ch4信息安全風(fēng)險(xiǎn)評估ppt課件

1、第四章 信息平安風(fēng)險(xiǎn)評價(jià)本章學(xué)習(xí)目的了解風(fēng)險(xiǎn)評價(jià)的概念、特點(diǎn)和內(nèi)涵； 熟習(xí)風(fēng)險(xiǎn)評價(jià)的過程及應(yīng)留意的問題； 了解如何選擇恰當(dāng)?shù)娘L(fēng)險(xiǎn)評價(jià)方法； 掌握典型的風(fēng)險(xiǎn)評價(jià)方法；了解風(fēng)險(xiǎn)評價(jià)實(shí)施預(yù)備4.1信息平安風(fēng)險(xiǎn)評價(jià)根底GB/T 20984-2007相關(guān)概念資產(chǎn)Asset：任何對組織有價(jià)值的事如，是平安戰(zhàn)略維護(hù)的對象。要挾Threat:指能夠?qū)Y產(chǎn)或組織呵斥損害的事故的潛在緣由。脆弱點(diǎn)Vulnerability：是指資產(chǎn)或資產(chǎn)組中能被要挾利用的弱點(diǎn)。風(fēng)險(xiǎn)Risk：特定的要挾利用資產(chǎn)的一種或一組薄弱點(diǎn)，導(dǎo)致資產(chǎn)的喪失或損害的潛在能夠性，即特定要挾事件的能夠性與后果的結(jié)合。風(fēng)險(xiǎn)評價(jià)Risk Assessme

2、nt：對信息或信息處置設(shè)備的要挾、影響和脆弱點(diǎn)及三者發(fā)生的能夠性的評價(jià)。剩余風(fēng)險(xiǎn)Residual Risk：采取了平安措施后，信息系統(tǒng)依然能夠存在的風(fēng)險(xiǎn)。風(fēng)險(xiǎn)要素關(guān)系風(fēng)險(xiǎn)評價(jià)的兩種方式自評價(jià)和檢查評價(jià)1自評價(jià) “誰主管誰擔(dān)任，誰運(yùn)營誰擔(dān)任信息系統(tǒng)擁有者依托本身力量，根據(jù)國家風(fēng)險(xiǎn)評價(jià)的管理規(guī)范和技術(shù)規(guī)范，對自有的信息系統(tǒng)進(jìn)展風(fēng)險(xiǎn)評價(jià)的活動(dòng)。優(yōu)點(diǎn)有利于嚴(yán)密有利于發(fā)揚(yáng)行業(yè)和部門內(nèi)人員的業(yè)務(wù)專長有利于降低風(fēng)險(xiǎn)評價(jià)的費(fèi)用有利于提高本單位的風(fēng)險(xiǎn)評價(jià)才干與信息平安知識風(fēng)險(xiǎn)評價(jià)的兩種方式1自評價(jià)缺陷：假設(shè)沒有一致的規(guī)范要求，在缺乏信息系統(tǒng)平安風(fēng)險(xiǎn)評價(jià)專業(yè)人才的情況下，自評價(jià)的結(jié)果能夠不深化、不規(guī)范、不到位自評

3、價(jià)中，能夠會(huì)存在某些不利的干涉，從而影響風(fēng)險(xiǎn)評價(jià)結(jié)果的客觀性，降低評價(jià)結(jié)果的置信度某些時(shí)候，即使自評價(jià)的結(jié)果比較樂觀，也必需與管理層進(jìn)展溝通風(fēng)險(xiǎn)評價(jià)的兩種方式2 檢查評價(jià)檢查評價(jià)是由信息平安主管部門或業(yè)務(wù)部門發(fā)起的一種評價(jià)活動(dòng)，旨在根據(jù)曾經(jīng)公布的法規(guī)或規(guī)范，檢查被評價(jià)單位能否滿足了這些法規(guī)或規(guī)范。檢查評價(jià)通常都是定期的、抽樣進(jìn)展的評價(jià)方式檢查評價(jià)缺陷：間隔時(shí)間較長，如一年一次，通常還是抽樣進(jìn)展不能貫穿一個(gè)部門信息系統(tǒng)生命周期的全過程，很難對信息系統(tǒng)的整體風(fēng)險(xiǎn)情況作出完好的評價(jià)風(fēng)險(xiǎn)評價(jià)的兩種方式2 檢查評價(jià)檢查評價(jià)應(yīng)覆蓋但不限于以下內(nèi)容：自評價(jià)方法的檢查自評價(jià)過程記錄檢查自評價(jià)結(jié)果跟蹤檢查現(xiàn)有平

