電子商務(wù)安全課件版 第8章-電子商務(wù)安全風(fēng)險(xiǎn)管理

第8章電子商務(wù)安全風(fēng)險(xiǎn)管理引例-會(huì)計(jì)咨詢公司

ArmstrongGilmour的倒閉90年代末，PhilGilmour是加利福尼亞的一家會(huì)計(jì)咨詢公司ArmstrongGilmour的管理合伙人。公司相當(dāng)一部分業(yè)務(wù)是個(gè)人委托的管理私人撫恤基金業(yè)務(wù)。客戶的養(yǎng)老金和投資數(shù)據(jù)存儲(chǔ)在一個(gè)公司數(shù)據(jù)庫(kù)，客戶可以在線訪問數(shù)據(jù)庫(kù)，并核對(duì)他們的帳戶。Gilmour致力于管理的養(yǎng)老基金業(yè)務(wù)增長(zhǎng)迅速，因?yàn)闊o法處理日益繁忙的存儲(chǔ)，數(shù)據(jù)庫(kù)崩潰了。幸運(yùn)的是，公司的計(jì)算機(jī)系統(tǒng)有一個(gè)磁帶備份，因此Gilmour認(rèn)為客戶的數(shù)據(jù)應(yīng)該是安全的。當(dāng)該公司試圖恢復(fù)養(yǎng)老金數(shù)據(jù)備份磁帶的時(shí)候，卻發(fā)現(xiàn)磁帶上的數(shù)據(jù)已經(jīng)被損壞了。剩下的唯一的選擇是昂貴和痛苦的。公司的員工在接下來幾個(gè)星期內(nèi)不得不花費(fèi)很長(zhǎng)的時(shí)間長(zhǎng)重新手動(dòng)恢復(fù)數(shù)據(jù)庫(kù)。但這次災(zāi)難耗費(fèi)的總費(fèi)用可能遠(yuǎn)遠(yuǎn)大于員工耗費(fèi)的時(shí)間和用于數(shù)據(jù)庫(kù)恢復(fù)的數(shù)千美元。在公司失去一部分委托人的信任和信譽(yù)之后，Gilmour最終損失了數(shù)百萬美元，以低價(jià)出售了公司。238.1電子商務(wù)安全風(fēng)險(xiǎn)管理的演進(jìn)8.2電子商務(wù)安全風(fēng)險(xiǎn)管理流程8.3電子商務(wù)安全風(fēng)險(xiǎn)管理的整體策略目錄48.1電子商務(wù)安全風(fēng)險(xiǎn)管理的演進(jìn)8.1.1電子商務(wù)安全管理的發(fā)展歷程1、事件驅(qū)動(dòng)時(shí)期只重視技術(shù)防御靜態(tài)、局部、事后糾正2、標(biāo)準(zhǔn)化時(shí)期基本形成安全管理體系，包括技術(shù)手段和管理制度安全風(fēng)險(xiǎn)分析不足3、安全風(fēng)險(xiǎn)管理時(shí)期企業(yè)不僅關(guān)注已發(fā)生的安全問題，更關(guān)心潛在的威脅和攻擊，力圖在問題發(fā)生前化解危機(jī)。電子商務(wù)安全風(fēng)險(xiǎn)：由于從事電子商務(wù)活動(dòng)過程中相關(guān)的網(wǎng)絡(luò)以及系統(tǒng)存在的安全不確定性而產(chǎn)生的經(jīng)濟(jì)或其他利益的損失、自然破壞或損害的可能性61、風(fēng)險(xiǎn)管理（RiskManagement）概念：降低各種風(fēng)險(xiǎn)的發(fā)生概率，或當(dāng)某種風(fēng)險(xiǎn)突然降臨時(shí)，減少損失的管理過程。風(fēng)險(xiǎn)管理包括為提供有效的損失預(yù)防方案而進(jìn)行的規(guī)劃、組織、領(lǐng)導(dǎo)、協(xié)調(diào)和控制活動(dòng)，目的是將風(fēng)險(xiǎn)引起的對(duì)組織資源、收益和現(xiàn)金流等不利的影響最小化。宗旨：承認(rèn)成功的攻擊將會(huì)存在，但發(fā)生的可能性及產(chǎn)生后果的嚴(yán)重程度將被控制在最小值任務(wù)：當(dāng)風(fēng)險(xiǎn)事故發(fā)生時(shí)，采取措施以降低風(fēng)險(xiǎn)的期望值，或降低基本事故發(fā)生的概率。8.1.2電子商務(wù)安全風(fēng)險(xiǎn)管理的現(xiàn)狀風(fēng)險(xiǎn)管理最早于1930年起源于美國(guó)。由于受到1929－1933年的世界性經(jīng)濟(jì)危機(jī)的影響，美國(guó)約有40％左右的銀行和企業(yè)破產(chǎn)，經(jīng)濟(jì)倒退了約20年。美國(guó)企業(yè)為應(yīng)對(duì)經(jīng)營(yíng)上的危機(jī)，許多大中型企業(yè)都在內(nèi)部設(shè)立了保險(xiǎn)管理部門，負(fù)責(zé)安排企業(yè)的各種保險(xiǎn)項(xiàng)目所屬學(xué)科：通信科技（一級(jí)學(xué)科）；政策、法規(guī)與管理（二級(jí)學(xué)科）安氏推崇的基本信息安全風(fēng)險(xiǎn)管理流程需求分析和范圍定義資產(chǎn)鑒別和分類威脅分析安全保障需求級(jí)別定義(可選)風(fēng)險(xiǎn)詳細(xì)評(píng)估和分析(半定量)弱點(diǎn)分析現(xiàn)有安全措施分析綜合風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)的量化和分級(jí)安全措施設(shè)計(jì)和實(shí)施安全措施選擇安全策略改進(jìn)和設(shè)計(jì)安全解決方案設(shè)計(jì)安全措施實(shí)施復(fù)核和復(fù)審殘余風(fēng)險(xiǎn)評(píng)估對(duì)于第一和第二階段的內(nèi)容進(jìn)行定期的再評(píng)估BS7799標(biāo)準(zhǔn)是由英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)(BSI)制定的信息安全管理標(biāo)準(zhǔn)，是國(guó)際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)包括以下兩部分：．BS7799—1:1999《信息安全管理實(shí)施規(guī)則》；．BS7799—2:1999《信息安全管理體系規(guī)范》。

