信息系统的安全风险评估关注的要素何为信息课程中心湖南大学课件

1、信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学eepeng第第9章章 涉密信息系统的安全风险管理涉密信息系统的安全风险管理1信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学内容提要信息系统安全风险理论的基本概念信息系统安全风险理论的基本概念信息安全风险管理体系信息安全风险管理体系涉密信息系统的安全风险评估涉密信息系统的安全风险评估涉密信息系统安全保密风险评估的实施涉密信息系统安全保密风险评估的实施涉密信息系统风险评级与处置涉密信息系统风险评级与处置2信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学概述信息系统的安全是一个动态的复杂过程，它贯穿于信信息系统的

2、安全是一个动态的复杂过程，它贯穿于信息系统的整个生命周期息系统的整个生命周期信息安全的本质在于风险管理信息安全的本质在于风险管理信息安全风险管理的核心是风险评估信息安全风险管理的核心是风险评估3信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.1 信息系统安全风险理论的基本概念4信息安全风险的定义信息安全风险的定义NIST SP 800-30：风险就是给定的威胁源攻击一个特定潜风险就是给定的威胁源攻击一个特定潜在弱点的可能性，以及此风险对事件对机构产生的影响在弱点的可能性，以及此风险对事件对机构产生的影响ISO Guide 73:2002：风险为某事件发生的可能性及其后风险为某事

3、件发生的可能性及其后果的结合果的结合OCTAVE method：风险就是遭到破坏或者收到损失的可风险就是遭到破坏或者收到损失的可能性，指一个人作出不受欢迎的事情，或自然发生的、能性，指一个人作出不受欢迎的事情，或自然发生的、可能导致不良后果的情况可能导致不良后果的情况SSE-CMM：将风险定义为有害事件发生的可能性将风险定义为有害事件发生的可能性信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.1 信息系统安全风险理论的基本概念5信息安全风险辨析信息安全风险辨析信息安全事件发生的可能性是信息安全风险的信息安全事件发生的可能性是信息安全风险的重要特征重要特征信息系统的安全风险是一种

4、信息系统的安全风险是一种潜在的、尚未发生但可能发潜在的、尚未发生但可能发生的生的安全事件安全事件任何信息系统都有安全风险任何信息系统都有安全风险安全的信息系统是指信息系统在实施了风险评估并作出安全的信息系统是指信息系统在实施了风险评估并作出风险控制后，仍然存在的残余风险可被接收的信息系统风险控制后，仍然存在的残余风险可被接收的信息系统信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.1 信息系统安全风险理论的基本概念6信息系统的安全风险评估关注的要素信息系统的安全风险评估关注的要素使命：使命：一个组织机构通过信息化形成的能力来进行的工作任务一个组织机构通过信息化形成的能力来进行的

5、工作任务资产：资产：逻辑资产，非物质化的智力财富逻辑资产，非物质化的智力财富 ；物理资产，实物资产；物理资产，实物资产价值：价值：资产的重要程度资产的重要程度威胁：威胁：指一个威胁源攻击（偶然触发或故意破坏）一个具体弱点潜指一个威胁源攻击（偶然触发或故意破坏）一个具体弱点潜在的可能性在的可能性人为威胁：人为威胁：人为故意行为造成的威胁和人为的非故意行为造成的威胁人为故意行为造成的威胁和人为的非故意行为造成的威胁自然威胁：自然威胁：系统故障威胁或自然灾害威胁系统故障威胁或自然灾害威胁信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.1 信息系统安全风险理论的基本概念7信息系统的安全

6、风险评估关注的要素信息系统的安全风险评估关注的要素脆弱性：脆弱性：指信息系统及其防护措施在安全流程、涉及、实现、配置指信息系统及其防护措施在安全流程、涉及、实现、配置或内部控制中的不足或缺陷或内部控制中的不足或缺陷技术脆弱性：技术脆弱性：技术方面的因素造成的弱点，如技术方面的因素造成的弱点，如OS的漏洞等。又分为设计弱的漏洞等。又分为设计弱点点/实现弱点实现弱点/配置弱点配置弱点结构脆弱性：结构脆弱性：信息系统网络在拓扑结构的设计、布局等方面存在的缺陷信息系统网络在拓扑结构的设计、布局等方面存在的缺陷组织脆弱性：组织脆弱性：系统运行的物理环境、组织制度、业务策略、人事安全、文系统运行的物理环境

