我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估工作的現(xiàn)狀與發(fā)展課件

1、SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估工作的現(xiàn)狀與發(fā)展國(guó)家信息中心國(guó)家信息

2、中心 信息安全研究與服務(wù)中心信息安全研究與服務(wù)中心SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 一、信息安全風(fēng)險(xiǎn)評(píng)估概述一、信息安全風(fēng)險(xiǎn)評(píng)估概述二、為什么要做信息安全風(fēng)險(xiǎn)評(píng)估二、為什么要做信息安全風(fēng)險(xiǎn)評(píng)估三、我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估回顧三、我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估回顧四、信息安全風(fēng)險(xiǎn)評(píng)估今后三年的發(fā)展四、信息安全風(fēng)險(xiǎn)評(píng)估今后三年的發(fā)展SIC INFOSEC SIC INFOSEC

3、 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估的概念信息安全風(fēng)險(xiǎn)評(píng)估的概念 信息系統(tǒng)的安全風(fēng)險(xiǎn)信息系統(tǒng)的安全風(fēng)險(xiǎn) 信息系統(tǒng)的安全風(fēng)險(xiǎn)，是指由于系統(tǒng)存在的信息系統(tǒng)的安全風(fēng)險(xiǎn)，是指由于系統(tǒng)存在的脆弱性，人為或自然的威脅導(dǎo)致安全事件發(fā)生脆弱性，人為或自然的威脅導(dǎo)致安全事件發(fā)生的可能性及其造成的影響。的可能性及其造成的影響。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC IN

4、FOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估 是指依據(jù)國(guó)家有關(guān)信息技術(shù)標(biāo)準(zhǔn)，對(duì)信息系是指依據(jù)國(guó)家有關(guān)信息技術(shù)標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行科學(xué)評(píng)價(jià)的過(guò)完整性和可用性等安全屬性進(jìn)行科學(xué)評(píng)價(jià)的過(guò)程程 它要評(píng)估信息系統(tǒng)的脆弱性、信息系統(tǒng)面它要評(píng)估信息系統(tǒng)的脆弱性、信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的臨的威脅以及脆弱性被威脅

5、源利用后所產(chǎn)生的實(shí)際負(fù)面影響，并根據(jù)安全事件發(fā)生的可能性實(shí)際負(fù)面影響，并根據(jù)安全事件發(fā)生的可能性和負(fù)面影響的程度來(lái)識(shí)別信息系統(tǒng)的安全風(fēng)險(xiǎn)和負(fù)面影響的程度來(lái)識(shí)別信息系統(tǒng)的安全風(fēng)險(xiǎn)。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估 人們的認(rèn)識(shí)能力和實(shí)踐能力是有局限性的，因人們的認(rèn)識(shí)能力和實(shí)踐能力是有局限性的，因此，信息系統(tǒng)存在脆弱性是不可避免的。

6、信息此，信息系統(tǒng)存在脆弱性是不可避免的。信息系統(tǒng)的價(jià)值及其存在的脆弱性，使信息系統(tǒng)在系統(tǒng)的價(jià)值及其存在的脆弱性，使信息系統(tǒng)在現(xiàn)實(shí)環(huán)境中，總要面臨各種人為與自然的威脅現(xiàn)實(shí)環(huán)境中，總要面臨各種人為與自然的威脅，存在安全風(fēng)險(xiǎn)也是必然的。，存在安全風(fēng)險(xiǎn)也是必然的。 信息安全建設(shè)的宗旨之一，就是在綜合考慮成信息安全建設(shè)的宗旨之一，就是在綜合考慮成本與效益的前提下，通過(guò)安全措施來(lái)控制風(fēng)險(xiǎn)本與效益的前提下，通過(guò)安全措施來(lái)控制風(fēng)險(xiǎn)，使殘余風(fēng)險(xiǎn)降低到可接受的程度。，使殘余風(fēng)險(xiǎn)降低到可接受的程度。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC

7、 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估 因?yàn)槿魏涡畔⑾到y(tǒng)都會(huì)有安全風(fēng)險(xiǎn)，所以，人因?yàn)槿魏涡畔⑾到y(tǒng)都會(huì)有安全風(fēng)險(xiǎn)，所以，人們追求的所謂安全的信息系統(tǒng)，實(shí)際是指信息們追求的所謂安全的信息系統(tǒng)，實(shí)際是指信息系統(tǒng)在實(shí)施了風(fēng)險(xiǎn)評(píng)估并做出風(fēng)險(xiǎn)控制后，仍系統(tǒng)在實(shí)施了風(fēng)險(xiǎn)評(píng)估并做出風(fēng)險(xiǎn)控制后，仍然存在的殘余風(fēng)險(xiǎn)可被接受的信息系統(tǒng)。然存在的殘余風(fēng)險(xiǎn)可被接受的信息系統(tǒng)。 因此，要追求信息系統(tǒng)的安全，就不能脫離全因此，要追求信息系統(tǒng)的安全，就不能脫離全面、完整的信息系統(tǒng)

8、的安全評(píng)估，就必須運(yùn)用面、完整的信息系統(tǒng)的安全評(píng)估，就必須運(yùn)用信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的思想和規(guī)范，對(duì)信息信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的思想和規(guī)范，對(duì)信息系統(tǒng)開(kāi)展安全風(fēng)險(xiǎn)評(píng)估。系統(tǒng)開(kāi)展安全風(fēng)險(xiǎn)評(píng)估。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風(fēng)險(xiǎn)評(píng)估的意義和作用風(fēng)險(xiǎn)評(píng)估的意義和作用1.1.風(fēng)險(xiǎn)評(píng)估是信息系統(tǒng)安全的基礎(chǔ)性工作風(fēng)險(xiǎn)評(píng)估是信息系統(tǒng)安全的基礎(chǔ)性工作 信息安全中的風(fēng)險(xiǎn)評(píng)估是傳

9、統(tǒng)的風(fēng)險(xiǎn)理論和方信息安全中的風(fēng)險(xiǎn)評(píng)估是傳統(tǒng)的風(fēng)險(xiǎn)理論和方法在信息系統(tǒng)中的運(yùn)用，是科學(xué)地分析和理解法在信息系統(tǒng)中的運(yùn)用，是科學(xué)地分析和理解信息與信息系統(tǒng)在保密性、完整性、可用性等信息與信息系統(tǒng)在保密性、完整性、可用性等方面所面臨的風(fēng)險(xiǎn)，并在風(fēng)險(xiǎn)的減少、轉(zhuǎn)移和方面所面臨的風(fēng)險(xiǎn)，并在風(fēng)險(xiǎn)的減少、轉(zhuǎn)移和規(guī)避等風(fēng)險(xiǎn)控制方法之間做出決策的過(guò)程。規(guī)避等風(fēng)險(xiǎn)控制方法之間做出決策的過(guò)程。 風(fēng)險(xiǎn)評(píng)估將導(dǎo)出信息系統(tǒng)的安全需求，因此，風(fēng)險(xiǎn)評(píng)估將導(dǎo)出信息系統(tǒng)的安全需求，因此，所有信息安全建設(shè)都應(yīng)該以風(fēng)險(xiǎn)評(píng)估為起點(diǎn)。所有信息安全建設(shè)都應(yīng)該以風(fēng)險(xiǎn)評(píng)估為起點(diǎn)。信息安全建設(shè)的最終目的是服務(wù)于信息化，但信息安全建設(shè)的最終目的是服

