登陆注册
2859500000013

第13章 组织安全管理(1)

89.什么是信息安全风险评估?

信息安全风险评估是从风险管理角度,运用定性、定量的科学分析方法和手段,依据有关信息安全技术与管理标准,对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁,以及威胁利用脆弱性导致安全事件的可能性,并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。从而有针对性地提出抵御威胁的安全防护对策和整改措施,最大限度地减少经济损失和负面影响。

信息安全风险评估是信息安全管理的基础和关键环节。通过开展信息安全风险评估,对网络与信息系统的资产价值、潜在的安全威胁、薄弱环节、防护措施等进行分析,可以做到心中有数,可以发现信息系统中存在的主要安全问题,并找到解决这些问题的方法,有针对性地进行管理。图9.1是风险评估的实施流程图。

90.风险评估的要素有哪些?

风险评估的基本要素包括:需保护的信息资产、信息资产的脆弱性、信息资产面临的威胁、存在的可能风险、安全防护措施等。

风险评估围绕着这些基本要素展开,通过分析信息资产的脆弱性来确定威胁可能利用哪些弱点来破坏其安全性。在对这些要素的评估过程中,需要充分考虑业务战略、资产价值、安全需求、安全事公务人员信息安全知识读本件、残余风险等,以及与这些基本要素相关的各类属性。图9.2显示了风险评估各要素之间的关系,其中方框中的内容为风险评估的基本要素,椭圆中的内容是与这些要素相关的属性。风险评估要识别资产相关要素的关系,从而判断资产面临的风险大小。

91.风险分析的主要内容是什么?

风险分析原理如图9.3所示。风险分析涉及资产、威胁、脆弱性等基本要素,每个要素有各自的属性。资产的属性是资产价值,威胁的属性可以是威胁主体、影响对象、出现频率、动机等,脆弱性的属性是资产弱点的严重程度。

风险分析的主要内容为:

①对资产进行识别并对资产的价值进行赋值。

②对威胁进行识别,描述威胁的属性,并对威胁出现的频率赋值。

③对资产的脆弱性进行识别并对具体资产脆弱性的严重程度赋值。

④根据威胁及威胁利用弱点的难易程度判断安全事件发生的可能性。

⑤根据脆弱性的严重程度及安全事件所作用资产的价值计算安全事件的损失。

⑥根据安全事件发生的可能性以及安全事件的损失,计算安全事件一旦发生对组织的影响,即风险值。

92.开展信息安全风险评估有哪些方式?

风险评估可分为自评估、检查评估两种方式。自评估是信息安全风险评估的主要形式,是指信息系统拥有、运营或使用单位发起的对本单位信息系统进行的风险评估,以发现信息系统现有弱点、实施安全管理为目的。检查评估是指信息系统上级管理部门或信息安全职能部门组织的信息安全风险评估,检查评估是通过行政手段加强信息安全管理的重要措施。

风险评估应以自评估为主,检查评估是在自评估过程记录与评估结果的基础上,验证和确认系统存在的技术、管理和运行风险,以及用户实施自评估后采取风险控制措施取得的效果。自评估和检查评估应相互结合、互为补充。

自评估和检查评估都可依托自身技术力量进行,也可委托具有相应资质的第三方机构提供技术支持。

93.信息系统在什么时候要进行风险评估?

风险评估应贯穿于信息系统生命周期的各阶段中。信息系统生命周期各阶段中涉及的风险评估的原则和方法是一致的,但由于各阶段实施的内容、对象、安全需求不同,使得风险评估的对象、目的、要求等各方面也有所不同。具体而言,在规划设计阶段,通过风险评估以确定系统的安全目标;在建设验收阶段,通过风险评估以确定系统的安全目标达到与否;在运行维护阶段,要不断地实施风险评估以识别系统面临的不断变化的风险和脆弱性,从而确定安全措施的有效性,确保安全目标得以实现。因此,每个阶段风险评估的具体实施应根据该阶段的特点有所侧重地进行。

94.开展风险评估要做哪些准备?

