风险决策与风险控制VIP专享VIP免费

风险决策与风险控制风险分析的目的是识别和选择合适、恰当的安全防护措施以将评估所确定的风险减小到一个可以接受的水平。在选择安全防护措施时，应考虑到存在和已计划的安全防范措施、信息安全体系结构和各种类型的限制因素。1.风险决策消除所有风险是不切实际的，也是不可能的，所以应该运用最小成本方法来对风险的处理方式进行决策，以确定采用最合适的控制，将风险降低到一个可接受的程度。风险决策中可选择的处理方式有如下几种：风险承受：接受潜在的风险并继续运行IT系统，或实现安全控制以把风险降低到一个可接受的级别。风险规避：通过消除风险的原因和/或后果（如在识别出风险后放弃系统某项功能或关闭系统）来规避风险。风险限制：通过实现安全控制来限制风险，可将系统脆弱性被威胁源利用而带来的不利影响最小化（如使用支持性、预防性、检测性安全控制）。风险规划：制定一套风险减缓计划来管理风险，该计划中将涉及安全控制的优先级排序、实现和维护。研究和通告：通过通告系统的脆弱性或缺陷，并研究脆弱性的修正控制措施，来降低风险的损失。风险转移：通过使用其他措施来补偿损失，从而转移风险，如购买保险。在进行风险决策时应该考虑机构的目标和使命，要解决所有风险可能是不实际的，所以应该对那些可能给使命带来严重危害的威胁/脆弱性对进行优先级排序。同时，在保护机构的使命及其IT系统时，由于各机构有其特定的环境和目标，因此用来控制风险的方式和实现安全控制的方法也各有不同。最好的方法是从不同的厂商安全产品中选择最合适的技术，再伴以适当的风险控制措施和非技术类的管理措施。2.风险决策的策略明确了潜在风险和安全控制建议后，需要确定在什么时候什么情况下该采取什么行动，以及在什么时候该采取什么样的安全措施来控制风险，从而达到风险管理的目的。例如，对故意的人为威胁所带来的风险，可参考以下策略：当存在系统脆弱性时：实现保证技术来降低脆弱性被攻击的可能性；当系统脆弱性可被恶意攻击时：运用层次化保护、结构化设计、管理控制将风险最小化或防止脆弱性被利用；当攻击者的成本小于攻击的可能所得时：运用保护措施，通过提高攻击者成本来降低攻击者的攻击动机。当损失巨大时：运用系统设计中的基本原则及结构化设计、技术或非技术类保护措施来限制攻击的范围，从而降低可能的损失。该风险决策策略中除第三条外都可运用来处理由于环境威胁或人员的无意威胁（如系统或用户错误）所带来的风险。3.安全防护措施选择在风险评估中所确定的风险情况是组织选择安全措施的基础，这可以保障选择的安全措施对防护是适当的和必需的。对于风险分析的结果应当将威胁和关联的脆弱性进行注明，以判断哪里需要防护，并且应该采取什么样的形式。安全防护措施有多种选择，下面列出了安全防护措施的几个方面：物理环境安全措施员工管理措施安全管理硬件/软件工具通信防护措施防护措施的选择应考虑成本问题，包括维护，重新检查存在和已计划的安全措施，以达到：如果这些措施不是足够有效就要除去或改进它们的目的。当选择基线方法来保护信息系统，安全措施的选择相对简单。根据基线安全防护目录，选择针对最常见的威胁保护信息系统是一个简单的方法。将这些推荐的安全措施和存在或已计划的安全措施比较，对不合适的安全措施进行升级或更换即能达到基线保护的目标。对于详细风险分析方法来说，安全措施的选择相对较为复杂，这需要根据评估中确定的风险要素来进行。安全防护措施的选择时要考虑技术和非技术措施的平衡是一个在技术性、非技术性的措施包括那些提供物理安全、人员安全和安全管理的措施。此外还有程序性的安全措施，这包括安全的操作运行程序文档、安全的应用开发和接收程序、事件处理程序等等，以及和这些程序相关联的业务连续性计划，例如灾难恢复计划，针对每个关键系统制定安全策略和开发安全计划对于保障信息系统的安全性非常重要。通常，这些计划应包括对关键过程和优先级细节，过程中的需求和紧接着的组织管理性的程序。技术安全措施包括硬件和软件安全措施、通信防护措施。根据风险所选择的这些措施...