BS7799于1995年首次出版，它提供了一套綜合的、由信息安全最佳實(shí)施組成的通用規(guī)則，為工商業(yè)及大、中、小組織的信息系統(tǒng)在通常情況下所需的安全控制提供標(biāo)準(zhǔn)的參考基準(zhǔn)。

BS7799最新版本于1999年5月在BSI／DISC的BDD／2信息安全管理委員會(huì)的指導(dǎo)下制定完成，它取代了被廢止的BS7799:1995。這一版充分考慮了信息處理技術(shù)，尤其是網(wǎng)絡(luò)和通信領(lǐng)域應(yīng)用的近期發(fā)展，同時(shí)還強(qiáng)調(diào)了電子商務(wù)所涉及的信息安全及信息安全的責(zé)任。電子商務(wù)安全與管理10我國(guó)權(quán)威性信息安全評(píng)測(cè)機(jī)構(gòu)2023/3/9111314158.2電子商務(wù)安全風(fēng)險(xiǎn)管理流程8.2.1安全風(fēng)險(xiǎn)管理中的因素關(guān)系8.2.2風(fēng)險(xiǎn)識(shí)別分析8.2.3風(fēng)險(xiǎn)評(píng)估8.2.4風(fēng)險(xiǎn)控制和風(fēng)險(xiǎn)接受8.2.5監(jiān)控和審計(jì)168.2電子商務(wù)安全風(fēng)險(xiǎn)管理流程8.2.1安全風(fēng)險(xiǎn)管理中的因素關(guān)系有漏洞的電子商務(wù)系統(tǒng)一定會(huì)出現(xiàn)安全問題嗎？受到威脅的電子商務(wù)系統(tǒng)一定會(huì)出現(xiàn)安全問題嗎？No!信息資產(chǎn)的價(jià)值會(huì)影響實(shí)際風(fēng)險(xiǎn)嗎？Yes!No!風(fēng)險(xiǎn)管理五要素資產(chǎn)威脅弱點(diǎn)風(fēng)險(xiǎn)影響風(fēng)險(xiǎn)管理五要素例1：我口袋里有100塊錢，因?yàn)樵诠嚿洗蝾?，被小偷偷走了，弄得晚上沒飯吃。

資產(chǎn)威脅弱點(diǎn)風(fēng)險(xiǎn)影響100塊錢小偷打瞌睡錢被偷走晚上沒飯吃風(fēng)險(xiǎn)管理五要素例2：某證券公司的數(shù)據(jù)庫(kù)服務(wù)器因?yàn)榇嬖赗PCDCOM的漏洞，遭到入侵者攻擊，被迫中斷3天。

