制措施降低风险的能力超出需要，应考虑是否有其它更经济的选项；

如果控制成本大于风险降低的收益，则应考虑其它方法；

如果控制措施不能有效降低风险，则应考虑其它控制措施或增加控制措施；

如果控制措施提供足够的风险降低能力，并具有成本效益，则应使用这种控制措施；由于控制措施的部署成本容易量化，而不部署控制措施造成的影响往往难以量化，所以在决定是否采纳控制措施时，高级管理人员扮演重要的决策角色。

控制措施的作用和残留风险

部署控制措施可以通过以下方式降低风险：

清除某些系统缺陷从而减少了威胁源/缺陷对的数量；

降低威胁源的能力和动机，如增加物理安全保护措施；

降低负面影响的程度，如限制用户访问权限从而限制缺陷的影响范围；

通常无论怎样保护系统也无法将系统的风险降低到零，部署控制措施后仍然存在的风险被称为残留风险，如果残留风险低于机构可接受的风险，机构高层管理人员或其它受权人员应接受残留风险并授权系统的运行，否则应继续前述风险管理步骤进一步降低风险。

持续评价

由于系统自身的不断扩充和变化，新技术的出现，以及系统应用环境如人员和安全政策的变化都可能使系统面临风险发生变化，所以风险管理活动应该是持续的以便能够适应这些变化；

风险评估工作应该至少每三年进行一次，在系统或其应用环境发生重大变化时，应该随时进行新的风险评估和相关安全控制措施部署工作。

风险管理的成功要素

高级管理层的积极参与；

IT团队的全面参与和支持；

风险评估团队的专业素质；

用户的理解和配合；

对IT相关风险的持续评价和评估。