國家認(rèn)證認(rèn)可監(jiān)督委員會批準(zhǔn)認(rèn)證咨詢機(jī)構(gòu)
批準(zhǔn)號：CNCA-Z-01Q-2006-038
聯(lián)系電話
全國：010-56542716
天津：022-27810977
國家認(rèn)證認(rèn)可監(jiān)督委員會批準(zhǔn)認(rèn)證咨詢機(jī)構(gòu)
批準(zhǔn)號：CNCA-Z-01Q-2006-038
全國：010-56542716
天津：022-27810977
常見問題&知識園地
ISO27001信息安全風(fēng)險的構(gòu)成要素：以風(fēng)險為中心的信息安全風(fēng)險的構(gòu)成要素
ISO/IEC13335 是國際標(biāo)準(zhǔn)組織發(fā)布的《IT信息安全管理指南》,，是一個信息安全管理方面的指導(dǎo)性標(biāo)準(zhǔn),。 其中ISO/IEC13335-1：2002《信息安全管理和計劃的概念和模型》,，以風(fēng)險為中心，確定了資產(chǎn),、威脅,、脆弱性、影響,、風(fēng)險,、防護(hù)措施、剩余風(fēng)險為信息安全風(fēng)險的要素,，并描述了要素的相互關(guān)系,。
（1）風(fēng)險要素
① 資產(chǎn)
資產(chǎn)是組織成功的關(guān)鍵信息或資源，是信息安全保護(hù)的主要對象,。它包括物理硬件,、軟件、產(chǎn)品生產(chǎn)和服務(wù) 能力,、人員和其它無形資產(chǎn),。
② 威脅
威脅是潛在的能導(dǎo)致信息安全風(fēng)險事件并對組織及其資產(chǎn)造成損害的活動。它可以通過IT系統(tǒng)或者服務(wù),，直接或間接地作用于信息系統(tǒng),，并導(dǎo)致非授權(quán)破壞、泄露,、 修改,、損壞、不可用的損失,。威脅必須利用資產(chǎn)固有的脆弱性才能完成對資產(chǎn)的損害,，它可能來自人為的或非人為的、可能是故意或無意的,、可能是來自環(huán)境的威脅,。
③ 脆弱性
脆弱性是資產(chǎn)在與其相關(guān)的物理環(huán)境、組織,、策略,、人員、管理,、監(jiān)控,、硬件、軟件和信息方面所固有的弱 點,。脆弱性是最有可能被威脅利用并造成對組織信息系統(tǒng)和業(yè)務(wù)目標(biāo)的損害,。
④ 影響
影響是風(fēng)險事件發(fā)生，對資產(chǎn)造成的后果，使一定資產(chǎn)或信息系統(tǒng)的機(jī)密性,、完整性,、可用性、不可否認(rèn),、 可審計性,、真實性和可靠性遭到破壞。
包括直接和非直接的影響,，比如：金融損失,、市場份額損失或形象損失。
⑤ 風(fēng)險
風(fēng)險是一定威脅利用資產(chǎn)脆弱性造成組織損失或破壞的潛在程度,。它是由風(fēng)險事件發(fā)生的可能性和它的影響 來決定,。任何資產(chǎn)、威脅,、脆弱性和安全防護(hù)措施的變化都能對風(fēng)險產(chǎn)生重要的影響,。及時檢測或確定信息系統(tǒng) 及其環(huán)境的變化，采取適當(dāng)?shù)拇胧?，可以降低風(fēng)險,。
⑥ 安全防護(hù)措施
安全防護(hù)措施是抵抗威脅、減少脆弱性,、限制風(fēng)險事件影響,、檢測風(fēng)險事件和恢復(fù)的安全實踐、策略和機(jī) 制,。有效的安全是在資產(chǎn)的多個層面提供安全防護(hù)措施,，來預(yù)防、阻止,、檢測,、限制、糾正,、恢復(fù),、監(jiān)視安全事件。
在物理環(huán)境,、技術(shù)環(huán)境,、人員和管理實施安全防護(hù)，是保證信息安全的基本要求,。
⑦ 殘余風(fēng)險
風(fēng)險不可能完全消除,，有些風(fēng)險由于安全成本問題，在滿足組織安全需求的前提下,，成為殘余的風(fēng)險。
⑧ 其它要素
（2）風(fēng)險要素關(guān)系
風(fēng)險要素之間存在著多種關(guān)系，ISO/IEC13335-1,，以風(fēng)險為中心,，清晰表示了資產(chǎn)面臨的安全風(fēng)險與其它 風(fēng)險因素之間的關(guān)系，如下圖,。
ISO/IEC 13335 風(fēng)險要素關(guān)系
① 支撐組織業(yè)務(wù)運(yùn)行的關(guān)鍵資產(chǎn),，如果對資產(chǎn)的依賴程度越大，在攻擊者利用脆弱性發(fā)動威脅時,，面臨著非授權(quán)暴露,、修改、否認(rèn)信息,、信息服務(wù)不可用或損壞的風(fēng)險也越大,，對組織資產(chǎn)和業(yè)務(wù)造成負(fù)面影響，因此引出安全保護(hù)需求,；
② 威脅利用脆弱性作用于關(guān)鍵資產(chǎn),，共同引發(fā)風(fēng)險，威脅越多風(fēng)險越大,，風(fēng)險的存在導(dǎo)出安全保護(hù)需求,；
③ 脆弱性可能暴露資產(chǎn)價值，資產(chǎn)具有的弱點越多,，風(fēng)險越大,，風(fēng)險的存在導(dǎo)出未被滿足的安全保護(hù)需求；
④ 安全保護(hù)需求可通過安全防護(hù)措施得以滿足,。
⑤ 安全防護(hù)措施的實施,，可以抵御威脅，減少脆弱性,，降低風(fēng)險,。
關(guān)注卓越空間
關(guān)注卓越微博
關(guān)注卓越微信