信息安全管理第二章信息安全風(fēng)險(xiǎn)評(píng)估-圖文

風(fēng)險(xiǎn)評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估策略信息安全風(fēng)險(xiǎn)評(píng)估流程信息安全風(fēng)險(xiǎn)評(píng)估方法風(fēng)險(xiǎn)評(píng)估案例第一頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估概述第二頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述A風(fēng)險(xiǎn)因子B風(fēng)險(xiǎn)因子隱患：內(nèi)部失控事故外部作用產(chǎn)生了人們不期望的后果超出設(shè)定安全界限的狀態(tài)、行為第三頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述系統(tǒng)減少：人的不安全行為改變：環(huán)境不安全條件減少：物的不安全狀態(tài)消除：管理缺陷預(yù)防減少事故降低事故損失安全風(fēng)險(xiǎn)管理目標(biāo)第四頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)（Risk）：特定威脅利用某一資產(chǎn)或一組資產(chǎn)的脆弱性，從而對(duì)資產(chǎn)產(chǎn)生損害的可能性。

第五頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估第六頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估風(fēng)險(xiǎn)評(píng)估（RiskAssessment）：是對(duì)信息和信息處理設(shè)施面臨的威脅、受到的影響、存在的弱點(diǎn)以及威脅發(fā)生的可能性的評(píng)估。第七頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估，是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施。并為防范和化解信息安全風(fēng)險(xiǎn)，或者將風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)（國信辦[2006]5號(hào)文件）。第八頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估

信息安全風(fēng)險(xiǎn)評(píng)估是指依據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評(píng)價(jià)的過程。它要評(píng)估資產(chǎn)面臨的威脅以及威脅利用脆弱點(diǎn)導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價(jià)值來判斷安全事件一旦發(fā)生對(duì)組織造成的影響。狹義的風(fēng)險(xiǎn)評(píng)估包括：評(píng)估前準(zhǔn)備、資產(chǎn)識(shí)別與評(píng)估、威脅識(shí)別與評(píng)估、脆弱點(diǎn)識(shí)別與評(píng)估、當(dāng)前安全措施的識(shí)別與評(píng)估、風(fēng)險(xiǎn)分析以及根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果選取適當(dāng)?shù)陌踩胧┮越档惋L(fēng)險(xiǎn)的過程。第九頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估信息安全風(fēng)險(xiǎn)評(píng)估的基本思路是在信息安全事件發(fā)生之前，通過有效的手段對(duì)組織面臨的信息安全風(fēng)險(xiǎn)進(jìn)行識(shí)別、分析，并在此基礎(chǔ)上選取相應(yīng)的安全措施，將組織面臨的信息安全風(fēng)險(xiǎn)控制在可接受范圍內(nèi)，以此達(dá)到保護(hù)信息系統(tǒng)安全的目的。第十頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)要素信息安全風(fēng)險(xiǎn)評(píng)估的對(duì)象是信息系統(tǒng)，信息系統(tǒng)的資產(chǎn)、信息系統(tǒng)可能面對(duì)的威脅、系統(tǒng)中存在的弱點(diǎn)（脆弱點(diǎn)）、系統(tǒng)中已有的安全措施等是影響信息安全風(fēng)險(xiǎn)的基本要素，它們和安全風(fēng)險(xiǎn)、安全風(fēng)險(xiǎn)對(duì)業(yè)務(wù)的影響以及系統(tǒng)安全需求等構(gòu)成信息安全風(fēng)險(xiǎn)評(píng)估的要素。

資產(chǎn)威脅脆弱點(diǎn)風(fēng)險(xiǎn)影響安全措施安全需求第十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述

1.資產(chǎn)根據(jù)ISO/IEC13335-1,資產(chǎn)是指任何對(duì)組織有價(jià)值的東西，資產(chǎn)包括：物理資產(chǎn)、信息/數(shù)據(jù)、軟件、提供產(chǎn)品和服務(wù)的能力、人員、無形資產(chǎn)。我國的《信息安全風(fēng)險(xiǎn)評(píng)估指南》則認(rèn)為，資產(chǎn)是指對(duì)組織具有價(jià)值的信息資源，是安全策略保護(hù)的對(duì)象。它能夠以多種形式存在，有無形的、有形的，有硬件、軟件，有文檔、代碼，也有服務(wù)、形象等。根據(jù)資產(chǎn)的表現(xiàn)形式，可將資產(chǎn)分為數(shù)據(jù)、軟件、硬件、文檔、服務(wù)、人員等類。風(fēng)險(xiǎn)評(píng)估要素第十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述分類示例數(shù)據(jù)存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、數(shù)據(jù)庫數(shù)據(jù)、系統(tǒng)文檔、運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶手冊等軟件系統(tǒng)軟件：操作系統(tǒng)、語言包、工具軟件、各種庫等應(yīng)用軟件：外部購買的應(yīng)用軟件，外包開發(fā)的應(yīng)用軟件等源程序：各種共享源代碼、可執(zhí)行程序、自行或合作開發(fā)的各種程序等硬件網(wǎng)絡(luò)設(shè)備：路由器、網(wǎng)關(guān)、交換機(jī)等計(jì)算機(jī)設(shè)備：大型機(jī)、服務(wù)器、工作站、臺(tái)式計(jì)算機(jī)、移動(dòng)計(jì)算機(jī)等存儲(chǔ)設(shè)備：磁帶機(jī)、磁盤陣列等移動(dòng)存儲(chǔ)設(shè)備：磁帶、光盤、軟盤、U盤、移動(dòng)硬盤等傳輸線路：光纖、雙絞線等保障設(shè)備：動(dòng)力保障設(shè)備（UPS、變電設(shè)備等）、空調(diào)、保險(xiǎn)柜、文件柜、門禁、消防設(shè)施等安全保障設(shè)備：防火墻、入侵檢測系統(tǒng)、身份驗(yàn)證等其他電子設(shè)備：打印機(jī)、復(fù)印機(jī)、掃描儀、傳真機(jī)等服務(wù)辦公服務(wù)：為提高效率而開發(fā)的管理信息系統(tǒng)（MIS），它包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù)網(wǎng)絡(luò)服務(wù)：各種網(wǎng)絡(luò)設(shè)備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù)信息服務(wù)：對(duì)外依賴該系統(tǒng)開展服務(wù)而取得業(yè)務(wù)收入的服務(wù)文檔紙質(zhì)的各種文件、傳真、電報(bào)、財(cái)務(wù)報(bào)告、發(fā)展計(jì)劃等人員掌握重要信息和核心業(yè)務(wù)的人員，如主機(jī)維護(hù)主管、網(wǎng)絡(luò)維護(hù)主管及應(yīng)用項(xiàng)目經(jīng)理及網(wǎng)絡(luò)研發(fā)人員等其它企業(yè)形象，客戶關(guān)系等第十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素2.威脅威脅是可能對(duì)資產(chǎn)或組織造成損害的潛在原因。威脅有潛力導(dǎo)致不期望發(fā)生的事件發(fā)生，該事件可能對(duì)系統(tǒng)或組織及其資產(chǎn)造成損害。這些損害可能是蓄意的對(duì)信息系統(tǒng)和服務(wù)所處理信息的直接或間接攻擊。也可能是偶發(fā)事件。根據(jù)威脅源的不同，威脅可分為：自然威脅、環(huán)境威脅、系統(tǒng)威脅、人員威脅。

第十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述威脅源常見表現(xiàn)形式自然威脅地震、颶風(fēng)、火山、洪水、海嘯、泥石流、暴風(fēng)雪、雪崩、雷電、其他環(huán)境威脅火災(zāi)、戰(zhàn)爭、重大疫情、恐怖主義、供電故障、供水故障、其他公共設(shè)施中斷、危險(xiǎn)物質(zhì)泄漏、重大事故（如交通工具碰撞等）、污染、溫度或濕度、其他系統(tǒng)威脅網(wǎng)絡(luò)故障、硬件故障、軟件故障、惡意代碼、存儲(chǔ)介質(zhì)的老化、其他外部人員網(wǎng)絡(luò)竊聽、拒絕服務(wù)攻擊、用戶身份仿冒、系統(tǒng)入侵、盜竊、物理破壞、信息篡改、泄密、抵賴、其他。內(nèi)部人員未經(jīng)授權(quán)信息發(fā)布、未經(jīng)授權(quán)的信息讀寫、抵賴、電子攻擊（如利用系統(tǒng)漏洞提升權(quán)限）、物理破壞（系統(tǒng)或存儲(chǔ)介質(zhì)損壞）、盜竊、越權(quán)或?yàn)E用、誤操作第十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素3.脆弱點(diǎn)脆弱點(diǎn)是一個(gè)或一組資產(chǎn)所具有的，可能被威脅利用對(duì)資產(chǎn)造成損害的薄弱環(huán)節(jié)。如操作系統(tǒng)存在漏洞、數(shù)據(jù)庫的訪問沒有訪問控制機(jī)制、系統(tǒng)機(jī)房任何人都可進(jìn)入等等。脆弱點(diǎn)是資產(chǎn)本身存在的，如果沒有相應(yīng)的威脅出現(xiàn)，單純的脆弱點(diǎn)本身不會(huì)對(duì)資產(chǎn)造成損害。另一方面如果系統(tǒng)足夠強(qiáng)健，再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失。即：威脅總是要利用資產(chǎn)的弱點(diǎn)才可能造成危害。資產(chǎn)的脆弱點(diǎn)具有隱蔽性，有些弱點(diǎn)只有在一定條件和環(huán)境下才能顯現(xiàn)，這是脆弱點(diǎn)識(shí)別中最為困難的部分。需要注意的是，不正確的、起不到應(yīng)有作用的或沒有正確實(shí)施的安全措施本身就可能是一個(gè)脆弱點(diǎn)。第十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述脆弱點(diǎn)主要表現(xiàn)在從技術(shù)和管理兩個(gè)方面

技術(shù)脆弱點(diǎn)是指信息系統(tǒng)在設(shè)計(jì)、實(shí)現(xiàn)、運(yùn)行時(shí)在技術(shù)方面存在的缺陷或弱點(diǎn)。

