信息安全风险评估国家标准介绍课件.pptx

1、1信息安全风险评估信息安全风险评估标准化工作情况介绍标准化工作情况介绍国家信息中心信息安全研究与服务中心范红昆明2006年3月2前言前言 20032003年年7 7月以来，信息安全风险评估国家标准月以来，信息安全风险评估国家标准经过前期的调查与研究，开始了编制工作。两年多来，在经过前期的调查与研究，开始了编制工作。两年多来，在国信办和有关主管部门具体指导下，在信安标委大力支持国信办和有关主管部门具体指导下，在信安标委大力支持下，经过科研单位、企业的专家以及业内人士共同努力，下，经过科研单位、企业的专家以及业内人士共同努力，协力工作，目前协力工作，目前信息安全风险评估指南信息安全风险评估指南等标

2、准的编制等标准的编制工作已基本完成。工作已基本完成。 现将有关情况简要汇报如下。现将有关情况简要汇报如下。 3汇报内容汇报内容一、标准的编制过程一、标准的编制过程二、标准的主要内容二、标准的主要内容三、下一步工作的几点思考三、下一步工作的几点思考4汇报内容汇报内容一、标准的编制过程一、标准的编制过程二、标准的主要内容二、标准的主要内容三、下一步工作的几点思考三、下一步工作的几点思考5一、标准的编制过程一、标准的编制过程1 1、前期研究准备、前期研究准备2 2、标准草案编制标准草案编制3 3、试点实践验证、试点实践验证6一、标准的编制过程一、标准的编制过程1 1、前期研究准备、前期研究准备2 2

3、、标准草案编制标准草案编制3 3、试点实践验证、试点实践验证7 1、前期研究准备、前期研究准备 8 9一、标准的编制过程一、标准的编制过程1 1、前期研究准备、前期研究准备2 2、标准草案编制标准草案编制3 3、试点实践验证、试点实践验证10 11 12 在在标准编制的过程中，标准起草组多次与相关主标准编制的过程中，标准起草组多次与相关主管部门所属机构的专家代表就技术标准有关主体内容进行管部门所属机构的专家代表就技术标准有关主体内容进行会商；会商；向相关单位发放标准文本，向相关单位发放标准文本，通过电子邮件等形式广通过电子邮件等形式广泛征求业界意见；召开标准讨论会议三十几次，共收集近泛征求业界

4、意见；召开标准讨论会议三十几次，共收集近100100条修改意见。条修改意见。 起草组逐一对修改意见进行研究，在充分吸纳合理成起草组逐一对修改意见进行研究，在充分吸纳合理成份的基础上，对份的基础上，对信息安全风险评估指南信息安全风险评估指南等标准进行了等标准进行了较大幅度的修改，使标准的体系结构更趋完善、合理。较大幅度的修改，使标准的体系结构更趋完善、合理。13一、标准的制定过程一、标准的制定过程1 1、前期研究准备、前期研究准备2 2、标准草案编制标准草案编制3 3、试点实践验证、试点实践验证14 3、试点实践验证、试点实践验证 20052005年年2 2月月, , 根据根据国信办国信办200

5、5420054号和号和5 5号文件，号文件，关于在银行、税务、电力等部门和电子政务外网，以及北关于在银行、税务、电力等部门和电子政务外网，以及北京、上海、黑龙江、云南等省市，开展信息安全风险评估京、上海、黑龙江、云南等省市，开展信息安全风险评估试点工作的要求，标准起草组配合风险评估试点工作专家试点工作的要求，标准起草组配合风险评估试点工作专家组开展了以下工作：组开展了以下工作： -为各试点单位提供标准草案文本和相关说明；为各试点单位提供标准草案文本和相关说明； -在试点准备阶段与各试点单位的技术骨干进行标在试点准备阶段与各试点单位的技术骨干进行标 准技术交流；准技术交流； -根据标准草案文本涉

