信息安全风险管理程序

《信息安全风险管理程序》由会员分享，可在线阅读，更多相关《信息安全风险管理程序（23页珍藏版）》请在金锄头文库上搜索。

1、城云科技（杭州）有限公司信息安全风险管理程序文档编号受控状态受控版本号作者鄂鹏羽审核人李振华批准人夏敏发布日期2014/12/1批准日期2014/12/1目录信息安全风险管理程序 第一章目 的 第二章范 围 第三章名词解释 第四章风险评估方法第五章风险评估实施Ze/r 、.、:第六章风险管理要求第七章附 则 第八章检查要求 错误 ! 未定义书签。 错误 ! 未定义书签。 错误 ! 未定义书签。 错误 ! 未定义书签。 错误 ! 未定义书签。 错误 ! 未定义书签。 错误 ! 未定义书签。 错误 ! 未定义书签。 错误 ! 未定义书签。第一章 目 的第一条 目的：指导信息安全组织针对信息系统及其

2、管理开展的信息 风险评估工作。 本指南定义了风险评估的基本概念、 原理及实施流程； 对 资产、威胁和脆弱性识别要求进行了详细描述。第二章 范 围第二条 范围：适用于风险评估组开展各项信息安全风险评估工作。第三章 名词解释第三条 资产 对组织具有价值的信息或资源，是安全策略保护的对象。第四条 资产价值 资产的重要程度或敏感程度的表征。 资产价值是资产的属性， 也是进 行资产识别的主要内容。 资产价值通过机密性、 完整性和可用性三个方面 评估计算获得。(一) 机密性(Confidentiality):确保只有经过授权的人才能访问信息；(二) 完整性(Integrality ):保护信息和信息的处理

3、方法准确而完 整；(三) 可用性( Availability ):确保经过授权的用户在需要时可以 访问信息并使用相关信息资产。第五条 威胁 可能导致对系统或组织危害的不希望事故潜在起因。第六条 脆弱性 可能被威胁所利用的资产或若干资产的弱点。第七条 信息安全风险 人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响第八条信息安全评估依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和 存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。 它要 评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性， 并结合 安全事件所涉及的资产价值来判

4、断安全事件一旦发生对组织造成的影响。第九条残余风险米取了安全措施后，信息系统仍然可能存在的风险。第四章风险评估方法第十条风险管理模型脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆 W 脆脆脆脆1脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆J图1风险管理模型图1为风险管理的基本模型，椭圆部分的内容是与这些要素相关的属 性。风险管理围绕着资产、威胁、脆弱性和安全措施这些基本要素展开。 信息安全风险评估在对风险管理要素的评估过程中，需要充分考虑业务战 略、资产价值、安全需求、安全事件、残余风险等与这些基本要素相关的 各类属性。图1中的风险管理要素及属性之间存在着以下关系:（一）业务

5、战略的实现对资产具有依赖性， 依赖程度越高，要求其风 险越小；（二）资产是有价值的，组织的业务战略对资产的依赖程度越高， 资 产价值就越大；（三）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可 能演变成为安全事件；（四）资产的脆弱性可能暴露资产的价值，资产具有的弱点越多则风 险越大；（五）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；（六）风险的存在及对风险的认识导出安全需求；（七）安全需求可通过安全措施得以满足， 需要结合资产价值考虑实 施成本；（八）安全措施可抵御威胁，降低风险；（九）残余风险有些是安全措施不当或无效，需要加强才可控制的风 险；而有些则是在综合考虑了安全成本与

6、效益后不去控制的风险；（十）残余风险应受到密切监视，它可能会在将来诱发新的安全事件。 第十一条风险评估模型威胁来源资产所有者图2风险评估原理图风险评估的过程中主要包含信息资产（Information Asset），脆弱性（Vulnerability）、威胁（Threat ）、影响（Impact）和风险（Risk）五 个要素。信息资产的基本属性是资产价值（Assets Value ）,脆弱性的基 本属性是被威胁利用的难易程度（How Easily Exploited by Threats ） 威胁的基本属性是威胁的可能性（Threat Likelihood ）、影响度的基本属 性是严重性（Sev

7、erity ），它们直接影响风险的两个属性，风险的后果（RiskConsequenc和风险的可能性（Risk Likelihood ）。其中资产价值和影 响的严重性构成风险的后果，脆弱性被威胁利用的难易程度和威胁的可能 性构成风险的可能性，风险的后果和风险的可能性构成风险。第十二条风险评估方法图3风险评估方法风险评估的主要内容为：（一）对资产进行识别，并对资产的价值进行赋值；（二）对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；（三）对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；（四）根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可 能性；（五）根据脆弱性的严重程度及安全

8、事件所作用的资产的价值计算安 全事件的损失；（六）根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响；七）综合分析，采用适当的方式计算风险值。第五章 风险评估实施第十三条 风险评估的准备 风险评估的准备是整个风险评估过程有效性的保证。 组织实施风险评 估是一种战略性的考虑， 其结果将受到组织业务战略、 业务流程、 安全需 求、系统规模和结构等方面的影响。因此，在风险评估实施前应：（一）确定风险评估的目标；（二）确定风险评估的范围；（三）组建适当的评估管理与实施团队；（四）进行系统调研；（五）确定评估依据和方法（即评估列表） ；（六）获得最高管理者对风险评估工作的

