風(fēng)險(xiǎn)評(píng)估與管理課件

風(fēng)險(xiǎn)評(píng)估與管理風(fēng)險(xiǎn)評(píng)估與管理1.與風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)管理相關(guān)的概念解析2.信息安全風(fēng)險(xiǎn)管理的一般過(guò)程3.風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理的其它問(wèn)題1概念解析①風(fēng)險(xiǎn)②風(fēng)險(xiǎn)管理1.1與過(guò)程相關(guān)的概念③風(fēng)險(xiǎn)評(píng)估④風(fēng)險(xiǎn)分析⑤風(fēng)險(xiǎn)評(píng)價(jià)6風(fēng)險(xiǎn)處理⑦資產(chǎn)⑧威脅1.2與要素相關(guān)的概念⑨脆弱性⑩防護(hù)措施概念解析1-風(fēng)險(xiǎn)口風(fēng)險(xiǎn)(risk)風(fēng)險(xiǎn)是指遭受損害或損失的可能性,是實(shí)現(xiàn)一個(gè)事件的不想要的負(fù)面結(jié)果的潛在因素對(duì)信息系統(tǒng)而言:兩種因素造成對(duì)其使命的實(shí)際影響:(1)一個(gè)特定的威脅源利用或偶然觸發(fā)個(gè)特定的信息系統(tǒng)脆弱性的概率:(2)上述事件發(fā)生之后所帶來(lái)的影響概念解析1-風(fēng)險(xiǎn)(續(xù))口在ISO/IECGUIDE73將事件定義為:事件的概率及其結(jié)果的組合口注1通常,只有至少存在產(chǎn)生不利結(jié)果可能性的情況下才使用“風(fēng)險(xiǎn)”術(shù)語(yǔ)口注2在某些情況下,風(fēng)險(xiǎn)是由偏離期望的結(jié)果或事件的可能性引起的概念解析2-風(fēng)險(xiǎn)管理口風(fēng)險(xiǎn)管理(Riskmanagement)■風(fēng)險(xiǎn)管理指標(biāo)識(shí)、控制和消除可能影響信息系統(tǒng)資源的不確定事件或使這些事件降至最少的全部過(guò)程■風(fēng)險(xiǎn)管理被認(rèn)為是良好管理的一個(gè)組成部分。概念解析2-風(fēng)險(xiǎn)管理口對(duì)風(fēng)險(xiǎn)管理的過(guò)程而言,不同的方法或工具提供了不同的步驟,但是信息安全風(fēng)險(xiǎn)管理可操作的相關(guān)過(guò)程和活動(dòng)一般都要包括:識(shí)確確識(shí)識(shí)別定選制實(shí)定別別風(fēng)|風(fēng)擇定|施估險(xiǎn)險(xiǎn)安安安估|估估控評(píng)處全全全范|資|威別評(píng)估脆弱性策施劃|劃風(fēng)險(xiǎn)分析風(fēng)險(xiǎn)處理概念解析3-風(fēng)險(xiǎn)評(píng)估口風(fēng)險(xiǎn)評(píng)估(riskassessment)■風(fēng)險(xiǎn)評(píng)估指風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)評(píng)價(jià)的整個(gè)過(guò)程?！鲲L(fēng)險(xiǎn)評(píng)估是風(fēng)險(xiǎn)管理的基礎(chǔ),是組織確定信息安全要求的途徑之一,屬于組織信息安全管理體系策劃的過(guò)程■通過(guò)風(fēng)險(xiǎn)評(píng)估識(shí)別組織所面臨的安全風(fēng)險(xiǎn)并確定風(fēng)險(xiǎn)控制的優(yōu)先等級(jí),從而對(duì)其實(shí)施有效控制,將風(fēng)險(xiǎn)控制在組織可以接受的范圍之內(nèi)。概念解析3-風(fēng)險(xiǎn)評(píng)估(續(xù))口區(qū)分風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)管理是把整個(gè)組織內(nèi)的風(fēng)險(xiǎn)降低到可接受水平的整個(gè)過(guò)程風(fēng)險(xiǎn)管理是一個(gè)持續(xù)的周期,通常以一定的間隔重新開(kāi)始,來(lái)更新流程中各個(gè)階段的數(shù)據(jù)。風(fēng)險(xiǎn)管理是一個(gè)持續(xù)循環(huán),不斷上升的過(guò)程■風(fēng)險(xiǎn)評(píng)估是確定組織面臨的風(fēng)險(xiǎn)并確定其優(yōu)先級(jí)的過(guò)程,是風(fēng)險(xiǎn)管理流程中最必須,最謹(jǐn)慎的一個(gè)過(guò)程。當(dāng)潛在的與安全相關(guān)的事件在企業(yè)內(nèi)發(fā)生時(shí),如變動(dòng)業(yè)務(wù)方法、發(fā)現(xiàn)新的漏洞等組織都可能會(huì)啟動(dòng)風(fēng)險(xiǎn)評(píng)估。概念解析4-風(fēng)險(xiǎn)分析口風(fēng)險(xiǎn)分析(riskanalysis)風(fēng)險(xiǎn)分析是標(biāo)識(shí)安全風(fēng)險(xiǎn),確定其大小