信息安全風(fēng)險(xiǎn)評估

信息安全管理

（第二版）

授課內(nèi)容：信息安全風(fēng)險(xiǎn)評估

信息安全管理Informationsecuritymanagement第3章信息安全風(fēng)險(xiǎn)評估3.1概述3.2信息安全風(fēng)險(xiǎn)評估策略3.3信息安全風(fēng)險(xiǎn)評估流程3.4信息安全風(fēng)險(xiǎn)評估方法3.5風(fēng)險(xiǎn)評估案例3.6本章小結(jié)3.7習(xí)題從一個(gè)故事開始認(rèn)識“風(fēng)險(xiǎn)”3.1 概述

故事梗概傻根在外地打工掙了錢，隨身攜帶著10萬元錢坐上了一輛混雜著很多小偷的長途火車回家。傻根把錢就放在了普通的布質(zhì)書包里。傻根沒有坐軟臥包廂，而是坐在擠滿了上百人的硬座車廂。有時(shí)候累了，就坐著打個(gè)瞌睡。一路上，葛優(yōu)等小偷團(tuán)伙頻頻出手，嘗試著偷這10萬元錢。但是在好心人劉德華和劉若英等的保護(hù)下，葛優(yōu)等小偷團(tuán)伙未能得逞。好險(xiǎn)啊，如果這錢被偷走了，傻根就娶不上媳婦了。天下無賊？3.1 概述資產(chǎn)（asset）

------對組織具有價(jià)值的任何東西

[ISO/IECTR13335-1：2004]概念威脅（

threat）

------可能導(dǎo)致對系統(tǒng)或組織損害的不希望事故潛在起因

[ISO/IECTR13335-1：2004]脆弱性（vulnerability）（也稱脆弱點(diǎn)、漏洞）

------可能會(huì)被威脅所利用的資產(chǎn)或若干資產(chǎn)的弱點(diǎn)

[ISO/IECTR13335-1：2004]3.1 概述風(fēng)險(xiǎn)管理（

riskmanagement）------在風(fēng)險(xiǎn)方面指揮或控制一個(gè)組織的協(xié)調(diào)活動(dòng)，一般包括風(fēng)險(xiǎn)評估、風(fēng)險(xiǎn)處理、風(fēng)險(xiǎn)接受和風(fēng)險(xiǎn)傳遞

[ISOGuide73：2002]風(fēng)險(xiǎn)（

risk）

------事件的概率及其結(jié)果的組合

[ISOGuide73：2002]風(fēng)險(xiǎn)評價(jià)（riskevaluation）------對照風(fēng)險(xiǎn)準(zhǔn)則比較被估計(jì)的風(fēng)險(xiǎn)，以確定風(fēng)險(xiǎn)嚴(yán)重性的過程

[ISOGuide73：2002]概念3.1 概述信息安全風(fēng)險(xiǎn)信息安全風(fēng)險(xiǎn)是指信息資產(chǎn)的保密性、完整性和可用性遭到破壞的可能性。信息安全風(fēng)險(xiǎn)只考慮那些對組織有負(fù)面影響的事件。風(fēng)險(xiǎn)值=資產(chǎn)價(jià)值×威脅可能性×脆弱性嚴(yán)重性（簡單理解）3.1 概述對信息和信息處理設(shè)施的威脅、影響(Impact，指安全事件所帶來的直接和間接損失)和脆弱性及三者發(fā)生的可能性的評估。3.1 概述風(fēng)險(xiǎn)評估（RiskAssessment）故事分析

