计算机网络安全风险管理课件.ppt

1、第一页，编辑于星期三：十五点 二十四分。风险就是不利事件发生的可能性。风险管理是评估风险、采取步骤将风险消减到可承受的水平并且维持这一风险级别的过程。也许大家没有意识到，其实大家每天都在进展风险管理。像系平安带、预报有雨时带伞或将事情记录下来以免遗忘，这些日常活动都可以归入风险管理的范畴。人们会意识到针对其利益的各种威胁，并采取预防措施进展防范或将其影响减到最小。风险管理是平安性的一个重要方面，但风险管理不只是包含恐惧、不确定性和疑心FUD。在评判一个平安方案时，应重点考虑直接在资产负债表上导致美元收入的平安收益，它是相对于风险管理的重要对应物。第二页，编辑于星期三：十五点 二十四分。本课程为

2、各种类型的客户方案、建立和维护一个成功的平安风险管理方案。说明如何在四阶段流程中实施风险管理方案中的各个阶段，以及如何建立一个持续的过程以评定平安风险并将其降低到可承受水平。第三页，编辑于星期三：十五点 二十四分。一风险管理的核心作用 所谓风险管理就是识别风险、选择对策、实施对策以消减风险.最终保证信息资产的保密性、完整性、可用性能够满足目标要求的这样一个过程。简单的说风险管理就是识别风险、评估风险，采取措施将风险减到可承受水平，并维持这个风险水平的过程。第四页，编辑于星期三：十五点 二十四分。个人隐私经营状况资产知识产权资产识别资产识别商务联系管理制度第五页，编辑于星期三：十五点 二十四分。

3、资产类别资产类别总体总体 IT 环境环境资产名称资产名称资产评级资产评级有形资产有形资产物理基础结构物理基础结构数据中心数据中心5有形资产有形资产物理基础结构物理基础结构Servers3有形资产有形资产物理基础结构物理基础结构台式计算机台式计算机1有形资产有形资产物理基础结构物理基础结构移动计算机移动计算机3有形资产有形资产物理基础结构物理基础结构PDA1有形资产有形资产物理基础结构物理基础结构移动电话移动电话1有形资产有形资产物理基础结构物理基础结构服务器应用程序软件服务器应用程序软件1有形资产有形资产物理基础结构物理基础结构最终用户应用程序软件最终用户应用程序软件1有形资产有形资产物理基础

4、结构物理基础结构开发工具开发工具3有形资产有形资产物理基础结构物理基础结构路由器路由器3有形资产有形资产物理基础结构物理基础结构网络交换机网络交换机3有形资产有形资产物理基础结构物理基础结构传真机传真机1有形资产有形资产物理基础结构物理基础结构PBX3第六页，编辑于星期三：十五点 二十四分。资产类别资产类别总体总体 IT 环境环境资产名称资产名称资产评级资产评级有形资产有形资产物理基础结构物理基础结构可移动介质（如：磁带、软盘、可移动介质（如：磁带、软盘、CD-ROM、DVD、便、便携式硬盘、携式硬盘、PC 卡存储设备、卡存储设备、USB 存储设备等）存储设备等）1有形资产有形资产物理基础结构

5、物理基础结构电源电源3有形资产有形资产物理基础结构物理基础结构不间断电源不间断电源3有形资产有形资产物理基础结构物理基础结构消防系统消防系统3有形资产有形资产物理基础结构物理基础结构空调系统空调系统3有形资产有形资产物理基础结构物理基础结构空气过滤系统空气过滤系统1有形资产有形资产物理基础结构物理基础结构其他环境控制系统其他环境控制系统3有形资产有形资产Intranet 数据数据源代码源代码5有形资产有形资产Intranet 数据数据人力资源数据人力资源数据5有形资产有形资产Intranet 数据数据财务数据财务数据5有形资产有形资产Intranet 数据数据营销数据营销数据5有形资产有形资产

6、Intranet 数据数据雇员密码雇员密码5第七页，编辑于星期三：十五点 二十四分。资产类别资产类别总体总体 IT 环境环境资产名称资产名称资产评级资产评级有形资产有形资产Intranet 数据数据雇员私人密钥雇员私人密钥5有形资产有形资产Intranet 数据数据计算机系统密钥计算机系统密钥5有形资产有形资产Intranet 数据数据智能卡智能卡5有形资产有形资产Intranet 数据数据知识产权知识产权5有形资产有形资产Intranet 数据数据适用于法规要求的数据（如适用于法规要求的数据（如 GLBA、HIPAA、CA SB1386 和和 EU Data Protection Direc

