登陆注册
2859500000013

第13章 组织安全管理(1)

89.什么是信息安全风险评估?

信息安全风险评估是从风险管理角度,运用定性、定量的科学分析方法和手段,依据有关信息安全技术与管理标准,对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁,以及威胁利用脆弱性导致安全事件的可能性,并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。从而有针对性地提出抵御威胁的安全防护对策和整改措施,最大限度地减少经济损失和负面影响。

信息安全风险评估是信息安全管理的基础和关键环节。通过开展信息安全风险评估,对网络与信息系统的资产价值、潜在的安全威胁、薄弱环节、防护措施等进行分析,可以做到心中有数,可以发现信息系统中存在的主要安全问题,并找到解决这些问题的方法,有针对性地进行管理。图9.1是风险评估的实施流程图。

90.风险评估的要素有哪些?

风险评估的基本要素包括:需保护的信息资产、信息资产的脆弱性、信息资产面临的威胁、存在的可能风险、安全防护措施等。

风险评估围绕着这些基本要素展开,通过分析信息资产的脆弱性来确定威胁可能利用哪些弱点来破坏其安全性。在对这些要素的评估过程中,需要充分考虑业务战略、资产价值、安全需求、安全事公务人员信息安全知识读本件、残余风险等,以及与这些基本要素相关的各类属性。图9.2显示了风险评估各要素之间的关系,其中方框中的内容为风险评估的基本要素,椭圆中的内容是与这些要素相关的属性。风险评估要识别资产相关要素的关系,从而判断资产面临的风险大小。

91.风险分析的主要内容是什么?

风险分析原理如图9.3所示。风险分析涉及资产、威胁、脆弱性等基本要素,每个要素有各自的属性。资产的属性是资产价值,威胁的属性可以是威胁主体、影响对象、出现频率、动机等,脆弱性的属性是资产弱点的严重程度。

风险分析的主要内容为:

①对资产进行识别并对资产的价值进行赋值。

②对威胁进行识别,描述威胁的属性,并对威胁出现的频率赋值。

③对资产的脆弱性进行识别并对具体资产脆弱性的严重程度赋值。

④根据威胁及威胁利用弱点的难易程度判断安全事件发生的可能性。

⑤根据脆弱性的严重程度及安全事件所作用资产的价值计算安全事件的损失。

⑥根据安全事件发生的可能性以及安全事件的损失,计算安全事件一旦发生对组织的影响,即风险值。

92.开展信息安全风险评估有哪些方式?

风险评估可分为自评估、检查评估两种方式。自评估是信息安全风险评估的主要形式,是指信息系统拥有、运营或使用单位发起的对本单位信息系统进行的风险评估,以发现信息系统现有弱点、实施安全管理为目的。检查评估是指信息系统上级管理部门或信息安全职能部门组织的信息安全风险评估,检查评估是通过行政手段加强信息安全管理的重要措施。

风险评估应以自评估为主,检查评估是在自评估过程记录与评估结果的基础上,验证和确认系统存在的技术、管理和运行风险,以及用户实施自评估后采取风险控制措施取得的效果。自评估和检查评估应相互结合、互为补充。

自评估和检查评估都可依托自身技术力量进行,也可委托具有相应资质的第三方机构提供技术支持。

93.信息系统在什么时候要进行风险评估?

风险评估应贯穿于信息系统生命周期的各阶段中。信息系统生命周期各阶段中涉及的风险评估的原则和方法是一致的,但由于各阶段实施的内容、对象、安全需求不同,使得风险评估的对象、目的、要求等各方面也有所不同。具体而言,在规划设计阶段,通过风险评估以确定系统的安全目标;在建设验收阶段,通过风险评估以确定系统的安全目标达到与否;在运行维护阶段,要不断地实施风险评估以识别系统面临的不断变化的风险和脆弱性,从而确定安全措施的有效性,确保安全目标得以实现。因此,每个阶段风险评估的具体实施应根据该阶段的特点有所侧重地进行。

94.开展风险评估要做哪些准备?

