信息安全管理

1. 信息安全管理 授课内容：信息安全风险评估（一）

2. 内容 1 信息安全风险评估相关概念 2 信息安全风险评估基本过程 3 信息安全风险评估应用模式与意义 4 信息安全风险评估工具 5 信息安全风险评估发展概况

3. 一、信息安全风险评估相关概念 信息安全风险评估：依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。 GB/T 20984-2007 信息安全技术 信息安全风险评估规范 Sub Text

4. 一、信息安全风险评估相关概念 信息安全风险评估：依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。 GB/T 20984-2007 信息安全技术 信息安全风险评估规范 信息安全风险评估目的：评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。 Sub Text

5. 一、信息安全风险评估相关概念 用途说明： 信息安全风险评估是信息系统安全保障机制建立过程中的一种评价方法，其结果为信息安全风险管理提供依据。 Sub Text

6. 一、信息安全风险评估相关概念 信息安全风险评估信息安全测试评估 Sub Text

7. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 一、信息安全风险评估相关概念 Sub Text

8. 一、信息安全风险评估相关概念 1）资产：就是被组织赋予了价值、需要保护的有用资源。具体到本课程就是指对组织具有价值的信息资源，是安全策略保护的对象。 2）资产的价值：资产的重要程度或敏感程度。资产价值是资产的属性，也是进行资产识别的主要内容。 Sub Text

9. 一、信息安全风险评估相关概念 3）威胁：是指可能对资产或组织造成损害事故的潜在原因。例如，网络系统可能受到来自计算机病毒和黑客攻击的威胁。威胁可以通过威胁主体、资源、动机、途径等多种属性来刻画。 4）脆弱性：是资产的弱点或薄弱点，这些弱点可能被威胁利用造成安全事件的发生，从而对资产造成损害。脆弱性本身并不会引起损害，它只是为威胁提供了影响资产安全性的条件。 Sub Text

10. 一、信息安全风险评估相关概念 5）信息安全风险：人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件及其对组织造成的影响。 6）安全措施：保护资产、抵御威胁、减少脆弱性、降低安全事件的影响，以及打击信息犯罪而实施的各种实践、规程和机制的总称。 Sub Text

11. 一、信息安全风险评估相关概念 7）安全需求：为保证组织业务战略的正常运作而在安全措施方面提出的要求。 8）剩余风险：即实施安全控制后，仍然存在的安全风险。 Sub Text 9）安全事件：威胁利用脆弱性产生的危害情况。

12. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图

13. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小。

14. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 资产是有价值的，组织的业务战略对资产的依赖越高，资产价值越大，风险越大。

15. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 资产的脆弱性暴露资产的价值，资产具有的脆弱性越多则风险越大。

16. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产。

17. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变为安全事件。

18. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 风险的存在及对风险的认识导出安全需求。

19. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本。

20. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 安全措施可抵御威胁，降低风险。

21. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 残余风险有些是由于安全控制措施不当或无效会造成，需要加强安全措施控制风险； 而有些风险是综合考虑安全成本与效益后不做控制的风险。

22. 业务战略 依赖 暴露 具有 资产 脆弱性 资产价值 增加 未被满足 利用 增加 成本 增加 导出 威胁 安全风险 安全需求 残留 抵御 降低 演变 被满足 残余风险 安全措施 安全事件 可能诱发 未控制 信息安全风险评估要素关系图 残余风险应该受到密切监视，它可能会诱发安全事件。

23. 二、信息安全风险评估基本过程 Sub Text

25. 二、信息安全风险评估基本过程 1、评估准备 2、资产识别与评价 3、威胁识别与评估 4、脆弱性识别与评估 5、已有安全措施识别 6、风险评价

26. 二、信息安全风险评估基本过程 1、评估准备 依据 GB/T 20984-2007《信息安全技术 信息安全风险评估规范》，在风险评估实施前，应确定： • 风险评估的目标 • 确定评估范围 • 组建评估管理与实施团队 • 进行系统调研 • 确定评估依据和方法 • 制订评估方案 • 获得管理者支持