(1)确定目标

根据满足组织业务持续发展在安全方面的需要、法律法规的规定等内容,识别现有信息系统及管理上的不足,以及可能造成的风险大小。

(2)确定范围

风险评估范围可能是组织全部的信息及与信息处理相关的各类资产、管理机构,也可能是某个独立的信息系统、关键业务流程、与客户知识产权相关的系统或部门等。

(3)组建团队

由管理层、相关业务骨干、IT技术人员等组成风险评估实施小组。必要时,可组建由评估方、被评估方领导和相关部门负责人参加的风险评估领导小组,聘请相关专业的技术专家和技术骨干组成专家小组。

评估实施团队应做好评估前的表格、文档、检测工具等各项准备工作,进行风险评估技术培训和保密教育,制定风险评估过程管理的相关规定。此外,还可根据被评估方要求,双方签署保密合同,依据情况签署个人保密协议。

(4)系统调研

系统调研是确定被评估对象的过程,风险评估小组应进行充分的系统调研,为风险评估依据和方法的选择、评估内容的实施奠定基础。调研内容至少应包括业务战略及管理制度、主要的业务功能和要求、网络结构与网络环境(包括内部连接和外部连接)、系统边界、主要的硬件和软件、数据和信息、系统和数据的敏感性、支持和使用系统的人员等。

系统调研可以采取问卷调查与现场面谈相结合的方式进行。

调查问卷是提供一套关于管理或操作控制的问题表格,供系统技术人员或管理人员填写;现场面谈则是由评估人员到现场观察并收集系统在物理、环境和操作方面的信息。

(5)确定依据

根据系统调研结果,确定评估依据和评估方法。评估依据包括(但不限于)现有国际标准、国家标准、行业标准,行业主管机关业务系统的要求和制度,系统安全保护等级要求,系统互联单位的安全要求,系统本身的实时性或性能要求等。

根据评估依据,应考虑评估的目的、范围、时间、效果、人员素质等因素来选择具体的风险计算方法,并依据业务实施对系统安全运行的需求,确定相关的判断依据,使之能够与组织环境和安全要求相适应。

(6)制定方案

制定风险评估方案的目的是为后面的风险评估实施活动提供一个总体计划,用于指导实施方开展后续工作。风险评估方案的内容一般包括(但不限于)团队组织(包括评估团队成员、组织结构、角色、责任等)、工作计划(风险评估各阶段的工作计划,包括工作内容、工作形式、工作成果等)和时间进度安排。

(7)获得支持

上述所有内容确定后,应形成较为完整的风险评估实施方案,得到组织最高管理者的支持和批准;对管理层和技术人员进行传达,在组织范围就风险评估相关内容进行培训,以明确有关人员在风险评估中的任务。

95.如何进行资产识别?

信息资产是具有价值的信息或资源,以多种形式存在,有无形的、有形的,有硬件、软件,有文档、代码,也有服务、形象等。保密性、完整性和可用性是评价信息资产的三个安全属性。风险评估中资产的价值不仅以资产的经济价值来衡量,而且由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度决定。安全属性达成程度的不同将使资产具有不同的价值,而资产面临的威胁、存在的脆弱性以及已采用的安全措施都将对资产安全属性的达成程度产生影响。

信息资产作为信息系统的构成元素分布十分广泛,不同信息资产的功能、重要程度也互不相同。因此,需要对信息资产进行合理分类,分析安全需求,确定资产的重要程度。资产识别的主要工作是在评估实施方案确定的范围内,按照评估方案约定的方式进行如下四项工作。

(1)回顾评估范围内的业务

回顾这些信息的主要目的是帮助资产识别小组对其所评估的业务和应用系统有一个大致了解,为后续的资产识别活动作准备。如果在准备阶段已就这部分信息进行过交流并生成了相应的描述性文档,这部分工作不必重复进行,直接阅读上述文档即可。

(2)识别信息资产,进行合理分类

针对前一个活动中识别出来的每个主要业务或系统,识别完成业务或保证系统正常运转所必需的资产,并注明资产的类别。

资产分类的目的是降低后续分析和赋值活动的工作量。

(3)确定每类信息资产的安全需求

在对资产进行合理分类之后,便可从保密性、完整性和可用性三个方面对每个资产类别进行安全需求分析,而不是对每个资产进行安全需求分析。

(4)为每类信息资产的重要性赋值

在上述安全需求分析的基础上,按照一定方法确定资产的价值或重要程度等级。

96.如何进行威胁识别?