(1)确定目标

根据满足组织业务持续发展在安全方面的需要、法律法规的规定等内容,识别现有信息系统及管理上的不足,以及可能造成的风险大小。

(2)确定范围

风险评估范围可能是组织全部的信息及与信息处理相关的各类资产、管理机构,也可能是某个独立的信息系统、关键业务流程、与客户知识产权相关的系统或部门等。

(3)组建团队

由管理层、相关业务骨干、IT技术人员等组成风险评估实施小组。必要时,可组建由评估方、被评估方领导和相关部门负责人参加的风险评估领导小组,聘请相关专业的技术专家和技术骨干组成专家小组。

评估实施团队应做好评估前的表格、文档、检测工具等各项准备工作,进行风险评估技术培训和保密教育,制定风险评估过程管理的相关规定。此外,还可根据被评估方要求,双方签署保密合同,依据情况签署个人保密协议。

(4)系统调研

系统调研是确定被评估对象的过程,风险评估小组应进行充分的系统调研,为风险评估依据和方法的选择、评估内容的实施奠定基础。调研内容至少应包括业务战略及管理制度、主要的业务功能和要求、网络结构与网络环境(包括内部连接和外部连接)、系统边界、主要的硬件和软件、数据和信息、系统和数据的敏感性、支持和使用系统的人员等。

系统调研可以采取问卷调查与现场面谈相结合的方式进行。

调查问卷是提供一套关于管理或操作控制的问题表格,供系统技术人员或管理人员填写;现场面谈则是由评估人员到现场观察并收集系统在物理、环境和操作方面的信息。

(5)确定依据

根据系统调研结果,确定评估依据和评估方法。评估依据包括(但不限于)现有国际标准、国家标准、行业标准,行业主管机关业务系统的要求和制度,系统安全保护等级要求,系统互联单位的安全要求,系统本身的实时性或性能要求等。

根据评估依据,应考虑评估的目的、范围、时间、效果、人员素质等因素来选择具体的风险计算方法,并依据业务实施对系统安全运行的需求,确定相关的判断依据,使之能够与组织环境和安全要求相适应。

(6)制定方案

制定风险评估方案的目的是为后面的风险评估实施活动提供一个总体计划,用于指导实施方开展后续工作。风险评估方案的内容一般包括(但不限于)团队组织(包括评估团队成员、组织结构、角色、责任等)、工作计划(风险评估各阶段的工作计划,包括工作内容、工作形式、工作成果等)和时间进度安排。

(7)获得支持

上述所有内容确定后,应形成较为完整的风险评估实施方案,得到组织最高管理者的支持和批准;对管理层和技术人员进行传达,在组织范围就风险评估相关内容进行培训,以明确有关人员在风险评估中的任务。

95.如何进行资产识别?

信息资产是具有价值的信息或资源,以多种形式存在,有无形的、有形的,有硬件、软件,有文档、代码,也有服务、形象等。保密性、完整性和可用性是评价信息资产的三个安全属性。风险评估中资产的价值不仅以资产的经济价值来衡量,而且由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度决定。安全属性达成程度的不同将使资产具有不同的价值,而资产面临的威胁、存在的脆弱性以及已采用的安全措施都将对资产安全属性的达成程度产生影响。

信息资产作为信息系统的构成元素分布十分广泛,不同信息资产的功能、重要程度也互不相同。因此,需要对信息资产进行合理分类,分析安全需求,确定资产的重要程度。资产识别的主要工作是在评估实施方案确定的范围内,按照评估方案约定的方式进行如下四项工作。

(1)回顾评估范围内的业务

回顾这些信息的主要目的是帮助资产识别小组对其所评估的业务和应用系统有一个大致了解,为后续的资产识别活动作准备。如果在准备阶段已就这部分信息进行过交流并生成了相应的描述性文档,这部分工作不必重复进行,直接阅读上述文档即可。

(2)识别信息资产,进行合理分类

针对前一个活动中识别出来的每个主要业务或系统,识别完成业务或保证系统正常运转所必需的资产,并注明资产的类别。

资产分类的目的是降低后续分析和赋值活动的工作量。

(3)确定每类信息资产的安全需求

在对资产进行合理分类之后,便可从保密性、完整性和可用性三个方面对每个资产类别进行安全需求分析,而不是对每个资产进行安全需求分析。

(4)为每类信息资产的重要性赋值

在上述安全需求分析的基础上,按照一定方法确定资产的价值或重要程度等级。

96.如何进行威胁识别?