10、務(wù)于信息化，但其直接目的是為了控制安全風(fēng)險(xiǎn)其直接目的是為了控制安全風(fēng)險(xiǎn)。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風(fēng)險(xiǎn)評(píng)估的意義和作用風(fēng)險(xiǎn)評(píng)估的意義和作用 只有在正確、全面地了解和理解安全風(fēng)險(xiǎn)后，只有在正確、全面地了解和理解安全風(fēng)險(xiǎn)后，才能決定如何處理安全風(fēng)險(xiǎn)，從而在信息安全才能決定如何處理安全風(fēng)險(xiǎn)，從而在信息安全的投資、信息安全措施的選擇、信息安全保障的投資、信息安

11、全措施的選擇、信息安全保障體系的建設(shè)等問(wèn)題中做出合理的決策。體系的建設(shè)等問(wèn)題中做出合理的決策。 進(jìn)一步，持續(xù)的風(fēng)險(xiǎn)評(píng)估工作可以成為檢查信進(jìn)一步，持續(xù)的風(fēng)險(xiǎn)評(píng)估工作可以成為檢查信息系統(tǒng)本身乃至信息系統(tǒng)擁有單位的績(jī)效的有息系統(tǒng)本身乃至信息系統(tǒng)擁有單位的績(jī)效的有力手段，風(fēng)險(xiǎn)評(píng)估的結(jié)果能夠供相關(guān)主管單位力手段，風(fēng)險(xiǎn)評(píng)估的結(jié)果能夠供相關(guān)主管單位參考，并使主管單位通過(guò)行政手段對(duì)信息系統(tǒng)參考，并使主管單位通過(guò)行政手段對(duì)信息系統(tǒng)的立項(xiàng)、投資、運(yùn)行產(chǎn)生影響，促進(jìn)信息系統(tǒng)的立項(xiàng)、投資、運(yùn)行產(chǎn)生影響，促進(jìn)信息系統(tǒng)擁有單位加強(qiáng)信息安全建設(shè)。擁有單位加強(qiáng)信息安全建設(shè)。SIC INFOSEC SIC INFOSEC SI

12、C INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風(fēng)險(xiǎn)評(píng)估的意義和作用風(fēng)險(xiǎn)評(píng)估的意義和作用2 2. .風(fēng)險(xiǎn)評(píng)估是分級(jí)防護(hù)和突出重點(diǎn)的具體體現(xiàn)風(fēng)險(xiǎn)評(píng)估是分級(jí)防護(hù)和突出重點(diǎn)的具體體現(xiàn)信息安全建設(shè)的基本原則包括必須從實(shí)際出發(fā)，堅(jiān)持分級(jí)防護(hù)、信息安全建設(shè)的基本原則包括必須從實(shí)際出發(fā)，堅(jiān)持分級(jí)防護(hù)、突出重點(diǎn)。突出重點(diǎn)。風(fēng)險(xiǎn)評(píng)估正是這一要求在實(shí)際工作中的具體體現(xiàn)。風(fēng)險(xiǎn)評(píng)估正是這一要求在實(shí)際工作中的具體體現(xiàn)。從理論上講，不存在絕對(duì)的安全，實(shí)

13、踐中也不可能做到絕對(duì)安全從理論上講，不存在絕對(duì)的安全，實(shí)踐中也不可能做到絕對(duì)安全，風(fēng)險(xiǎn)總是客觀存在的。，風(fēng)險(xiǎn)總是客觀存在的。安全是風(fēng)險(xiǎn)與成本的綜合平衡。安全是風(fēng)險(xiǎn)與成本的綜合平衡。盲目追求安全和完全回避風(fēng)險(xiǎn)是不現(xiàn)實(shí)的，也不是分級(jí)防護(hù)原則盲目追求安全和完全回避風(fēng)險(xiǎn)是不現(xiàn)實(shí)的，也不是分級(jí)防護(hù)原則所要求的。所要求的。要從實(shí)際出發(fā)，堅(jiān)持分級(jí)防護(hù)、突出重點(diǎn)，就必須正確地評(píng)估風(fēng)要從實(shí)際出發(fā)，堅(jiān)持分級(jí)防護(hù)、突出重點(diǎn)，就必須正確地評(píng)估風(fēng)險(xiǎn)，以便采取科學(xué)、客觀、經(jīng)濟(jì)和有效的措施。險(xiǎn)，以便采取科學(xué)、客觀、經(jīng)濟(jì)和有效的措施。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSE

14、C SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風(fēng)險(xiǎn)評(píng)估的意義和作用風(fēng)險(xiǎn)評(píng)估的意義和作用3. 3. 加強(qiáng)風(fēng)險(xiǎn)評(píng)估工作是當(dāng)前信息安全工作的客觀需要和緊迫需求加強(qiáng)風(fēng)險(xiǎn)評(píng)估工作是當(dāng)前信息安全工作的客觀需要和緊迫需求由于信息技術(shù)的飛速發(fā)展，關(guān)系國(guó)計(jì)民生的關(guān)鍵信息基礎(chǔ)設(shè)施的由于信息技術(shù)的飛速發(fā)展，關(guān)系國(guó)計(jì)民生的關(guān)鍵信息基礎(chǔ)設(shè)施的規(guī)模越來(lái)越大，同時(shí)也極大地增加了系統(tǒng)的復(fù)雜程度。規(guī)模越來(lái)越大，同時(shí)也極大地增加了系統(tǒng)的復(fù)雜程度。發(fā)達(dá)國(guó)家越來(lái)越重視信息安全風(fēng)險(xiǎn)評(píng)估工作，提倡風(fēng)險(xiǎn)評(píng)估

15、制度發(fā)達(dá)國(guó)家越來(lái)越重視信息安全風(fēng)險(xiǎn)評(píng)估工作，提倡風(fēng)險(xiǎn)評(píng)估制度化。他們提出，沒(méi)有有效的風(fēng)險(xiǎn)評(píng)估，便會(huì)導(dǎo)致信息安全需求與化。他們提出，沒(méi)有有效的風(fēng)險(xiǎn)評(píng)估，便會(huì)導(dǎo)致信息安全需求與安全解決方案的嚴(yán)重脫離。因此，他們強(qiáng)調(diào)安全解決方案的嚴(yán)重脫離。因此，他們強(qiáng)調(diào)“沒(méi)有任何事情比解沒(méi)有任何事情比解決錯(cuò)誤的問(wèn)題和建立錯(cuò)誤的系統(tǒng)更沒(méi)有效率的了。決錯(cuò)誤的問(wèn)題和建立錯(cuò)誤的系統(tǒng)更沒(méi)有效率的了?！边@些發(fā)達(dá)國(guó)這些發(fā)達(dá)國(guó)家近年來(lái)大力加強(qiáng)了以風(fēng)險(xiǎn)評(píng)估為核心的信息系統(tǒng)安全評(píng)估工作家近年來(lái)大力加強(qiáng)了以風(fēng)險(xiǎn)評(píng)估為核心的信息系統(tǒng)安全評(píng)估工作，并通過(guò)法規(guī)、標(biāo)準(zhǔn)手段加以保障，逐步以此形成了橫跨立法、，并通過(guò)法規(guī)、標(biāo)準(zhǔn)手段加以保障，逐步以此

