《第18讲风险评估的基本过程》由会员分享，可在线阅读，更多相关《第18讲风险评估的基本过程（2页珍藏版）》请在金锄头文库上搜索。
1、第18讲风险评估的基本过程-识别并评估现有的安全措施在影响威胁事件发生的外部条件中，除了资产的弱点，另一个就是组织现有 的安全措施。识别已有的(或已计划的)安全控制措施，分析安全措施的效力，确定威胁利用 弱点的实际可能性，一方面可以指出当前安全措施的不足，另一方面也可以避免 重复投资。安全措施(即控制)的分类方式有多种，如果从目标和针对性来看，可以分为： 管理性(Administrative) 对系统的开发、维护和使用实施管理的措施，包括安全策略、程序管理、风险管理、安全保障、系统生命周期管 理等。 操作性(Operational) 用来保护系统和应用操作的流程和机制，包括人员职责、应急响应、
2、事件处理、意识培训、系统支持和操作、物理和 环境安全等。 技术性(Technical) 身份识别与认证、逻辑访问控制、日志审计、加密等。从控制的功能来看，可以分为以下几类： 威慑性(Deterrent) 此类控制可以降低蓄意攻击的可能性，实际上针对的是威胁源的动机。 预防性(Preventive) 此类控制可以保护弱点，使攻击难以成功，或者降低攻击造成的影响。 检测性(Detective) 此类控制可以检测并及时发现攻击活动，还可以激活纠正性或预防性控制。纠正性(Corrective )此类控制可以使攻击造成的影响减到最小。图3.2所示即按功能来分类的控制应对风险的情况。图3.2安板牌施(控制1应时段幽备要素的情况通过相关文档的复查、人员面谈、现场勘查、清单检查等途径就可以识别出现有 的安全措施。对已识别的安全控制措施，应该评估其效力(Effectiveness)， 这可以通过复查控制的日志记录、结果报告，以及技术性测试等途径来进行。控 制的效力一般也可以通过“高”、“中”、“低”三级来表述。
