信息安全风险评估实施流程教案资料

《信息安全风险评估实施流程教案资料》由会员分享，可在线阅读，更多相关《信息安全风险评估实施流程教案资料（70页珍藏版）》请在金锄头文库上搜索。

1、第5章信息安全风险评估实施流程 5 1风险评估的准备5 2资产识别5 3脆弱性识别5 4已有安全措施确认5 5风险分析5 6风险处理计划5 7风险评估文件记录5 8本章作业 信息安全风险评估实施流程信息安全风险评估是从风险管理角度 运用科学的方法和手段 系统地分析网络与信息系统所面临的威胁及其存在的脆弱性 评估安全事件一旦发生可能造成的危害程度 为防范和化解信息安全风险 或者将风险控制在可以接受的水平 制定针对性的抵御威胁的防护对策和整改措施以最大限度地保障网络和信息安全提供科学依据 信息安全风险评估可以不断地 深入地发现信息系统建设 运行 管理中的安全隐患 并为增强安全性提供有效建议 以便采

2、取更加经济 更加有力的安全保障措施 提高信息安全的科学管理水平 进而全面提升网络与信息系统的安全保障能力 信息安全风险评估在具体实施中一般包括风险评估的准备活动 对信息系统资产安全 面临威 存在脆弱性的识别 对已经采取安全措施的确认 对可能存在的信息安全风险的识别等环节 5 1风险评估的准备风险评估的准备是实施风险评估的前提 只有有效地进行了信息安全风险评估准备 才能更好地开展信息安全风险评估 由于实施信息安全风险评估 涉及组织的业务流程 信息安全需求 信息系统规模 信息系统结构等多方面内容 因此开展信息安全风险评估的准备活动 通过确定目标 进行调研 获得组织高层管理者对评估的支持等 对有效实

3、施风险评估是十分必要的 信息安全评估的准备活动包括1 确定风险评估的目标2 确定风险评估的范围3 组建风险评估管理团队和评估实施团队4 进行系统调研5 确定评估依据和方法6 获得最高管理者对风险评估工作的支持 5 1 1确定风险评估的目标首先需要确定风险评估的目标 信息安全需求是一个组织为保证其业务正常 有效运转而必须达到的信息安全要求 通过分析组织必须符合的相关法律法规 组织在业务流程中对信息安全等的机密性 可用性 完整性等方面的需求 来确定风险评估的目标 5 1 2确定风险评估的范围在风险评估前 需要确定风险评估的范围 风险评估的范围 包括组织内部与信息处理相关的各类软硬件资产 相关的管理

4、机构和人员 所处理的信息等各方面 实施一次风险评估的范围可大可小 需要根据具体评估需求确定 可以对组织全部的信息系统进行评估 也可以仅对关键业务流程进行评估 也可以对组织的关键部门的信息系统进行评估等 5 1 3组建评估管理团队和评估实施团队在确定风险评估的目标 范围后 需要组建风险评估实施团队 具体执行组织的风险评估 由于风险评估涉及组织管理 业务 信息资产等各个方面 因此风险评估团队中除了信息安全评估人员的参与 以便更好地了解组织信息安全状况 以利于风险评估的实施 5 1 4进行系统调研在确定了风险评估的目标 范围 团队后 要进行系统调研 并根据系统调研的结果决定评估将采用的评估方法等技术

5、手段 系统调研内容包括 1 组织业务战略2 组织管理制度3 组织主要业务功能和要求4 网络结构 网络环境 包括内部连接和外部连接 5 网络系统边界6 主要的硬 软件7 数据和信息8 系统和数据的敏感性9 系统使用人员10 其他系统调研方法可以采用问卷调查 现场访谈等方法进行 5 1 5确定评估依据和方法以系统调研结果为依据 根据被评估信息系统的具体情况 确定风险评估依据和方法 评估依据包括吸纳有国际或国家有关信息安全标准 组织的行业主管机关的业务系统的要求和制度 组织的信息系统互连单位的安全要求 组织的信息系统本身的实时性或性能要求等 根据评估依据 并综合考虑评估的目的 范围时间效果评估人员素