6、及的关键技术，起草组成员根据标准草案文本涉及的关键技术，起草组成员 选择试点环节参与实际试点；选择试点环节参与实际试点； -在试点过程中，先后几次召开标准研讨会，征求在试点过程中，先后几次召开标准研讨会，征求 各单位对标准的意见与建议。各单位对标准的意见与建议。 15 整整个试点工作历时个试点工作历时7 7个月，个月，各试点单位对标准草案各试点单位对标准草案先后提出先后提出40 多条补充修改意见，标准起草组多条补充修改意见，标准起草组根据试点结根据试点结果果先后进行了三次较大规模的修改。主要内容包括：先后进行了三次较大规模的修改。主要内容包括： -细化了资产的分类方法、脆弱性的识别要求，修细化

7、了资产的分类方法、脆弱性的识别要求，修 改并细化了风险计算的方法；改并细化了风险计算的方法； -对自评估、检查评估不同评估形式的内容与实施对自评估、检查评估不同评估形式的内容与实施 的重点进行了区分；的重点进行了区分； -对风险评估的工具进行了梳理和区分，形成了现对风险评估的工具进行了梳理和区分，形成了现 在的几种类型；在的几种类型； -细化了生命周期不同阶段风险评估的主要内容。细化了生命周期不同阶段风险评估的主要内容。 试点实践证明，试行标准基本满足各试点单位评估试点实践证明，试行标准基本满足各试点单位评估工作的需求。工作的需求。 16 20052005年年9 9月月1616日，日，信息安全

8、风险评估信息安全风险评估指南指南顺利通过由周仲义院士主持的第一次评顺利通过由周仲义院士主持的第一次评审。审。 10 10月月2727日第二次专家评审会上，参评专家日第二次专家评审会上，参评专家一致认为指南的操作性较强，对开展风险评估一致认为指南的操作性较强，对开展风险评估工作具有指导作用，并在国信办组织的风险评工作具有指导作用，并在国信办组织的风险评估试点中得到了进一步的实践验证和充实完善，估试点中得到了进一步的实践验证和充实完善，达到国家标准送审稿的要求，同意通过评审。达到国家标准送审稿的要求，同意通过评审。 12 12月月1414日日, ,由安标委第五工作组主持召开由安标委第五工作组主持召

9、开了由沈昌祥院士为专家组组长的了由沈昌祥院士为专家组组长的信息安全风信息安全风险评估指南险评估指南（送审稿）专家评审会（送审稿）专家评审会, ,得到与会得到与会专家的一致肯定并通过评审。专家的一致肯定并通过评审。17汇报内容汇报内容一、标准的编制过程一、标准的编制过程二、标准的主要内容二、标准的主要内容三、下一步工作的几点思考三、下一步工作的几点思考18二、标准的主要内容二、标准的主要内容1 1、什么是风险评估、什么是风险评估2 2、为什么要做风险评估、为什么要做风险评估3 3、风险评估怎么做、风险评估怎么做19二、标准的主要内容二、标准的主要内容1 1、什么是风险评估、什么是风险评估2 2、

10、为什么要做风险评估、为什么要做风险评估3 3、风险评估怎么做、风险评估怎么做201 1、什么是风险评估、什么是风险评估 信信息安全风险评估，是从风险管理角息安全风险评估，是从风险管理角度，运用科学的方法和手段，系统地分析网度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策程度，提出有针对性的抵御威胁的防护对策和整改措施。并为防范和化解信息安全风险，和整改措施。并为防范和化解信息安全风险，或者将风险控制在可接受的水平，从

11、而最大或者将风险控制在可接受的水平，从而最大限度地保障网络和信息安全提供科学依据限度地保障网络和信息安全提供科学依据（国信国信办办2006520065号文件号文件）。）。21风险评估要素关系图风险评估要素关系图 22风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ; 23风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ; 24风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ; 25风险评

12、估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ; 26风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ; 27风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ; 28风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 29风险评估要素关系图风险评估

13、要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 30风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 31风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 32风险评估要素关系图风

14、险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 33风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 34风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本

15、要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。 35风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；3

