信息安全支持风险评估过程的技术示例

信息安全支持风险评估过程的技术示例

A.1信息安全风险准则

A.1.1风险评估相关准则

A.1.1.1风险评估的一般考虑

通常情况卜，个人的不确定性会主导性地影响信息安全风险评估，不同的分析师在解释

可能性和后果标度程度时会表现出不同的不确定性倾向。基准标度宜将后果、可能性和风险

类别与共同明确规定的目标价值联系起来，尽可能用定量方法所特有的、以货币计量的经济

损失和有限时间内估计的发生频率等来表示。

特别是在采用定性方法的情况下，风险分析师宜根据锚定的基准标度进行培训和定期实

践，以保持其判断的标定3

A.1.1.2定性方法

A.1.1.2.1后果标度

表A.1给出了后果标度示例。

表A.1后果标度不例

获果描述

影响超出组织范围的行业或监管后果

严重影响行业生态系统，其后果可能会长期持续。

5-灾难级和/或：政府部门难以甚至没有能力确保履行监管职能或完成至关重要的任务之■<>

和/或：对人身和财产安全造成严重后果（健康危机、重大环境污染、关键基础设施破

坏等）

对组织的灾难性后果

组织无法痈保开展全部或部分业务活动，可能对人身和财产安全造成严重后果。组织很

4-危重级

可能无法克服这种情况（其生存受到威胁），其经营所在地区的活动或政府部门可能会

受到轻微影响，但不会造成任何的长期后果

对组织的重大后果

3-严重级组织活动能力严重下降，可能对人身和财产安全造成重大后果。组织可以克服严重困难

的情况（以严重降级的模式运行），但不会对任何地区或政府部门产生影响

对组织重大但有限的后果

2-一般级组织活动能力卜降，但不会对人身和财产安全造成后果。尽管有•些困难但组织可以

克服（以降级模式运行）

对组织可以忽略的后果

1-轻微级没有对运营、活动能力或人身和财产安全造成后果。组织可亳无困难的克服这种情况

（利润将被消耗）

A.1.1.2.2可能性标度

表A.2和表A.4给出了表示可能性标度的可选方法示例。可能性能用表A.2中的概率项或

表A.4中的频率项来表示。概率表示风险事态在指定时间段内发生的平均可能性，而频率表

示风险事态在指定时间段内预计平均发生的次数。由于这两种方法只是从两个不同的角度表

达同一事情，因此两种方法均能使用，这取决于组织认为哪种方式对给定的风险类别最为方

便。

但是，如果这两种方法在同一组织内都被用作可选方案，重要的是，两个标度理论上等

效的等级表示相同的实际可能性。否则，评估结果取决于使用的标度，而不是所评估的风险

源的实际可能性。如果同时使用两种方法，则每个理论上等级的概率水平宜根据等效等级的

频率值以数学方式计算得出，反之亦然，这取决于使用哪种方法来定义主要的标度。

如果单独使用这两种方法中的任何一种，则不必对标度的增量进行严格定义，因为无论

使用的绝对值如何，仍可以实现可能性的优先级排序。尽管表A.2和表A.4根据组织的环境和

被评估风险类别，对可能性分析使用了完全不同的增量和范围，但如果单独使用，每一种方

法都能等效地进行分析。然而，在同一环境下，它们之间的互换可能存在风险，因为赋给等

效等级的值是不相关的。

表A.2和表A.4中使用的类别和数值仅为示例。给每个可能性等级最合适的赋值取决于组

织的风险状况和风险偏好，

表A.2可能性标度示例

可能性描述

风险源通过使用一种经过考虑的攻击方法极其可能达到其目标.