資產(chǎn)威脅弱點(diǎn)風(fēng)險(xiǎn)影響RPCDCOM漏洞服務(wù)器遭到入侵

數(shù)據(jù)庫(kù)服務(wù)器

入侵者

中斷三天

20安全風(fēng)險(xiǎn)管理中流程風(fēng)險(xiǎn)識(shí)別分析階段風(fēng)險(xiǎn)評(píng)估階段風(fēng)險(xiǎn)控制階段收集信息，明確弱點(diǎn)和威脅，對(duì)可能造成的損失進(jìn)行評(píng)價(jià)確定企業(yè)安全需求實(shí)施安全控制手段，使風(fēng)險(xiǎn)降低到可接受水平218.2.2風(fēng)險(xiǎn)識(shí)別分析1.風(fēng)險(xiǎn)識(shí)別的一般步驟（1）信息資產(chǎn)的識(shí)別與估價(jià)主要包括數(shù)據(jù)與文檔、書面合同、軟件資產(chǎn)、人員、服務(wù)和實(shí)物資產(chǎn)；定性方法確立資產(chǎn)價(jià)值重要程度（2）威脅的識(shí)別與評(píng)估對(duì)每項(xiàng)關(guān)鍵信息資產(chǎn)進(jìn)行威脅識(shí)別，確定其發(fā)生可能性；分級(jí)賦值的方法確認(rèn)一般威脅發(fā)生的可能性（3）薄弱點(diǎn)評(píng)價(jià)針對(duì)每項(xiàng)關(guān)鍵信息資產(chǎn)，找出每種威脅可能利用的薄弱點(diǎn)，并針對(duì)薄弱點(diǎn)嚴(yán)重性進(jìn)行評(píng)價(jià)。定性（1）信息資產(chǎn)的識(shí)別與估價(jià)信息資產(chǎn)識(shí)別資產(chǎn)識(shí)別是風(fēng)險(xiǎn)評(píng)估的第一步，主要是確定機(jī)構(gòu)的資產(chǎn)、有多大價(jià)值及資產(chǎn)的重要性，以保證資產(chǎn)有適當(dāng)程度的保護(hù)。最后應(yīng)該形成一份資產(chǎn)清單。信息資產(chǎn)的存在形式有多種：物理的（如機(jī)房建筑和設(shè)施、計(jì)算機(jī)設(shè)備等），邏輯的（如存儲(chǔ)和傳輸中的數(shù)據(jù)、應(yīng)用程序、系統(tǒng)服務(wù)等）無形的（如組織的公眾形象和信譽(yù)等）。案例：醫(yī)院主要信息資產(chǎn)的識(shí)別資產(chǎn)說明病人信息數(shù)據(jù)系統(tǒng)（PIDS）PIDS是包含大多數(shù)病人信息的數(shù)據(jù)庫(kù)。書面醫(yī)療記錄完整的病人記錄寫在紙上，如果丟失，不易重建。電子郵件醫(yī)務(wù)人員的電子郵件可能包含一些敏感數(shù)據(jù)（病人信息、財(cái)務(wù)信息和個(gè)人信息）職業(yè)者的資格證書醫(yī)療人員的從業(yè)資格認(rèn)證Internet連接業(yè)務(wù)連續(xù)性的保障之一醫(yī)療后勤系統(tǒng)跟蹤供應(yīng)、財(cái)產(chǎn)和設(shè)備，還可能包含所有訂戶信息急診數(shù)據(jù)系統(tǒng)對(duì)急診室進(jìn)行有效的手術(shù)是必須的，用于維護(hù)和更新與急診有關(guān)的病人記錄和賬單其他如人員管理系統(tǒng)等信息資產(chǎn)評(píng)估得到完整的信息資產(chǎn)清單之后，組織應(yīng)該對(duì)每種資產(chǎn)進(jìn)行賦值。在定義其價(jià)值時(shí)需要考慮：信息資產(chǎn)因?yàn)槭軗p而對(duì)商務(wù)造成的直接損失；信息資產(chǎn)恢復(fù)到正常狀態(tài)所付出的代價(jià)，包括檢測(cè)、控制、修復(fù)時(shí)的人力和物力；信息資產(chǎn)受損對(duì)其他部門的業(yè)務(wù)造成的影響；組織在公眾形象和名譽(yù)上的損失；因?yàn)樯虅?wù)受損導(dǎo)致競(jìng)爭(zhēng)優(yōu)勢(shì)降級(jí)而引發(fā)的間接損失；其他損失，例如保險(xiǎn)費(fèi)用的增加。案例醫(yī)院關(guān)鍵信息資產(chǎn)評(píng)估資產(chǎn)原因等級(jí)病人信息數(shù)據(jù)系統(tǒng)該系統(tǒng)包含大多數(shù)重要的病人信息，醫(yī)院依靠其開展每天的治療工作災(zāi)難性書面醫(yī)療記錄這是正式的醫(yī)療記錄，如果丟失，無法重建。較大財(cái)務(wù)記錄存儲(chǔ)系統(tǒng)該系統(tǒng)包含所有的財(cái)務(wù)信息災(zāi)難性職業(yè)者的資格證書這是所有醫(yī)療人員的職業(yè)資格證明較大（2）威脅的識(shí)別與評(píng)估威脅BECDA人員威脅系統(tǒng)威脅環(huán)境威脅其他威脅自然威脅組織內(nèi)部組織外部無意故意硬件故障軟件故障相關(guān)故障惡意代碼電源故障污染液體泄漏火災(zāi)地震洪水滑坡雷電威脅評(píng)估識(shí)別資產(chǎn)面臨的威脅后，還應(yīng)該評(píng)估威脅發(fā)生的可能性。組織應(yīng)該根據(jù)經(jīng)驗(yàn)或者相關(guān)的統(tǒng)計(jì)數(shù)據(jù)來判斷威脅發(fā)生的頻率或概率。評(píng)估威脅可能性時(shí)有兩個(gè)關(guān)鍵因素需要考慮：威脅源的動(dòng)機(jī)（利益趨勢(shì)、報(bào)復(fù)心理、玩笑等）威脅源的能力（包括其技能、環(huán)境、機(jī)會(huì)等）（3）薄弱點(diǎn)評(píng)價(jià)光有威脅還構(gòu)不成風(fēng)險(xiǎn)，威脅只有利用了特定的弱點(diǎn)才可能對(duì)資產(chǎn)造成影響，所以，組織應(yīng)該針對(duì)每一項(xiàng)需要保護(hù)的信息資產(chǎn)，找到可被威脅利用的薄弱點(diǎn)。