在火車開動(dòng)到停止這段時(shí)間內(nèi)，綜合資產(chǎn)、脆弱性、威脅和安全措施等各方面因素進(jìn)行風(fēng)險(xiǎn)評估的結(jié)果是：因?yàn)?0萬元錢不是一筆小數(shù)目（資產(chǎn)），葛優(yōu)等小偷能力很強(qiáng)且決心堅(jiān)決（威脅），且傻根對錢的保管手段（技術(shù)）和意識（管理）都不足（脆弱性），差一點(diǎn)發(fā)生“娶不上媳婦”這樣的結(jié)果（風(fēng)險(xiǎn)）。因好心人劉德華和劉若英等的保護(hù)到位（安全措施），最終錢保住了（風(fēng)險(xiǎn)消減）。3.1 概述以風(fēng)險(xiǎn)為核核心的安全全模型（ISO13335）風(fēng)險(xiǎn)安全措施信息資產(chǎn)威脅脆弱性安全需求降低增加增加利用暴露價(jià)值擁有抗擊增加引出被滿足3.1概述信息安全風(fēng)風(fēng)險(xiǎn)評估的的意義和作作用信息安全中中的風(fēng)險(xiǎn)評評估是傳統(tǒng)統(tǒng)的風(fēng)險(xiǎn)理理論和方法法在信息系系統(tǒng)中的運(yùn)運(yùn)用，是科科學(xué)地分析析和理解信信息與信息息系統(tǒng)在保保密性、完完整性、可可用性等方方面所面臨臨的風(fēng)險(xiǎn)，，并在風(fēng)險(xiǎn)險(xiǎn)的減少、、轉(zhuǎn)移和規(guī)規(guī)避等風(fēng)險(xiǎn)險(xiǎn)控制方法法之間做出出決策的過過程。風(fēng)險(xiǎn)評估將將導(dǎo)出信息息系統(tǒng)的安安全需求，，因此，所所有信息安安全建設(shè)都都應(yīng)該以風(fēng)風(fēng)險(xiǎn)評估為為起點(diǎn)。信信息安全建建設(shè)的最終終目的是服服務(wù)于信息息化，但其其直接目的的是為了控控制安全風(fēng)風(fēng)險(xiǎn)。只有在正確確、全面地地了解和理理解安全風(fēng)風(fēng)險(xiǎn)后，才才能決定如如何處理安安全風(fēng)險(xiǎn)，，從而在信信息安全的的投資、信信息安全措措施的選擇擇、信息安安全保障體體系的建設(shè)設(shè)等問題中中做出合理理的決策。。持續(xù)的風(fēng)險(xiǎn)險(xiǎn)評估工作作可以成為為檢查信息息系統(tǒng)本身身乃至信息息系統(tǒng)擁有有單位的績績效的有力力手段，風(fēng)風(fēng)險(xiǎn)評估的的結(jié)果能夠夠供相關(guān)主主管單位參參考，并使使主管單位位通過行政政手段對信信息系統(tǒng)的的立項(xiàng)、投投資、運(yùn)行行產(chǎn)生影響響，促進(jìn)信信息系統(tǒng)擁擁有單位加加強(qiáng)信息安安全建設(shè)。。3.1概述3.1概概述3.1.1信息安全風(fēng)風(fēng)險(xiǎn)評估相相關(guān)要素信息安全風(fēng)風(fēng)險(xiǎn)評估的的對象是信信息系統(tǒng)，，信息系統(tǒng)統(tǒng)的資產(chǎn)、、信息系統(tǒng)統(tǒng)可能面對對的威脅、、系統(tǒng)中存存在的弱點(diǎn)點(diǎn)（脆弱性性）、系統(tǒng)統(tǒng)中已有的的安全措施施等是影響響信息安全全風(fēng)險(xiǎn)的基基本要素，，它們和安安全風(fēng)險(xiǎn)、、安全風(fēng)險(xiǎn)險(xiǎn)對業(yè)務(wù)的的影響以及及系統(tǒng)安全全需求等構(gòu)構(gòu)成信息安安全風(fēng)險(xiǎn)評評估的要素素。1.資產(chǎn)根據(jù)ISO/IEC13335-1,資產(chǎn)是指任任何對組織織有價(jià)值的的東西，資資產(chǎn)包括：：物理資產(chǎn)產(chǎn)、信息/數(shù)據(jù)、軟軟件、提供供產(chǎn)品和服服務(wù)的能力力、人員、、無形資產(chǎn)產(chǎn)。《信息安全風(fēng)風(fēng)險(xiǎn)評估規(guī)規(guī)范》——資產(chǎn)是指對對組織具有有價(jià)值的信信息資源，，是安全策策略保護(hù)的的對象。以以多種形式式存在，有有無形的、、有形的，，有硬件、、軟件，有有文檔、代代碼，也有有服務(wù)、形形象等。根根據(jù)資產(chǎn)的的表現(xiàn)形式式，可將資資產(chǎn)分為數(shù)數(shù)據(jù)、軟件件、硬件、、文檔、服服務(wù)、人員員等類。3.1概概述2.威脅威脅是可能能對資產(chǎn)或或組織造成成損害的潛潛在原因。。威脅有潛潛力導(dǎo)致不不期望發(fā)生生的事件發(fā)發(fā)生，該事事件可能對對系統(tǒng)或組組織及其資資產(chǎn)造成損損害。這些些損害可能能是蓄意的的對信息系系統(tǒng)和服務(wù)務(wù)所處理信信息的直接接或間接攻攻擊。也可可能是偶發(fā)發(fā)事件。根據(jù)威脅源源的不同，，威脅可分分為：自然威脅、、環(huán)境威脅脅、系統(tǒng)威威脅、人員員威脅3.脆弱性脆弱性是一一個(gè)或一組組資產(chǎn)所具具有的，可可能被威脅脅利用對資資產(chǎn)造成損損害的薄弱弱環(huán)節(jié)。4.風(fēng)險(xiǎn)根據(jù)ISO/IEC13335-1，信息安全全風(fēng)險(xiǎn)是指指威脅利用用利用一個(gè)個(gè)或一組資資產(chǎn)的脆弱弱性導(dǎo)致組組織受損的的潛在，并并以威脅利利用脆弱性性造成的一一系列不期期望發(fā)生的的事件（或或稱為安全全事件）體體現(xiàn)3.1概概述5.影響影響是威脅脅利用資產(chǎn)產(chǎn)的脆弱性性導(dǎo)致不期期望發(fā)生事事件的后果果。這些后后果可能表表現(xiàn)為直接接形式，如如物理介質(zhì)質(zhì)或設(shè)備的的破壞、人人員的損傷傷、直接接的資金損損失等；也也可能表現(xiàn)現(xiàn)為間接的的損失如公公司信用、、形象受損損、市場分分額損失、、法律責(zé)任任等。6.安全措施施安全措施施是指為為保護(hù)資資產(chǎn)、抵抵御威脅脅、減少少脆弱性性、限制制不期望望發(fā)生事事件的影影響、加加速不期期望發(fā)生生事件的的檢測及及響應(yīng)而而采取的的各種實(shí)實(shí)踐、規(guī)規(guī)程和機(jī)機(jī)制的總總稱。7.安全需求求安全需求求是指為為保證組組織業(yè)務(wù)務(wù)戰(zhàn)略的的正常運(yùn)運(yùn)作而在在安全措措施方面面提出的的要求。。3.1概概述3.1.2信息安全全風(fēng)險(xiǎn)評評估信息安全全風(fēng)險(xiǎn)評評估是指指依據(jù)有有關(guān)信息息安全技技術(shù)與管管理標(biāo)準(zhǔn)準(zhǔn)，對信信息系統(tǒng)統(tǒng)及由其其處理、、傳輸和和存儲的的信息的的機(jī)密性性、完整整性和可可用性等等安全屬屬性進(jìn)行行評價(jià)的的過程。。3.1.3風(fēng)險(xiǎn)要素素相互間間的關(guān)系系資產(chǎn)、威威脅、脆脆弱性是是信息安安全風(fēng)險(xiǎn)險(xiǎn)的基本本要素與與信息安安全風(fēng)險(xiǎn)險(xiǎn)有關(guān)的的要素還還包括：：安全措措施、安安全需求求、影響響等。ISO/IEC13335-1對它們之之間的關(guān)關(guān)系描述述如圖2-1所示3.1概概述《信息安全全風(fēng)險(xiǎn)評評估規(guī)范范》GB/T20984對ISO/IEC13335-1提出風(fēng)險(xiǎn)險(xiǎn)要素關(guān)關(guān)系模型型進(jìn)行了了擴(kuò)展我國提出出的信息息風(fēng)險(xiǎn)要要素關(guān)系系圖3.2信信息安安全風(fēng)險(xiǎn)險(xiǎn)評估策策略3.2.1基線風(fēng)險(xiǎn)險(xiǎn)評估要求組織織根據(jù)自自己的實(shí)實(shí)際情況況（所在在行業(yè)、、業(yè)務(wù)環(huán)環(huán)境與性性質(zhì)等）），對信信息系統(tǒng)統(tǒng)進(jìn)行基基線安全全檢查（（將現(xiàn)有的的安全措措施與安安全基線線規(guī)定的的措施進(jìn)進(jìn)行比較較，找出出其中的的差距），得出出基本的的安全需需求，通通過選擇擇并實(shí)施施標(biāo)準(zhǔn)的的安全措措施來消消減和控控制風(fēng)險(xiǎn)險(xiǎn)?？