第三章-信息安全風(fēng)險(xiǎn)管理

信息安全管理張紅旗楊英杰唐慧林常德顯編著第三章信息安全風(fēng)險(xiǎn)管理01

概述02

風(fēng)險(xiǎn)評(píng)估的流程ContentsPage目錄03

風(fēng)險(xiǎn)評(píng)價(jià)常用的方法

04

風(fēng)險(xiǎn)控制

05

信息安全風(fēng)險(xiǎn)評(píng)估實(shí)例

本章首先介紹風(fēng)險(xiǎn)管理的相關(guān)概念、風(fēng)險(xiǎn)評(píng)估要素和分類(lèi)；然后介紹風(fēng)險(xiǎn)評(píng)估的一般步驟和流程；3.3介紹風(fēng)險(xiǎn)評(píng)價(jià)的常用方法；3.4介紹風(fēng)險(xiǎn)控制；3.5結(jié)合案例介紹風(fēng)險(xiǎn)評(píng)估的實(shí)施過(guò)程。本章重點(diǎn)：風(fēng)險(xiǎn)管理相關(guān)概念，風(fēng)險(xiǎn)評(píng)估基本步驟，風(fēng)險(xiǎn)控制過(guò)程。本章難點(diǎn)：風(fēng)險(xiǎn)評(píng)價(jià)方法。第三章

信息安全風(fēng)險(xiǎn)管理3.1概述

3.1.1風(fēng)險(xiǎn)管理的相關(guān)概念1．安全風(fēng)險(xiǎn)（SecurityRisk）所謂安全風(fēng)險(xiǎn)（后面簡(jiǎn)稱(chēng)風(fēng)險(xiǎn)）就是威脅利用資產(chǎn)的一種或多種脆弱性，導(dǎo)致資產(chǎn)丟失或損害的潛在可能性，即威脅發(fā)生的可能性與后果的結(jié)合。通過(guò)確定資產(chǎn)價(jià)值及相關(guān)威脅與脆弱性水平，可以得出風(fēng)險(xiǎn)的度量值。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理安全風(fēng)險(xiǎn)的引入2．風(fēng)險(xiǎn)評(píng)估（RiskAssessment）即對(duì)信息和信息處理設(shè)施的威脅、影響（Impact，指安全事件所帶來(lái)的直接和間接損失）和脆弱性及三者發(fā)生可能性的評(píng)估。作為風(fēng)險(xiǎn)管理的基礎(chǔ)，風(fēng)險(xiǎn)評(píng)估是組織確定信息安全需求的一個(gè)重要途徑，屬于組織信息安全管理體系策劃的過(guò)程。風(fēng)險(xiǎn)評(píng)估的主要任務(wù)包括以下五個(gè)方面。識(shí)別組織面臨的各種風(fēng)險(xiǎn)。評(píng)估風(fēng)險(xiǎn)概率和可能帶來(lái)的負(fù)面影響。確定組織承受風(fēng)險(xiǎn)的能力。確定風(fēng)險(xiǎn)降低和控制的優(yōu)先等級(jí)。推薦風(fēng)險(xiǎn)降低對(duì)策。第三章

信息安全風(fēng)險(xiǎn)管理3．風(fēng)險(xiǎn)管理（RiskManagement）所謂風(fēng)險(xiǎn)管理就是以可接受的代價(jià)識(shí)別、控制、降低或消除可能影響信息系統(tǒng)的安全風(fēng)險(xiǎn)的過(guò)程。風(fēng)險(xiǎn)管理通過(guò)風(fēng)險(xiǎn)評(píng)估來(lái)識(shí)別風(fēng)險(xiǎn)大小，通過(guò)制定信息安全方針、采取適當(dāng)?shù)目刂颇繕?biāo)與控制方式對(duì)風(fēng)險(xiǎn)進(jìn)行控制，使風(fēng)險(xiǎn)被避免、轉(zhuǎn)移或降至一個(gè)可被接受的水平。風(fēng)險(xiǎn)管理還應(yīng)考慮控制費(fèi)用與風(fēng)險(xiǎn)之間的平衡。風(fēng)險(xiǎn)管理過(guò)程如圖3.1所示。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理圖3.1

風(fēng)險(xiǎn)管理過(guò)程4．安全需求（SecurityDemand）分析和定義安全需求，并以保密性、完整性及可用性等方式明確地表達(dá)出來(lái)，有助于指導(dǎo)安全控制機(jī)制的選擇和風(fēng)險(xiǎn)管理的實(shí)施。在信息安全體系中，要求組織確認(rèn)三種安全需求。評(píng)估出組織所面臨的安全風(fēng)險(xiǎn)，并控制這些風(fēng)險(xiǎn)的需求。組織、貿(mào)易伙伴、簽約客戶和服務(wù)提供商需要遵守的法律法規(guī)及合同的要求。組織制訂支持業(yè)務(wù)運(yùn)作與處理，并適合組織信息系統(tǒng)業(yè)務(wù)規(guī)則和業(yè)務(wù)目標(biāo)的要求。第三章

信息安全風(fēng)險(xiǎn)管理5．安全控制（SecurityControl）安全控制就是保護(hù)組織資產(chǎn)、防止威脅、減少脆弱性、限制安全事件影響的一系列安全實(shí)踐、過(guò)程和機(jī)制。為獲得有效的安全，常常需要把多種安全控制結(jié)合起來(lái)使用，實(shí)現(xiàn)檢測(cè)、威懾、防護(hù)、限制、修正、恢復(fù)、監(jiān)測(cè)和提高安全意識(shí)等多種功能。第三章

信息安全風(fēng)險(xiǎn)管理6．剩余風(fēng)險(xiǎn)（ResidualRisk）即實(shí)施安全控制后，仍然存在的安全風(fēng)險(xiǎn)。7．適用性聲明（ApplicabilityStatement）所謂適用性聲明，是指對(duì)適用于組織需要的目標(biāo)和控制的評(píng)述。適用性聲明是一個(gè)包含組織所選擇的控制目標(biāo)與控制方式的文件，相當(dāng)于一個(gè)控制目標(biāo)與方式清單，其中應(yīng)闡述選擇與不選擇的理由。第三章

信息安全風(fēng)險(xiǎn)管理3.1.2風(fēng)險(xiǎn)管理各要素間的關(guān)系風(fēng)險(xiǎn)管理中涉及的安全組成要素之間的關(guān)系如圖3.2所示，具體描述如下。資產(chǎn)具有價(jià)值，并會(huì)受到威脅的潛在影響。脆弱性將資產(chǎn)暴露給威脅，威脅利用脆弱性對(duì)資產(chǎn)造成影響。威脅與脆弱性的增加導(dǎo)致安全風(fēng)險(xiǎn)的增加。安全風(fēng)險(xiǎn)的存在對(duì)組織的信息安全提出要求。安全控制應(yīng)滿足安全需求。通過(guò)實(shí)施安全控制防范威脅，以降低安全風(fēng)險(xiǎn)。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理圖3.2安全組成要素之間的關(guān)系3.1.3風(fēng)險(xiǎn)評(píng)估的分類(lèi)在進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，應(yīng)當(dāng)針對(duì)不同的環(huán)境和安全要求選擇恰當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估種類(lèi)。實(shí)際操作中經(jīng)常使用的風(fēng)險(xiǎn)評(píng)估包括基本風(fēng)險(xiǎn)評(píng)估、詳細(xì)風(fēng)險(xiǎn)評(píng)估和聯(lián)合風(fēng)險(xiǎn)評(píng)估3種類(lèi)型。1．基本風(fēng)險(xiǎn)評(píng)估基本風(fēng)險(xiǎn)評(píng)估又稱(chēng)基線風(fēng)險(xiǎn)評(píng)估（BaselineRiskAssessment），是指應(yīng)用直接和簡(jiǎn)易的方法達(dá)到基本的安全水平，就能滿足組織及其業(yè)務(wù)環(huán)境的所有要求。這種方法使得組織在識(shí)別和評(píng)估基本安全需求的基礎(chǔ)上，通過(guò)建立相應(yīng)的信息安全管理體系，獲得對(duì)信息資產(chǎn)的基本保護(hù)。這種方法適用于業(yè)務(wù)運(yùn)作不是非常復(fù)雜的組織，并且組織對(duì)信息處理和網(wǎng)絡(luò)的依賴程度不高，或者組織信息系統(tǒng)多采用普遍或標(biāo)準(zhǔn)化的模式。第三章

