信息安全管理(第四章-信息安全風(fēng)險(xiǎn)評(píng)估)課件

1、第四章 信息安全風(fēng)險(xiǎn)評(píng)估信息安全管理本講內(nèi)容信息安全風(fēng)險(xiǎn)評(píng)估策略1235信息安全風(fēng)險(xiǎn)評(píng)估過程典型的風(fēng)險(xiǎn)分析方法3445風(fēng)險(xiǎn)評(píng)估實(shí)例報(bào)告數(shù)據(jù)采集方法與評(píng)價(jià)工具信息安全風(fēng)險(xiǎn)評(píng)估策略 風(fēng)險(xiǎn)評(píng)估（也稱風(fēng)險(xiǎn)分析）是風(fēng)險(xiǎn)管理的基礎(chǔ)，是組織確定信息安全要求的途徑之一，屬于組織信息安全管理體系策劃的過程。常見的風(fēng)險(xiǎn)評(píng)估方法策略有三種： 基線風(fēng)險(xiǎn)評(píng)估 詳細(xì)風(fēng)險(xiǎn)評(píng)估 綜合風(fēng)險(xiǎn)評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估策略 基線風(fēng)險(xiǎn)評(píng)估基線評(píng)估的優(yōu)點(diǎn)是：只需要最少 數(shù)量的資源，并且在選擇防護(hù)措施時(shí)花費(fèi)更少的時(shí)間和努力 可以采用相同或相似的基線防護(hù)措施而不需要太多的努力基線評(píng)估的的缺點(diǎn)是： 基線水平難以設(shè)置風(fēng)險(xiǎn)評(píng)估不全面、不透徹，且不易處

2、理變更信息安全風(fēng)險(xiǎn)評(píng)估策略詳細(xì)風(fēng)險(xiǎn)評(píng)估詳細(xì)評(píng)估的優(yōu)點(diǎn)是：有可能為所有系統(tǒng)識(shí)別出適當(dāng)?shù)陌踩胧┰敿?xì)分析的結(jié)果可用于安全變更管理詳細(xì)評(píng)估的缺點(diǎn)是：需要更多的時(shí)間、努力和專業(yè)知識(shí)信息安全風(fēng)險(xiǎn)評(píng)估策略綜合風(fēng)險(xiǎn)評(píng)估 基線風(fēng)險(xiǎn)評(píng)估耗費(fèi)資源少、周期短、操作簡單，但不夠準(zhǔn)確，適合一般環(huán)境的評(píng)估；詳細(xì)風(fēng)險(xiǎn)評(píng)估準(zhǔn)確而細(xì)致，但耗費(fèi)資源較多，適合嚴(yán)格限定邊界的較小范圍內(nèi)的評(píng)估。/IEC 13335-3提出了綜合風(fēng)險(xiǎn)評(píng)估框架，其實(shí)施流程如圖4-1所示。信息安全風(fēng)險(xiǎn)評(píng)估策略 信息安全風(fēng)險(xiǎn)評(píng)估策略 綜合評(píng)估將基線和詳細(xì)風(fēng)險(xiǎn)評(píng)估的優(yōu)勢(shì)結(jié)合起來，既節(jié)省了評(píng)估所耗費(fèi)的資源，又能確保獲得一個(gè)全面系統(tǒng)的評(píng)估結(jié)果，而且，組織的資源和資

3、金能夠應(yīng)用到最能發(fā)揮作用的地方，具有高風(fēng)險(xiǎn)的信息系統(tǒng)能夠被預(yù)先關(guān)注。風(fēng)險(xiǎn)評(píng)估流程概述 當(dāng)前在國內(nèi)各行業(yè)都比較認(rèn)可的信息安全風(fēng)險(xiǎn) 評(píng)估流程如下。信息安全風(fēng)險(xiǎn)評(píng)估過程 信息安全風(fēng)險(xiǎn)評(píng)估過程 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備 風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備是整個(gè)風(fēng)險(xiǎn)評(píng)估過程有效性的保證。其工作主要包括：確定風(fēng)險(xiǎn)評(píng)估目標(biāo)確定風(fēng)險(xiǎn)評(píng)估的對(duì)象和范圍組建團(tuán)隊(duì)選擇方法獲得支持準(zhǔn)備相關(guān)的評(píng)估工具信息安全風(fēng)險(xiǎn)評(píng)估過程 資產(chǎn)識(shí)別與評(píng)估資產(chǎn)識(shí)別資產(chǎn)是指對(duì)組織具有價(jià)值的信息資源。資產(chǎn)識(shí)別是風(fēng)險(xiǎn)識(shí)別的必要環(huán)節(jié)。資產(chǎn)識(shí)別的任務(wù)就是對(duì)確定的評(píng)估對(duì)象所涉及或包含的資產(chǎn)進(jìn)行詳細(xì)的標(biāo)識(shí)，由于它以多種形式存在，有無形的、有形的。資產(chǎn)識(shí)別的方法主要有訪談、現(xiàn)場(chǎng)調(diào)查、問