威胁是一种对组织及其资产构成潜在破坏的可能性因素,是客观存在的。

威胁是构成信息安全风险不可缺少的要素之一。在信息资产及其相关资产存在脆弱性和相应的安全控制措施缺失或薄弱的条件下,威胁总是通过某种具体的途径或方式作用到特定的信息资产上,并破坏该资产一个或多个安全属性,从而产生信息安全风险。

威胁识别主要是识别被评估组织关键资产直接或间接面临的威胁,以及相应的分类和赋值等活动。威胁识别活动的主要目的是建立风险分析需要的威胁场景。威胁识别主要包括以下具体活动:

(1)威胁识别

威胁识别包括实际威胁识别和潜在威胁识别。实际威胁识别即通过访谈和检测工具识别并记录被评估组织近期实际出现过的威胁;潜在威胁识别即根据被评估组织的特点,结合当前信息安全总体的威胁统计和趋势,分析被评估组织面临的潜在威胁。

(2)威胁分类

对上述实际发生过的和潜在的威胁进行分类。与资产分类的目的类似,对威胁进行分类可以简化后续分析、赋值和计算等活动的工作量。

(3)构建威胁的场景

在前面威胁识别和威胁分类的基础上,为每个或每类关键资产构建威胁场景图。

(4)威胁赋值

某些具体的风险需要在这个阶段对威胁进行赋值。因此,需要对具体威胁或威胁类别进行赋值,作为后续计算的输入。

97.如何进行脆弱性识别?

资产识别和威胁识别完成之后,就是脆弱性识别。脆弱性识别是风险评估的关键环节,包括物理、系统、网络、应用和管理五个方面。

脆弱性识别主要包括以下具体活动:

(1)脆弱性识别

通过扫描工具或手工等不同方式,识别当前系统中存在的脆弱性。

(2)识别结果整理与展示

实际评估项目中,被评估组织往往要求评估单位提交脆弱性识别活动的阶段成果,所以在脆弱性识别阶段,还应将脆弱性识别结果以合理的方式展现给被评估组织。

公务人员信息安全知识读本127(3)脆弱性赋值

某些具体的风险分析、计算方法,需要对脆弱性赋值,方能完成后续的风险计算活动。如果评估活动选用了上述类型的风险分析、计算方法,应根据一定的赋值准则,对被识别的脆弱性进行赋值。

98.如何识别与确认安全措施?

有效的安全控制措施既可降低安全事件发生的可能性,也可减轻安全事件造成的不良影响。因此,在进行风险分析计算之前,有必要识别被评估组织目前已有的安全控制措施,并对措施的有效性进行分析,为后续的风险分析提供参考依据。安全控制措施大致可分为技术控制措施、管理和操作控制措施两大类。

(1)技术控制措施的识别与确认

识别已有的技术控制措施,并对其有效性进行分析和确认。

(2)管理和操作控制措施的识别与确认

识别已有的管理和操作控制措施,并对其有效性进行分析和确认。

99.如何进行风险分析?

在完成了资产识别、威胁识别、脆弱性识别,以及对已有安全措施的识别与确认后,应进入风险分析阶段。风险分析阶段的主要工作就是完成风险的分析和计算。综合安全事件所作用的资产价值及脆弱性的严重程度,判断安全事件造成的损失对组织的影响,即安全风险。

(1)风险计算原理

风险值=R(A,T,V)=R[L(T,V),F(Ia,Va)]。

其中,R表示安全风险计算函数;A表示资产;T表示威胁;V表示脆弱性;Ia表示安全事件所作用的资产价值;Va表示脆弱性严重程度;L表示威胁利用资产的脆弱性导致安全事件的可能性;F表示安全事件发生后造成的损失。