管理脆弱點(diǎn)則是指組織管理制度、流程等方面存在的缺陷或不足。例如：安裝殺毒軟件或病毒庫未及時(shí)升級(jí)操作系統(tǒng)或其他應(yīng)用軟件存在拒絕服務(wù)攻擊漏洞數(shù)據(jù)完整性保護(hù)不夠完善數(shù)據(jù)庫訪問控制機(jī)制不嚴(yán)格都屬于技術(shù)脆弱點(diǎn)系統(tǒng)機(jī)房鑰匙管理不嚴(yán)、人員職責(zé)不清、未及時(shí)注銷離職人員對(duì)信息系統(tǒng)的訪問權(quán)限等第十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素4.風(fēng)險(xiǎn)根據(jù)ISO/IEC13335-1，信息安全風(fēng)險(xiǎn)是指威脅利用一個(gè)或一組資產(chǎn)的脆弱點(diǎn)導(dǎo)致組織受損的潛在性，并以威脅利用脆弱點(diǎn)造成的一系列不期望發(fā)生的事件（或稱為安全事件）來體現(xiàn)。資產(chǎn)、威脅、脆弱點(diǎn)是信息安全風(fēng)險(xiǎn)的基本要素，是信息安全風(fēng)險(xiǎn)存在的基本條件，缺一不可。沒有資產(chǎn)，威脅就沒有攻擊或損害的對(duì)象；沒有威脅，盡管資產(chǎn)很有價(jià)值，脆弱點(diǎn)很嚴(yán)重，安全事件也不會(huì)發(fā)生；系統(tǒng)沒有脆弱點(diǎn)，威脅就沒有可利用的環(huán)節(jié)，安全事件也不會(huì)發(fā)生。第十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素4.風(fēng)險(xiǎn)風(fēng)險(xiǎn)可以形式化的表示為：R=(A,T,V)，其中R表示風(fēng)險(xiǎn)、A表示資產(chǎn)、T表示威脅、V表示脆弱點(diǎn)。R：RiskA：AssetT：ThreatV：Vulnerability第十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素5. 影響影響是威脅利用資產(chǎn)的脆弱點(diǎn)導(dǎo)致不期望發(fā)生事件的后果。這些后果可能表現(xiàn)為：直接形式，如物理介質(zhì)或設(shè)備的破壞、人員的損傷、直接的資金損失等；間接的損失如公司信用、形象受損、、市場分額損失、法律責(zé)任等。在信息安全領(lǐng)域，直接的損失往往容易估計(jì)且損失較小，間接的損失難易估計(jì)且常常比直接損失更為嚴(yán)重。如某公司信息系統(tǒng)中一路由器因雷擊而破壞，其直接的損失表現(xiàn)為路由器本身的價(jià)值、修復(fù)所需的人力物力等；而間接損失則較為復(fù)雜，由于路由器不能正常工作，信息系統(tǒng)不能提供正常的服務(wù)，導(dǎo)致公司業(yè)務(wù)量的損失、企業(yè)形象的損失等，若該路由器為金融、電力、軍事等重要部門提供服務(wù)，其間接損失更為巨大。第二十頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素

6.安全措施

安全措施是指為保護(hù)資產(chǎn)、抵御威脅、減少脆弱點(diǎn)、限制不期望發(fā)生事件的影響、加速不期望發(fā)生事件的檢測及響應(yīng)而采取的各種實(shí)踐、規(guī)程和機(jī)制的總稱。有效的安全通常要求不同安全措施的結(jié)合以為資產(chǎn)提供多級(jí)的安全。例如，應(yīng)用于計(jì)算機(jī)的訪問控制機(jī)制應(yīng)被審計(jì)控制、人員管理、培訓(xùn)和物理安全所支持。第二十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素

6.安全措施

安全措施可能實(shí)現(xiàn)一個(gè)或多個(gè)下列功能：保護(hù)、震懾、檢測、限制、糾正、恢復(fù)、監(jiān)視、安全意識(shí)等。同功能的安全措施需要不同的成本，同時(shí)能夠?qū)崿F(xiàn)多個(gè)功能的安全措施通常具有更高的成本有效性。安全措施的實(shí)施領(lǐng)域包括：物理環(huán)境、技術(shù)領(lǐng)域、人員、管理等，可用的安全措施包括：訪問控制機(jī)制、防病毒軟件、加密機(jī)制、數(shù)字簽名、防火墻、監(jiān)視與分析工具、冗余電力供應(yīng)、信息備份等。第二十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素

7.安全需求

安全需求是指為保證組織業(yè)務(wù)戰(zhàn)略的正常運(yùn)作而在安全措施方面提出的要求。安全需求可體現(xiàn)在技術(shù)、組織管理等多個(gè)方面。如關(guān)鍵數(shù)據(jù)或系統(tǒng)的的機(jī)密性、可用性、完整性需求、法律法規(guī)的符合性需求、人員安全意識(shí)培訓(xùn)需求、信息系統(tǒng)運(yùn)行實(shí)時(shí)監(jiān)控的需求等。

第二十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述第二十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述第二十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素相互關(guān)系資產(chǎn)、威脅、脆弱點(diǎn)是信息安全風(fēng)險(xiǎn)的基本要素，與信息安全風(fēng)險(xiǎn)有關(guān)的要素還包括：安全措施、安全需求、影響等。ISO/IEC13335-1對(duì)它們之間的關(guān)系描述如圖所示

第二十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)評(píng)估要素相互關(guān)系

(1)威脅利用脆弱點(diǎn)將導(dǎo)致安全風(fēng)險(xiǎn)的產(chǎn)生；

(2)資產(chǎn)具有價(jià)值，并對(duì)組織業(yè)務(wù)有一定影響，資產(chǎn)價(jià)值及影響越大則其面臨的風(fēng)險(xiǎn)越大；

(3)安全措施能抵御威脅、減少脆弱點(diǎn)，因而能減少安全風(fēng)險(xiǎn)；

(4)風(fēng)險(xiǎn)的存在及對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)導(dǎo)出保護(hù)需求，保護(hù)需求通過安全措施來滿足或?qū)崿F(xiàn)。

第二十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述我國的《信息安全風(fēng)險(xiǎn)評(píng)估指南》對(duì)ISO/IEC13335-1提出風(fēng)險(xiǎn)要素關(guān)系模型進(jìn)行了擴(kuò)展。增加第二十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述圖中方框部分的內(nèi)容為風(fēng)險(xiǎn)評(píng)估的基本要素;第二十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述橢圓部分的內(nèi)容是與基本要素相關(guān)的屬性。第三十頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述風(fēng)險(xiǎn)要素及屬性之間存在著以下關(guān)系：（1）業(yè)務(wù)戰(zhàn)略依賴資產(chǎn)去實(shí)現(xiàn)；（2）資產(chǎn)是有價(jià)值的，組織的業(yè)務(wù)戰(zhàn)略對(duì)資產(chǎn)的依賴度越高，資產(chǎn)價(jià)值就越大；（3）資產(chǎn)價(jià)值越大則其面臨的風(fēng)險(xiǎn)越大；（4）風(fēng)險(xiǎn)是由威脅引發(fā)的，資產(chǎn)面臨的威脅越多則風(fēng)險(xiǎn)越大，并可能演變成安全事件；（5）弱點(diǎn)越多，威脅利用脆弱點(diǎn)導(dǎo)致安全事件的可能性越大；（6）脆弱點(diǎn)是未被滿足的安全需求，威脅要通過利用脆弱點(diǎn)來危害資產(chǎn)，從而形成風(fēng)險(xiǎn)；（7）風(fēng)險(xiǎn)的存在及對(duì)風(fēng)險(xiǎn)的認(rèn)識(shí)導(dǎo)出安全需求；第三十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述（8）安全需求可通過安全措施得以滿足，需要結(jié)合資產(chǎn)價(jià)值考慮實(shí)施成本；（9）安全措施可抵御威脅，降低安全事件的發(fā)生的可能性，并減少影響；（10）風(fēng)險(xiǎn)不可能也沒有必要降為零，在實(shí)施了安全措施后還會(huì)有殘留下來的風(fēng)險(xiǎn)。有些殘余風(fēng)險(xiǎn)來自于安全措施可能不當(dāng)或無效,在以后需要繼續(xù)控制，而有些殘余風(fēng)險(xiǎn)則是在綜合考慮了安全成本與效益后未控制的風(fēng)險(xiǎn)，是可以被接受的；（11）殘余風(fēng)險(xiǎn)應(yīng)受到密切監(jiān)視，它可能會(huì)在將來誘發(fā)新的安全事件。第三十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述為什么要做風(fēng)險(xiǎn)評(píng)估

安全源于風(fēng)險(xiǎn)。

在信息化建設(shè)中，建設(shè)與運(yùn)營的網(wǎng)絡(luò)與信息系統(tǒng)由于可能存在的系統(tǒng)設(shè)計(jì)缺陷、隱含于軟硬件設(shè)備的缺陷、系統(tǒng)集成時(shí)帶來的缺陷，以及可能存在的某些管理薄弱環(huán)節(jié)，尤其當(dāng)網(wǎng)絡(luò)與信息系統(tǒng)中擁有極為重要的信息資產(chǎn)時(shí)，都將使得面臨復(fù)雜環(huán)境的網(wǎng)絡(luò)與信息系統(tǒng)潛在著若干不同程度的安全風(fēng)險(xiǎn)。

第三十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述為什么要做風(fēng)險(xiǎn)評(píng)估第三十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述

