第章信息安全风险评估

1、信息安全管理概述仙息安生风及卬见目人信息安全风险评估风险要素木再间的关系要素畜产对组幺旦且有侪信的信3泞，是安全第略俾护的 对象。威胁-可能对资产或组织造成损害的潜在原因。脆弱点一可能被威胁利用对资产造成损害的薄弱环节。风险一人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件及其对组织造成的影响。影响一威胁利用资产的脆弱点导致不期望发生事件的后 果。安全措施-保护资产、抵御威胁、减少脆弱性、降低安 全事件的影响，以及打击信息犯罪而实施的各种实践、 规程和机制的总称。安全需求-为保证组织业务战略的正常运作而在安全措 施方面提出的要求。信息安全风险评估与管理桁准，用信息系统及由其处

2、理、传输和存储的信息的机密 性、完整性和可用性等安全属性进行评价的 过程。它要评估资产面临的威胁以及威胁利 用脆弱性导致安全事件的可能性，并结合安 全事件所涉及的资产价值来判断安全事件一风险要素关系图全见险评估风险评估流程资产识别与评估 威胁识别与评估脆弱点识别与评估已有安全措施的确认 风险分析 安全措施的选取是风险评估文件记录实施风险管理图9-3风险评估实施流程图威胁识别与评估喷户以则资产识别内容表。资产识别的方法主要有访谈、现场调查、问卷、文档查 阅等。资产评估对资产的赋值不仅要考虑资产本身的价值，更重要的是 要考虑资产的安全状况对于组织的重要性，即由资产在 其三个安全属性上的达成程度决定

3、。资产重要性等级划分表。威胁源及表现形式不同的威胁源能造成不同形式危害，应对相关资产，考 虑上述威胁源可能构成的威胁。威胁评估威胁频率等级划分为五级，分别代表威胁出现的频率的 高低。等级数值越大，威胁出现的频率越高。威胁等级表脆弱点识别与评估威胁总是要利用资产的弱点才可能造成危害脆弱性识别主要从技术和管理两个方面进行 脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核 查、文档查阅、渗透性测试等。脆弱点评估根据对资产损害程度、技术实现的难易程度、弱点流行程度，采 用等级方式对已识别的脆弱性的严重程度 进行赋值。对某个资产，其技术脆弱性的严重程度受到组织的管理脆弱性的 影响。已有安全措施的

4、确认有效的安全措施继续保持，或者用更合适的安全措施替代安全措施可以分为预防性安全措施和保护性 安全措施两种。如入侵检测系统；如业务持 续性计划。已有安全措施的确认与脆弱性识别存在一定 的联系。风险分析FWI 鼻影响分析可能性分析风险值=R(安全事件发生的可能性，安全事件的损失)=R(L(T, V), F(Ia , Va )其中，R表示安全风险计算函数；A表示资产；T表示威胁；V表示脆弱性；Ia表示安全事件所作用的资产重要程度；Va表示脆弱性严重程度；L表示威胁利用资产的脆弱性导致安全事件发生的可能 性；F表示安全事件发生后产生的损失。风险等级划分风险分析示意图威胁出现威胁识别的频率安全事件安全

5、措施的选取安生是地可以砰候、 ，工巾fW险。安全措施的选择应兼顾管理与技术两个方面在对于不可接受风险选择适当的安全措施后, 为确保安全措施的有效性eawwiw 以判断实施安全措施后的残余风险是否已经. 降低到可接受的水平。风险评估文件记录(一)(1)风 1估maaaa古ar节国 团队、评估方 法、评估结果的形式和实施进度等；(2)风险评估程序：明确评估的目的、职责、过程、相关的文件 要求，并且准备实施评估需要的文档；(3)资产识别清单：根据组织在风险评估程序文件中所确定的资 产分类方法进行资产识别，形成资产识别清单，清单中应明确 各资产的责任人/部门；妻4)重要资产清单：根据资产识别和赋值的结