16、6风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；赖程度

17、越高，资产价值就越大；37风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与这些要素相椭圆部分的内容是与这些要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高

18、，资产价值就越大；赖程度越高，资产价值就越大；（3 3）风险是由威胁引发的，资产面临的威胁越多则）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；风险越大，并可能演变成安全事件；38风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战

19、略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；赖程度越高，资产价值就越大；（3 3）风险是由威胁引发的，资产面临的威胁越多则）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；风险越大，并可能演变成安全事件；（4 4）资产的脆弱性可以暴露资产的价值，资产具有）资产的脆弱性可以暴露资产的价值，资产具有的弱点越多则风险越大；的弱点越多则风险越大；39风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框

20、部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；赖程度越高，资产价值就越大；（3 3）风险是由威胁引发的，资产面临的威胁越多则）风险是

21、由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；风险越大，并可能演变成安全事件；（4 4）资产的脆弱性可以暴露资产的价值，资产具有）资产的脆弱性可以暴露资产的价值，资产具有的弱点越多则风险越大；的弱点越多则风险越大；（5 5）脆弱性是未被满足的安全需求，威胁利用脆弱）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；性危害资产；40风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基

22、本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；赖程度越高，资产价值就越大；（3 3）风险是由威胁引发的，资产面临的威胁越多则）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；风险越大，并可能演变成安全事件；（4 4）资产的脆弱性可以暴露资产的价值，资产具有）资产的脆弱性可以暴

23、露资产的价值，资产具有的弱点越多则风险越大；的弱点越多则风险越大；（5 5）脆弱性是未被满足的安全需求，威胁利用脆弱）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；性危害资产；（6 6）风险的存在及对风险的认识导出安全需求；）风险的存在及对风险的认识导出安全需求；41风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的

24、各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；赖程度越高，资产价值就越大；（3 3）风险是由威胁引发的，资产面临的威胁越多则）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；风险越大，并可能演变成安全事件；（4 4）资产的脆弱性可以暴露资产的价值，资产具有）资产的脆弱性可以暴露资产的价值，资产具有的弱点越多则风险越大；的弱点越多则风险越大；（5 5）脆弱

25、性是未被满足的安全需求，威胁利用脆弱）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；性危害资产；（6 6）风险的存在及对风险的认识导出安全需求；）风险的存在及对风险的认识导出安全需求；（7 7）安全需求可通过安全措施得以满足，需要结合）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；资产价值考虑实施成本；42风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分

26、考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；赖程度越高，资产价值就越大；（3 3）风险是由威胁引发的，资产面临的威胁越多则）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；风险越大，并可能演变成安全事件；（4 4）资产的脆弱性可以暴露资产的价值，资产具有）资产的脆弱性可以暴露资产的价值，资产具有的

27、弱点越多则风险越大；的弱点越多则风险越大；（5 5）脆弱性是未被满足的安全需求，威胁利用脆弱）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；性危害资产；（6 6）风险的存在及对风险的认识导出安全需求；）风险的存在及对风险的认识导出安全需求；（7 7）安全需求可通过安全措施得以满足，需要结合）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；资产价值考虑实施成本；（8 8）安全措施可抵御威胁，降低风险；）安全措施可抵御威胁，降低风险；43风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与基本

28、要素相椭圆部分的内容是与基本要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；赖程度越高，资产价值就越大；（3 3）风险是由威胁引发的，资产面临的威胁越多则）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件

29、；风险越大，并可能演变成安全事件；（4 4）资产的脆弱性可以暴露资产的价值，资产具有）资产的脆弱性可以暴露资产的价值，资产具有的弱点越多则风险越大；的弱点越多则风险越大；（5 5）脆弱性是未被满足的安全需求，威胁利用脆弱）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；性危害资产；（6 6）风险的存在及对风险的认识导出安全需求；）风险的存在及对风险的认识导出安全需求；（7 7）安全需求可通过安全措施得以满足，需要结合）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；资产价值考虑实施成本；（8 8）安全措施可抵御威胁，降低风险；）安全措施可抵御威胁，降低风险；（9 9）残余风险