信息安全風(fēng)險(xiǎn)管理（1）安全基線所謂安全基線，是在諸多標(biāo)準(zhǔn)規(guī)范中規(guī)定的一組安全控制措施或者慣例，這些措施和慣例適用于特定環(huán)境下的所有系統(tǒng)，可以滿足基本的安全需求，能使系統(tǒng)達(dá)到一定的安全防護(hù)水平。組織可以根據(jù)以下資源來(lái)選擇安全基線。國(guó)際標(biāo)準(zhǔn)和國(guó)家標(biāo)準(zhǔn)，如BS7799-1、ISO13335-4。行業(yè)標(biāo)準(zhǔn)或推薦，如德國(guó)聯(lián)邦安全局IT基線保護(hù)手冊(cè)。來(lái)自其他有類(lèi)似業(yè)務(wù)目標(biāo)和規(guī)模的組織的慣例。第三章

信息安全風(fēng)險(xiǎn)管理（2）基本風(fēng)險(xiǎn)評(píng)估的內(nèi)容按照BS7799的要求，基本風(fēng)險(xiǎn)評(píng)估需要系統(tǒng)地評(píng)估組織信息資產(chǎn)的安全要求，識(shí)別需要滿足的控制目標(biāo)，對(duì)滿足這些目標(biāo)的控制措施進(jìn)行選擇。第三章

信息安全風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)評(píng)估和管理任務(wù)基本風(fēng)險(xiǎn)評(píng)估活動(dòng)資產(chǎn)識(shí)別和估價(jià)列出在信息安全管理體系范圍內(nèi)，與被評(píng)估的業(yè)務(wù)環(huán)境、業(yè)務(wù)運(yùn)營(yíng)及信息相關(guān)的資產(chǎn)威脅評(píng)估使用與資產(chǎn)相關(guān)的通用威脅列表，檢查并列出資產(chǎn)的威脅脆弱性評(píng)估使用與資產(chǎn)相關(guān)的通用脆弱性列表，檢查并列出資產(chǎn)的脆弱性對(duì)現(xiàn)有安全控制的識(shí)別根據(jù)前期的安全評(píng)審，識(shí)別并記錄所有與資產(chǎn)相關(guān)的、現(xiàn)有的或已計(jì)劃的安全控制風(fēng)險(xiǎn)評(píng)估搜集由上述評(píng)估產(chǎn)生的有關(guān)資產(chǎn)、威脅和脆弱性的信息，以便能夠以實(shí)用、簡(jiǎn)單的方法進(jìn)行風(fēng)險(xiǎn)測(cè)量安全控制的識(shí)別、選擇及實(shí)施，降低風(fēng)險(xiǎn)對(duì)于每一項(xiàng)列出的資產(chǎn)，確認(rèn)相關(guān)的控制目標(biāo)；找出這些資產(chǎn)的威脅和脆弱性，選擇相關(guān)的控制措施，以達(dá)到安全控制目標(biāo)風(fēng)險(xiǎn)接受在考慮需求的基礎(chǔ)上，考慮選擇附加的控制，以更進(jìn)一步的降低風(fēng)險(xiǎn)，使風(fēng)險(xiǎn)消減到組織可接受的水平（3）基本風(fēng)險(xiǎn)評(píng)估的優(yōu)點(diǎn)基本風(fēng)險(xiǎn)評(píng)估的優(yōu)點(diǎn)有以下兩個(gè)。風(fēng)險(xiǎn)評(píng)估所需資源最少，簡(jiǎn)便易實(shí)施。同樣或類(lèi)似的控制能被許多信息安全管理體系所采用，不需要耗費(fèi)很大的精力。第三章

信息安全風(fēng)險(xiǎn)管理（4）基本風(fēng)險(xiǎn)評(píng)估的缺點(diǎn)基本風(fēng)險(xiǎn)評(píng)估的缺點(diǎn)包括以下兩項(xiàng)。安全基線水平難以設(shè)置，如果安全水平被設(shè)置得太高，就可能需要過(guò)多的費(fèi)用，或產(chǎn)生控制過(guò)度的問(wèn)題；如果水平設(shè)置太低，一些系統(tǒng)可能不會(huì)得到充分的安全保證。難以管理與安全相關(guān)的變更。第三章