6、质等因素 选择具体的风险计算方法 并依据组织业务实施对系统安全运行的需求 确定相关的评估判断依据 使之能够与组织环境和安全要求相适应 5 1 6获得支持就以上内容形成较为完整的风险评估实施方案 并报组织最高管理者批准 以获得其对风险评估方案的支持 同时在组织范围就风险评估相关内容对管理者和技术人员进行培训 以明确有关人员在风险评估中的任务 5 2资产识别5 2 1资产分类风险评估需要对资产的价值进行识别 因为价值不同将导致风险值不同 而风险评估中资产的价值不是以资产的经济价值来衡量 而是以资产的机密性 完整性 和可用性三个方面属性为基础进行衡量 资产在机密性 完整性和可用性三个属性上的要求不同

7、 则资产的最终价值也不同 在一个组织中 资产有多种表现形式 同样的两个资产也因属于不同的信息系统而重要性不同 首先需要将信息系统及相关的资产进行恰当的分类 以此为基础进行下一步的风险评估 在实际工作中 具体的资产分类方法可以根据具体的评估对象和要求 由评估者灵活把握 根据资产的表现形式 可以将资产分为数据 软件 硬件 文档 服务 人员等类型 表5 1列出了一种资产的分类方法 表5 1一种基于表现形式的资产分类方法 表5 1一种基于表现形式的资产分类方法 5 2 2资产赋值对资产的赋值不仅要考虑资产的经济价值 更重要的是要考虑资产的安全状况 即资产的机密性 完整性和可用性 对组织信息安全性的影响

8、程度 资产赋值的过程也就是对资产在机密性 完整性和可用性上的要求进行分析 并在此基础上得出综合结果的过程 资产对机密性 完整性和可用性上的要求可由安全属性缺失时造成的影响来表示 这种影响可能造成某些资产的损害以至危及信息系统 还可能导致经济效益 市场份额 组织形象的损失 1 机密性赋值根据资产在机密性上的不同要求 将其分为5个不同的等级 分别对应资产在机密性缺失时对整个组织的影响 表5 2提供了一种机密性赋值的参考 表5 2资产机密性赋值表 2 完整性赋值根据资产在完整性上的不同要求 将其分为5个不同的等级 分别对应资产在完整性商缺失时对整个组织的影响 表5 3提供了一种完整性赋值的参考 表5

9、 3资产完整性赋值表 3 可用性赋值根据资产在可用性上的不同要求 将其分为5个不同的等级 分别对应资产在可用性上缺失时对整个组织的影响 表1 4提供了一种可用性赋值的参考 表5 4资产可用性赋值表 4 资产重要性等级资产价值应依据资产在机密性 完整性和可用性上的赋值等级 经过综合评定得出 综合评定方法可以选择对资产机密性 完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果 也可以根据资产机密性 完整性和可用性的不同等级对其赋值进行加权计算得到资产的最终赋值结果 加权方法可根据组织的业务特点确定 这里为与上述安全属性的赋值相对应 根据最终赋值资产划分为5级 级别越高表示资产越重要

10、也可以根据组织的实际情况确定资产识别中的赋值依据和等级 表5 5中的资产等级划分表明了不同等级的重要性的综合描述 评估者可根据资产赋值结果 确定重要资产的范围 并围绕重要资产进行下一步的风险评估 表5 5资产等级及含义描述 5 3威胁识别5 3 1威胁分类信息安全威胁可以通过威胁主体 资源 动机 途径等多种属性来描述 造成威胁的因素可分为人为因素和环境因素 根据威胁的动机 人为因素又可分为恶意和非恶意两种 环境因素包括自然界不可抗力的因素和其他物理因素 威胁作用形式可以是对信息系统直接或间接的攻击 也可能是偶发的或蓄意的安全事件 都会在信息的机密性 完整性或可用性等方面造成损害 在对威胁进行分

11、类前 应考虑威胁的来源 表1 6提供了一种威胁来源的分类方法 表5 6威胁来源列表 5 3威胁识别对威胁进行分类的方式有多种 针对表5 6的威胁来源 可以根据其表现形式进行威胁分类 表5 7提供了一种基于表现形式的威胁分类方法 表5 7一种基于表现形式的威胁分类表 表5 7一种基于表现形式的威胁分类表 表5 7一种基于表现形式的威胁分类表 5 3威胁识别5 3 2威胁赋值威胁出现的频率是衡量威胁严重程度的重要要素 因此威胁识别后需要对威胁频率进行赋值 已带入最后的风险计算中 评估者应根据经验和 或 有关的统计数据来对威胁频率进行赋值 威胁赋值中需要综合考虑以下三个方面因素 5 3威胁识别5 3