7、tive等）等）。5有形资产有形资产Intranet 数据数据美国美国 雇员社会保险号雇员社会保险号5有形资产有形资产Intranet 数据数据雇员驾驶证编号雇员驾驶证编号5有形资产有形资产Intranet 数据数据战略计划战略计划3第八页，编辑于星期三：十五点 二十四分。资产类别资产类别总体总体 IT 环境环境资产名称资产名称资产评级资产评级有形资产有形资产Intranet 数据数据客户消费信用报告客户消费信用报告5有形资产有形资产Intranet 数据数据客户医疗记录客户医疗记录5有形资产有形资产Intranet 数据数据雇员生物特征识别雇员生物特征识别5有形资产有形资产Intranet

8、数据数据雇员商务联络数据雇员商务联络数据1有形资产有形资产Intranet 数据数据雇员个人联络数据雇员个人联络数据3有形资产有形资产Intranet 数据数据采购单数据采购单数据5有形资产有形资产Intranet 数据数据网络基础结构设计网络基础结构设计3有形资产有形资产Intranet 数据数据内部网站内部网站3有形资产有形资产Intranet 数据数据雇员种族数据雇员种族数据3有形资产有形资产Extranet 数据数据合作伙伴合同数据合作伙伴合同数据5有形资产有形资产Extranet 数据数据合作伙伴财务数据合作伙伴财务数据5有形资产有形资产Extranet 数据数据合作伙伴联络数据合作

9、伙伴联络数据3第九页，编辑于星期三：十五点 二十四分。资产类别资产类别总体总体 IT 环境环境资产名称资产名称资产评级资产评级有形资产有形资产Extranet 数据数据合作伙伴协同应用程序合作伙伴协同应用程序3有形资产有形资产Extranet 数据数据合作伙伴密钥合作伙伴密钥5有形资产有形资产Extranet 数据数据合作伙伴信用报告合作伙伴信用报告3有形资产有形资产Extranet 数据数据合作伙伴采购单数据合作伙伴采购单数据3有形资产有形资产Extranet 数据数据供应商合同数据供应商合同数据5有形资产有形资产Extranet 数据数据供应商财务数据供应商财务数据5有形资产有形资产Ext

10、ranet 数据数据供应商联络数据供应商联络数据3有形资产有形资产Extranet 数据数据供应商合作应用程序供应商合作应用程序3有形资产有形资产Extranet 数据数据供应商密钥供应商密钥5有形资产有形资产Extranet 数据数据供应商信用报告供应商信用报告3有形资产有形资产Extranet 数据数据供应商采购单数据供应商采购单数据3第十页，编辑于星期三：十五点 二十四分。资产类别资产类别总体总体 IT 环境环境资产名称资产名称资产评级资产评级有形资产有形资产Internet 数据数据网站销售应用程序网站销售应用程序5有形资产有形资产Internet 数据数据网站营销数据网站营销数据3有

11、形资产有形资产Internet 数据数据客户信用卡数据客户信用卡数据5有形资产有形资产Internet 数据数据客户联络数据客户联络数据3有形资产有形资产Internet 数据数据公开密钥公开密钥1有形资产有形资产Internet 数据数据新闻发布新闻发布1有形资产有形资产Internet 数据数据白皮书白皮书1有形资产有形资产Internet 数据数据产品文档产品文档1有形资产有形资产Internet 数据数据培训资料培训资料3第十一页，编辑于星期三：十五点 二十四分。资产类别资产类别总体总体 IT 环境环境资产名称资产名称资产评级资产评级无形资产无形资产名誉名誉 5无形资产无形资产友好关系

12、友好关系 3无形资产无形资产雇员道德雇员道德 3无形资产无形资产雇员生产力雇员生产力 3IT 服务服务邮件邮件电子邮件电子邮件/计划（如计划（如 Microsoft Exchange）3IT 服务服务邮件邮件即时消息即时消息1IT 服务服务邮件邮件Microsoft Outlook Web Access(OWA)1IT 服务服务核心基础结构核心基础结构Microsoft Active Directory3IT 服务服务核心基础结构核心基础结构域名系统域名系统(DNS)3IT 服务服务核心基础结构核心基础结构动态主机配置协议动态主机配置协议(DHCP)3第十二页，编辑于星期三：十五点 二十四分。

13、资产类别资产类别总体总体 IT 环境环境资产名称资产名称资产评级资产评级IT 服务服务核心基础结构核心基础结构企业管理工具企业管理工具3IT 服务服务核心基础结构核心基础结构文件共享文件共享3IT 服务服务核心基础结构核心基础结构存储器存储器3IT 服务服务核心基础结构核心基础结构拨号远程访问拨号远程访问3IT 服务服务核心基础结构核心基础结构电话服务电话服务3IT 服务服务核心基础结构核心基础结构虚拟专用网虚拟专用网(VPN)访问访问3IT 服务服务核心基础结构核心基础结构Microsoft Windows Internet 命名服务命名服务(WINS)1IT 服务服务其他基础结构其他基础结

