第八章計算機(jī)系統(tǒng)安全風(fēng)險評估

第8章計算機(jī)系統(tǒng)

安全風(fēng)險評估2/4/20231計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)主要內(nèi)容計算機(jī)系統(tǒng)安全風(fēng)險評估的目的和意義安全風(fēng)險評估途徑安全風(fēng)險評估基本方法安全風(fēng)險評估工具安全風(fēng)險評估的依據(jù)和過程2/4/20232計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)8.1計算機(jī)系統(tǒng)安全風(fēng)險評估的目的和意義1.安全風(fēng)險評估是科學(xué)分析并確定風(fēng)險的過程任何系統(tǒng)的安全性都可以通過風(fēng)險的大小來衡量。風(fēng)險評估——人們?yōu)榱苏页龃鸢?，分析確定系統(tǒng)風(fēng)險及風(fēng)險大小，進(jìn)而決定采取什么措施去減少、轉(zhuǎn)移、避免風(fēng)險，把風(fēng)險控制在可以容忍的范圍內(nèi)，這一過程即為風(fēng)險評估。2/4/20233計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)信息安全風(fēng)險評估——從風(fēng)險管理的角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和整改措施，并為防范和化解信息安全風(fēng)險，將風(fēng)險控制在可接受水平，最大程度地保障計算機(jī)網(wǎng)絡(luò)信息系統(tǒng)安全提供科學(xué)依據(jù)。2/4/20234計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)2.信息安全風(fēng)險評估是信息安全建設(shè)的起點(diǎn)和基礎(chǔ)信息安全風(fēng)險評估是風(fēng)險評估理論和方法在信息系統(tǒng)安全中的運(yùn)用，是科學(xué)地分析理解信息和信息系統(tǒng)在機(jī)密性、完整性、可用性等方面所面臨的風(fēng)險，并在風(fēng)險的預(yù)防、控制、轉(zhuǎn)移、補(bǔ)償以及分散等之間作出決策的過程。2/4/20235計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)3.信息安全風(fēng)險評估是需求主導(dǎo)和突出重點(diǎn)原則的具體體現(xiàn)如果說信息安全建設(shè)必須從實際出發(fā)，堅持需求主導(dǎo)、突出重點(diǎn)、則風(fēng)險評估(需求分析)就是這一原則在實際工作中的重要體現(xiàn)。從理論上講風(fēng)險總是客觀存在的，安全是安全風(fēng)險和安全建設(shè)管理代價的綜合平衡。2/4/20236計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)4.重視風(fēng)險評估是信息化比較發(fā)達(dá)的國家的基本經(jīng)驗20世紀(jì)70年代，美國政府就頒布了《自動化數(shù)據(jù)處理風(fēng)險評估指南》，其后頒布的信息安全基本政策文件《聯(lián)邦信息資源安全》明確提出了信息安全風(fēng)險評估的要求——要求聯(lián)邦政府部門依據(jù)信息和信息系統(tǒng)所面臨的風(fēng)險，根據(jù)信息丟失、濫用、泄露、未授權(quán)訪問等造成損失的大小，制定、實施信息安全計劃，以保證信息和信息系統(tǒng)應(yīng)有的安全。2/4/20237計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)8.2安全風(fēng)險評估途徑基線評估(BaselineRiskAssessment)詳細(xì)評估組合評估風(fēng)險評估途徑是指規(guī)定風(fēng)險評估應(yīng)該遵循的操作過程和方式。2/4/20238計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)基線評估(BaselineRiskAssessment)安全基線——在諸多標(biāo)準(zhǔn)規(guī)范中規(guī)定的一組安全控制措施或者慣例，這些措施和慣例適用于特定環(huán)境下的所有系統(tǒng)，可以滿足基本的安全需求，能使系統(tǒng)達(dá)到一定的安全防護(hù)水平。采用基線風(fēng)險評估，組織根據(jù)自己的實際情況，對信息系統(tǒng)進(jìn)行安全基線檢查，即拿現(xiàn)有的安全措施與安全基線規(guī)定的措施進(jìn)行比較，找出其中的差距，得出基本的安全需求，通過選擇并實施標(biāo)準(zhǔn)的安全措施來消減和控制風(fēng)險。