7、、组织制度、业务策略、人事安全、文档管理、安全意识及组织成员培训等组织本身的安全因素存在的缺陷和隐档管理、安全意识及组织成员培训等组织本身的安全因素存在的缺陷和隐患患信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.1 信息系统安全风险理论的基本概念8信息系统的安全风险评估关注的要素信息系统的安全风险评估关注的要素风险：风险：本质上就是威胁源利用信息系统脆弱性的可能性与可能产生本质上就是威胁源利用信息系统脆弱性的可能性与可能产生影响的综合影响的综合残余风险：残余风险：指采取了安全保障措施，提高防护能力后，仍然可能存指采取了安全保障措施，提高防护能力后，仍然可能存在的风险在的风险安

8、全需求：安全需求：为保证组织机构的使命正常行使，在信息安全保障措施为保证组织机构的使命正常行使，在信息安全保障措施方面提出的要求方面提出的要求安全保障措施：安全保障措施：是对付威胁，减少脆弱性，采取预防来保护资产和是对付威胁，减少脆弱性，采取预防来保护资产和限制意外事件的影响、检测、响应意外事件，促进灾难恢复和打击限制意外事件的影响、检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称信息犯罪而实施的各种实践、规程和机制的总称信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.1 信息系统安全风险理论的基本概念9信息系统的安全风险评估关注的要素信息系统的

9、安全风险评估关注的要素威胁发起者威胁发起者资产拥有者资产拥有者威胁威胁对策对策脆弱性脆弱性风险风险系统资产系统资产使命使命意识到发现利用减少增加降低滥用与破坏合法与可用风风险险各各要要素素之之间间关关系系信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.1 信息系统安全风险理论的基本概念10信息系统的安全风险评估关注的要素信息系统的安全风险评估关注的要素何为信息系统安全风险评估？何为信息系统安全风险评估？依据国家有关技术标准，对信息系统的完整性、保密性、可靠性等依据国家有关技术标准，对信息系统的完整性、保密性、可靠性等安全保障性能进行科学、公正的综合评估活动安全保障性能进行科学、

10、公正的综合评估活动信息系统风险可以直观的表示为信息系统风险可以直观的表示为风险风险=f (资产资产, 脆弱性脆弱性, 威胁威胁 )考虑风险发生的可能性与风险可能产生的影响，风险还可以表示为考虑风险发生的可能性与风险可能产生的影响，风险还可以表示为事件发生的概率及其后果的函数，即事件发生的概率及其后果的函数，即 风险风险=f (可能性可能性, 影响影响 )信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.1 信息系统安全风险理论的基本概念11风险控制风险控制从风险的构成要素可知，控制风险可以从两个方面考虑从风险的构成要素可知，控制风险可以从两个方面考虑消除威胁源消除威胁源修补脆弱点

11、修补脆弱点风险控制的主要方法风险控制的主要方法风险假设风险假设风险规避风险规避风险限制风险限制风险计划风险计划风险转移风险转移信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.2 信息系统安全风险管理体系12信息安全评估是信息安全风险管理的起点的基础信息安全评估是信息安全风险管理的起点的基础安全的信息系统是指信息系统在实施了风险评估并做出风险控制安全的信息系统是指信息系统在实施了风险评估并做出风险控制后，仍然存在的残余风险可被接收的信息系统后，仍然存在的残余风险可被接收的信息系统风险管理包括风险管理包括风险评估风险评估和和风险控制风险控制风险控制的目标是针对信息网络面临的风险按照

12、风险级别的高低，风险控制的目标是针对信息网络面临的风险按照风险级别的高低，提出相应的风险控制措施和建议，以降低或减缓网络的风险提出相应的风险控制措施和建议，以降低或减缓网络的风险信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.2 信息系统安全风险管理体系13信息安全风险评估信息安全风险评估何为信息安全风险评估？何为信息安全风险评估？利用适当的风险评估工具，包括定性和定量的方法，对信息及信利用适当的风险评估工具，包括定性和定量的方法，对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估，息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估，确定信息资产的风险等级和优