16、形成了橫跨立法、行政、司法的完整的信息安全管理體系。行政、司法的完整的信息安全管理體系。在我國(guó)目前的國(guó)情下，為加強(qiáng)宏觀信息安全管理，促進(jìn)信息安全在我國(guó)目前的國(guó)情下，為加強(qiáng)宏觀信息安全管理，促進(jìn)信息安全保障體系建設(shè)，就必須加強(qiáng)風(fēng)險(xiǎn)評(píng)估工作，并逐步使風(fēng)險(xiǎn)評(píng)估工保障體系建設(shè)，就必須加強(qiáng)風(fēng)險(xiǎn)評(píng)估工作，并逐步使風(fēng)險(xiǎn)評(píng)估工作朝向制度化的方向發(fā)展。作朝向制度化的方向發(fā)展。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC

17、SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估的目標(biāo)和目的信息安全風(fēng)險(xiǎn)評(píng)估的目標(biāo)和目的 信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的總體目標(biāo)是：信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的總體目標(biāo)是： 服務(wù)于國(guó)家信息化發(fā)展，促進(jìn)信息安全保障服務(wù)于國(guó)家信息化發(fā)展，促進(jìn)信息安全保障體系的建設(shè)，提高信息系統(tǒng)的安全保護(hù)能力。體系的建設(shè)，提高信息系統(tǒng)的安全保護(hù)能力。 信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的目的是：信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的目的是： 認(rèn)清信息安全環(huán)境、信息安全狀況；有助于認(rèn)清信息安全環(huán)境、信息安全狀況；有助于達(dá)成共識(shí)，明確責(zé)任；采取或完善安全保障措達(dá)成共識(shí)，明確責(zé)任；采取或完善安全保障措施，使其更加經(jīng)濟(jì)有效，并使信息安全策略保施，使其更加經(jīng)濟(jì)有效，并

18、使信息安全策略保持一致性和持續(xù)性。持一致性和持續(xù)性。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估的基本要素信息安全風(fēng)險(xiǎn)評(píng)估的基本要素 使命：使命：一個(gè)單位通過(guò)信息化實(shí)現(xiàn)的工作任務(wù)。一個(gè)單位通過(guò)信息化實(shí)現(xiàn)的工作任務(wù)。 依賴度依賴度：一個(gè)單位的使命對(duì)信息系統(tǒng)和信息的依靠程：一個(gè)單位的使命對(duì)信息系統(tǒng)和信息的依靠程度。度。 資產(chǎn)：資產(chǎn)：通過(guò)信息化建設(shè)積累起來(lái)的

19、信息系統(tǒng)、信息、通過(guò)信息化建設(shè)積累起來(lái)的信息系統(tǒng)、信息、生產(chǎn)或服務(wù)能力、人員能力和贏得的信譽(yù)等。生產(chǎn)或服務(wù)能力、人員能力和贏得的信譽(yù)等。 價(jià)值：價(jià)值：資產(chǎn)的重要程度和敏感程度。資產(chǎn)的重要程度和敏感程度。 威脅：威脅：一個(gè)單位的信息資產(chǎn)的安全可能受到的侵害。一個(gè)單位的信息資產(chǎn)的安全可能受到的侵害。威脅由多種屬性來(lái)刻畫(huà)：威脅的主體（威脅源）、能威脅由多種屬性來(lái)刻畫(huà)：威脅的主體（威脅源）、能力、資源、動(dòng)機(jī)、途徑、可能性和后果。力、資源、動(dòng)機(jī)、途徑、可能性和后果。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSE

20、C SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估的基本要素信息安全風(fēng)險(xiǎn)評(píng)估的基本要素 脆弱性：脆弱性：信息資產(chǎn)及其防護(hù)措施在安全方面的信息資產(chǎn)及其防護(hù)措施在安全方面的不足和弱點(diǎn)。脆弱性也常常被稱為漏洞。不足和弱點(diǎn)。脆弱性也常常被稱為漏洞。 風(fēng)險(xiǎn)：風(fēng)險(xiǎn)：由于系統(tǒng)存在的脆弱性，人為或自然的由于系統(tǒng)存在的脆弱性，人為或自然的威脅導(dǎo)致安全事件發(fā)生的可能性及其造成的影威脅導(dǎo)致安全事件發(fā)生的可能性及其造成的影響。它由安全事件發(fā)生的可能性及其造成的影響。它由安全事件發(fā)生的可能性及其造成的影響這兩種指標(biāo)來(lái)衡量。

21、響這兩種指標(biāo)來(lái)衡量。 殘余風(fēng)險(xiǎn)：殘余風(fēng)險(xiǎn)：采取了安全防護(hù)措施，提高了防護(hù)采取了安全防護(hù)措施，提高了防護(hù)能力后，仍然可能存在的風(fēng)險(xiǎn)。能力后，仍然可能存在的風(fēng)險(xiǎn)。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估的基本要素信息安全風(fēng)險(xiǎn)評(píng)估的基本要素 安全需求：安全需求：為保證單位的使命能夠正常行使，為保證單位的使命能夠正常行使，在信息安全防護(hù)措施方面提出的要求。在

22、信息安全防護(hù)措施方面提出的要求。 安全防護(hù)措施：安全防護(hù)措施：對(duì)付威脅，減少脆弱性，保護(hù)對(duì)付威脅，減少脆弱性，保護(hù)資產(chǎn)，限制意外事件的影響，檢測(cè)、響應(yīng)意外資產(chǎn)，限制意外事件的影響，檢測(cè)、響應(yīng)意外事件，促進(jìn)災(zāi)難恢復(fù)和打擊信息犯罪而實(shí)施的事件，促進(jìn)災(zāi)難恢復(fù)和打擊信息犯罪而實(shí)施的各種實(shí)踐、規(guī)程和機(jī)制的總稱。各種實(shí)踐、規(guī)程和機(jī)制的總稱。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC

23、 風(fēng)險(xiǎn)評(píng)估對(duì)信息系統(tǒng)生命周期的支持風(fēng)險(xiǎn)評(píng)估對(duì)信息系統(tǒng)生命周期的支持生命周期階段生命周期階段階段特征階段特征來(lái)自風(fēng)險(xiǎn)管理活動(dòng)的支持來(lái)自風(fēng)險(xiǎn)管理活動(dòng)的支持階段階段1規(guī)劃和啟動(dòng)規(guī)劃和啟動(dòng)提出信息系統(tǒng)的目的、需求、規(guī)模提出信息系統(tǒng)的目的、需求、規(guī)模和安全要求。和安全要求。風(fēng)險(xiǎn)評(píng)估活動(dòng)可用于確定信息系統(tǒng)安風(fēng)險(xiǎn)評(píng)估活動(dòng)可用于確定信息系統(tǒng)安全需求。全需求。階段階段2設(shè)計(jì)開(kāi)發(fā)或采購(gòu)設(shè)計(jì)開(kāi)發(fā)或采購(gòu)信息系統(tǒng)設(shè)計(jì)、購(gòu)買(mǎi)、開(kāi)發(fā)或建造信息系統(tǒng)設(shè)計(jì)、購(gòu)買(mǎi)、開(kāi)發(fā)或建造。在本階段標(biāo)識(shí)的風(fēng)險(xiǎn)可以用來(lái)為信息在本階段標(biāo)識(shí)的風(fēng)險(xiǎn)可以用來(lái)為信息系統(tǒng)的安全分析提供支持，這可能會(huì)系統(tǒng)的安全分析提供支持，這可能會(huì)影響到系統(tǒng)在開(kāi)發(fā)過(guò)程中要對(duì)體