信息安全風(fēng)險(xiǎn)管理2．詳細(xì)風(fēng)險(xiǎn)評(píng)估詳細(xì)風(fēng)險(xiǎn)評(píng)估就是對(duì)資產(chǎn)、威脅及脆弱性進(jìn)行詳細(xì)識(shí)別和評(píng)估，詳細(xì)評(píng)估的結(jié)果被用于風(fēng)險(xiǎn)評(píng)估及安全控制的識(shí)別和選擇，通過(guò)識(shí)別資產(chǎn)的風(fēng)險(xiǎn)并將風(fēng)險(xiǎn)降低到可接受的水平，來(lái)證明管理者所采用的安全控制是適當(dāng)?shù)?。?）詳細(xì)風(fēng)險(xiǎn)評(píng)估的內(nèi)容詳細(xì)風(fēng)險(xiǎn)評(píng)估可能是非常耗費(fèi)人力和財(cái)力的過(guò)程，需要非常仔細(xì)地制訂被評(píng)估信息系統(tǒng)范圍內(nèi)的業(yè)務(wù)環(huán)境、業(yè)務(wù)運(yùn)營(yíng)以及信息和資產(chǎn)的邊界。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理風(fēng)險(xiǎn)評(píng)估和管理任務(wù)基本風(fēng)險(xiǎn)評(píng)估活動(dòng)資產(chǎn)識(shí)別和估價(jià)識(shí)別和列出在信息安全管理體系范圍內(nèi)被評(píng)估的業(yè)務(wù)環(huán)境、業(yè)務(wù)運(yùn)營(yíng)及信息相關(guān)的所有資產(chǎn)，定義一個(gè)價(jià)值尺度并為每一項(xiàng)資產(chǎn)分配價(jià)值（涉及機(jī)密性、完整性和可用性等的價(jià)值）威脅評(píng)估識(shí)別與資產(chǎn)相關(guān)的所有威脅，并根據(jù)它們發(fā)生的可能性和造成后果嚴(yán)重性來(lái)賦值脆弱性評(píng)估識(shí)別與資產(chǎn)相關(guān)的所有脆弱性，并根據(jù)它們被威脅利用的程度來(lái)賦值對(duì)現(xiàn)有安全控制的識(shí)別根據(jù)前期的安全評(píng)審，識(shí)別并記錄所有與資產(chǎn)相關(guān)的、現(xiàn)有的或已計(jì)劃的安全控制風(fēng)險(xiǎn)評(píng)估利用上述對(duì)資產(chǎn)、威脅和脆弱性的評(píng)價(jià)結(jié)果，進(jìn)行風(fēng)險(xiǎn)評(píng)估，風(fēng)險(xiǎn)為資產(chǎn)的相對(duì)價(jià)值、威脅發(fā)生的可能性及脆弱性被利用的可能性的函數(shù)，采用適當(dāng)?shù)娘L(fēng)險(xiǎn)測(cè)量工具進(jìn)行風(fēng)險(xiǎn)計(jì)算安全控制的識(shí)別、選擇及實(shí)施，降低風(fēng)險(xiǎn)根據(jù)從上述評(píng)估中識(shí)別的風(fēng)險(xiǎn)，適當(dāng)?shù)陌踩刂菩枰蛔R(shí)別以阻止這些風(fēng)險(xiǎn)；對(duì)于每一項(xiàng)資產(chǎn)，識(shí)別與被評(píng)估的每項(xiàng)風(fēng)險(xiǎn)相關(guān)的目標(biāo)；根據(jù)對(duì)這些資產(chǎn)的每一項(xiàng)相關(guān)的威脅和脆弱性識(shí)別和選擇安全控制，以完成這些目標(biāo)；最后，評(píng)估被選擇的安全控制在多大程度上降低了被識(shí)別的風(fēng)險(xiǎn)風(fēng)險(xiǎn)接受對(duì)殘留的風(fēng)險(xiǎn)加以分類(lèi)，可以是“可接受的”或是“不可接受的”；對(duì)那些被確認(rèn)為“不可接受的”風(fēng)險(xiǎn)，組織要決定是否應(yīng)該選擇更進(jìn)一步的控制措施，或者是接受殘留風(fēng)險(xiǎn)（2）詳細(xì)風(fēng)險(xiǎn)評(píng)估的優(yōu)點(diǎn)詳細(xì)風(fēng)險(xiǎn)評(píng)估的優(yōu)點(diǎn)主要包括以下內(nèi)容?？梢詫?duì)安全風(fēng)險(xiǎn)獲得一個(gè)更精確的認(rèn)識(shí)，從而更為精確地提出反映組織安全要求的安全水平?？梢詮脑敿?xì)風(fēng)險(xiǎn)評(píng)估中獲得額外信息，使與組織變革相關(guān)的安全管理受益。（3）詳細(xì)風(fēng)險(xiǎn)評(píng)估的缺點(diǎn)詳細(xì)風(fēng)險(xiǎn)評(píng)估的缺點(diǎn)主要是需要花費(fèi)相當(dāng)多的時(shí)間、精力和技術(shù)以獲得可行的結(jié)果。第三章

信息安全風(fēng)險(xiǎn)管理3．聯(lián)合風(fēng)險(xiǎn)評(píng)估聯(lián)合風(fēng)險(xiǎn)評(píng)估首先使用基本風(fēng)險(xiǎn)評(píng)估，識(shí)別信息安全管理體系范圍內(nèi)具有潛在高風(fēng)險(xiǎn)或?qū)I(yè)務(wù)運(yùn)作來(lái)說(shuō)極為關(guān)鍵的資產(chǎn)；然后根據(jù)基本風(fēng)險(xiǎn)評(píng)估的結(jié)果，將信息安全管理體系范圍內(nèi)的資產(chǎn)分成兩類(lèi)，一類(lèi)需要應(yīng)用詳細(xì)風(fēng)險(xiǎn)評(píng)估以達(dá)到適當(dāng)保護(hù)，另一類(lèi)通過(guò)基本評(píng)估選擇安全控制就可以滿足組織需要。第三章

信息安全風(fēng)險(xiǎn)管理3.2風(fēng)險(xiǎn)評(píng)估的流程3.2.1風(fēng)險(xiǎn)評(píng)估的步驟1．風(fēng)險(xiǎn)評(píng)估應(yīng)考慮的因素（1）信息資產(chǎn)及其價(jià)值。（2）對(duì)這些資產(chǎn)的威脅，以及它們發(fā)生的可能性。（3）脆弱性。（4）已有安全控制措施。第三章

信息安全風(fēng)險(xiǎn)管理2．風(fēng)險(xiǎn)評(píng)估的基本步驟（1）按照組織業(yè)務(wù)運(yùn)作流程進(jìn)行資產(chǎn)識(shí)別，并根據(jù)估價(jià)原則對(duì)資產(chǎn)進(jìn)行估價(jià)。（2）根據(jù)資產(chǎn)所處的環(huán)境進(jìn)行威脅評(píng)估。（3）對(duì)應(yīng)每一威脅，對(duì)資產(chǎn)或組織存在的脆弱性進(jìn)行評(píng)估。（4）對(duì)已采取的安全機(jī)制進(jìn)行識(shí)別和確認(rèn)。（5）建立風(fēng)險(xiǎn)測(cè)量的方法及風(fēng)險(xiǎn)等級(jí)評(píng)價(jià)原則，確定風(fēng)險(xiǎn)的大小與等級(jí)。風(fēng)險(xiǎn)評(píng)估過(guò)程如圖3.3所示。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理圖3.3

風(fēng)險(xiǎn)評(píng)估過(guò)程3．風(fēng)險(xiǎn)評(píng)估時(shí)應(yīng)考慮的問(wèn)題

在進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，要充分考慮和正確區(qū)分資產(chǎn)、威脅與脆弱性之間的對(duì)應(yīng)關(guān)系，如圖3.4所示。第三章

信息安全風(fēng)險(xiǎn)管理圖3.4

資產(chǎn)、威脅與脆弱性之間的對(duì)應(yīng)關(guān)系3.2.2資產(chǎn)的識(shí)別與估價(jià)資產(chǎn)（Asset）就是被組織賦予了價(jià)值、需要保護(hù)的有用資源。為了對(duì)資產(chǎn)進(jìn)行有效的保護(hù)，組織需要在各個(gè)管理層對(duì)資產(chǎn)落實(shí)責(zé)任，進(jìn)行恰當(dāng)?shù)墓芾怼５谌?/p>

信息安全風(fēng)險(xiǎn)管理

一個(gè)信息系統(tǒng)中的資產(chǎn)可能包括以下方面。信息、數(shù)據(jù)與文檔書(shū)面文件硬件資產(chǎn)軟件資產(chǎn)通信設(shè)備其他物理資產(chǎn)人員服務(wù)企業(yè)形象與信譽(yù)第三章

信息安全風(fēng)險(xiǎn)管理

在考慮資產(chǎn)安全性的損害對(duì)業(yè)務(wù)運(yùn)營(yíng)造成的影響程度時(shí)，可以考慮以下因素。違反法律、法規(guī)。對(duì)業(yè)務(wù)績(jī)效的影響。對(duì)組織聲譽(yù)和形象的影響。對(duì)業(yè)務(wù)保密性的影響。業(yè)務(wù)活動(dòng)中斷造成的影響。對(duì)環(huán)境安全及公共秩序的破壞。資金損失。對(duì)個(gè)人信息及安全的影響。第三章

信息安全風(fēng)險(xiǎn)管理3.2.3威脅的識(shí)別與評(píng)估威脅（Threat）是指可能對(duì)資產(chǎn)或組織造成損害的潛在原因。威脅識(shí)別與評(píng)估的主要任務(wù)是識(shí)別產(chǎn)生威脅的原因（誰(shuí)或什么事物造成了威脅）、確認(rèn)威脅的目標(biāo)（威脅影響到組織的哪些資產(chǎn)）以及評(píng)估威脅發(fā)生的可能性。第三章

