電子商務(wù)安全風(fēng)險管理

電子商務(wù)安全風(fēng)險管理28.1電子商務(wù)安全風(fēng)險管理的演進8.2電子商務(wù)安全風(fēng)險管理流程8.3電子商務(wù)安全風(fēng)險管理的整體策略目錄3引例——匯豐銀行網(wǎng)絡(luò)一天內(nèi)遭萬次攻擊

顧客信心受損

匯豐銀行網(wǎng)絡(luò)所遭受的攻擊引發(fā)了電子商務(wù)時代企業(yè)安全風(fēng)險管理的重視，但是企業(yè)該如何加強安全風(fēng)險管理呢？48.1電子商務(wù)安全風(fēng)險管理的演進8.1.1電子商務(wù)安全管理的發(fā)展歷程事件驅(qū)動時期標(biāo)準(zhǔn)化時期安全風(fēng)險管理時期58.1.2電子商務(wù)安全風(fēng)險管理的現(xiàn)狀企業(yè)已對安全風(fēng)險管理達成共識安全風(fēng)險管理的國際標(biāo)準(zhǔn)和各國規(guī)范逐漸形成并趨于完善利用外部專業(yè)化機構(gòu)進行安全性評估已成為大部分國家的選擇：中國公安部信息安全等級保護評估中心全國信息安全標(biāo)準(zhǔn)化技術(shù)委員會中國信息安全產(chǎn)品測評認證中心上海市信息安全產(chǎn)品測評認證中心上海市信息安全測評認證中心深圳市信息安全測評中心8.1電子商務(wù)安全風(fēng)險管理的演進68.2電子商務(wù)安全風(fēng)險管理流程8.2.1安全風(fēng)險管理中的因素關(guān)系8.2.2風(fēng)險識別分析8.2.3風(fēng)險評估8.2.4風(fēng)險控制和風(fēng)險接受8.2.5監(jiān)控和審計78.2電子商務(wù)安全風(fēng)險管理流程8.2.1安全風(fēng)險管理中的因素關(guān)系安全風(fēng)險管理中各因素之間的聯(lián)系：88.2電子商務(wù)安全風(fēng)險管理流程8.2.1安全風(fēng)險管理中的因素關(guān)系風(fēng)險識別分析階段風(fēng)險評估階段風(fēng)險控制階段98.2電子商務(wù)安全風(fēng)險管理流程8.2.2風(fēng)險識別分析1.風(fēng)險識別的一般步驟信息資產(chǎn)的識別與估價威脅的識別與評估薄弱點評價108.2電子商務(wù)安全風(fēng)險管理流程8.2.2風(fēng)險識別分析2.風(fēng)險識別階段的常用方法風(fēng)險分析調(diào)查表資產(chǎn)風(fēng)險分析調(diào)查表網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備有無專人管理？有無專門的網(wǎng)絡(luò)設(shè)備維護制度？網(wǎng)絡(luò)設(shè)備有無備份？……服務(wù)器服務(wù)器有無專門的管理制度？服務(wù)器是否有備份？服務(wù)器內(nèi)容的訪問規(guī)則有否？……數(shù)據(jù)庫數(shù)據(jù)庫的更新頻率是否符合標(biāo)準(zhǔn)數(shù)據(jù)庫內(nèi)容是否備份？企業(yè)是否將全部重要信息都集中保存？…………是否118.2電子商務(wù)安全風(fēng)險管理流程事故樹分析法病毒攻擊服務(wù)中斷設(shè)備毀壞管理缺陷泄密制度漏洞火災(zāi)損失事故聲譽破壞128.2電子商務(wù)安全風(fēng)險管理流程8.2.3風(fēng)險評估風(fēng)險識別工作結(jié)束后，要利用適當(dāng)?shù)娘L(fēng)險測量方法、工具確定風(fēng)險的大小與風(fēng)險等級，這就是風(fēng)險評估過程。根據(jù)風(fēng)險計算的結(jié)果，可以得到資產(chǎn)風(fēng)險評估的相對優(yōu)先順序，將風(fēng)險劃分為不同的等級，風(fēng)險級別高的資產(chǎn)需要優(yōu)先分配資源保護。138.2電子商務(wù)安全風(fēng)險管理流程8.2.4風(fēng)險控制和風(fēng)險接受風(fēng)險評估－風(fēng)險接受過程：風(fēng)險評估過程

安全控制措施選擇

實施安全控制降低風(fēng)險

接受殘余風(fēng)險

148.2電子商務(wù)安全風(fēng)險管理流程8.2.5監(jiān)控和審計

專門的審計評估系統(tǒng)可以起到以下作用：對于已經(jīng)發(fā)生的系統(tǒng)破壞行為提供有力的證據(jù)提供有價值的系統(tǒng)使用日志提供系統(tǒng)運行的統(tǒng)計日志158.3電子商務(wù)安全風(fēng)險管理的整體策略8.3.1安全風(fēng)險管理策略應(yīng)遵循的原則

1.控制論和系統(tǒng)論思想的運用信息方法用信息的觀點，把系統(tǒng)看作是借助于信息的獲取、傳遞、加工、處理而實現(xiàn)其有目的性運動的一種研究方法。反饋方法把一個系統(tǒng)的輸出信息，再引向輸入端，并對信息的再輸出發(fā)生影響的控制方式

2.借鑒其他領(lǐng)域的風(fēng)險管理方法

3.融入企業(yè)整體風(fēng)險管理168.3.2策略的總體框架在安全風(fēng)險管理策略系統(tǒng)中技術(shù)和管理手段的無縫集