27. 二、信息安全风险评估基本过程 2、资产识别与评价 　　依据GB/T 20984-2007 《信息安全技术 信息安全风险评估规范》，保密性、完整性和可用性是评价资产的三个安全属性。

28. 二、信息安全风险评估基本过程 2、资产识别与评价 　　依据GB/T 20984-2007 《信息安全技术 信息安全风险评估规范》，保密性、完整性和可用性是评价资产的三个安全属性。 　　风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。

29. 二、信息安全风险评估基本过程 2、资产识别与评价 识别构造资产列表

30. 资产保密性赋值表

31. 资产完整性赋值表

32. 资产可用性赋值表

33. 资产等级及含义描述

34. 二、信息安全风险评估基本过程 2、资产识别与评价 资产识别方法 • 专家经验 • 量化计算

35. 信息系统资产价值列表

36. 二、信息安全风险评估基本过程 3、威胁识别与评价 资产的识别与估价完成后，接下来应当对组织需要保护的每一项关键信息资产进行威胁识别与评估。威胁识别与评估的主要任务是： 1）识别产生威胁的原因（是谁或什么事物造成威胁）； 2）确认威胁的目标（威胁影响到组织的哪些资产）； 3）评估威胁发生的可能性； 4）威胁发生造成的后果或潜在影响。

37. 二、信息安全风险评估基本过程 3、威胁识别与评价 识别构造资产威胁列表

38. 二、信息安全风险评估基本过程 3、威胁识别与评价 威胁收集方式主要有： • 问卷调查 • 人员访谈 • 现场考察 • 查看系统工作日志 • 安全事件报告

39. 二、信息安全风险评估基本过程 3、威胁识别与评价 威胁发生的可能性： • 资产的价值 • 资产转化成报酬的容易程度 • 威胁实施的技术含量或脆弱性被利用的难易程度

40. 威胁赋值表

41. 二、信息安全风险评估基本过程 4、脆弱性识别与评价 　　仅有威胁还构不成风险，只有组织需要保护的信息资产或系统存在着可能被威胁所利用的弱点，即脆弱性，威胁才可能对资产造成影响。

42. 二、信息安全风险评估基本过程 4、脆弱性识别与评价 • 脆弱性是资产本身存在的，威胁总是要利用资产的脆弱性才能造成危害。 • 资产的脆弱性具有隐蔽性，有些脆弱性只有在一定条件和环境下才能显现。 • 脆弱性识别要以资产为核心，即根据每个资产分别识别其存在的弱点，然后综合评价该资产的脆弱性。

43. 二、信息安全风险评估基本过程 4、脆弱性识别与评价 • 脆弱性的分类 • 技术脆弱性：系统、程序和设备中存在的漏洞或缺陷，如结构设计问题和编程漏洞等； • 管理脆弱性：技术管理与组织管理。

44. 二、信息安全风险评估基本过程 ４、脆弱性识别与评价 识别构造资产脆弱性列表

45. 二、信息安全风险评估基本过程 ４、脆弱性识别与评价 脆弱性发现方式主要有： • 问卷调查 • 人员访谈 • 人工检查 • 工具检查 • 文档查阅

46. 脆弱性严重程度赋值表

47. 二、信息安全风险评估基本过程 ５、已有安全措施识别 　　在影响威胁发生的条件中，除了资产的弱点，再就是组织现有的安全控制措施。

48. 二、信息安全风险评估基本过程 ５、已有安全措施识别 　　在影响威胁发生的条件中，除了资产的弱点，再就是组织现有的安全控制措施。 　　在风险评估过程中，应当识别已有的（或已计划的）安全控制措施，分析安全控制措施的效力，有效的安全控制继续保持，而对于那些不适当的控制应当核查是否应被取消，或者用更合适的控制代替。

49. 二、信息安全风险评估基本过程 如何利用以上分析指标进行风险评价？

50. 谢谢!