2/4/20239計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)優(yōu)點(diǎn)所需資源少、周期短、操作簡單，對于環(huán)境相似且安全需求相當(dāng)?shù)闹T多組織，基線評估顯然是最經(jīng)濟(jì)有效地風(fēng)險評估途徑。缺點(diǎn)基線水平的高低難以設(shè)定。如果過高，可能導(dǎo)致資源浪費(fèi)和限制過度；如果過低，可能難以達(dá)到充分的安全。在管理安全相關(guān)的變化方面，基線評估比較困難。2/4/202310計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)詳細(xì)評估要求對資產(chǎn)進(jìn)行詳細(xì)識別和評估，對可能引起風(fēng)險的威脅和脆弱點(diǎn)進(jìn)行評估，根據(jù)風(fēng)險評估的結(jié)果來識別和選擇安全措施。這種評估途徑集中體現(xiàn)了風(fēng)險管理的思想，即識別資產(chǎn)的風(fēng)險并將風(fēng)險降到可接受的水平，以此證明管理者采用的安全控制措施是恰當(dāng)?shù)?。?yōu)點(diǎn)：通過此途徑可以對信息安全風(fēng)險有一個精確的認(rèn)識，并且準(zhǔn)確定義出組織目前的安全水平和安全需求。缺點(diǎn)：非常耗費(fèi)資源，包括時間、精力、技術(shù)等。2/4/202311計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)組合評估——將前面二者相結(jié)合！優(yōu)點(diǎn)：既節(jié)省評估所耗費(fèi)的資源，又能確保獲得一個全面系統(tǒng)的評估結(jié)果。組織的資源和資金能夠應(yīng)用到最能發(fā)揮作用的地方，具有高風(fēng)險的信息系統(tǒng)能夠被預(yù)先關(guān)注。缺點(diǎn)：如果初步的高級風(fēng)險評估不夠準(zhǔn)確，某些本來需要詳細(xì)評估的系統(tǒng)也會被忽略，最終導(dǎo)致結(jié)果失準(zhǔn)。2/4/202312計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)8.3安全風(fēng)險評估基本方法目標(biāo)——找出組織信息資產(chǎn)面臨的風(fēng)險及其影響基于知識的評估方法基于模型的評估方法定量評估方法定性分析方法定性與定量相結(jié)合的綜合評估方法2/4/202313計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)基于知識的評估方法又稱為經(jīng)驗法，采用這種方法，組織不需要付出很多精力、時間和資源，只要通過多種途徑采集相關(guān)信息，識別組織的風(fēng)險所在和當(dāng)前的安全措施，與特定的標(biāo)準(zhǔn)或最佳慣例進(jìn)行比較，從中找出不符合的地方，并按照標(biāo)準(zhǔn)或最佳慣例的推薦選擇安全措施，最終達(dá)到消減和控制風(fēng)險的目的。信息源包括：會議討論；對當(dāng)前的信息安全策略和相關(guān)文檔進(jìn)行復(fù)查；制作問卷，進(jìn)行調(diào)查；對相關(guān)人員進(jìn)行訪談；進(jìn)行實地考察。2/4/202314計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)基于模型的評估方法CORAS——安全危急系統(tǒng)的風(fēng)險分析平臺，2001年1月，由希臘、德國、英國、挪威等國的多家商業(yè)公司和研究機(jī)構(gòu)共同組織開發(fā)。目的：開發(fā)一個機(jī)遇面向?qū)ο蠼?，特別是UML技術(shù)的風(fēng)險評估框架。評估對象：對安全要求很高的一般性系統(tǒng)，特別是IT系統(tǒng)的安全。2/4/202315計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)優(yōu)點(diǎn)

提高了對安全相關(guān)特性描述的精確性，改善了分析結(jié)果的質(zhì)量；圖形化的建模機(jī)制便于溝通，減少了理解上的偏差；加強(qiáng)了不同評估方法互操作的效率。2/4/202316計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)定量評估方法指運(yùn)用數(shù)量指標(biāo)來對風(fēng)險進(jìn)行評估，即對構(gòu)成風(fēng)險的各個要素和潛在損失的水平賦予數(shù)值或貨幣金額，當(dāng)度量風(fēng)險的所有要素都被賦值，如資產(chǎn)價值、威脅頻率、弱點(diǎn)利用程度、安全措施的效率和成本等，風(fēng)險評估的整個過程和結(jié)果就都可以被量化了。2/4/202317計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)優(yōu)點(diǎn)用直觀的數(shù)據(jù)來表述評估的結(jié)果，可以對安全風(fēng)險進(jìn)行準(zhǔn)確的分級，但這有個前提，即可供參考的數(shù)據(jù)指標(biāo)是準(zhǔn)確的。