14、构合作服务（如合作服务（如 Microsoft SharePoint）1第十三页，编辑于星期三：十五点 二十四分。威胁威胁 示例示例灾难性事件灾难性事件火灾火灾灾难性事件灾难性事件洪水洪水灾难性事件灾难性事件地震地震灾难性事件灾难性事件严重风暴严重风暴灾难性事件灾难性事件恐怖分子袭击恐怖分子袭击灾难性事件灾难性事件平民骚乱平民骚乱/暴动暴动灾难性事件灾难性事件山崩山崩灾难性事件灾难性事件雪崩雪崩灾难性事件灾难性事件工业意外工业意外威胁威胁 示例示例机械故障机械故障电力中断电力中断机械故障机械故障硬件故障硬件故障机械故障机械故障网络中断网络中断机械故障机械故障环境控制措施失效环境控制措施失效机械

15、故障机械故障结构意外结构意外非恶意人员非恶意人员未获通知的雇员未获通知的雇员非恶意人员非恶意人员未获通知的用户未获通知的用户第十四页，编辑于星期三：十五点 二十四分。威胁威胁 示例示例恶意人员恶意人员黑客、解密高手黑客、解密高手恶意人员恶意人员计算机犯罪计算机犯罪恶意人员恶意人员行业间谍行业间谍恶意人员恶意人员政府资助的间谍政府资助的间谍恶意人员恶意人员社会工程社会工程恶意人员恶意人员心存不满的现雇员心存不满的现雇员恶意人员恶意人员心存不满的前雇员心存不满的前雇员恶意人员恶意人员恐怖分子恐怖分子恶意人员恶意人员疏忽的雇员疏忽的雇员恶意人员恶意人员不诚实的雇员（受贿者或被勒索者）不诚实的雇员（受

16、贿者或被勒索者）恶意人员恶意人员恶意移动代码恶意移动代码第十五页，编辑于星期三：十五点 二十四分。高级漏高级漏洞分类洞分类漏洞简短说明漏洞简短说明具体示例（如果适用）具体示例（如果适用）物理物理未上锁的门未上锁的门 物理物理未受保护的计算机应用设施访问权限未受保护的计算机应用设施访问权限 物理物理不充分的消防系统不充分的消防系统 物理物理设计低劣的建筑设计低劣的建筑 物理物理施工低劣的建筑施工低劣的建筑 物理物理施工中使用的易燃材料施工中使用的易燃材料 物理物理装修中使用的易燃材料装修中使用的易燃材料 物理物理未上锁的窗未上锁的窗 物理物理易受物理袭击的墙易受物理袭击的墙 物理物理内墙未能在天

17、花板和地板处完全密封房间内墙未能在天花板和地板处完全密封房间 第十六页，编辑于星期三：十五点 二十四分。自然自然设备位于故障线路上设备位于故障线路上 自然自然设备位于水灾区域设备位于水灾区域 自然自然设备位于雪崩区域设备位于雪崩区域 高级漏高级漏洞分类洞分类漏洞简短说明漏洞简短说明具体示例（如果适用）具体示例（如果适用）硬件硬件缺少修补程序缺少修补程序 硬件硬件过期的固件过期的固件 硬件硬件配置错误的系统配置错误的系统 硬件硬件未受物理保护的系统未受物理保护的系统 硬件硬件在公共接口上允许的管理协议在公共接口上允许的管理协议 第十七页，编辑于星期三：十五点 二十四分。软件软件过期的防病毒软件过

18、期的防病毒软件 软件软件缺少修补程序缺少修补程序 软件软件编写低劣的应用程序编写低劣的应用程序跨站点脚本跨站点脚本软件软件编写低劣的应用程序编写低劣的应用程序SQL 注入注入软件软件编写低劣的应用程序编写低劣的应用程序代码弱点，如缓冲区溢出代码弱点，如缓冲区溢出软件软件故意设置的弱点故意设置的弱点用于管理或系统恢复的供应商后门用于管理或系统恢复的供应商后门软件软件故意设置的弱点故意设置的弱点Spyware，如，如 keyloggers软件软件故意设置的弱点故意设置的弱点特洛伊木马特洛伊木马 软件软件故意设置的弱点故意设置的弱点 软件软件配置错误配置错误导致配置不一致的手工供应导致配置不一致的手

19、工供应软件软件配置错误配置错误未强化系统未强化系统软件软件配置错误配置错误未审核系统未审核系统软件软件配置错误配置错误未监视系统未监视系统第十八页，编辑于星期三：十五点 二十四分。媒体媒体电子干扰电子干扰 高级漏高级漏洞分类洞分类漏洞简短说明漏洞简短说明具体示例（如果适用）具体示例（如果适用）通信通信未加密的网络协议未加密的网络协议 通信通信到多个网络的连接到多个网络的连接 通信通信允许不必要的协议允许不必要的协议 通信通信在网络分段之间无过滤在网络分段之间无过滤 人为人为定义低劣的程序定义低劣的程序不充分的意外响应准备不充分的意外响应准备人为人为定义低劣的程序定义低劣的程序手工供应手工供应人

