電子商務(wù)安全課件版 第8章-電子商務(wù)安全風(fēng)險管理

第8章電子商務(wù)安全風(fēng)險管理引例-會計咨詢公司

ArmstrongGilmour的倒閉90年代末，PhilGilmour是加利福尼亞的一家會計咨詢公司ArmstrongGilmour的管理合伙人。公司相當(dāng)一部分業(yè)務(wù)是個人委托的管理私人撫恤基金業(yè)務(wù)。客戶的養(yǎng)老金和投資數(shù)據(jù)存儲在一個公司數(shù)據(jù)庫，客戶可以在線訪問數(shù)據(jù)庫，并核對他們的帳戶。Gilmour致力于管理的養(yǎng)老基金業(yè)務(wù)增長迅速，因為無法處理日益繁忙的存儲，數(shù)據(jù)庫崩潰了。幸運的是，公司的計算機系統(tǒng)有一個磁帶備份，因此Gilmour認(rèn)為客戶的數(shù)據(jù)應(yīng)該是安全的。當(dāng)該公司試圖恢復(fù)養(yǎng)老金數(shù)據(jù)備份磁帶的時候，卻發(fā)現(xiàn)磁帶上的數(shù)據(jù)已經(jīng)被損壞了。剩下的唯一的選擇是昂貴和痛苦的。公司的員工在接下來幾個星期內(nèi)不得不花費很長的時間長重新手動恢復(fù)數(shù)據(jù)庫。但這次災(zāi)難耗費的總費用可能遠(yuǎn)遠(yuǎn)大于員工耗費的時間和用于數(shù)據(jù)庫恢復(fù)的數(shù)千美元。在公司失去一部分委托人的信任和信譽之后，Gilmour最終損失了數(shù)百萬美元，以低價出售了公司。238.1電子商務(wù)安全風(fēng)險管理的演進8.2電子商務(wù)安全風(fēng)險管理流程8.3電子商務(wù)安全風(fēng)險管理的整體策略目錄48.1電子商務(wù)安全風(fēng)險管理的演進8.1.1電子商務(wù)安全管理的發(fā)展歷程1、事件驅(qū)動時期只重視技術(shù)防御靜態(tài)、局部、事后糾正2、標(biāo)準(zhǔn)化時期基本形成安全管理體系，包括技術(shù)手段和管理制度安全風(fēng)險分析不足3、安全風(fēng)險管理時期企業(yè)不僅關(guān)注已發(fā)生的安全問題，更關(guān)心潛在的威脅和攻擊，力圖在問題發(fā)生前化解危機。電子商務(wù)安全風(fēng)險：由于從事電子商務(wù)活動過程中相關(guān)的網(wǎng)絡(luò)以及系統(tǒng)存在的安全不確定性而產(chǎn)生的經(jīng)濟或其他利益的損失、自然破壞或損害的可能性61、風(fēng)險管理（RiskManagement）概念：降低各種風(fēng)險的發(fā)生概率，或當(dāng)某種風(fēng)險突然降臨時，減少損失的管理過程。風(fēng)險管理包括為提供有效的損失預(yù)防方案而進行的規(guī)劃、組織、領(lǐng)導(dǎo)、協(xié)調(diào)和控制活動，目的是將風(fēng)險引起的對組織資源、收益和現(xiàn)金流等不利的影響最小化。宗旨：承認(rèn)成功的攻擊將會存在，但發(fā)生的可能性及產(chǎn)生后果的嚴(yán)重程度將被控制在最小值任務(wù)：當(dāng)風(fēng)險事故發(fā)生時，采取措施以降低風(fēng)險的期望值，或降低基本事故發(fā)生的概率。8.1.2電子商務(wù)安全風(fēng)險管理的現(xiàn)狀風(fēng)險管理最早于1930年起源于美國。由于受到1929－1933年的世界性經(jīng)濟危機的影響，美國約有40％左右的銀行和企業(yè)破產(chǎn)，經(jīng)濟倒退了約20年。美國企業(yè)為應(yīng)對經(jīng)營上的危機，許多大中型企業(yè)都在內(nèi)部設(shè)立了保險管理部門，負(fù)責(zé)安排企業(yè)的各種保險項目所屬學(xué)科：通信科技（一級學(xué)科）；政策、法規(guī)與管理（二級學(xué)科）安氏推崇的基本信息安全風(fēng)險管理流程需求分析和范圍定義資產(chǎn)鑒別和分類威脅分析安全保障需求級別定義(可選)風(fēng)險詳細(xì)評估和分析(半定量)弱點分析現(xiàn)有安全措施分析綜合風(fēng)險分析風(fēng)險的量化和分級安全措施設(shè)計和實施安全措施選擇安全策略改進和設(shè)計安全解決方案設(shè)計安全措施實施復(fù)核和復(fù)審殘余風(fēng)險評估對于第一和第二階段的內(nèi)容進行定期的再評估BS7799標(biāo)準(zhǔn)是由英國標(biāo)準(zhǔn)協(xié)會(BSI)制定的信息安全管理標(biāo)準(zhǔn)，是國際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)包括以下兩部分：．BS7799—1:1999《信息安全管理實施規(guī)則》；．BS7799—2:1999《信息安全管理體系規(guī)范》。