威胁是一种对组织及其资产构成潜在破坏的可能性因素,是客观存在的。

威胁是构成信息安全风险不可缺少的要素之一。在信息资产及其相关资产存在脆弱性和相应的安全控制措施缺失或薄弱的条件下,威胁总是通过某种具体的途径或方式作用到特定的信息资产上,并破坏该资产一个或多个安全属性,从而产生信息安全风险。

威胁识别主要是识别被评估组织关键资产直接或间接面临的威胁,以及相应的分类和赋值等活动。威胁识别活动的主要目的是建立风险分析需要的威胁场景。威胁识别主要包括以下具体活动:

(1)威胁识别

威胁识别包括实际威胁识别和潜在威胁识别。实际威胁识别即通过访谈和检测工具识别并记录被评估组织近期实际出现过的威胁;潜在威胁识别即根据被评估组织的特点,结合当前信息安全总体的威胁统计和趋势,分析被评估组织面临的潜在威胁。

(2)威胁分类

对上述实际发生过的和潜在的威胁进行分类。与资产分类的目的类似,对威胁进行分类可以简化后续分析、赋值和计算等活动的工作量。

(3)构建威胁的场景

在前面威胁识别和威胁分类的基础上,为每个或每类关键资产构建威胁场景图。

(4)威胁赋值

某些具体的风险需要在这个阶段对威胁进行赋值。因此,需要对具体威胁或威胁类别进行赋值,作为后续计算的输入。

97.如何进行脆弱性识别?

资产识别和威胁识别完成之后,就是脆弱性识别。脆弱性识别是风险评估的关键环节,包括物理、系统、网络、应用和管理五个方面。

脆弱性识别主要包括以下具体活动:

(1)脆弱性识别

通过扫描工具或手工等不同方式,识别当前系统中存在的脆弱性。

(2)识别结果整理与展示

实际评估项目中,被评估组织往往要求评估单位提交脆弱性识别活动的阶段成果,所以在脆弱性识别阶段,还应将脆弱性识别结果以合理的方式展现给被评估组织。

公务人员信息安全知识读本127(3)脆弱性赋值

某些具体的风险分析、计算方法,需要对脆弱性赋值,方能完成后续的风险计算活动。如果评估活动选用了上述类型的风险分析、计算方法,应根据一定的赋值准则,对被识别的脆弱性进行赋值。

98.如何识别与确认安全措施?

有效的安全控制措施既可降低安全事件发生的可能性,也可减轻安全事件造成的不良影响。因此,在进行风险分析计算之前,有必要识别被评估组织目前已有的安全控制措施,并对措施的有效性进行分析,为后续的风险分析提供参考依据。安全控制措施大致可分为技术控制措施、管理和操作控制措施两大类。

(1)技术控制措施的识别与确认

识别已有的技术控制措施,并对其有效性进行分析和确认。

(2)管理和操作控制措施的识别与确认

识别已有的管理和操作控制措施,并对其有效性进行分析和确认。

99.如何进行风险分析?

在完成了资产识别、威胁识别、脆弱性识别,以及对已有安全措施的识别与确认后,应进入风险分析阶段。风险分析阶段的主要工作就是完成风险的分析和计算。综合安全事件所作用的资产价值及脆弱性的严重程度,判断安全事件造成的损失对组织的影响,即安全风险。

(1)风险计算原理

风险值=R(A,T,V)=R[L(T,V),F(Ia,Va)]。

其中,R表示安全风险计算函数;A表示资产;T表示威胁;V表示脆弱性;Ia表示安全事件所作用的资产价值;Va表示脆弱性严重程度;L表示威胁利用资产的脆弱性导致安全事件的可能性;F表示安全事件发生后造成的损失。