20、为人为定义低劣的程序定义低劣的程序不充分的灾难恢复规划不充分的灾难恢复规划人为人为定义低劣的程序定义低劣的程序在生产系统上测试在生产系统上测试人为人为定义低劣的程序定义低劣的程序未报告的违规未报告的违规人为人为定义低劣的程序定义低劣的程序低劣的更改控制低劣的更改控制人为人为被盗凭据被盗凭据 第十九页，编辑于星期三：十五点 二十四分。风险管理周期模型第二十页，编辑于星期三：十五点 二十四分。二风险管理的根本概念 资产Asset 任何对组织具有价值的东西，包括计算机硬件、通信设施、建筑物、数据库、文档信息、软件、信息效劳和人员等，所有这些资产都需要妥善保护。对资产的评估要从价值、重要性或敏感度等方

21、面来考虑。威胁Threat 就是可能对资产或组织造成损害的意外事件的潜在原因，即某种威胁源threat source或威胁代理threat agent成功利用特定弱点对资产造成负面影响的潜在可能。威胁类型包括人为威胁成心和无意和非人为威胁自然和环境。识别并评估威胁时需要考虑威胁源的动机和能力。风险管理关心的是威胁发生的可能性。第二十一页，编辑于星期三：十五点 二十四分。弱点弱点Vulnerability 也被称作漏洞或脆弱性，即也被称作漏洞或脆弱性，即资产或资产组中存在的可被威胁利用的缺点，弱点一旦资产或资产组中存在的可被威胁利用的缺点，弱点一旦被利用，就可能对资产造成损害。弱点本身并不能构成

22、被利用，就可能对资产造成损害。弱点本身并不能构成伤害，它只是威胁利用来实施影响的一个条件。风险管伤害，它只是威胁利用来实施影响的一个条件。风险管理过程中要识别弱点，并评估弱点的严重性和可被利用理过程中要识别弱点，并评估弱点的严重性和可被利用的容易程度。的容易程度。风险风险Risk 特定威胁利用资产的弱点给资产或特定威胁利用资产的弱点给资产或资产组带来损害的潜在可能性资产组带来损害的潜在可能性.单个或者多个威胁可以单个或者多个威胁可以利用单个或者多个弱点。风险是威胁事件发生的可能利用单个或者多个弱点。风险是威胁事件发生的可能性与影响综合作用的结果。性与影响综合作用的结果。可能性可能性Likeli

23、hood 对威胁事件发生的几率对威胁事件发生的几率Probability或频率或频率Frequency的定性描述。的定性描述。第二十二页，编辑于星期三：十五点 二十四分。影响影响Impact 或者是后果或者是后果Consequence，意外事件发生给组织带来的直接或间接的损失或伤害。意外事件发生给组织带来的直接或间接的损失或伤害。平安措施平安措施Safeguard 也称作控制措施也称作控制措施control或对策或对策countermeasure，即通过防，即通过防范威胁、减少弱点、限制意外事件带来影响等途径来范威胁、减少弱点、限制意外事件带来影响等途径来消减风险的机制、方法和措施。消减风险的

24、机制、方法和措施。残留风险残留风险Residual Risk 在实施平安措施之在实施平安措施之后仍然存在的风险。后仍然存在的风险。第二十三页，编辑于星期三：十五点 二十四分。风险管理各要素之间的关系风险管理各要素之间的关系 弱点暴露了具有价值的资产,威胁对弱点加以利用，从而造成负面影响，由此导致风险.正是因为风险的存在，我们才提出了平安需求，为了实现需求，必须采取平安措施，以便防范威胁并减少风险。风险管理的整个过程就是在这些要素间相互制约相互作用的关系中得以进展的。第二十四页，编辑于星期三：十五点 二十四分。一确定信息平安目标和战略 平安目标决定了组织能够承受的风险水平和所满足的平安程度。应该

25、考虑的问题应该考虑的问题组织承担着哪些重点活动组织承担着哪些重点活动哪些任务只能在哪些任务只能在IT的帮助下完成的帮助下完成必须依赖信息的保密性、完整性和可用性必须依赖信息的保密性、完整性和可用性哪些机密信息需要保护哪些机密信息需要保护意外发生后对组织的影响意外发生后对组织的影响第二十五页，编辑于星期三：十五点 二十四分。目标目标信心信心产品产品信誉信誉效劳效劳信息信息资料资料雇员雇员消费者消费者客户客户受益人受益人保护保护数据数据保密性恶意恶意使用使用误用误用欺诈欺诈法规法规主题主题风险评估战略和方法风险评估战略和方法信息平安策略的需求信息平安策略的需求系统平安操系统平安操作程序的需作程序的

