信息安全风险评估

《信息安全风险评估》由会员分享，可在线阅读，更多相关《信息安全风险评估（7页珍藏版）》请在装配图网上搜索。

1、信息安全风险评估学院：商学院专业：信息管理与信息系统姓名：徐彬学号：0812104613目录一、信息安全风险评估简介3二、信息安全风险评估流程31. 风险评估准备32. 资产识别33. 威胁识别34. 脆弱性识别45. 风险分析4三、信息安全风险评估策略方法51）定量分析方法52）定性分析方法53）综合分析方法6四、信息安全风险评估的注意事项61、各级领导对评估工作的重视62、加强评估工作的组织和管理63、注意评估过程中的风险控制。64、做好各方的协调配合工作。75、提供评估所必须的保障条件。7信息安全风险评估、信息安全风险评估简介信息安全风险评估的概念涉及资产、威胁、脆弱性和风险4个主要因素

2、。信息安 全风险评估就是从管理的角度，运用科学的方法和手段，系统分析网络与信息系 统所面临的威胁及存在的脆弱性。评估安全事件一旦发生可能造成的危害程度， 提出有针对性地抵御安全威胁的防护措施，为防范和化解信息安全风险，将风险 控制在可以接受的水平，最大限度地保障网络正常运行和信息安全提供科学依据。二、信息安全风险评估流程信息安全风险评估的典型过程主要分为风险评估准备、资产识别、威胁识别、脆 弱性识别和风险分析5个阶段。1. 风险评估准备该阶段的主要任务是制订评估工作计划，包括评估目标、评估范围、制订信息安 全风险评估工作方案，并根据评估工作需要，组建评估团队，明确各方职责。 在风险评估准备阶段

3、，需要多次与被评估方磋商，了解被评估方关注的重点，明 确风险评估的范围和目标，为整个风险评估工作提供向导。在确定评估范围和目 标之后，根据被评估对象的网络规模、复杂度、特殊性，成立评估工作小组，明 确各方人员组成及职责分工。建立评估团队后，由评估工作人员进行现场调研， 由被评估方介绍网络构建情况，安全管理制度和采取的安全防护措施以及业务运 行情况。评估工作小组根据调研情况撰写信息安全风险评估工作方案。2. 资产识别做好风险评估准备阶段的相关工作之后，需要通过多种途径采集评估对象的资产 信息，为风险评估后续各阶段的工作提供基本素材。资产识别主要通过向被评估方发放资产调查表来完成。在识别资产时，以

4、被评估 方提供的资产清单为依据，对重要和关键资产进行标注，对评估范围内的资产详 细分类，防止遗漏，划入风险评估范围和边界内的每一项资产都应经过仔细确认。3. 威胁识别在识别威胁时，应根据资产目前所处的环境条件和以前的记录情况来判断，威胁 识别主要通过采集入侵检测系统（IDS）的报警信息、威胁问卷调查和对技术人 员做顾问访谈的方式。为了确保收集到的威胁信息客观准确，威胁问卷调查的对 象要覆盖被评估对象的领导层、技术主管、网络管理人员、系统管理人员、安全 管理人员和普通员工等。顾问访谈要针对不同的访谈对象制订不同的访谈提纲。 威胁识别的关键在于确认引发威胁的人或事物，威胁源可能是蓄意也可能是偶然

5、的因素，通常包括人、系统和自然环境等。一项资产可能面临多个威胁，而一个 威胁也可能对不同的资产造成影响。威胁识别完成后还应该对威胁发生的可能性 进行评估，列出威胁清单，描述威胁属性，并对威胁出现的频率赋值。4. 脆弱性识别脆弱性识别是风险评估工作过程中最为复杂、较难把握的环节，同时也是非常重 要的环节，对评估工作小组成员的专业技术水平要求较高。脆弱性分为管理脆弱 性和技术脆弱性。管理脆弱性调查主要通过发放管理脆弱性调查问卷、顾问访谈 以及收集分析现有的管理制度来完成；技术脆弱性检测主要借助专业的脆弱性检 测工具和对评估范围内的各种软硬件安全配置进行检查来识别。在工作过程中，应注意脆弱性识别的全

6、面性，包括物理、网络、应用和管理等方 面。为了分析脆弱性影响的严重程度，最好对关键资产的脆弱性进行深度检测和 验证，比如关键服务的身份认证等。识别完成之后，还要对具体资产的脆弱性严 重程度进行赋值。脆弱性严重程度可以等级化处理，不同等级分别表示资产脆弱 性严重程度的高低。等级数值越大，脆弱性严重程度越高。5. 风险分析构成风险的要素主要有资产、威胁和脆弱性，在识别了这些要素之后，就可以确 定存在什么风险。风险分析阶段需要完成的工作主要有3项：风险计算、形成风 险评估报告和给出风险控制建议。风险计算是针对每一项信息资产、根据其自身 存在的脆弱性列表、所面临的威胁列表，考虑资产自身在信息系统中的重