(2)风险结果判定

为实现对风险的控制与管理,可以对风险评估的结果进行等级化处理,将风险划分为若干级,等级越高,风险越高。

评估者应根据所采用的风险计算方法,计算每种资产面临的风险值,根据风险值的分布状况为每个等级设定风险值范围,并对所有风险计算结果进行等级处理。每个等级代表了相应风险的严重程度。

风险等级处理的目的是在风险管理过程中对不同风险的直观比较,以确定组织安全策略。组织应当综合考虑风险控制成本与风险造成的影响,提出一个可接受的风险范围。对某些资产的风险,如果风险计算值在可接受的范围内,则该风险是可接受的,应保持已有的安全措施;如果风险评估值在可接受的范围外,即风险计算值高于可接受范围的上限值,则该风险是不可接受的,需要采取安全措施以降低、控制风险。另一种确定不可接受风险的办法是根据等级化处理的结果,不设定可接受风险值的基准,对达到相应等级的风险都进行处理。

(3)风险处理计划

对不可接受的风险应根据导致该风险的脆弱性制定风险处理计划,风险处理计划中应明确采取的弥补脆弱性的安全措施、预期效果、实施条件、进度安排、责任部门等。安全措施的选择应从管理与技术两个方面考虑,安全措施的选择与实施应参照信息安全的相关标准进行。

(4)残余风险评估

在对不可接受的风险选择适当安全措施后,为确保安全措施的有效性,可进行再评估,以判断实施安全措施后的残余风险是否已降低到可接受的水平。残余风险的评估可依据所采用标准提出的风险评估流程实施,也可做适当裁减。一般来说,安全措施的实施是以减少脆弱性或降低安全事件发生可能性为目标的,因此,残余风险的评估可以从脆弱性评估开始,在对照安全措施实施前后的脆弱性状况后,再次计算风险值的大小。

某些风险可能在选择了适当的安全措施后,残余风险的结果仍处于不可接受的风险范围内,应考虑是否接受此风险或进一步增加相应的安全措施。

100.什么是信息安全等级保护?

同类推荐
  • 多党合作在四川(农工党卷)

    多党合作在四川(农工党卷)

    《多党合作在四川》丛书,分设民革、民盟、民建、民进、农工党、致公党、九三学社、工商联卷,共8卷,近400万字,内容丰富,图文并茂。
  • 社会契约论

    社会契约论

    《社会契约论·论人类不平等的起源》是西方政治文化传统的重要组成部分,它不但源远流长,而且已经完全融入了西方思想文化的血液,成为西方政治思想中一个历久弥新的源泉(晚近西方社会政治哲学以契约论的形式复兴就是一个明证)。书中主要讨论了国家与人民、国家与法律、自由与平等、国家与社会等问题。《论人类不平等的起源》被誉为法国大革命的灵魂。在《社会契约论·论人类不平等的起源》中,卢梭指出人类每向前发展一步,不平等的程度就加深一步。《社会契约论·论人类不平等的起源》阐发了卢梭的政治哲学思想,为《社会契约论》奠定了基础,同时也是他整个政治学说的导言。
  • 群众利益无小事

    群众利益无小事

    群众利益无小事,民生问题大于天。在社会生产生活的各个领域,不仅要把握方向做好大事,对于每一件小事,我们也必须认真对待、高度落实。本书通过生动的案例阐释了公务员工作的基本态度、基本原则等,并提供了一些详细的调查、沟通等工作技巧,帮助公务员提升提高工作效率和为人民服务的能力。
  • 美国“阴谋”

    美国“阴谋”

    新华社驻美记者刘洪四年心血,告诉老百姓一系列事件的幕后。提供不一样的答案,讲述你不知道的始末。过去几年,在人民币汇率、知识产权保护、贸易顺差、中国的责任和义务等许多问题上,中国面临了一轮又一轮的质疑。在美国,翻开报纸,有对中国的批评;打开电视,有对中国的攻击;日常闲聊……
  • 国家软实力