BS7799于1995年首次出版，它提供了一套綜合的、由信息安全最佳實施組成的通用規(guī)則，為工商業(yè)及大、中、小組織的信息系統(tǒng)在通常情況下所需的安全控制提供標(biāo)準(zhǔn)的參考基準(zhǔn)。

BS7799最新版本于1999年5月在BSI／DISC的BDD／2信息安全管理委員會的指導(dǎo)下制定完成，它取代了被廢止的BS7799:1995。這一版充分考慮了信息處理技術(shù)，尤其是網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的近期發(fā)展，同時還強調(diào)了電子商務(wù)所涉及的信息安全及信息安全的責(zé)任。電子商務(wù)安全與管理10我國權(quán)威性信息安全評測機構(gòu)2023/3/9111314158.2電子商務(wù)安全風(fēng)險管理流程8.2.1安全風(fēng)險管理中的因素關(guān)系8.2.2風(fēng)險識別分析8.2.3風(fēng)險評估8.2.4風(fēng)險控制和風(fēng)險接受8.2.5監(jiān)控和審計168.2電子商務(wù)安全風(fēng)險管理流程8.2.1安全風(fēng)險管理中的因素關(guān)系有漏洞的電子商務(wù)系統(tǒng)一定會出現(xiàn)安全問題嗎？受到威脅的電子商務(wù)系統(tǒng)一定會出現(xiàn)安全問題嗎？No!信息資產(chǎn)的價值會影響實際風(fēng)險嗎？Yes!No!風(fēng)險管理五要素資產(chǎn)威脅弱點風(fēng)險影響風(fēng)險管理五要素例1：我口袋里有100塊錢，因為在公車上打瞌睡，被小偷偷走了，弄得晚上沒飯吃。

資產(chǎn)威脅弱點風(fēng)險影響100塊錢小偷打瞌睡錢被偷走晚上沒飯吃風(fēng)險管理五要素例2：某證券公司的數(shù)據(jù)庫服務(wù)器因為存在RPCDCOM的漏洞，遭到入侵者攻擊，被迫中斷3天。