風(fēng)險(xiǎn)評(píng)估可以不斷深入地發(fā)現(xiàn)系統(tǒng)建設(shè)中的安全隱患，采取或完善更加經(jīng)濟(jì)有效的安全保障措施，來消除安全建設(shè)中的盲目樂觀或盲目恐懼，提出有針對(duì)性的從實(shí)際出發(fā)的解決方法，提高系統(tǒng)安全的科學(xué)管理水平，進(jìn)而全面提升網(wǎng)絡(luò)與信息系統(tǒng)的安全保障能力。第三十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略信息安全風(fēng)險(xiǎn)評(píng)估策略第三十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略不同的組織有不同的安全需求和安全戰(zhàn)略，風(fēng)險(xiǎn)評(píng)估的操作范圍可以是整個(gè)組織，也可以是組織中的某一部門，或者獨(dú)立的信息系統(tǒng)、特定系統(tǒng)組件和服務(wù)。影響風(fēng)險(xiǎn)評(píng)估進(jìn)展的某些因素，包括評(píng)估時(shí)間、力度、展開幅度和深度，都應(yīng)與組織的環(huán)境和安全要求相符合。第三十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略基線風(fēng)險(xiǎn)評(píng)估詳細(xì)風(fēng)險(xiǎn)評(píng)估綜合風(fēng)險(xiǎn)評(píng)估第三十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略1.基線風(fēng)險(xiǎn)評(píng)估

基線風(fēng)險(xiǎn)評(píng)估要求組織根據(jù)自己的實(shí)際情況（所在行業(yè)、業(yè)務(wù)環(huán)境與性質(zhì)等），對(duì)信息系統(tǒng)進(jìn)行基線安全檢查（將現(xiàn)有的安全措施與安全基線規(guī)定的措施進(jìn)行比較，找出其中的差距），得出基本的安全需求，通過選擇并實(shí)施標(biāo)準(zhǔn)的安全措施來消減和控制風(fēng)險(xiǎn)。

第三十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略1.基線風(fēng)險(xiǎn)評(píng)估

可以根據(jù)以下資源來選擇安全基線：(1)國際標(biāo)準(zhǔn)和國家標(biāo)準(zhǔn)；(2)行業(yè)標(biāo)準(zhǔn)或推薦；(3)來自其他有類似商務(wù)目標(biāo)和規(guī)模的組織的慣例。

第四十頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略基線評(píng)估的優(yōu)點(diǎn)是：(1)風(fēng)險(xiǎn)分析和每個(gè)防護(hù)措施的實(shí)施管理只需要最少數(shù)量的資源，并且在選擇防護(hù)措施時(shí)花費(fèi)更少的時(shí)間和努力；(2)如果組織的大量系統(tǒng)都在普通環(huán)境下運(yùn)行并且如果安全需要類似，那么很多系統(tǒng)都可以采用相同或相似的基線防護(hù)措施而不需要太多的努力。基線評(píng)估的的缺點(diǎn)是：(1)基線水平難以設(shè)置，如果基線水平設(shè)置的過高，有些IT系統(tǒng)可能會(huì)有過高的安全等級(jí)；如果基線水平設(shè)置的過低，有些IT系統(tǒng)可能會(huì)缺少安全，導(dǎo)致更高層次的暴露；(2)風(fēng)險(xiǎn)評(píng)估不全面、不透徹，且不易處理變更。

第四十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略綜合評(píng)價(jià)

雖然當(dāng)安全基線已建立的情況下，基線評(píng)估成本低、易于實(shí)施。但由于不同組織信息系統(tǒng)千差萬別，信息系統(tǒng)的威脅時(shí)刻都在變化，很難制定全面的、具有廣泛適用性的安全基線，而組織自行建立安全基線成本很高。

目前世界上還沒有全面、統(tǒng)一的、能符合組織目標(biāo)的、值得信賴的安全基線，因而基線評(píng)估方法開展并不普遍。

第四十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略2詳細(xì)風(fēng)險(xiǎn)評(píng)估詳細(xì)風(fēng)險(xiǎn)評(píng)估要求對(duì)資產(chǎn)、威脅和脆弱點(diǎn)進(jìn)行詳細(xì)識(shí)別和評(píng)價(jià)，并對(duì)可能引起風(fēng)險(xiǎn)的水平進(jìn)行評(píng)估，這通過不期望事件的潛在負(fù)面業(yè)務(wù)影響評(píng)估和他們發(fā)生的可能性來完成。根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果來識(shí)別和選擇安全措施，將風(fēng)險(xiǎn)降低到可接受的水平。

第四十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略詳細(xì)風(fēng)險(xiǎn)評(píng)估方法的優(yōu)點(diǎn)是：有可能為所有系統(tǒng)識(shí)別出適當(dāng)?shù)陌踩胧?；詳?xì)分析的結(jié)果可用于安全變更管理。這種方法的缺點(diǎn)是需要更多的時(shí)間、努力和專業(yè)知識(shí)。目前，世界各國推出的風(fēng)險(xiǎn)評(píng)估方法多屬于這一類，如AS/NZS4360、NISTSP800-30、OCTAVE以及我國的《信息安全風(fēng)險(xiǎn)評(píng)估指南》中所提供的方法。第四十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略3綜合風(fēng)險(xiǎn)評(píng)估基線風(fēng)險(xiǎn)評(píng)估耗費(fèi)資源少、周期短、操作簡單，但不夠準(zhǔn)確，適合一般環(huán)境的評(píng)估；詳細(xì)風(fēng)險(xiǎn)評(píng)估準(zhǔn)確而細(xì)致，但耗費(fèi)資源較多，適合嚴(yán)格限定邊界的較小范圍內(nèi)的評(píng)估。因而實(shí)踐當(dāng)中，組織多是采用二者結(jié)合的綜合評(píng)估方式。

第四十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略ISO/IEC13335-3提出了綜合風(fēng)險(xiǎn)評(píng)估方法，其實(shí)施流程如圖所示：第四十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略綜合風(fēng)險(xiǎn)評(píng)估的第一步是高層風(fēng)險(xiǎn)分析，其目的是確定每個(gè)IT系統(tǒng)所采用的風(fēng)險(xiǎn)分析方法(基線或詳細(xì)風(fēng)險(xiǎn)分析)。然后，依據(jù)高層風(fēng)險(xiǎn)分析的決定，對(duì)相應(yīng)的IT系統(tǒng)實(shí)施基線風(fēng)險(xiǎn)分析或詳細(xì)風(fēng)險(xiǎn)分析。接下來是依據(jù)基線風(fēng)險(xiǎn)分析與詳細(xì)風(fēng)險(xiǎn)分析的結(jié)果選取相應(yīng)的安全措施，綜合風(fēng)險(xiǎn)評(píng)估的最后兩步是IT系統(tǒng)安全策略和IT安全計(jì)劃，IT系統(tǒng)安全策略是前面各階段評(píng)估結(jié)果的結(jié)晶，包括系統(tǒng)安全目標(biāo)、系統(tǒng)邊界、系統(tǒng)資產(chǎn)、威脅、脆弱點(diǎn)、所選取的安全措施、安全措施選取的原因、費(fèi)用估計(jì)等。IT安全計(jì)劃則處理如何去實(shí)施所選取的安全措施。第四十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估策略

綜合評(píng)價(jià)綜合評(píng)估方法將基線和詳細(xì)風(fēng)險(xiǎn)評(píng)估的優(yōu)勢結(jié)合起來，既節(jié)省了評(píng)估所耗費(fèi)的資源，又能確保獲得一個(gè)全面系統(tǒng)的評(píng)估結(jié)果，而且，組織的資源和資金能夠應(yīng)用到最能發(fā)揮作用的地方，具有高風(fēng)險(xiǎn)的信息系統(tǒng)能夠被預(yù)先關(guān)注。當(dāng)然，綜合評(píng)估也有缺點(diǎn)：如果初步的高級(jí)風(fēng)險(xiǎn)分析不夠準(zhǔn)確，某些本來需要詳細(xì)評(píng)估的系統(tǒng)也許會(huì)被忽略，最終導(dǎo)致某些嚴(yán)重的風(fēng)險(xiǎn)未被發(fā)現(xiàn)。第四十八頁，共138頁。第四十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估目的

風(fēng)險(xiǎn)評(píng)估的目的是全面、準(zhǔn)確的了解組織機(jī)構(gòu)的網(wǎng)絡(luò)安全現(xiàn)狀，發(fā)現(xiàn)系統(tǒng)的安全問題及其可能的危害，為系統(tǒng)最終安全需求的提出提供依據(jù)。第五十頁，共138頁。風(fēng)險(xiǎn)評(píng)估目的

第五十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估目的公安部網(wǎng)站近日發(fā)布消息，包括徐玉玉案在內(nèi)的三起學(xué)生遭電信網(wǎng)絡(luò)詐騙案已告破，28名犯罪嫌疑人落網(wǎng)，一些案件細(xì)節(jié)也逐漸浮出水面。公安機(jī)關(guān)調(diào)查發(fā)現(xiàn)，在徐玉玉案中，犯罪嫌疑人杜某利用技術(shù)手段攻擊了“山東省2016高考網(wǎng)上報(bào)名信息系統(tǒng)”并在網(wǎng)站植入木馬病毒，獲取了網(wǎng)站后臺(tái)登錄權(quán)限，盜取了包括徐玉玉在內(nèi)的大量考生報(bào)名信息，而后將信息轉(zhuǎn)賣出去。第五十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估目的

第五十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估目的

第五十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估目的

第五十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程信息安全風(fēng)險(xiǎn)評(píng)估流程第五十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程總體上看，風(fēng)險(xiǎn)評(píng)估可分為四個(gè)階段：第一階段為風(fēng)險(xiǎn)評(píng)估準(zhǔn)備，第二階段為風(fēng)險(xiǎn)識(shí)別，第三階段為風(fēng)險(xiǎn)評(píng)價(jià)，第四階段為風(fēng)險(xiǎn)處理。第五十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程

第五十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程《信息安全風(fēng)險(xiǎn)評(píng)估指南》中風(fēng)險(xiǎn)評(píng)估的流程：1.風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備2.資產(chǎn)識(shí)別與評(píng)估3.威脅識(shí)別與評(píng)估4.脆弱點(diǎn)識(shí)別與評(píng)估5.已有安全措施的確認(rèn)6.風(fēng)險(xiǎn)分析7.安全措施的選取8.風(fēng)險(xiǎn)評(píng)估文件記錄第五十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程1.風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備是整個(gè)風(fēng)險(xiǎn)評(píng)估過程有效性的保證。其工作主要包括：（1）確定風(fēng)險(xiǎn)評(píng)估目標(biāo)

