信息安全的风险评估
信息安全风险评估范围
信息安全风险评估范围
信息安全风险评估的范围包括以下几个方面：
1. 技术基础设施风险：评估组织的计算机网络环境、服务器、操作系统、数据库等技术基础设施的安全风险，例如网络攻击、恶意软件、硬件故障等。
2. 应用系统风险：评估组织的应用系统（如企业资源计划系统、客户关系管理系统）是否存在漏洞，是否能够抵御各类攻击，如SQL注入、跨站脚本攻击等。
3. 数据安全风险：评估组织的数据安全情况，包括数据泄露、数据丢失、数据损坏等风险，以及数据备份和恢复措施的可行性和有效性。
4. 内部人员风险：评估组织内部员工的安全意识和行为，例如是否存在信息泄露、数据篡改等安全事件的风险。
5. 外部威胁风险：评估组织面临的来自外部的各类威胁和攻击，包括黑客攻击、网络钓鱼、勒索软件等。
6. 物理安全风险：评估组织的物理环境安全，如数据中心、机房等的安全措施，包括监控摄像、门禁系统、防火墙等。
7. 法规合规风险：评估组织是否符合相关法律法规和行业标准的要求，如隐私保护、网络信息安全法等。
以上是一些常见的信息安全风险评估范围，具体评估的内容可以根据组织的具体情况进行调整和拓展。
信息安全风险评估报告
信息安全风险评估报告一、引言在当今数字化的时代，信息已成为企业和组织的重要资产。
然而，随着信息技术的飞速发展和广泛应用，信息安全面临的威胁也日益严峻。
为了保障信息系统的安全稳定运行，保护敏感信息不被泄露、篡改或破坏，对信息系统进行全面的风险评估至关重要。
本报告旨在对被评估对象名称的信息安全状况进行评估，识别潜在的安全风险，并提出相应的风险管理建议。
二、评估范围和目标（一）评估范围本次评估涵盖了被评估对象名称的信息系统，包括网络基础设施、服务器、数据库、应用程序、办公终端等。
（二）评估目标1、识别信息系统中存在的安全威胁和脆弱性。
2、评估安全威胁发生的可能性和潜在的影响。
3、确定信息系统的安全风险级别。
4、提出针对性的风险管理建议，以降低安全风险。
三、评估方法本次评估采用了多种方法，包括问卷调查、现场访谈、漏洞扫描、渗透测试等。
通过这些方法，收集了大量的信息和数据，为评估结果的准确性和可靠性提供了保障。
四、信息系统概述（一）网络拓扑结构被评估对象名称的网络拓扑结构包括内部网络、外部网络和DMZ 区。
内部网络主要用于员工办公和业务处理，外部网络用于与互联网连接，DMZ区用于部署对外提供服务的应用服务器。
（二）服务器和操作系统信息系统中使用了多种服务器，包括Web服务器、数据库服务器、邮件服务器等。
操作系统包括Windows Server、Linux等。
（三）数据库使用的数据库主要有Oracle、SQL Server等，存储了大量的业务数据和用户信息。
（四）应用程序包括自主开发的业务应用系统和第三方采购的软件，如办公自动化系统、财务管理系统等。
五、安全威胁和脆弱性分析（一）安全威胁1、网络攻击包括DDoS攻击、SQL注入攻击、跨站脚本攻击等，可能导致服务中断、数据泄露等问题。
2、恶意软件如病毒、木马、蠕虫等，可能窃取敏感信息、破坏系统文件。
3、内部人员威胁内部人员可能因疏忽、恶意或被收买而泄露敏感信息、破坏系统。
信息安全风险评估包括哪些
信息安全风险评估包括哪些信息安全风险评估是指对信息系统中的潜在威胁进行客观和系统化的识别、分析和评价的过程。
通过对信息系统的风险进行评估和分析，能够帮助组织了解自身的安全现状，制定相应的安全措施和策略，以保证组织的信息安全。
信息安全风险评估包括以下几个方面：1. 资产评估：评估信息系统中的各类资产，包括硬件设备、软件应用、数据、网络设备等。
通过对这些资产的评估，确定哪些资产对组织的业务运作具有重要性，需要特别保护和重点关注。
2. 威胁评估：评估信息系统面临的潜在威胁和攻击方式。