4、安措施的檢查系統(tǒng)輸入輸出控制的檢查軟硬件維護(hù)制度及實(shí)施情況的檢查突發(fā)事件應(yīng)對措施的檢查數(shù)據(jù)完好性維護(hù)措施的檢查審計(jì)追蹤的檢查風(fēng)險(xiǎn)評價(jià)的兩種方式無論是自評價(jià)，還是檢查評價(jià)，都可以委托風(fēng)險(xiǎn)評價(jià)效力技術(shù)支持方實(shí)施，如國家測評認(rèn)證機(jī)構(gòu)或平安企業(yè)公司。風(fēng)險(xiǎn)分析原理風(fēng)險(xiǎn)分析中要涉及資產(chǎn)、要挾、脆弱性三個(gè)根本要素。風(fēng)險(xiǎn)分析原理圖風(fēng)險(xiǎn)分析原理風(fēng)險(xiǎn)分析的主要內(nèi)容為：1對資產(chǎn)進(jìn)展識別，并對資產(chǎn)的價(jià)值進(jìn)展賦值2對要挾進(jìn)展識別，描畫要挾的屬性要挾主體，影響對象，出現(xiàn)頻率，動(dòng)機(jī)等，并對要挾出現(xiàn)的頻率賦值3對脆弱性進(jìn)展識別，并對詳細(xì)資產(chǎn)的脆弱性的嚴(yán)重程度賦值4根據(jù)要挾及要挾利用脆弱性的難易程度判別平安時(shí)間發(fā)生的能夠性根據(jù)

5、脆弱性的嚴(yán)重程度和平安事件所作用的資產(chǎn)的價(jià)值計(jì)算平安事件呵斥的損失根據(jù)平安事件發(fā)生的能夠性以及平安事件出現(xiàn)后的損失，計(jì)算平安事件一旦發(fā)生對組織的影響，即風(fēng)險(xiǎn)值4.2風(fēng)險(xiǎn)評價(jià)的過程4.2.1風(fēng)險(xiǎn)評價(jià)的根本步驟第一步：風(fēng)險(xiǎn)評價(jià)預(yù)備第二步：風(fēng)險(xiǎn)要素識別第三步：風(fēng)險(xiǎn)確定第四步：風(fēng)險(xiǎn)評價(jià)第五步：風(fēng)險(xiǎn)控制第一步 風(fēng)險(xiǎn)評價(jià)預(yù)備1確定風(fēng)險(xiǎn)評價(jià)的目的風(fēng)險(xiǎn)評價(jià)目的要滿足企業(yè)繼續(xù)開展在平安方面的要求，滿足相關(guān)方的要求，滿足法律法規(guī)的要求2 風(fēng)險(xiǎn)評價(jià)的范圍風(fēng)險(xiǎn)評價(jià)范圍能夠是企業(yè)全部的信息以及與信息處置相關(guān)的各類資產(chǎn)、管理機(jī)構(gòu)，也能夠是某個(gè)獨(dú)立的系統(tǒng)、關(guān)鍵業(yè)務(wù)流程、與客戶知識產(chǎn)權(quán)相關(guān)的系統(tǒng)或部門等3選擇與組織機(jī)構(gòu)相順應(yīng)