4、卷、文檔查閱等。信息安全風(fēng)險(xiǎn)評(píng)估過程 資產(chǎn)評(píng)估資產(chǎn)的評(píng)價(jià)是對(duì)資產(chǎn)的價(jià)值或重要程度進(jìn)行評(píng)估，資產(chǎn)本身的貨幣價(jià)值是資產(chǎn)價(jià)值的體現(xiàn)，但更重要的是資產(chǎn)對(duì)組織關(guān)鍵業(yè)務(wù)的順利開展乃至組織目標(biāo)實(shí)現(xiàn)的重要程度。通常信息資產(chǎn)的機(jī)密性、完整性、可用性、可審計(jì)性和不可抵賴性等是評(píng)價(jià)資產(chǎn)的安全屬性。 表4-1、表4-2、表4-3分別給出了機(jī)密性、完整性、可用性參考賦值表。信息安全風(fēng)險(xiǎn)評(píng)估過程 信息安全風(fēng)險(xiǎn)評(píng)估過程 信息安全風(fēng)險(xiǎn)評(píng)估過程信息安全風(fēng)險(xiǎn)評(píng)估過程 威脅識(shí)別與評(píng)估威脅識(shí)別 從威脅源角度，威脅可分為：自然威脅、環(huán)境威脅、系統(tǒng)威脅、外部人員威脅、內(nèi)部人員威脅。威脅配置文件包括5個(gè)屬性，分別是：資產(chǎn)（assert）、

5、訪問（access）、主體（actor）、動(dòng)機(jī)（motive）、后果（outcome）。信息安全風(fēng)險(xiǎn)評(píng)估過程 威脅評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估過程 脆弱點(diǎn)識(shí)別與評(píng)估脆弱點(diǎn)識(shí)別信息安全風(fēng)險(xiǎn)評(píng)估過程 脆弱點(diǎn)識(shí)別所采用的方法主要有：問卷調(diào)查、工具檢測(cè)、人工核查、文檔查閱、滲透性測(cè)試等。 脆弱點(diǎn)評(píng)估 我國的信息安全風(fēng)險(xiǎn)評(píng)估指南將脆弱點(diǎn)嚴(yán)重程度的等級(jí)劃分為五級(jí)，分別代表資產(chǎn)脆弱點(diǎn)嚴(yán)重程度的高低。等級(jí)數(shù)值越大，脆弱點(diǎn)嚴(yán)重程度越高。如表4-6所示。信息安全風(fēng)險(xiǎn)評(píng)估過程 信息安全風(fēng)險(xiǎn)評(píng)估過程 已有安全措施的確認(rèn)安全措施可以分為預(yù)防性安全措施和保護(hù)性安全措施兩種。該步驟的主要任務(wù)是，對(duì)當(dāng)前信息系統(tǒng)所采用的安全措施進(jìn)行標(biāo)

6、識(shí)，并對(duì)其預(yù)期功能、有效性進(jìn)行分析。信息安全風(fēng)險(xiǎn)評(píng)估過程 風(fēng)險(xiǎn)分析 風(fēng)險(xiǎn)分析就是利用資產(chǎn)、威脅、脆弱點(diǎn)識(shí)別與評(píng)估結(jié)果以及已有安全措施的確認(rèn)與分析結(jié)果，對(duì)資產(chǎn)面臨的風(fēng)險(xiǎn)進(jìn)行分析。風(fēng)險(xiǎn)計(jì)算影響分析 信息安全風(fēng)險(xiǎn)評(píng)估過程 可能性分析 安全措施的效總體說來，安全事件發(fā)生的可能性的因素有：資產(chǎn)吸引力、威脅出現(xiàn)的可能性、脆弱點(diǎn)的屬性、能等。 根據(jù)威脅源的分類，引起安全事件發(fā)生的原因可能是自然災(zāi)害、環(huán)境及系統(tǒng)威脅、人員無意行為、人員故意行為等。不同類型的安全事件，其可能性影響因素也有點(diǎn)不同。信息安全風(fēng)險(xiǎn)評(píng)估過程安全措施的選取 風(fēng)險(xiǎn)評(píng)估的目的不僅是獲取組織面臨的有關(guān)風(fēng)險(xiǎn)信息，更重要的是采取適當(dāng)?shù)拇胧踩L(fēng)險(xiǎn)

7、控制在可接受的范圍內(nèi)。風(fēng)險(xiǎn)評(píng)估文件記錄 風(fēng)險(xiǎn)評(píng)估文件包括在整個(gè)風(fēng)險(xiǎn)評(píng)估過程中產(chǎn)生的評(píng)估過程文檔和評(píng)估結(jié)果文檔，這些文檔包括：風(fēng)險(xiǎn)評(píng)估計(jì)劃，風(fēng)險(xiǎn)評(píng)估程序，資產(chǎn)識(shí)別清單，重要資產(chǎn)清單，威脅列表，脆弱點(diǎn)列表，已有安全措施確認(rèn)表，風(fēng)險(xiǎn)評(píng)估報(bào)告，風(fēng)險(xiǎn)處理計(jì)劃，風(fēng)險(xiǎn)評(píng)估記錄。典型的風(fēng)險(xiǎn)分析方法故障樹分析 故障樹分析是一種top-down方法，通過對(duì)可能造成系統(tǒng)故障的硬件、軟件、環(huán)境、人為因素進(jìn)行分析，畫出故障原因的各種可能組合方式和/或其發(fā)生概率，由總體至部分，按樹狀結(jié)構(gòu)，逐層細(xì)化的一種分析方法。 故障樹分析法具有如下特點(diǎn)：靈活性，圖形演繹，通過故障樹可以定量地計(jì)算復(fù)雜系統(tǒng)的故障概率及其他可靠性參數(shù)，為改