信息安全風(fēng)險(xiǎn)管理1．威脅識(shí)別在威脅識(shí)別過(guò)程中，應(yīng)根據(jù)資產(chǎn)所處的環(huán)境條件和資產(chǎn)以前遭受威脅損害的情況來(lái)判斷。一項(xiàng)資產(chǎn)可能面臨多個(gè)威脅，同一威脅可能對(duì)不同資產(chǎn)造成影響。威脅識(shí)別應(yīng)確認(rèn)威脅由誰(shuí)或由什么事物引發(fā)以及威脅所影響到的資產(chǎn)。威脅源可能是蓄意人為也可能是偶然因素，通常包括人、系統(tǒng)、環(huán)境和自然等類(lèi)型。人員威脅––––包括故意破壞（網(wǎng)絡(luò)攻擊、惡意代碼傳播、郵件炸彈、非授權(quán)訪問(wèn)等）和無(wú)意失誤（如誤操作、維護(hù)錯(cuò)誤）。系統(tǒng)威脅––––系統(tǒng)、網(wǎng)絡(luò)或服務(wù)的故障（軟件故障、硬件故障、介質(zhì)老化等）。環(huán)境威脅––––電源故障、污染、液體泄漏、火災(zāi)等。自然威脅––––洪水、地震、臺(tái)風(fēng)、滑坡、雷電等。第三章

信息安全風(fēng)險(xiǎn)管理

威脅可能引起安全事件，從而對(duì)系統(tǒng)、組織和資產(chǎn)造成損害。在信息系統(tǒng)中，這種損害來(lái)源于對(duì)組織的信息及信息處理設(shè)施直接或間接的攻擊，主要包括以下類(lèi)型。（1）內(nèi)部威脅（2）信息截?。?）非法訪問(wèn)（4）完整性破壞（5）冒充（6）拒絕服務(wù)（7）重放（8）抵賴（9）其他威脅第三章

信息安全風(fēng)險(xiǎn)管理2．威脅發(fā)生的可能性分析威脅發(fā)生的可能性受下列因素的影響。資產(chǎn)的吸引力。資產(chǎn)轉(zhuǎn)化成報(bào)酬的容易程度。威脅的技術(shù)含量。脆弱性被利用的難易程度。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理3．評(píng)價(jià)威脅發(fā)生造成的后果或潛在影響威脅一旦發(fā)生會(huì)造成信息保密性、完整性和可用性等安全屬性的損失，從而給組織造成不同程度的影響，嚴(yán)重的威脅發(fā)生會(huì)導(dǎo)致諸如信息系統(tǒng)崩潰、業(yè)務(wù)流程中斷、財(cái)產(chǎn)損失等重大安全事故。不同的威脅對(duì)同一資產(chǎn)或組織所產(chǎn)生的影響不同，導(dǎo)致的價(jià)值損失也不同，但損失的程度應(yīng)以資產(chǎn)的相對(duì)價(jià)值（或重要程度）為限。 威脅的潛在影響I=資產(chǎn)相對(duì)價(jià)值V×價(jià)值損失程度CL第三章

信息安全風(fēng)險(xiǎn)管理3.2.4脆弱性評(píng)估脆弱性（Vulnerability）是指資產(chǎn)的弱點(diǎn)或薄弱點(diǎn)，這些弱點(diǎn)可能被威脅利用造成安全事件的發(fā)生，從而對(duì)資產(chǎn)造成損害。脆弱性本身并不會(huì)引起損害，它只是為威脅提供了影響資產(chǎn)安全性的條件。威脅只有利用了特定的脆弱性，才可能對(duì)資產(chǎn)造成影響。第三章

信息安全風(fēng)險(xiǎn)管理

這些脆弱性可能來(lái)自組織結(jié)構(gòu)、人員、管理、程序和資產(chǎn)本身的缺陷等，大體可以分為以下幾類(lèi)。技術(shù)脆弱性––––系統(tǒng)、程序和設(shè)備中存在的漏洞或缺陷，如結(jié)構(gòu)設(shè)計(jì)問(wèn)題和代碼漏洞等。操作脆弱性––––軟件和系統(tǒng)在配置、操作及使用中的缺陷，包括人員日常工作中的不良習(xí)慣、審計(jì)或備份的缺乏等。管理脆弱性––––策略、程序和規(guī)章制度等方面的弱點(diǎn)。第三章

信息安全風(fēng)險(xiǎn)管理1．緩沖區(qū)溢出滲透測(cè)試緩沖區(qū)溢出包括堆棧溢出、格式化串的利用和內(nèi)核溢出等。2．?dāng)?shù)據(jù)庫(kù)注入滲透測(cè)試數(shù)據(jù)庫(kù)注入的主要原理是利用數(shù)據(jù)的缺陷下載數(shù)據(jù)或者間接獲得數(shù)據(jù)庫(kù)的部分權(quán)限，從而進(jìn)一步攻擊服務(wù)器。典型的數(shù)據(jù)庫(kù)注入攻擊方法就是SQL注入攻擊。第三章

信息安全風(fēng)險(xiǎn)管理3．Web應(yīng)用滲透測(cè)試針對(duì)CGI的滲透測(cè)試有以下3種典型方法。（1）PHF.CGI滲透在瀏覽器的地址欄中輸入如下網(wǎng)址：http://www.TESTW/cgi-bin/phf?Qalias=x%0a/bin/cat%20/etc/passwd第三章

信息安全風(fēng)險(xiǎn)管理（2）PHP.CGI滲透在瀏覽器中輸入如下網(wǎng)址：http:///cgi-bin/php.cgi?/etc/passwd（3）Count.CGI滲透Count.cgi（wwwcount）國(guó)外網(wǎng)站經(jīng)常用的CGI網(wǎng)頁(yè)計(jì)數(shù)程序。第三章

信息安全風(fēng)險(xiǎn)管理4．Metasploit：滲透測(cè)試工具M(jìn)etasploit是一個(gè)緩沖區(qū)溢出測(cè)試使用的輔助工具，也是一個(gè)漏洞測(cè)試專(zhuān)業(yè)平臺(tái)。Metasploit是一個(gè)溢出工具包集合。它集成了不同類(lèi)型平臺(tái)上常見(jiàn)的溢出漏洞和流行的ShellCode，包含了到目前為止最為齊全的針對(duì)溢出漏洞的可操作攻擊方法，并且不斷更新，利用該工具可以自動(dòng)溢出相關(guān)的安全漏洞，使緩沖區(qū)溢出測(cè)試變得方便而簡(jiǎn)單。第三章

信息安全風(fēng)險(xiǎn)管理5．滲透測(cè)試過(guò)程組織滲透測(cè)試作為一種專(zhuān)業(yè)的信息安全服務(wù)，是在經(jīng)過(guò)用戶授權(quán)批準(zhǔn)后，由信息安全專(zhuān)業(yè)人員采用攻擊者的視角、使用同攻擊者相近的技術(shù)和工具來(lái)嘗試攻入被評(píng)估目標(biāo)系統(tǒng)的一種測(cè)評(píng)服務(wù)。它用攻擊來(lái)發(fā)現(xiàn)并驗(yàn)證目標(biāo)網(wǎng)絡(luò)、系統(tǒng)、主機(jī)和應(yīng)用系統(tǒng)所存在的漏洞，是幫助用戶了解、改善和提高其信息安全的一種手段。第三章