通过分析各种威胁的来源、特征、攻击手段和影响，识别哪些威胁可能对信息系统的安全造成威胁，并评估其对组织业务的潜在损害。
3. 脆弱性评估：评估信息系统中的存在的脆弱性和漏洞。
通过分析系统的配置、补丁管理、口令管理等方面，发现可能被攻击者利用的漏洞和脆弱点，识别系统中潜在的风险。
4. 风险评估：通过对资产、威胁和脆弱性的评估，综合分析和量化风险的可能性和影响。
通过风险评估，识别和排序系统中的潜在风险，确定哪些风险具有较高的优先级，需要优先采取措施加以防范。
5. 对策评估：评估组织已有的安全控制措施和防御机制，分析其对系统当前面临的风险的有效性和适用性。
通过对策评估，发现安全控制措施的不足之处，并对其进行改进，提高组织的信息安全防护能力。
6. 风险管理计划：根据风险评估结果，制定信息安全风险管理计划，确定相应的风险管理策略和措施，明确各项安全控制的实施责任和时间表，以确保组织的信息系统安全管理工作的持续有效进行。
综上所述，信息安全风险评估是一个综合性的过程，通过对资产、威胁、脆弱性和对策的评估，识别和分析信息系统面临的风险，并制定相应的风险管理计划，以帮助组织建立起有效的信息安全管理体系，保护组织的信息系统和数据的安全。
信息安全的风险评估
信息安全的风险评估
信息安全的风险评估是指对信息系统或网络环境中的风险进行系统化的评估与分析，以确定对信息安全造成威胁的因素、可能遭受到的攻击类型以及可能导致的损失，为制定有效的安全措施和决策提供依据。
信息安全的风险评估可以按照以下步骤进行：
1. 资产识别和分类：识别和分类重要的信息资产，例如数据、系统、网络、设备等。
2. 威胁辨识：分析与确认可能的威胁来源和攻击方法，例如网络攻击、恶意软件、社会工程等。
3. 脆弱性评估：评估系统和网络存在的漏洞和弱点，即脆弱性，例如安全配置问题、未修补的漏洞等。
4. 风险分析：结合资产识别、威胁辨识和脆弱性评估的结果，评估潜在威胁和漏洞对信息安全造成的风险程度。
5. 风险评估：根据风险分析的结果，对风险进行量化评估或定性评估，确定风险的等级和优先级。
6. 风险管理：根据风险评估的结果，制定针对性的安全措施和策略，包括风险的接受、缓解、转移或避免。
7. 监测与更新：持续监测信息安全状况，及时更新风险评估和
管理策略，以适应不断变化的威胁环境。
通过信息安全的风险评估，组织能够识别和评估潜在的风险，制定相应的风险管理措施，提升信息系统和网络的安全性，保护重要的信息资产免受攻击和损失。
信息安全风险评估分
信息安全风险评估分
信息安全风险评估分为以下几个方面：
1. 威胁评估：对可能存在的威胁进行分析，包括内部威胁和外部威胁。
内部威胁可以是员工的不当操作或恶意行为，外部威胁可以是黑客攻击、病毒入侵等。
2. 漏洞评估：对系统和网络的漏洞进行评估，找到安全漏洞和弱点。
包括应用程序的漏洞、系统配置的漏洞等。
3. 业务影响评估：评估信息安全风险对业务的影响程度，包括数据泄露、系统中断、业务中断等。
4. 安全控制评估：评估当前的安全控制措施的有效性和合理性。
确定是否需要增加或改变安全控制措施。
5. 风险评估：对上述评估结果进行综合分析，给出风险等级和优先级。
确定哪些风险最为关键，需要优先处理。
6. 对策评估：评估各种可能的对策，包括技术对策和管理对策。
确定最合适的对策措施，以降低风险。
7. 监测评估：建立风险监测和预警机制，对信息安全风险进行持续评估和监测，及时预警和应对可能的风险事件。
信息安全风险评估
信息安全风险评估在当今数字化的时代，信息已经成为了企业和个人最重要的资产之一。
然而，随着信息技术的飞速发展，信息安全问题也日益凸显。
信息安全风险评估作为保障信息安全的重要手段，对于识别和防范潜在的安全威胁具有至关重要的意义。
信息安全风险评估究竟是什么呢？简单来说，它是对信息系统及其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。