6、的詳細(xì)風(fēng)險(xiǎn)判別方法在選擇詳細(xì)的風(fēng)險(xiǎn)判別方法時(shí)，應(yīng)思索評價(jià)的目的、范圍、時(shí)間、效果、人員素質(zhì)等諸多要素，使之可以與組織環(huán)境和平安要求相順應(yīng)4建立風(fēng)險(xiǎn)評價(jià)團(tuán)隊(duì)管理層、業(yè)務(wù)骨干、信息技術(shù)人員、技術(shù)專家等5獲得最高管理者對風(fēng)險(xiǎn)評價(jià)任務(wù)的支持風(fēng)險(xiǎn)評價(jià)過程應(yīng)得到企業(yè)最高管理者的支持、同意，并對管理層和技術(shù)人員進(jìn)展傳達(dá)，應(yīng)在組織內(nèi)部對風(fēng)險(xiǎn)評價(jià)的相關(guān)內(nèi)容進(jìn)展培訓(xùn)，以明確相關(guān)人員在風(fēng)險(xiǎn)評價(jià)中的義務(wù)。第二步 風(fēng)險(xiǎn)要素評價(jià)1資產(chǎn)評價(jià)識別信息資產(chǎn)，包括數(shù)據(jù)、軟件、硬件、設(shè)備、效力、文檔等，制定嚴(yán)密性、完好性、可用性是評價(jià)資產(chǎn)的三個(gè)平安屬性風(fēng)險(xiǎn)評價(jià)中資產(chǎn)的價(jià)值不是以資產(chǎn)的經(jīng)濟(jì)價(jià)值來衡量，而是由資產(chǎn)在這三個(gè)屬性上的達(dá)成程

7、度或者其平安屬性未達(dá)成時(shí)所呵斥的影響程度來決議的。資產(chǎn)分類資產(chǎn)賦值資產(chǎn)價(jià)值應(yīng)根據(jù)資產(chǎn)在嚴(yán)密性、完好性和可用性上的賦值等級，經(jīng)過綜合評定得出。綜合評定方法可以根據(jù)本身的特點(diǎn)，選擇對資產(chǎn)嚴(yán)密性、完好性和可用性最重要的一個(gè)屬性的賦值等級作為資產(chǎn)的最終賦值結(jié)果；或三者進(jìn)展加權(quán)計(jì)算得到資產(chǎn)的最終賦值結(jié)果。第二步 風(fēng)險(xiǎn)要素評價(jià)2 要挾評價(jià)要挾Threat:指能夠?qū)Y產(chǎn)或組織呵斥損害的事故的潛在緣由。要挾分析包括：潛在要挾分析、要挾審計(jì)和入侵檢測分析、綜合分析要挾賦值應(yīng)根據(jù)要挾發(fā)生的能夠性和要挾產(chǎn)生的影響程度綜合確定要挾出現(xiàn)頻率發(fā)生的能夠性的賦值第二步 風(fēng)險(xiǎn)要素評價(jià)3弱點(diǎn)評價(jià)脆弱點(diǎn)Vulnerability

8、：是指資產(chǎn)或資產(chǎn)組中能被要挾利用的弱點(diǎn)。脆弱性識別可以以資產(chǎn)為中心，針對每一項(xiàng)需求維護(hù)的資產(chǎn)，識別能夠被要挾利用的弱點(diǎn)；也可以從物理、網(wǎng)絡(luò)、系統(tǒng)、運(yùn)用等層次進(jìn)展識別，然后與資產(chǎn)、要挾對應(yīng)起來。脆弱性識別的方法主要有：問卷調(diào)查、工具檢測、人工核對、文檔查閱、浸透性測試等。第三步 風(fēng)險(xiǎn)確定1 現(xiàn)有平安措施評價(jià)評價(jià)人員應(yīng)對已采取的平安措施的有效性進(jìn)展確認(rèn)，即能否真正降低了系統(tǒng)的脆弱性，抵御了要挾。對有效的平安措施繼續(xù)堅(jiān)持，對確以為不適當(dāng)?shù)钠桨泊胧?yīng)核實(shí)能否應(yīng)被取消或?qū)ζ溥M(jìn)展修正，或用更適宜的平安措施替代。2風(fēng)險(xiǎn)計(jì)算根據(jù)以上評價(jià)產(chǎn)生的結(jié)果，計(jì)算出每項(xiàng)信息資產(chǎn)的風(fēng)險(xiǎn)值風(fēng)險(xiǎn)計(jì)算原理風(fēng)險(xiǎn)值=R(A,T,V)

