汇报人：贾武汇报人：贾武主要内容主要内容风险评估各阶段工作及成果风险评估手段介绍风险评估方法介绍本次风险评估工作安排4信息安全风险评估简介2351主要内容主要内容风险评估各阶段工作及成果风险评估手段介绍风险评估方法介绍本次风险评估工作安排4信息安全风险评估简介2351信息安全风险评估信息安全风险评估信息系统的安全风险，是指由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生所造成的影响。信息安全风险评估，则是指依据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程，它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。——《信息安全风险评估指南》风险评估基本要素风险评估基本要素安全措施抗击业务战略脆弱性安全需求威胁风险残余风险安全事件依赖拥有被满足利用暴露降低增加加依赖增加导出演变未被满足未控制可能诱发残留成本资产资产价值信息安全风险评估简介—风险评估概述《信息技术安全性评估准则》（ISO15408:1999－GB/T18336:2001)；《信息安全风险评估指南》（国家标准征求意见稿）；《信息安全风险管理指南》（国家标准征求意见稿）；OCTAVE—OperationCriticalThreat,Asset,andVulnerabilityEvaluation。由美国卡内基.梅隆大学软件学院开发的风险评估方法；《信息技术信息安全管理实用规则》（ISO17799）；《信息技术-IT安全管理指南》（ISO13335）；《信息技术系统风险管理指南》（NISTSP800-30）信息安全风险评估简介—风险评估标准体系规范性可控性最小影响整体性保密性标准性信息安全风险评估简介—风险评估原则主要内容主要内容风险评估各阶段工作及成果风险评估手段介绍风险评估方法介绍本次风险评估工作安排4信息安全风险评估简介2351资产识别脆弱性识别威胁分析风险分析风险分析•明确企业的关键资产•明确关键资产安全需求•查找企业关键资产存在的安全隐患•分析可以利用企业关键资产安全隐患的因素•综合分析脆弱性被威胁利用的可能性以及给企业带来的影响安全建议安全建议•提出控制风险的安全建议风险评估方法介绍任务1：资产信息收集资产名称用途操作系统应用情况......任务2：资产分类资产所属的类别（物理资产、虚拟资产）资产的网络、子网络、系统、子系统、区域归属信息任务3：资产赋值根据安全的三个基本属性——机密性、完整性、可用性——对资产价值进行描述和赋值。风险评估方法介绍—资产识别威胁会对资产造成危害，它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。信息系统根据自身应用的特点和地理位置可能会面对不同的威胁源。自然（洪水、地震、飓风、等）环境（长时间电力故障、化学气体泄漏等）政治......不可抗力由于组织机构、行政制度造成的安全威胁......组织弱点由于人员的技能、培训、无意识培训行为等方面原因造成的安全威胁......人为失误由于信息技术、产品的设计、实现、配置、使用等造成的安全威胁......技术缺陷故意行为（基于网络的攻击、恶意软件上传、对保密信息未经授权的访问等）等造成的威胁......恶意行为风险评估方法介绍—威胁识别脆弱性是对一个或多个资产弱点的总称。脆弱性和资产紧密相连，它可能被威胁利用、引起资产损失或破坏。机房上层具有用水设施不适当或粗心使用机房的物理访问控制不稳定的电源......环境和基础设施脆弱性缺少定期替换计划存储介质的不适当维护缺少有效的配置变更控制......硬件脆弱性没有或不足的软件测试不良的口令管理（明文方式存储口令、不足的变更频率）......软件脆弱性拨号链路以明文的方式传输口令未保护的敏感通信不足的网络带宽......通信脆弱性对拷贝没有控制未安全地存放没有仔细丢弃......文档脆弱性人员短缺外部人员或清洁工的工作无人监督不足的安全培训缺少安全意识…...人员脆弱性...