通过这个过程，我们可以了解信息系统面临的风险，并采取相应的措施来降低风险。
为什么要进行信息安全风险评估呢？首先，它有助于我们发现潜在的安全漏洞和威胁。
就像我们定期给身体做体检一样，信息系统也需要定期进行“健康检查”，以便及时发现问题并解决。
其次，能够帮助我们合理分配资源。
在有限的资源条件下，我们需要将资源投入到最需要的地方，风险评估可以告诉我们哪些地方存在高风险，需要优先投入资源进行防范和改进。
再者，满足法律法规和合规要求。
许多行业都有相关的信息安全法规和标准，进行风险评估是确保企业合规运营的必要步骤。
最后，增强企业和个人的信心。
当我们知道自己的信息系统是安全可靠的，就能更放心地开展业务和进行各种活动。
那么，信息安全风险评估是如何进行的呢？一般来说，它包括以下几个主要步骤：第一步，确定评估范围。
这就好比我们要装修房子，首先得明确要装修哪些房间一样。
我们需要明确要评估的信息系统、业务流程、数据类型等。
第二步，进行资产识别。
资产可以是硬件设备、软件程序、数据、人员等。
我们要清楚地知道自己拥有哪些有价值的东西，这些都是需要保护的对象。
第三步，威胁识别。
威胁可能来自内部，也可能来自外部；可能是人为的，也可能是自然的。
比如黑客攻击、病毒感染、员工误操作、自然灾害等都是常见的威胁。
第四步，脆弱性识别。
这就像是找出我们身体的薄弱环节。
比如系统的漏洞、安全策略的不完善、人员安全意识的不足等。
第五步，风险分析。
综合考虑资产的价值、威胁发生的可能性和脆弱性的严重程度，来计算风险的大小。
信息安全风险评估
信息安全风险评估在当今数字化的时代，信息已成为企业和个人最为重要的资产之一。
然而，伴随着信息的快速传播和广泛应用，信息安全问题也日益凸显。
信息安全风险评估作为保障信息安全的重要手段，其作用愈发关键。
那么，究竟什么是信息安全风险评估呢？简单来说，它是对信息系统及其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评估的过程。
通过这个过程，我们能够识别潜在的安全威胁，分析这些威胁可能造成的影响，评估当前安全措施的有效性，并据此制定出合理的应对策略。
为什么要进行信息安全风险评估呢？想象一下，如果一家企业不了解自己信息系统中的漏洞和弱点，就如同在黑暗中行走，随时可能陷入危险。
信息安全风险评估可以帮助企业提前发现潜在的风险，避免遭受重大的损失。
例如，如果一家电商企业的用户数据被黑客窃取，不仅会造成用户信任的丧失，还可能面临法律诉讼和巨额罚款。
又比如，一家金融机构的交易系统出现安全漏洞，可能导致大量资金的损失和金融市场的动荡。
信息安全风险评估通常包括以下几个主要步骤：首先是风险识别。
这就像是在一个复杂的迷宫中寻找隐藏的陷阱。
我们需要全面地了解信息系统的架构、业务流程、人员管理等方面，找出可能存在的安全威胁。
这些威胁可能来自内部，比如员工的误操作或故意泄露信息；也可能来自外部，比如黑客攻击、网络病毒等。
然后是风险分析。
在找到了潜在的威胁之后，我们要进一步分析这些威胁发生的可能性以及一旦发生可能造成的影响。
这需要我们结合具体的业务环境和技术条件，进行深入的研究和评估。
例如，对于一个依赖网络进行销售的企业，网络中断的可能性以及由此带来的经济损失就是需要重点分析的内容。
接下来是风险评估。
在风险分析的基础上，我们要对风险进行量化或定性的评估。
量化评估可以通过计算风险发生的概率和可能造成的损失金额来确定风险的大小；定性评估则可以根据风险的严重程度、紧急程度等因素将其划分为不同的等级。
最后是风险处理。
信息安全风险评估方案
信息安全风险评估方案信息安全风险评估是企业信息安全管理的重要环节，通过对信息系统和数据进行全面、系统的评估，可以及时发现潜在的安全风险，并制定相应的风险应对措施，保障信息系统的安全稳定运行。