風(fēng)險(xiǎn)評(píng)估的目標(biāo)是滿足組織業(yè)務(wù)持續(xù)發(fā)展在安全方面的需要，或

符合相關(guān)方的要求，或遵守法律法規(guī)的規(guī)定等。（2）確定風(fēng)險(xiǎn)評(píng)估的對(duì)象和范圍風(fēng)險(xiǎn)評(píng)估的對(duì)象可能是組織全部的信息及與信息處理相關(guān)的各類資產(chǎn)、管理機(jī)構(gòu)，也可能是某個(gè)獨(dú)立的系統(tǒng)、關(guān)鍵業(yè)務(wù)流程、與客戶知識(shí)產(chǎn)權(quán)相關(guān)的系統(tǒng)或部門等。（3）組建團(tuán)隊(duì)

組建適當(dāng)?shù)娘L(fēng)險(xiǎn)評(píng)估管理與實(shí)施團(tuán)隊(duì)，以支持整個(gè)過程的推進(jìn)。第六十頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程1.風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備是整個(gè)風(fēng)險(xiǎn)評(píng)估過程有效性的保證。其工作主要包括：（4）選擇方法

應(yīng)考慮評(píng)估的目的、范圍、時(shí)間、效果、人員素質(zhì)等因素來選擇具體的風(fēng)險(xiǎn)判斷方法，使之能夠與組織環(huán)境和安全要求相適應(yīng)（5）獲得支持

應(yīng)得到組織的最高管理者的支持、批準(zhǔn)（6）準(zhǔn)備相關(guān)的評(píng)估工具（掃描、測試、收集工具）第六十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程第六十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程2.資產(chǎn)識(shí)別與評(píng)價(jià)(1)資產(chǎn)識(shí)別資產(chǎn)識(shí)別是風(fēng)險(xiǎn)識(shí)別的必要環(huán)節(jié)。資產(chǎn)識(shí)別的任務(wù)就是對(duì)確定的評(píng)估對(duì)象所涉及或包含的資產(chǎn)進(jìn)行詳細(xì)的標(biāo)識(shí)。資產(chǎn)識(shí)別過程中要特別注意無形資產(chǎn)的遺漏，同時(shí)還應(yīng)注意不同資產(chǎn)間的相互依賴關(guān)系，關(guān)系緊密的資產(chǎn)可作為一個(gè)整體來考慮，同一中類型的資產(chǎn)也應(yīng)放在一起考慮。

資產(chǎn)識(shí)別的方法主要有訪談、現(xiàn)場調(diào)查、問卷、文檔查閱等。

第六十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程分類示例數(shù)據(jù)存在信息媒介上的各種數(shù)據(jù)資料，包括源代碼、數(shù)據(jù)庫數(shù)據(jù)、系統(tǒng)文檔、運(yùn)行管理規(guī)程、計(jì)劃、報(bào)告、用戶手冊等軟件系統(tǒng)軟件：操作系統(tǒng)、語言包、工具軟件、各種庫等應(yīng)用軟件：外部購買的應(yīng)用軟件，外包開發(fā)的應(yīng)用軟件等源程序：各種共享源代碼、可執(zhí)行程序、自行或合作開發(fā)的各種程序等硬件網(wǎng)絡(luò)設(shè)備：路由器、網(wǎng)關(guān)、交換機(jī)等計(jì)算機(jī)設(shè)備：大型機(jī)、服務(wù)器、工作站、臺(tái)式計(jì)算機(jī)、移動(dòng)計(jì)算機(jī)等存儲(chǔ)設(shè)備：磁帶機(jī)、磁盤陣列等移動(dòng)存儲(chǔ)設(shè)備：磁帶、光盤、軟盤、U盤、移動(dòng)硬盤等傳輸線路：光纖、雙絞線等保障設(shè)備：動(dòng)力保障設(shè)備（UPS、變電設(shè)備等）、空調(diào)、保險(xiǎn)柜、文件柜、門禁、消防設(shè)施等安全保障設(shè)備：防火墻、入侵檢測系統(tǒng)、身份驗(yàn)證等其他電子設(shè)備：打印機(jī)、復(fù)印機(jī)、掃描儀、傳真機(jī)等服務(wù)辦公服務(wù)：為提高效率而開發(fā)的管理信息系統(tǒng)（MIS），它包括各種內(nèi)部配置管理、文件流轉(zhuǎn)管理等服務(wù)網(wǎng)絡(luò)服務(wù)：各種網(wǎng)絡(luò)設(shè)備、設(shè)施提供的網(wǎng)絡(luò)連接服務(wù)信息服務(wù)：對(duì)外依賴該系統(tǒng)開展服務(wù)而取得業(yè)務(wù)收入的服務(wù)文檔紙質(zhì)的各種文件、傳真、電報(bào)、財(cái)務(wù)報(bào)告、發(fā)展計(jì)劃等人員掌握重要信息和核心業(yè)務(wù)的人員，如主機(jī)維護(hù)主管、網(wǎng)絡(luò)維護(hù)主管及應(yīng)用項(xiàng)目經(jīng)理及網(wǎng)絡(luò)研發(fā)人員等其它企業(yè)形象，客戶關(guān)系等第六十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估概述第六十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程2.資產(chǎn)識(shí)別與評(píng)價(jià)(1)資產(chǎn)識(shí)別在信息安全風(fēng)險(xiǎn)評(píng)估的過程中，應(yīng)清晰地識(shí)別其所有的資產(chǎn)，不能遺漏，劃入風(fēng)險(xiǎn)評(píng)估范圍和邊界內(nèi)的每一項(xiàng)資產(chǎn)都應(yīng)該被確認(rèn)和評(píng)估。

第六十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程(2)資產(chǎn)評(píng)估

資產(chǎn)的評(píng)價(jià)是對(duì)資產(chǎn)的價(jià)值或重要程度進(jìn)行評(píng)估，資產(chǎn)本身的貨幣價(jià)值是資產(chǎn)價(jià)值的體現(xiàn)，但更重要的是資產(chǎn)對(duì)組織關(guān)鍵業(yè)務(wù)的順利開展乃至組織目標(biāo)實(shí)現(xiàn)的重要程度。由于多數(shù)資產(chǎn)不能以貨幣形式的價(jià)值來衡量，資產(chǎn)評(píng)價(jià)很難以定量的方式來進(jìn)行，多數(shù)情況下只能以定性的形式，依據(jù)重要程度的不同劃分等級(jí)。

第六十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程(2)資產(chǎn)評(píng)估

通常信息資產(chǎn)的機(jī)密性、完整性、可用性、可審計(jì)性和不可抵賴性等是評(píng)價(jià)資產(chǎn)的安全屬性?？梢韵确謩e對(duì)資產(chǎn)在以上各方面的重要程度進(jìn)行評(píng)估，然后通過一定的方法進(jìn)行綜合,可得資產(chǎn)的綜合價(jià)值（最大原則、加權(quán)原則）第六十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程第六十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程第七十頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程第七十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程(2)資產(chǎn)評(píng)估

資產(chǎn)價(jià)值應(yīng)依據(jù)資產(chǎn)在保密性、完整性和可用性上的賦值等級(jí)，經(jīng)過綜合評(píng)定得出。根據(jù)最終賦值將資產(chǎn)劃分為五級(jí)，級(jí)別越高表示資產(chǎn)越重要，確定重要資產(chǎn)的范圍，并主要圍繞重要資產(chǎn)進(jìn)行下一步的風(fēng)險(xiǎn)評(píng)估。第七十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程(2)資產(chǎn)評(píng)估

資產(chǎn)賦值表第七十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程(2)資產(chǎn)評(píng)估

等級(jí)標(biāo)識(shí)定義5很高非常重要，其安全屬性破壞后可能對(duì)組織造成非常嚴(yán)重的損失4高重要，其安全屬性破壞后可能對(duì)組織造成比較嚴(yán)重的損失3中比較重要，其安全屬性破壞后可能對(duì)組織造成中等程度的損失2低不太重要，其安全屬性破壞后可能對(duì)組織造成較低的損失1很低不重要，其安全屬性破壞后對(duì)組織造成很小的損失，甚至忽略不計(jì)

資產(chǎn)等級(jí)及含義描述第七十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程威脅識(shí)別與評(píng)估(1)威脅識(shí)別威脅是構(gòu)成風(fēng)險(xiǎn)的必要組成部分，因而威脅識(shí)別是風(fēng)險(xiǎn)識(shí)別的必要環(huán)節(jié)，威脅識(shí)別的任務(wù)是對(duì)組織資產(chǎn)面臨的威脅進(jìn)行全面的標(biāo)識(shí)。威脅識(shí)別可從威脅源進(jìn)行分析，也可根據(jù)有關(guān)標(biāo)準(zhǔn)、組織所提供的威脅參考目錄進(jìn)行分析。

第七十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程人類利用網(wǎng)絡(luò)訪問的威脅樹5個(gè)屬性第七十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程系統(tǒng)故障威脅樹第七十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程第七十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程第七十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程3.威脅識(shí)別與評(píng)估(2)威脅評(píng)估安全風(fēng)險(xiǎn)的大小是由安全事件發(fā)生的可能性以及它造成的影響決定，安全事件發(fā)生的可能性與威脅出現(xiàn)的頻率有關(guān)，而安全事件的影響則與威脅的強(qiáng)度或破壞能力有關(guān)，如地震的等級(jí)或破壞力等。威脅評(píng)估就是對(duì)威脅出現(xiàn)的頻率及強(qiáng)度進(jìn)行評(píng)估，這是風(fēng)險(xiǎn)評(píng)估的重要環(huán)節(jié)。評(píng)估者應(yīng)根據(jù)經(jīng)驗(yàn)和（或）有關(guān)的統(tǒng)計(jì)數(shù)據(jù)來分析威脅出現(xiàn)的頻率及其強(qiáng)度或破壞能力。

第八十頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程3.威脅識(shí)別與評(píng)估我國的《信息安全風(fēng)險(xiǎn)評(píng)估指南》將威脅頻率等級(jí)劃分為五級(jí)，分別代表威脅出現(xiàn)的頻率的高低。等級(jí)數(shù)值越大，威脅出現(xiàn)的頻率越高。