9、=R(L(T,V),F(Ia，Va)R：平安風(fēng)險(xiǎn)計(jì)算函數(shù)A：資產(chǎn)T：要挾V：脆弱性Ia：平安事件所作用的資產(chǎn)價(jià)值Va：脆弱性嚴(yán)重程度L：要挾利用資產(chǎn)的脆弱性導(dǎo)致平安事件的能夠性F：平安事件發(fā)生后呵斥的損失評價(jià)者可根據(jù)本身情況選擇相應(yīng)的風(fēng)險(xiǎn)計(jì)算方法來計(jì)算風(fēng)險(xiǎn)值，如矩陣法或相乘法。第四步 風(fēng)險(xiǎn)斷定對一切風(fēng)險(xiǎn)計(jì)算結(jié)果進(jìn)展等級化處置，每個(gè)等級代表了相應(yīng)風(fēng)險(xiǎn)的嚴(yán)重程度。第五步 風(fēng)險(xiǎn)控制對不可接受的風(fēng)險(xiǎn)應(yīng)根據(jù)導(dǎo)致該風(fēng)險(xiǎn)的脆弱性制定風(fēng)險(xiǎn)處置方案。風(fēng)險(xiǎn)處置方案中應(yīng)明確采取的彌補(bǔ)脆弱性的平安措施、預(yù)期效果、實(shí)施條件、進(jìn)度安排、責(zé)任部門等。平安措施的選擇應(yīng)從管理和技術(shù)兩個(gè)方面思索剩余風(fēng)險(xiǎn)評價(jià)在對于不可接受的風(fēng)險(xiǎn)選

10、擇適當(dāng)平安措施后，為確保平安措施的有效性，可再進(jìn)展評價(jià)，以判別實(shí)施平安措施后的剩余風(fēng)險(xiǎn)能否曾經(jīng)降低到可接受的程度。風(fēng)險(xiǎn)評價(jià)文檔記錄風(fēng)險(xiǎn)的計(jì)算方法計(jì)算原理風(fēng)險(xiǎn)值=R(A,T,V)=R(L(T,V),F(Ia，Va)R：平安風(fēng)險(xiǎn)計(jì)算函數(shù)A：資產(chǎn)T：要挾V：脆弱性Ia：平安事件所作用的資產(chǎn)價(jià)值Va：脆弱性嚴(yán)重程度L：要挾利用資產(chǎn)的脆弱性導(dǎo)致平安事件的能夠性F：平安事件發(fā)生后呵斥的損失評價(jià)者可根據(jù)本身情況選擇相應(yīng)的風(fēng)險(xiǎn)計(jì)算方法來計(jì)算風(fēng)險(xiǎn)值，如矩陣法或相乘法。風(fēng)險(xiǎn)的計(jì)算方法風(fēng)險(xiǎn)值計(jì)算涉及的風(fēng)險(xiǎn)要素：資產(chǎn)、要挾、脆弱性由要挾和脆弱性確定平安事件發(fā)生的能夠性由資產(chǎn)和脆弱性確定平安事件的損失由平安事件發(fā)生的能