26、需求求信息敏感性分类方案信息敏感性分类方案连接时需要满足的条连接时需要满足的条件和检查方法件和检查方法事件处事件处理方案理方案只有事先确定了风险评估的途径，风险评估和风险分析才能有据而行只有事先确定了风险评估的途径，风险评估和风险分析才能有据而行第二十六页，编辑于星期三：十五点 二十四分。二建立信息平安策略Information Security Policy总体方针总体方针特定问题策略特定问题策略Issue-Specific Policy特定系统策略特定系统策略System-Specific Policy组织对信息平安的根本认识组织对信息平安的根本认识组织的平安目标和战略，包括对法律法规遵守

27、的考虑组织的平安目标和战略，包括对法律法规遵守的考虑组织信息平安所涉及的范围组织信息平安所涉及的范围信息平安的组织构架和责任认定信息平安的组织构架和责任认定信息资产的分类模式信息资产的分类模式风险管理的途径风险管理的途径信息资产分类方案信息资产分类方案关于信息平安管理的其他全局约定关于信息平安管理的其他全局约定第二十七页，编辑于星期三：十五点 二十四分。一风险评估的概念 1、概念 风险评估是对信息资产面临的威胁、存在的弱点、造成的影响，以及三者综合作用而带来风险的可能性的评估。2、作用 风险评估Risk Assessment是组织确定信息平安需求的一个重要途径，属于组织平安管理筹划的过程。第二

28、十八页，编辑于星期三：十五点 二十四分。风险评估的任务风险评估的任务识别组织面临的各识别组织面临的各种风险种风险评估风险概率和可评估风险概率和可能带来的负面影响能带来的负面影响确定组织承受风险确定组织承受风险的能力的能力确定风险消减和控确定风险消减和控制的优先等级制的优先等级推荐风险消减对策推荐风险消减对策 首先、要确定保护的对象保护资产是什么？它们直接和间接价值？首先、要确定保护的对象保护资产是什么？它们直接和间接价值？其次、资产面临哪些潜在威胁？导致威胁的问题所在？威胁发生的可能性有其次、资产面临哪些潜在威胁？导致威胁的问题所在？威胁发生的可能性有多大？多大？第三、资产中存在哪里弱点可能会

29、被威胁所利用？利用的容易程序又如何？第三、资产中存在哪里弱点可能会被威胁所利用？利用的容易程序又如何？第四、一旦威胁事件发生，组织会遭受怎样的损失或者面临怎样的负面影响？第四、一旦威胁事件发生，组织会遭受怎样的损失或者面临怎样的负面影响？最后、组织应该采取怎样的平安措施才能将风险带来的损失降低到最低程序最后、组织应该采取怎样的平安措施才能将风险带来的损失降低到最低程序第二十九页，编辑于星期三：十五点 二十四分。3、风险评估的几个对应关系 1每项资产可能面临多种威胁 2威胁源威胁代理可能不止一个 3每种威胁可能利用一个或多个弱点第三十页，编辑于星期三：十五点 二十四分。二风险评估的可行途径 1、

30、基线评估Baseline Risk Assessment：1适用范围：组织的商业运作不是很复杂，对信息处理和网络的依赖性不是很高，或者组织信息系统多采用普遍且标准化的模式。2评估策略：根据组织实际的情况，对信息系统进展基线检查拿现有的平安措施与平安基线规定的措施进展比较，找出差距，得出根本的平安需求。通过选择并实施标准的平安措施来消减风险和控制风险。第三十一页，编辑于星期三：十五点 二十四分。3什么是平安基线：在诸多标准标准中规定的一组平安控制措施或者惯例，这些措施和惯例适用于特定环境下的所有系统，可以满足根本的平安需求，使系统能到达一定的平安防护水平。4可选择标准：国际标准和国家标准，例如B

31、S 7799-1、ISO 13335-4 行业标准或推荐，例如德国联邦平安局IT基线保护手册 来自其他有类似商务目标和规模的组织的惯例。第三十二页，编辑于星期三：十五点 二十四分。5优点：需要的资源少，周期短，操作简单，对于环境相似且平安需求相当的诸多组织，基线评估是最经济有效的风险评估途径。6缺点：基线的上下水平难以设定，过高可能导致资源浪费限制过度；过低又会造成难以到达充分的平安。在管理平安相关的变化方面，基线评估比较困难。第三十三页，编辑于星期三：十五点 二十四分。2、详细评估：1概念：对资产进展详细识别和评价，对可能引起风险的威胁和弱点水平进展评估，根据风险评估的结果来识别和选择平安措