第八十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程威脅賦值表等級(jí)標(biāo)識(shí)定義5很高威脅出現(xiàn)的頻率很高，在大多數(shù)情況下幾乎不可避免或者可以證實(shí)經(jīng)常發(fā)生過4高威脅出現(xiàn)的頻率較高，在大多數(shù)情況下很有可能會(huì)發(fā)生或者可以證實(shí)多次發(fā)生過3中威脅出現(xiàn)的頻率中等，在某種情況下可能會(huì)發(fā)生或被證實(shí)曾經(jīng)發(fā)生過2低威脅出現(xiàn)的頻率較小，一般不太可能發(fā)生，也沒有被證實(shí)發(fā)生過1很低威脅幾乎不可能發(fā)生，僅可能在非常罕見和例外的情況下發(fā)生第八十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程輸出結(jié)果威脅編號(hào)威脅類別威脅賦值描述威脅編號(hào)威脅類別具體威脅威脅描述威脅來源后果威脅賦值受影響的設(shè)備名稱（IP）威脅列表示例2威脅列表示例1第八十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程4.脆弱點(diǎn)識(shí)別與評(píng)估

（1）脆弱點(diǎn)識(shí)別脆弱點(diǎn)識(shí)別也稱為弱點(diǎn)識(shí)別，弱點(diǎn)是資產(chǎn)本身存在的，如果沒有相應(yīng)的威脅發(fā)生，單純的弱點(diǎn)本身不會(huì)對(duì)資產(chǎn)造成損害。而且如果系統(tǒng)足夠強(qiáng)健，再嚴(yán)重的威脅也不會(huì)導(dǎo)致安全事件，并造成損失。

脆弱點(diǎn)識(shí)別主要從技術(shù)和管理兩個(gè)方面進(jìn)行，技術(shù)脆弱點(diǎn)涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應(yīng)用層等各個(gè)層面的安全問題。管理脆弱點(diǎn)又可分為技術(shù)管理和組織管理兩方面，前者與具體技術(shù)活動(dòng)相關(guān)，后者與管理環(huán)境相關(guān)。

第八十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程脆弱點(diǎn)識(shí)別

類型識(shí)別對(duì)象識(shí)別內(nèi)容技術(shù)脆弱點(diǎn)物理環(huán)境從機(jī)房場地、機(jī)房防火、機(jī)房供配電、機(jī)房防靜電、機(jī)房接地與防雷、電磁防護(hù)、通信線路的保護(hù)、機(jī)房區(qū)域防護(hù)、機(jī)房設(shè)備管理等方面進(jìn)行識(shí)別。服務(wù)器（含操作系統(tǒng)）從物理保護(hù)、用戶帳號(hào)、口令策略、資源共享、事件審計(jì)、訪問控制、新系統(tǒng)配置（初始化）、注冊表加固、網(wǎng)絡(luò)安全、系統(tǒng)管理等方面進(jìn)行識(shí)別。網(wǎng)絡(luò)結(jié)構(gòu)從網(wǎng)絡(luò)結(jié)構(gòu)設(shè)計(jì)、邊界保護(hù)、外部訪問控制策略、內(nèi)部訪問控制策略、網(wǎng)絡(luò)設(shè)備安全配置等方面進(jìn)行識(shí)別。數(shù)據(jù)庫從補(bǔ)丁安裝、鑒別機(jī)制、口令機(jī)制、訪問控制、網(wǎng)絡(luò)和服務(wù)設(shè)置、備份恢復(fù)機(jī)制、審計(jì)機(jī)制等方面進(jìn)行識(shí)別。應(yīng)用系統(tǒng)審計(jì)機(jī)制、審計(jì)存儲(chǔ)、訪問控制策略、數(shù)據(jù)完整性、通信、鑒別機(jī)制、密碼保護(hù)等方面進(jìn)行識(shí)別。管理脆弱點(diǎn)技術(shù)管理物理和環(huán)境安全、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護(hù)、業(yè)務(wù)連續(xù)性。組織管理安全策略、組織安全、資產(chǎn)分類與控制、人員安全、符合性第八十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程脆弱點(diǎn)識(shí)別

資產(chǎn)的脆弱點(diǎn)具有隱蔽性，有些弱點(diǎn)只有在一定條件和環(huán)境下才能顯現(xiàn)，這是脆弱點(diǎn)識(shí)別中最為困難的部分。需要注意的是，不正確的、起不到應(yīng)有作用的或沒有正確實(shí)施的安全措施本身就可能是一個(gè)弱點(diǎn)。

脆弱點(diǎn)識(shí)別將針對(duì)每一項(xiàng)需要保護(hù)的資產(chǎn)，找出可能被威脅利用的弱點(diǎn)，并對(duì)脆弱點(diǎn)的嚴(yán)重程度進(jìn)行評(píng)估。脆弱點(diǎn)識(shí)別時(shí)的數(shù)據(jù)應(yīng)來自于資產(chǎn)的所有者、使用者，以及相關(guān)業(yè)務(wù)領(lǐng)域的專家和軟硬件方面的專業(yè)等人員

脆弱點(diǎn)識(shí)別所采用的方法主要有：問卷調(diào)查、工具檢測、人工核查、文檔查閱、滲透性測試等。第八十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（2）脆弱點(diǎn)評(píng)估

脆弱點(diǎn)評(píng)估就是是對(duì)脆弱點(diǎn)被利用后對(duì)資產(chǎn)損害程度、技術(shù)實(shí)現(xiàn)的難易程度、弱點(diǎn)流行程度進(jìn)行評(píng)估，評(píng)估的結(jié)果一般都是定性等級(jí)劃分形式，綜合的標(biāo)識(shí)脆弱點(diǎn)的嚴(yán)重程度。也可以對(duì)脆弱點(diǎn)被利用后對(duì)資產(chǎn)的損害程度以及被利用的可能性分別評(píng)估，然后以一定方式綜合。第八十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程脆弱點(diǎn)嚴(yán)重程度賦值

等級(jí)標(biāo)識(shí)定義5很高如果被威脅利用，將對(duì)資產(chǎn)造成完全損害4高如果被威脅利用，將對(duì)資產(chǎn)造成重大損害3中如果被威脅利用，將對(duì)資產(chǎn)造成一般損害2低如果被威脅利用，將對(duì)資產(chǎn)造成較小損害1很低如果被威脅利用，將對(duì)資產(chǎn)造成的損害可以忽略第八十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程輸出結(jié)果脆弱性列表示例資產(chǎn)ID脆弱性ID脆弱性名稱脆弱性賦值脆弱性描述第八十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程5.已有安全措施的確認(rèn)安全措施可以分為預(yù)防性安全措施和保護(hù)性安全措施兩種。

預(yù)防性安全措施可以降低威脅利用脆弱點(diǎn)導(dǎo)致安全事件發(fā)生的可能性。這可以通過兩個(gè)方面的作用來實(shí)現(xiàn)，

（1）減少威脅出現(xiàn)的頻率，如通過立法或健全制度加大對(duì)員工惡意行為的懲罰，可以減少員工故意行為威脅出現(xiàn)的頻率，通過安全培訓(xùn)可以減少無意行為導(dǎo)致安全事件出現(xiàn)的頻率；

（2）減少脆弱點(diǎn)，如及時(shí)為系統(tǒng)打補(bǔ)丁、對(duì)硬件設(shè)備定期檢查能夠減少系統(tǒng)的技術(shù)脆弱點(diǎn)等。

保護(hù)性安全措施可以減少因安全事件發(fā)生對(duì)信息系統(tǒng)造成的影響，如業(yè)務(wù)持續(xù)性計(jì)劃。

第九十頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程5.已有安全措施的確認(rèn)

對(duì)已采取的安全措施進(jìn)行確認(rèn)，至少有兩個(gè)方面的意義。一方面，這有助于對(duì)當(dāng)前信息系統(tǒng)面臨的風(fēng)險(xiǎn)進(jìn)行分析；另一方面，通過對(duì)當(dāng)前安全措施的確認(rèn)，分析其有效性，對(duì)有效的安全措施繼續(xù)保持，以避免不必要的工作和費(fèi)用，防止安全措施的重復(fù)實(shí)施。

該步驟的主要任務(wù)是，對(duì)當(dāng)前信息系統(tǒng)所采用的安全措施進(jìn)行標(biāo)識(shí)，并對(duì)其預(yù)期功能、有效性進(jìn)行分析。

第九十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程6.風(fēng)險(xiǎn)分析

風(fēng)險(xiǎn)分析就是利用資產(chǎn)、威脅、脆弱點(diǎn)識(shí)別與評(píng)估結(jié)果以及已有安全措施的確認(rèn)與分析結(jié)果，對(duì)資產(chǎn)面臨的風(fēng)險(xiǎn)進(jìn)行分析。

風(fēng)險(xiǎn)分析的主要任務(wù)就是分析當(dāng)前環(huán)境下，安全事件發(fā)生的可能性以及造成的影響，然后利用一定的方法計(jì)算風(fēng)險(xiǎn)。

（1）風(fēng)險(xiǎn)計(jì)算（2）影響分析（3）可能性分析第九十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（1）風(fēng)險(xiǎn)計(jì)算如前所述，風(fēng)險(xiǎn)可形式化的表示為R=(A,T,V)，其中R表示風(fēng)險(xiǎn)、A表示資產(chǎn)、T表示威脅、V表示脆弱點(diǎn)。相應(yīng)的風(fēng)險(xiǎn)值由A、T、V的取值決定，是它們的函數(shù)，可以表示為：

VR=R(A,T,V)=R[L(A,T,V)，F(xiàn)(A,T,V)]其中，L(A,T,V)、F(A,T,V)分別表示對(duì)應(yīng)安全事件發(fā)生的可能性及影響，它們也都是資產(chǎn)、威脅、脆弱點(diǎn)的函數(shù)，但其表達(dá)式很難給出。而風(fēng)險(xiǎn)則可表示為可能性L和影響F的函數(shù)，簡單的處理就是將安全事件發(fā)生的可能性L與安全事件的影響F相乘得到風(fēng)險(xiǎn)值，實(shí)際就是平均損失，即VR=L(A,T,V)×F(A,T,V)。