信息安全風(fēng)險(xiǎn)管理

組織實(shí)施滲透測(cè)試包括為3個(gè)基本階段。（1）階段I：計(jì)劃和準(zhǔn)備在本階段中將開(kāi)展下列活動(dòng)。①指定雙方聯(lián)系人。②首次會(huì)議，確定范圍、方案和方法，以及測(cè)試計(jì)劃。③同意特定測(cè)試用例和問(wèn)題升級(jí)路徑。（2）階段II：評(píng)估這是實(shí)際執(zhí)行滲透測(cè)試的階段。如圖3.15所示，評(píng)估主要有以下9個(gè)方面的內(nèi)容。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理圖3.15滲透測(cè)試的主要內(nèi)容與過(guò)程（3）階段III：報(bào)告、清除和破壞測(cè)試過(guò)程產(chǎn)物①報(bào)告：包括口頭報(bào)告和最終的詳細(xì)滲透過(guò)程報(bào)告。②清除和破壞測(cè)試過(guò)程產(chǎn)物第三章

信息安全風(fēng)險(xiǎn)管理3.2.5安全控制確認(rèn)安全控制的分類(lèi)方式有多種，按照目標(biāo)和針對(duì)性可以分為以下內(nèi)容。管理性（Administrative）安全控制––––對(duì)系統(tǒng)開(kāi)發(fā)、維護(hù)和使用實(shí)施管理的措施，包括安全策略、程序管理、風(fēng)險(xiǎn)管理、安全保障和系統(tǒng)生命周期管理等。操作性（Operationa1）安全控制––––用來(lái)保護(hù)系統(tǒng)和應(yīng)用操作的流程和機(jī)制，包括人員職責(zé)、應(yīng)急響應(yīng)、事件處理，安全意識(shí)培訓(xùn)、系統(tǒng)支持和操作、物理和環(huán)境安全等。技術(shù)性（Technica1）安全控制––––身份識(shí)別與認(rèn)證、邏輯訪問(wèn)控制、日志審計(jì)和加密等。第三章

信息安全風(fēng)險(xiǎn)管理

按照功能，安全控制又可以分為以下幾類(lèi)。威懾性（Deterrent）安全控制––––此類(lèi)控制可以降低蓄意攻擊的可能性，實(shí)際上針對(duì)的是威脅源的動(dòng)機(jī)。預(yù)防性（Preventive）安全控制––––此類(lèi)控制可以保護(hù)脆弱性，使攻擊難以成功，或者降低攻擊造成的影響。檢測(cè)性（Detective）安全控制––––此類(lèi)控制可以檢測(cè)并及時(shí)發(fā)現(xiàn)攻擊活動(dòng)，還可以激活糾正性或預(yù)防性安全控制。糾正性（Corrective）安全控制––––此類(lèi)控制可以將攻擊造成的影響降到最低。第三章

信息安全風(fēng)險(xiǎn)管理

不同功能的安全控制應(yīng)對(duì)風(fēng)險(xiǎn)的情況如圖3.16所示。第三章

信息安全風(fēng)險(xiǎn)管理圖3.16安全控制應(yīng)對(duì)風(fēng)險(xiǎn)各要素的情況3.3風(fēng)險(xiǎn)評(píng)價(jià)常用的方法3.3.1風(fēng)險(xiǎn)評(píng)價(jià)方法的發(fā)展國(guó)際信息安全基金會(huì)（TheInternationalInformationSecurityFoundation，IISF）：系統(tǒng)安全通用原理（GASSP）。國(guó)際標(biāo)準(zhǔn)化組織（TheInternationalStandardsOrganization，ISO）：ISO17799。經(jīng)濟(jì)合作與開(kāi)發(fā)組織（TheOrganizationforEconomicCooperationandDevelopment，OECD）：信息安全原理。歐洲信息安全論壇（TheEuropeanInformationSecurityForum，ISF）：最佳實(shí)踐標(biāo)準(zhǔn)。內(nèi)部審計(jì)學(xué)會(huì)（TheInstituteofInternalAuditors，IIA）：系統(tǒng)保障與控制。信息安全審計(jì)與控制協(xié)會(huì)（TheInformationSecurityAuditandControlAssociation，ISACA）：信息及相關(guān)技術(shù)控制目標(biāo)（COBIT）。第三章

信息安全風(fēng)險(xiǎn)管理3.3.2風(fēng)險(xiǎn)評(píng)價(jià)常用方法介紹1．預(yù)定義價(jià)值矩陣法該方法利用威脅發(fā)生的可能性、脆弱性被威脅利用的可能性及資產(chǎn)的相對(duì)價(jià)值三者預(yù)定義的三維矩陣來(lái)確定風(fēng)險(xiǎn)的大小，假設(shè)如下。威脅發(fā)生的可能性定性劃分為低、中、高（0、1、2）三級(jí)。脆弱性被利用的可能性也定性劃分為低、中、高（0、1、2）三級(jí)。受到威脅的資產(chǎn)相對(duì)價(jià)值定性劃分為五級(jí)（0、1、2、3、4）。風(fēng)險(xiǎn)價(jià)值矩陣如表3.4所示。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理

威脅發(fā)生的可能性PT低0中1高2脆弱性被利用的可能性PV低0中1高2低0中1高2低0中1高2資產(chǎn)相對(duì)價(jià)值V00121232341123234345223434545633454565674456567678表3.4預(yù)定義風(fēng)險(xiǎn)價(jià)值矩陣表2．威脅排序法這種方法把風(fēng)險(xiǎn)對(duì)資產(chǎn)的影響（或資產(chǎn)的相對(duì)價(jià)值）與威脅發(fā)生的可能性聯(lián)系起來(lái)，常用于考察和比較威脅對(duì)組織資產(chǎn)的危害程度。這種方法的實(shí)施過(guò)程如下。第一步：按預(yù)定義的尺度，評(píng)估風(fēng)險(xiǎn)對(duì)資產(chǎn)的影響即資產(chǎn)的相對(duì)價(jià)值I，例如，尺度可以是從1到5。第二步：評(píng)估威脅發(fā)生的可能性PT，PT也可以用PTV（考慮被利用的脆弱性因素）代替，例如尺度為1到5。第三步：測(cè)量風(fēng)險(xiǎn)值R，R=R（PTV，I）=PTV×I。第三章

信息安全風(fēng)險(xiǎn)管理

根據(jù)風(fēng)險(xiǎn)值的大小，對(duì)資產(chǎn)面臨的不同威脅進(jìn)行排序（或者對(duì)威脅的等級(jí)進(jìn)行劃分），如表3.6所示。第三章

信息安全風(fēng)險(xiǎn)管理威脅影響（資產(chǎn)價(jià)值I）威脅發(fā)生的可能性PTV風(fēng)險(xiǎn)R威脅的等級(jí)威脅A52102威脅B2483威脅C35151威脅D1335威脅E4144威脅F2483表3.6按風(fēng)險(xiǎn)大小對(duì)威脅排序3．網(wǎng)絡(luò)系統(tǒng)的風(fēng)險(xiǎn)計(jì)算方法對(duì)于各種網(wǎng)絡(luò)系統(tǒng)，可以根據(jù)網(wǎng)絡(luò)系統(tǒng)的重要性（系統(tǒng)的相對(duì)價(jià)值）、威脅發(fā)生的可能性PTV、威脅發(fā)生后安全性降低的可能性三個(gè)因素來(lái)評(píng)價(jià)風(fēng)險(xiǎn)的大小。即：

R=R(PTV,I)=I×PTV

=V×(1–PD)×(1–PO)第三章

信息安全風(fēng)險(xiǎn)管理

其中，V––––系統(tǒng)的重要性，是系統(tǒng)的保密性C、完整性IN和可用性A三項(xiàng)評(píng)價(jià)值的乘積，即V=C×IN×A；PO––––威脅不會(huì)發(fā)生的可能性，與用戶的個(gè)數(shù)、原先的信任、備份的頻率以及強(qiáng)制安全措施需求的滿足程度有關(guān)；PD––––系統(tǒng)安全性不會(huì)降低的可能性，與組織已實(shí)施的保護(hù)性控制措施有關(guān)。第三章

