ISMS建設(shè)過程中，信息安全風(fēng)險(xiǎn)評(píng)估是其最主要的技術(shù)路線和ISMS建設(shè)效果評(píng)估的依據(jù)。在信息安全領(lǐng)域，信息安全風(fēng)險(xiǎn)評(píng)估也形成了諸多國際標(biāo)準(zhǔn)和國內(nèi)標(biāo)準(zhǔn)。本文所涉及的內(nèi)容主要是《信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》等國家標(biāo)準(zhǔn)。以下就相關(guān)內(nèi)容做一個(gè)簡要描述。
信息安全風(fēng)險(xiǎn)評(píng)估包括四個(gè)主要方面的內(nèi)容，即資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別和風(fēng)險(xiǎn)評(píng)估。它們之間的關(guān)系如圖2.3所示：
在圖2.3中，風(fēng)險(xiǎn)評(píng)估的最主要環(huán)節(jié)是資產(chǎn)識(shí)別、威脅識(shí)別和脆弱性識(shí)別。下面就其含義作一個(gè)簡介：
①資產(chǎn)識(shí)別
安全的目的始終都是保障組織業(yè)務(wù)的正常運(yùn)行。因此，資產(chǎn)識(shí)別的過程就是將組織的業(yè)務(wù)工作這個(gè)抽象的概念逐步分解成定性、定量的資產(chǎn)安全性分析，或者說將組織的業(yè)務(wù)安全映射成資產(chǎn)的安全，使得我們能夠科學(xué)的把握組織的業(yè)務(wù)安全需求及其變化。資產(chǎn)識(shí)別包括資產(chǎn)分類和資產(chǎn)賦值兩個(gè)環(huán)節(jié)。
②威脅識(shí)別
與資產(chǎn)識(shí)別相類似，威脅識(shí)別分為威脅分類和威脅賦值兩個(gè)環(huán)節(jié)。威脅識(shí)別的方法形象地講就是“植樹、剪枝、統(tǒng)計(jì)”，見圖2.4：
③脆弱性識(shí)別
與資產(chǎn)識(shí)別和威脅識(shí)別略有不同，脆弱性識(shí)別分為脆弱性發(fā)現(xiàn)、脆弱性分類、脆弱性驗(yàn)證和脆弱性賦值等四個(gè)環(huán)節(jié)。表2.1是脆弱性分類表
| 類型 | 識(shí)別對(duì)象 | 識(shí)別內(nèi)容 |
| 技術(shù)脆弱性 | 物理環(huán)境 | 從機(jī)房場(chǎng)地、機(jī)房防火、機(jī)房供配電、機(jī)房防靜電、機(jī)房接地與防雷、電磁防護(hù)、通信線路的保護(hù)、機(jī)房區(qū)域防護(hù)、機(jī)房設(shè)備管理等方面進(jìn)行識(shí)別 |
| 網(wǎng)絡(luò)結(jié)構(gòu) | 從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、邊界保護(hù)、外部訪問控制策略、內(nèi)部訪問控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方面進(jìn)行識(shí)別 | |
| 系統(tǒng)軟件 | 從補(bǔ)丁安裝、物理防護(hù)、用戶賬號(hào)、口令策略、資源共享、事件審計(jì)、訪問控制、新系統(tǒng)配置、注冊(cè)表加固、網(wǎng)絡(luò)安全、系統(tǒng)管理等方面進(jìn)行識(shí)別 | |
| 應(yīng)用中間件 | 從協(xié)議安全、交易完整性、數(shù)據(jù)完整性等方面進(jìn)行識(shí)別 | |
| 應(yīng)用系統(tǒng) | 從審計(jì)機(jī)制、審計(jì)存儲(chǔ)、訪問控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識(shí)別 | |
| 管理脆弱性 | 技術(shù)管理 | 從物理和環(huán)境安全、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識(shí)別 |