第九十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（1）風(fēng)險(xiǎn)計(jì)算威脅識(shí)別脆弱性識(shí)別威脅出現(xiàn)的頻率脆弱性的嚴(yán)重程度資產(chǎn)的重要性安全事件的損失風(fēng)險(xiǎn)值資產(chǎn)識(shí)別安全事件的可能性第九十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程

（1）風(fēng)險(xiǎn)計(jì)算一是計(jì)算安全事件發(fā)生的可能性根據(jù)威脅出現(xiàn)頻率及脆弱性狀況，計(jì)算威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，即： 安全事件可能性＝L(威脅出現(xiàn)頻率，脆弱性)＝L(T，V)

二是計(jì)算安全事件發(fā)生后的損失

根據(jù)資產(chǎn)重要程度及脆弱性嚴(yán)重程度，計(jì)算安全事件發(fā)生后的損失，即： 安全事件的損失＝F(資產(chǎn)重要程度，脆弱點(diǎn)嚴(yán)重程度)＝F(Ia，Va)

三是計(jì)算風(fēng)險(xiǎn)值根據(jù)計(jì)算出的安全事件發(fā)生的可能性以及安全事件的損失，計(jì)算風(fēng)險(xiǎn)值，即： 風(fēng)險(xiǎn)值＝R(安全事件的可能性，安全事件的損失)＝R[L(T，V)，F(xiàn)(Ia，Va)]

第九十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（1）風(fēng)險(xiǎn)計(jì)算

風(fēng)險(xiǎn)計(jì)算是一個(gè)復(fù)雜課題，無論采用哪種方法，都存在不足，這方面內(nèi)容是一個(gè)有趣的研究課題。第九十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（2）影響分析

影響分析，安全事件對(duì)組織的影響可體現(xiàn)在以下方面：（1）直接經(jīng)濟(jì)損失:風(fēng)險(xiǎn)事件可能引發(fā)直接的經(jīng)濟(jì)損失，如交易密碼失竊、電子合同的篡改（完整性受損）、公司帳務(wù)資料的篡改等，這類損失本易于計(jì)算。（2）物理資產(chǎn)的損壞:物理資產(chǎn)損壞的經(jīng)濟(jì)損失也很容易計(jì)算，可用更新或修復(fù)該物理資產(chǎn)的花費(fèi)來度量（3）業(yè)務(wù)影響:信息安全事件會(huì)對(duì)業(yè)務(wù)帶來很大的影響，如業(yè)務(wù)中斷，這方面的經(jīng)濟(jì)損失可通過以下方式來計(jì)算，先分析由于業(yè)務(wù)中斷，單位時(shí)間內(nèi)的經(jīng)濟(jì)損失，用“單位時(shí)間損失×修復(fù)所需時(shí)間＋修復(fù)代價(jià)”可將業(yè)務(wù)影響表示為經(jīng)濟(jì)損失，當(dāng)然單位時(shí)間內(nèi)的經(jīng)濟(jì)損失估計(jì)有時(shí)會(huì)有一定的難度。業(yè)務(wù)影響除包括業(yè)務(wù)中斷外，還有其他情況，如經(jīng)營業(yè)績影響、市場影響等，這些應(yīng)根據(jù)具體情況具體分析，定量分析存在困難。第九十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程影響分析

（4）法律責(zé)任;風(fēng)險(xiǎn)事件可能導(dǎo)致一定的法律責(zé)任，如由于安全故障導(dǎo)致機(jī)密信息的未授權(quán)發(fā)布、未能履行合同規(guī)定的義務(wù)或違反有關(guān)法律、規(guī)章制度的規(guī)定，這些可用由于應(yīng)承擔(dān)應(yīng)有的法律責(zé)任可能支付賠償金額來表示經(jīng)濟(jì)損失，當(dāng)然其中有很多不確定因素，實(shí)際應(yīng)用時(shí)可參考慣例、合同本身、有關(guān)法律法規(guī)的規(guī)定。（5）人員安全危害:風(fēng)險(xiǎn)事件可能對(duì)人員安全構(gòu)成危害，甚至危及到生命，這類損失很難用貨幣衡量（6）組織信譽(yù)、形象損失:風(fēng)險(xiǎn)事件可能導(dǎo)致組織信譽(yù)、形象受損，這類損失很難用直接的經(jīng)濟(jì)損失來估計(jì)，應(yīng)通過一定的方式計(jì)算潛在的經(jīng)濟(jì)損失，如由于信譽(yù)受損，可能導(dǎo)致市場份額損失、與外部關(guān)系受損等，市場份額損失可以轉(zhuǎn)化為經(jīng)濟(jì)損失，與外界各方關(guān)系的損失可通過分析關(guān)系重建的花費(fèi)、由于關(guān)系受損給業(yè)務(wù)開展帶來的額外花費(fèi)等因素來估計(jì)，另外專家估計(jì)也是一種可取的方法。第九十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（2）影響分析

由于風(fēng)險(xiǎn)事件對(duì)組織影響的多樣性，再有相關(guān)的數(shù)據(jù)也比較缺乏，風(fēng)險(xiǎn)事件對(duì)組織影響的定量分析還很不成熟，更多的是采用定性分析方法，根據(jù)經(jīng)驗(yàn)對(duì)安全事件的影響進(jìn)行等級(jí)劃分，如給出“極高、高、中、低、可忽略”等級(jí)。第九十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（2）影響分析

影響級(jí)別影響定義高3可引起重要系統(tǒng)的中斷，或連接客戶損失或商業(yè)信任損失中2能引起系統(tǒng)聲望的損害，或是對(duì)系統(tǒng)資源或服務(wù)的信任程度的降低，需要支付重要資源維修費(fèi)低1對(duì)系統(tǒng)有一些很小的影響，只須很小的努力就可恢復(fù)系統(tǒng)第一百頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（3）可能性分析總體說來，安全事件發(fā)生的可能性的因素有：資產(chǎn)吸引力、威脅出現(xiàn)的可能性、脆弱點(diǎn)的屬性、安全措施的效能等。根據(jù)威脅源的分類，引起安全事件發(fā)生的原因可能是自然災(zāi)害、環(huán)境及系統(tǒng)威脅、人員無意行為、人員故意行為等。不同類型的安全事件，其可能性影響因素也有點(diǎn)不同。第一百零一頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（3）可能性分析根據(jù)威脅出現(xiàn)頻率及脆弱性狀況，計(jì)算威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性，即：安全事件發(fā)生的可能性=L(威脅出現(xiàn)頻率，脆弱性)＝L(T，V)

目前，定量分析可能性要用到的數(shù)據(jù)貧乏，很難實(shí)現(xiàn)，多采用定性分析的方法。第一百零二頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程（3）可能性分析可能性級(jí)別可能性描述高3每個(gè)月或不到一個(gè)月可能發(fā)生一次中2每六個(gè)月或不到六個(gè)月可能發(fā)生一次低1每一年或不到一年可能發(fā)生一次第一百零三頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程評(píng)價(jià)風(fēng)險(xiǎn)有2個(gè)關(guān)鍵因素：一個(gè)是威脅對(duì)信息資產(chǎn)造成的影響（損失），另一個(gè)是威脅發(fā)生的可能性。第一百零四頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程風(fēng)險(xiǎn)等級(jí)等級(jí)標(biāo)識(shí)描述5極高一旦發(fā)生將產(chǎn)生非常嚴(yán)重的經(jīng)濟(jì)或社會(huì)影響，如組織信譽(yù)嚴(yán)重破壞、嚴(yán)重影響組織的正常經(jīng)營，經(jīng)濟(jì)損失重大、社會(huì)影響惡劣4高一旦發(fā)生將產(chǎn)生較大的經(jīng)濟(jì)或社會(huì)影響，在一定范圍內(nèi)給組織的經(jīng)營和組織信譽(yù)造成損害3中一旦發(fā)生會(huì)造成一定的經(jīng)濟(jì)、社會(huì)或生產(chǎn)經(jīng)營影響，但影響面和影響程度不大2低一旦發(fā)生造成的影響程度較低，一般僅限于組織內(nèi)部，通過一定手段很快能解決1很低一旦發(fā)生造成的影響幾乎不存在，通過簡單的措施就能彌補(bǔ)第一百零五頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程安全措施的選取

風(fēng)險(xiǎn)評(píng)估的目的不僅是獲取組織面臨的有關(guān)風(fēng)險(xiǎn)信息，更重要的是采取適當(dāng)?shù)拇胧踩L(fēng)險(xiǎn)控制在可接受的范圍內(nèi)。如前所述，安全措施可以降低安全事件造成的影響，也可以降低安全事件發(fā)生的可能性，在對(duì)組織面臨的安全風(fēng)險(xiǎn)有全面認(rèn)識(shí)后，應(yīng)根據(jù)風(fēng)險(xiǎn)的性質(zhì)選取合適的安全措施，并對(duì)對(duì)可能的殘余風(fēng)險(xiǎn)進(jìn)行分析，直到殘余風(fēng)險(xiǎn)為可接受風(fēng)險(xiǎn)為止。

第一百零六頁，共138頁。風(fēng)險(xiǎn)評(píng)估流程8.風(fēng)險(xiǎn)評(píng)估文件記錄

風(fēng)險(xiǎn)評(píng)估文件包括在整個(gè)風(fēng)險(xiǎn)評(píng)估過程中產(chǎn)生的評(píng)估過程文檔和評(píng)估結(jié)果文檔，這些文檔包括：(1)風(fēng)險(xiǎn)評(píng)估計(jì)劃(2)風(fēng)險(xiǎn)評(píng)估程序(3)資產(chǎn)識(shí)別清單(4)重要資產(chǎn)清單(5)威脅列表(6)脆弱點(diǎn)列表(7)已有安全措施確認(rèn)表(8)風(fēng)險(xiǎn)評(píng)估報(bào)告(9)風(fēng)險(xiǎn)處理計(jì)劃(10)風(fēng)險(xiǎn)評(píng)估記錄第一百零七頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法信息安全風(fēng)險(xiǎn)評(píng)估方法第一百零八頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法1概述