6、果，形成重要资产列表, 包括重要资产名称、描述、类型、重要程度、责任人 /部门等；(5)威胁列表：根据威胁识别和赋值的结果，形成威胁列表，包括威 胁名称、种类、来源、动机及出现的频率等；风险评估文件记录(二)二,黜一哈能叫南畤佰的丝果，形白监己已性列与， 包括脆弱性名称、描述、类型及严重程度等；(7)已有安全措施确认表：根据已采取的安全措施确认的结果，形成 已有安全措施确认表，包括已有安全措施名称、类型、功能描述 及实施效果等；(8)风险评估报告：对整个风险评估过程和结果进行总结，详细 说明被评估对象，风险评估方法，资产、威胁、脆弱性的识别结 果，风险分析、风险统计和结论等内容；(9)风险处理

7、计划：对评估结果中不可接受的风险制定风险处理 计划，选择适当的控制目标及安全措施，明确责任、进度、资源， 并通过对残余风险的评价确保所选择安全措施的有效性；(10)风险评估记录：根据组织的风险评估程序文件，记录对重要 资产的风险评估过程。风险处理眄期制;针对威胁源针对威胁者的能力 针对威胁者的资源 针对威胁者的途径来日风险怦估报告的步骤1:对优先级进仃排序风险级别由局到底的行动优先级所选择的安全措施步骤5:分E责任和任务责任和任务人员清单步骤6:制定安全措施的实现计划 风险及相关风险的级别 优先级排序后的行动 所建议的安全措施 所选择的预期安全措施责仃和仃侪）员开始日期安全措施实现计划目标完成

8、日寺步骤7:实现所选择的安全措施残余风险前总安全风险评估常用风险计算方法I-十仍1J这种方法的特点是事先建立资产价值、威胁等 级和脆弱性等级的一个对应矩阵，预先将风险 等级进行了确定。然后根据不同资产的赋值从 矩阵中确定不同的风险。使用本方法需要首先 确定资产、威胁和脆弱性的赋值，要完成这些 赋值，需要组织内部的管理人员、技术人员、 后勤人员等方面的配合表9-14资产风险判别矩阵威胁级别低中高危弱性级别6中高伤; 中 房i 61 中 房J110022aJ211232I34、4522343465)6VU 1目1+3345456X4456567678靠用痛险讦算方法这种方法是直接考虑威胁、威胁对资

9、产产生的影响以及威胁发生的可能性来确定风险。表9-15威胁分级计算法资产 威胁描述影响威胁发生可 风险测度 风险等级某小本 计1(k AQ)值 c能性(c)o4 n划分o1负 M/威1力AB B522410823产威1威1hCQ二少CkD315315 315U L7kE；4o1O 4U 4ZAl/>p* tU 1I威1小F2483风综3评价法这种方法中风险由威胁产生的可能性、威胁对 资产的影响程度以及已经存在的控制措施三个 方面来确定。与风险矩阵法和威胁分级法不同, 本方法将控制措施的采用引入风险的评价之中。表9-16风险评估表威胁类 可能对人的影对财产对业务影响值已采用的控制措施 风险

10、度型性响(2)的影响的影响 （A 一 *15 ) 内部（6）夕卜部（7）量=5(8)：R 7威月A A 4113)(28224)-6-7这种方法将资产的三个安全属性（完整性、机 密性、可用性）与两个安全风险（意外事件、 故意行为）联系到一起形成一个风险矩阵风险处理蔺用风险计算以法. 常用风市工具'常用风险评估工具风险评估辅助工具主要用来收集评估所需要的数据和资料，帮助完成现状分析和趋势分析。如入侵监测系统，帮助检测各种攻击试探和误操作；同时也可以作为 一个警报器，提醒管理员发生的安全状况。安全审计工具主要是用来记录网络行为，分析系统或网络安全现状，其所提供的审计记录为风险评估提供安全现状数据。系统软件评估工具-主要用于对一些信息系统的部件（如操作系统、数据库系统、网络设备等）的漏洞进行分析，或实施基于漏洞的攻击；常用的系统软件评估工具有：ISS Internet Scanner、Nessus、SAINT差三舂萱理评价系统根据一定的安全管理模型，基于专家经验，对输入输出进行模型分析。常用的评估工具包括： CRAMM（CCTA Risk Analysis arid ManagementMethod) > COBRA (Consultative,Objective and Bi-functional RiskAna