32、施。即识别资产的风险并将风险降到可承受的水平，以此证明管理者所采用的平安措施是恰当的。2优点：组织对信息平安风险有一个准确的认识，并且准确定义出组织目前的平安水平和平安需求。详细评估的结果可以用来管理平安变化。第三十四页，编辑于星期三：十五点 二十四分。3缺点：可能是非常消耗资源的过程，包括时间、精力和技术，因此，组织应该仔细设定待评估的信息系统范围，明确商务环境、操作和信息资产的边界。第三十五页，编辑于星期三：十五点 二十四分。3、组合评估：1方式：采用基于基线评估与详细评估两者之间的评估方式。2方法：组织应先对所有系统进展一次初步的高级风险评估。着眼与信息系统的商务价值和可能面临的风险，识

33、别出组织内具有高风险或对其商务运作极为关键的信息资产或系统，这些资产或系统应划分在详细风险评估的范围，而其他系统那么可以通过基线风险评估直接选择平安措施。第三十六页，编辑于星期三：十五点 二十四分。3优点：节省详细评估所消耗的资源，又能确保获得一个全面系统的评估结果，而且组织的资源和资金能够应用到最能发挥作用的地方，具有高风险的信息系统能够被预先关注。4缺点：如果初步的高级风险评估不够准确，某些本来需要详细评估的系统也许会被忽略，最终导致结果失准。第三十七页，编辑于星期三：十五点 二十四分。三风险评估的常用方法 1、基于知识Knowledge-based的分析方法 基于知识的分析方法，组织不需

34、要付出很多精力、时间和资源，只要通过多种途径采集相关的信息，识别组织的风险所在和当前的平安措施，与特定的标准或最正确惯例进展比例，从中找出不符合的地方，并按照标准或最正确惯例的推荐平安措施，最终到达消减和控制风险的目的。第三十八页，编辑于星期三：十五点 二十四分。基于知识的分析方法，最重要的还在于评估信息的采集，信息源包括：会议讨论 对当前的信息平安策略和相关文档进展复查 制作问卷，进展调查 对相关人员进展访谈 进展实地考察第三十九页，编辑于星期三：十五点 二十四分。2、基于模型Model-based的分析方法 2001年1月，由希腊、德国、英国、挪威等国的多家商业公司和研究机构共同组织开发C

35、ORAS工程。CORAS沿用了识别风险、分析风险、评价并处理风险这样的过程，但其试题风险的方法那么完全不同，所有的分析过程都是基于面向对象的模型来进展的。优点：提高对平安相关我描述的准确性，改善了分析结果的质量；图形化的建模机制便于沟通，减少了理解上的偏差；加了不同评估方法互操作的效率。第四十页，编辑于星期三：十五点 二十四分。3、定量Quantitative分析 对构成风险的各个要素和潜在损失的水平赋予数值或货币金额，当试题风险的所有要素资产价值、威胁频率、弱点利用程度、平安措施的效率和本钱等都被值，风险评估的整个过程和结果都可以被量化。第四十一页，编辑于星期三：十五点 二十四分。定量分析的

36、几个概念 1、暴露因子Exposure Factor,EF:特定威胁对特定资产靠损失的百分比，或者说损失的程度。2、单一损失期望single Loss Expectancy,SLE:也称作SOCSingle Occurrence Costs,即特定威胁可能造成的潜在损失总量。3、年度损失期望Annualized Loss Expectancy,ALE：或者称作EACEstimated Annual Cost，表示特定资产在一年内遭受损失的预期值。第四十二页，编辑于星期三：十五点 二十四分。几个概念的关系 1首先，识别资产并为资产赋值 2通过威胁和弱点评估，评价特定威胁作用于特定资产所造成的影响

37、，即EF取值在0%100%之间 3计算特定威胁发生的频率，即ARO 4计算资产的SLE：5计算资产的ALE：第四十三页，编辑于星期三：十五点 二十四分。4、定性Qualitative分析 定性分析方法是目前采用最为广泛的一种方法，它带有很强的主观性，往往凭借分析者的经历和直觉，或者业界的标准和惯例，为风险管理诸要素资产价值，威胁的可能性，弱点被利用的容易度，现有控制措施的效力等的大小或上下程度定性分级。第四十四页，编辑于星期三：十五点 二十四分。四风险评估工具 1、调查问卷 2、检查列表 3、人员访谈 4、漏洞扫描器 5、渗透测试第四十五页，编辑于星期三：十五点 二十四分。五风险评估的根本过程

