信息安全风险评估实施流程.ppt

1、第5章 信息安全风险评估实施流程,5.1 风险评估的准备 5.2 资产识别 5.3 脆弱性识别 5.4 已有安全措施确认5.5 风险分析5.6 风险处理计划5.7 风险评估文件记录5.8 本章作业,信息安全风险评估实施流程 信息安全风险评估是从风险管理角度，运用科学的方法和手段，系统地分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，为防范和化解信息安全风险，或者将风险控制在可以接受的水平，制定针对性的抵御威胁的防护对策和整改措施以最大限度地保障网络和信息安全提供科学依据。,在信息化建设中，各类应用系统及其赖以运用的基础网络、处理的数据和信息是业务实现的保

2、障，由于其可能存在软硬件设备缺陷、系统集成缺陷等，以及信息安全管理中潜在的薄弱环节，都将导致不同程度的安全风险。,信息安全风险评估可以不断地、深入地发现信息系统建设、运行、管理中的安全隐患，并为增强安全性提供有效建议，以便采取更加经济、更加有力的安全保障措施，提高信息安全的科学管理水平，进而全面提升网络与信息系统的安全保障能力。 信息安全风险评估在具体实施中一般包括风险评估的准备活动，对信息系统资产安全、面临威、存在脆弱性的识别，对已经采取安全措施的确认，对可能存在的信息安全风险的识别等环节。,5.1 风险评估的准备 风险评估的准备是实施风险评估的前提，只有有效地进行了信息安全风险评估准备，才

3、能更好地开展信息安全风险评估。由于实施信息安全风险评估，涉及组织的业务流程、信息安全需求、信息系统规模、信息系统结构等多方面内容，因此开展信息安全风险评估的准备活动，通过确定目标、进行调研、获得组织高层管理者对评估的支持等，对有效实施风险评估是十分必要的。,信息安全评估的准备活动包括 1. 确定风险评估的目标 2. 确定风险评估的范围 3. 组建风险评估管理团队和评估实施团队 4. 进行系统调研 5. 确定评估依据和方法 6. 获得最高管理者对风险评估工作的支持,5.1.1 确定风险评估的目标 首先需要确定风险评估的目标，信息安全需求是一个组织为保证其业务正常、有效运转而必须达到的信息安全要求

4、，通过分析组织必须符合的相关法律法规、组织在业务流程中对信息安全等的机密性、可用性、完整性等方面的需求，来确定风险评估的目标。,5.1.2 确定风险评估的范围 在风险评估前，需要确定风险评估的范围。风险评估的范围，包括组织内部与信息处理相关的各类软硬件资产、相关的管理机构和人员、所处理的信息等各方面。 实施一次风险评估的范围可大可小，需要根据具体评估需求确定，可以对组织全部的信息系统进行评估，也可以仅对关键业务流程进行评估，也可以对组织的关键部门的信息系统进行评估等。,5.1.3 组建评估管理团队和评估实施团队 在确定风险评估的目标、范围后，需要组建风险评估实施团队，具体执行组织的风险评估。由

5、于风险评估涉及组织管理、业务、信息资产等各个方面，因此风险评估团队中除了信息安全评估人员的参与，以便更好地了解组织信息安全状况，以利于风险评估的实施。,5.1.4 进行系统调研 在确定了风险评估的目标、范围、团队后，要进行系统调研，并根据系统调研的结果决定评估将采用的评估方法等技术手段。系统调研内容包括：,1. 组织业务战略2. 组织管理制度3. 组织主要业务功能和要求4. 网络结构、网络环境（包括内部连接和外部连接）5. 网络系统边界6. 主要的硬、软件7. 数据和信息8. 系统和数据的敏感性9. 系统使用人员10. 其他系统调研方法可以采用问卷调查、现场访谈等方法进行。,5.1.5 确定评

6、估依据和方法 以系统调研结果为依据，根据被评估信息系统的具体情况，确定风险评估依据和方法。 评估依据包括吸纳有国际或国家有关信息安全标准、组织的行业主管机关的业务系统的要求和制度、组织的信息系统互连单位的安全要求、组织的信息系统本身的实时性或性能要求等。 根据评估依据，并综合考虑评估的目的、范围时间效果评估人员素质等因素，选择具体的风险计算方法，并依据组织业务实施对系统安全运行的需求，确定相关的评估判断依据，使之能够与组织环境和安全要求相适应。,5.1.6 获得支持 就以上内容形成较为完整的风险评估实施方案，并报组织最高管理者批准，以获得其对风险评估方案的支持，同时在组织范围就风险评估相关内容

