國家認(rèn)證認(rèn)可監(jiān)督委員會(huì)批準(zhǔn)認(rèn)證咨詢機(jī)構(gòu)
批準(zhǔn)號(hào)：CNCA-Z-01Q-2006-038
聯(lián)系電話
全國：010-56542716
天津：022-27810977
國家認(rèn)證認(rèn)可監(jiān)督委員會(huì)批準(zhǔn)認(rèn)證咨詢機(jī)構(gòu)
批準(zhǔn)號(hào)：CNCA-Z-01Q-2006-038
全國：010-56542716
天津：022-27810977
常見問題&知識(shí)園地
ISMS建設(shè)過程中，信息安全風(fēng)險(xiǎn)評(píng)估是其最主要的技術(shù)路線和ISMS建設(shè)效果評(píng)估的依據(jù)。在信息安全領(lǐng) 域，信息安全風(fēng)險(xiǎn)評(píng)估也形成了諸多國際標(biāo)準(zhǔn)和國內(nèi)標(biāo)準(zhǔn)。本文所涉及的內(nèi)容主要是《信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》 等國家標(biāo)準(zhǔn)。以下就相關(guān)內(nèi)容做一個(gè)簡要描述。
信息安全風(fēng)險(xiǎn)評(píng)估包括四個(gè)主要方面的內(nèi)容，即資產(chǎn)識(shí)別、威脅識(shí)別、脆弱性識(shí)別和風(fēng)險(xiǎn)評(píng)估。風(fēng)險(xiǎn)評(píng)估的最主要環(huán)節(jié)是資產(chǎn)識(shí)別、威脅識(shí)別和脆弱性識(shí)別。下面就其含義作一個(gè)簡介：
①資產(chǎn)識(shí)別
安全的目的始終都是保障組織業(yè)務(wù)的正常運(yùn)行。因此，資產(chǎn)識(shí)別的過程就是將組織的業(yè)務(wù)工作這個(gè)抽象的概 念逐步分解成定性、定量的資產(chǎn)安全性分析，或者說將組織的業(yè)務(wù)安全映射成資產(chǎn)的安全，使得我們能夠科學(xué)的 把握組織的業(yè)務(wù)安全需求及其變化。資產(chǎn)識(shí)別包括資產(chǎn)分類和資產(chǎn)賦值兩個(gè)環(huán)節(jié)。
②威脅識(shí)別
與資產(chǎn)識(shí)別相類似，威脅識(shí)別分為威脅分類和威脅賦值兩個(gè)環(huán)節(jié)。
③脆弱性識(shí)別
與資產(chǎn)識(shí)別和威脅識(shí)別略有不同，脆弱性識(shí)別分為脆弱性發(fā)現(xiàn)、脆弱性分類、脆弱性驗(yàn)證和脆弱性賦值等四 個(gè)環(huán)節(jié)。表2.1是脆弱性分類表
類型 | 識(shí)別對(duì)象 | 識(shí)別內(nèi)容 |
技術(shù)脆弱性 | 物理環(huán)境 | 從機(jī)房場地、機(jī)房防火、機(jī)房供配電、機(jī)房防靜電、機(jī)房接地與防雷、電磁防護(hù)、通信線路的保護(hù)、機(jī)房區(qū)域防護(hù)、機(jī)房設(shè)備管理等方面進(jìn)行識(shí)別 |
網(wǎng)絡(luò)結(jié)構(gòu) | 從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì) 、邊界保護(hù)、外部訪問控制策略、內(nèi)部訪問控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方面進(jìn)行識(shí)別 | |
系統(tǒng)軟件 | 從補(bǔ)丁安裝、物理防護(hù)、用戶帳號(hào)、口令策略、資源共享、事件審計(jì)、訪問控制、新系統(tǒng)配置、注冊(cè)表加固、網(wǎng)絡(luò)安全、系統(tǒng)管理等方面進(jìn)行識(shí)別 | |
應(yīng)用中間件 | 從協(xié)議安全、交易完整性、數(shù)據(jù)完整性等方面進(jìn)行識(shí)別 | |
應(yīng)用系統(tǒng) | 從審計(jì)機(jī)制、審計(jì)存儲(chǔ)、訪問控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識(shí)別 | |
管理脆弱性 | 技術(shù)管理 | 從物理和環(huán)境安全、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性等方面進(jìn)行識(shí)別 |
組織管理 | 從安全策略、組織安全、資產(chǎn)分類與控制 、人員安全、符合性等方面進(jìn)行識(shí)別 |
在對(duì)一個(gè)信息系統(tǒng)進(jìn)行了資產(chǎn)識(shí)別、威脅識(shí)別和脆弱性識(shí)別的基礎(chǔ)上，人們可以對(duì)信息系統(tǒng)的綜合風(fēng)險(xiǎn)等級(jí) 進(jìn)行賦值，見表2.2：
等級(jí) | 標(biāo)識(shí) | 描述 |
5 | 很高 | 一旦發(fā)生將產(chǎn)生非常嚴(yán)重的經(jīng)濟(jì)或社會(huì)影響，如組織信譽(yù)嚴(yán)重破壞、嚴(yán)重影響組織的正常運(yùn)營，經(jīng)濟(jì)損失重大，社會(huì)影響惡劣 |
4 | 高 | 一旦發(fā)生會(huì)產(chǎn)生較大的經(jīng)濟(jì)或社會(huì)影響，在一定范圍內(nèi)給組織的經(jīng)營和組織信譽(yù)造成損害 |
3 | 中等 | 一旦發(fā)生會(huì)造成一定的經(jīng)濟(jì)、社會(huì)或生產(chǎn)經(jīng)營影響，但影響面和影響程度不大 |
2 | 低 | 一旦發(fā)生造成的影響程度較低，一般僅限于組織內(nèi)部，通過一定手段很快能解決 |
1 | 很低 | 一旦發(fā)生造成的影響幾乎不存在，通過簡單的措施就能彌補(bǔ) |
關(guān)注卓越空間
關(guān)注卓越微博
關(guān)注卓越微信