| 組織管理 | 從安全策略、組織安全、資產(chǎn)分類與控制、人員安全、符合性等方面進(jìn)行識(shí)別 |
在對(duì)一個(gè)信息系統(tǒng)進(jìn)行了資產(chǎn)識(shí)別、威脅識(shí)別和脆弱性識(shí)別的基礎(chǔ)上，人們可以對(duì)信息系統(tǒng)的綜合風(fēng)險(xiǎn)等級(jí)進(jìn)行賦值，見表2.2：
| 等級(jí) | 標(biāo)識(shí) | 描述 |
| 5 | 很高 | 一旦發(fā)生將產(chǎn)生非常嚴(yán)重的經(jīng)濟(jì)或社會(huì)影響，如組織信譽(yù)嚴(yán)重破壞、嚴(yán)重影響組織的正常經(jīng)營，經(jīng)濟(jì)損失重大、社會(huì)影響惡劣 |
| 4 | 高 | 一但發(fā)生會(huì)產(chǎn)生較大的經(jīng)濟(jì)或社會(huì)影響，在一定范圍內(nèi)給組織的經(jīng)營和組織信譽(yù)造成損害 |
| 3 | 中等 | 一但發(fā)生會(huì)造成一定的經(jīng)濟(jì)、社會(huì)或生產(chǎn)經(jīng)營影響，但影響面和影響程度不大 |
| 2 | 低 | 一旦發(fā)生造成的影響程度較低，一般僅限于組織內(nèi)部，通過一定手段很快能解決 |
| 1 | 很低 | 一旦發(fā)生造成的影響幾乎不存在，通過簡單的措施就能彌補(bǔ) |
中企檢測(cè)認(rèn)證網(wǎng)提供iso體系認(rèn)證機(jī)構(gòu)查詢，檢驗(yàn)檢測(cè)、認(rèn)證認(rèn)可、資質(zhì)資格、計(jì)量校準(zhǔn)、知識(shí)產(chǎn)權(quán)貫標(biāo)一站式行業(yè)企業(yè)服務(wù)平臺(tái)。中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)行業(yè)相關(guān)檢驗(yàn)、檢測(cè)、認(rèn)證、計(jì)量、校準(zhǔn)機(jī)構(gòu)，儀器設(shè)備、耗材、配件、試劑、標(biāo)準(zhǔn)品供應(yīng)商，法規(guī)咨詢、標(biāo)準(zhǔn)服務(wù)、實(shí)驗(yàn)室軟件提供商提供包括品牌宣傳、產(chǎn)品展示、技術(shù)交流、新品推薦等全方位推廣服務(wù)。這個(gè)問題就給大家解答到這里了，如還需要了解更多專業(yè)性問題可以撥打中企檢測(cè)認(rèn)證網(wǎng)在線客服13550333441。為您提供全面檢測(cè)、認(rèn)證、商標(biāo)、專利、知識(shí)產(chǎn)權(quán)、版權(quán)法律法規(guī)知識(shí)資訊，包括商標(biāo)注冊(cè)、食品檢測(cè)、第三方檢測(cè)機(jī)構(gòu)、網(wǎng)絡(luò)信息技術(shù)檢測(cè)、環(huán)境檢測(cè)、管理體系認(rèn)證、服務(wù)體系認(rèn)證、產(chǎn)品認(rèn)證、版權(quán)登記、專利申請(qǐng)、知識(shí)產(chǎn)權(quán)、檢測(cè)法、認(rèn)證標(biāo)準(zhǔn)等信息，中企檢測(cè)認(rèn)證網(wǎng)為檢測(cè)認(rèn)證商標(biāo)專利從業(yè)者提供多種檢測(cè)、認(rèn)證、知識(shí)產(chǎn)權(quán)、版權(quán)、商標(biāo)、專利的轉(zhuǎn)讓代理查詢法律法規(guī)，咨詢輔導(dǎo)等知識(shí)。
本文內(nèi)容整合網(wǎng)站：百度百科、搜狗百科、360百科、知乎、市場(chǎng)監(jiān)督總局 、國家認(rèn)證認(rèn)可監(jiān)督管理委員會(huì)、質(zhì)量認(rèn)證中心
免責(zé)聲明：本文部分內(nèi)容根據(jù)網(wǎng)絡(luò)信息整理，文章版權(quán)歸原作者所有。向原作者致敬！發(fā)布旨在積善利他，如涉及作品內(nèi)容、版權(quán)和其它問題，請(qǐng)跟我們聯(lián)系刪除并致歉！