7、对管理者和技术人员进行培训，以明确有关人员在风险评估中的任务。,5.2 资产识别5.2.1 资产分类 风险评估需要对资产的价值进行识别，因为价值不同将导致风险值不同。 而风险评估中资产的价值不是以资产的经济价值来衡量，而是以资产的机密性、完整性、和可用性三个方面属性为基础进行衡量。 资产在机密性、完整性和可用性三个属性上的要求不同 ，则资产的最终价值也不同。,在一个组织中，资产有多种表现形式，同样的两个资产也因属于不同的信息系统而重要性不同。首先需要将信息系统及相关的资产进行恰当的分类，以此为基础进行下一步的风险评估。在实际工作中，具体的资产分类方法可以根据具体的评估对象和要求，由评估者灵活把

8、握。根据资产的表现形式，可以将资产分为数据、软件、硬件、文档、服务、人员等类型。表5-1列出了一种资产的分类方法。,表5-1 一种基于表现形式的资产分类方法,表5-1 一种基于表现形式的资产分类方法,5.2.2 资产赋值 对资产的赋值不仅要考虑资产的经济价值，更重要的是要考虑资产的安全状况，即资产的机密性、完整性和可用性，对组织信息安全性的影响程度。 资产赋值的过程也就是对资产在机密性,完整性和可用性上的要求进行分析，并在此基础上得出综合结果的过程。 资产对机密性、完整性和可用性上的要求可由安全属性缺失时造成的影响来表示，这种影响可能造成某些资产的损害以至危及信息系统，还可能导致经济效益、市场

9、份额、组织形象的损失。,1. 机密性赋值 根据资产在机密性上的不同要求，将其分为5个不同的等级，分别对应资产在机密性缺失时对整个组织的影响。表5-2提供了一种机密性赋值的参考。,表5-2 资产机密性赋值表,2. 完整性赋值 根据资产在完整性上的不同要求，将其分为5个不同的等级，分别对应资产在完整性商缺失时对整个组织的影响。表5-3提供了一种完整性赋值的参考。,表5-3 资产完整性赋值表,3. 可用性赋值 根据资产在可用性上的不同要求，将其分为5个不同的等级，分别对应资产在可用性上缺失时对整个组织的影响。表1-4提供了一种可用性赋值的参考。,表5- 4 资产可用性赋值表,4. 资产重要性等级 资

10、产价值应依据资产在机密性、完整性和可用性上的赋值等级，经过综合评定得出。综合评定方法可以选择对资产机密性、完整性和可用性最为重要的一个属性的赋值等级作为资产的最终赋值结果；也可以根据资产机密性、完整性和可用性的不同等级对其赋值进行加权计算得到资产的最终赋值结果。加权方法可根据组织的业务特点确定。这里为与上述安全属性的赋值相对应，根据最终赋值资产划分为5级，级别越高表示资产越重要，也可以根据组织的实际情况确定资产识别中的赋值依据和等级。表5-5中的资产等级划分表明了不同等级的重要性的综合描述。评估者可根据资产赋值结果，确定重要资产的范围，并围绕重要资产进行下一步的风险评估。,表5- 5 资产等级

11、及含义描述,5.3 威胁识别5.3.1 威胁分类 信息安全威胁可以通过威胁主体、资源、动机、途径等多种属性来描述。 造成威胁的因素可分为人为因素和环境因素。 根据威胁的动机，人为因素又可分为恶意和非恶意两种。 环境因素包括自然界不可抗力的因素和其他物理因素。威胁作用形式可以是对信息系统直接或间接的攻击，也可能是偶发的或蓄意的安全事件，都会在信息的机密性、完整性或可用性等方面造成损害。在对威胁进行分类前，应考虑威胁的来源。表1-6提供了一种威胁来源的分类方法。,表5- 6 威胁来源列表,5.3 威胁识别对威胁进行分类的方式有多种，针对表5-6的威胁来源，可以根据其表现形式进行威胁分类。表5-7提

