《信息安全风险管理程序(DOC 26页)》由会员分享，可在线阅读，更多相关《信息安全风险管理程序(DOC 26页)（27页珍藏版）》请在金锄头文库上搜索。
1、 城云科技（杭州）有限公司信息安全风险管理程序文档编号3.1受控状态受控版 本 号V2.0作 者鄂鹏羽审 核 人李振华批 准 人夏敏发布日期2014/12/1批准日期2014/12/1目录信息安全风险管理程序1第一章目 的1第二章范 围1第三章名词解释1第四章风险评估方法2第五章风险评估实施5第六章风险管理要求19第七章附 则20第八章检查要求20第一章 目 的第一条 目的：指导信息安全组织针对信息系统及其管理开展的信息风险评估工作。本指南定义了风险评估的基本概念、原理及实施流程；对资产、威胁和脆弱性识别要求进行了详细描述。第二章 范 围第二条 范围：适用于风险评估组开展各项信息安全风险评估工
2、作。第三章 名词解释第三条 资产对组织具有价值的信息或资源，是安全策略保护的对象。第四条 资产价值资产的重要程度或敏感程度的表征。资产价值是资产的属性，也是进行资产识别的主要内容。资产价值通过机密性、完整性和可用性三个方面评估计算获得。（一）机密性（Confidentiality）：确保只有经过授权的人才能访问信息；（二）完整性（Integrality）：保护信息和信息的处理方法准确而完整；（三）可用性（Availability）：确保经过授权的用户在需要时可以访问信息并使用相关信息资产。第五条 威胁可能导致对系统或组织危害的不希望事故潜在起因。第六条 脆弱性可能被威胁所利用的资产或若干资产的
3、弱点。第七条 信息安全风险人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。第八条 信息安全评估依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。第九条 残余风险采取了安全措施后，信息系统仍然可能存在的风险。第四章 风险评估方法第十条 风险管理模型图1 风险管理模型图1为风险管理的基本模型，椭圆部分的内容是与这些要素相关的属性。风险管理围绕着资产、威胁
4、、脆弱性和安全措施这些基本要素展开。信息安全风险评估在对风险管理要素的评估过程中，需要充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要素相关的各类属性。图1中的风险管理要素及属性之间存在着以下关系： （一）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；（二）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；（三）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成为安全事件；（四）资产的脆弱性可能暴露资产的价值，资产具有的弱点越多则风险越大；（五）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；（六）风险的存在及对风险的认识
5、导出安全需求；（七）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；（八）安全措施可抵御威胁，降低风险；（九）残余风险有些是安全措施不当或无效,需要加强才可控制的风险；而有些则是在综合考虑了安全成本与效益后不去控制的风险；（十）残余风险应受到密切监视，它可能会在将来诱发新的安全事件。第十一条 风险评估模型图2 风险评估原理图风险评估的过程中主要包含信息资产（Information Asset），脆弱性（Vulnerability）、威胁（Threat）、影响（Impact）和风险（Risk）五个要素。信息资产的基本属性是资产价值（Assets Value），脆弱性的基本属性是被威
6、胁利用的难易程度（How Easily Exploited by Threats）、威胁的基本属性是威胁的可能性（Threat Likelihood）、影响度的基本属性是严重性（Severity），它们直接影响风险的两个属性，风险的后果（Risk Consequence）和风险的可能性（Risk Likelihood）。其中资产价值和影响的严重性构成风险的后果，脆弱性被威胁利用的难易程度和威胁的可能性构成风险的可能性，风险的后果和风险的可能性构成风险。第十二条 风险评估方法图3 风险评估方法风险评估的主要内容为：（一）对资产进行识别，并对资产的价值进行赋值；（二）对威胁进行识别，描述威胁的属性
7、，并对威胁出现的频率赋值；（三）对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；（四）根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性；（五）根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件的损失；（六）根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响；（七）综合分析，采用适当的方式计算风险值。 第五章 风险评估实施第十三条 风险评估的准备风险评估的准备是整个风险评估过程有效性的保证。组织实施风险评估是一种战略性的考虑，其结果将受到组织业务战略、业务流程、安全需求、系统规模和结构等方面的影响。因此，在风险评估实施前应：（一）确定风险