24、系結(jié)影響到系統(tǒng)在開(kāi)發(fā)過(guò)程中要對(duì)體系結(jié)構(gòu)和設(shè)計(jì)方案進(jìn)行權(quán)衡。構(gòu)和設(shè)計(jì)方案進(jìn)行權(quán)衡。階段階段3集成實(shí)現(xiàn)集成實(shí)現(xiàn)信息系統(tǒng)的安全特性應(yīng)該被配置、信息系統(tǒng)的安全特性應(yīng)該被配置、激活、測(cè)試并得到驗(yàn)證。激活、測(cè)試并得到驗(yàn)證。風(fēng)險(xiǎn)評(píng)估可支持對(duì)系統(tǒng)實(shí)現(xiàn)效果的評(píng)風(fēng)險(xiǎn)評(píng)估可支持對(duì)系統(tǒng)實(shí)現(xiàn)效果的評(píng)價(jià)，考察其是否能滿足要求，并考察價(jià)，考察其是否能滿足要求，并考察系統(tǒng)所運(yùn)行的環(huán)境是否是預(yù)期設(shè)計(jì)的系統(tǒng)所運(yùn)行的環(huán)境是否是預(yù)期設(shè)計(jì)的。有關(guān)風(fēng)險(xiǎn)的一系列決策必須在系統(tǒng)。有關(guān)風(fēng)險(xiǎn)的一系列決策必須在系統(tǒng)運(yùn)行之前做出。運(yùn)行之前做出。階段階段4運(yùn)行和維護(hù)運(yùn)行和維護(hù)信息系統(tǒng)開(kāi)始執(zhí)行其功能，一般情信息系統(tǒng)開(kāi)始執(zhí)行其功能，一般情況下系統(tǒng)要不斷修

25、改，添加硬件和況下系統(tǒng)要不斷修改，添加硬件和軟件，或改變機(jī)構(gòu)的運(yùn)行規(guī)則、策軟件，或改變機(jī)構(gòu)的運(yùn)行規(guī)則、策略或流程等。略或流程等。當(dāng)定期對(duì)系統(tǒng)進(jìn)行重新評(píng)估時(shí)，或者當(dāng)定期對(duì)系統(tǒng)進(jìn)行重新評(píng)估時(shí)，或者信息系統(tǒng)在其運(yùn)行性生產(chǎn)環(huán)境（例如信息系統(tǒng)在其運(yùn)行性生產(chǎn)環(huán)境（例如新的系統(tǒng)接口）中做出重大變更時(shí)，新的系統(tǒng)接口）中做出重大變更時(shí)，要對(duì)其進(jìn)行風(fēng)險(xiǎn)評(píng)估活動(dòng)。要對(duì)其進(jìn)行風(fēng)險(xiǎn)評(píng)估活動(dòng)。階段階段5廢棄廢棄本階段涉及到對(duì)信息、硬件和軟件本階段涉及到對(duì)信息、硬件和軟件的廢棄。這些活動(dòng)可能包括信息的的廢棄。這些活動(dòng)可能包括信息的移動(dòng)、備份、丟棄、破壞以及對(duì)硬移動(dòng)、備份、丟棄、破壞以及對(duì)硬件和軟件進(jìn)行的密級(jí)處理。件和軟件進(jìn)

26、行的密級(jí)處理。當(dāng)要廢棄或替換系統(tǒng)組件時(shí)，要對(duì)其當(dāng)要廢棄或替換系統(tǒng)組件時(shí)，要對(duì)其進(jìn)行風(fēng)險(xiǎn)評(píng)估，以確保硬件和軟件得進(jìn)行風(fēng)險(xiǎn)評(píng)估，以確保硬件和軟件得到了適當(dāng)?shù)膹U棄處置，且殘留信息也到了適當(dāng)?shù)膹U棄處置，且殘留信息也恰當(dāng)?shù)剡M(jìn)行了處理。并且要確保系統(tǒng)恰當(dāng)?shù)剡M(jìn)行了處理。并且要確保系統(tǒng)的更新?lián)Q代能以一個(gè)安全和系統(tǒng)化的的更新?lián)Q代能以一個(gè)安全和系統(tǒng)化的方式完成。方式完成。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC

27、 INFOSEC SIC 在實(shí)施風(fēng)險(xiǎn)評(píng)估中，有時(shí)首先根據(jù)不同級(jí)別的在實(shí)施風(fēng)險(xiǎn)評(píng)估中，有時(shí)首先根據(jù)不同級(jí)別的威脅對(duì)不同價(jià)值的資產(chǎn)可能形成的風(fēng)險(xiǎn)進(jìn)行分威脅對(duì)不同價(jià)值的資產(chǎn)可能形成的風(fēng)險(xiǎn)進(jìn)行分級(jí)，進(jìn)而選擇適合級(jí)別的保證措施。這是一種級(jí)，進(jìn)而選擇適合級(jí)別的保證措施。這是一種安全需求提煉的過(guò)程。安全需求提煉的過(guò)程。 對(duì)于計(jì)劃和已經(jīng)建設(shè)的系統(tǒng)，則應(yīng)該考慮和分對(duì)于計(jì)劃和已經(jīng)建設(shè)的系統(tǒng)，則應(yīng)該考慮和分析測(cè)試系統(tǒng)可能存在的脆弱性。析測(cè)試系統(tǒng)可能存在的脆弱性。 上述工作流程應(yīng)該是一個(gè)不斷重復(fù)的循環(huán)過(guò)程上述工作流程應(yīng)該是一個(gè)不斷重復(fù)的循環(huán)過(guò)程，從不同階段進(jìn)入風(fēng)險(xiǎn)評(píng)估工作也可能進(jìn)行簡(jiǎn)，從不同階段進(jìn)入風(fēng)險(xiǎn)評(píng)估工作也可能

28、進(jìn)行簡(jiǎn)化其中的某些步驟?；渲械哪承┎襟E。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風(fēng)險(xiǎn)評(píng)估理論和工具風(fēng)險(xiǎn)評(píng)估理論和工具 通俗的講，信息系統(tǒng)安全追求的是入侵和破壞通俗的講，信息系統(tǒng)安全追求的是入侵和破壞行為，面對(duì)信息系統(tǒng)和信息，進(jìn)不來(lái)，看不懂行為，面對(duì)信息系統(tǒng)和信息，進(jìn)不來(lái)，看不懂，拿不走，搞不亂。，拿不走，搞不亂。 風(fēng)險(xiǎn)評(píng)估的理論和工具也應(yīng)該針對(duì)這些基本的風(fēng)險(xiǎn)評(píng)估的

29、理論和工具也應(yīng)該針對(duì)這些基本的安全要求，提供檢測(cè)、判斷、分析。安全要求，提供檢測(cè)、判斷、分析。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 當(dāng)前，國(guó)際上提出了一些廣義傳統(tǒng)的風(fēng)險(xiǎn)評(píng)估當(dāng)前，國(guó)際上提出了一些廣義傳統(tǒng)的風(fēng)險(xiǎn)評(píng)估的理論（并非特別針對(duì)信息系統(tǒng)安全）。的理論（并非特別針對(duì)信息系統(tǒng)安全）。 從計(jì)算方法區(qū)分，有定性的方法、定量的方法從計(jì)算方法區(qū)分，有定性的方法、定量的方法