13、先风险控制顺序，是风险管理的核确定信息资产的风险等级和优先风险控制顺序，是风险管理的核心所在心所在风险评估的主要目标风险评估的主要目标结合资产、威胁和弱点、综合定量分析信息网络系统面临的风险结合资产、威胁和弱点、综合定量分析信息网络系统面临的风险信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.2 信息系统安全风险管理体系14信息安全风险评估信息安全风险评估信息安全风险评估的主要流程信息安全风险评估的主要流程步骤步骤1：系统特征描述：系统特征描述步骤步骤2：威胁识别：威胁识别步骤步骤3：脆弱性识别：脆弱性识别步骤步骤4：控制分析：控制分析步骤步骤5：可能性确定：可能性确定步骤步骤

14、6：影响分析：影响分析步骤步骤7：风险确定：风险确定步骤步骤8：控制建议：控制建议步骤步骤9：记录结果文档：记录结果文档信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.2 信息系统安全风险管理体系15信息安全风险评估信息安全风险评估常见的风险评估标准常见的风险评估标准ISMS标准标准PDCA模型模型ISO/IEC13335:1998模型模型OCTAVE methodSSE-CMM标准标准SP800-30标准标准AP-PDRR模型模型共同特点：持续型、循环往复式的过程、安全性的提高和风险的降共同特点：持续型、循环往复式的过程、安全性的提高和风险的降低是成螺旋式前进的。低是成螺旋式

15、前进的。信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.2 信息系统安全风险管理体系16信息安全风险控制信息安全风险控制风险控制的主要目标风险控制的主要目标针对系统面临的风险按照风险级别的高低，提出相应的风险针对系统面临的风险按照风险级别的高低，提出相应的风险控制措施和建议，以降低或减缓系统的风险控制措施和建议，以降低或减缓系统的风险风险控制可以从两方面考虑风险控制可以从两方面考虑消除威胁源消除威胁源修补脆弱点修补脆弱点信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.2 信息系统安全风险管理体系17信息安全风险控制信息安全风险控制风险控制包括技术和非技术方法的应

16、用风险控制包括技术和非技术方法的应用技术类控制是那些融入到系统硬件、软件或固件中的保护措施，技术类控制是那些融入到系统硬件、软件或固件中的保护措施，主要针对系统的威胁或脆弱性主要针对系统的威胁或脆弱性非技术控制包括管理类和操作类控制，如法律法规、安全策略、非技术控制包括管理类和操作类控制，如法律法规、安全策略、操作流程、人员、物理和环境安全操作流程、人员、物理和环境安全信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.2 信息系统安全风险管理体系18信息安全风险控制信息安全风险控制技术性方法技术性方法风险排除风险排除风险替换风险替换风险降低风险降低风险隔离风险隔离程序控制程序控制

17、组织纪律组织纪律信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.2 信息系统安全风险管理体系19信息安全风险控制信息安全风险控制减少人为失误的方法减少人为失误的方法人员的保密和安全知识培训人员的保密和安全知识培训管理安全化管理安全化信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学评估信息资评估信息资产的价值产的价值按级划分系统脆弱按级划分系统脆弱性和风险的大小性和风险的大小制定相应的控制策制定相应的控制策略和计划略和计划控制力度控制力度够吗？够吗？实施风实施风险控制险控制评估控评估控制效果制效果制定维制定维护计划护计划度量信息资度量信息资产面临的风险产面临的风险风险

18、可风险可承受吗？承受吗？是否是否评估和控制风险的循环过程评估和控制风险的循环过程信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.3 涉密信息系统的安全风险评估21涉密信息系统安全风险评估的作用涉密信息系统安全风险评估的作用涉密信息系统安全保密管理的过程涉密信息系统安全保密管理的过程Step1. 要确立安全目标与策略要确立安全目标与策略Step2. 要进行风险分析要进行风险分析Step3. 在方案设计中对风险接受度要进行评估在方案设计中对风险接受度要进行评估Step4. 在安全计划实施中要进行系统评测在安全计划实施中要进行系统评测Step5. 在系统运行与维护中，要进行日常检查和

19、定期评估在系统运行与维护中，要进行日常检查和定期评估从第五步可循环到第一步至第四步从第五步可循环到第一步至第四步信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.3 涉密信息系统的安全风险评估22涉密信息系统安全风险评估的作用涉密信息系统安全风险评估的作用涉密信息系统风险评测的工作流程涉密信息系统风险评测的工作流程涉密信息系统来函并报资料涉密信息系统来函并报资料测评中心进行资料审查测评中心进行资料审查涉密系统使用单位修改资料涉密系统使用单位修改资料是否通过是否通过否否是是测评中心进行现场考察测评中心进行现场考察测评中心制定测评中心制定评测方案评测方案测评中心现场检测测评中心现场检