梢愿鶕?jù)據(jù)以下資資源來選選擇安全全基線：：(1)國際標(biāo)準(zhǔn)準(zhǔn)和國家家標(biāo)準(zhǔn)(2)行業(yè)標(biāo)準(zhǔn)準(zhǔn)或推薦薦(3)來自其他他有類似似商務(wù)目目標(biāo)和規(guī)規(guī)模的組組織的慣慣例3.2信信息安安全風(fēng)險(xiǎn)險(xiǎn)評估策策略基線評估估的優(yōu)點(diǎn)點(diǎn)是：(1)風(fēng)險(xiǎn)分析析和每個(gè)個(gè)防護(hù)措措施的實(shí)實(shí)施管理理只需要要最少數(shù)數(shù)量的資資源，并并且在選選擇防護(hù)護(hù)措施時(shí)時(shí)花費(fèi)更更少的時(shí)時(shí)間和努努力(2)如果組織織的大量量系統(tǒng)都都在普通通環(huán)境下下運(yùn)行并并且如果果安全需需要類似似，那么么很多系系統(tǒng)都可可以采用用相同或或相似的的基線防防護(hù)措施施而不需需要太多多的努力力基線評估估的的缺缺點(diǎn)是：：(1)基線水平平難以設(shè)設(shè)置(2)風(fēng)險(xiǎn)評估估不全面面、不透透徹，且且不易處處理變更更3.2信信息安安全風(fēng)險(xiǎn)險(xiǎn)評估策策略3.2.2詳細(xì)風(fēng)險(xiǎn)險(xiǎn)評估詳細(xì)風(fēng)險(xiǎn)險(xiǎn)評估要要求對資資產(chǎn)、威威脅和脆脆弱性進(jìn)進(jìn)行詳細(xì)細(xì)識別和和評價(jià)，，并對可可能引起起風(fēng)險(xiǎn)的的水平進(jìn)進(jìn)行評估估通過不期期望事件件的潛在在負(fù)面業(yè)業(yè)務(wù)影響響評估和和他們發(fā)發(fā)生的可可能性來來完成。。根據(jù)風(fēng)險(xiǎn)險(xiǎn)評估的的結(jié)果來來識別和和選擇安安全措施施，將風(fēng)風(fēng)險(xiǎn)降低低到可接接受的水水平詳細(xì)評估估的優(yōu)點(diǎn)點(diǎn)是：(1)有可能為為所有系系統(tǒng)識別別出適當(dāng)當(dāng)?shù)陌踩胧?2)詳細(xì)分析析的結(jié)果果可用于于安全變變更管理理。詳細(xì)評估估的缺點(diǎn)點(diǎn)：需要更多多的時(shí)間間、努力力和專業(yè)業(yè)知識3.2信信息安安全風(fēng)險(xiǎn)險(xiǎn)評估策策略3.2.3綜合風(fēng)險(xiǎn)險(xiǎn)評估基線風(fēng)險(xiǎn)險(xiǎn)評估耗耗費(fèi)資源源少、周周期短、、操作簡簡單，但但不夠準(zhǔn)準(zhǔn)確，適適合一般般環(huán)境的的評估詳細(xì)風(fēng)險(xiǎn)險(xiǎn)評估準(zhǔn)準(zhǔn)確而細(xì)細(xì)致，但但耗費(fèi)資資源較多多，適合合嚴(yán)格限限定邊界界的較小小范圍內(nèi)內(nèi)的評估估實(shí)踐中，，多采用用二者結(jié)結(jié)合的綜綜合評估估方式3.3信信息安安全風(fēng)險(xiǎn)險(xiǎn)評估流流程3.3.1風(fēng)險(xiǎn)評估估流程概概述風(fēng)險(xiǎn)評估估四個(gè)階階段:階段1:評估準(zhǔn)備備階段2:風(fēng)險(xiǎn)識別別階段3:風(fēng)險(xiǎn)評價(jià)價(jià)階段4:風(fēng)險(xiǎn)處理理3.3信信息安安全風(fēng)險(xiǎn)險(xiǎn)評估流流程3.3.2風(fēng)險(xiǎn)評估估的準(zhǔn)備備風(fēng)險(xiǎn)評估估的準(zhǔn)備備是整個(gè)個(gè)風(fēng)險(xiǎn)評評估過程程有效性性的保證證包括：1．確定風(fēng)風(fēng)險(xiǎn)評估估目標(biāo)2．確定風(fēng)風(fēng)險(xiǎn)評估估的對象象和范圍圍3．組建團(tuán)團(tuán)隊(duì)。組建適當(dāng)當(dāng)?shù)娘L(fēng)險(xiǎn)險(xiǎn)評估管管理與實(shí)實(shí)施團(tuán)隊(duì)隊(duì)，以支支持整個(gè)個(gè)過程的的推進(jìn)4．選擇方方法應(yīng)考慮評評估的目目的、范范圍、時(shí)時(shí)間、效效果、人人員素質(zhì)質(zhì)等因素素來選擇擇具體的風(fēng)險(xiǎn)判判斷方法法，使之之能夠與與組織環(huán)環(huán)境和安安全要求求相適應(yīng)應(yīng)。5．獲得支支持6．準(zhǔn)備相相關(guān)的評評估工具具3.3信信息安安全風(fēng)險(xiǎn)險(xiǎn)評估流流程3.3.3資產(chǎn)識別別與評估估1．資產(chǎn)識識別資產(chǎn)識別別是風(fēng)險(xiǎn)險(xiǎn)識別的的必要環(huán)環(huán)節(jié)。資資產(chǎn)識別別的任務(wù)務(wù)就是對對確定的的評估對對象所涉涉及或包包含的資資產(chǎn)進(jìn)行行詳細(xì)的的標(biāo)識資產(chǎn)識別別過程中中要特別別注意無無形資產(chǎn)產(chǎn)的遺漏漏，同時(shí)時(shí)還應(yīng)注注意不同同資產(chǎn)間間的相互互依賴關(guān)關(guān)系，關(guān)關(guān)系緊密密的資產(chǎn)產(chǎn)可作為為一個(gè)整整體來考考慮，同同一中類類型的資資產(chǎn)也應(yīng)應(yīng)放在一一起考慮慮。資產(chǎn)識別別方法:訪談、現(xiàn)現(xiàn)場調(diào)查查、問卷卷、文檔檔查閱3.3信信息安安全風(fēng)險(xiǎn)險(xiǎn)評估流流程2．資產(chǎn)評評估資產(chǎn)的評評價(jià)是對對資產(chǎn)的的價(jià)值或或重要程程度進(jìn)行行評估，，資產(chǎn)本本身的貨貨幣價(jià)值值是資產(chǎn)產(chǎn)價(jià)值的的體現(xiàn)，，但更重重要的是是資產(chǎn)產(chǎn)對對組組織織關(guān)關(guān)鍵鍵業(yè)業(yè)務(wù)務(wù)的的順順利利開開展展乃乃至至組組織織目目標(biāo)標(biāo)實(shí)實(shí)現(xiàn)現(xiàn)的的重重要要程程度度。由由于于多多數(shù)數(shù)資資產(chǎn)產(chǎn)不不能能以以貨貨幣幣形形式式的的價(jià)價(jià)值值來來衡衡量量，，資資產(chǎn)產(chǎn)評評價(jià)價(jià)很很難難以以定定量量的的方方式式來來進(jìn)進(jìn)行行，，多數(shù)數(shù)情情況況下下只只能能以以定定性性的的形形式式，，依依據(jù)據(jù)重重要要程程度度的的不不同同劃劃分分等等級級定性性：：非常常重重要要→→重重要要→→比比較較重重要要→→不不太太重重要要→→不不重重要要（（5級劃劃分分）定量量：：54321信息息資資產(chǎn)產(chǎn)的的機(jī)密密性性、、完完整整性性、、可可用用性性、、可可審審計(jì)計(jì)性性和和不不可可抵抵賴賴性性等是是評評價(jià)價(jià)資資產(chǎn)產(chǎn)的的安安全全屬屬性性可以以先分分別別對對資資產(chǎn)產(chǎn)在在以以上上各各方方面面的的重重要要程程度度進(jìn)進(jìn)行行評評估估，然然后后通通過過一一定定的的方方法法進(jìn)行行綜綜合合,可得得資資產(chǎn)產(chǎn)的的綜合合價(jià)價(jià)值值2.資產(chǎn)產(chǎn)評評估估資產(chǎn)產(chǎn)價(jià)價(jià)值值應(yīng)應(yīng)依依據(jù)據(jù)資資產(chǎn)產(chǎn)在保保密密性性、、完完整整性性和和可可用用性性上上的的賦賦值值等等級級，經(jīng)經(jīng)過過綜綜合合評評定定得得出出電子子信信息息資資產(chǎn)產(chǎn)紙介介資資產(chǎn)產(chǎn)軟件件資資產(chǎn)產(chǎn)物理理資資產(chǎn)產(chǎn)人員員服務(wù)務(wù)性性資資產(chǎn)產(chǎn)公司司形形象象和和名名譽(yù)譽(yù)3.3信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)評評估估流流程程2.資產(chǎn)產(chǎn)評評估估資產(chǎn)產(chǎn)價(jià)價(jià)值值應(yīng)應(yīng)依依據(jù)據(jù)資資產(chǎn)產(chǎn)在保保密密性性、、完完整整性性和和可可用用性性上上的的賦賦值值等等級級，經(jīng)過綜合評評定得出最大原則：取取5個(gè)屬性中最大大的那個(gè)屬性性賦值作為綜綜合評價(jià)值VA=Max(VAc,VAi,VAa,VAac,VAn)加權(quán)原則：根根據(jù)屬性保護(hù)護(hù)對業(yè)務(wù)開展展影響賦權(quán)重重Wc+Wi+Wa+Wac+Wn=1，VA=VAc·Wc+VAi·Wi+VAa·Wa+VAac·Wac+VAn·Wn3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程2.