信息安全風(fēng)險(xiǎn)管理4．區(qū)分可接受風(fēng)險(xiǎn)與不可接受風(fēng)險(xiǎn)法這種方法把風(fēng)險(xiǎn)定義為可接受的（T）與不可接受的（N）兩種，只是為了區(qū)分需要立即采取控制措施的風(fēng)險(xiǎn)和暫時(shí)不需要控制的風(fēng)險(xiǎn)。威脅發(fā)生的可能性PT定性劃分為低、中、高（0、1、2）三級(jí)。脆弱性被利用的可能性PV也定性劃分為低、中、高（0、1、2）三級(jí)。受到威脅的資產(chǎn)的相對(duì)價(jià)值V定性劃分為五級(jí)（0、1、2、3、4）。根據(jù)威脅發(fā)生的可能性及脆弱性被利用的程度確定威脅頻度值，如表3.8所示。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理威脅發(fā)生的可能性PT低0中1高2脆弱性被利用的可能性PV低0中1高2低0中1高2低0中1高2威脅頻度值PTV012123234表3.8威脅頻度值計(jì)算表

由威脅發(fā)生的頻度值及資產(chǎn)的相對(duì)價(jià)值確定風(fēng)險(xiǎn)矩陣表，如表3.9所示。第三章

信息安全風(fēng)險(xiǎn)管理資產(chǎn)相對(duì)價(jià)值威脅頻度值01234001234112345223456334567445678表3.9資產(chǎn)風(fēng)險(xiǎn)矩陣表

而把風(fēng)險(xiǎn)定義為可接受的（T）與不可接受的（N）兩種以后，上述的風(fēng)險(xiǎn)矩陣表變?yōu)槿绫?.10所示。第三章

信息安全風(fēng)險(xiǎn)管理資產(chǎn)相對(duì)價(jià)值威脅頻度值012340TTTTN1TTTNN2TTNNN3TNNNN4NNNNN表3.10資產(chǎn)風(fēng)險(xiǎn)矩陣表（可接受的T與不可接受的）5．風(fēng)險(xiǎn)優(yōu)先級(jí)別的確定確定風(fēng)險(xiǎn)數(shù)值的大小不是評(píng)估的最終目的，評(píng)估的重點(diǎn)是明確不同威脅對(duì)資產(chǎn)所產(chǎn)生的風(fēng)險(xiǎn)的相對(duì)值，即確定不同風(fēng)險(xiǎn)的優(yōu)先次序或等級(jí)，對(duì)于風(fēng)險(xiǎn)級(jí)別高的資產(chǎn)優(yōu)先分配資源進(jìn)行保護(hù)。組織可以采用按照風(fēng)險(xiǎn)數(shù)值排序的方法，也可以采用區(qū)間劃分的方法將風(fēng)險(xiǎn)劃分為不同的優(yōu)先等級(jí)，這包括將風(fēng)險(xiǎn)劃分為可接受風(fēng)險(xiǎn)與不可接受風(fēng)險(xiǎn)。接受與不可接受的界限應(yīng)當(dāng)考慮風(fēng)險(xiǎn)（機(jī)會(huì)損失成本）與風(fēng)險(xiǎn)控制成本的平衡。第三章

信息安全風(fēng)險(xiǎn)管理3.3.3風(fēng)險(xiǎn)綜合評(píng)價(jià)綜合評(píng)價(jià)是風(fēng)險(xiǎn)度量的重要環(huán)節(jié)。評(píng)價(jià)是指按預(yù)定的目的，確定研究對(duì)象的屬性（指標(biāo)），并將這種屬性變?yōu)榭陀^定量的數(shù)值或主觀效用的行為，它多指多屬性對(duì)象的綜合評(píng)價(jià)。評(píng)價(jià)是對(duì)研究對(duì)象功能的一種量化描述，它既可以利用時(shí)序統(tǒng)計(jì)數(shù)據(jù)去描述同一對(duì)象功能的歷史演變，也可以利用統(tǒng)計(jì)數(shù)據(jù)去描述不同對(duì)象功能的差異。評(píng)價(jià)方法的核心問(wèn)題，是闡明目標(biāo)函數(shù)的形成機(jī)理和結(jié)構(gòu)形式，即建立適當(dāng)?shù)臄?shù)學(xué)模型。按照評(píng)價(jià)模式，可分為傳統(tǒng)評(píng)價(jià)模式和現(xiàn)代評(píng)價(jià)模式。第三章

信息安全風(fēng)險(xiǎn)管理（1）傳統(tǒng)評(píng)價(jià)模式：這一模式存在諸多弊端，一是指標(biāo)體系不全面、不規(guī)范；二是評(píng)價(jià)方法本質(zhì)上以定性分析或半定性、半定量分析為主，主觀成分較重。（2）現(xiàn)代評(píng)價(jià)模式：這是當(dāng)今蓬勃興起的一種評(píng)價(jià)模式，它代表著評(píng)價(jià)的發(fā)展方向。這一模式的指標(biāo)體系較全面、規(guī)范，評(píng)價(jià)方法借助于對(duì)定性指標(biāo)定量化，使指標(biāo)體系可計(jì)算，并可通過(guò)計(jì)算機(jī)軟件予以實(shí)現(xiàn)。該模式要求盡可能排除主觀成分，使評(píng)價(jià)結(jié)果體現(xiàn)科學(xué)、公正和公開(kāi)的原則。第三章

信息安全風(fēng)險(xiǎn)管理

考慮到風(fēng)險(xiǎn)主要受到財(cái)產(chǎn)、威脅和脆弱性3個(gè)方面的影響，風(fēng)險(xiǎn)評(píng)估關(guān)注的重點(diǎn)也是這3個(gè)要素。OCTAVE方法提出了如圖3.17所示的風(fēng)險(xiǎn)評(píng)價(jià)模型，該模型雖然比較籠統(tǒng)，卻是后來(lái)眾多風(fēng)險(xiǎn)評(píng)價(jià)模型的根源，即風(fēng)險(xiǎn)=資產(chǎn)×威脅×脆弱性。第三章

信息安全風(fēng)險(xiǎn)管理圖3.17OCTAVE風(fēng)險(xiǎn)評(píng)價(jià)模型3.3.4風(fēng)險(xiǎn)評(píng)估與管理工具的選擇

風(fēng)險(xiǎn)評(píng)估完成后，評(píng)估的結(jié)果（資產(chǎn)、資產(chǎn)價(jià)值、威脅、脆弱性和風(fēng)險(xiǎn)等級(jí)，以及被確認(rèn)的控制）應(yīng)該被保存和文件化，比如存儲(chǔ)在數(shù)據(jù)庫(kù)里。組織可以利用軟件支持工具進(jìn)行風(fēng)險(xiǎn)評(píng)估活動(dòng)，這可以簡(jiǎn)化再評(píng)估活動(dòng)。在選擇與使用風(fēng)險(xiǎn)評(píng)估與管理軟件工具時(shí)應(yīng)考慮以下事項(xiàng)。軟件工具至少應(yīng)該包括數(shù)據(jù)搜集、分析和結(jié)果輸出模塊。所依據(jù)的方法與功能應(yīng)該反映組織的安全方針，并與組織的風(fēng)險(xiǎn)評(píng)估及管理方法相適應(yīng)。在滿足組織選擇可靠的、成本有效的控制措施同時(shí)，要能夠?qū)︼L(fēng)險(xiǎn)評(píng)估與管理結(jié)果形成清楚、精確的報(bào)告。