12、供了一种基于表现形式的威胁分类方法。,表5- 7 一种基于表现形式的威胁分类表,表5- 7 一种基于表现形式的威胁分类表,表5- 7 一种基于表现形式的威胁分类表,5.3 威胁识别5.3.2 威胁赋值 威胁出现的频率是衡量威胁严重程度的重要要素，因此威胁识别后需要对威胁频率进行赋值，已带入最后的风险计算中。 评估者应根据经验和（或）有关的统计数据来对威胁频率进行赋值，威胁赋值中需要综合考虑以下三个方面因素。,5.3 威胁识别5.3.2 威胁赋值1） 以往安全事件报告中出现过的威胁及其频率的统计2） 实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计；3） 近年来国际组织发布的对与整个社

13、会或特定的行业的威胁及其频率统计，以及发布的威胁预警。 可以对威胁出现的频率进行等级化处理，不同等级分别代表威胁出现的频率的高低。等级数值越大，威胁出现的频率越高。,表5- 8 威胁赋值表,表5-8 提供了威胁出现频率的一种赋值方法。在实际的评估中，威胁频率的判断应根据历史统计或行业判断，在评估准备阶段确定，并得到被评估方的认可。,5.4 脆弱性识别 脆弱性是资产本身存在的， 如果没有被相应的威胁利用，单纯的脆弱性本身不会对资产造成损害。而且如果系统足够强健，严重的威胁也不会导致安全事件发生进而带来损失。即，威胁总是要利用资产的脆弱性才可能造成危害。,资产的脆弱性具有隐蔽性，有些脆弱性只有在一

14、定条件下和环境下才能显现，这是脆弱性识别中最为困难的部分。不正确的，起不到应有作用的或没有正确实施安全措施本身就可能存在脆弱性。,脆弱性识别是风险评估中最重要的一个环节。脆弱性识别可以以资产为核心，针对每一项需要保护的资产，识别可能被威胁利用的弱点，并对脆弱的严重程度进行评估，也可以从物理、网络、系统、应用等层次进行识别，然后与资产、威胁对应起来。 脆弱识别的依据可以是国际国家安全标准，也可以是行业规范、应用流程的安全要求。,对应用在不同的环境中的相同弱点，其脆弱性严重程度是不同的，评估者应从组织安全策略的角度考虑、判断资产的脆弱性及其严重程度。,信息系统所采用的协议、应用流程的完备与否、与其

15、他网络的互联等也应考虑在内。 脆弱性识别时的数据应来自于资产的所有者、使用者，以及相关业务领域和软硬件方面的专业人员等。脆弱性识别所采用的方法主要有：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。,脆弱性识别主要从技术和管理两个方面进行， 技术脆弱性涉及物理层、网络层、系统层、应用层等各个层面的安全问题。 管理脆弱性又可分为技术管理脆弱性和组织管理脆弱性两方面，前者与具体技术活动相关，后者与管理环境相关。,对不同的识别对象，其脆弱性识别的具体要求应参照相应的技术或管理标准实施 例如，对物理环境的脆弱性识别可以参照GB/T 9361-2000计算机场地安全要求中的技术指标实施； 对操作系

16、统、数据库可以参照GB 17859-1999计算机信息系统安全保护等级划分准则中的技术指标 实施管理脆弱性识别方面可以参照GB/T 19716-2005信息技术信息安全管理实用规则的要求对安全管理制度及及执行情况进行检查，发现管理漏洞和不足。表5提供一种脆弱性识别内容的参考。,表5- 9 脆弱性识别内容表,5.4.2脆弱性赋值 可以根据对资产的损害程度、技术实现的难易程度、弱点的程度，采用等级方式对已识别的脆弱性的严重进行赋值。由于很多弱点反映的是一方面的问题，或可能造成相似的后果，赋值时应综合考虑这些弱点，以确定这一方面脆弱性的严重程度。 对某个资产，其技术脆弱性的严重程度还受到组织管理脆弱