資產(chǎn)評估《信息安全風(fēng)險(xiǎn)險(xiǎn)評估規(guī)范》GB/T20984推薦方法：首先，對資產(chǎn)產(chǎn)的機(jī)密性、、完整性、可可用性定性賦賦值其次，用一定定方法進(jìn)行綜綜合，基本屬屬于最大原則則機(jī)密性賦值表表2-3（P28）完整性賦值表表2-4（P29）資產(chǎn)可用性賦賦值表2-5（P29）對關(guān)鍵資產(chǎn)進(jìn)進(jìn)行風(fēng)險(xiǎn)評估估是重點(diǎn)3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程2.資產(chǎn)評估3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程賦值標(biāo)識定義5很高包含組織最重要的秘密，關(guān)系未來發(fā)展的前途命運(yùn)，對組織根本利益有著決定性的影響，如果泄露會(huì)造成災(zāi)難性的損害4高包含組織的重要秘密，其泄露會(huì)使組織的安全和利益遭受嚴(yán)重?fù)p害3中等組織的一般性秘密，其泄露會(huì)使組織的安全和利益受到損害2低僅能在組織內(nèi)部或在組織某一部門內(nèi)部公開的信息，向外擴(kuò)散有可能對組織的利益造成輕微損害1很低可對社會(huì)公開的信息，公用的信息處理設(shè)備和系統(tǒng)資源等資產(chǎn)機(jī)密性賦賦值表《信息安全風(fēng)險(xiǎn)險(xiǎn)評估規(guī)范》GB/T209842.資產(chǎn)評估3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程資產(chǎn)完整性賦賦值表賦值標(biāo)識定義5很高完整性價(jià)值非常關(guān)鍵，未經(jīng)授權(quán)的修改或破壞會(huì)對組織造成重大的或無法接受的影響，對業(yè)務(wù)沖擊重大，并可能造成嚴(yán)重的業(yè)務(wù)中斷，難以彌補(bǔ)4高完整性價(jià)值較高，未經(jīng)授權(quán)的修改或破壞會(huì)對組織造成重大影響，對業(yè)務(wù)沖擊嚴(yán)重，較難彌補(bǔ)3中等完整性價(jià)值中等，未經(jīng)授權(quán)的修改或破壞會(huì)對組織造成影響，對業(yè)務(wù)沖擊明顯，但可以彌補(bǔ)2低完整性價(jià)值較低，未經(jīng)授權(quán)的修改或破壞會(huì)對組織造成輕微影響，對業(yè)務(wù)沖擊輕微，容易彌補(bǔ)1很低完整性價(jià)值非常低，未經(jīng)授權(quán)的修改或破壞對組織造成的影響可以忽略，對業(yè)務(wù)沖擊可以忽略《信息安全風(fēng)險(xiǎn)險(xiǎn)評估規(guī)范》GB/T209842.資產(chǎn)評估3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程資產(chǎn)可用性賦賦值表賦值標(biāo)識定義5很高可用性價(jià)值非常高，合法使用者對信息及信息系統(tǒng)的可用度達(dá)到年度99.9%以上，或系統(tǒng)不允許中斷4高可用性價(jià)值較高，合法使用者對信息及信息系統(tǒng)的可用度達(dá)到每天90%以上，或系統(tǒng)允許中斷時(shí)間小于10min3中等可用性價(jià)值中等，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時(shí)間達(dá)到70%以上，或系統(tǒng)允許中斷時(shí)間小于30min2低可用性價(jià)值較低，合法使用者對信息及信息系統(tǒng)的可用度在正常工作時(shí)間達(dá)到25%以上，或系統(tǒng)允許中斷時(shí)間小于60min5很高可用性價(jià)值非常高，合法使用者對信息及信息系統(tǒng)的可用度達(dá)到年度99.9%以上，或系統(tǒng)不允許中斷《信息安全風(fēng)險(xiǎn)險(xiǎn)評估規(guī)范》GB/T209842.資產(chǎn)評估3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程資產(chǎn)等級及含含義描述等級標(biāo)識描述5很高非常重要，其安全屬性破壞后可能對組織造成非常嚴(yán)重的損失4高重要，其安全屬性破壞后可能對組織造成比較嚴(yán)重的損失3中比較重要，其安全屬性破壞后可能對組織造成中等程度的損失2低不太重要，其安全屬性破壞后可能對組織造成較低的損失1很低不重要，其安全屬性破壞后對組織造成導(dǎo)很小的損失，甚至忽略不計(jì)《信息安全風(fēng)險(xiǎn)險(xiǎn)評估規(guī)范》GB/T209843.3 信息息安全風(fēng)險(xiǎn)評評估流程3.3.4威脅識別與評評估1．威脅識別威脅識別的任任務(wù)是對組織織資產(chǎn)面臨的的威脅進(jìn)行全全面的標(biāo)識威脅識別可從從威脅源進(jìn)行行分析，也可可根據(jù)有關(guān)標(biāo)標(biāo)準(zhǔn)、組織所所提供的威脅脅參考目錄進(jìn)進(jìn)行分析。如威脅樹（P30）系統(tǒng)故障威威脅樹（P31）2．威脅評估安全風(fēng)險(xiǎn)的大大小是由安全全事件發(fā)生的的可能性以及及它造成的影影響決定，安安全事件發(fā)生生的可能性與與威脅出現(xiàn)的的頻率有關(guān)，，而安全事件件的影響則與與威脅的強(qiáng)度度或破壞能力力有關(guān)威脅評估就是是對威脅出現(xiàn)現(xiàn)的頻率及強(qiáng)強(qiáng)度進(jìn)行評估估，這是風(fēng)險(xiǎn)險(xiǎn)評估的重要要環(huán)節(jié)評估者應(yīng)根據(jù)據(jù)經(jīng)驗(yàn)和（或或）有關(guān)的統(tǒng)統(tǒng)計(jì)數(shù)據(jù)來分分析威脅出現(xiàn)現(xiàn)的頻率及其其強(qiáng)度或破壞壞能力威脅評估的通通用方法為威脅列表中中的全部可賦賦值威脅類進(jìn)進(jìn)行賦值3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程等級標(biāo)識定義5很高出現(xiàn)的頻率很高（或≥1次/周）；或在大多數(shù)情況下幾乎不可避免；或可以證實(shí)經(jīng)常發(fā)生過4高出現(xiàn)的頻率較高（或≥1次/月）；或在大多數(shù)情況下很有可能會(huì)發(fā)生；或可以證實(shí)多次發(fā)生過3中出現(xiàn)的頻率中等（或>1次/半年）；或在某種情況下可能會(huì)發(fā)生；或被證實(shí)曾經(jīng)發(fā)生過2低出現(xiàn)的頻率較?。换蛞话悴惶赡馨l(fā)生；或沒有被證實(shí)發(fā)生過1很低威脅幾乎不可能發(fā)生，僅可能在非常罕見和例外的情況下發(fā)生威脅賦值表《信息安全風(fēng)險(xiǎn)險(xiǎn)評估規(guī)范》GB/T20984威脅評估的通通用方法判斷威脅出現(xiàn)現(xiàn)的頻率是威威脅賦值的重重要內(nèi)容，應(yīng)應(yīng)根據(jù)經(jīng)驗(yàn)和和（或）有關(guān)關(guān)的統(tǒng)計(jì)數(shù)據(jù)據(jù)來進(jìn)行判斷斷。需要綜合合考慮以下三三個(gè)方面，以以形成在某種種評估環(huán)境中中各種威脅出出現(xiàn)的頻率：：--以往安全事件件報(bào)告中出現(xiàn)現(xiàn)過的威脅及及其頻率的統(tǒng)統(tǒng)計(jì)；--實(shí)際環(huán)境中通通過檢測工具具以及各種日日志發(fā)現(xiàn)的威威脅及其頻率率的統(tǒng)計(jì)；--近一兩年來國國際組織發(fā)布布的對于整個(gè)個(gè)社會(huì)或特定定行業(yè)的威脅脅及其頻率統(tǒng)統(tǒng)計(jì)，以及發(fā)發(fā)布的威脅預(yù)預(yù)警。