30、是未被安全措施控制的风险。有些是）残余风险是未被安全措施控制的风险。有些是安全措施不当或无效安全措施不当或无效, ,需要加强才可控制的风险；而需要加强才可控制的风险；而有些则是在综合考虑了安全成本与效益后未去控制的有些则是在综合考虑了安全成本与效益后未去控制的风险；风险；44风险评估要素关系图风险评估要素关系图 图中方框部分的内容为风险评估的基图中方框部分的内容为风险评估的基本要素本要素; ;椭圆部分的内容是与这些要素相椭圆部分的内容是与这些要素相关的属性。关的属性。 风险评估围绕着基本要素展开，同时风险评估围绕着基本要素展开，同时需要充分考虑与基本要素相关的各类属性需要充分考虑与基本要素相关

31、的各类属性。（1 1）业务战略的实现对资产具有依赖性，依赖程度）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；越高，要求其风险越小；（2 2）资产是有价值的，组织的业务战略对资产的依）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；赖程度越高，资产价值就越大；（3 3）风险是由威胁引发的，资产面临的威胁越多则）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成安全事件；风险越大，并可能演变成安全事件；（4 4）资产的脆弱性可以暴露资产的价值，资产具有）资产的脆弱性可以暴露资产的价值，资产具有的弱点越多则风险越大；的弱点越多则风险越大；（5 5）脆

32、弱性是未被满足的安全需求，威胁利用脆弱）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；性危害资产；（6 6）风险的存在及对风险的认识导出安全需求；）风险的存在及对风险的认识导出安全需求；（7 7）安全需求可通过安全措施得以满足，需要结合）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；资产价值考虑实施成本；（8 8）安全措施可抵御威胁，降低风险；）安全措施可抵御威胁，降低风险；（9 9）残余风险是未被安全措施控制的风险。有些是）残余风险是未被安全措施控制的风险。有些是安全措施不当或无效安全措施不当或无效, ,需要加强才可控制的风险；而需要加强才可控制的风险；而有些则是在综合

33、考虑了安全成本与效益后未去控制的有些则是在综合考虑了安全成本与效益后未去控制的风险；风险；（1010）残余风险应受到密切监视，它可能会在将来诱）残余风险应受到密切监视，它可能会在将来诱发新的安全事件。发新的安全事件。45二、标准的主要内容二、标准的主要内容1 1、什么是风险评估、什么是风险评估2 2、为什么要做风险评估、为什么要做风险评估3 3、风险评估怎么做、风险评估怎么做462 2、为什么要做风险评估、为什么要做风险评估 安安全源于风险全源于风险。 在信息化建设中，建设与运营的网络与信息系统由在信息化建设中，建设与运营的网络与信息系统由于可能存在的系统设计缺陷、隐含于软硬件设备的缺陷、于可

34、能存在的系统设计缺陷、隐含于软硬件设备的缺陷、系统集成时带来的缺陷，以及可能存在的某些管理薄弱系统集成时带来的缺陷，以及可能存在的某些管理薄弱环节，尤其当网络与信息系统中拥有极为重要的信息资环节，尤其当网络与信息系统中拥有极为重要的信息资产时，都将使得面临复杂环境的网络与信息系统潜在着产时，都将使得面临复杂环境的网络与信息系统潜在着若干不同程度的安全风险。若干不同程度的安全风险。 47 风风险评估可以不断深入地发现系统建设中的安险评估可以不断深入地发现系统建设中的安全隐患，全隐患，采取或完善更加经济有效的安全保障措施，采取或完善更加经济有效的安全保障措施，来来消除安全建设中的盲目乐观或盲目恐惧