缺點(diǎn)：定量分析所依賴的數(shù)據(jù)的可靠性很難保證；為了量化，常常將本來比較復(fù)雜的事物簡單化、模糊化了，有的風(fēng)險因素被量化后還可能被誤解和曲解。2/4/202318計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)幾個概念暴露因子EF：特定威脅對特定資產(chǎn)造成損失的百分比，即損失的程度。單一損失期望SLE：即特定威脅可能造成的潛在損失總量。年度發(fā)生率ARO：在一年內(nèi)估計會發(fā)生威脅的頻率。年度損失期望ALE：表示特定資產(chǎn)在一年內(nèi)遭受損失的預(yù)期值。2/4/202319計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)定量分析的過程識別資產(chǎn)并為資產(chǎn)賦值；通過威脅和弱點(diǎn)評估，評估特定威脅作用于特定資產(chǎn)所造成的影響，即EF（0%——100%）；計算特定威脅發(fā)生的頻率ARO；計算資產(chǎn)的SLE：SLE=總資產(chǎn)*EF計算資產(chǎn)的ALE：ALE=SLE*ARO對定量分析來說，有兩個指標(biāo)最為關(guān)鍵：EF和ARO2/4/202320計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)定性分析方法主要依據(jù)評估者的知識、經(jīng)驗、歷史教訓(xùn)、政策走向及特殊情況等非量化資料，對系統(tǒng)風(fēng)險狀況作出判斷的過程。操作方法有：小組討論、檢查列表、問卷、人員訪談、調(diào)查等。在此基礎(chǔ)上，通過一個理論推導(dǎo)演繹的分析框架作出調(diào)查結(jié)論。優(yōu)點(diǎn)：避免了定量方法的缺點(diǎn)，可挖掘出一些蘊(yùn)藏很深的思想，使評估的結(jié)論更全面、深刻。缺點(diǎn)：主觀性很強(qiáng)，往往需要憑借分析者的經(jīng)驗和直覺，或是業(yè)界的標(biāo)準(zhǔn)和慣例，為風(fēng)險管理主要素的大小或高低程度定性分級。2/4/202321計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)定量分析與定性分析比較：定性分析的精確度不夠，定量分析則比價精確，但前期建立風(fēng)險模型較困難；定性分析沒有定量分析那么繁多的計算負(fù)擔(dān)，但要求分析者有一定的經(jīng)驗和能力；定性分析不依賴于大量的統(tǒng)計數(shù)據(jù)，而定量分析則不同；定性分析較為主觀，定量分析基于客觀；定性分析的結(jié)果很難有統(tǒng)一的解釋，但是定量分析的結(jié)果很直觀，任意理解。2/4/202322計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)定性與定量相結(jié)合的綜合評估方法定量分析是定性分析的基礎(chǔ)和前提，定性分析應(yīng)建立在定量分析的基礎(chǔ)上才能揭示客觀事物的內(nèi)在規(guī)律。所以在復(fù)雜的信息系統(tǒng)風(fēng)險評估過程中，應(yīng)該將這兩種方法融合起來。2/4/202323計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)8.4安全風(fēng)險評估工具風(fēng)險評估工具是風(fēng)險評估的輔助手段，是保證風(fēng)險評估結(jié)果可信度的重要因素。它的使用不僅在一定程度上解決了手動評估的局限性，最主要的是它能夠?qū)＜抑R進(jìn)行集中，使專家經(jīng)驗知識被廣泛應(yīng)用。2/4/202324計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)1．風(fēng)險評估與管理工具——一套集成了風(fēng)險評估各類知識和判據(jù)的管理信息系統(tǒng)，以規(guī)范風(fēng)險評估的過程和操作方法；或者是用于收集評估所需要的數(shù)據(jù)和資料，基于專家經(jīng)驗、對輸入輸出進(jìn)行模型分析。分類1）基于信息安全標(biāo)準(zhǔn)的風(fēng)險評估與管理工具。2）基于知識的風(fēng)險評估與管理工具。3）基于模型的風(fēng)險評估與管理工具。2/4/202325計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)2．系統(tǒng)基礎(chǔ)平臺風(fēng)險評估工具系統(tǒng)基礎(chǔ)平臺風(fēng)險評估工具包括脆弱性掃描工具和滲透性測試工具。脆弱性掃描工具主要用于對信息系統(tǒng)的主要部件（如操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、網(wǎng)絡(luò)設(shè)備等）的脆弱性進(jìn)行分析。