為簡化后續(xù)的的風(fēng)險(xiǎn)計(jì)算過過程，避免不不必要的計(jì)算算工作，僅采采用TOP5或者TOP10威脅參與風(fēng)險(xiǎn)險(xiǎn)計(jì)算3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程威脅舉例3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程外部威脅發(fā)展展網(wǎng)絡(luò)欺騙或訛訛詐感染惡意代碼碼泄露重要信息息手機(jī)攻擊網(wǎng)絡(luò)仿冒網(wǎng)頁篡改網(wǎng)頁惡意代碼垃圾郵件拒絕服務(wù)攻擊病毒蠕蟲木馬3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程3.3 信息息安全風(fēng)險(xiǎn)評評估流程3.3.5脆弱性識別與與評估1．脆弱性識別別也稱為弱點(diǎn)識識別。弱點(diǎn)是是資產(chǎn)本身存存在的，如果果沒有相應(yīng)的的威脅發(fā)生，，單純的弱點(diǎn)點(diǎn)本身不會(huì)對對資產(chǎn)造成損損害。而且如如果系統(tǒng)足夠夠強(qiáng)健，再嚴(yán)嚴(yán)重的威脅也也不會(huì)導(dǎo)致安安全事件，并并造成損失。。即,威脅總是要利利用資產(chǎn)的脆脆弱性才可能能造成危害脆弱性識別時(shí)時(shí)的數(shù)據(jù)應(yīng)來來自于資產(chǎn)的的所有者、使使用者，以及及相關(guān)業(yè)務(wù)領(lǐng)領(lǐng)域和軟硬件件方面的專業(yè)業(yè)人員等脆弱性識別所所采用的方法法主要有：問卷調(diào)查、工工具檢測、人人工核查、文文檔查閱、滲滲透性測試等等3.3 信息息安全風(fēng)險(xiǎn)評評估流程3.3.5脆弱性識別與與評估1．脆弱性識別別脆弱性識別主主要從技術(shù)和和管理兩個(gè)方方面進(jìn)行技術(shù)脆弱性涉涉及物理層、、網(wǎng)絡(luò)層、系系統(tǒng)層、應(yīng)用用層等各個(gè)層層面的安全問問題管理脆弱性又又可分為技術(shù)術(shù)管理和組織織管理兩方面面，前者與具具體技術(shù)活動(dòng)動(dòng)相關(guān)，后者者與管理環(huán)境境相關(guān)1．脆弱性識別別類型識別對象識別內(nèi)容技術(shù)脆弱性網(wǎng)絡(luò)結(jié)構(gòu)從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、邊界保護(hù)、外部訪問控制策略、內(nèi)部訪問控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方面進(jìn)行識別系統(tǒng)軟件從補(bǔ)丁安裝、物理保護(hù)、用戶帳號、口令策略、資源共享、事件審計(jì)、訪問控制、新系統(tǒng)配置、注冊表加固、網(wǎng)絡(luò)安全、系統(tǒng)管理等方面進(jìn)行識別應(yīng)用中間件從協(xié)議安全、交易完整性、數(shù)據(jù)完整性等方面進(jìn)行識別應(yīng)用系統(tǒng)從審計(jì)機(jī)制、審計(jì)存儲、訪問控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識別管理脆弱性技術(shù)管理從物理和環(huán)境安全、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識別組織管理從安全策略、組織安全、資產(chǎn)分類與控制、人員安全、符合性等方面進(jìn)行識別3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程脆弱性識別內(nèi)內(nèi)容表3.3 信息息安全風(fēng)險(xiǎn)評評估流程2.脆弱性評估對脆弱性被利利用后對資產(chǎn)產(chǎn)損害程度、技術(shù)實(shí)現(xiàn)的的難易程度、、弱點(diǎn)流行程程度進(jìn)行評估估，評估的結(jié)結(jié)果一般都是是定性等級劃劃分形式，綜綜合的標(biāo)識脆脆弱性的嚴(yán)重重程度。也可對脆弱性性被利用后對對資產(chǎn)的損害害程度以及被被利用的可能能性分別評估估，然后以一一定方式綜合合。若多個(gè)脆弱性性反映同一個(gè)個(gè)問題，應(yīng)綜綜合考慮這些些脆弱性，確確定該類脆弱弱性嚴(yán)重程度度脆弱性評估3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程等級標(biāo)識定義5很高如果被威脅利用，將對資產(chǎn)造成完全損害。4高如果被威脅利用，將對資產(chǎn)造成重大損害。3中等如果被威脅利用，將對資產(chǎn)造成一般損害。2低如果被威脅利用，將對資產(chǎn)造成較小損害。1很低如果被威脅利用，將對資產(chǎn)造成的損害可以忽略。脆弱性嚴(yán)重程程度賦值表脆弱性嚴(yán)重程程度可以進(jìn)行行等級化處理理，不同的等等級分別代表表資產(chǎn)脆弱性性嚴(yán)重程度的的高低。等級級數(shù)值越大，，脆弱性嚴(yán)重重程度越高《信息安全風(fēng)險(xiǎn)險(xiǎn)評估規(guī)范》GB/T209843.3 信息息安全風(fēng)險(xiǎn)評評估流程3.3.6已有安全措施施的確認(rèn)安全措施可以以分為預(yù)防性安全措措施和保護(hù)性安全措措施兩種預(yù)防性安全措措施可以降低低威脅利用脆脆弱性導(dǎo)致安安全事件發(fā)生生的可能性，，如入侵檢測測系統(tǒng)通過兩個(gè)方面面的作用來實(shí)實(shí)現(xiàn)（1）減少威脅出出現(xiàn)的頻率，，如通過立法法或健全制度度加大對員工工惡意行為的的懲罰，可以以減少員工故故意行為威脅脅出現(xiàn)的頻率率，通過安全全培訓(xùn)可以減減少無意行為為導(dǎo)致安全事事件出現(xiàn)的頻頻率；（2）減少脆弱性性，如及時(shí)為為系統(tǒng)打補(bǔ)丁丁、對硬件設(shè)設(shè)備定期檢查查能夠減少系系統(tǒng)的技術(shù)脆脆弱性等。保護(hù)性安全措措施可以減少少因安全事件件發(fā)生后對組組織或系統(tǒng)造造成的影響。。3.3信信息安全風(fēng)風(fēng)險(xiǎn)評估流流程3.3.6已有安全措措施的確認(rèn)認(rèn)對已采取的的安全措施施進(jìn)行確認(rèn)認(rèn)，至少有有兩個(gè)方面面的意義（1）有助于對當(dāng)當(dāng)前信息系統(tǒng)統(tǒng)面臨的風(fēng)險(xiǎn)險(xiǎn)進(jìn)行分析（2）通過對當(dāng)前前安全措施的的確認(rèn)，分析析其有效性，，對有效的安安全措施繼續(xù)續(xù)保持，以避避免不必要的的工作和費(fèi)用用，防止安全全措施的重復(fù)復(fù)實(shí)施3.3 信息息安全風(fēng)險(xiǎn)評評估流程3.3.7風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)分析就是是利用資產(chǎn)、、威脅、脆弱弱性識別與評評估結(jié)果以及及對已有安全全措施確認(rèn)后后，采用適當(dāng)當(dāng)?shù)姆椒ㄅc工工具確定威脅利用用脆弱性導(dǎo)致致安全事件發(fā)發(fā)生的可能性性。綜合安全事事件所作用的的資產(chǎn)價(jià)值及及脆弱性的嚴(yán)嚴(yán)重程度，判斷安全事件件造成的損失失對組織的影影響，即安全全風(fēng)險(xiǎn)3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程3.3.7風(fēng)險(xiǎn)分析1．風(fēng)險(xiǎn)計(jì)算如前所述，風(fēng)風(fēng)險(xiǎn)可形式化化的表示為R=(A,T,V)，其中R表示風(fēng)險(xiǎn)、A表示資產(chǎn)、T表示威脅、V表示脆弱性。。相應(yīng)的風(fēng)險(xiǎn)險(xiǎn)值由A、T、V的取值決定，，是它們的函函數(shù)，可以表表示為：風(fēng)險(xiǎn)值=R（（A，T，V）=R(L(T，V)，F(xiàn)(Ia，Va))Va表示脆弱弱性嚴(yán)重程度度；L表示威脅利利用資產(chǎn)的脆脆弱性導(dǎo)致安安全事件發(fā)生生的可能性；；F表示安全事事件發(fā)生后產(chǎn)產(chǎn)生的損失3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程3.3.7風(fēng)險(xiǎn)分析1．風(fēng)險(xiǎn)計(jì)算三個(gè)關(guān)鍵計(jì)算算環(huán)節(jié)：a）計(jì)算安全事事件發(fā)生的可可能性根據(jù)威脅出現(xiàn)現(xiàn)頻率及弱點(diǎn)點(diǎn)的狀況，計(jì)計(jì)算威脅利用用脆弱性導(dǎo)致致安全事件發(fā)發(fā)生的可能性性，即：安全事件發(fā)生生的可能性=L(威脅出現(xiàn)頻率率，脆弱性)=L(T，V)在具體評估中中，應(yīng)綜合攻攻擊者技術(shù)能能力（專業(yè)技技術(shù)程度、攻攻擊設(shè)備等））、脆弱性被被利用的難易易程度（可訪訪問時(shí)間、設(shè)設(shè)計(jì)和操作知知識公開程度度等）、資產(chǎn)產(chǎn)吸引力等因因素來判斷安安全事件發(fā)生生的可能性。。