17、性的影响。因此，资产的脆弱赋值还应参考技术管理和组织管理脆弱性的严重程度。,脆弱性严重程度可以进行等级化管理，不同的等级分别代表资产脆弱性的严重程度高低。等级数值越大，脆弱性严重程度越高。表5-10提供了脆弱性严重程度的一种赋值方法。,表5- 10 脆弱性严重程度赋值表,5.5 已有安全措施确认 安全措施可以分为预防性安全措施和保护性安全措施两种。 预防性安全措施可以降低威胁利用脆弱性导致安全事件发生的可能性，如:入侵检测系统； 保护性安全措施可以减少因安全事件发生后对组织或系统造成的影响。,在识别脆弱性的同时，评估人员应对已采取的安全措施的有效性进行检查，检查安全措施是否有效发挥了作用，即是

18、否真正降低了系统的脆弱性，抵御了威胁。 对于已经有效地发挥了其作用的安全措施，应继续保持，而不用重复建设安全措施； 对于不适当的安全措施，用对其进行改进，或采用更合适的安全措施替代。,已有安全措施确认与脆弱性识别存在一定的联系。一般来说，安全措施的使用将减少系统技术或管理上的弱点，但安全措施确认并不需要 和脆弱性识别过程那样具体到每个资产、组件的弱点，而是一类具体措施的集合，为风险处理计划的制定提供依据和参考。,5.6 风险分析5.6.1 风险计算原理风险定义为威胁利用脆弱性导致安全事件发生的可能性。在完成了资产识别、威胁识别、脆弱性识别，以及对已有安全措施确认后，将采用适当的方法与工具进行安

19、全风险分析和计算，下面使用的范式形式化说明风险计算原理：,风险值=R=（A,T,V） =R(L(T,V),F(Ia,Va) 其中：R表示安全风险计算函数，A表示资产(Asset)，T表示威胁出现频率(Threat)，V表示脆弱性(Vulnerability)， Ia表示安全事件所作用的资产价值，Va表示脆弱性严重程度， L表示威胁利用资产的脆弱性导致安全事件发生的可能性，F表示安全事件发生后产生的损失。,在风险计算中有以下三个关键计算环节：1. 计算安全事件发生的可能性 根据威胁出现频率及弱点的状况，计算威胁利用脆弱性导致安全事件发生的可能性，即：安全事件发生的可能性=L（威胁出现频率，脆弱性

20、） =(L,V) 在具体评估中，应综合攻击者技术能力（专业技术程度、攻击设备等）、脆弱性被利用的难易程度（可访问时间、设计和操作知识公开程度等）、资产吸引力等因素来判断安全事件发生的可能性。,2. 计算安全事件发生后的损失 根据资产价值及脆弱性严重程度，计算安全事件一旦发生后的损失，即：安全事件的损失=F（资产价值，脆弱性严重程度） = F(Ia,Va) 部分安全事件的发生造成的损失不仅仅是针对该资产本身，还可能影响业务的连续性；不同安全事件的发生对组织造成的影响也是不一样的。在计算某个安全事件的损失，应将对组织的影响也考虑在内。,部分安全事件损失的判断还应参照安全事件发生的可能性的结果，对发

21、生可能性极少的安全事件，如:处于非地震带的地震威胁、在采取完备供电措施状况下的电力故障威胁等，可以不计算其损失。,3. 计算风险值 根据计算出的安全事件发生的可能性以及安全事件的损失，计算风险值，即：风险值=R（安全事件发生的可能性，安全事件的损失） =R(L(T,V),F(Ia,Va),评估者可根据自身情况选择相应的风险计算方法计算出风险值，如矩阵法或相乘法。 矩阵法通过构造一个二维矩阵，形成安全事件发生的可能性与安全事件的损失之间的二维关系； 相乘法通过构造经验函数，将安全事件发生的可能性与安全事件的损失进行运算得到风险值。,5.6.2 风险结果判定 为实现对风险的控制与管理，可以对风险评

22、估的结果进行等级化处理。可以将风险划分为一定的级别，如划分为5级或3级。等级越高，风险越高。 评估者应根据采用的风险计算方法，计算每种资产面临的危险值，根据风险值的分布状况，为每个等级设定风险值范围，并对所有风险计算结果进行等级处理。每个等级代表了相应风险的严重程度。,表5-11 提供了一种风险等级划分方法。,风险等级划分是为了在风险管理过程中对不同风险进行直观的比较，以确定组织安全策略。 组织应当综合考虑风险控制成本与风险造成的影响，提出一个可接受的风险范围。 对某些资产的风险，如果风险计算值在可接受的范围内，则该风险是可接受的风险，应保持已有的安全措施； 如果风险评估值在可接受的范围外，即