11、夠性和平安事件的損失確定風(fēng)險(xiǎn)值目前，常用的計(jì)算方法是矩陣法和相乘法運(yùn)用矩陣法計(jì)算風(fēng)險(xiǎn)值矩陣法主要適用于由兩個(gè)要素值確定一個(gè)要素值的情形Z=f(x,y)，函數(shù)f采用矩陣法x=(x1,x2,x3,xi,xm) 1i m xi為正整數(shù)y=(y1,y2,y3,yj,yn) 1i n yj為正整數(shù)以要素x和要素y的取值構(gòu)造一個(gè)二維矩陣，矩陣行值為要素y的一切取值，矩陣列值為要素x的一切取值，矩陣內(nèi)mxn個(gè)值即為要素z的取值。運(yùn)用矩陣法計(jì)算風(fēng)險(xiǎn)值對于z值的計(jì)算，可以采取以下計(jì)算公式Zij=xi+yj 或Zij=xiXyj 或Zij=aXxi+bXyj， a，b為正常數(shù)Zij的計(jì)算需求根據(jù)實(shí)踐情況確定，矩陣

12、內(nèi)zij的值不一定遵照一致的計(jì)算公式，但必需具有一致的增減趨勢，即假設(shè)f是遞增函數(shù)，zij的值應(yīng)隨著xi和yj的值遞增，反之亦然。運(yùn)用矩陣法計(jì)算風(fēng)險(xiǎn)值例如資產(chǎn)資產(chǎn)值威脅威脅發(fā)生頻率弱點(diǎn)弱點(diǎn)嚴(yán)重程度A12T12V12V23T21V31V44V52A23T32V64V72A35T45V83T54V95運(yùn)用矩陣法計(jì)算風(fēng)險(xiǎn)值例如以資產(chǎn)A1面臨的要挾T1可以利用的弱點(diǎn)V1為例，計(jì)算平安風(fēng)險(xiǎn)值，其他風(fēng)險(xiǎn)值計(jì)算過程類似1 計(jì)算平安事件發(fā)生的能夠性首先由要挾發(fā)生的頻率和弱點(diǎn)的嚴(yán)重程度值構(gòu)建平安事件能夠性矩陣然后根據(jù)T1發(fā)生的頻率值和V1嚴(yán)重程度值在矩陣中進(jìn)展對照，確定平安事件發(fā)生能夠性值要挾發(fā)生的頻率T1=2

13、弱點(diǎn)嚴(yán)重性程度V1=2平安事件發(fā)生能夠性值=6由于平安事件發(fā)生能夠性將參與風(fēng)險(xiǎn)事件值的計(jì)算，為了構(gòu)建風(fēng)險(xiǎn)矩陣，需對平安事件發(fā)生能夠能夠性進(jìn)展等級劃分該平安事件發(fā)生能夠性等級為2運(yùn)用矩陣法計(jì)算風(fēng)險(xiǎn)值例如2計(jì)算平安事件的損失 首先由資產(chǎn)價(jià)值和弱點(diǎn)嚴(yán)重程度值構(gòu)建平安事件損失矩陣然后對照表，確定平安事件損失值資產(chǎn)A1的價(jià)值=2弱點(diǎn)嚴(yán)重性程度V1=2平安事件損失值=5由于平安事件損失值將參與風(fēng)險(xiǎn)事件值的計(jì)算，為了構(gòu)建風(fēng)險(xiǎn)矩陣，需對平安事件損失進(jìn)展等級劃分該平安事件損失等級為1運(yùn)用矩陣法計(jì)算風(fēng)險(xiǎn)值例如3計(jì)算風(fēng)險(xiǎn)值首先由平安事件發(fā)生能夠性和平安事件損失構(gòu)建平安風(fēng)險(xiǎn)矩陣然后對照表，確定平安風(fēng)險(xiǎn)值平安事件發(fā)生能