本文将介绍信息安全风险评估的基本概念、方法和步骤，帮助企业建立健全的信息安全风险评估方案。
一、信息安全风险评估的基本概念。
信息安全风险评估是指对信息系统和数据进行全面、系统的评估，识别和分析可能存在的安全风险，包括技术风险、管理风险和运营风险等，以确定风险的概率和影响程度，并提出相应的风险控制措施。
通过信息安全风险评估，可以帮助企业全面了解信息系统的安全状况，及时发现潜在的安全隐患，减少信息安全事件的发生。
二、信息安全风险评估的方法。
信息安全风险评估的方法主要包括定性评估和定量评估两种。
定性评估是通过专家讨论、问卷调查、风险矩阵等方法，对信息系统的安全风险进行主观判断和分析，确定风险的等级和优先级；定量评估则是通过数据统计、模型计算等方法，对信息系统的安全风险进行客观量化分析，确定风险的具体数值和概率。
企业可以根据自身的实际情况，选择合适的评估方法，进行信息安全风险评估。
三、信息安全风险评估的步骤。
信息安全风险评估的步骤主要包括风险识别、风险分析、风险评估和风险控制四个阶段。
首先，企业需要对信息系统和数据进行全面的调查和分析，识别可能存在的安全风险；然后，对识别出的安全风险进行深入分析，确定风险的概率和影响程度；接下来，对风险进行综合评估，确定风险的等级和优先级；最后，制定相应的风险控制措施，对风险进行有效管理和控制。
通过这些步骤，企业可以全面了解信息系统的安全状况，及时发现和应对潜在的安全风险。
四、信息安全风险评估的实施。
信息安全风险评估的实施需要全员参与，包括企业领导、信息安全管理人员、技术人员和用户等。
企业领导需要高度重视信息安全风险评估工作，提供必要的支持和资源；信息安全管理人员需要制定详细的评估计划和方案，组织实施评估工作；技术人员需要全面了解信息系统的安全状况，提供必要的技术支持；用户需要配合评估工作，提供真实的使用情况和反馈意见。
信息安全风险评估包括
信息安全风险评估包括
以下是信息安全风险评估的一些方面：
1. 身份验证和访问控制：评估组织的身份验证和访问控制机制，包括密码策略、多因素身份验证、用户权限管理等。
2. 网络安全：评估网络架构和拓扑结构，包括网络设备的配置、网络隔离、入侵检测和防火墙等措施的有效性。
3. 应用程序安全：评估组织的应用程序的安全性，包括漏洞扫描、代码审查、输入验证和访问控制等。
4. 数据安全：评估组织的数据保护措施，包括备份和恢复策略、数据分类和加密等。
5. 物理安全：评估组织的物理安全控制，包括访问控制、监控系统和安全设备等。
6. 员工教育和培训：评估组织的员工教育和培训计划，包括信息安全政策的传达和培训、社会工程学的防范等。
7. 第三方风险：评估与组织有关的供应商和合作伙伴的安全控制措施，包括安全审查、监控和合同管理等。
8. 风险评估和治理：评估组织的风险管理和治理流程，包括风险评估方法、风险注册和风险报告等。
9. 事件响应计划：评估组织的事件响应计划和流程，包括事件分类、应急响应和恢复等。
10. 合规性评估：评估组织是否符合相关的法律法规和行业标准，包括数据保护、隐私保护和知识产权保护等。
这些都是信息安全风险评估的一些方面，评估的重点会根据组织的需求和特定环境的不同而有所不同。
信息安全风险评估方法
信息安全风险评估方法随着信息技术的快速发展，信息安全问题日益凸显。
针对信息安全风险的评估是确保信息系统安全的重要环节。
本文将介绍一些常用的信息安全风险评估方法，以帮助读者更好地理解和应对信息安全风险。
一、定性评估方法定性评估方法主要通过对信息安全风险进行描述和分类来实现。
常见的定性评估方法包括：风险矩阵评估、威胁建模和攻击树分析等。
1. 风险矩阵评估风险矩阵评估方法是一种简单直观的评估方法，通过将风险的概率和影响进行量化，并用矩阵形式展示，以确定风险的等级和优先级。