20、测检测结果、分析，提出检检测结果、分析，提出检测意见测意见召开专家评估会，给出专召开专家评估会，给出专家评估意见家评估意见综合测评意见和综合测评意见和专家意见，写测专家意见，写测评报告，给出测评报告，给出测评结论，出具测评结论，出具测评证书评证书测评中心将测评测评中心将测评结论和测评证书结论和测评证书报国家保密局备报国家保密局备案案信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.4 涉密信息系统安全保密风险评估的实施23实施涉密信息系统安全风险要注意的几个方面实施涉密信息系统安全风险要注意的几个方面编写并完善信息安全保密策略编写并完善信息安全保密策略加强涉密人员的保密教育、宣传

21、和信息安全保密技能的加强涉密人员的保密教育、宣传和信息安全保密技能的培训培训构建失泄密的防御、检测、报告、相应、处置体系和处构建失泄密的防御、检测、报告、相应、处置体系和处置计划置计划设计信息安全保密的技术解决方案并贯彻实施设计信息安全保密的技术解决方案并贯彻实施信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.4 涉密信息系统安全保密风险评估的实施24保密资产的识别及资产价值的确定保密资产的识别及资产价值的确定涉密资产的主要内容涉密资产的主要内容已经被定密的课题、项目、资料等涉密事项已经被定密的课题、项目、资料等涉密事项接触涉密事项的各类人员接触涉密事项的各类人员存储、处理、分

22、发、传递、使用涉密事项的信息系统存储、处理、分发、传递、使用涉密事项的信息系统受到损害后，可能造成失、泄密的各类设施受到损害后，可能造成失、泄密的各类设施信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.4 涉密信息系统安全保密风险评估的实施25保密资产的识别及资产价值的确定保密资产的识别及资产价值的确定涉密资产的价值确定涉密资产的价值确定按已经确定的密级计算按已经确定的密级计算按失泄密后对国家和军队可能造成的损失计算按失泄密后对国家和军队可能造成的损失计算按其对整个课题、工程、任务或项目的重要程度计算按其对整个课题、工程、任务或项目的重要程度计算按涉密资产之间的相互安全依赖关系

23、计算按涉密资产之间的相互安全依赖关系计算注意：注意：涉密资产之间以及资产组合后的价值是变化的涉密资产之间以及资产组合后的价值是变化的涉密资产的价值是相对的，会随时空改变涉密资产的价值是相对的，会随时空改变资产识别及其价值评定要经常进行，随时保障重要资产和核心秘密资产识别及其价值评定要经常进行，随时保障重要资产和核心秘密信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.4 涉密信息系统安全保密风险评估的实施26威胁、脆弱性及泄密影响分析确定威胁、脆弱性及泄密影响分析确定窃密威胁分析窃密威胁分析窃密对象的资产价值窃密对象的资产价值秘密可能被接触的范围和频率秘密可能被接触的范围和频率潜

24、在威胁源的窃密动机和窃密能力潜在威胁源的窃密动机和窃密能力脆弱性分析脆弱性分析制度缺陷制度缺陷/管理缺陷管理缺陷/技术缺陷技术缺陷脆弱性被窃密者利用的难易程度脆弱性被窃密者利用的难易程度脆弱性之间的相互影响分析脆弱性之间的相互影响分析已有安保措施下的失泄密影响分析已有安保措施下的失泄密影响分析明确在采取安保措施下，失、泄密后可能造成的相对损失明确在采取安保措施下，失、泄密后可能造成的相对损失信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.4 涉密信息系统安全保密风险评估的实施27评测内容评测内容安全保密系统安全保密系统物理安全物理安全环境安全环境安全设备安全设备安全介质安全介质

25、安全网络运行安全网络运行安全备份与恢复备份与恢复计算机病毒防治计算机病毒防治电磁兼容电磁兼容操作系统安全操作系统安全数据库安全数据库安全入侵检测入侵检测安全审计安全审计信息安全保密信息安全保密身份鉴别身份鉴别访问控制访问控制信息加密信息加密电磁泄露发射防护电磁泄露发射防护信息完整性校验信息完整性校验信息安全保密性能检测信息安全保密性能检测抗抵赖抗抵赖安全保密管理安全保密管理管理机构管理机构管理制度管理制度管理技术管理技术人员管理人员管理信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.4 涉密信息系统安全保密风险评估的实施28评估要点评估要点信息安全保密信息安全保密技术层面技术层