9、支持。第十四条 资产识别 资产识别是对直接赋予了价值因而需要保护的资产进行分类和价值等级赋值。资产分类和赋值方法可根据 IS027001体系结合组织自身情况 完成，资产价值作为风险计算的输入。第十五条 威胁评估安全威胁是一种对系统、 组织及其资产构成潜在破坏的可能性因素或 者事件。产生安全威胁的主要因素可以分为人为因素和环境因素。 人为因 素包括有意因素和无意因素。 环境因素包括自然界的不可抗力因素和其它 物理因素。威胁可能是对信息系统直接或间接的攻击， 例如非授权的泄露、 篡改、 删除等，在机密性、 完整性或可用性等方面造成损害。 威胁也可能是偶发 的、或蓄意的事件。一般来说，威胁总是要利用

10、网络、系统、应用或数据 的弱点才可能成功地对资产造成伤害。安全事件及其后果是分析威胁的重要依据。 但是有相当一部分威胁发 生时，由于未能造成后果，或者没有意识到，而被安全控制人员忽略。这 将导致对安全威胁的认识出现偏差。威胁分析方法首先需要考虑威胁的来源，然后分析各种来源存在哪些 威胁种类，最后做出威胁来源和威胁种类的列表进行威胁赋值。（一）威胁来源分析信息系统的安全威胁来源可考虑以下方面：表1 :威胁来源威胁源威胁分类威胁来源描述人为因素非恶意人员威胁事件内部人员由于缺乏责任心，或者由于不关心和不专注，或者没有遵 循规早制度和操作流程而导致故障或被攻击；内部人员由于缺之培 训，专业技能不足，

11、不具备岗位技能要求而导致信息系统故障或被攻 击。恶意人员威胁事件不满的或有预谋的内部人员对信息系统进行恶意破坏；采用自主的 或内外勾结的方式盗窃机密信息或进行篡改，获取利益。第三方合作伙伴和供应商，包括业务合作伙伴以及软件开发合作伙 伴、系统集成商、服务商和产品供应商；包括第三方恶意的和无恶 意的行为。夕卜部人员利用信息系统的弱点，对网络和系统的机密性、完整性和 可用性进行破坏，以获取利益或炫耀能力。环境威胁自然威胁事件洪灾、火灾、地震等环境条件和自然灾害物理威胁事件由于断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、；非人为系统威胁事件意外事故或由于软件、硬件、数据、通讯线路方面的故障。社

12、会因素威胁社会动乱恐怖袭击（二）威胁种类分析对安全威胁进行分类的方式有多种多样， 针对上表威胁来源，组织信息管理部的安全威胁种类按类列举如下表所示威胁的编号按照类别进行划分，以字母“ T”开头（Threats ）,第二 个字母为威胁类型，例如人员威胁为 TP为前缀，以“-”连接，以数字后 缀为序列。威胁源威胁分 类威胁编 号威胁类型威胁表现威胁注释人为 因素非恶意 人员威胁事 件TP-01无作为或操作失误操作失误、错误在正常工作或使用过程中，由 于技能不足或精神不集中导致 的操作不当、设置错误，无意 中造成对资产的侵害TP-02无作为或操作失误无意识传播恶意代码使用个人电脑、移动介质等时 无意

13、识中传播了恶意的代码，TP-03管理不到位遗失无意遗失重要资产TP-04管理不到位生病感染流行病或传染病导致无法 正常出勤TP-05管理不到位事假、离职因事假或离职导致无法正常工 作TP-06无作为或操作失误工作疏忽、监控 不力、判断失误在正常工作或使用过程中，由 于技能不足或精神不集中导致 的监察不力、响应不及时等， 无意中造成对资产的侵害恶意人 员威胁事 件TP-07物理攻击蓄意破坏蓄意以各种方式破坏信息资 产，可能导致资产不可用，如 纵火，在系统中故意留后门TP-08篡改数据破坏对系统中数据进行恶意删除等 行为TP-09越权或滥用非授权访问/使 用非授权地对网络或系统进行访 问，非授权地

14、使用设备或软件， 如对系统内容非法下载或批量 导出，非授权扫描TP-10恶意代码恶意代码攻击病毒、蠕虫、逻辑炸弹、木马 后门等恶意代码的攻击TP-11篡改非授权篡改对系统或数据进行非授权篡 改，导致完整性丧失TP-12管理不到位擅自使用非授权软件擅自通过互联网下载、使用公司非授权软件，可能造成版权等符合性问题TP-13网络攻击黑客入侵黑客利用各种手段对公司信息 系统实施攻击TP-14网络攻击DOS攻 击攻击方发动拒绝服务攻击TP-15物理环境影响盗窃窃取物品TP-16越权或滥用身份假冒非授权人员冒用他人或授权人 员身份TP-17网络攻击窃听通过网络嗅探、偷听、搭线窃听等途径非法获取信息TP-18管理不到位人员短缺完成某项工作的合格的人力资 源不足TP-19管理不到位泄密泄漏敏感信息或电子数据TP-20管理不到位社会工程/欺骗以非技术手段（例如欺骗）获 取特定信息，包括间谍行为TP-21抵赖无法进行审查的抵赖行为不承认之前的行为或操作，无法追查当事人责任TP-22管理不到位商业间谍行为通过贿赂等行为刺探商业情报TP-23管理不到位恶意申告向主管机关和利益集团申告存 在的软件正版化等问题