3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程3.3.7風(fēng)險(xiǎn)分析1．風(fēng)險(xiǎn)計(jì)算三個(gè)關(guān)鍵計(jì)算算環(huán)節(jié)：b）計(jì)算安全全事件發(fā)生后后的損失根據(jù)資產(chǎn)價(jià)值值及脆弱性嚴(yán)嚴(yán)重程度，計(jì)計(jì)算安全事件件一旦發(fā)生后后的損失，即即：安全事件的損損失=F(資資產(chǎn)價(jià)值，脆脆弱性嚴(yán)重程程度)=F(Ia，Va)部分安全事件件的發(fā)生造成成的損失不僅僅僅是針對該該資產(chǎn)本身，，還可能影響響業(yè)務(wù)的連續(xù)續(xù)性；不同安安全事件的發(fā)發(fā)生對組織造造成的影響也也是不一樣的的。在計(jì)算某某個(gè)安全事件件的損失時(shí)，，應(yīng)將對組織織的影響也考考慮在內(nèi)。對發(fā)生可能性性極小的安全全事件，可以以不計(jì)算其損損失3.3信息安全風(fēng)險(xiǎn)險(xiǎn)評估流程3.3.7風(fēng)險(xiǎn)分析1．風(fēng)險(xiǎn)計(jì)算三個(gè)關(guān)鍵計(jì)算算環(huán)節(jié)：c）計(jì)算風(fēng)險(xiǎn)值根據(jù)計(jì)算出的的安全事件發(fā)發(fā)生的可能性性以及安全事事件的損失，，計(jì)算風(fēng)險(xiǎn)值值，即：風(fēng)險(xiǎn)值=R(安全事件發(fā)生生的可能性，，安全事件造造成的損失)=R(L(T，V)，F(xiàn)(Ia，Va))可根據(jù)自身情情況選擇相應(yīng)應(yīng)的風(fēng)險(xiǎn)計(jì)算算方法計(jì)算風(fēng)風(fēng)險(xiǎn)值，如矩矩陣法或相乘乘法。矩陣法通過構(gòu)構(gòu)造一個(gè)二維維矩陣，形成成安全事件發(fā)發(fā)生的可能性性與安全事件件的損失之間間的二維關(guān)系系相乘法通過構(gòu)構(gòu)造經(jīng)驗(yàn)函數(shù)數(shù)，將安全事事件發(fā)生的可可能性與安全全事件的損失失進(jìn)行運(yùn)算得得到風(fēng)險(xiǎn)值。。3.3 信息息安全風(fēng)險(xiǎn)評評估流程2．影響分析安全事件對組組織的影響可可體現(xiàn)在以下下方面：直接經(jīng)濟(jì)損失失、物理資產(chǎn)產(chǎn)的損壞、業(yè)業(yè)務(wù)影響、法律責(zé)任、人人員安全危害害、信譽(yù)（形形象）損失上述損失有些些容易定量表表示，有些則則很難3．可能性分析析安全事件發(fā)生生的可能性的的因素有：資產(chǎn)吸引力、、威脅出現(xiàn)的的可能性、脆弱性的屬性性、安全措施施的效能等。。根據(jù)威脅源的的分類，引起起安全事件發(fā)發(fā)生的原因可可能自然災(zāi)害、環(huán)環(huán)境及系統(tǒng)威威脅、人員無意行為為、人員故意意行為等不同類型的安安全事件，其其可能性影響響因素也有點(diǎn)點(diǎn)不同3.3 信息息安全風(fēng)險(xiǎn)評評估流程4.風(fēng)險(xiǎn)結(jié)果判定定為實(shí)現(xiàn)對風(fēng)險(xiǎn)險(xiǎn)的控制與管管理，可以對對風(fēng)險(xiǎn)評估的的結(jié)果進(jìn)行等等級化處理。。可以將風(fēng)險(xiǎn)險(xiǎn)劃分為五級級，等級越高高，風(fēng)險(xiǎn)越高高根據(jù)所采用的的風(fēng)險(xiǎn)計(jì)算方方法，計(jì)算每每種資產(chǎn)面臨臨的風(fēng)險(xiǎn)值根據(jù)風(fēng)險(xiǎn)值的的分布狀況，，為每個(gè)等級級設(shè)定風(fēng)險(xiǎn)值值范圍，并對對所有風(fēng)險(xiǎn)計(jì)計(jì)算結(jié)果進(jìn)行行等級處理。。每個(gè)等級代表表了相應(yīng)風(fēng)險(xiǎn)險(xiǎn)的嚴(yán)重程度度等級標(biāo)識描述5很高一旦發(fā)生將產(chǎn)生非常嚴(yán)重的經(jīng)濟(jì)或社會(huì)影響，如組織信譽(yù)嚴(yán)重破壞、嚴(yán)重影響組織的正常經(jīng)營，經(jīng)濟(jì)損失重大、社會(huì)影響惡劣4高一旦發(fā)生將產(chǎn)生較大的經(jīng)濟(jì)或社會(huì)影響，在一定范圍內(nèi)給組織的經(jīng)營和組織信譽(yù)造成損害3中等一旦發(fā)生會(huì)造成一定的經(jīng)濟(jì)、社會(huì)或生產(chǎn)經(jīng)營影響，但影響面和影響程度不大2低一旦發(fā)生造成的影響程度較低，一般僅限于組織內(nèi)部，通過一定手段很快能解決1很低一旦發(fā)生造成的影響幾乎不存在，通過簡單的措施就能彌補(bǔ)風(fēng)險(xiǎn)等級劃分分表3.3 信息息安全風(fēng)險(xiǎn)評評估流程3.3.8安全措施的選選取風(fēng)險(xiǎn)評估的目目的不僅是獲獲取組織面臨臨的有關(guān)風(fēng)險(xiǎn)險(xiǎn)信息，更重重要的是采取取適當(dāng)?shù)拇胧┦踩L(fēng)險(xiǎn)險(xiǎn)控制在可接接受的范圍內(nèi)內(nèi)。安全措施可以以降低安全事事件造成的影影響，也可以以降低安全事事件發(fā)生的可可能性，在對對組織面臨的的安全風(fēng)險(xiǎn)有有全面認(rèn)識后后，應(yīng)根據(jù)風(fēng)風(fēng)險(xiǎn)的性質(zhì)選選取合適的安安全措施，并并對對可能的的殘余風(fēng)險(xiǎn)進(jìn)進(jìn)行分析，直直到殘余風(fēng)險(xiǎn)險(xiǎn)為可接受風(fēng)風(fēng)險(xiǎn)為止。3.3 信息息安全風(fēng)險(xiǎn)評評估流程3.3.9風(fēng)險(xiǎn)評評估文文件記記錄風(fēng)險(xiǎn)評評估文文件包包括在在整個(gè)個(gè)風(fēng)險(xiǎn)險(xiǎn)評估估過程程中產(chǎn)產(chǎn)生的的評估估過程程文檔檔和評評估結(jié)結(jié)果文文檔，，這些些文檔檔包括括：(1)風(fēng)險(xiǎn)評評估方方案(2)風(fēng)險(xiǎn)評評估程程序(3)資產(chǎn)識識別清清單(4)重要資資產(chǎn)清清單(5)威脅列列表(6)脆弱性性列表表(7)已有安安全措措施確確認(rèn)表表(8)風(fēng)險(xiǎn)評評估報(bào)報(bào)告(9)風(fēng)險(xiǎn)處處理計(jì)計(jì)劃(10)風(fēng)險(xiǎn)評評估記記錄3.3信信息安安全風(fēng)風(fēng)險(xiǎn)評評估流流程3.3.10信息系系統(tǒng)生生命周周期各各階段段評估估風(fēng)險(xiǎn)評評估應(yīng)應(yīng)貫穿穿于信信息系系統(tǒng)生生命周周期的的各階階段中中信息系系統(tǒng)生生命周周期各各階段段中涉涉及的的風(fēng)險(xiǎn)險(xiǎn)評估估的原原則和和方法法是一一致的的，但但由于于各階階段實(shí)實(shí)施的的內(nèi)容容、對對象、、安全全需求求不同同，使使得風(fēng)風(fēng)險(xiǎn)評評估的的對象象、目目的、、要求求等各各方面面也有有所不不同。。規(guī)劃設(shè)設(shè)計(jì)階階段，，通過過風(fēng)險(xiǎn)險(xiǎn)評估估以確確定系系統(tǒng)的的安全全目標(biāo)標(biāo)；建設(shè)驗(yàn)驗(yàn)收階階段，，通過過風(fēng)險(xiǎn)險(xiǎn)評估估以確確定系系統(tǒng)的的安全全目標(biāo)標(biāo)達(dá)成成與否否；運(yùn)行維維護(hù)階階段，，要不不斷地地實(shí)施施風(fēng)險(xiǎn)險(xiǎn)評估估以識識別系系統(tǒng)面面臨的的不斷斷變化化的風(fēng)風(fēng)險(xiǎn)和和脆弱弱性，，從而而確定定安全全措施施的有有效性性，確確保安安全目目標(biāo)得得以實(shí)實(shí)現(xiàn)。。