7、要程度 （资产赋值），依据风险计算公式，计算出该信息资产的风险值，最终形成风险 列表。风险评估报告主要结合风险评估工作过程中采集到的中间数据，对信息系 统中的安全风险进行定性和定量分析。风险控制建议主要由评估工作小组在对被 评估对象的安全现状进行综合分析的基础上，有针对性地给出。风险只能被预防、避免、降低、转移或接受，而不可能完全消除。高风险和严重 风险是不可接受的，必须选择实施相应的对策来消减。对于中等风险和低风险， 可以选择接受，一般评估工作小组应针对被评估对象的中低风险给出风险控制建 议。此阶段的输出主要包括：信息安全风险评估风险列表、信息安全风险评估报 告、信息安全风险评估风险控制建议

8、等。三、信息安全风险评估策略方法目前，信息安全风险评估的方法层出不穷，这些方法在很大程度上缩短了信 息安全风险评估所花费的资源、时间，提高了评估的效率，改善了评估的效果。 按照各因素计算数据要求的程度，可以将这些方法分为为定量分析方法、定性分 析方法和综合分析方法。1）定量分析方法定量分析方法是指对度量风险的所有要素赋予一定的数值，依据这些数据， 建立数学模型，把整个信息安全风险评估的过程和结果进行量化，然后对各项指 标进行计算分析，通过这些被量化的数值对信息系统的安全风险进行评估判定。 简单地说，定量分析就是用数量化的指标数值来对风险进行评估。比较常见的定 量分析方法有Markov分析法、时

9、序序列分析法、因子分析法、决策树法、聚类 分析法、熵权系数法等。定量分析方法的优点是分类清楚，比较客观；缺点是容 易简单化、模糊化，造成误解和曲解。2）定性分析方法定性分析方法不需要严格量化各个属性，只是采用人为的判断，依赖于分析 者的经验、直觉等一些非量化的指标，主观性很强，对风险评估者的经验等要求 很高。它可以较好的挖掘出一些蕴藏很深的思想，使做出的评估结论更全面、更 深刻。在采用定性分析方法进行评估时，不使用具体的数量化的数据，而是对各 个指标给出一定的指定期望值，利用这样一种非量化的形式对信息系统的安全风 险做出判断。常见的定性分析方法有德尔菲法(Delphi Method)、可操作的

10、关键 威胁、资产和脆弱评估方法(OCTAVE，Operationally Critical Threat， Asset and Vulnerability Evaluation)等。定性分析方法的优点是可以挖掘出一些蕴藏很深的 思想，使评估的结论更全面深刻；缺点是主观性强，对评估者要求很高。3) 综合分析方法定量分析方法和定性分析方法是相辅相成、相互联系的。定量分析法是定 性分析法的基础和前提，反过来，定性分析法又是建立在定量分析法基础上揭示 客观事物内在规律的。在复杂的校园信息化信息系统风险评估中，要将定量分析 法和定性分析法融合起来使用，这就是综合分析方法。在本文中针对数字化校园 的信息安

11、全风险评估中也采用综合分析方法。四、信息安全风险评估的注意事项做好风险评估工作，特别要注意以下5方面的工作。1、各级领导对评估工作的重视风险评估工作只有得到各级领导的广泛认同和支持，才能顺利地开展并卓有 成效地进行，获得客观、真实和有效的评估结果，作为今后信息安全建设的重要 参考依据。2、加强评估工作的组织和管理信息安全风险评估工作启动后，应及时组建评估项目组，加强对整个评估工 作的组织和管理。项目组主要包括项目领导小组、项目负责人和项目工作小组。3、注意评估过程中的风险控制。评估工作过程中所面临的风险，主要是敏感信息泄露和评估过程中的各种技 术性评估带来的。规避敏感信息泄露风险，主要应该注意

12、几点：一是参与评估的 人员必须遵守国家有关信息安全的法律法规以及总行关于信息安全的相关管理 规定，承担相应的义务和责任；二是被评估方应与参与评估的所有人员签订具有 法律约束力的保密协议；三是评估过程中做好审核确认工作。对于规避技术性评 估所带来的风险，例如进行漏洞扫描有时引起扫描对象宕机等，在制订各种技术 性评估方案时，应当由被评估方和评估方共同审核确认，尽量避免采取可能造成 不良影响的操作，最好事先经过测试。4、做好各方的协调配合工作。信息安全风险评估工作涉及信息系统的主管部门、建设单位或上级机关、运 行维护部门、使用部门、安全管理部门和保密部门以及技术支持单位和产品或服 务提供商。因此需要高层领导直接组织，需要被评估方和评估方的密切配合，相 互支持。5、提供评估所必须的保障条件。在评估过程中，要考虑完成信息安全风险评估工作的相关保障条件，包括人 员、时间和经费等。人员保障主要涉及完成风险评估工作的相关人员。评估工作 小组的人员可以从被评估方的技术部门选派，也可选择国内可以信赖的第三方专 业评估机构。特殊需要的专业技术人员可以根据评估工作的需要临时抽调。为了 使评估结果真实、客观、有效，需要有一定的时间保障，尤其是评估准备阶段， 需要花较长的时间精心准备。此外，风险评估还要有一定的经费支持，可能涉及 咨询、技术服务、培训、管理、购置评估专用设备、购置工具和软件等费用。