資產(chǎn)威脅弱點風(fēng)險影響RPCDCOM漏洞服務(wù)器遭到入侵

數(shù)據(jù)庫服務(wù)器

入侵者

中斷三天

20安全風(fēng)險管理中流程風(fēng)險識別分析階段風(fēng)險評估階段風(fēng)險控制階段收集信息，明確弱點和威脅，對可能造成的損失進行評價確定企業(yè)安全需求實施安全控制手段，使風(fēng)險降低到可接受水平218.2.2風(fēng)險識別分析1.風(fēng)險識別的一般步驟（1）信息資產(chǎn)的識別與估價主要包括數(shù)據(jù)與文檔、書面合同、軟件資產(chǎn)、人員、服務(wù)和實物資產(chǎn)；定性方法確立資產(chǎn)價值重要程度（2）威脅的識別與評估對每項關(guān)鍵信息資產(chǎn)進行威脅識別，確定其發(fā)生可能性；分級賦值的方法確認(rèn)一般威脅發(fā)生的可能性（3）薄弱點評價針對每項關(guān)鍵信息資產(chǎn)，找出每種威脅可能利用的薄弱點，并針對薄弱點嚴(yán)重性進行評價。定性（1）信息資產(chǎn)的識別與估價信息資產(chǎn)識別資產(chǎn)識別是風(fēng)險評估的第一步，主要是確定機構(gòu)的資產(chǎn)、有多大價值及資產(chǎn)的重要性，以保證資產(chǎn)有適當(dāng)程度的保護。最后應(yīng)該形成一份資產(chǎn)清單。信息資產(chǎn)的存在形式有多種：物理的（如機房建筑和設(shè)施、計算機設(shè)備等），邏輯的（如存儲和傳輸中的數(shù)據(jù)、應(yīng)用程序、系統(tǒng)服務(wù)等）無形的（如組織的公眾形象和信譽等）。案例：醫(yī)院主要信息資產(chǎn)的識別資產(chǎn)說明病人信息數(shù)據(jù)系統(tǒng)（PIDS）PIDS是包含大多數(shù)病人信息的數(shù)據(jù)庫。書面醫(yī)療記錄完整的病人記錄寫在紙上，如果丟失，不易重建。電子郵件醫(yī)務(wù)人員的電子郵件可能包含一些敏感數(shù)據(jù)（病人信息、財務(wù)信息和個人信息）職業(yè)者的資格證書醫(yī)療人員的從業(yè)資格認(rèn)證Internet連接業(yè)務(wù)連續(xù)性的保障之一醫(yī)療后勤系統(tǒng)跟蹤供應(yīng)、財產(chǎn)和設(shè)備，還可能包含所有訂戶信息急診數(shù)據(jù)系統(tǒng)對急診室進行有效的手術(shù)是必須的，用于維護和更新與急診有關(guān)的病人記錄和賬單其他如人員管理系統(tǒng)等信息資產(chǎn)評估得到完整的信息資產(chǎn)清單之后，組織應(yīng)該對每種資產(chǎn)進行賦值。在定義其價值時需要考慮：信息資產(chǎn)因為受損而對商務(wù)造成的直接損失；信息資產(chǎn)恢復(fù)到正常狀態(tài)所付出的代價，包括檢測、控制、修復(fù)時的人力和物力；信息資產(chǎn)受損對其他部門的業(yè)務(wù)造成的影響；組織在公眾形象和名譽上的損失；因為商務(wù)受損導(dǎo)致競爭優(yōu)勢降級而引發(fā)的間接損失；其他損失，例如保險費用的增加。案例醫(yī)院關(guān)鍵信息資產(chǎn)評估資產(chǎn)原因等級病人信息數(shù)據(jù)系統(tǒng)該系統(tǒng)包含大多數(shù)重要的病人信息，醫(yī)院依靠其開展每天的治療工作災(zāi)難性書面醫(yī)療記錄這是正式的醫(yī)療記錄，如果丟失，無法重建。較大財務(wù)記錄存儲系統(tǒng)該系統(tǒng)包含所有的財務(wù)信息災(zāi)難性職業(yè)者的資格證書這是所有醫(yī)療人員的職業(yè)資格證明較大（2）威脅的識別與評估威脅BECDA人員威脅系統(tǒng)威脅環(huán)境威脅其他威脅自然威脅組織內(nèi)部組織外部無意故意硬件故障軟件故障相關(guān)故障惡意代碼電源故障污染液體泄漏火災(zāi)地震洪水滑坡雷電威脅評估識別資產(chǎn)面臨的威脅后，還應(yīng)該評估威脅發(fā)生的可能性。組織應(yīng)該根據(jù)經(jīng)驗或者相關(guān)的統(tǒng)計數(shù)據(jù)來判斷威脅發(fā)生的頻率或概率。評估威脅可能性時有兩個關(guān)鍵因素需要考慮：威脅源的動機（利益趨勢、報復(fù)心理、玩笑等）威脅源的能力（包括其技能、環(huán)境、機會等）（3）薄弱點評價光有威脅還構(gòu)不成風(fēng)險，威脅只有利用了特定的弱點才可能對資產(chǎn)造成影響，所以，組織應(yīng)該針對每一項需要保護的信息資產(chǎn)，找到可被威脅利用的薄弱點。

薄弱點主要分為：技術(shù)性弱點——系統(tǒng)、程序、設(shè)備中存在的漏洞或缺陷，比如結(jié)構(gòu)設(shè)計問題和編程漏洞。操作性弱點——軟件和系統(tǒng)在配置、操作、使用中的缺陷，包括人員日常工作中的不良習(xí)慣，審計或備份的缺乏。管理性弱點——策略、程序、規(guī)章制度、人員意識、組織結(jié)構(gòu)等方面的不足。評估弱點時需要考慮兩個因素：嚴(yán)重程度暴露程度（Exposure），即被利用的容易程度可用“高”、“中”、“低”三個等級來衡量。