5-几乎确定

风险场景发生的可能性很高

风险源通过使用一种经过考虑的攻击方法很可能达到其目标。

4-很可能

风险场景发生的可能性高

风险源通过使用一种经过考虑的攻击方法有可能达到大目标。

3-可能

风险场景发生的nJ能性是值得注意的

风险源通过使用一种经过考虑的攻击方法达到其目标的机会相对较小。

2-不太可能

风险场景发生的可能性低

风险源通过使用一种经过考虑的攻击方法达到其目标的机会非常小。

卜几乎不可能

风险场景发生的可能性很低

在使用任何一种可能性评估方法时，可对等级赋予“低”、“中”和“高”等标签，这

在与非专业风险评估的相关方讨论可能性级别时非常有用。然而，它们是主观的描述，不可

避免地模棱两可。因此，在实施评估或报告评估时不宜将它们用作主要描述词。

A.1.1.2.3风险级别

定性标度的效用和由此产生的风险评估的一致性完全取决于所有相关方对分类标签解

释的一致性。任何定性标度的级别都宜是明确的，其增量宜清晰定义，每个级别的定性描述

宜采用客观性语言表达，类别不宜相互重叠。

因此，在使用可能性、后果或风险的语言描述时，宜正式引用数值参考点（如表A.441

所示）或比值参考点（如表A.2中所示）所锚定的明确标度。所有相关方宜了解基准标度，

以确保对定性评估数据和结果的解释是一致的。

表A.3给出了一个定性方法的示例。

表A.3风险准则的定性方法示例

后果

可能性

灾难级危重级严重级重要级轻微级

几乎确定很高很高高高中

很可能很高高高中低

可能高高中低低

不太可能中中低低很低

几乎不可能低低低很低很低

定性风险矩阵的设计宜以组织的风险接受准则（见6.4.2和A.1.2）为指导。

组织有时更关注几乎不可能发生的极端后果，或者主要关注后果较小的高频事件。

在设计风险矩阵时，无论是定性的还是定量的，一个组织的风险状况通常是不对称的。

微小的事态通常是最频繁的，而预期的频率通常随着后昊的增加而降低，最终导致极端后果

的可能性很低。高可能性/低后果事态所表示的业务风险与低可能性/高后果事态所表示的业

务风险相等也是不常见的，

尽管一个低/低至高/高对角线对称的风险矩阵很容易创建并且从直觉上可接受,但它不

太可能准确地代表组织的真实风险状况，因此可能会产生无效的结果。为确保风险矩阵切合

实际并能满足持续改进的要求（见GB/T22080-XXXX的10.2）,当定义和修改标度和矩阵时，

宜文件化记录将每个风险类别分配到可能性标度、后果标度和风险矩阵的推论，以及这些分

类如何符合组织的风险状况。至少，使用增量标度矩阵所固有的不确定性宜在描述时对其用

户给予应有的注意。

定性标度的效用和由此获得风险评估的一致性完全取决于所有相关方对类别标签的解

移的一致性。任何定性标度的级别都宜明确无误，其增量宜明确定义，每个级别的定性描述

宜以客观语言表达，类别不宜互重叠。

A.1.1.3定量方法

A.1.1.3.1限定标度

风险等级可使用任何方法并考虑任何相关因素来计算，但它一般通过可能性乘以后果来

表示。

可能性表示在给定时旬段内事态发生的概率或频率。这个时间段通常是以年为单位（每

年），或者根据组织的需要取更长（例如，每世纪）或更短（例如，每秒）的单位。

可能性标度宜以反映组织环境的实际情况来定义，以帮助其管理风险并便于所有相关方

理解。这主要意味着对所表示的可能性范围设定实现的限制。如果标度的最大和最小限值相

差太大，其中的每个类别都包含范围过大的可能性，将使评估变得不确定。

示例1:标度上可能性的上限能根据组织通常响应事态所需的时间来有效定义，而下限则根据组织长期

战略规划的持续时间来有效定义。

高于和低于所定义的标度限度的可能性能有用地表示为“大于标度最大值”和“小于

标度最小值”，从而清楚地表明，超出所定义标度限度的可能性是需要例外考虑的极端情

况（可能使用特殊的“越界”准则）。在这些限制之外，特定的可能性不如指定方向上的

例外情况重要.