信息安全風(fēng)險(xiǎn)評(píng)估是通過采用一定的方法對(duì)組織面臨的風(fēng)險(xiǎn)進(jìn)行識(shí)別，并分析風(fēng)險(xiǎn)對(duì)組織帶來的影響以及其發(fā)生的可能性大小，然后通過一定的綜合評(píng)價(jià)方法來評(píng)估組織面臨的風(fēng)險(xiǎn)，并選取適當(dāng)?shù)拇胧﹣砜刂骑L(fēng)險(xiǎn)。風(fēng)險(xiǎn)評(píng)估的復(fù)雜性決定了風(fēng)險(xiǎn)評(píng)估方法的多樣性。

從理論上看，風(fēng)險(xiǎn)評(píng)估方法的理論基礎(chǔ)包括：概率風(fēng)險(xiǎn)分析方法、模糊決策方法、人工智能、定性推理方法、灰色決策理論、綜合評(píng)價(jià)方法等。從風(fēng)險(xiǎn)評(píng)估過程整體上看，風(fēng)險(xiǎn)評(píng)估方法有：基于資產(chǎn)驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、威脅驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、脆弱點(diǎn)驅(qū)動(dòng)的風(fēng)險(xiǎn)評(píng)估方法、基于案例的風(fēng)險(xiǎn)評(píng)估方法等。

從風(fēng)險(xiǎn)分析方法來看，風(fēng)險(xiǎn)評(píng)估方法可分為兩大類：定量方法與定性方法。

第一百零九頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法2信息安全風(fēng)險(xiǎn)評(píng)估理論基礎(chǔ)

（1）概率風(fēng)險(xiǎn)分析概率風(fēng)險(xiǎn)分析方法的思想是利用概率論方法來識(shí)別和分析風(fēng)險(xiǎn)，這類方法主要包括：故障樹分析法（FTA），故障模式影響和危害程度分析方法（FMECA），危害及可操作性研究分析方法（HazOp）和馬爾可夫（Markov）分析法。

（2）模糊決策方法

風(fēng)險(xiǎn)評(píng)估的對(duì)象以及信息系統(tǒng)的狀態(tài)具有不確定性，經(jīng)典的數(shù)學(xué)模型由于其精確性特點(diǎn)使得它很難很好的把握問題的實(shí)質(zhì)，模糊決策方法填補(bǔ)了這方面的不足。模糊決策理論不是把問題變成模糊不清的東西，相反，它具有數(shù)學(xué)的共性：條理分明、一絲不茍，它是通過規(guī)范化的理論體系來描述模糊的對(duì)象，使模糊對(duì)象能清晰的呈現(xiàn)在決策者面前，這是經(jīng)典的數(shù)學(xué)理論所不能做到的。第一百一十頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法（3）人工智能人工智能是20世紀(jì)中期產(chǎn)生的并正在迅速發(fā)展的新興邊緣學(xué)科,它是探索和模擬人的智能和思維過程的規(guī)律,并進(jìn)而設(shè)計(jì)出類似人的某些智能化的科學(xué)。信息系統(tǒng)狀態(tài)變化規(guī)律的復(fù)雜性決定了很難用一確定的數(shù)學(xué)模型來描述，應(yīng)綜合神經(jīng)網(wǎng)絡(luò)、智能推理，知識(shí)庫等多方面知識(shí)，建立一個(gè)具有自學(xué)習(xí)能力的專家系統(tǒng)，目前基于案例的風(fēng)險(xiǎn)評(píng)估方法就是這一理論的具體應(yīng)用。（4）灰色系統(tǒng)理論部分信息已知、部分信息未知的系統(tǒng)稱為灰色系統(tǒng)。灰色系統(tǒng)理論是研究和解決灰色系統(tǒng)分析、建模、預(yù)測和控制的理論。在信息世界，由于數(shù)據(jù)的短缺或事物本身的特性，很多現(xiàn)象是“灰色”的，其意義是指其中含有已知的、未知的與非確定的種種信息。第一百一十一頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法（5）綜合評(píng)價(jià)方法信息安全風(fēng)險(xiǎn)評(píng)估對(duì)象是多指標(biāo)的復(fù)雜系統(tǒng)，對(duì)于多指標(biāo)系統(tǒng)，評(píng)價(jià)指標(biāo)有多個(gè)，不同指標(biāo)有不同的量綱，多指標(biāo)系統(tǒng)的評(píng)價(jià)過程中必須解決以下兩個(gè)問題：其一是采用什么方法將不同量綱指標(biāo)無量綱化，其二是采用何種方式確定不同指標(biāo)的相對(duì)重要性，通常是引入權(quán)向量來描述。不同綜合評(píng)價(jià)方法有不同的處理方法，常用的綜合評(píng)價(jià)方法有綜合指數(shù)法、功效評(píng)分法、TOPSIS法、層次分析法、主成份分析法、聚類分析法等。

（1）綜合指數(shù)法是多指標(biāo)系統(tǒng)的一種評(píng)價(jià)方法。綜合指數(shù)法通過計(jì)算各評(píng)價(jià)對(duì)象對(duì)每個(gè)指標(biāo)折算指數(shù)值來實(shí)現(xiàn)不同指標(biāo)值的無量綱化，并通過加權(quán)平均方法計(jì)算綜合指數(shù)值，第一百一十二頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法

(2)功效評(píng)分法通過功效系數(shù)來實(shí)現(xiàn)不同指標(biāo)的無量綱化，然后在利用其他方法來確定功效權(quán)值，如均權(quán)法、層次分析法、離差權(quán)法等。(3)TOPSIS法第一百一十三頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法第一百一十四頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法(4)層次分析法是將決策問題的有關(guān)元素分解成目標(biāo)、準(zhǔn)則、方案等層次，在此基礎(chǔ)上進(jìn)行定量和定性分析的一種決策方法。層次分析法的決策過程如下：a)分析各影響因素間的關(guān)系，建立層次模型b)構(gòu)建兩兩比較判斷矩陣c)計(jì)算單個(gè)判斷矩陣對(duì)應(yīng)的權(quán)重向量d)計(jì)算各層元素對(duì)目標(biāo)層的合成權(quán)重向量(5)主成分分析是一種多元統(tǒng)計(jì)分析方法，對(duì)于多指標(biāo)的復(fù)雜評(píng)價(jià)系統(tǒng)，由于指標(biāo)多，數(shù)據(jù)處理相當(dāng)復(fù)雜，由于指標(biāo)之間存在一定的關(guān)系，可以適當(dāng)簡化。主成分分析的思想是通過一定的變換，用較少的指標(biāo)來代替原先較多的指標(biāo)，從而達(dá)到簡化問題的處理與分析的目的。(6)聚類分析法是解決“物以類聚”，解決事務(wù)分類的一種數(shù)學(xué)方法。它是在沒有或不用樣品所述類別信息的情況下，依據(jù)對(duì)樣品采集的數(shù)據(jù)的內(nèi)在結(jié)構(gòu)以及相互間的關(guān)系，在樣品間相似性度量的基礎(chǔ)上，對(duì)樣品進(jìn)行分類的一種方法。第一百一十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法3定量方法定量方法試圖用具體的貨幣表示形式的損失值來分析和度量風(fēng)險(xiǎn)，定量方法主要有基于期望損失的風(fēng)險(xiǎn)評(píng)估方法與基于期望損失效用的風(fēng)險(xiǎn)評(píng)估方法等。1．基于期望損失的風(fēng)險(xiǎn)評(píng)估方法類似的定義還有期望年損失ALE（AnnualLossExpectancy），它是以組織在目前安全狀態(tài)下平均年損失作為風(fēng)險(xiǎn)度量的標(biāo)準(zhǔn)。若風(fēng)險(xiǎn)事件E造成的相對(duì)損失為loss，其發(fā)生的可能性為L，loss和L均為取值在[0,1]區(qū)間定量值。若依據(jù)期望損失理論，將根據(jù)loss×L值大小劃分等級(jí)，等級(jí)劃分方法結(jié)果如圖2-9所示。