2/4/202326計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)目前常見的脆弱性掃描工具有以下幾種類型。1）基于網(wǎng)絡(luò)的掃描器。在網(wǎng)絡(luò)中運(yùn)行，能夠檢測如防火墻錯誤配置或連接到網(wǎng)絡(luò)上的易受攻擊的網(wǎng)絡(luò)服務(wù)器的關(guān)鍵漏洞。2）基于主機(jī)的掃描器。發(fā)現(xiàn)主機(jī)的操作系統(tǒng)、特殊服務(wù)和配置的細(xì)節(jié)，發(fā)現(xiàn)潛在的用戶行為風(fēng)險，如密碼強(qiáng)度不夠，也可實施對文件系統(tǒng)的檢查。2/4/202327計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)3）分布式網(wǎng)絡(luò)掃描器。由遠(yuǎn)程掃描代理、對這些代理的即插即用更新機(jī)制、中心管理點(diǎn)三部分構(gòu)成，用于企業(yè)級網(wǎng)絡(luò)的脆弱性評估，分布和位于不同的位置、城市甚至不同的國家。4）數(shù)據(jù)庫脆弱性掃描器。對數(shù)據(jù)庫的授權(quán)、認(rèn)證和完整性進(jìn)行詳細(xì)的分析，也可以識別數(shù)據(jù)庫系統(tǒng)中潛在的脆弱性。2/4/202328計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)滲透性測試工具是根據(jù)脆弱性掃描工具掃描的結(jié)果進(jìn)行模擬攻擊測試，判斷被非法訪問者利用的可能性。這類工具通常包括黑客工具、腳本文件。滲透性測試的目的是檢測已發(fā)現(xiàn)的脆弱性是否真正會給系統(tǒng)或網(wǎng)絡(luò)帶來影響。通常滲透性工具與脆弱性掃描工具一起使用，并可能會對被評估系統(tǒng)的運(yùn)行帶來一定影響。2/4/202329計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)3．風(fēng)險評估輔助工具風(fēng)險評估需要大量的實踐和經(jīng)驗數(shù)據(jù)的支持，這些數(shù)據(jù)的積累是風(fēng)險評估科學(xué)性的基礎(chǔ)。風(fēng)險評估輔助工具可以實現(xiàn)對數(shù)據(jù)的采集、現(xiàn)狀分析和趨勢分析等單項功能，為風(fēng)險評估各要素的賦值、定級提供依據(jù)。2/4/202330計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)常用的輔助工具有：檢查列表—基于特定標(biāo)準(zhǔn)或基線建立的，對特定系統(tǒng)進(jìn)行審查的項目條款。入侵檢測系統(tǒng)—通過部署檢測引擎，收集、處理整個網(wǎng)絡(luò)中的通信信息，以獲取可能對網(wǎng)絡(luò)或主機(jī)造成危害的入侵攻擊事件；幫助檢測各種攻擊試探和誤操作；也可以作為警報器以提醒管理員。2/4/202331計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)安全審計工具—用于記錄網(wǎng)絡(luò)行為，分析系統(tǒng)或網(wǎng)絡(luò)安全現(xiàn)狀；其審計記錄可作為風(fēng)險評估中的安全現(xiàn)狀數(shù)據(jù)，并可用于判斷被評估對象威脅信息的來源。拓?fù)浒l(fā)現(xiàn)工具—主要是完成網(wǎng)絡(luò)硬件設(shè)備的識別、發(fā)現(xiàn)功能。通過接入點(diǎn)接入被評估網(wǎng)絡(luò)，完成被評估網(wǎng)絡(luò)中的資產(chǎn)發(fā)現(xiàn)功能，并提供網(wǎng)絡(luò)資產(chǎn)的相關(guān)信息，包括操作系統(tǒng)版本、型號等。2/4/202332計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)資產(chǎn)信息收集系統(tǒng)—通過提供調(diào)查表形式，完成被評估信息系統(tǒng)數(shù)據(jù)、管理、人員等資產(chǎn)信息的收集功能，了解到組織的主要業(yè)務(wù)、重要資產(chǎn)、威脅、管理缺陷、控制措施和安全策略的執(zhí)行情況。其他—如用于評估過程參考的評估指標(biāo)庫、知識庫、漏洞庫、算法庫、模型庫等。一些專用的自動化的風(fēng)險評估工具：COBRA、CRAMM、ASSET、CORA、CCtools2/4/202333計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)8.5安全風(fēng)險評估的依據(jù)和過程8.5.1風(fēng)險評估依據(jù)