通常，使用财务数据则量后果是有用的，因其允许汇总风险报告。

示例2：货币化后果标度通常基于10的倍数（100到1000；1（100到10000等）。

可能性标度类别的范围宜参考所选后果标度来选择，以避免每•类风险范围过大。

示例3：如果可能性和后果使用指数标度的指标来表示（如标度中的数值对数），则宜将其相加求和。

可按以下方式计算风险值：反对数［log（可能性值）+log（后果值）］。

表A.4对数型可能性标度示例

近似平均频率对数表达式标度值

每小时（约10’）5

每8小时(约10')4

每周两次(约10；)3

每月一次(约10：)2

每年一次(101)1

每10年一次(10°)0

示例4：在表A.4中，高频事态如口令攻击或来自儡厂网络的分布式拒绝服务攻击。实际上，攻击的频

率可能会高得多。

示例5：在表A.4中，低频事态如火山爆发。即使预测某个事态每世纪只发生一次，但是并不意味着它

在ISMS的生命周期内不会发生。

表A.5给出了对数型后果标度的示例。考虑频率的目的之一是确保防护措施足够强大

以承受高频攻击序列，即使这种攻击序列的可能性很低。

表A.5对数型后果标度示例

后果（损失）对数表达式值

£1000000(10')6

£100000(105)5

£10000(10')4

£1000(101)3

£100(102)2

不到£：00(101)1

如果可能性和后果标度都使用以10为底的对数来分配级别，则风险分析师可能得出大

量的风险属于同一风险级别，以致于可能无法做出适当的优先级排序或安全投资决策。在

这种情况下，减少底数并增加级别的数量可能是有用的.宜注意，如果可能性和后果选择

了不同的底数，则不能应用指数相加的公式。

示例6：如果可能性从一人级别到下一个级别只是增加了一倍，而后果增加了10倍，则当风险b）的后

果是风险a）的10倍，但其可谈性只有风险a）的一半，上述公式准导出的风险a）和b）处于同一风险级别。

这在经济上是错误的。

表A.4和表A.5列出了涵盖不同组织中的大多数可能性和后果的范围。没有单个组织可能

遇到所有这些示例标度中所表示的风险范围。宜使用组织的环境和ISMS范围来定义可能性和

后果的现实的上限和下限，同时记住风险的量化范围超出1至1000时，其实际价值是有限的。

A.1.2风险接受准则

风险接受准则可能是一个值，超过这个值的风险被认为是不可接受的。

示例1：在表A.3中，如果选择的值为中，则组织认为所有很低、低或中的风险都是可接受的，而所有

高或很高的风险是不可接受的。

通过使用颜色标注的风险矩阵来反映后果和可能性标度，组织能图形地呈现一个或多个

风险评估的风险分布。这种风险矩阵也可用于•表明组织对风险值的态度，并表明在正常情况

下风险是接受还是处置。

示例2：使用三种颜色（例如，红色、橙黄色和绿色）的风险矩阵，能用于表示三个风险评价级别，如

表A6所示。

风险矩阵也能受益于选择其他颜色模型。

示例3：如果风险矩阵被月来比较同一风险的初次风险评估结果和再评估结果，则使用更多的颜色来表

示风险等级，更易于呈现风险降低的情况。

还可能在模型中增加授权各层级的管理人员次定接受特定风险值的风险。

表A.6给出了一个评价标度示例。

表A.6使用三色风险矩阵的评价标度示例

风险级别风险评仰描述

低（绿色）接受无需采取进一步措施即可接受风险可被接受

宜在中长期持续改进的框架内开展风险管理方面的后续行

中（橙色）控制下可接受

动，并采取措施

宜在短期内一定采取降低风险的措施。否则，宜拒绝全部或

高（红色）不可接受

部分活动

A.2实践技术

A.2.1信息安全风险组成部分

当识别和评估信息安全风险时，宜考虑以下组成部分。

一一与过去有关的：

安全事态和事件（包括组织内的和组织外的）；

风险源：

被利用的脆弱性；

测量出的后果。

----与未来有关的：

威胁;

脆弱性；

后果；

风险场景。

图A.1展示了信息安全风险组成部分之间的关系，并在A.2.2至A.2.7讨论。

I---------------------------------------------------------------1

图例

—►威胁

图A.1信息安全风险组成部分

关于“预期最终状态”的详细信息，参见A.2.3b）o

A.2.2资产

当使用基于资产的方法进行风险识别时，宜对资产进行识别。

风险评估过程中，识别风险场景中的事态、后果、威胁、脆弱性宜关联到资产。

风险处置过程中，每项控制都适用于一组资产。

这些资产可分为两类，

主要或业务资产：对组织有价值的信息或过程。

支撑性资产：一个或多个业务资产所依赖的信息系统组成部分。

主要或业务资产通常用于基于事态的方法（识别事态及其对业务资产的影响）。

支撑性资产通常用于基于资产的方法（识别和分析这些资产的脆弱性和威肋,）和风险处

置过程（指定资产所采取的控制）。

业务资产和支撑性资产是相关的，支撑性资产所识别的风险源同样会影响业务资产。

因此，确定资产之间的关系，并了解它们对组织的价值是重要的。对资产价值的错误判

断会导致对其风险有关的后果的错误判断，同时影响对所考虑的威胁的可能性的理解。

示例1:支撑性资产正承找一项业务资产（本例中为信息）.