评估人员可以根据风险等级制定相应的应对策略。
2. 威胁建模威胁建模方法通过对系统进行全面分析，确定其中潜在的威胁和漏洞，并对其进行分类和评估。
通过构建威胁模型，评估人员可以对不同的威胁进行定性描述和分析，为安全措施的实施提供指导。
3. 攻击树分析攻击树分析方法是一种系统的、层级的描述攻击过程的方法，通过将攻击者可能采取的各种攻击路径按层次进行展示，以便评估人员了解系统中各个组件的安全性和脆弱性，为防范措施的优化提供参考。
二、定量评估方法定量评估方法主要通过对信息安全风险进行量化分析，以提供更为准确的风险评估结果。
常见的定量评估方法包括：风险值评估、蒙特卡洛模拟和剩余风险评估等。
1. 风险值评估风险值评估方法是一种常用的定量评估方法，它通过将风险的概率、影响和损失进行量化，得到相应的风险值。
评估人员可以根据风险值的大小确定风险等级，从而做出相应的风险控制和管理决策。
2. 蒙特卡洛模拟蒙特卡洛模拟方法通过随机抽取大量的样本，并进行多次模拟实验，以预测不同风险事件发生的概率和可能的后果。
通过对实验结果的统计分析，评估人员可以得到相应的风险指标，为风险管理提供参考依据。
3. 剩余风险评估剩余风险评估方法是指在已有安全措施实施后，对可能剩余的风险进行评估和控制。
评估人员可以根据已有措施的有效性和风险的剩余程度，调整并完善安全措施，以降低剩余风险的发生概率和影响。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
3 Sept. 2008 Confidential
威胁分类
威胁种类 软硬件故障 物理环境威胁 无作为或操作失 误 管理不到位 恶意代码和病毒 越权或滥用 威胁描述 由于设备硬件故障、通讯链路中断、系统本身或软件Bug导致对业务高效 稳定运行的影响 断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、 地震等环境问题和自然灾害 由于应该执行而没有执行相应的操作，或无意地执行了错误的操作，对 系统造成影响 安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从 而破坏信息系统正常有序运行 具有自我复制、自我传播能力，对信息系统构成破坏的程序代码 通过采用一些措施，超越自己的权限访问了本来无权访问的资源；或者 滥用自己的职权，做出破坏信息系统的行为 利用黑客工具和技术，例如侦察、密码猜测攻击、缓冲区溢出攻击、安 装后门、嗅探、伪造和欺骗、拒绝服务攻击等手段对信息系统进行攻击 和入侵 物理接触、物理破坏、盗窃 机密泄漏，机密信息泄漏给他人 非法修改信息，破坏信息的完整性 不承认收到的信息和所作的操作和交易
3 Sept. 2008 Confidential
我们需要的是一套高保障的安全体系
信息安全体系的建立，不是仅仅依靠几种安全设备的简单堆砌， 信息安全体系的建立，不是仅仅依靠几种安全设备的简单堆砌， 或者一两个人技术人员就能够实现的，还要涉及管理制度、 或者一两个人技术人员就能够实现的，还要涉及管理制度、人员 素质和意识、操作流程和规范、组织结构的健全性等众多因素。 素质和意识、操作流程和规范、组织结构的健全性等众多因素。 所以，一套良好的信息安全体系需要综合运用“ 技术/产 所以，一套良好的信息安全体系需要综合运用“人＋技术 产 从而才能真正建立起一套完备的、 品＋管理＋维护”，从而才能真正建立起一套完备的、高保 管理＋ 障的信息安全体系。 障的信息安全体系。
3 Sept. 2008 Confidential
信息资产分类
3 Sept. 2008 Confidential
资产等级
等 级
标 定义 识 很
5 高 4 3 2
3 Sept. 2008 Confidential
非常重要，其安全属性破坏后可能对组织造成非常严重的损失