——風(fēng)險評估應(yīng)該依據(jù)國家政策法規(guī)、技術(shù)規(guī)范與管理要求、行業(yè)標(biāo)準(zhǔn)或國際標(biāo)準(zhǔn)進(jìn)行。1）政策法規(guī)。2）國際標(biāo)準(zhǔn)。3）國家標(biāo)準(zhǔn)。4）行業(yè)通用標(biāo)準(zhǔn)。5）其他。2/4/202334計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)8.5.2風(fēng)險要素2/4/202335計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)8.5.3風(fēng)險評估過程2/4/202336計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)1．風(fēng)險評估準(zhǔn)備風(fēng)險評估準(zhǔn)備是整個風(fēng)險評估過程有效性的保證。在正式進(jìn)行風(fēng)險評估之前，阻止應(yīng)該制定一個有效的風(fēng)險評估計劃，確定安全風(fēng)險評估的目標(biāo)、范圍，建立相關(guān)的組織機(jī)構(gòu)，并選擇系統(tǒng)性的安全風(fēng)險評估方法來收集風(fēng)險評估所需的信息和數(shù)據(jù)。2/4/202337計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)具體主要包括以下內(nèi)容。1）確定風(fēng)險評估的目標(biāo)。2）確定風(fēng)險評估的范圍。3）組建適當(dāng)?shù)脑u估管理與實施團(tuán)隊。4）進(jìn)行系統(tǒng)調(diào)研。5）確定評估依據(jù)和方法。6）制定風(fēng)險評估方案。7）獲得最高管理者對風(fēng)險評估工作的支持。2/4/202338計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)2．資產(chǎn)識別在這一過程中確定信息系統(tǒng)的資產(chǎn)，并明確資產(chǎn)的價值。資產(chǎn)是組織(企業(yè)、機(jī)構(gòu))賦予了價值因而需要保護(hù)的東西。資產(chǎn)的確認(rèn)應(yīng)當(dāng)從關(guān)鍵業(yè)務(wù)開始，最終覆蓋所有的關(guān)鍵資產(chǎn)。在確定資產(chǎn)時一定要防止遺漏，劃入風(fēng)險評估范圍的每一項資產(chǎn)都應(yīng)該被確認(rèn)和評估。1）資產(chǎn)分類——數(shù)據(jù)、軟件、硬件、服務(wù)、文檔、人員、其它等。2）資產(chǎn)賦值——三個安全屬性：保密性、完整性、可用性。2/4/202339計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)3．威脅識別在這一步驟中，組織應(yīng)該識別每項(類)資產(chǎn)可能面臨的威脅。安全威脅是一種對組織及其資產(chǎn)構(gòu)成潛在破壞的可能性因素或者事件。無論對于多么安全的信息系統(tǒng)，安全威脅時一個客觀存在的事實，它是風(fēng)險評估的重要因素之一。1）威脅分類。威脅來源——引發(fā)威脅的人或事物，可分為環(huán)境因素和人為因素。2）威脅賦值——對威脅出現(xiàn)的頻率進(jìn)行評估。在評估中對出現(xiàn)的頻率進(jìn)行等級劃分，等級數(shù)值越大，威脅出現(xiàn)的頻率越高。2/4/202340計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)4．脆弱性識別光有威脅還構(gòu)不成風(fēng)險，威脅只有利用了特定的弱點(diǎn)才可能對資產(chǎn)造成影響，所以，組織應(yīng)該針對每一項需要保護(hù)的信息資產(chǎn)，找到可被威脅利用的脆弱點(diǎn)，并對脆弱性的嚴(yán)重程度進(jìn)行評估，即對脆弱性被威脅利用的可能性進(jìn)行評估，最終為其賦予相對等級值。2/4/202341計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)1）脆弱性識別內(nèi)容數(shù)據(jù)來源——資產(chǎn)的所有者、使用者、相關(guān)業(yè)務(wù)領(lǐng)域和軟硬件方面的專業(yè)人員等。采用方法——問卷調(diào)查法、工具檢測法、人工核查法、文檔查閱法、滲透性測試等。脆弱性識別主要從技術(shù)和管理兩個方面進(jìn)行。管理脆弱性又分為技術(shù)管理脆弱性和組織管理脆弱性。2）脆弱性賦值——根據(jù)脆弱性對資產(chǎn)的暴露程度、技術(shù)實現(xiàn)的難易程度、流行程度等，采用等級劃分對已識別的脆弱性的嚴(yán)重程度進(jìn)行賦值。2/4/202342計算機(jī)系統(tǒng)安全原理與技術(shù)(第2版)5．已有安全控制措施確認(rèn)在影響威脅發(fā)生的外部條件中，除了資產(chǎn)的錯弱點(diǎn)外，另一個就是組織現(xiàn)有的安全措施。識別已有的(或已計劃的)安全控制措施，分析安全措施的效力，確定威脅利用弱點(diǎn)的實際可能性，一方面可以指出當(dāng)前安全措施的不足，另一方面也可以避免重復(fù)投資。2/4