信息受内部和外部控制保护，以防止风险源通过利用支撑性资产的脆弱性达到其对业务

资产的企图。在区分不同类型的资产时，宜记录资产之间的依赖关系并对风险传递进行评估,

宜保证同一风险不被二次评估：一次是风险发生在支撑性资产上，另一次是风险影响到业务

资产时。可使用资产依赖关系图表示这种依赖关系，并宜确保考虑了所有依赖关系。

示例2：图A.2展示了“显示订单和发票处理”业务资产所依赖的资产，解释如下：

“管理员”（类型：人力资源），如果没有经过适当的培训，把风险带给资产。

“信息技术运维”（类型：服务），把风险带给资产。

“服务器”（类型：硬件）或“网络”资产（类型：网络连接）。服务器因停止运行或网络异常影响

资产。

“门户网站”（类型：应用程序），停止运行或不可用。

如果“门户网站”不可用，”显示订单和发票处理”的业务过程就不能向客户提供预期

的服务。

nta

图A.2资产依赖关系图的示例

A.2.3风险源和预期最终状态

本条描述风险源的特征。这种描述性方法有两个主要准则:

动机；

行动能力。

a）识别风险源

表A.7给出了风险源示例及常用攻击方法。

表A.7风险源示例及常用攻击方法

风险源风险源示例及常用攻击方法

国家、情报机构

方法：攻击通常由专业人员实施，按照预先殳定的时间和攻击方法开展。该类攻击者

的特点是能在很长一段时间内（稳定的资源、规程）执行攻击操作，并根据目标的拓

国家相关

扑结构调整其工具和方法。此外，该类攻击者有途径购买或者发现零日漏洞，并且有

些攻击者能渗透到隔离的网络中进行深入攻击，以达到一个或多个目标（例如，通过

攻击供应链）

网络犯罪组织（黑手党、帮派、犯罪团伙）

方法，通过建立虚假网站，病毒勒索.OS厂网络等信息网络方式实施违法犯罪活动.

有组织的犯罪

特别是由于容易从网上获得的攻击工具包激增，网络犯罪正通过日益复杂且有组织的

行动来达到获取利益或欺诈的目的。有些攻击者具备购买或发现零日漏洞的能力

网络恐怖分子，网络民兵

恐怖分子方法：攻击通常不是很复杂，但以干扰和破坏为目的：拒绝服务（例如，使医院中心

的应急服务不可用，突然关闭能源生产工业系统），利用互联网网站脆弱性并篡改

网络黑客，利益集团，派别

意识形态激进分子方法：攻击的方法和攻击的复杂性与网络恐怖分了•相似，但其破坏意图不明显。•些

攻击者是为了传达一种意识形态，一种信息（例如，大规模使用社交网络作为宣传媒介）

・网络雇佣兵”的信息技术能力从技术角度来看通常都很高。尽管他们与“脚本小子”