薄弱點(diǎn)主要分為：技術(shù)性弱點(diǎn)——系統(tǒng)、程序、設(shè)備中存在的漏洞或缺陷，比如結(jié)構(gòu)設(shè)計(jì)問題和編程漏洞。操作性弱點(diǎn)——軟件和系統(tǒng)在配置、操作、使用中的缺陷，包括人員日常工作中的不良習(xí)慣，審計(jì)或備份的缺乏。管理性弱點(diǎn)——策略、程序、規(guī)章制度、人員意識(shí)、組織結(jié)構(gòu)等方面的不足。評(píng)估弱點(diǎn)時(shí)需要考慮兩個(gè)因素：嚴(yán)重程度暴露程度（Exposure），即被利用的容易程度可用“高”、“中”、“低”三個(gè)等級(jí)來衡量。

在影響威脅事件發(fā)生的外部條件中，除了資產(chǎn)的弱點(diǎn)，另一個(gè)就是組織現(xiàn)有的安全措施。

（4）現(xiàn)有措施識(shí)別與評(píng)估在識(shí)別了資產(chǎn)、威脅、弱點(diǎn)和安全措施之后，系統(tǒng)存在什么風(fēng)險(xiǎn)就可以顯現(xiàn)了。

2.風(fēng)險(xiǎn)識(shí)別階段的常用方法風(fēng)險(xiǎn)分析調(diào)查表。通過對(duì)企業(yè)可能遭受的風(fēng)險(xiǎn)進(jìn)行詳盡的調(diào)查和分析，編制各種調(diào)查表供企業(yè)參考。分類法，按資產(chǎn)、風(fēng)險(xiǎn)和薄弱點(diǎn)進(jìn)行分大類，然后提出關(guān)鍵問題，根據(jù)最終調(diào)查內(nèi)容確定風(fēng)險(xiǎn)狀況。資產(chǎn)風(fēng)險(xiǎn)分析調(diào)查表網(wǎng)絡(luò)設(shè)備網(wǎng)絡(luò)設(shè)備有無專人管理？有無專門的網(wǎng)絡(luò)設(shè)備維護(hù)制度？網(wǎng)絡(luò)設(shè)備有無備份？……服務(wù)器服務(wù)器有無專門的管理制度？服務(wù)器是否有備份？服務(wù)器內(nèi)容的訪問規(guī)則有否？……數(shù)據(jù)庫(kù)數(shù)據(jù)庫(kù)的更新頻率是否符合標(biāo)準(zhǔn)數(shù)據(jù)庫(kù)內(nèi)容是否備份？企業(yè)是否將全部重要信息都集中保存？…………是否34事故樹分析法事故樹分析法（AccidentTreeAnalysis，簡(jiǎn)稱ATA）起源于故障樹分析法（FaultTreeAnalysis，簡(jiǎn)稱FTA），是安全系統(tǒng)工程的重要分析方法之一。事故樹分析法是對(duì)可能引起的損失進(jìn)行研究，并探究其原因和結(jié)果的一種方法。屬于演繹法：從結(jié)果入手，分析原因35事故樹分析法首先由美國(guó)貝爾實(shí)驗(yàn)室于1961年為研究民兵式導(dǎo)彈發(fā)射控制系統(tǒng)時(shí)提出，1974年美國(guó)原子能委員會(huì)運(yùn)用FTA對(duì)核電站事故進(jìn)行了風(fēng)險(xiǎn)評(píng)價(jià)，發(fā)表了著名的《拉姆遜報(bào)告》。該報(bào)告對(duì)事故樹分析作了大規(guī)模有效的應(yīng)用。