12、 2威胁赋值1 以往安全事件报告中出现过的威胁及其频率的统计2 实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计 3 近年来国际组织发布的对与整个社会或特定的行业的威胁及其频率统计 以及发布的威胁预警 可以对威胁出现的频率进行等级化处理 不同等级分别代表威胁出现的频率的高低 等级数值越大 威胁出现的频率越高 表5 8威胁赋值表 表5 8提供了威胁出现频率的一种赋值方法 在实际的评估中 威胁频率的判断应根据历史统计或行业判断 在评估准备阶段确定 并得到被评估方的认可 5 4脆弱性识别脆弱性是资产本身存在的 如果没有被相应的威胁利用 单纯的脆弱性本身不会对资产造成损害 而且如果系统足够强

13、健 严重的威胁也不会导致安全事件发生进而带来损失 即 威胁总是要利用资产的脆弱性才可能造成危害 资产的脆弱性具有隐蔽性 有些脆弱性只有在一定条件下和环境下才能显现 这是脆弱性识别中最为困难的部分 不正确的 起不到应有作用的或没有正确实施安全措施本身就可能存在脆弱性 脆弱性识别是风险评估中最重要的一个环节 脆弱性识别可以以资产为核心 针对每一项需要保护的资产 识别可能被威胁利用的弱点 并对脆弱的严重程度进行评估 也可以从物理 网络 系统 应用等层次进行识别 然后与资产 威胁对应起来 脆弱识别的依据可以是国际国家安全标准 也可以是行业规范 应用流程的安全要求 对应用在不同的环境中的相同弱点 其脆弱

14、性严重程度是不同的 评估者应从组织安全策略的角度考虑 判断资产的脆弱性及其严重程度 信息系统所采用的协议 应用流程的完备与否 与其他网络的互联等也应考虑在内 脆弱性识别时的数据应来自于资产的所有者 使用者 以及相关业务领域和软硬件方面的专业人员等 脆弱性识别所采用的方法主要有 问卷调查 工具检测 人工核查 文档查阅 渗透性测试等 脆弱性识别主要从技术和管理两个方面进行 技术脆弱性涉及物理层 网络层 系统层 应用层等各个层面的安全问题 管理脆弱性又可分为技术管理脆弱性和组织管理脆弱性两方面 前者与具体技术活动相关 后者与管理环境相关 对不同的识别对象 其脆弱性识别的具体要求应参照相应的技术或管理

15、标准实施例如 对物理环境的脆弱性识别可以参照GB T9361 2000 计算机场地安全要求 中的技术指标实施 对操作系统 数据库可以参照GB17859 1999 计算机信息系统安全保护等级划分准则 中的技术指标实施管理脆弱性识别方面可以参照GB T19716 2005 信息技术信息安全管理实用规则 的要求对安全管理制度及及执行情况进行检查 发现管理漏洞和不足 表5 提供一种脆弱性识别内容的参考 表5 9脆弱性识别内容表 5 4 2脆弱性赋值可以根据对资产的损害程度 技术实现的难易程度 弱点的程度 采用等级方式对已识别的脆弱性的严重进行赋值 由于很多弱点反映的是一方面的问题 或可能造成相似的后果

16、 赋值时应综合考虑这些弱点 以确定这一方面脆弱性的严重程度 对某个资产 其技术脆弱性的严重程度还受到组织管理脆弱性的影响 因此 资产的脆弱赋值还应参考技术管理和组织管理脆弱性的严重程度 脆弱性严重程度可以进行等级化管理 不同的等级分别代表资产脆弱性的严重程度高低 等级数值越大 脆弱性严重程度越高 表5 10提供了脆弱性严重程度的一种赋值方法 表5 10脆弱性严重程度赋值表 5 5已有安全措施确认安全措施可以分为预防性安全措施和保护性安全措施两种 预防性安全措施可以降低威胁利用脆弱性导致安全事件发生的可能性 如 入侵检测系统 保护性安全措施可以减少因安全事件发生后对组织或系统造成的影响 在识别脆弱性的同时 评估人员应对已采取的安全措施的有效性进行检查 检查安全措施是否有效发挥了作用 即是否真正降低了系统的脆弱性 抵御了威胁 对于已经有效地发挥了其作用的安全措施 应继续保持 而不用重复建设安全措施 对于不适当的安全措施 用对其进行改进 或采用更合适的安全措施替代 已有安全措施确认与脆弱性识别存在一定的联系 一般来说 安全措施的使用将减少系统技术或管理上的弱点 但安全措施确认并不需要和脆弱性