第三章

信息安全風(fēng)險(xiǎn)管理

能夠維護(hù)在數(shù)據(jù)搜集和分析階段所采集信息的歷史記錄，以供將來(lái)調(diào)查與評(píng)估使用。必須有幫助文件來(lái)描述工具如何使用。與組織中的硬件和軟件協(xié)調(diào)并兼容。安排充分的使用培訓(xùn)。保證有關(guān)工具安裝與使用指南的齊全。第三章

信息安全風(fēng)險(xiǎn)管理3.4風(fēng)險(xiǎn)控制

通過(guò)風(fēng)險(xiǎn)評(píng)估對(duì)風(fēng)險(xiǎn)進(jìn)行識(shí)別及評(píng)價(jià)后，風(fēng)險(xiǎn)管理的下一步工作就是對(duì)風(fēng)險(xiǎn)實(shí)施安全控制，以確保風(fēng)險(xiǎn)被降低或消除。風(fēng)險(xiǎn)控制過(guò)程所涉及的活動(dòng)如圖3.18所示。第三章

信息安全風(fēng)險(xiǎn)管理圖3.18風(fēng)險(xiǎn)控制過(guò)程3.4.1安全控制的識(shí)別與選擇根據(jù)BS7799的要求，組織在以下領(lǐng)域需要考慮引入安全控制措施如下。安全方針。安全組織。資產(chǎn)分類(lèi)和控制。人員安全。物理和環(huán)境安全。

第三章

信息安全風(fēng)險(xiǎn)管理通信與運(yùn)營(yíng)管理。訪問(wèn)控制。系統(tǒng)開(kāi)發(fā)與維護(hù)。安全事件管理。業(yè)務(wù)持續(xù)性。符合法規(guī)要求。第三章

信息安全風(fēng)險(xiǎn)管理

當(dāng)選擇安全控制措施進(jìn)行實(shí)施時(shí)應(yīng)當(dāng)考慮以下因素?？刂频囊子眯?。用戶透明度。為用戶提供幫助，以發(fā)揮控制的功能?？刂频南鄬?duì)強(qiáng)度。實(shí)現(xiàn)的功能類(lèi)型—預(yù)防、威懾、探測(cè)、恢復(fù)、糾正、監(jiān)控和安全意識(shí)教育。第三章

信息安全風(fēng)險(xiǎn)管理3.4.2降低風(fēng)險(xiǎn)組織根據(jù)控制費(fèi)用與風(fēng)險(xiǎn)平衡的原則識(shí)別并選擇了安全控制措施后，對(duì)所選擇的安全控制應(yīng)當(dāng)嚴(yán)格實(shí)施并保持，通過(guò)以下途徑達(dá)到降低風(fēng)險(xiǎn)的目的。避免風(fēng)險(xiǎn)轉(zhuǎn)移風(fēng)險(xiǎn)減少威脅減少脆弱性減少威脅可能的影響檢測(cè)意外事件，并做出響應(yīng)和恢復(fù)第三章

信息安全風(fēng)險(xiǎn)管理

降低風(fēng)險(xiǎn)示意如圖3.19所示。第三章

信息安全風(fēng)險(xiǎn)管理圖3.19風(fēng)險(xiǎn)降低示意圖3.4.3接受風(fēng)險(xiǎn)風(fēng)險(xiǎn)接受是一個(gè)對(duì)殘留風(fēng)險(xiǎn)進(jìn)行確認(rèn)和評(píng)價(jià)的過(guò)程。在安全控制實(shí)施后，組織應(yīng)對(duì)所選擇的安全控制的實(shí)施情況進(jìn)行評(píng)審，即對(duì)所選擇的控制在多大程度上降低了風(fēng)險(xiǎn)做出判斷。風(fēng)險(xiǎn)是隨時(shí)間而變化的，風(fēng)險(xiǎn)管理應(yīng)是一個(gè)動(dòng)態(tài)、持續(xù)的管理過(guò)程。這就要求組織實(shí)施動(dòng)態(tài)的風(fēng)險(xiǎn)評(píng)估與風(fēng)險(xiǎn)管理，即組織要定期進(jìn)行風(fēng)險(xiǎn)評(píng)估，并在以下情況進(jìn)行臨時(shí)評(píng)估，以便及時(shí)識(shí)別風(fēng)險(xiǎn)并進(jìn)行有效的控制。

第三章

信息安全風(fēng)險(xiǎn)管理當(dāng)組織新增信息資產(chǎn)時(shí)。當(dāng)系統(tǒng)發(fā)生重大變更時(shí)。發(fā)生嚴(yán)重信息安全事故時(shí)。組織認(rèn)為有必要時(shí)。第三章

信息安全風(fēng)險(xiǎn)管理3.5信息安全風(fēng)險(xiǎn)評(píng)估實(shí)例3.5.1評(píng)估目的針對(duì)A市基于互聯(lián)網(wǎng)電子政務(wù)系統(tǒng)的安全評(píng)估，主要包括以下目的。評(píng)估A市基于互聯(lián)網(wǎng)的電子政務(wù)總體建設(shè)方案的合理性。評(píng)估在系統(tǒng)建設(shè)階段所采用技術(shù)手段的安全性。評(píng)估網(wǎng)絡(luò)和系統(tǒng)的安全策略是否到位。評(píng)估系統(tǒng)實(shí)施階段安全技術(shù)管理的現(xiàn)狀。評(píng)估系統(tǒng)建設(shè)的安全管理現(xiàn)狀。通過(guò)評(píng)估，建立A市信息辦自己的安全隊(duì)伍。第三章

信息安全風(fēng)險(xiǎn)管理3.5.2評(píng)估原則A市電子政務(wù)系統(tǒng)安全評(píng)估的方案設(shè)計(jì)與具體實(shí)施應(yīng)滿足以下原則。標(biāo)準(zhǔn)性原則可控性原則整體性原則最小影響原則保密原則第三章

信息安全風(fēng)險(xiǎn)管理3.5.3評(píng)估基本思路針對(duì)A市基于互聯(lián)網(wǎng)電子政務(wù)系統(tǒng)的運(yùn)行現(xiàn)狀，本次系統(tǒng)安全評(píng)估以方案分析、系統(tǒng)核查和工具檢測(cè)相結(jié)合的方式進(jìn)行，具體描述如下。方案分析系統(tǒng)核查工具檢測(cè)系統(tǒng)評(píng)估過(guò)程如圖3.20所示。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理圖3.20A市基于互聯(lián)網(wǎng)的電子政務(wù)系統(tǒng)安全評(píng)估過(guò)程3.5.4安全需求分析1．網(wǎng)絡(luò)安全需求

互聯(lián)網(wǎng)擁有大量用戶，并且存在身份仿冒等威脅。系統(tǒng)很難分辨哪些是合法用戶，哪些是非法用戶。一旦政務(wù)辦公人員的身份被假冒，將影響到政府的辦公系統(tǒng)。因此，身份鑒別是網(wǎng)絡(luò)安全的基本需求，必須建立強(qiáng)認(rèn)證機(jī)制，實(shí)行統(tǒng)一身份認(rèn)證和授權(quán)管理。第三章