在影響威脅事件發(fā)生的外部條件中，除了資產(chǎn)的弱點，另一個就是組織現(xiàn)有的安全措施。

（4）現(xiàn)有措施識別與評估在識別了資產(chǎn)、威脅、弱點和安全措施之后，系統(tǒng)存在什么風(fēng)險就可以顯現(xiàn)了。

2.風(fēng)險識別階段的常用方法風(fēng)險分析調(diào)查表。通過對企業(yè)可能遭受的風(fēng)險進行詳盡的調(diào)查和分析，編制各種調(diào)查表供企業(yè)參考。分類法，按資產(chǎn)、風(fēng)險和薄弱點進行分大類，然后提出關(guān)鍵問題，根據(jù)最終調(diào)查內(nèi)容確定風(fēng)險狀況。資產(chǎn)風(fēng)險分析調(diào)查表網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備有無專人管理？有無專門的網(wǎng)絡(luò)設(shè)備維護制度？網(wǎng)絡(luò)設(shè)備有無備份？……服務(wù)器服務(wù)器有無專門的管理制度？服務(wù)器是否有備份？服務(wù)器內(nèi)容的訪問規(guī)則有否？……數(shù)據(jù)庫數(shù)據(jù)庫的更新頻率是否符合標(biāo)準(zhǔn)數(shù)據(jù)庫內(nèi)容是否備份？企業(yè)是否將全部重要信息都集中保存？…………是否34事故樹分析法事故樹分析法（AccidentTreeAnalysis，簡稱ATA）起源于故障樹分析法（FaultTreeAnalysis，簡稱FTA），是安全系統(tǒng)工程的重要分析方法之一。事故樹分析法是對可能引起的損失進行研究，并探究其原因和結(jié)果的一種方法。屬于演繹法：從結(jié)果入手，分析原因35事故樹分析法首先由美國貝爾實驗室于1961年為研究民兵式導(dǎo)彈發(fā)射控制系統(tǒng)時提出，1974年美國原子能委員會運用FTA對核電站事故進行了風(fēng)險評價，發(fā)表了著名的《拉姆遜報告》。該報告對事故樹分析作了大規(guī)模有效的應(yīng)用。此后，在社會各界引起了極大的反響，受到了廣泛的重視，從而迅速在許多國家和許多企業(yè)應(yīng)用和推廣。中國開展事故樹分析方法的研究是從1978年開始的。80年代末，鐵路運輸系統(tǒng)開始把事故樹分析方法應(yīng)用到安全生產(chǎn)和勞動保護上來，也已取得了較好的效果。36事故樹分析法病毒攻擊服務(wù)中斷設(shè)備毀壞管理缺陷泄密制度漏洞火災(zāi)損失事故聲譽破壞事故樹可識別各種促進損失事故的風(fēng)險因素，還可計算事故的概率。378.2.3風(fēng)險評估

風(fēng)險識別工作結(jié)束后，要利用適當(dāng)?shù)娘L(fēng)險測量方法、工具確定風(fēng)險的大小與風(fēng)險等級，這就是風(fēng)險評估過程請學(xué)習(xí)P315例1，例2定量R=R(PT,PV,I)I=V×CL注意：計算時使用的數(shù)值為相對值！5342139根據(jù)風(fēng)險計算的結(jié)果，可以得到資產(chǎn)風(fēng)險評估的相對優(yōu)先順序，將風(fēng)險劃分為不同的等級，風(fēng)險級別高的資產(chǎn)需要優(yōu)先分配資源保護例1、2中哪個子系統(tǒng)將優(yōu)先分配資源進行保護？電子商務(wù)子系統(tǒng)8.2.4風(fēng)險控制和風(fēng)險接受安全風(fēng)險的選擇以風(fēng)險評估的結(jié)果為依據(jù)，決定需要保護的資產(chǎn)，采取何種形式保護。從而減少和消除風(fēng)險損失，使企業(yè)可以接受的風(fēng)險水平。41風(fēng)險控制的基本方法減少威脅程度減少薄弱點風(fēng)險規(guī)避風(fēng)險預(yù)防風(fēng)險分散風(fēng)險轉(zhuǎn)移42風(fēng)險評估－風(fēng)險接受過程

風(fēng)險評估過程

安全控制措施選擇

實施安全控制降低風(fēng)險

接受殘余風(fēng)險

Rr=R0-△R,Rr≤Rt殘余風(fēng)險風(fēng)險控制曲線圖風(fēng)險R資產(chǎn)序列原有風(fēng)險曲線可接受風(fēng)險曲線殘余風(fēng)險曲線448.2.5監(jiān)控和審計實時監(jiān)控網(wǎng)絡(luò)安全性掃描系統(tǒng)漏洞掃描數(shù)據(jù)庫自動掃描人員操作情況掃描審計評估操作系統(tǒng)的審計應(yīng)