此后，在社會(huì)各界引起了極大的反響，受到了廣泛的重視，從而迅速在許多國(guó)家和許多企業(yè)應(yīng)用和推廣。中國(guó)開展事故樹分析方法的研究是從1978年開始的。80年代末，鐵路運(yùn)輸系統(tǒng)開始把事故樹分析方法應(yīng)用到安全生產(chǎn)和勞動(dòng)保護(hù)上來，也已取得了較好的效果。36事故樹分析法病毒攻擊服務(wù)中斷設(shè)備毀壞管理缺陷泄密制度漏洞火災(zāi)損失事故聲譽(yù)破壞事故樹可識(shí)別各種促進(jìn)損失事故的風(fēng)險(xiǎn)因素，還可計(jì)算事故的概率。378.2.3風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)識(shí)別工作結(jié)束后，要利用適當(dāng)?shù)娘L(fēng)險(xiǎn)測(cè)量方法、工具確定風(fēng)險(xiǎn)的大小與風(fēng)險(xiǎn)等級(jí)，這就是風(fēng)險(xiǎn)評(píng)估過程請(qǐng)學(xué)習(xí)P315例1，例2定量R=R(PT,PV,I)I=V×CL注意：計(jì)算時(shí)使用的數(shù)值為相對(duì)值！5342139根據(jù)風(fēng)險(xiǎn)計(jì)算的結(jié)果，可以得到資產(chǎn)風(fēng)險(xiǎn)評(píng)估的相對(duì)優(yōu)先順序，將風(fēng)險(xiǎn)劃分為不同的等級(jí)，風(fēng)險(xiǎn)級(jí)別高的資產(chǎn)需要優(yōu)先分配資源保護(hù)例1、2中哪個(gè)子系統(tǒng)將優(yōu)先分配資源進(jìn)行保護(hù)？電子商務(wù)子系統(tǒng)8.2.4風(fēng)險(xiǎn)控制和風(fēng)險(xiǎn)接受安全風(fēng)險(xiǎn)的選擇以風(fēng)險(xiǎn)評(píng)估的結(jié)果為依據(jù)，決定需要保護(hù)的資產(chǎn)，采取何種形式保護(hù)。從而減少和消除風(fēng)險(xiǎn)損失，使企業(yè)可以接受的風(fēng)險(xiǎn)水平。41風(fēng)險(xiǎn)控制的基本方法減少威脅程度減少薄弱點(diǎn)風(fēng)險(xiǎn)規(guī)避風(fēng)險(xiǎn)預(yù)防風(fēng)險(xiǎn)分散風(fēng)險(xiǎn)轉(zhuǎn)移42風(fēng)險(xiǎn)評(píng)估－風(fēng)險(xiǎn)接受過程

風(fēng)險(xiǎn)評(píng)估過程

安全控制措施選擇

實(shí)施安全控制降低風(fēng)險(xiǎn)

接受殘余風(fēng)險(xiǎn)

Rr=R0-△R,Rr≤Rt殘余風(fēng)險(xiǎn)風(fēng)險(xiǎn)控制曲線圖風(fēng)險(xiǎn)R資產(chǎn)序列原有風(fēng)險(xiǎn)曲線可接受風(fēng)險(xiǎn)曲線殘余風(fēng)險(xiǎn)曲線448.2.5監(jiān)控和審計(jì)實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)安全性掃描系統(tǒng)漏洞掃描數(shù)據(jù)庫(kù)自動(dòng)掃描人員操作情況掃描審計(jì)評(píng)估操作系統(tǒng)的審計(jì)應(yīng)