高 中 低 很 低
重要，其安全属性破坏后可能对组织造成比较严重的损失 比较重要，其安全属性破坏后可能对组织造成中等程度的损失 不太重要，其安全属性破坏后可能对组织造成较低的损失 不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽 略不计
3 Sept. 2008 Confidential
实施步骤
(1) 风险评估的准备 (2) 资产识别 (3) 威胁识别 (4) 脆弱性识别 (5) 已有安全措施的确认 (6) 风险分析 (7) 风险评估文件记录
3 Sept. 2008 Confidential
(2)信息资产识别
对于任何企业和机构来说， 对于任何企业和机构来说，信息资产和其它固定资产一样都承载 着重要的价值，因而也同样需要得到足够的保护。 着重要的价值，因而也同样需要得到足够的保护。
3 Sept. 2008 Confidential
实施步骤
(1) 风险评估的准备 (2) 资产识别 (3) 威胁识别 (4) 脆弱性识别 (5) 已有安全措施的确认 (6) 风险分析 (7) 风险评估文件记录
3 Sept. 2008 Confidential
(4)脆弱性识别
脆弱性也称弱点，或者俗称漏洞，也就是具体存在的问题。 脆弱性也称弱点，或者俗称漏洞，也就是具体存在的问题。 值得注意的是，弱点本身不会造成损失，它只是一种条件或环境、 值得注意的是，弱点本身不会造成损失，它只是一种条件或环境、 可能被威胁利用从而造成资产损失。 可能被威胁利用从而造成资产损失。 漏洞不单单只是系统或软件上存在的bug，任何管理上的疏忽都是 ， 漏洞不单单只是系统或软件上存在的 一种漏洞。 一种漏洞。
计算机及系统管理 系统访问控制 系统开发与维护 业务连续性规划 法规和策略符合性
ISO 17799信息安全管理系统 信息安全 信息安全管理系统
安全组织 安全组织 业务连续性规划 资产分类及控制
安全法规 安全法规
系统开发与维护 人员安全 人员安全 风险评估和风险管理 系统访问控制 计算机及系统管理 物理及 环境安全
业务需求
威胁及风险分析
国家,行业, 国家,行业,安全相关 的法律法规
组织安全策略
业务系统安全策略 计算机系统与网络安全策略 物理安全与环境保护策略 风险评估与安全登记划分 安全技术标准化策略 管理安全规范 管理策略 个人安全策略 教育与培训策略
全局自动安全策略
标识,认证策略 标识 认证策略 安全审计策略 授权与访问控制策略 入侵监测策略 信息保密与完整性策略 病毒防范策略 抗抵赖策略 容错与备份
信息安全的风险评估
曹鹏 caopeng@ 东软解决方案部部长 沈阳东软软件股份有限公司
3 Sept. 20082008 By Neusoft Group. All rights reserved Copyright © Neusoft Confidential
提纲
1、什么是风险评估 、 2、为什么要做风险评估 、 3、风险评估怎么做 、 4、风险评估什么时候做 、
BS7799/ISO17799 信息安全管理纲要
Part I: Code of practice for information security management
信息安全管理认证体系
Part II: Specification for information security management
3 Sept. 2008 Confidential
信息安全管理核心内容--风险管理
3 Sept. 2008 © Neusoft Confidential
国际和国内信息安全标准和法规
BS7799 / ISO17799 英國國家標準協會,資訊安全管理機制 / 系统安全工程 能力成熟度模型, http://www. /
黑客攻击技术 物理攻击 泄密 2008 3 Sept.