38、 风险评估是组织确定信息平安需求的过程，包括资产识别与评价、威胁和弱点评估、控制措施评估、风险认定在内的一系列活动。第四十六页，编辑于星期三：十五点 二十四分。五风险评估的根本过程第四十七页，编辑于星期三：十五点 二十四分。1、方案和准备 1目标：开展风险评估活动的目有，期望得到的输出结果，关键的约束条件时间、本钱、技术、策略、资源等 2范围和边界：既寂的风险评估可能只针对组织全部资产包括其弱点、威胁事件和威胁源等的一个子集，评估范围必须首先明确。此外，必须定义风险评估的物理边界和逻辑边界。逻辑分析边界定义了分析所需的广度和深度，而物理系统边界那么定义了一个系统起于哪里止于何处。第四十八页，编

39、辑于星期三：十五点 二十四分。3系统描述：进展风险评估的一个先决条件就是对受评估系统的需求、操作概念和系统资产特性有一个清晰的认识，必须识别评估边界内所有的系统。4角色和责任：组织应该成产一个专门的风险评估小组。5风险评估行动方案：确定风险评估的途径和方法，方案评估步骤。6风险承受标准：事先明确组织能够承受的风险的水平或者等级第四十九页，编辑于星期三：十五点 二十四分。7风险评估适用表格：为风险评估过程拟订标准化的表格、模板、问卷等材料。风险评估方案应该包括以下内容：1目标：开展风险评估活动的目的，期望得到的输出结果，关键的约束条件时间、本钱、技术、策略、资源等 2范围和边界：3系统描述：4角

40、色和责任：5风险评估行动方案：6风险承受标准 7风险评估适用表格：第五十页，编辑于星期三：十五点 二十四分。信息采集途径：1专家经历 2集体讨论或小组讨论 3人员访谈 4调查问卷 5文件审核包括政策法规、平安策略、设计文档、操作指南、审计记录等 6以前的审计和评估结果 7对外部案例和场景的分析 8现场戡查第五十一页，编辑于星期三：十五点 二十四分。2、识别并评价资产 资产识别考虑的问题 1数据与文档：数据库和数据文件、系统文件、用户手册、培训资料、运作和支持程序、应急方案等。2书面文件：合同、策略方针、企业文件、保持重要商业结果的文件。3软件资产：应用软件、系统软件、企业文件、保持重要商业结果

41、的文件。4实物资产：计算机和通信设备，磁介质磁带和磁盘，其他的技术型设备电源、空调，家具，场所。第五十二页，编辑于星期三：十五点 二十四分。5人员：承但特定职能责任的人员。6效劳：计算和通信效劳，其他技术型效劳供热、照明、动力等。7组织形象与声誉：这是一种无形资产 列入评估清单的信息资产，一定要是在评估范围内且与商务过程相关的资产，否那么，一方面清单过于庞大不便分析，另一方面，分析结果也会失去准确性和本应有的意义。第五十三页，编辑于星期三：十五点 二十四分。按照定量分析的思想，应该确定资产的货币价值，在定义相对价值时，需要考虑。1信息资产因为受损而对商务造成的直接损失。2信息资产恢复到正常状态

42、所付出的代价，包括检测、控制、修复时的人力和物力。3信息资产受损对其他部门的业务造成的损失。4组织在公众形象和名誉上的损失。5因为商务受损导致优势降级而引发的间接损失。6其他损失，例如保险费用的增加。第五十四页，编辑于星期三：十五点 二十四分。3、识别并评估威胁 1人员威胁：包括成心破坏网络攻击、恶意代码传播、邮件炸弹、非授权访问等和无意失误比方误操作、维护错误 2系统威胁：系统、网络或效劳的故障软件故障、硬件故障、介质老化 3环境威胁：电源故障、污染、液体泄漏、火灾等。4自然威胁：洪水、地震、台风、滑坡、雷电第五十五页，编辑于星期三：十五点 二十四分。4、识别并评估弱点 1技术性弱点：系统、

43、程序设备中存在的漏洞或缺陷，比方构造设计问题和编程漏洞；2操作性弱点：软件和系统在配置、操作、使用中的缺陷。包括人员日常工作中的不良习惯，审计或备份的缺乏。3管理性弱点：策略、程序、规章制度、人员意识、组织构造等方面的缺乏。第五十六页，编辑于星期三：十五点 二十四分。5、识别并评估现有的平安措施 目标和针对性 1管理性：对系统的开发、维护和使用实施管理的措施，包括平安策略、程序管理、风险管理、平安保障、系统生命周期 2操作性：用来保护系统和应用操作的流程和机制，包括人员职责、应急响应、事件处理、意识培训、系统支持和操作、物理和环境平安等。3技术性：身份识别与认证、逻辑访问控制、日志审计、加密等