信息安全風(fēng)險(xiǎn)管理2．政務(wù)辦公系統(tǒng)安全需求進(jìn)入系統(tǒng)必須首先進(jìn)行登錄，身份由統(tǒng)一的機(jī)構(gòu)進(jìn)行管理，并且能根據(jù)身份重要程度發(fā)放相應(yīng)的憑證，普通辦事員使用用戶名作為登錄憑證，領(lǐng)導(dǎo)和重要職位使用數(shù)據(jù)證書(shū)作為登錄憑證。模擬現(xiàn)實(shí)中的角色和分工，個(gè)人只能處理自己職責(zé)相關(guān)的任務(wù)。并且個(gè)人權(quán)限不能由自己決定和更改，應(yīng)由全市的統(tǒng)一管理機(jī)構(gòu)進(jìn)行管理。保證敏感數(shù)據(jù)傳輸過(guò)程中的機(jī)密性和完整性。公文在處理過(guò)程中嚴(yán)格按照現(xiàn)實(shí)的工作流程進(jìn)行，不能漏過(guò)任何環(huán)節(jié)，每個(gè)環(huán)節(jié)指定專(zhuān)人負(fù)責(zé)，在某個(gè)環(huán)節(jié)處理之前不能進(jìn)入下一個(gè)環(huán)節(jié)。對(duì)于重要的操作，如簽發(fā)公文，要求使用數(shù)字證書(shū)重新驗(yàn)證身份。第三章

信息安全風(fēng)險(xiǎn)管理對(duì)于形成的正式公文，按照敏感程度進(jìn)行分類(lèi)，敏感公文的借閱必須履行借閱手續(xù)。系統(tǒng)涉及敏感數(shù)據(jù)和公開(kāi)數(shù)據(jù)，系統(tǒng)應(yīng)能保證公開(kāi)數(shù)據(jù)在處理的過(guò)程中不影響敏感數(shù)據(jù)的安全性。為降低系統(tǒng)風(fēng)險(xiǎn)，系統(tǒng)的內(nèi)部業(yè)務(wù)處理模塊要求其他無(wú)關(guān)人員不可達(dá)。系統(tǒng)應(yīng)有應(yīng)急手段以應(yīng)對(duì)突發(fā)事件，且能夠備份和快速恢復(fù)系統(tǒng)。第三章

信息安全風(fēng)險(xiǎn)管理3．項(xiàng)目審批管理安全需求

進(jìn)入系統(tǒng)必須首先進(jìn)行登錄，身份由統(tǒng)一的機(jī)構(gòu)進(jìn)行管理。企業(yè)用戶只能處理和查詢本單位的上報(bào)和查詢業(yè)務(wù)。項(xiàng)目審批人員只能處理自己職責(zé)相關(guān)的任務(wù)，個(gè)人權(quán)限應(yīng)由全市的統(tǒng)一管理機(jī)構(gòu)進(jìn)行管理。根據(jù)安裝服務(wù)對(duì)象和信息敏感程度，系統(tǒng)分為企業(yè)上報(bào)和內(nèi)部業(yè)務(wù)處理兩個(gè)子系統(tǒng)，且應(yīng)能保證公開(kāi)數(shù)據(jù)在處理的過(guò)程中不影響敏感數(shù)據(jù)的安全性。為降低系統(tǒng)風(fēng)險(xiǎn)，審批和統(tǒng)計(jì)等內(nèi)部業(yè)務(wù)處理模塊要求普通人員不可達(dá)。第三章

信息安全風(fēng)險(xiǎn)管理3.5.5安全保障方案分析基于互聯(lián)網(wǎng)開(kāi)展電子政務(wù)建設(shè)，關(guān)鍵是要解決好安全問(wèn)題。為了確保應(yīng)用系統(tǒng)和信息傳輸安全，規(guī)范工程項(xiàng)目按照建設(shè)方案有序?qū)嵤?，?zhuān)家組在調(diào)研的基礎(chǔ)上，制定了《A市基于互聯(lián)網(wǎng)的電子政務(wù)系統(tǒng)技術(shù)總體要求》和《A市基于互聯(lián)網(wǎng)的電子政務(wù)系統(tǒng)安全保障方案框架》。該要求和構(gòu)架就應(yīng)用系統(tǒng)的分級(jí)分域保護(hù)、歸檔數(shù)據(jù)分級(jí)保護(hù)、工作流訪問(wèn)控制、基于身份認(rèn)證的單點(diǎn)登錄、基于功能模塊的權(quán)限控制以及試點(diǎn)系統(tǒng)總體安全保護(hù)措施等內(nèi)容作了具體要求。安全保障方案框架如圖3.21所示。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理圖3.21A市基于互聯(lián)網(wǎng)的電子政務(wù)系統(tǒng)安全保障方案框架1．安全互聯(lián)、接入控制與邊界防護(hù)具有防火墻功能的VPN密碼機(jī)的安全功能包括以下內(nèi)容。各局委辦VPN設(shè)備間的安全互聯(lián)，形成安全的電子政務(wù)網(wǎng)絡(luò)。電子政務(wù)網(wǎng)絡(luò)中電子政務(wù)應(yīng)用數(shù)據(jù)傳輸?shù)谋Ｃ苄院屯暾员ＷC。支持基于數(shù)字證書(shū)的設(shè)備認(rèn)證。支持基于用戶的接入控制。應(yīng)同時(shí)支持移動(dòng)安全接入、VPN安全互聯(lián)和互聯(lián)網(wǎng)訪問(wèn)等功能。VPN密碼機(jī)自身具有入侵檢測(cè)與攻擊防護(hù)能力。第三章

信息安全風(fēng)險(xiǎn)管理2．政務(wù)辦公系統(tǒng)該系統(tǒng)的安全功能要求如下。數(shù)據(jù)分級(jí)分域存放。統(tǒng)一身份認(rèn)證。訪問(wèn)控制。信息分級(jí)控制。關(guān)鍵操作（如公文簽發(fā)）實(shí)施證書(shū)方式認(rèn)證?；诠ぷ髁鞯脑L問(wèn)控制。第三章

信息安全風(fēng)險(xiǎn)管理

政務(wù)辦公系統(tǒng)的安全功能示意圖如圖3.22所示。第三章

信息安全風(fēng)險(xiǎn)管理圖3.22政務(wù)辦公系統(tǒng)安全功能示意圖3.5.6安全保障方案實(shí)施情況核查1．中心機(jī)房部署情況A市電子政務(wù)中心機(jī)房承載著全市的電子政務(wù)應(yīng)用系統(tǒng)。A市基于互聯(lián)網(wǎng)的電子政務(wù)系統(tǒng)機(jī)房機(jī)柜部署具體情況如圖3.23所示，機(jī)柜功能描述如表3.12所示。第三章

信息安全風(fēng)險(xiǎn)管理第三章

信息安全風(fēng)險(xiǎn)管理圖3.23

A市基于互聯(lián)網(wǎng)的電子政務(wù)系統(tǒng)中心機(jī)房機(jī)柜部署圖第三章

信息安全風(fēng)險(xiǎn)管理機(jī)柜編號(hào)功能1號(hào)機(jī)柜四號(hào)樓網(wǎng)絡(luò)機(jī)柜2號(hào)機(jī)柜光纖機(jī)柜3號(hào)機(jī)柜安全服務(wù)區(qū)機(jī)柜4號(hào)機(jī)柜核心網(wǎng)絡(luò)設(shè)備機(jī)柜5號(hào)機(jī)柜公開(kāi)區(qū)機(jī)柜6號(hào)機(jī)柜公開(kāi)區(qū)機(jī)柜7號(hào)機(jī)柜敏感區(qū)機(jī)柜8號(hào)機(jī)柜敏感區(qū)機(jī)柜9號(hào)機(jī)柜安全管理機(jī)柜10號(hào)機(jī)柜敏