8、评估的目标；（二）确定风险评估的范围；（三）组建适当的评估管理与实施团队；（四）进行系统调研；（五）确定评估依据和方法（即评估列表）；（六）获得最高管理者对风险评估工作的支持。第十四条 资产识别资产识别是对直接赋予了价值因而需要保护的资产进行分类和价值等级赋值。资产分类和赋值方法可根据ISO27001体系结合组织自身情况完成，资产价值作为风险计算的输入。第十五条 威胁评估安全威胁是一种对系统、组织及其资产构成潜在破坏的可能性因素或者事件。产生安全威胁的主要因素可以分为人为因素和环境因素。人为因素包括有意因素和无意因素。环境因素包括自然界的不可抗力因素和其它物理因素。威胁可能是对信息系统直接或间
9、接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。威胁也可能是偶发的、或蓄意的事件。一般来说，威胁总是要利用网络、系统、应用或数据的弱点才可能成功地对资产造成伤害。安全事件及其后果是分析威胁的重要依据。但是有相当一部分威胁发生时，由于未能造成后果，或者没有意识到，而被安全控制人员忽略。这将导致对安全威胁的认识出现偏差。威胁分析方法首先需要考虑威胁的来源，然后分析各种来源存在哪些威胁种类，最后做出威胁来源和威胁种类的列表进行威胁赋值。（一）威胁来源分析信息系统的安全威胁来源可考虑以下方面：威胁源威胁分类威胁来源描述人为因素非恶意人员威胁事件内部人员由于缺乏责任心，
10、或者由于不关心和不专注，或者没有遵循规章制度和操作流程而导致故障或被攻击；内部人员由于缺乏培训，专业技能不足,不具备岗位技能要求而导致信息系统故障或被攻击。恶意人员威胁事件不满的或有预谋的内部人员对信息系统进行恶意破坏；采用自主的或内外勾结的方式盗窃机密信息或进行篡改，获取利益。第三方合作伙伴和供应商，包括业务合作伙伴以及软件开发合作伙伴、系统集成商、服务商和产品供应商；包括第三方恶意的和无恶意的行为。外部人员利用信息系统的弱点，对网络和系统的机密性、完整性和可用性进行破坏，以获取利益或炫耀能力。环境威胁自然威胁事件洪灾、火灾、地震等环境条件和自然灾害物理威胁事件由于断电、静电、灰尘、潮湿、温
11、度、鼠蚁虫害、电磁干扰、； 非人为系统威胁事件意外事故或由于软件、硬件、数据、通讯线路方面的故障。社会因素威胁社会动乱恐怖袭击表1：威胁来源（二）威胁种类分析对安全威胁进行分类的方式有多种多样，针对上表威胁来源，组织信息管理部的安全威胁种类按类列举如下表所示。威胁的编号按照类别进行划分，以字母“T”开头（Threats），第二个字母为威胁类型，例如人员威胁为TP为前缀，以“-”连接，以数字后缀为序列。威胁源威胁分类威胁编号威胁类型威胁表现威胁注释人为因素非恶意人员威胁事件TP-01无作为或操作失误 操作失误、错误在正常工作或使用过程中，由于技能不足或精神不集中导致的操作不当、设置错误，无意中造
12、成对资产的侵害TP-02无作为或操作失误 无意识传播恶意代码使用个人电脑、移动介质等时无意识中传播了恶意的代码，TP-03管理不到位 遗失无意遗失重要资产TP-04管理不到位 生病感染流行病或传染病导致无法正常出勤TP-05管理不到位 事假、离职因事假或离职导致无法正常工作TP-06无作为或操作失误 工作疏忽、监控不力、判断失误在正常工作或使用过程中，由于技能不足或精神不集中导致的监察不力、响应不及时等，无意中造成对资产的侵害恶意人员威胁事件TP-07物理攻击蓄意破坏蓄意以各种方式破坏信息资产，可能导致资产不可用，如纵火，在系统中故意留后门TP-08篡改 数据破坏对系统中数据进行恶意删除等行为
13、TP-09越权或滥用 非授权访问/使用非授权地对网络或系统进行访问，非授权地使用设备或软件，如对系统内容非法下载或批量导出,非授权扫描TP-10恶意代码 恶意代码攻击病毒、蠕虫、逻辑炸弹、木马后门等恶意代码的攻击TP-11篡改 非授权篡改对系统或数据进行非授权篡改，导致完整性丧失TP-12管理不到位 擅自使用非授权软件擅自通过互联网下载、使用公司非授权软件，可能造成版权等符合性问题TP-13网络攻击 黑客入侵黑客利用各种手段对公司信息系统实施攻击TP-14网络攻击 DOS攻击攻击方发动拒绝服务攻击TP-15物理环境影响盗窃窃取物品TP-16越权或滥用身份假冒非授权人员冒用他人或授权人员身份TP
14、-17网络攻击 窃听通过网络嗅探、偷听、搭线窃听等途径非法获取信息TP-18管理不到位 人员短缺完成某项工作的合格的人力资源不足TP-19管理不到位 泄密泄漏敏感信息或电子数据TP-20管理不到位 社会工程/欺骗以非技术手段（例如欺骗）获取特定信息，包括间谍行为TP-21抵赖 无法进行审查的抵赖行为不承认之前的行为或操作，无法追查当事人责任TP-22管理不到位 商业间谍行为通过贿赂等行为刺探商业情报TP-23管理不到位 恶意申告向主管机关和利益集团申告存在的软件正版化等问题，或由此进行敲诈环境威胁自然威胁事件TE-01物理环境影响 雷电资产所处地点可能发生雷电TE-02物理环境影响 台风资产所处地点可能发生台风TE-03物理环境影响 暴雨资产所处地点可能发生暴雨TE-04物理环境影响 海啸资产所处地点可能发生海啸TE-05物理环境影响 洪水资产所处地点可能发生洪水TE-06物理环境影响 冰雹资产所处地