23、风险计算值高于可接受范围的上限值，是可接受的风险，需要采取安全措施以降低、控制风险。,5.6.3 风险处理计划 对不可接受的风险应根据导致该风险的脆弱性制定风险处理计划。 风险处理计划中应明确指出采取的弥补弱点的安全措施、预期效果、实施条件、进度安排、责任部门等。 安全措施的选择应从管理与技术两个方面考虑，管理措施可以作为技术措施的补充。安全措施的选择与实施应参照信息安全的相关标准进行。,在对于不可接受的风险选择适当安全措施后，为确保安全措施的有效性，可进行再评估，以判断实施安全措施后的残余风险是否已经降低到可接受的水平。 残余风险的评估可以依据本标准提出的风险评估流程实施，也可以适当裁减。一

24、般来说，安全措施的实施是以减少脆弱性或降低安全事件发生可能性为目标的，因此，残余风险的评估可以从脆弱性评估开始，在对照安全措施实施前后的脆弱性状况后，再次计算风险值的大小。 某些风险可能在选择了适当的安全措施后，残余风险的结果仍处于不可接受的风险范围内，应考虑是否接受此风险或进一步增加相应的安全措施。,5.7 风险评估文件记录5.7.1 风险评估文件记录的要求记录风险评估过程中的相关文件，应符合以下要求（但不仅限于此）：1. 确保文件发布前是得到批准的；2. 确保文件的更改和现行修订状态是可识别的；3. 确保文件的分发得到适当的控制，并确保在使用时可获得有关版本的使用文件；4. 防止作废文件的

25、非预期使用，若因某种目的需保留作废文件时，应对这些文件进行适当的标识。,对于风险评估过程中形成的相关文件，还应规定其标识、储存、保护、检索、保存期限以及处置所需的控制。 相关文件是否需要以及文件的详略程度与组织的管理者来决定。,5.7.2 风险评估文件 是指在整个风险评估过程中产生的评估过程文档和评估结果文档，包括（但不仅限于此）；（1）风险评估方案 阐述风险评估的目标、范围、人员、评估方法、评估结果的形式和实施进度等。（2）风险评估程序 明确评估的目的、职责、过程、相关的文件要求，以及实施本次评估所需的各种资产、威胁、脆弱性识别和判断依据。 (3) 资产识别清单 根据组织在风险评估程序文件中

26、所确定的资产分类方法进行资产识别，形成资产识别清单，明确资产是责任人/部门。,（4）重要资产清单 根据资产识别和赋值的结果，形成重要资产列表，包括重要资产名称、描述、类型、重要程度、责任人/部门等。（5）威胁列表 根据威胁识别和赋值的结果，形成威胁列表，包括威胁名称、种类、来源、动机及出现的频率等（6）脆弱性列表 根据脆弱性识别和赋值的结果，形成脆弱性列表，包括具体弱点的名称、描述、类型及严重程度等。（7）已有安全措施的确认表 根据对已采取的安全措施确认的结果，形成已有安全措施确认表，包括已有安全措施名称、类型、功能描述及实施效果等。,（8）风险评估报告 对整个风险评估过程和结果进行总结，详细

27、说明被评估对象、风险评估方法、资产、威胁、脆弱性的识别结果、风险计划、风险统计和结论等内容。（9）风险处理计划 对评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评估以确定所选择安全措施的有效性。（10）风险评估记录 根据风险评估程序，要求风险评估过程中的各种现场记录可复现评估过程，并作为产生歧义后解决问题的依据。,作业6: 信息安全风险评估 调查表1.作业完成日期:3/23-4/6日 2.作业分值:15分3.要求:所调查的企业信息真实可靠,会打电话核对, 如果发现不符合,作业记0分.4. 不得雷同, 否则均记0分,作业7: 信息安全风险评估实践 (1)作业完成时间： 3/23 -4/13 （2周）(2)作业不得雷同，否则均记0分。(3)本次作业计算平时30分，约占总分的20分，请认真对待要求所调查企业信息真实. 如果企业过大，可仅作一个部门或网络中心的信息安全评估。,