每個(gè)階階段風(fēng)風(fēng)險(xiǎn)評評估的的具體體實(shí)施施應(yīng)根根據(jù)該該階段段的特特點(diǎn)有有所側(cè)側(cè)重有條件件時(shí)，，應(yīng)采采用風(fēng)風(fēng)險(xiǎn)評評估工工具開開展風(fēng)風(fēng)險(xiǎn)評評估活活動(dòng)3.3信信息安安全風(fēng)風(fēng)險(xiǎn)評評估流流程3.3.10信息系系統(tǒng)生生命周周期各各階段段評估估規(guī)劃階階段的的風(fēng)險(xiǎn)險(xiǎn)評估估（詳詳見GB/T20984—2007）設(shè)計(jì)階段的的風(fēng)險(xiǎn)評估估（詳見GB/T20984—2007）實(shí)施階段的的風(fēng)險(xiǎn)評估估（詳見GB/T20984—2007）運(yùn)行維護(hù)階階段的風(fēng)險(xiǎn)險(xiǎn)評估（詳詳見GB/T20984—2007）廢棄階段的的風(fēng)險(xiǎn)評估估（詳見GB/T20984—2007）3.3信信息安全風(fēng)風(fēng)險(xiǎn)評估流流程3.3.11風(fēng)險(xiǎn)評估的的工作形式式分為自評估估和檢查評評估兩種形形式。信息息安全風(fēng)險(xiǎn)險(xiǎn)評估應(yīng)以以自評估為為主，自評評估和檢查查評估相結(jié)結(jié)合、互為為補(bǔ)充自評估是指信息系系統(tǒng)擁有、、運(yùn)營或使使用單位發(fā)發(fā)起的對本本單位信息息系統(tǒng)進(jìn)行行的風(fēng)險(xiǎn)評評估自評估應(yīng)在在本標(biāo)準(zhǔn)的的指導(dǎo)下，，結(jié)合系統(tǒng)統(tǒng)特定的安安全要求進(jìn)進(jìn)行實(shí)施周期性進(jìn)行行的自評估估可以在評評估流程上上適當(dāng)簡化化，重點(diǎn)考考察自上次次評估后系系統(tǒng)發(fā)生變變化后引入入的新威脅脅，以及系系統(tǒng)脆弱性性的完整識識別，以便便于兩次評評估結(jié)果的的對比但系統(tǒng)發(fā)生生重大變更更時(shí)，應(yīng)依依據(jù)本標(biāo)準(zhǔn)準(zhǔn)進(jìn)行完整整的評估3.3信信息安全風(fēng)風(fēng)險(xiǎn)評估流流程3.3.11風(fēng)險(xiǎn)評估的的工作形式式分為自評估估和檢查評評估兩種形形式。信息息安全風(fēng)險(xiǎn)險(xiǎn)評估應(yīng)以以自評估為為主，自評評估和檢查查評估相結(jié)結(jié)合、互為為補(bǔ)充檢查評估是指信息系系統(tǒng)上級管管理部門組組織或國家家有關(guān)職能能部門依法法開展的風(fēng)風(fēng)險(xiǎn)評估。。檢查評估可可依據(jù)本標(biāo)標(biāo)準(zhǔn)的要求求，實(shí)施完完整的風(fēng)險(xiǎn)險(xiǎn)評估過程程。檢查評估也也可在自評評估實(shí)施的的基礎(chǔ)上，，對關(guān)鍵環(huán)環(huán)節(jié)或重點(diǎn)點(diǎn)內(nèi)容實(shí)施施抽樣評估估3.3信信息安全風(fēng)風(fēng)險(xiǎn)評估流流程3.3.11風(fēng)險(xiǎn)評估的的工作形式式檢查評估包括以下內(nèi)內(nèi)容a）自評估隊(duì)隊(duì)伍及技術(shù)術(shù)人員審查查；b）自評估方方法的檢查查；c）自評估過過程控制與與文檔記錄錄檢查；d）自評估資資產(chǎn)列表審審查；e）自評估威威脅列表審審查；f）自評估脆脆弱性列表表審查；g）現(xiàn)有安全全措施有效效性檢查；；h）自評估結(jié)結(jié)果審查與與采取相應(yīng)應(yīng)措施的跟跟蹤檢查；；i）自評估技技術(shù)技能限限制未完成成項(xiàng)目的檢檢查評估；；j）上級關(guān)注注或要求的的關(guān)鍵環(huán)節(jié)節(jié)和重點(diǎn)內(nèi)內(nèi)容的檢查查評估；k）軟硬件維維護(hù)制度及及實(shí)施管理理的檢查；；l）突發(fā)事件件應(yīng)對措施施的檢查；；3.4信信息安全風(fēng)風(fēng)險(xiǎn)評估方方法3.4.1概述信息安全風(fēng)風(fēng)險(xiǎn)評估是是通過采用用一定的方方法對組織織面臨的風(fēng)風(fēng)險(xiǎn)進(jìn)行識識別，并分分析風(fēng)險(xiǎn)對對組織帶來來的影響以以及其發(fā)生生的可能性性大小，然然后通過一一定的綜合合評價(jià)方法法來評估組組織面臨的的風(fēng)險(xiǎn)，并并選取適當(dāng)當(dāng)?shù)拇胧﹣韥砜刂骑L(fēng)險(xiǎn)險(xiǎn)。風(fēng)險(xiǎn)評評估的復(fù)雜雜性決定了了風(fēng)險(xiǎn)評估估方法的多多樣性。從理論上看看，風(fēng)險(xiǎn)評評估方法的的理論基礎(chǔ)礎(chǔ)包括：概概率風(fēng)險(xiǎn)分分析方法、、模糊決策策方法、人人工智能、、定性推理理方法、灰灰色決策理理論、綜合合評價(jià)方法法等。從風(fēng)險(xiǎn)評估估過程整體體上看，風(fēng)風(fēng)險(xiǎn)評估方方法有：基基于資產(chǎn)驅(qū)驅(qū)動(dòng)的風(fēng)險(xiǎn)險(xiǎn)評估方法法、威脅驅(qū)驅(qū)動(dòng)的風(fēng)險(xiǎn)險(xiǎn)評估方法法、脆弱性性驅(qū)動(dòng)的風(fēng)風(fēng)險(xiǎn)評估方方法、基于于案例的風(fēng)風(fēng)險(xiǎn)評估方方法等。從風(fēng)險(xiǎn)分析析方法來看看，風(fēng)險(xiǎn)評評估方法可可分為兩大大類：定量量方法與定定性方法。。3.4信信息安全風(fēng)風(fēng)險(xiǎn)評估方方法3.4.2信息安全風(fēng)風(fēng)險(xiǎn)評估理理論基礎(chǔ)1.概率風(fēng)險(xiǎn)分分析概率風(fēng)險(xiǎn)分分析方法的的思想是利利用概率論論方法來識識別和分析析風(fēng)險(xiǎn)，這這類方法主主要包括：：故障樹分分析法（FTA），故障模模式影響和和危害程度度分析方法法（FMECA），危害及及可操作性性研究分析析方法（HazOp）和Markov分析法。2.模糊決策方方法風(fēng)險(xiǎn)評估的的對象以及及信息系統(tǒng)統(tǒng)的狀態(tài)具具有不確定定性，經(jīng)典典的數(shù)學(xué)模模型由于其其精確性特特點(diǎn)使得它它很難很好好的把握問問題的實(shí)質(zhì)質(zhì)，模糊決決策方法填填補(bǔ)了這方方面的不足足。模糊決策理理論不是把把問題變成成模糊不清清的東西，，相反，它它具有數(shù)學(xué)學(xué)的共性：：條理分明明、一絲不不茍，它是是通過規(guī)范范化的理論論體系來描描述模糊的的對象，使使模糊對象象能清晰的的呈現(xiàn)在決決策者面前前，這是經(jīng)經(jīng)典的數(shù)學(xué)學(xué)理論所不不能做到的的。3.4信信息安全風(fēng)風(fēng)險(xiǎn)評估方方法3.人工智能人工智能是是20世紀(jì)中期產(chǎn)產(chǎn)生的并正正在迅速發(fā)發(fā)展的新興興邊緣學(xué)科科,它是探索和和模擬人的的智能和思思維過程的的規(guī)律,并進(jìn)而設(shè)計(jì)計(jì)出類似人人的某些智智能化的科科學(xué)。信息系統(tǒng)狀狀態(tài)變化規(guī)規(guī)律的復(fù)雜雜性決定了了很難用一一確定的數(shù)數(shù)學(xué)模型來來描述，應(yīng)應(yīng)綜合神經(jīng)經(jīng)網(wǎng)絡(luò)、智智能推理，，知識庫等等多方面知知識，建立立一個(gè)具有有自學(xué)習(xí)能能力的專家家系統(tǒng)，目目前基于案案例的風(fēng)險(xiǎn)險(xiǎn)評估方法法就是這一一理論的具具體應(yīng)用。。6.灰色系統(tǒng)理理論部分信息已已知、部分分信息未知知的系統(tǒng)稱稱為灰色系系統(tǒng)?；疑到y(tǒng)理論論是研究和和解決灰色色系統(tǒng)分析析、建模、、預(yù)測和控控制的理論論。在信息息世界，由由于數(shù)據(jù)的的短缺或事事物本身的的特性，很很多現(xiàn)象是是“灰色””的，其意意義是指其其中含有已已知的、未未知的與非非確定的種種種信息。。3.4信信息安全風(fēng)風(fēng)險(xiǎn)評估方方法7.