14、夠性等級為2平安事件損失等級為1平安風(fēng)險(xiǎn)值=6結(jié)果斷定，確定風(fēng)險(xiǎn)等級劃分根據(jù)上述計(jì)算方法，計(jì)算資產(chǎn)的其他風(fēng)險(xiǎn)值，并根據(jù)風(fēng)險(xiǎn)等級劃分表，確定風(fēng)險(xiǎn)等級運(yùn)用相乘法計(jì)算風(fēng)險(xiǎn)值相乘法主要用于兩個(gè)或多個(gè)要素值確定一個(gè)要素值的情形相乘法的原理z=f(x,y)=xXy 也可以相乘后開平方或取模運(yùn)算等。運(yùn)用相乘法計(jì)算風(fēng)險(xiǎn)值例如以資產(chǎn)A1面臨的要挾T1可以利用的弱點(diǎn)V1為例，計(jì)算平安風(fēng)險(xiǎn)值計(jì)算公式x和y的積的平方根的四舍五入結(jié)果設(shè)資產(chǎn)A1價(jià)值為4，面臨的要挾T1發(fā)生的頻率為1，可利用的弱點(diǎn)V1嚴(yán)重程度為31計(jì)算平安事件發(fā)生的能夠性要挾發(fā)生的頻率T1=1弱點(diǎn)嚴(yán)重性程度V1=3平安事件發(fā)生能夠性值=運(yùn)用相乘法計(jì)算風(fēng)險(xiǎn)

15、值例如2計(jì)算平安事件的損失資產(chǎn)價(jià)值A(chǔ)1=4脆弱性嚴(yán)重程度V1=3平安事件的損失=3計(jì)算風(fēng)險(xiǎn)值平安事件發(fā)生能夠性=平安事件損失=平安事件風(fēng)險(xiǎn)值= =6根據(jù)風(fēng)險(xiǎn)等級劃分表，風(fēng)險(xiǎn)等級確定為24.6風(fēng)險(xiǎn)評價(jià)實(shí)施4.6.1風(fēng)險(xiǎn)評價(jià)實(shí)施原那么目的一致關(guān)注重點(diǎn)資產(chǎn)用戶參與注重質(zhì)量管理和過程4.6.2風(fēng)險(xiǎn)評價(jià)流程1前期預(yù)備階段2現(xiàn)場調(diào)查階段3風(fēng)險(xiǎn)分析階段4戰(zhàn)略制定階段前期預(yù)備階段背景資料預(yù)備技術(shù)資料預(yù)備調(diào)查提綱預(yù)備調(diào)查提綱確認(rèn)簽署嚴(yán)密協(xié)議現(xiàn)場調(diào)查階段人員調(diào)查了解組織最注重的信息資產(chǎn)、最擔(dān)憂發(fā)生的事件以及組織對信息系統(tǒng)平安的期望調(diào)查了解組織中曾經(jīng)發(fā)生過的信息平安相關(guān)事件采用問詢、會(huì)議、資料審計(jì)的方式獲取相關(guān)的數(shù)據(jù)，包括目前信息管理的規(guī)章制度以及詳細(xì)實(shí)施情況技術(shù)調(diào)查網(wǎng)絡(luò)架構(gòu)調(diào)查 繪制被評價(jià)單位的網(wǎng)絡(luò)拓?fù)錁?gòu)造；目前網(wǎng)絡(luò)上的虛擬網(wǎng)劃分與運(yùn)用情況；明確網(wǎng)絡(luò)邊境；對業(yè)務(wù)系統(tǒng)的平安等級建議，確認(rèn)目前到達(dá)的平安等級等現(xiàn)場調(diào)查階段技術(shù)調(diào)查業(yè)務(wù)流程調(diào)查 主要業(yè)務(wù)系統(tǒng)之間的邏輯關(guān)系；業(yè)務(wù)的平安要求；系統(tǒng)業(yè)務(wù)功能；構(gòu)成業(yè)務(wù)流程現(xiàn)狀圖；初步分析業(yè)務(wù)流程現(xiàn)狀中存在的問題等主機(jī)系統(tǒng)調(diào)查 主機(jī)系統(tǒng)固有的破綻和配置問題；系統(tǒng)提供的效力；賬號的平安情況；采用的訪問控制戰(zhàn)略；日志審計(jì)等情況數(shù)據(jù)庫系統(tǒng)調(diào)查 賬號、密碼設(shè)置情況；數(shù)據(jù)庫運(yùn)用情況，存儲(chǔ)、