同样有挑战和寻求认可的精神，但其目的是追逐利益，需与“脚本小子”区分开，其

能被组织成专门的团体，提供黑客服务。

专业团队

方法：这类有经验的黑客通常设计和创建攻击工具和工具包并在线上发布（可能需要

收费），然后可交由其他攻击团体作为“•站式解决方案”使用。除了经济利益之外，

没有什么特别的动机

出于追求社会认可、乐趣和挑战的“脚木小子”或具有良好信息技术知识的人员。

业余爱好者

方法：基本攻击，但有能力使用网上在线攻击工具包

攻击动机由强烈的报复情绪或者不公正感所引导（例如，员工因严重过错被解雇，服

务提供者因未续签合同而不满等）。

报复者

方法：攻击者的特征是其决心，以及对系统和组织流程的了解。这使其变得更难对付，

并具备制造伤害的巨大力量

攻击动机是病态的或者具有机会主义性质，有时受利益驱使进行（例如，不公平的竞争

对手，不诚信的客户，诈骗犯和欺诈者）。

方法：这种情况下，攻击者有计算机方面的基础知识，从而把破坏信息系统作为其目

病态攻击者

标，或者使用在线可用的攻击工具包，或者委托给专业团队进行攻击。某些情况下，

攻击者能将关注点转向内部资源（不满的员工、不道德的服务提供者），并试图进行

腐蚀

b）描述风险源的动机一一预期最终状态。

攻击动机范围较广：它们即是政治的、经济的、意识形态的，也是社会性的，甚至是机

会主义性质的或病态的心理状态。

当不能直接表达动机时，能通过风险源的意图来说明，并以预期最终状态（DES）的形

式来描述，即风险源在攻击对抗后想达到的总体状况。一种与通用措施分类相关的系统性情

境分类方法，可用来指导情境分析。

表A.8给出了用DES表述的攻击动机分类的示例。

表A.8用预期最终状态表述动机分类的示例

攻击动机预期最终状态描述

征服长期获取资源或经济市场，获得政治权力或施加价值观念

获取掠夺的方法，坚决的进攻，以获取资源或利益为动力

防范限制第三方行为的进攻方法

维护维持一种意识形态、政治、经济或社会状况的努力

采取严格的防御性退守姿态，或明确的威胁态度（如恐吓），以防止明确指定的对手的攻击行

防御

为，或减缓他们的行动等

生存不惜一切代价保护实体，这能导致极端攻击的行动

c）最终目标

为了达成DES,风险源专注于影响目标系统业务资产的一个或多个目标。这些都是风险

源的最终目标。

表A.9给出了最终目标的示例。

表A.9最终目标的示例

最终目标描述

情报行动（与国家相关、经济相关）。多数情况下，攻击者的目标是在信息系统中进行长

搜集情报期潜伏，并完全可以自行决定。武器、航天、航空、制药、能源和国家的某些活动（经济、

金融和外交事务）是优先目标

预先部署行动。通常是没有明确的最终目的的长期攻击（例如，破坏电信运营商网络，渗

战略预先部署透到大量信息互联网网站以发动具有强烈反响的政治或经济影响力的行动）。为了形成假

厂网络而突然大规模入侵计算机的行为可归于此类

散布虚假信息或篡改信息、组织社交网络上意见领袖、破坏名誉、披露保密信息、损害组

影响

织或国家形象的行动。最终目的通常是引起不稳定或改变看法

破坏行动，例如使互联网网站不可用，导致信息饱和，阻止数字资源使用，使物理设施不

可用。工业系统通过其互联的信息技术网络，可能特别容易被暴露并具有脆弱性（例如，

阻碍运行

发送命令以产生硬件损坏或需要大量维修的故隙）。分布式拒绝服务攻击（DDoS）始阻止

使用数字资源的常用技术

以直接或间接的经济利益为目的的行动。通常与行组织的犯罪有关：网络诈骗、洗钱、敲

诈勒索或挪用公款、操纵金融市场、伪造行政文件、身份盗窃等。某些以营利为目的的行

有利可图

动可以利用上述类别的攻击方法（例如，搜集情报和数据盗窃，以勒索软件的形式使活动

无效），但最终都是以经济利益为目的

以实现社会认可、挑战或单纯的乐趣为目的的行动。虽然目的主要是为了获得乐趣，而且

挑战，乐趣

没有任何特别的伤害欲望，但这种行为的特征可能会对受害者带来严重的后果

DES和最终目标之间的区别能通过•个风险源的例子来说明，该风险源的目标是赢得一

项交易（DES）,试图窃取竞争对手的谈判保密信息（战略目标）。有时，相关的目标（期

望得到的信息）最终不能得出DES。

从风险源的角度来看，最终目标的价值来自「其对DES的贡献。

总的来说，风险源的最终目标分为两大类：

-利用目标资源为自己谋利，如收集情报、盗窃、诈骗、欺诈、非法交易;

-阻止目标使用其资源（对抗总是相对的），如战争、恐怖主义、蓄意毁坏、颠覆、

破坏稳定。

A.2.4基于事态的方法

A.2.4.1生态系统

在基于事态的方法中，宜通过分析与组织及各相关方之间的不同的互动路径来构建场景,

这些路径形成一个生态系统，风险源能通过这个生态系统接触到业务资产并达到其DES。

越来越多的攻击方法利用这种生态系统中最薄弱的环节，以达到其目标。

在分析风险情景时宜考虑到ISMS范围的各相关方，其可以分为两种类型。

——外部各方，包括：

客户；

合作伙伴、联合承包商;