(2)风险结果判定

为实现对风险的控制与管理,可以对风险评估的结果进行等级化处理,将风险划分为若干级,等级越高,风险越高。

评估者应根据所采用的风险计算方法,计算每种资产面临的风险值,根据风险值的分布状况为每个等级设定风险值范围,并对所有风险计算结果进行等级处理。每个等级代表了相应风险的严重程度。

风险等级处理的目的是在风险管理过程中对不同风险的直观比较,以确定组织安全策略。组织应当综合考虑风险控制成本与风险造成的影响,提出一个可接受的风险范围。对某些资产的风险,如果风险计算值在可接受的范围内,则该风险是可接受的,应保持已有的安全措施;如果风险评估值在可接受的范围外,即风险计算值高于可接受范围的上限值,则该风险是不可接受的,需要采取安全措施以降低、控制风险。另一种确定不可接受风险的办法是根据等级化处理的结果,不设定可接受风险值的基准,对达到相应等级的风险都进行处理。

(3)风险处理计划

对不可接受的风险应根据导致该风险的脆弱性制定风险处理计划,风险处理计划中应明确采取的弥补脆弱性的安全措施、预期效果、实施条件、进度安排、责任部门等。安全措施的选择应从管理与技术两个方面考虑,安全措施的选择与实施应参照信息安全的相关标准进行。

(4)残余风险评估

在对不可接受的风险选择适当安全措施后,为确保安全措施的有效性,可进行再评估,以判断实施安全措施后的残余风险是否已降低到可接受的水平。残余风险的评估可依据所采用标准提出的风险评估流程实施,也可做适当裁减。一般来说,安全措施的实施是以减少脆弱性或降低安全事件发生可能性为目标的,因此,残余风险的评估可以从脆弱性评估开始,在对照安全措施实施前后的脆弱性状况后,再次计算风险值的大小。

某些风险可能在选择了适当的安全措施后,残余风险的结果仍处于不可接受的风险范围内,应考虑是否接受此风险或进一步增加相应的安全措施。

100.什么是信息安全等级保护?

同类推荐
  • 建设富裕和谐秀美江西

    建设富裕和谐秀美江西

    共分为五篇,主要内容包括:奔向全面小康、唱响和谐之歌、保护绿色赣鄱、建设精神家园、弘扬文明新风。并选取了50个通俗易懂、生动有趣的小故事,形式新颖活泼,内容丰富厚实,是面向青少年宣传普及党代会精神的好读本、好教材。
  • 一个老共产党员的心声

    一个老共产党员的心声

    《一个老共产党员的心声》一书收录了作者从事党务工作的心得体会、理论研究。
  • 社会主义协商民主与参政党建设

    社会主义协商民主与参政党建设

    黄利鸣、宋俭、王智、杨建国著的《社会主义协商民主与参政党建设》以贯彻十八大精神为主导,从中国政党政治协商的历史演进、协商民主与社会主义协商民主、政党协商与社会主义协商民主、政党协商与参政党实践,以及加强参政党建设完善社会主义协商民主五个方面,探讨中国政党政治协商的渊源以及在社会主义协商民主的语境下政党协商的理论与实践,旨在探求当代中国政党协商发展的合理化路径。
  • 美国“阴谋”

    美国“阴谋”

    新华社驻美记者刘洪四年心血,告诉老百姓一系列事件的幕后。提供不一样的答案,讲述你不知道的始末。过去几年,在人民币汇率、知识产权保护、贸易顺差、中国的责任和义务等许多问题上,中国面临了一轮又一轮的质疑。在美国,翻开报纸,有对中国的批评;打开电视,有对中国的攻击;日常闲聊……
  • 2020,期盼中国

    2020,期盼中国

    本书将晦涩的理论以通俗简洁的语言表达出来,为读者勾勒出了未来十年的发展图景。其间既有对中国经济、政治、文化、思想等总体方面的概括,又有各行业、各领域具体且精道的分析与预测。
热门推荐
  • 秘密档案

    秘密档案

    1999年5月8日晚上10点,当我刚从外地采访顺道回到江苏常熟老家的父母亲身边时,电话铃突然响起:……你看新闻了吗?北约把我国驻南斯拉夫大使馆炸了!今天大学生们和不少市民都到大街上游行呢!在北京的妻子告诉我一个晴天霹雳般的消息。
  • 重生复仇:狂傲千金来袭