Confidential
篡改 抵赖
威胁等级
等级 标识 定义 出现的频率很高（或≥1 次/周）；或在大多数情况下几乎不可避 5 很高 免；或可以证实经常发生过 出现的频率较高（或≥ 1 次/月）；或在大多数情况下很有可能会 4 高 发生；或可以证实多次发生过 出现的频率中等（或> 1 次/半年）；或在某种情况下可能会发生 3 中 ；或被证实曾经发生过 2 1 低 出现的频率较小；或一般不太可能发生；或没有被证实发生过 很低 威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生
响应与恢复策略
局部可执行安全策略
3 Sept. 2008 Confidential
用户账号及认证方式
用户角色,级别 用户角色 级别
防火墙访问控制链表
…...
国家政策背景
2003年7月, 中办发 年 月 中办发[2003]27号文件对开展信息安全风险评估工 号 作提出了明确的要求。 作提出了明确的要求。
பைடு நூலகம்
1
实施步骤
(1) 风险评估的准备 (2) 资产识别 (3) 威胁识别 (4) 脆弱性识别 (5) 已有安全措施的确认 (6) 风险分析 (7) 风险评估文件记录
3 Sept. 2008 Confidential
(3)威胁识别
威胁是对系统和企业网的资产引起不期望事件而造成的损害的潜 在可能性。 在可能性。 或者也可以理解成是可能对资产造成影响的危害；（不单单只是黑 客攻击，还包括自然灾害、员工的违规操作等等）
3 Sept. 2008 Confidential
(1)风险评估的准备
1）确定风险评估的目标； ）确定风险评估的目标； 2）确定风险评估的范围； ）确定风险评估的范围； 3）组建适当的评估管理与实施团队； ）组建适当的评估管理与实施团队； 4）进行系统调研； ）进行系统调研； 5）确定评估依据和方法 ； ） 6）获得最高管理者对风险评估工作的支持。 ）获得最高管理者对风险评估工作的支持。
要重视信息安全风险评估工作， 要重视信息安全风险评估工作，对网络与信息系统安全 的潜在威胁、薄弱环节、防护措施等进行分析评估 的潜在威胁、薄弱环节、防护措施等进行分析评估……
3 Sept. 2008 Confidential
1、什么是风险评估
信息安全风险评估，是从风险管理角度，运用科学的方法和手段， 信息安全风险评估，是从风险管理角度，运用科学的方法和手段， 系统地分析网络与信息系统所面临的威胁及其存在的脆弱性， 系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评 估安全事件一旦发生可能造成的危害程度， 估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御 威胁的防护对策和整改措施。并为防范和化解信息安全风险， 威胁的防护对策和整改措施。并为防范和化解信息安全风险，或 者将风险控制在可接受的水平，从而最大限度地保障网络和信息 者将风险控制在可接受的水平， 安全提供科学依据（国信办 号文件）。 安全提供科学依据（国信办[2006]5号文件）。 号文件
3 Sept. 2008 Confidential
主要技术手段量化威胁的工作方法
• •
部署入侵检测系统在网络中工作然后分析其数据。 分析系统中的各种日志记录文件，在日志中发现安 全攻击的痕迹。 • 根据过去一年时间中组织内部遭受实际安全威胁的 程度分析结果。 • 我们可以通过例子：某重要政府站点的WEB日志分 析来看威胁分析、某电力公司内部网络在评估出发 现攻击者遗留文件。
3 Sept. 2008 Confidential
3、风险评估怎么做
主要执行标准 国信办[2006]5号文件：信息安全风险评估指南 号文件： 国信办 号文件 信息系统安全等级保护测评准则 辅助参考标准 GB18336（ISO15408）：信息技术安全性评估准则 （ ）：信息技术安全性评估准则 ）： BS7799：信息安全管理体系指南 ： 东软具有自己特色的评估实施方法