    国家软实力

    软实力在国家发展和竞争中,起着越来越重要的作用。《国家软实力论》界定了硬实力、软实力、巧实力的概念、内涵,分析了三者的相互关系;归纳总结了国家软实力建设的国际经验,分析了美国、俄罗斯等国家软实力建设的经验;论述了我国软实力建设的做法、问题,提升我国软实力的思路;提出了提升国家软实力要坚持的四大原则:国家利益战略、国家营销、国际责任、国民智商。
热门推荐
  • 外国经济学家的小故事

    外国经济学家的小故事

    《外国经济学家的小故事》终于定稿了。该书能够最终定稿并付梓,凝聚了很多人的心血和汗水,编者们付出了大量的时间和精力,西南财经大学出版社的王正好、沈军两位老师给我们提供了大力的支持和帮助,西南财经大学出版社为我们提供了很好的出版平台。
  • 红楼草根攻略

    红楼草根攻略

    草根小包子傍上荣国府,逆袭红楼,成就“木石前盟”,种田经商,励志做个小地主,养得起家人,追得上帅哥,不做妾室做金主——某男捏着小包子脸坏笑:“你确定要做金主包-养-本-王-吗?”红楼有我,黛玉不哭——醉渔暮雪讲述最爽红楼故事,快乐升级中,亲,不见不散哦!
  • 谋杀之谜

    谋杀之谜

    本书通过详尽的事件回放、诡异隐秘的背景调查以及众说纷纭的死亡原因,挖掘了人类社会、地球乃至宇宙所包含的难解谜题,为您展现历史上曾经发生过的那些惊心动魄、错综复杂、谜团种种的谋杀故事。首次披露了大千世界中,神秘的、充满悬疑色彩的谜团背后鲜为人知的内幕
  • 东宫有本难念的经

    东宫有本难念的经

    宝庆十九年春,大佑国皇太子大婚,大将军之女入主东宫。一个不是淑女的将门千金遭遇一个不是文韬武略的中庸太子,到底是佳偶天成,还是冤家路窄?成婚一年不足,太子忽然休妻。迷影重重,生死茫茫,这样一来,还是不是大团圆结局?
  • 重生女帝狠妖娆

    重生女帝狠妖娆

    前世她是被爱人毒死的丑后,魂魄被困在画中,日日受尽折辱。今生她是美艳过人的女帝,渣爹、毒妾、蛇蝎的庶兄庶妹……个个都没有放过。前世他是她夫君的叔叔,今生却缠住她不放,愿许之以江山。且看他们如何并肩战斗,报前世冤仇,解今世之谜,共创盛世。
  • 凤舞倾城:特工王妃很嚣张

    凤舞倾城:特工王妃很嚣张

    王爷?王妃?什么状况?!难道是在拍戏?古装?穿越就算了,是可忍,孰不可忍!老虎不发飙,你当我是小母猫?闹你个鸡犬不宁,闹你个天翻地覆!【情节虚构,请勿模仿】
  • 群众工作力

    群众工作力

    《群众工作力》由洪向华主编。围绕保持党的先进性和纯洁性,在全党深入开展以为民务实清廉为主要内容的党的群众路线教育实践活动,着力解决人民群众反映强烈的突出问题,提高做好新形势下群众工作的能力。党在自己的工作中实行群众路线,一切为了群众,一切依靠群众,从群众中来,到群众中去,把党的正确主张变为群众的自觉行动。我们党的最大政治优势是密切联系群众,党执政后的最大危险是脱离群众。党风问题、党同人民群众联系问题是关系党生死存亡的问题。人民是历史的创造者,群众是真正的英雄。人民群众是我们力量的源泉。我们深深知道,每个人的力量是有限的,但只要我们万众一心、众志成城,就没有克服不了的困难;
  • 总裁-别抢我妈眯