30、和部分定量的方法。和部分定量的方法。 從實(shí)施手段區(qū)分，有基于樹(shù)的技術(shù)、動(dòng)態(tài)系統(tǒng)從實(shí)施手段區(qū)分，有基于樹(shù)的技術(shù)、動(dòng)態(tài)系統(tǒng)的技術(shù)等。的技術(shù)等。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 定性的方法包括：定性的方法包括： 初步的風(fēng)險(xiǎn)分析初步的風(fēng)險(xiǎn)分析 （Preliminary Risk Analysis） 危險(xiǎn)和可操作性研究危險(xiǎn)和可操作性研究 （Hazard and Ope

31、rability studies (HAZOP)） 失效模式及影響分析失效模式及影響分析 （Failure Mode and Effects Analysis (FMEA/FMECA)） SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 基于樹(shù)的技術(shù)基于樹(shù)的技術(shù) （Tree Based Techniques ）包括：）包括： 故障樹(shù)分析故障樹(shù)分析 （Fault tree an

32、alysis） 事件樹(shù)分析事件樹(shù)分析 （Event tree analysis） 因果分析因果分析 （Cause-Consequence Analysis） 管理失敗風(fēng)險(xiǎn)樹(shù)管理失敗風(fēng)險(xiǎn)樹(shù) （ Management Oversight Risk Tree） 安全管理組織檢查技術(shù)安全管理組織檢查技術(shù) （Safety Management Organization Review Technique） SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC I

33、NFOSEC SIC INFOSEC SIC INFOSEC SIC 動(dòng)態(tài)系統(tǒng)的技術(shù)動(dòng)態(tài)系統(tǒng)的技術(shù) （Techniques for Dynamic system）包括：包括： 嘗試方法嘗試方法 （ Go Method） 有向圖有向圖/故障圖故障圖 （Digraph/Fault Graph） 馬爾可夫建模馬爾可夫建模 （Markov Modeling） 動(dòng)態(tài)事件邏輯分析方法學(xué)動(dòng)態(tài)事件邏輯分析方法學(xué) （Dynamic Event Logic Analytical Methodology） 動(dòng)態(tài)事件樹(shù)分析方法動(dòng)態(tài)事件樹(shù)分析方法 （Dynamic Event Tree Analysis Method）

34、 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 評(píng)估工具目前存在以下幾類(lèi)：評(píng)估工具目前存在以下幾類(lèi)：掃描工具：掃描工具：包括主機(jī)掃描、網(wǎng)絡(luò)掃描、數(shù)據(jù)庫(kù)掃描，用于分析系統(tǒng)包括主機(jī)掃描、網(wǎng)絡(luò)掃描、數(shù)據(jù)庫(kù)掃描，用于分析系統(tǒng)的常見(jiàn)漏洞；的常見(jiàn)漏洞；入侵檢測(cè)系統(tǒng)（入侵檢測(cè)系統(tǒng)（IDSIDS）：）：用于收集與統(tǒng)計(jì)威脅數(shù)據(jù)；用于收集與統(tǒng)計(jì)威脅數(shù)據(jù)；滲透性測(cè)試工具：滲透性測(cè)試工具：黑客工

35、具，用于人工滲透，評(píng)估系統(tǒng)的深層次漏黑客工具，用于人工滲透，評(píng)估系統(tǒng)的深層次漏洞；洞；主機(jī)安全性審計(jì)工具：主機(jī)安全性審計(jì)工具：用于分析主機(jī)系統(tǒng)配置的安全性；用于分析主機(jī)系統(tǒng)配置的安全性；安全管理評(píng)價(jià)系統(tǒng)：安全管理評(píng)價(jià)系統(tǒng)：用于安全訪談，評(píng)價(jià)安全管理措施；用于安全訪談，評(píng)價(jià)安全管理措施； 風(fēng)險(xiǎn)綜合分析系統(tǒng)：風(fēng)險(xiǎn)綜合分析系統(tǒng)：在基礎(chǔ)數(shù)據(jù)基礎(chǔ)上，定量、綜合分析系統(tǒng)的風(fēng)在基礎(chǔ)數(shù)據(jù)基礎(chǔ)上，定量、綜合分析系統(tǒng)的風(fēng)險(xiǎn)，并且提供分類(lèi)統(tǒng)計(jì)、查詢、險(xiǎn)，并且提供分類(lèi)統(tǒng)計(jì)、查詢、TOP N查詢以及報(bào)表輸出功能；查詢以及報(bào)表輸出功能；評(píng)估支撐環(huán)境工具評(píng)估支撐環(huán)境工具: : 評(píng)估指標(biāo)庫(kù)、知識(shí)庫(kù)、漏洞庫(kù)、算法庫(kù)、模型庫(kù)評(píng)估

36、指標(biāo)庫(kù)、知識(shí)庫(kù)、漏洞庫(kù)、算法庫(kù)、模型庫(kù)。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 綜觀這些理論和工具的現(xiàn)狀，存在的問(wèn)題是：綜觀這些理論和工具的現(xiàn)狀，存在的問(wèn)題是： 尚缺乏模型化和形式化描述及證明的科學(xué)深度；尚缺乏模型化和形式化描述及證明的科學(xué)深度； 需要解決一般化的廣義的理論如何用于信息系統(tǒng)的需要解決一般化的廣義的理論如何用于信息系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估；安全風(fēng)險(xiǎn)評(píng)估； 定

37、性，定量的理論方法如何更加有效；定性，定量的理論方法如何更加有效； 工具運(yùn)用的結(jié)果如何能夠反映實(shí)質(zhì)，有效測(cè)度，準(zhǔn)工具運(yùn)用的結(jié)果如何能夠反映實(shí)質(zhì)，有效測(cè)度，準(zhǔn)確無(wú)誤；確無(wú)誤； 工具的使用如何能夠綜合協(xié)調(diào)。工具的使用如何能夠綜合協(xié)調(diào)。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 二、為什么要做信息安全風(fēng)險(xiǎn)評(píng)估二、為什么要做信息安全風(fēng)險(xiǎn)評(píng)估SIC INFOSEC SIC INF

38、OSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風(fēng)險(xiǎn)評(píng)估為什么要做信息安全風(fēng)險(xiǎn)評(píng)估 第一，風(fēng)險(xiǎn)評(píng)估是分析確定風(fēng)險(xiǎn)的過(guò)程。風(fēng)險(xiǎn)是客觀存在的，在日常生活和工作中隨處可見(jiàn)。為了了解系統(tǒng)究竟面臨什么風(fēng)險(xiǎn)、有多大風(fēng)險(xiǎn)，以及應(yīng)該采取什么樣的措施去減少、化解或規(guī)避風(fēng)險(xiǎn)，人們經(jīng)常會(huì)提出這樣一些問(wèn)題：什么地方、什么時(shí)間可能出問(wèn)題？會(huì)出什么性質(zhì)的問(wèn)題？出問(wèn)題的可能性有多大？這些問(wèn)題可能產(chǎn)生的后果是什么？應(yīng)該采取什