第一百一十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法2．基于期望損失效用的風(fēng)險(xiǎn)評(píng)估方法若經(jīng)過風(fēng)險(xiǎn)評(píng)估，風(fēng)險(xiǎn)事件E造成的相對(duì)損失為loss，其發(fā)生的可能性為L，loss和L均為取值在[0,1]區(qū)間定量值。建立風(fēng)險(xiǎn)等級(jí)劃分方法，結(jié)果見圖所示這種方法的好處就是能夠更好的區(qū)分“高損失、低可能性”及“低損失、高可能性”兩種不同安全事件的風(fēng)險(xiǎn)。第一百一十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法4定性方法定性方法不是給出具體的貨幣形式的損失，而是用諸如“極為嚴(yán)重、嚴(yán)重、一般、可忽略”等定性方法來度量風(fēng)險(xiǎn)。定性方法一般基于一定的定量方法，在定量方法的基礎(chǔ)上進(jìn)行裁剪和簡化。典型的定性風(fēng)險(xiǎn)分析與評(píng)價(jià)方法有風(fēng)險(xiǎn)矩陣測量、威脅分級(jí)法、風(fēng)險(xiǎn)綜合評(píng)價(jià)等。(1)風(fēng)險(xiǎn)矩陣測量這種方法的特點(diǎn)是事先建立資產(chǎn)價(jià)值、威脅等級(jí)和脆弱點(diǎn)等級(jí)的一個(gè)對(duì)應(yīng)矩陣，預(yù)先將風(fēng)險(xiǎn)等級(jí)進(jìn)行了確定。然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險(xiǎn)。(2)威脅分級(jí)法這種方法是直接考慮威脅、威脅導(dǎo)致的安全事件對(duì)資產(chǎn)產(chǎn)生的影響以及威脅導(dǎo)致安全事件發(fā)生的可能性來確定風(fēng)險(xiǎn)。(3)風(fēng)險(xiǎn)綜合評(píng)價(jià)這種方法中風(fēng)險(xiǎn)由威脅導(dǎo)致的安全事件發(fā)生的可能性、對(duì)資產(chǎn)的影響程度以及已經(jīng)存在的控制措施三個(gè)方面來確定。與風(fēng)險(xiǎn)矩陣法和威脅分級(jí)法不同，本方法將控制措施的采用引入風(fēng)險(xiǎn)的評(píng)價(jià)之中。第一百一十八頁，共138頁。風(fēng)險(xiǎn)計(jì)算方法1.風(fēng)險(xiǎn)矩陣測量法這種方法的特點(diǎn)是事先建立資產(chǎn)價(jià)值、威脅等級(jí)和脆弱點(diǎn)等級(jí)的一個(gè)對(duì)應(yīng)矩陣，預(yù)先將風(fēng)險(xiǎn)等級(jí)進(jìn)行了確定。然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險(xiǎn)。使用本方法需要首先確定資產(chǎn)、威脅和脆弱點(diǎn)的賦值，要完成這些賦值，需要組織內(nèi)部的管理人員、技術(shù)人員、后勤人員等方面的配合。資產(chǎn)風(fēng)險(xiǎn)判別矩陣如表3-9所示。對(duì)于每一資產(chǎn)的風(fēng)險(xiǎn)，都將考慮資產(chǎn)價(jià)值、威脅等級(jí)和脆弱點(diǎn)等級(jí)。例如，如果資產(chǎn)值為3，威脅等級(jí)為“高”，脆弱點(diǎn)為“低”。查表可知風(fēng)險(xiǎn)值為5。如果資產(chǎn)值為2，威脅為“低”，脆弱點(diǎn)為“高”，則風(fēng)險(xiǎn)值為4。由上表可以推知，風(fēng)險(xiǎn)矩陣會(huì)隨著資產(chǎn)值的增加、威脅等級(jí)的增加和脆弱點(diǎn)等級(jí)的增加而擴(kuò)大。第一百一十九頁，共138頁。風(fēng)險(xiǎn)計(jì)算方法威脅級(jí)別低中高脆弱點(diǎn)級(jí)別低中高低中高低中高00121232341123234345資產(chǎn)值223434545633454565674456567678風(fēng)險(xiǎn)第一百二十頁，共138頁。風(fēng)險(xiǎn)計(jì)算方法2.威脅分級(jí)計(jì)算法這種方法是直接考慮威脅、威脅導(dǎo)致的安全事件對(duì)資產(chǎn)產(chǎn)生的影響以及威脅導(dǎo)致安全事件發(fā)生的可能性來確定風(fēng)險(xiǎn)。使用這種方法時(shí)，首先確定威脅導(dǎo)致的安全事件對(duì)資產(chǎn)產(chǎn)生的影響，可用等級(jí)來表示。識(shí)別威脅的過程可以通過兩種方法完成。一是準(zhǔn)備威脅列表，讓系統(tǒng)所有者去選擇相應(yīng)資產(chǎn)的威脅，或由評(píng)估團(tuán)隊(duì)的人員識(shí)別相關(guān)的威脅，進(jìn)行分析和歸類。第一百二十一頁，共138頁。風(fēng)險(xiǎn)計(jì)算方法資產(chǎn)威脅描述影響（資產(chǎn)）值威脅發(fā)生可能性(c)風(fēng)險(xiǎn)測度風(fēng)險(xiǎn)等級(jí)劃分某個(gè)資產(chǎn)威脅A52102威脅B2483威脅C35151威脅D1335威脅E4144威脅F2483第一百二十二頁，共138頁。風(fēng)險(xiǎn)計(jì)算方法然后評(píng)價(jià)威脅導(dǎo)致安全事件發(fā)生的可能性。在確定影響值和可能性之后，計(jì)算風(fēng)險(xiǎn)值。風(fēng)險(xiǎn)的計(jì)算方法，可以是影響值與可能性之積，也可以是之和，或利用前面所述的效用函數(shù)來計(jì)算，具體算法由用戶來定。在本例中，將威脅的影響值確定為5個(gè)等級(jí)，威脅發(fā)生的可能性也確定為5個(gè)等級(jí)。而風(fēng)險(xiǎn)的測量采用以上兩值的乘積。在具體評(píng)估中，可以根據(jù)這種方法明確表示“資產(chǎn)——威脅——風(fēng)險(xiǎn)”的對(duì)應(yīng)關(guān)系。第一百二十三頁，共138頁。風(fēng)險(xiǎn)計(jì)算方法3風(fēng)險(xiǎn)綜合評(píng)價(jià)法這種方法中風(fēng)險(xiǎn)由威脅導(dǎo)致的安全事件發(fā)生的可能性、對(duì)資產(chǎn)的影響程度以及已經(jīng)存在的控制措施三個(gè)方面來確定。與風(fēng)險(xiǎn)矩陣法和威脅分級(jí)法不同，本方法將控制措施的采用引入風(fēng)險(xiǎn)的評(píng)價(jià)之中。在這種方法中，識(shí)別威脅的類型是很重要的。從資產(chǎn)的識(shí)別開始，接著識(shí)別威脅以及對(duì)應(yīng)安全事件發(fā)生的可能性。然后對(duì)威脅造成的影響進(jìn)行分析，在這里對(duì)威脅的影響進(jìn)行了分類型的考慮。比如對(duì)人員的影響、對(duì)財(cái)產(chǎn)的影響、對(duì)業(yè)務(wù)的影響。在考慮這些影響時(shí)，是在假定不存在控制措施的情況下的影響。將以上各值相加添入數(shù)值表中。比如，本例中將可能性分為5級(jí)：1—5；影響也分為5級(jí)：1—5。在可能性和影響確定后，計(jì)算總的影響值。本例中采用加法。方法也可由用戶在使用過程中確定。最后分析是否采用了能夠減小威脅的控制措施。這種控制措施包括從內(nèi)部建立的和從外部保障的，并確定它們的有效性，對(duì)其賦值。本例中將控制措施的有效性有小到大分為5個(gè)等級(jí)，1—5。在此基礎(chǔ)上再求出總值，即風(fēng)險(xiǎn)值，本例采用“影響值－控制措施賦值”來計(jì)算。第一百二十四頁，共138頁。風(fēng)險(xiǎn)計(jì)算方法威脅類型可能性對(duì)人的影響對(duì)財(cái)產(chǎn)的影響對(duì)業(yè)務(wù)的影響影響值已采用的控制措施風(fēng)險(xiǎn)度量內(nèi)部外部威脅A41128224第一百二十五頁，共138頁。風(fēng)險(xiǎn)評(píng)估方法—總結(jié)從理論上看，風(fēng)險(xiǎn)評(píng)估方法的理論基礎(chǔ)包括：概率風(fēng)險(xiǎn)分析方法、模糊決策方法、人工智能、定性推理方法、灰色決策理論、綜合評(píng)價(jià)方法等。從風(fēng)險(xiǎn)分析方法來看，風(fēng)險(xiǎn)評(píng)估方法可分為兩大類：定量方法與定性方法。定量方法主要有基于期望損失的風(fēng)險(xiǎn)評(píng)估方法與基于期望損失效用的風(fēng)險(xiǎn)評(píng)估方法等。定性風(fēng)險(xiǎn)分析與評(píng)價(jià)方法有風(fēng)險(xiǎn)矩陣測量、威脅分級(jí)法、風(fēng)險(xiǎn)綜合評(píng)價(jià)等。第一百二十六頁，共138頁。風(fēng)險(xiǎn)評(píng)估案例風(fēng)險(xiǎn)評(píng)估案例1案例介紹2資產(chǎn)識(shí)別與評(píng)估3威脅識(shí)別與評(píng)估4脆弱點(diǎn)識(shí)別與評(píng)估5風(fēng)險(xiǎn)分析與等級(jí)劃分6安全措施的選取第一百二十七頁，共138頁。風(fēng)險(xiǎn)評(píng)估案例1案例介紹多媒體教學(xué)系統(tǒng)是學(xué)校常用的信息系統(tǒng)，它為課堂教學(xué)提供信息化平臺(tái)。本節(jié)以多媒體教學(xué)系統(tǒng)這一簡單信息系統(tǒng)為例講述詳細(xì)風(fēng)險(xiǎn)評(píng)估的實(shí)施過程。對(duì)多媒體教學(xué)系統(tǒng)，其安全需求主要表現(xiàn)為系統(tǒng)的可用性，而完整性、機(jī)密性安全需求很低，通常不會(huì)涉及到，因而風(fēng)險(xiǎn)評(píng)估主要圍繞系統(tǒng)的可用性展開，風(fēng)險(xiǎn)評(píng)估的目的是通過分析系統(tǒng)面臨的影響系統(tǒng)可用性的安全風(fēng)險(xiǎn)，并選取相應(yīng)的安全措施降低風(fēng)險(xiǎn)。第一百二十八頁，共138頁。風(fēng)險(xiǎn)評(píng)估案例2資產(chǎn)識(shí)別與評(píng)估通過分析多媒體教學(xué)系統(tǒng)在硬件、軟件、信息、有關(guān)人員等方面的資產(chǎn)信息，并考察這些資產(chǎn)的價(jià)值以及對(duì)信息系統(tǒng)的關(guān)鍵程度。經(jīng)識(shí)別與分析后，有關(guān)資產(chǎn)及其關(guān)鍵程度如下表。資產(chǎn)類別名稱關(guān)鍵程度硬件多媒體電腦高4投影儀高4控制臺(tái)中3供電設(shè)備高4投影幕低2空調(diào)中3網(wǎng)絡(luò)電纜及接口低2軟件系統(tǒng)軟件中3課件播放軟件中3應(yīng)用軟件中3殺毒軟件低2信息多媒體課件低2演示程序低2人員課室管理人員中3技術(shù)支持人員中3安全保衛(wèi)人員低2第一百二十九頁，共138頁。風(fēng)險(xiǎn)評(píng)估案例3威脅識(shí)別與評(píng)估通過對(duì)上述各類資產(chǎn)面臨的主要安全威脅進(jìn)行分析，并依據(jù)其出現(xiàn)的可能性大小對(duì)各類威脅進(jìn)行評(píng)估，結(jié)果如下表所示。威脅類型威脅表現(xiàn)形式評(píng)估等級(jí)自然威脅地震、颶風(fēng)、火山、洪水、海嘯、泥石流、暴風(fēng)雪、雪崩、雷電等很低1環(huán)境威脅供電中