    重生复仇:狂傲千金来袭

    重生前,她是豪门里最苦逼的屌丝千金,受尽后妈和姐姐的欺负。被打,被送进疯人院,被男医生反复骚扰……重生醒来,带着前世的仇恨与不甘,她立誓要为自己和死去的妈妈报仇!不管是绿茶女表,还是毒莲花,她也照收拾不误!只要是继姐看上的男人,她照单全抢!管你难搞不难搞!所有复仇路上的劲敌,只配做她脚下的炮灰!
  • 狐狸少爷很有爱

    狐狸少爷很有爱

    她从没见过这么卑鄙的男生!想她宋菀菀标准的一个模范学生,全校男生的梦中情人,本应尽万千宠爱,就因为不小心被他发现了自己柔弱的外表下不为人知的一面,华丽丽的沦为他的全职小跟班及专用跑腿!这这这真是太屈辱了!他堂堂一个学生会长,对别人的弱点加以践踏就算了,还借此奴役她这么一个柔弱(?)的女孩子,他到底知不知羞耻啊?!啊?但是为了在高中时代不重复走上初中时“彪悍暴力女”的错误路线,她咬牙——忍了!呜呜呜,原本美好的高中时代,彻底葬送在他的魔掌中了!泪奔ING!盼啊盼啊,终于将他盼出国了,她心想痛苦的日子总算结束了。——但是下一秒,他竟然变身成为自己的顶头上司!她转身就想从16楼跳下去……在水深火热的职场生活中,她好不容易将大少爷伺候得舒舒服服了,但是某天,少爷他漫不经心的说着:“有空我们去结了吧。”狗腿小职员立刻请示:“请问少爷是要结账,结业,还是结扎?”他微微一笑:“结婚。”——宋菀菀一直退退退退,直退到遥远的西伯利亚,失声尖叫:“你为什么要假扮苏翊!快说,你来地球究竟有什么目的!”——————————————————————前半部为校园生活,后半部为职场生活,讲述一对欢喜冤家的故事。继续寿司的小爆笑+小温馨+小平淡的都市小白文风格对“连载中”深为厌恶的美女们可以移架至鄙人的网游言情文——《绵羊绵羊我爱你》http://m.pgsk.com/a/189890/*************《狐狸》的番外请移步《BOSS》的章节。已完结的旧文不可增加章节。只能搬到那里发写于11年的了,不知为什么当时没发。懵逼ING
  • 怪案奇谈

    怪案奇谈

    但是法网恢恢,疏而不漏,再狡猾的狐狸也斗不过好猎手,无奇不有。再奇怪的案件也躲不过警察的眼睛。《怪案奇谈》说的就是一些扑朔迷离的案件,天下之大,相信您看过之后一定会大开眼界。,各地发生的案件更是形形色色
  • 迷糊蛋狩猎美男记

    迷糊蛋狩猎美男记

    新文《【诱】妻》敬请关注:见过倒霉的,没有见过这么倒霉的,加个班回家也能碰到一群色狼,更霉的是能让人家一木块拍到一从来没有听说过的历史上来,好吧,她承认其实是暗爽在心里啦,古代耶,不是代表帅哥多多,后备老公多多吗,哈哈哈。。。。。。千儿仰天大笑三声,古代的老公们,我来了!!!可是拜托老天,就不能让她换一个华丽丽的出场方式吗?这个方式也未免。。。未免太够轰动了吧,直接砸破了人家的屋顶,砸进了人家美男的怀里。。。。。。那风流潇洒的武林第一堡主对她说“我绝对不会让你受到伤害。。。”那飘逸似嫡仙的帅帅神医也说“我会伴着你到天涯海角。。。。。。”那狐狸一样的帅奸商也说了“我的心已经赔给你了,可不能做赔本生意。。。。。。”那可爱的御厨哥哥睁着大大的眼睛,看着她说“我会天天煮一桌你爱吃的饭菜等着你。。。。”那酷酷的护法也说了“我会永远效忠于你,永远是我心中的第一位。。。。。。”最后居然还有那千娇百媚的妖精跟她说“我已经跟了你上千年,还要继续跟着。。。。。。”
  • 藏香:只为途中与你相见