39、么樣的措施加以避免和彌補(bǔ)？并總是試圖找出最合理的答案。這個(gè)過(guò)程實(shí)際就是風(fēng)險(xiǎn)評(píng)估SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風(fēng)險(xiǎn)評(píng)估為什么要做信息安全風(fēng)險(xiǎn)評(píng)估 第二，信息安全風(fēng)險(xiǎn)評(píng)估是信息安全建設(shè)的起點(diǎn)和基礎(chǔ)，對(duì)于信息系統(tǒng)也是如此。所有信息安全建設(shè)和管理都應(yīng)該基于信息安全風(fēng)險(xiǎn)評(píng)估，只有這樣，信息安全建設(shè)才能做到從實(shí)際出發(fā)，才能堅(jiān)持需求主導(dǎo)、突出重點(diǎn)，才能

40、以最小的代價(jià)去最大程度地保障信息安全。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風(fēng)險(xiǎn)評(píng)估為什么要做信息安全風(fēng)險(xiǎn)評(píng)估 第三，信息安全風(fēng)險(xiǎn)評(píng)估是信息安全建設(shè)和管理的科學(xué)方法。風(fēng)險(xiǎn)評(píng)估提供了這么一種方法，它是我們傳統(tǒng)經(jīng)驗(yàn)方法的總結(jié)和提升，是風(fēng)險(xiǎn)理論和技術(shù)的具體應(yīng)用。 信息安全的一個(gè)最大特點(diǎn)就是看不見(jiàn)摸不著。在不知不覺(jué)中就已經(jīng)中了招，在不知不覺(jué)中就已經(jīng)遭受了

41、重大損失。 信息安全要講加強(qiáng)領(lǐng)導(dǎo)，要講責(zé)任制，但如果沒(méi)有科學(xué)的方法和手段，即使領(lǐng)導(dǎo)現(xiàn)場(chǎng)坐鎮(zhèn)，即使人盯死守，也仍然可能發(fā)現(xiàn)不了問(wèn)題，也仍然可能出問(wèn)題。這就是27號(hào)文件強(qiáng)調(diào)管理與技術(shù)并重的根本原因。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風(fēng)險(xiǎn)評(píng)估為什么要做信息安全風(fēng)險(xiǎn)評(píng)估 第四，風(fēng)險(xiǎn)評(píng)估實(shí)際上是在倡導(dǎo)一種適度安全。從理論上講，不存在絕對(duì)的安全，風(fēng)險(xiǎn)總是

42、客觀存在的。風(fēng)險(xiǎn)評(píng)估并不追求零風(fēng)險(xiǎn)、不計(jì)成本的絕對(duì)安全，或者試圖完全消滅風(fēng)險(xiǎn)或避免風(fēng)險(xiǎn)。 信息安全風(fēng)險(xiǎn)評(píng)估要求在認(rèn)清風(fēng)險(xiǎn)的基礎(chǔ)上，決定哪些風(fēng)險(xiǎn)是必須要避免的，哪些風(fēng)險(xiǎn)是可以容忍的。也就是說(shuō)，信息安全風(fēng)險(xiǎn)評(píng)估要求我們算賬，要求我們?cè)陲L(fēng)險(xiǎn)與建設(shè)和管理成本之間尋求一個(gè)最佳平衡點(diǎn)。 這體現(xiàn)了信息安全的一個(gè)基本原則，就是堅(jiān)持從實(shí)際出發(fā)，堅(jiān)持有針對(duì)性地進(jìn)行信息安全建設(shè)和管理。這也就是適度安全。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC

43、SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風(fēng)險(xiǎn)評(píng)估為什么要做信息安全風(fēng)險(xiǎn)評(píng)估 第五，重視風(fēng)險(xiǎn)評(píng)估是信息化發(fā)達(dá)國(guó)家的重要經(jīng)驗(yàn)。早在上個(gè)世紀(jì)70年代初期美國(guó)政府就提出了風(fēng)險(xiǎn)評(píng)估的要求，2002年頒布的2002聯(lián)邦信息安全管理法對(duì)信息安全風(fēng)險(xiǎn)評(píng)估提出了更加具體的要求。歐洲等其他信息化發(fā)達(dá)國(guó)家也非常重視開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估工作，將開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估工作作為提高信息安全保障水平的重要手段。發(fā)達(dá)國(guó)家的這些經(jīng)驗(yàn)值得我們學(xué)習(xí)和借鑒。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC S

44、IC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風(fēng)險(xiǎn)評(píng)估為什么要做信息安全風(fēng)險(xiǎn)評(píng)估 20052005年年2 2月，美國(guó)總統(tǒng)信息技術(shù)顧問(wèn)委員會(huì)（月，美國(guó)總統(tǒng)信息技術(shù)顧問(wèn)委員會(huì)（PITACPITAC）向美國(guó)總統(tǒng)）向美國(guó)總統(tǒng)提交了一份研究報(bào)告提交了一份研究報(bào)告網(wǎng)絡(luò)空間安全：迫在眉睫的危機(jī)網(wǎng)絡(luò)空間安全：迫在眉睫的危機(jī)，提出美，提出美國(guó)目前網(wǎng)絡(luò)空間安全所面臨的重大問(wèn)題包括：國(guó)目前網(wǎng)絡(luò)空間安全所面臨的重大問(wèn)題包括： 1 1、ITIT基礎(chǔ)設(shè)施在恐怖和敵對(duì)攻擊面前非常脆弱基礎(chǔ)設(shè)施在恐怖和敵對(duì)攻擊面前非常脆弱 2 2

45、、網(wǎng)絡(luò)漏洞和網(wǎng)絡(luò)攻擊增長(zhǎng)速度非常快（、網(wǎng)絡(luò)漏洞和網(wǎng)絡(luò)攻擊增長(zhǎng)速度非?？欤?0204040） 3 3、無(wú)所不在的互聯(lián)意味著處處可能存在安全漏洞、無(wú)所不在的互聯(lián)意味著處處可能存在安全漏洞 4 4、軟件是主要漏洞的所在、軟件是主要漏洞的所在 5 5、無(wú)窮無(wú)盡的打補(bǔ)丁并不是好的解決辦法、無(wú)窮無(wú)盡的打補(bǔ)丁并不是好的解決辦法 6 6、需要新的基礎(chǔ)性安全模型和方法、需要新的基礎(chǔ)性安全模型和方法 7 7、聯(lián)邦政府在研發(fā)工作中的核心地位、聯(lián)邦政府在研發(fā)工作中的核心地位 8 8、網(wǎng)絡(luò)空間安全的非技術(shù)因素、網(wǎng)絡(luò)空間安全的非技術(shù)因素SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INF

46、OSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為了應(yīng)對(duì)這些威脅，在為了應(yīng)對(duì)這些威脅，在網(wǎng)絡(luò)空間安全：迫在眉睫的危機(jī)網(wǎng)絡(luò)空間安全：迫在眉睫的危機(jī)報(bào)告報(bào)告中，中，PITACPITAC提出了提出了1010大優(yōu)先研究項(xiàng)目，其中信息安全風(fēng)險(xiǎn)評(píng)估位列其大優(yōu)先研究項(xiàng)目，其中信息安全風(fēng)險(xiǎn)評(píng)估位列其中。其主要研究?jī)?nèi)容包括：中。其主要研究?jī)?nèi)容包括： （1 1）開(kāi)發(fā)網(wǎng)絡(luò)空間安全測(cè)試方法、評(píng)估標(biāo)準(zhǔn)）開(kāi)發(fā)網(wǎng)絡(luò)空間安全測(cè)試方法、評(píng)估標(biāo)準(zhǔn) （2 2）風(fēng)險(xiǎn)分析方法和基于不同領(lǐng)域的評(píng)估方法