35、，提出有针消除安全建设中的盲目乐观或盲目恐惧，提出有针对性的从实际出发的解决方法，提高系统安全的科学对性的从实际出发的解决方法，提高系统安全的科学管理水平，进而全面提升网络与信息系统的安全保障管理水平，进而全面提升网络与信息系统的安全保障能力。能力。 48二、标准的主要内容二、标准的主要内容1 1、什么是风险评估、什么是风险评估2 2、为什么要做风险评估、为什么要做风险评估3 3、风险评估怎么做、风险评估怎么做493 3、风险评估怎么做、风险评估怎么做503 3、风险评估怎么做、风险评估怎么做513 3、风险评估怎么做、风险评估怎么做523 3、风险评估怎么做、风险评估怎么做533 3、风险评

36、估怎么做、风险评估怎么做543 3、风险评估怎么做、风险评估怎么做553 3、风险评估怎么做、风险评估怎么做563 3、风险评估怎么做、风险评估怎么做573 3、风险评估怎么做、风险评估怎么做583 3、风险评估怎么做、风险评估怎么做593 3、风险评估怎么做、风险评估怎么做603 3、风险评估怎么做、风险评估怎么做613 3、风险评估怎么做、风险评估怎么做623 3、风险评估怎么做、风险评估怎么做63 实施步骤实施步骤(1) (1) 风险评估的准备风险评估的准备(2) (2) 资产识别资产识别(3) (3) 威胁识别威胁识别(4) (4) 脆弱性识别脆弱性识别(5) (5) 已有安全措施的确

37、认已有安全措施的确认(6) (6) 风险分析风险分析(7) (7) 风险评估文件记录风险评估文件记录64 实施步骤实施步骤(1) (1) 风险评估的准备风险评估的准备(2) (2) 资产识别资产识别(3) (3) 威胁识别威胁识别(4) (4) 脆弱性识别脆弱性识别(5) (5) 已有安全措施的确认已有安全措施的确认(6) (6) 风险分析风险分析(7) (7) 风险评估文件记录风险评估文件记录65 (1)(1)风险风险评估的准备评估的准备1 1）确定风险评估的目标；）确定风险评估的目标；2 2）确定风险评估的范围；）确定风险评估的范围；3 3）组建适当的评估管理与实施团队；）组建适当的评估管

38、理与实施团队；4 4）进行系统调研；）进行系统调研；5 5）确定评估依据和方法）确定评估依据和方法 ；6 6）获得最高管理者对风险评估工作的支持。）获得最高管理者对风险评估工作的支持。66 实施步骤实施步骤(1) (1) 风险评估的准备风险评估的准备(2) (2) 资产识别资产识别(3) (3) 威胁识别威胁识别(4) (4) 脆弱性识别脆弱性识别(5) (5) 已有安全措施的确认已有安全措施的确认(6) (6) 风险分析风险分析(7) (7) 风险评估文件记录风险评估文件记录67 (2)(2)资产识别资产识别1 1）资产分类）资产分类2 2）资产赋值）资产赋值3 3）资产等级）资产等级 68

39、资产分类资产分类分类分类示例示例数据数据存在信息媒介上的各种数据资料，包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册等软件软件系统软件： 操作系统、语句包、工具软件、各种库等应用软件： 外部购买的应用软件，外包开发的应用软件等源程序： 各种共享源代码、可执行程序、自行或合作开发的各种程序等硬件硬件网络设备： 路由器、网关、交换机等计算机设备： 大型机、小型机、服务器、工作站、台式计算机、移动计算机等存储设备： 磁带机、磁盘阵列等移动存储设备：磁带、光盘、软盘、U盘、移动硬盘等传输线路： 光纤、双绞线等保障设备： 动力保障设备（UPS、变电设备等）、空调、保险柜、文件柜、

40、门禁、消防设施等安全保障设备：防火墙、入侵检测系统、身份验证等其他电子设备：打印机、复印机、扫描仪、传真机等服务服务办公服务： 为提高效率而开发的管理信息系统（MIS）， 它包括各种内部配置管理、文件流转管理等服务网络服务： 各种网络设备、设施提供的网络连接服务信息服务： 对外依赖该系统开展服务而取得业务收入的服务文档文档纸质的各种文件、传真、电报、财务报告、发展计划等人员人员掌握重要信息和核心业务的人员，如主机维护主管、网络维护主管及应用项目经理及网络研发人员等其它其它企业形象，客户关系等69资产赋值资产赋值 资资产赋值主要考虑资产的安全状况对于系产赋值主要考虑资产的安全状况对于系统或组织的