服务提供商（分包商、供应商）。

----内部各方，包括:

与技术相关的服务提供者（例如，由信息技术管理部门提供的支持服务）;

与业务相关的服务提供者（例如，使用业务数据的商业实体）；

子公司（尤其是位于其他国家的）。

识别相关方的目的是对生态系统有清晰的认识，以识别最脆弱的点。了解生态系统宜作

关傲点

m楂与系虢相逢的内si/

外期汨关与（京一层关系）

♦.生态系娱内的关系

与相关方相连的另一个相关

-------------篙越生态系统边霁的关系方《就二虐关系》

----------------AR吃源内的关系实俵肮忘了生态系嫔乏国

图A.3生态系统中相关方的识别

A.2.4.2战略场景

根据有关风险源和事态的信息,可以设想出实现的高级别场景（战略场景），表明风险

源可以以何种方式达到其DES。例如，它可以检查生态系统或改变某些业务过程。从风险源

和他们的DES开始，通过推理识别这些场景：对于每个场景，可以从风险源的角度提出以下

问题：

一一为了达到其DES,风险源需要针对组织的哪些业务资产？

——为了使他们的攻击成为可能或为攻击提供便利，他们是否可能攻击生态系统中对业

务资产有访问特权的关键相关方？

一旦识别了暴露程度最高的要素，可通过描述风险源为达到DES产生事态的过程来构建

战略场景。对业务资产的侵害行为是最终事态，而与生态系统相关的事态则是中间事态。战

略场景反映的是直接从有关事态继承下来的后果评估。

这些场景能以攻击图为形式表示，也可以通过叠加攻击路径直接在信息系统映射的生态

系统视图上表示。

战略场景需要额外考虑事态的可能性。基于资产的方法和相关的运行场景能用于定义事

态的可能性。在A.2.5.1中给出的威胁实例能用于收集必要的评估项。

A.2.5基于资产的方法

A.2.5.1威胁示例

表A.10给出了典型威协示例。该列表可以在威胁评估过程中使用。威胁作为风险源能分

为故意的、意外的或环境的（自然因素），并能导致后果，如基础服务的损害或损失。该表

列举了与D（故意的）、A（意外的）、E（环境的）相关的每种威胁类型。D表示所有针对信

息和信息相关资产的故意行为，A表示可能意外损害信息和信息相关资产的其他所有人为行

为，E表示所有非人为行为的事件。该表没有优先顺序。

控制能通过威胁或阻止这些威胁起作用或发生来降低威胁。选择降低风险的控制，还需

要考虑识别、响应、遏制和恢复事态的监测和响应控制。监测和响应的控制与后果有关，与

威胁无关。

口志和监控可以实现安全事态的识别和响应。

表A.10典型威胁示例

类别编号威胁描述风险源类型।

TP01火A,D,E

TP02水A,D,E

TP03污染、有害辐射A,D,E

物理威胁

TP04重大事故A,1),E

TP05爆炸A,D,E

TP06灰尘、腐蚀、冰冻A,D,E

TN01气候现象E

TK02地震现象E

TN03火山现象E

自然灾害

TN04气象现象E

TN05洪水E

TN06流行病/疫情现象E

TI01供应系统故障A,D

TI02冷却或通风系统故障A,D

基础设施故障TI03供电故障A,D,E

TI04电信网络故障A,1),E

TI05电信设备故障A,D

T106电磁辐射A,l>,E

TI07热辐射A,D,E

TI08电磁脉冲A,D,E

TT01设备或系统故障A

技术失效TT02信息系统饱和A,D

TT03信息系统可维护性破坏A,D

TH01恐怖活动、攻击、破坏D

TH02社会工程D

TII03设备电磁监听/对阻止干扰信号的拦截D

TH04远程情报收集D

TH05窃听D

TH06介质或文件偷窃D

TH07设备偷窃D

TH08数字身份或凭证窃取1>

TH09回收或废弃介质的检索D

TH10信息泄露A,D

TH11不可信来源的数据输入A,D

TH12硬件篡改D

TH13软件篡改A,D

人为行为

TH14使用基于web通信的漏洞l>

TH15重放攻击，中间人攻击I)

TH16个人数据的未授双处理A,[)