44、。第五十七页，编辑于星期三：十五点 二十四分。从控制功能分类：1威慑性：可以降低蓄意攻击的可能性，实际上针对的是威胁源的动机。2预防性：保护弱点，使攻击难以成功，或者降低攻击造成的影响。3检测性：可以检测并及时发现攻击活动，还可以激活纠正性或预防性控制 4纠正性：可以使攻击造成的影响减到最小第五十八页，编辑于星期三：十五点 二十四分。平安措施控制应对风险各要素的情况第五十九页，编辑于星期三：十五点 二十四分。6、评估风险 威胁的可能性：第六十页，编辑于星期三：十五点 二十四分。风险等级第六十一页，编辑于星期三：十五点 二十四分。风险分析矩阵第六十二页，编辑于星期三：十五点 二十四分。7、推荐控

45、制措施 风险评估完毕后，应该提供详细的评估报告，内容包括：1概述，包括评估目的、方法、过程等 2评估结果，包括资产、威胁、弱点和现有控制措施的评估等级，以及最终的风险评价等级。3推荐平安控制措施，提出建议性的解决方案第六十三页，编辑于星期三：十五点 二十四分。一确定风险消减策略 1、降低风险Reduce Risk 减少威胁 减少弱点 降低影响 2、躲避风险Avoid Risk 3、转嫁风险Transfer Risk 4、承受风险Accept Risk第六十四页，编辑于星期三：十五点 二十四分。第六十五页，编辑于星期三：十五点 二十四分。二选择平安措施 1、约束条件 1经济约束 2时间约束 3技

46、术约束 4社会约束 5环境约束 6法律约束第六十六页，编辑于星期三：十五点 二十四分。2、平安措施选择列表第六十七页，编辑于星期三：十五点 二十四分。三制定平安方案1、包含内容：平安目标风险管理战略和风险评估途径 已识别的风险和风险等级包括对威胁和弱点的表达推荐的平安措施包括现有的措施风险消减策略和残留风险的承受标准选定的平安措施，确定措施的优先级预期实施本钱包括人力、所需资源等列举责任人员 确定时间期限按优先级可分为短期、中期、长期和里程碑 报告程序的定义跟进活动，例如相关的培训、维护建议等。对可能困难的考虑第六十八页，编辑于星期三：十五点 二十四分。2、平安措施选择列表第六十九页，编辑于星

47、期三：十五点 二十四分。四实施平安方案 五检查和测试第七十页，编辑于星期三：十五点 二十四分。一维护Maintenance 1、检查日志文件 2、修改调整必要的参数，以反响变化需求 3、更新版本 4、安装补丁第七十一页，编辑于星期三：十五点 二十四分。二监视Monitoring 1、监视资产 引起资产变化的原因：组织商务目标的变动 系统中运行的应用程序的变化 受处理的信息变化 设备的变化 2、监视威胁 3、监视弱点 4、监视平安措施第七十二页，编辑于星期三：十五点 二十四分。三事件响应Incident Response 也称作应急响应，就是对计算机系统中出现的突发事件作出响应。所谓突发事件，就

48、是突然干扰或打断系统的正常运行，使其陷入某种级别危机的事件，比方黑客入侵、拒绝效劳攻击、未经授权的网络通信和系统操作等。第七十三页，编辑于星期三：十五点 二十四分。目标：鉴别突发事件的发生和性质，确定响应战略 采集准确的信息进展分析 对信息获取和证据管理加以控制 保护法律和政策中规定的相关内容，比方隐私权 使系统、网络和业务操作过程客观存在到的影响最小 必要时对事件发起者提起诉讼 提供准确的报告和合理建议第七十四页，编辑于星期三：十五点 二十四分。事件响应过程经历的几个阶段准备检测初始响应通知评估处理恢复报告后续行动第七十五页，编辑于星期三：十五点 二十四分。四平安意识、培训和教育 1、三个层

49、次 平安意识Security Awareness：平安培训Security Training 平安教育Security Education 2、过程 需求分析培训教师获取支持开发程序开发程序实施程序维护程序监视考察第七十六页，编辑于星期三：十五点 二十四分。五再评估与认证第七十七页，编辑于星期三：十五点 二十四分。一配置管理Configuration Management 目标：识别、控制、维持并校验已确定的配置工程的数据和状况，并对系统及其配置工程的变化进展分析和控制。确保系统中出现的偶然或者恶意的变化不会降低平安措施的效力和组织整体上的平安。第七十八页，编辑于星期三：十五点 二十四分。二变

50、更管理 作用：用来识别由于系统发生变化而引发新的平安需求的过程。目的：为了将变化造成的影响减到最小，使用标准化的方法和程序，确保有效而及时地处理的有的变化，从而改善组织的日常操作。过程：请示request复查review批准approval文档documentation测试testing实施implementation报告reporting第七十九页，编辑于星期三：十五点 二十四分。三业务连续性方案和灾难恢复方案 应急方案Contingency Plan是在信息系统和商务活动发生紧急情况或破坏后所采取的过渡恢复措施，涉及到包括方案、程序和平安措施在内的协调策略，这此策略使中断的信息系统、操作和