41、重要性，对资产在机密性、完整性和统或组织的重要性，对资产在机密性、完整性和可用性上的达成程度进行综合评定得出。可用性上的达成程度进行综合评定得出。综合评综合评定方法可以根据业务特点，选择对资产三性最为定方法可以根据业务特点，选择对资产三性最为重要的一个属性的赋值等级作为资产的最终赋值重要的一个属性的赋值等级作为资产的最终赋值结果，也可以进行加权计算而得到资产的最终赋结果，也可以进行加权计算而得到资产的最终赋值。值。70资产等级资产等级等级等级标识标识定义定义5 5很高非常重要，其安全属性破坏后可能对组织造成非常严重的损失4 4高重要，其安全属性破坏后可能对组织造成比较严重的损失3 3中比较重要

42、，其安全属性破坏后可能对组织造成中等程度的损失2 2低不太重要，其安全属性破坏后可能对组织造成较低的损失1 1很低不重要，其安全属性破坏后对组织造成导很小的损失，甚至忽略不计71 实施步骤实施步骤(1) (1) 风险评估的准备风险评估的准备(2) (2) 资产识别资产识别(3) (3) 威胁识别威胁识别(4) (4) 脆弱性识别脆弱性识别(5) (5) 已有安全措施的确认已有安全措施的确认(6) (6) 风险分析风险分析(7) (7) 风险评估文件记录风险评估文件记录72 (3)(3)威胁识别威胁识别1 1）威胁来源）威胁来源2 2）威胁分类）威胁分类3 3）威胁赋值）威胁赋值4 4）威胁等级

43、）威胁等级73威胁来源威胁来源来源描述环境因素由于断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境条件和自然灾害；意外事故或由于软件、硬件、数据、通讯线路方面的故障人为因素恶意人员不满的或有预谋的内部人员对信息系统进行恶意破坏；采用自主的或内外勾结的方式盗窃机密信息或进行篡改，获取利益外部人员利用信息系统的脆弱性，对网络和系统的机密性、完整性和可用性进行破坏，以获取利益或炫耀能力无恶意人员内部人员由于缺乏责任心，或者由于不关心和不专注，或者没有遵循规章制度和操作流程而导致故障或被攻击；内部人员由于缺乏培训，专业技能不足,不具备岗位技能要求而导致信息系统故障或被攻击74威

44、胁分类威胁分类种类种类描述描述软硬件故障由于设备硬件故障、通讯链路中断、系统本身或软件Bug导致对业务高效稳定运行的影响物理环境威胁断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、洪灾、火灾、地震等环境问题和自然灾害无作为或操作失误由于应该执行而没有执行相应的操作，或无意地执行了错误的操作，对系统造成影响管理不到位安全管理无法落实，不到位，造成安全管理不规范，或者管理混乱，从而破坏信息系统正常有序运行恶意代码和病毒具有自我复制、自我传播能力，对信息系统构成破坏的程序代码越权或滥用通过采用一些措施，超越自己的权限访问了本来无权访问的资源；或者滥用自己的职权，做出破坏信息系统的行为黑客攻击技术利

45、用黑客工具和技术，例如侦察、密码猜测攻击、缓冲区溢出攻击、安装后门、嗅探、伪造和欺骗、拒绝服务攻击等手段对信息系统进行攻击和入侵物理攻击物理接触、物理破坏、盗窃泄密机密泄漏，机密信息泄漏给他人篡改非法修改信息，破坏信息的完整性抵赖不承认收到的信息和所作的操作和交易75威胁赋值威胁赋值 判判断威胁出现的频率是威胁赋值的重要内容，断威胁出现的频率是威胁赋值的重要内容，评估者应根据经验和（或）有关的统计数据来进行判断。评估者应根据经验和（或）有关的统计数据来进行判断。76威胁等级威胁等级等级等级标识标识定义定义5 5很高出现的频率很高（或1 次/周）；或在大多数情况下几乎不可避免；或可以证实经常发生