8、善和評(píng)估系統(tǒng)可靠性提供定量數(shù)據(jù)。典型的風(fēng)險(xiǎn)分析方法故障樹分析的過程簡述如下：建造故障樹求出故障樹的全部最小割集計(jì)算頂事件的發(fā)生概率重要度的計(jì)算排列出各風(fēng)險(xiǎn)事件（頂事件）的順序典型的風(fēng)險(xiǎn)分析方法故障模式影響及危害性分析 故障模式影響分析是分析系統(tǒng)中每一產(chǎn)品所有可能產(chǎn)生的故障模式及其對(duì)系統(tǒng)造成的所有可能影響，并按每一個(gè)故障模式的嚴(yán)重程度、檢測(cè)難易程度以及發(fā)生頻度予以分類的一種歸納分析方法。FMECA的基本步驟是：系統(tǒng)分解，建立層次結(jié)構(gòu)模型構(gòu)造判斷矩陣通過單層次計(jì)算進(jìn)行安全性判斷層次總排序，完成綜合判斷典型的風(fēng)險(xiǎn)分析方法模糊綜合評(píng)價(jià)法 評(píng)價(jià)過程描述如下：建立系統(tǒng)評(píng)價(jià)指標(biāo)體系確定因素集確定模糊權(quán)重集確

9、定評(píng)價(jià)集建立模糊評(píng)價(jià)矩陣計(jì)算綜合評(píng)價(jià)結(jié)果給出評(píng)價(jià)報(bào)告 常用的評(píng)價(jià)原則有：最大隸屬度原則,最小代價(jià)原則，置信度原則，評(píng)分原則等。典型的風(fēng)險(xiǎn)分析方法德爾斐法 德爾斐法是一種定性預(yù)測(cè)方法，通過背對(duì)背群體決策咨詢的方法，群體成員各自獨(dú)立工作，然后以系統(tǒng)的、獨(dú)立的方式綜合他們的判斷，克服了為某些權(quán)威所左右的缺點(diǎn)，減少調(diào)查對(duì)象的心理壓力，使預(yù)測(cè)的可靠性增加。層次分析法 層次分析法是一種定性與定量相結(jié)合的多目標(biāo)決策分析方法。典型的風(fēng)險(xiǎn)分析方法 層次分析法的決策過程如下：層次分析法建立的層次模型如圖4-6所示，層次模型至少包含三層。圖4-6 層次結(jié)構(gòu)模型典型的風(fēng)險(xiǎn)分析方法構(gòu)建兩兩比較判斷矩陣計(jì)算單個(gè)判斷矩陣對(duì)

10、應(yīng)的權(quán)重向量計(jì)算各層元素對(duì)目標(biāo)層的合成權(quán)重向量事件樹分析法 事件樹分析是風(fēng)險(xiǎn)分析的一種重要方法。它是在給定系統(tǒng)事件的情況下，分析此事件可能導(dǎo)致的各種事件的一系列結(jié)果。 原因后果分析 原因-后果分析實(shí)際上是故障樹分析（FTA）和事件樹分析（ETA）的混合。典型的風(fēng)險(xiǎn)分析方法 概率風(fēng)險(xiǎn)評(píng)估和動(dòng)態(tài)風(fēng)險(xiǎn)概率評(píng)估 該風(fēng)險(xiǎn)分析方法以事件樹和故障樹為核心的分析方法。其分析步驟如下：識(shí)別系統(tǒng)中存在的事件，找出風(fēng)險(xiǎn)源對(duì)各風(fēng)險(xiǎn)源考察其在系統(tǒng)安全中的地位，及相互邏輯關(guān)系，給出系統(tǒng)的風(fēng)險(xiǎn)源樹標(biāo)識(shí)各風(fēng)險(xiǎn)源后果大小及風(fēng)險(xiǎn)概率對(duì)風(fēng)險(xiǎn)源通過邏輯及數(shù)學(xué)方法進(jìn)行組合，最后得到系統(tǒng)風(fēng)險(xiǎn)的度量典型的風(fēng)險(xiǎn)分析方法OCTAVE模型 它的實(shí)施分為三個(gè)階段：建立基于資產(chǎn)的威脅配置文件（Threat Profile）標(biāo)識(shí)基礎(chǔ)結(jié)構(gòu)的弱點(diǎn)開發(fā)安全策略和計(jì)劃數(shù)據(jù)采集方法與評(píng)價(jià)工具風(fēng)險(xiǎn)分析數(shù)據(jù)的采集方法 風(fēng)險(xiǎn)