    总裁-别抢我妈眯

    【正文简介】当年,她和他都被下了药;一夜缠绵之后,她不见踪影……四年后,他收到了一封挑战书!而向他挑战的,居然是个三岁大的小鬼头。“宫刑翼,你不许抢我妈咪,要不然,我让你没好日子过。”眼前这个,只不过才到他膝盖的小鬼头,恶狠狠的看着宫刑翼。宫刑翼眼前闪过无数个问号,这个小鬼头的妈咪,到底是谁?“不过在此之前,该算的帐,我们还是得要算算!”小鬼头从腰后拿出一个算盘,小小的手指,在上面拨弄着,小嘴念道:“孕检费、生产费、营养费、奶粉费、尿布费、教育费……抚养费总共是二百六十二万,再加上我妈咪的辛苦费,就是乘以二,一共是五百二十四万,如果你愿意大方一点,可以给我五百三十万。”宫刑翼直到把钱送到眼前的小鬼手上时,才发现……他根本就不知道这个小鬼的妈咪是谁?而且,他居然被敲诈了!不过,他倒是来了兴趣。倒是想要看看,这个小鬼的妈咪是谁?居然敲诈的主意,打到了他宫刑翼的身上……【精彩情节一】“你给我踏进来试试,如果敢踏进来,我就T飞你!”奇奇双手叉腰,淡紫色的眼眸,瞪着门口的男人!“我是你爹地,臭小子,快点让开。”宫刑翼对这个儿子,越来越头痛!“我是臭小子,你就是臭老子。”“……”宫刑翼再次无语!【精彩情节二】“我要跟妈咪一起睡!”小鬼头霸在宋芯瑶的怀里,双眼恶狠狠的瞪着只围了条浴巾的宫刑翼。“儿子,赶紧出去,爹地跟你妈咪,有正事要办!”宫刑翼伸手去抱这个让他头痛的儿子。“办正事?什么正事?我要一起!”“……”宫刑翼无语,宋芯瑶红着脸,瞪着宫刑翼。【半价现言】《壹纸契约》【虐恋】【宝宝系列】《总裁-别抢我妈咪》《总裁-别碰我妈眯》《蛇王-她是我妈眯》《吸血鬼-你是我爹地》【推荐好友文】薄荷清凉糖《惹上一窝相公》清甜水果糖《赖上一帮相公》狂想曲《狂誘御龙》河清海晏七七《赦婚》云惑烟《缠婚》木轻轻《暗帝》一露走来《妖孽女王》风兮兮《一个警花三个黑老大》日晴《重生之冲喜新娘》酥肉儿《弃妃不愁嫁》言凌歌《绝色相公七选一》毒情话一一《豪门之“继母”前妻》许佳诺《傻子王爷疯王妃》公主桃《一等贱妃》淑蓝《一品太子妃》晓竹清风《禁囚》紫砂萍《压倒绝色王爷》(美男N多)《特警傻后要休夫》陌上柳絮《冷宫奴妃》莫芊涵《迷—婚》紫砂萍
  • 迷失在一六二九

    迷失在一六二九

    你!没错,就是你,看看你自己,你能做什么?你会做什么?把你丢到公元1629年,大明崇祯二年,那个李自成和皇太极的年代,你能生存吗?没有金手指,没有主角命,完全靠自己的专业和知识,你能生存吗?唯一幸运的是,你不是一个人在战斗,你的背后,有一个集体,一个现代人的集体。来,试试看吧。-----------------------------本人新书《仙路桃花传》本月正式上架,眼下正是最需要成绩的时候,还请一六二九的老读者,老朋友们给予支持,订阅。如果方便的话,月票,推荐票请投给新书吧,可以加更的。新书期头一个月,每100月票即加更一次!
  • 做才是得到

    做才是得到

    现在,许多人常抱怨生活太苦,想尽各种方法寻求解脱之道。实际上,就算有人告诉了你苦的真相,以及改变逆境、离苦得乐的究竟智慧和方法,但你不相信,就是不去做,最后还是只有在人生中高一脚、低一脚地跋涉,从一种苦陷到别一种苦中,对快乐只有望洋兴叹。本书开示我们:唯有敬畏因果、感恩无常,依靠佛法的殊胜加持,方能挣脱逆境,不怕苦、不怕死,享受人间各种福报利益。如此,人生不同年龄段的所谓“难关”,也只不过是通往解脱的阶梯而已。