46、过4 4高出现的频率较高（或 1 次/月）；或在大多数情况下很有可能会发生；或可以证实多次发生过3 3中出现的频率中等（或 1 次/半年）；或在某种情况下可能会发生；或被证实曾经发生过2 2低出现的频率较小；或一般不太可能发生；或没有被证实发生过1 1很低威胁几乎不可能发生，仅可能在非常罕见和例外的情况下发生77 实施步骤实施步骤(1) (1) 风险评估的准备风险评估的准备(2) (2) 资产识别资产识别(3) (3) 威胁识别威胁识别(4) (4) 脆弱性识别脆弱性识别(5) (5) 已有安全措施的确认已有安全措施的确认(6) (6) 风险分析风险分析(7) (7) 风险评估文件记录风险评估

47、文件记录78 (4)(4)脆弱性识别脆弱性识别1 1）脆弱性识别内容）脆弱性识别内容2 2）脆弱性分类）脆弱性分类3 3）脆弱性赋值）脆弱性赋值4 4）脆弱性等级）脆弱性等级79脆弱性识别内容脆弱性识别内容 80脆弱性分类脆弱性分类类型类型识别对象识别对象识别内容识别内容技术脆弱性物理环境从机房场地、机房防火、机房供配电、机房防静电、机房接地与防雷、电磁防护、通信线路的保护、机房区域防护、机房设备管理等方面进行识别。网络结构从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别。系统软件（包括操作系统 及系统服务）从物理保护、用户账号、口令策略、资源共享、

48、事件审计、访问控制、新系统配置（初始化）、注册表加固、网络安全、系统管理等方面进行识别。数据库软件从补丁安装、鉴别机制、口令机制、访问控制、网络和服务设置、备份恢复机制、审计机制等方面进行识别。应用中间件主要从协议安全以及交易完整性和数据完整性等方面进行识别。应用系统审计机制、审计存储、访问控制策略、数据完整性、通信、鉴别机制、密码保护等方面进行识别。管理脆弱性技术管理物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性。组织管理安全策略、组织安全、资产分类与控制、人员安全、符合性81脆弱性赋值脆弱性赋值 可可以根据对资产的损害程度、技术实现的难易以根据对资产的损害程度、技术实

49、现的难易程度、弱点的流行程度，采用等级方式对已识别的脆弱程度、弱点的流行程度，采用等级方式对已识别的脆弱性的严重程度进行赋值。性的严重程度进行赋值。82脆弱性等级脆弱性等级等级等级标识标识定义定义5 5很高如果被威胁利用，将对资产造成完全损害4 4高如果被威胁利用，将对资产造成重大损害3 3中如果被威胁利用，将对资产造成一般损害 2 2低如果被威胁利用，将对资产造成较小损害 1 1很低如果被威胁利用，将对资产造成的损害可以忽略 83 实施步骤实施步骤(1) (1) 风险评估的准备风险评估的准备(2) (2) 资产识别资产识别(3) (3) 威胁识别威胁识别(4) (4) 脆弱性识别脆弱性识别(

50、5) (5) 已有安全措施的确认已有安全措施的确认(6) (6) 风险分析风险分析(7) (7) 风险评估文件记录风险评估文件记录84 (5) (5)已有安全措施的确认已有安全措施的确认 在在识别脆弱性的同时，评估人员应对已采取的安识别脆弱性的同时，评估人员应对已采取的安全措施的有效性进行确认，即安全措施是否真正地降低了全措施的有效性进行确认，即安全措施是否真正地降低了系统的脆弱性，抵御了威胁。安全措施可以分为预防性安系统的脆弱性，抵御了威胁。安全措施可以分为预防性安全措施和保护性安全措施两种。全措施和保护性安全措施两种。 85 实施步骤实施步骤(1) (1) 风险评估的准备风险评估的准备(2