    藏香:只为途中与你相见

    继《川藏秘录》后,80后青年作家廖宇靖另一部藏地风情小说《藏香:只为途中与你相见》由当代世界出版社出版发行。廖宇靖坦言,“这是一个让你一见倾心的爱情故事”。
  • 带上儿子做特工

    带上儿子做特工

    七岁的苏小念利落地潜进目标的酒店套房,三秒打开了保险箱。小念扬起纯真无比的小脸看向身后的苏染尘:“妈咪,你又慢了二十秒。”主卧室传来暧昧的声吟,苏染尘一把捂住了小念的眼睛,低声说道:“小孩子不准偷看,妈咪进去宰了目标,小念在这等着。”“妈咪,你先别走.你忘了给枪装上销声器。”“呃……”“小念,你留在这,这回行动很危险,你去了妈咪会分心。”“妈咪,你忘了带红外爆破器。”“呃……”“小念,完成任务,我们撤退。”“妈咪,你忘了擦掉指纹。”“呃……”终于有一天,天才儿子正式上升为迷糊特工妈咪的上司。小念盯着任务袋中的照片,憨憨地抬起头看着苏染尘:“妈咪,这次K计划的目标长得和我好像哦。”苏染尘接过资料:“李慕凡,天和娱乐公司总裁,国际安全部暗警,军要部0328号。这人身份还真多,的确和小念好像哦,看着有些眼熟。”“妈咪,小念帅还是他比较帅。”“当然是小念帅来,青出于蓝胜于蓝嘛.呃?我为什么要说这句话呢?”K计划长时间未完成,从未失过手的母子特工组合在栽在了这个男人手中N+1次后。苏小念可怜西西地看着苏染尘:“妈咪,昨天晚上在他电脑上盗出的武器资料是假的!”苏染尘深吸了一口气。“李慕凡!你故意让我们盗取假信息,有什么目的!”七岁的苏小念无邪的脸上第一次出现了挫败的表情,拉了拉苏染尘的袖子:“妈咪,你这样就等于暴露了身份!”那个英俊无比的男人诧异着一张脸,坏笑道:“啊?难道你看过我的电脑?”注意:女主不是万能,也不是白痴。她有缺点,有脾气,会犯错,也有强悍的时候。(想看全能女主的==还是饶了我吧)【注意!】此文进入VIP半价销售,即一次性订阅全,只须花原来价格的一半!【注意】:推荐小乱的文《藩王的宠妃》<九岁庶女>《特工帝后风九少》《黑道豪门主母》
  • 重生之豪门辣妻

    重生之豪门辣妻

    他,姒悬,28岁面瘫处女男,擅长高冷装酷,爱好宠养娇俏小萝莉!她,丁荼蘼,18岁,软绵绵腹黑萌妹纸,擅长扮猪吃老虎,爱好泡上某个高冷男!他,以为自己养的不过是只柔弱萌哒哒小猫咪,渐渐察觉这只伪猫咪原来是藏着锋利爪子的小狐狸!
  • 天魔逆仙

    天魔逆仙

    陆青云,一个平凡的少年,因为复仇而踏上修仙之路。他本是万中无一的天魔根拥有着,却阴错阳差,选择了仙魔同修。无意间,得到一龙凤玉,据说当龙魂凤魂苏醒之时,可以动乱八荒。筑基之境,凝结魔婴,据说魔婴九变,可以造就魔仙。神禁术,乃上古传承之禁术,据说神禁术大成之时,可以封印天地。虚族人族本同源,据说练就虚族分身,人虚同修,可以返璞归真,成就人王之境。当这些奇迹重叠在一个少年身上时,试问,这天地间还有什么,可以阻挡他的脚步?
  • 三国之藩王天下

    三国之藩王天下

    东汉末年,豪杰并起。爱恨忠奸,是非不辨。君子之泽,五世而斩。中原逐鹿,谁主沉浮?