47、（政治、軍事、經(jīng)）風(fēng)險(xiǎn)分析方法和基于不同領(lǐng)域的評(píng)估方法（政治、軍事、經(jīng)濟(jì)等）濟(jì)等） （3 3）安全風(fēng)險(xiǎn)以及一致性檢查的自動(dòng)評(píng)估工具的研發(fā)）安全風(fēng)險(xiǎn)以及一致性檢查的自動(dòng)評(píng)估工具的研發(fā) （4 4）對(duì)易受到攻擊對(duì)象的評(píng)估研究工作，如源代碼掃描工具）對(duì)易受到攻擊對(duì)象的評(píng)估研究工作，如源代碼掃描工具 （5 5）通過(guò)研究過(guò)程管理、配置管理和補(bǔ)丁管理的最佳策略方案，）通過(guò)研究過(guò)程管理、配置管理和補(bǔ)丁管理的最佳策略方案，來(lái)發(fā)現(xiàn)并提供有效的安全管理實(shí)施方案來(lái)發(fā)現(xiàn)并提供有效的安全管理實(shí)施方案 為什么要做信息安全風(fēng)險(xiǎn)評(píng)估為什么要做信息安全風(fēng)險(xiǎn)評(píng)估SIC INFOSEC SIC INFOSEC SIC INFOSEC

48、 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 三、我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估回顧三、我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估回顧 調(diào)查與研究 標(biāo)準(zhǔn)編制與試點(diǎn) 政策文件起草SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估回顧我國(guó)

49、信息安全風(fēng)險(xiǎn)評(píng)估回顧 2003年年7月月國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障國(guó)家信息化領(lǐng)導(dǎo)小組關(guān)于加強(qiáng)信息安全保障工作的意見(jiàn)工作的意見(jiàn)（中辦發(fā)（中辦發(fā)200327號(hào)）中專(zhuān)門(mén)提出開(kāi)展風(fēng)號(hào)）中專(zhuān)門(mén)提出開(kāi)展風(fēng)險(xiǎn)評(píng)估的要求險(xiǎn)評(píng)估的要求 ： 對(duì)網(wǎng)絡(luò)與信息系統(tǒng)安全的潛在威脅、薄弱環(huán)節(jié)對(duì)網(wǎng)絡(luò)與信息系統(tǒng)安全的潛在威脅、薄弱環(huán)節(jié)、防護(hù)措施等進(jìn)行分析評(píng)估，綜合考慮網(wǎng)絡(luò)與信息、防護(hù)措施等進(jìn)行分析評(píng)估，綜合考慮網(wǎng)絡(luò)與信息系統(tǒng)的重要性、涉密程度和面臨的風(fēng)險(xiǎn)等因素，進(jìn)系統(tǒng)的重要性、涉密程度和面臨的風(fēng)險(xiǎn)等因素，進(jìn)行相應(yīng)等級(jí)的安全建設(shè)和管理行相應(yīng)等級(jí)的安全建設(shè)和管理SIC INFOSEC SIC INFOSEC SIC I

50、NFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 調(diào)查研究工作n國(guó)信辦安全組為落實(shí)中辦發(fā)國(guó)信辦安全組為落實(shí)中辦發(fā)200327號(hào)文件的要求，于號(hào)文件的要求，于2003年年7月決定委托國(guó)家信息中心組建月決定委托國(guó)家信息中心組建“信息安全風(fēng)險(xiǎn)評(píng)估課題組信息安全風(fēng)險(xiǎn)評(píng)估課題組”，對(duì)我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估工作的現(xiàn)狀進(jìn)行調(diào)查，提出我國(guó)開(kāi)展對(duì)我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估工作的現(xiàn)狀進(jìn)行調(diào)查，提出我國(guó)開(kāi)展風(fēng)險(xiǎn)評(píng)估的對(duì)策和辦法風(fēng)險(xiǎn)評(píng)估的對(duì)策和辦法n成員單位：國(guó)家

51、信息中心、公安部、安全部、信息產(chǎn)業(yè)部、國(guó)成員單位：國(guó)家信息中心、公安部、安全部、信息產(chǎn)業(yè)部、國(guó)家認(rèn)監(jiān)委、國(guó)家標(biāo)準(zhǔn)化委、國(guó)家密碼管理局、國(guó)家保密局、國(guó)家認(rèn)監(jiān)委、國(guó)家標(biāo)準(zhǔn)化委、國(guó)家密碼管理局、國(guó)家保密局、國(guó)家計(jì)算機(jī)網(wǎng)絡(luò)與信息安全中心、中國(guó)信息安全產(chǎn)品測(cè)評(píng)認(rèn)證中家計(jì)算機(jī)網(wǎng)絡(luò)與信息安全中心、中國(guó)信息安全產(chǎn)品測(cè)評(píng)認(rèn)證中心、北京市信息辦、解放軍測(cè)評(píng)認(rèn)證中心心、北京市信息辦、解放軍測(cè)評(píng)認(rèn)證中心SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC S

52、IC INFOSEC SIC INFOSEC SIC 調(diào)查研究工作n 課題組先后對(duì)四個(gè)地區(qū)課題組先后對(duì)四個(gè)地區(qū)(北京、廣州、深圳和北京、廣州、深圳和上海上海)，十幾個(gè)行業(yè)的，十幾個(gè)行業(yè)的50多家單位進(jìn)行了調(diào)查多家單位進(jìn)行了調(diào)查n 完成了完成了信息安全風(fēng)險(xiǎn)評(píng)估調(diào)查報(bào)告信息安全風(fēng)險(xiǎn)評(píng)估調(diào)查報(bào)告、信信息安全風(fēng)險(xiǎn)評(píng)估研究報(bào)告息安全風(fēng)險(xiǎn)評(píng)估研究報(bào)告和和關(guān)于加強(qiáng)信息關(guān)于加強(qiáng)信息安全風(fēng)險(xiǎn)評(píng)估工作的建議安全風(fēng)險(xiǎn)評(píng)估工作的建議稿稿SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFO

53、SEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 調(diào)查報(bào)告反映的主要情況及問(wèn)題 n 被調(diào)查單位信息化程度各有不同被調(diào)查單位信息化程度各有不同n 對(duì)風(fēng)險(xiǎn)評(píng)估的重視程度與信息化程度成正比對(duì)風(fēng)險(xiǎn)評(píng)估的重視程度與信息化程度成正比關(guān)系關(guān)系n 國(guó)內(nèi)現(xiàn)階段風(fēng)險(xiǎn)評(píng)估狀況國(guó)內(nèi)現(xiàn)階段風(fēng)險(xiǎn)評(píng)估狀況n 風(fēng)險(xiǎn)評(píng)估已逐漸成為信息安全的一個(gè)新的點(diǎn)風(fēng)險(xiǎn)評(píng)估已逐漸成為信息安全的一個(gè)新的點(diǎn)n 發(fā)現(xiàn)的八個(gè)問(wèn)題，其中評(píng)估流程不規(guī)范是一發(fā)現(xiàn)的八個(gè)問(wèn)題，其中評(píng)估流程不規(guī)范是一大問(wèn)題大問(wèn)題SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOS

54、EC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 研究報(bào)告的主要內(nèi)容n信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的概念 n風(fēng)險(xiǎn)評(píng)估的意義和作用 n信息安全風(fēng)險(xiǎn)評(píng)估的目標(biāo)和目的 n信息安全風(fēng)險(xiǎn)評(píng)估的基本要素 n風(fēng)險(xiǎn)評(píng)估對(duì)信息系統(tǒng)生命周期的支持 n風(fēng)險(xiǎn)評(píng)估的一般工作流程 n當(dāng)前存在的風(fēng)險(xiǎn)評(píng)估理論和工具 n我國(guó)信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的現(xiàn)狀和問(wèn)題 n信息安全風(fēng)險(xiǎn)評(píng)估工作的原則n等級(jí)保護(hù)、認(rèn)證認(rèn)可、風(fēng)險(xiǎn)管理、風(fēng)險(xiǎn)評(píng)估的關(guān)系 n自評(píng)估、強(qiáng)制性檢查評(píng)估與委托評(píng)估n信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的角色和責(zé)任 n信息安全風(fēng)險(xiǎn)評(píng)估的任務(wù)和措

55、施 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 對(duì)風(fēng)險(xiǎn)評(píng)估工作的建議內(nèi)容n積極貫徹落實(shí)積極貫徹落實(shí)27號(hào)文件號(hào)文件n建立健全和完善信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的工作機(jī)制建立健全和完善信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的工作機(jī)制n統(tǒng)籌建設(shè)信息安全風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)設(shè)施和基礎(chǔ)環(huán)境統(tǒng)籌建設(shè)信息安全風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)設(shè)施和基礎(chǔ)環(huán)境n啟動(dòng)評(píng)估工作流程、工作規(guī)范標(biāo)準(zhǔn)的研究與制定啟動(dòng)評(píng)估工作流程、工作規(guī)范標(biāo)準(zhǔn)的研

56、究與制定n推進(jìn)基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)推進(jìn)基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估試點(diǎn)示范工作估試點(diǎn)示范工作n加強(qiáng)宣傳教育，提高風(fēng)險(xiǎn)意識(shí)加強(qiáng)宣傳教育，提高風(fēng)險(xiǎn)意識(shí)SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 標(biāo)準(zhǔn)制定工作 根據(jù)根據(jù)信息安全風(fēng)險(xiǎn)評(píng)估研究報(bào)告信息安全風(fēng)險(xiǎn)評(píng)估研究報(bào)告的建議的建議, 2004年三月下旬課題年三月下旬課題組專(zhuān)家經(jīng)過(guò)充分的討論與

57、分析，報(bào)國(guó)務(wù)院信息辦安全組批準(zhǔn)組專(zhuān)家經(jīng)過(guò)充分的討論與分析，報(bào)國(guó)務(wù)院信息辦安全組批準(zhǔn),開(kāi)展開(kāi)展了了信息安全風(fēng)險(xiǎn)評(píng)估指南信息安全風(fēng)險(xiǎn)評(píng)估指南和和信息安全風(fēng)險(xiǎn)管理指南信息安全風(fēng)險(xiǎn)管理指南二個(gè)二個(gè)規(guī)范草案的制定。規(guī)范草案的制定。 國(guó)家信息中心信息安全研究與服務(wù)中心組織了近二十家有實(shí)際工國(guó)家信息中心信息安全研究與服務(wù)中心組織了近二十家有實(shí)際工作經(jīng)驗(yàn)的企事業(yè)單位約四十多人，開(kāi)了二十多次工作會(huì)議，進(jìn)行作經(jīng)驗(yàn)的企事業(yè)單位約四十多人，開(kāi)了二十多次工作會(huì)議，進(jìn)行了信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)規(guī)范草案的制定工作；到九月下旬了信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)規(guī)范草案的制定工作；到九月下旬, 完成完成信息安全風(fēng)險(xiǎn)評(píng)估指南信息安全風(fēng)險(xiǎn)評(píng)估指

58、南和和信息安全風(fēng)險(xiǎn)管理指南信息安全風(fēng)險(xiǎn)管理指南二個(gè)規(guī)二個(gè)規(guī)范草案的初稿。范草案的初稿。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 標(biāo)準(zhǔn)制定工作 2004年全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)將年全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì)將信息安全信息安全風(fēng)險(xiǎn)評(píng)估指南風(fēng)險(xiǎn)評(píng)估指南列入列入2005年度國(guó)家信息安全標(biāo)準(zhǔn)制定年度國(guó)家信息安全標(biāo)準(zhǔn)制定工作計(jì)劃中工作計(jì)劃中, 將將信息安全風(fēng)險(xiǎn)管理指南信息

59、安全風(fēng)險(xiǎn)管理指南列入國(guó)家信列入國(guó)家信息安全標(biāo)準(zhǔn)研究工作規(guī)劃中。息安全標(biāo)準(zhǔn)研究工作規(guī)劃中。目前目前信息安全風(fēng)險(xiǎn)評(píng)估指南信息安全風(fēng)險(xiǎn)評(píng)估指南已完成評(píng)審已完成評(píng)審, 報(bào)國(guó)家標(biāo)報(bào)國(guó)家標(biāo)準(zhǔn)管理委員會(huì)頒布準(zhǔn)管理委員會(huì)頒布 國(guó)信辦已以國(guó)信【國(guó)信辦已以國(guó)信【2006】9號(hào)文的形式發(fā)各部委和省市號(hào)文的形式發(fā)各部委和省市SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風(fēng)險(xiǎn)評(píng)估指南主要內(nèi)

60、容n規(guī)定了信息安全風(fēng)險(xiǎn)評(píng)估的工作流程、評(píng)估內(nèi)容、評(píng)規(guī)定了信息安全風(fēng)險(xiǎn)評(píng)估的工作流程、評(píng)估內(nèi)容、評(píng)估方法和風(fēng)險(xiǎn)判斷準(zhǔn)則。估方法和風(fēng)險(xiǎn)判斷準(zhǔn)則。n介紹了風(fēng)險(xiǎn)評(píng)估的定義、風(fēng)險(xiǎn)評(píng)估的模型以及風(fēng)險(xiǎn)評(píng)介紹了風(fēng)險(xiǎn)評(píng)估的定義、風(fēng)險(xiǎn)評(píng)估的模型以及風(fēng)險(xiǎn)評(píng)估的實(shí)施過(guò)程估的實(shí)施過(guò)程n詳細(xì)描述了對(duì)資產(chǎn)、威脅和脆弱性的識(shí)別方法詳細(xì)描述了對(duì)資產(chǎn)、威脅和脆弱性的識(shí)別方法n描述了風(fēng)險(xiǎn)評(píng)估在信息系統(tǒng)生命周期中的作用描述了風(fēng)險(xiǎn)評(píng)估在信息系統(tǒng)生命周期中的作用n描述了風(fēng)險(xiǎn)評(píng)估的不同形式描述了風(fēng)險(xiǎn)評(píng)估的不同形式n在附件中介紹了信息安全風(fēng)險(xiǎn)評(píng)估的方法、工具和實(shí)在附件中介紹了信息安全風(fēng)險(xiǎn)評(píng)估的方法、工具和實(shí)施案例施案例SIC INFOSEC