信息安全风险分析及安全需求挖掘

1、信息安全风险分析和安全要求挖掘，伟士通信息产业股份有限公司200年4月，坦兴利，主要内容，现有风险分析方法摘要风险分析中需要注意的几个问题伟士通风险分析流程和安全要求挖掘，现有风险分析方法摘要，风险分析的两大类型，定量：准确的定量因此，实际使用这些方法进行评估非常困难。定性：资产威胁漏洞风险、几种定性风险分析方法、基准评估方法(德国ITBaseline)为系统的每个部分设置保护级别的统一基准，并与最佳实践(BP)提供的安全措施一起开发解决方案。复盖范围：广泛使用的典型IT系统。机密性、完整性和可用性的一般要求。可以在基础设施、组织、人力资源、技术和临时编制方面采取标准安全措施。详细的风险分析方

2、法(SP800-30)包括资产深度标识和评估、对这些资产的威胁评估和漏洞评估。结果用于评估风险和选择合理的安全设施。阶段：了解系统特征、识别威胁、识别漏洞、分析安全控制、确定可能性、分析影响、确定风险、提出安全控制建议、记录评估结果非正式风险分析方法(FRAP、OCTAVE-S)详细风险分析的简化方法。FRAP:前期准备会议、FRAP会议、编写风险分析报告、总结会议；OCTAVE-S:构建基于资产的威胁文件，识别技术设施的漏洞，制定安全战略和计划。综合方法(ISO17799、OCTAVE)对系统进行宏观分析，以确定高风险领域，执行详细的风险分析，其他部分使用基线方法。首先，系统范围必须对潜在风

3、险高或对业务运营至关重要的关键资产进行详细的风险分析，以获得适当的保护。剩下的一般待遇通过基本风险评估方法选择控制措施。如何一起考虑风险分析中需要注意的几个问题，风险分析的因素？威胁级别，威胁源，动机，威胁发生的可能性，工具，技术要求，对系统的影响，系统威胁防范攻击能力级别，系统漏洞，安全措施，资产价值，风险级别，是否使用主要资产开始风险分析？(SP800-30没有说列出主要资产)如何确定系统中有哪些主要资产？资产敏感度、价值和资产类别(软件、硬件、)了解各种威胁对资产的影响：未经授权的暴露信息资产，未经授权的修改，拒绝接受，各种期间不可恢复的损坏，以及负面影响。如何确认威胁？按威胁列表经验分

4、析，自然威胁发生概率(担忧)系统威胁组件质量偶然性很容易将用户类别、个人质量、故意人为财产威胁的魅力教育、财产转化为报酬。系统敏感度(好奇心、破坏、影响)；必要的技术能力；如何确定所需的工具攻击路径、脆弱性？主观控制，大中型组织详细风险分析活动的异同是什么？如何选择风险分析方法？组织的业务环境；组织的业务性质和重要性；组织对信息系统的依赖性；业务和支持系统、应用程序和服务的复杂性贸易伙伴的数量以及对外业务和合同关系。如何选择不同阶段的评估方法？系统安全部署初始-综合/基准系统安全状态评估-详细的风险分析系统运行期间的安全优化-非正式风险分析，防卫风险分析流程和安全要求挖掘，一些机构/供应商的风

5、险分析方法，供应商主要参考OCTAVE，同时利用扫描仪，导入基于ISO17799的量化可视化评估工具，工具扫描结果生成存储库和其他软件；一些供应商主要对系统和网络进行风险评估，从技术上进行更多的分析，准确地确定技术弱点，但管理上薄弱，管理评价不足。一些供应商使用UNIX、NT等操作系统和数据库、网络设备评估、评估工具和手动评估等构建信息安全库。风险管理的一般流程、用户情况调查、安全分析流程、系统安全要求挖掘、摘要，以及需要考虑当前系统实际情况和其他步骤的多种风险分析方法。灵活使用多种方法，包括定性和定量、手动评估和辅助工具、技术评估和系统组织评估、知识库经验和基于模型的评估；根据国家法律规定和对系统的风险评估，确定系统的安全要求，并采取相应的