26、面管理层面管理层面物理安全物理安全网络安全网络安全主机系统安全主机系统安全应用安全应用安全数据安全数据安全安全管理机构安全管理机构安全管理制度安全管理制度人员安全管理人员安全管理系统建设管理系统建设管理系统运维管理系统运维管理信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.4 涉密信息系统安全保密风险评估的实施29涉密信息系统的评估要点涉密信息系统的评估要点涉密信息系统的硬件情况涉密信息系统的硬件情况涉密信息系统哦功能的网络结构及功能涉密信息系统哦功能的网络结构及功能使用涉密信息系统的用户使用涉密信息系统的用户涉密信息系统的规章制度涉密信息系统的规章制度采用的保密措施采用的保密

27、措施信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.5 涉密信息系统风险评级与处置30评测依据评测依据中华人民共和国保密指南，中华人民共和国保密指南，BMZ3涉及国家秘密的计算涉及国家秘密的计算机信息系统安全保密测评指南机信息系统安全保密测评指南涉密信息系统安全风险的计算公式：涉密信息系统安全风险的计算公式： R1=f (G(Tfren, P(vi), L(Avalue, Vserious) R2=f(R1, P)=R1P+R2old R1表示涉密资产的直接风险值；表示涉密资产的直接风险值；Avalue为资产价值；为资产价值；Tfren为威胁发生频为威胁发生频率；率；Vseri

28、ous为脆弱性的严重程度；为脆弱性的严重程度；P(Vi)为脆弱性被利用的难易程度为脆弱性被利用的难易程度;G为风险发生可能性的计算函数；为风险发生可能性的计算函数；L为风险事件所造成的损失的计算函为风险事件所造成的损失的计算函数；数；f为资产风险值的计算函数；为资产风险值的计算函数；R2表示被关联资产的风险值。表示被关联资产的风险值。信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.5 涉密信息系统风险评级与处置31评测结果判据评测结果判据评测项目分为基本要求项和一般要求项评测项目分为基本要求项和一般要求项基本要求项基本要求项高风险高风险一般要求项一般要求项低风险低风险检测项目结

29、果判据检测项目结果判据如果一个大项中所有小项均为如果一个大项中所有小项均为“合格合格”，则该大项为，则该大项为“合格合格”如果一个大项中如果一个大项中“不合格不合格”的小项超过的小项超过40%，则该大项为，则该大项为“不合格不合格”除上述以外的其他情况，均为除上述以外的其他情况，均为“基本合格基本合格”信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.5 涉密信息系统风险评级与处置32评测结果判据评测结果判据检测结论判据检测结论判据基本要求项中有一个大项基本要求项中有一个大项“不合格不合格”，检测结论，检测结论“不合格不合格”基本要求项中基本要求项中60%（含）（含）“合格合格”

30、，其他基本要求项为，其他基本要求项为“基本合基本合格格”，且一般要求项中，且一般要求项中60%以上（含）以上（含）“合格合格”，检测结论即为，检测结论即为“合格合格”除上述两种情况以外的其他情况，检测结论即为除上述两种情况以外的其他情况，检测结论即为“基本合格基本合格”信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.5 涉密信息系统风险评级与处置33评测结果判据评测结果判据检测意见、专家评估意见与评测结论的关系检测意见、专家评估意见与评测结论的关系检测意见认为检测意见认为“不合格不合格”，待整改复测后，再召开专家评估会进行，待整改复测后，再召开专家评估会进行评估评估检测意见认为检测意见认为“合格合格”，专家评估意见为，专家评估意见为“基本合格基本合格”，则评测结，则评测结论为论为“基本合格基本合格”检测意见认为检测意见认为“基本合格基本合格”，专家评估意见认为，专家评估意见认为“不合格不合格”，待整，待整改复测后，再给出评测结论改复测后，再给出评测结论信息系统的安全风险评估关注的要素何为信息-课程中心-湖南大学9.5 涉密信息系统风险评级与处置34风险处置风险处置检测意见为检测意见为“不合格不合格”，即表示存在风险，即表示存在风险需要针对评测项目，采取相应的技术或非技术措施进行专项整治，需要针对评测项目，采取相应的