TH17场所的未授权进入h

TH18设备的未授权费用D

TH19设备的不当使用A,D

TH20设备或介质的未坏A,D

TH21软件的伪造复制I)

TH22假冒或盗版软件使用A,D

TH23数据损坏0

TH24数据的非法处理D

TH25恶意软件的发送或传播A,D,E

TH26位置探测l>

TC01使用错误A

TC02权限或许可滥用A,D

功能或服务缺陷

TCO3权限或许可伪造D

TCO4行为否认D

T001人员缺失A,E

T002资源缺失A,E

组织威胁

T003服务提供者失效A,E

T004违法违规行为A,D

1D=故意的：A=意外的；E=环境的。

A.2.5.2脆弱性示例

表A.11给出了多种安全领域的脆弱性示例，包括可以利用这些脆弱性的威胁示例。该表

能在威胁和脆弱性评估中提供帮助，来确定相关的风险场景。在某些场合，其他威胁同样可

能利用这些脆弱性。

表A.11典型脆弱性示例

类别编号脆弱性示例

VII01存储介质的维护不足/错误安装

VH02定期更换计划的缺乏

VH03对潮湿、灰半、污染的敏感性

VH04对电磁辐射的敏感性

VH05有效配置变更控制的缺乏

硬件

VH06对电压变化的敏感性

VH07对温度变化的敏感性

V1I08未保护的存储器

V1I09废物谨慎处置的缺乏

VH10未控制的复制

VS01软件测试的缺失或不足

VS02软件中众所周知的缺陷

VS03离开工作站时未“退出”

VS04未适当擦除的存储介质的废弃或再使用

VS05审计跟踪的缺乏

VS06访问权限的错误分配

VS07广泛分布的软件

VS08应用程序使用了错误的时钟数据

VS09第杂的用户界面

VS10文件化不充分或缺失

VS11不正确的参数设置

软件

VS12不正确的日期

VS13标识与鉴别机制（如用户鉴别）不充分

VS14未保护的口令表

VS15糟糕的口令管理

VS16不必要的服务开启

VS17不成熟或新的软件

VS18不清晰或不完整的开发者规范

VS19有效变更控制的缺乏

VS20软件未受控的下载和使用

VS21备份的缺乏或不完整

VS22未能生成管理报告

VN01发送或接收消息的证据机制不完整

VN02未保护的通信线路

VN03未保护的敏感通信

网络

VN04糟糕的综合布线

VN05单点故障

VN06发送者和接收者的标识与鉴别机制不充分或缺失

VN07不安全的网络架构

VN08口令明文传输

VN09网络管理不足（路由弹性）

VN10未保护的公共网络连接

VP01人员脱岗

VP02招聘规程不足

VP03安全培训不充分

VP04软件和硬件的不正确使用

人员

VP05安全意识缺乏

VP06监视机制缺乏

VP07对外部人员或清洁人员的工作无监督

VP08无效或不正确使用电信介质和通讯策略

VS01建筑物和房间物理访问控制使用不当或疏忽

VS02位于洪水多发地区

场所

VS03不稳定的电网

VS04建筑物和门窗物理保护的不充分

V001未制定用户注册和注销的正式规程，或实施无效

V002未制定访问权限审查（监督）的正式过程，或实施无效

V003与客户和（或）第三方合同中的规定（关于安全）缺乏或不足

V004未制定信息处理设施的监视规程，或实施无效

V005未定期审计（监督）

V006未制定风险识别和评估规程，或实施无效

V007管理员和操作员日志中记录的故障报告缺乏或不充分

V008设备维护响应不足

V009服务级别协议缺乏或不充分

V010未制定变更控制规程，或实施无效

V011未制定ISMS文件化控制的正式规程，或实施无效

V012未制定ISVS记录监督的正式规程，或实施无效

V013未制定公开可用信息授权的正式过程，或实施无效

V014信息安全责任分配不当

组织

V015连续性计划不存在、不完整或过时

V016未制定电子邮件使用策略，或实施无效

V017未制定在运行系统中引入软件的规程，或实施无效

V018未制定保密信息处理的规程，或实施无效

V019职位描述中缺乏信息安全责任

V020员工合同中的规定（关于信息安全）缺乏或不充分

V021未制定信息安全事件违规处理过程，或不能正确运行

VO22未制定移动计算机使用的正式策略，或实施无效

V023外部资产控制不充分

V024“清理桌面和