綜合評價(jià)方方法信息安全風(fēng)風(fēng)險(xiǎn)評估對對象是多指指標(biāo)的復(fù)雜雜系統(tǒng)，對對于多指標(biāo)標(biāo)系統(tǒng)，評評價(jià)指標(biāo)有有多個(gè)，不不同指標(biāo)有有不同的量量綱，多指指標(biāo)系統(tǒng)的的評價(jià)過程程中必須解解決以下兩兩個(gè)問題：：其一是采采用什么方方法將不同同量綱指標(biāo)標(biāo)無量綱化化，其二是是采用何種種方式確定定不同指標(biāo)標(biāo)的相對重重要性，通通常是引入入權(quán)向量來來描述。不不同綜合評評價(jià)方法有有不同的處處理方法，，常用的綜綜合評價(jià)方方法有綜合合指數(shù)法、、功效評分分法、TOPSIS法、、層層次次分分析析法法、、主主成成份份分分析析法法、、聚聚類類分分析析法法等等(1)綜合合指指數(shù)數(shù)法法是是多多指指標(biāo)標(biāo)系系統(tǒng)統(tǒng)的的一一種種評評價(jià)價(jià)方方法法。。綜綜合合指指數(shù)數(shù)法法通通過過計(jì)計(jì)算算各各評評價(jià)價(jià)對對象象對對每每個(gè)個(gè)指指標(biāo)標(biāo)折折算算指指數(shù)數(shù)值值來來實(shí)實(shí)現(xiàn)現(xiàn)不不同同指指標(biāo)標(biāo)值值的的無無量量綱綱化化，，并并通通過過加加權(quán)權(quán)平平均均方方法法計(jì)計(jì)算算綜綜合合指指數(shù)數(shù)值值3.4信信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)評評估估方方法法(2)功效效評評分分法法通通過過功功效效系系數(shù)數(shù)來來實(shí)實(shí)現(xiàn)現(xiàn)不不同同指指標(biāo)標(biāo)的的無無量量綱綱化化，，然然后后在在利利用用其其他他方方法法來來確確定定功功效效權(quán)權(quán)值值，，如如均均權(quán)權(quán)法法、、層層次次分分析析法法、、離離差差權(quán)權(quán)法法等等。。(3)TOPSIS法3.4信信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)評評估估方方法法3.4信信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)評評估估方方法法(4)層次次分分析析法法是是將將決決策策問問題題的的有有關(guān)關(guān)元元素素分分解解成成目目標(biāo)標(biāo)、、準(zhǔn)準(zhǔn)則則、、方方案案等等層層次次，，在在此此基基礎(chǔ)礎(chǔ)上上進(jìn)進(jìn)行行定定量量和和定定性性分分析析的的一一種種決決策策方方法法。。層層次次分分析析法法的的決決策策過過程程如如下下：：a)分析析各各影影響響因因素素間間的的關(guān)關(guān)系系，，建建立立層層次次模模型型b)構(gòu)建建兩兩兩兩比比較較判判斷斷矩矩陣陣c)計(jì)算算單單個(gè)個(gè)判判斷斷矩矩陣陣對對應(yīng)應(yīng)的的權(quán)權(quán)重重向向量量d)計(jì)算算各各層層元元素素對對目目標(biāo)標(biāo)層層的的合合成成權(quán)權(quán)重重向向量量(5)主成成分分分分析析是是一一種種多多元元統(tǒng)統(tǒng)計(jì)計(jì)分分析析方方法法，，對對于于多多指指標(biāo)標(biāo)的的復(fù)復(fù)雜雜評評價(jià)價(jià)系系統(tǒng)統(tǒng)，，由由于于指指標(biāo)標(biāo)多多，，數(shù)數(shù)據(jù)據(jù)處處理理相相當(dāng)當(dāng)復(fù)復(fù)雜雜，，由由于于指指標(biāo)標(biāo)之之間間存存在在一一定定的的關(guān)關(guān)系系，，可可以以適適當(dāng)當(dāng)簡簡化化。。主主成成分分分分析析的的思思想想是是通通過過一一定定的的變變換換，，用用較較少少的的指指標(biāo)標(biāo)來來代代替替原原先先較較多多的的指指標(biāo)標(biāo)，，從從而而達(dá)達(dá)到到簡簡化化問問題題的的處處理理與與分分析析的的目目的的。。(6)聚類類分分析析法法是是解解決決““物物以以類類聚聚””，，解解決決事事務(wù)務(wù)分分類類的的一一種種數(shù)數(shù)學(xué)學(xué)方方法法。。它它是是在在沒沒有有或或不不用用樣樣品品所所述述類類別別信信息息的的情情況況下下，，依依據(jù)據(jù)對對樣樣品品采采集集的的數(shù)數(shù)據(jù)據(jù)的的內(nèi)內(nèi)在在結(jié)結(jié)構(gòu)構(gòu)以以及及相相互互間間的的關(guān)關(guān)系系，，在在樣樣品品間間相相似似性性度度量量的的基基礎(chǔ)礎(chǔ)上上，，對對樣樣品品進(jìn)進(jìn)行行分分類類的的一一種種方方法法3.4信信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)評評估估方方法法3.4.3定量量方方法法定量量方方法法試試圖圖用用具具體體的的貨貨幣幣表表示示形形式式的的損損失失值值來來分分析析和和度度量量風(fēng)風(fēng)險(xiǎn)險(xiǎn)，，定定量量方方法法主主要要有有基基于于期期望望損損失失的的風(fēng)風(fēng)險(xiǎn)險(xiǎn)評評估估方方法法與與基基于于期期望望損損失失效效用用的的風(fēng)風(fēng)險(xiǎn)險(xiǎn)評評估估方方法法等等。。1．基基于于期期望望損損失失的的風(fēng)風(fēng)險(xiǎn)險(xiǎn)評評估估方方法法類似似的的定定義義還還有有期期望望年年損損失失ALE（AnnualLossExpectancy），，它它是是以以組織在目前安安全狀態(tài)下平平均年損失作作為風(fēng)險(xiǎn)度量的標(biāo)準(zhǔn)準(zhǔn)。若風(fēng)險(xiǎn)事事件E造成的相對損失為loss，其發(fā)生的可可能性為L，loss和L均為取值在[0,1]區(qū)間定量值。。若依據(jù)期望損失理論論，將根據(jù)loss×L值大小劃分等級，等級級劃分方法結(jié)結(jié)果如圖2-9所示3.4 信息息安全風(fēng)險(xiǎn)評評估方法2．基于期望損損失效用的風(fēng)風(fēng)險(xiǎn)評估方法法若經(jīng)過風(fēng)險(xiǎn)評評估，風(fēng)險(xiǎn)事事件E造成的相對損失為loss，其發(fā)生的可可能性為L，loss和L均為取值在[0,1]區(qū)間定量值。建立立風(fēng)險(xiǎn)等級劃劃分方法，結(jié)果見圖所示示這種方法的好好處就是能夠夠更好的區(qū)分“高損損失、低可能能性”及“低損失、高可可能性”兩種種不同安全事件的風(fēng)險(xiǎn)。。3.4 信息息安全風(fēng)險(xiǎn)評評估方法3.4.4定性方法定性方法不是是給出具體的的貨幣形式的的損失，而是是用諸如“極極為嚴(yán)重、嚴(yán)嚴(yán)重、一般、、可忽略”等等定性方法來來度量風(fēng)險(xiǎn)。。定性方法一一般基于一定定的定量方法法，在定量方方法的基礎(chǔ)上上進(jìn)行裁剪和和簡化。典型型的定性風(fēng)險(xiǎn)險(xiǎn)分析與評價(jià)價(jià)方法有風(fēng)險(xiǎn)險(xiǎn)矩陣測量、、威脅分級法法、風(fēng)險(xiǎn)綜合合評價(jià)等。1．風(fēng)險(xiǎn)矩陣測測量這種方法的特特點(diǎn)是事先建建立資產(chǎn)價(jià)值值、威脅等級級和脆弱性等等級的一個(gè)對對應(yīng)矩陣，預(yù)預(yù)先將風(fēng)險(xiǎn)等等級進(jìn)行了確確定。然后根根據(jù)不同資產(chǎn)產(chǎn)的賦值從矩矩陣中確定不不同的風(fēng)險(xiǎn)。。2．威脅分級法法這種方法是直直接考慮威脅脅、威脅導(dǎo)致致的安全事件件對資產(chǎn)產(chǎn)生生的影響以及及威脅導(dǎo)致安安全事件發(fā)生生的可能性來來確定風(fēng)險(xiǎn)。。3．風(fēng)險(xiǎn)綜合評評價(jià)這種方法中風(fēng)風(fēng)險(xiǎn)由威脅導(dǎo)導(dǎo)致的安全事事件發(fā)生的可可能性、對資資產(chǎn)的影響程程度以及已經(jīng)經(jīng)存在的控制制措施三個(gè)方方面來確定。。與風(fēng)險(xiǎn)矩陣陣法和威脅分分級法不同，，本方法將控控制措施的采采用引入風(fēng)險(xiǎn)險(xiǎn)的評價(jià)之中中。3.5 風(fēng)險(xiǎn)險(xiǎn)評估標(biāo)準(zhǔn)、、方法與民航航案例國