信息安全风险评估流程课件.ppt

信息安全风险评估流程,培训讲师：jindaly培训日期：2011.6,一、风险评估概述二、风险评估目的三、风险评估范围四、风险评估流程五、风险评估工作要点,一、风险评估概述,信息安全风险评估的概念在业内有多种说法，从国标评估指南对信息安全风险评估的表述中看出，评估涉及资产、威胁、脆弱性和风险四个主要因素。风险管理是辨别信息系统潜在的风险，对其进行评估，并采取措施将其降低到可接受的水平的过程，而风险评估是其中最重要的环节。,一、风险评估概述,信息安全风险评估是依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。信息安全风险评估从管理的角度，运用科学的方法和手段，系统分析网络与信息系统所面临的威胁及存在的脆弱性。评估安全事件一旦发生可能造成的危害程度，提出有针对性地抵御安全威胁的防护措施，为防范和化解信息安全风险，或将风险控制在可以接受的水平，最大限度地保障网络正常运行和信息安全提供科学依据。,二、风险评估目的,信息安全风险评估是加强信息安全保障体系建设和管理的关键环节，通过开展信息安全风险评估工作，可以发现信息系统存在的主要问题和矛盾，找到解决诸多关键问题的办法。信息安全风险评估旨在认清信息安全环境，信息安全状况，有助于达成共识，明确责任，采取和完善安全保障措施，使其更加经济有效，并使信息安全策略保持一致性和持续性。并为信息系统的建设和改造提供依据，帮助信息安全建设者正确判断系统存在风险与漏洞，并采取适当补救措施。风险评估可以科学地分析和理解信息系统在保密性、完整性、可用性等方面的工作，只有正确、全面地了解理解安全风险后才能决定如何处理安全风险，从而在信息安全的投资，信息安全措施的选择，信息安全保障体系的建设做出合理的决策。,三、风险评估范围,信息安全风险评估适用于在信息安全管理体系下的所有信息资产、网络及任何管理和维护这些系统的流程所做的一切风险评估。信息安全风险评估包括信息资产的风险识别、评估与管理，即信息系统网络、管理制度、使用或管理信息系统的相关人员以及由信息系统使用时产生的文档、数据等的风险识别、评估与管理。,四、风险评估流程,信息安全风险评估的典型过程主要分为风险评估准备、资产识别、威胁识别、脆弱性识别、已有安全措施确认和风险分析六个阶段。,风险评估准备资产识别威胁识别脆弱性识别已有安全措施确认风险分析,四、风险评估流程,该阶段的主要任务是制订评估工作计划，包括评估目标、评估范围、制订信息安全风险评估工作方案，并根据评估工作需要，组建评估团队，明确各方职责。在风险评估准备阶段，需要多次与被评估方磋商，了解被评估方关注的重点，明确风险评估的目标和范围，为整个风险评估工作提供向导。在确定评估范围和目标之后，根据被评估对象的网络规模、复杂度、特殊性，成立评估工作小组，明确各方人员组成及职责分工。建立评估团队后，由评估工作人员进行现场调研，由被评估方介绍网络构建情况，安全管理制度和采取的安全防护措施以及业务运行情况。评估工作小组根据调研情况撰写信息安全风险评估工作方案。,1.风险评估准备,四、风险评估流程,确定目标确定范围组建团队系统调研确定依据制定方案,1.风险评估准备,四、风险评估流程,做好风险评估准备阶段的相关工作之后，需要通过多种途径采集评估对象的资产信息，为风险评估后续各阶段的工作提供基本素材。机密性、完整性和可用性是评价资产的三个安全属性。风险评估中的资产价值不是以资产的经济价值来衡量，而是由资产在这三个安全属性上的达成程度或其安全属性未达成时所造成的影响程度来决定的。资产识别主要通过向被评估方发放资产调查表来完成。在识别资产时，以被评估方提供的资产清单为依据，对重要和关键资产进行标注，对评估范围内的资产详细分类，防止遗漏，划入风险评估范围和边界内的每一项资产都应经过仔细确认。,2.资产识别,四、风险评估流程,资产分类 资产分类方法：根据资产的表现形式，可将资产分为数据、软件、硬件、服务、人员等类型。在实际工作中，具体的资产分类方法可根据具体的评估对象和要求，由评估者灵活把握。资产赋值 根据资产在保密性、完整性、可用性上的不同要求，对资产进行保密性赋值、完整性赋值、可用性赋值。资产价值应依据资产在保密性、完整性、可用性上的赋值等级，经过综合评定得出。,2.资产识别,四、风险评估流程,在识别威胁时，应根据资产目前所处的环境条件和以前的记录情况来判断，威胁识别主要通过采集入侵检测系统（IDS）的报警信息、威胁问卷调查和对技术人员做顾问访谈的方式。为了确保收集到的威胁信息客观准确，威胁问卷调查的对象要覆盖被评估对象的领导层、技术主管、网络管理人员、系统管理人员、安全管理人员和普通员工等。顾问访谈要针对不同的访谈对象制订不同的访谈提纲。威胁识别的关键在于确认引发威胁的人或事物，威胁源可能是蓄意也可能是偶然的因素，通常包括人、系统和自然环境等。一项资产可能面临多个威胁，而一个威胁也可能对不同的资产造成影响。威胁识别完成后还应该对威胁发生的可能性进行评估，列出威胁清单，描述威胁属性，并对威胁出现的频率赋值。,3.威胁识别,四、风险评估流程,威胁分类 威胁可以通过威胁主体、资源、动机、途径等多种属性来描述，造成威胁的因素可分为人为因素和环境因素。在对威胁进行分类前，应考虑威胁的来源。威胁赋值 判断威胁出现的频率是威胁赋值的重要内容，评估者应根据经验和（或）有关统计数据来进行判断。,3.威胁识别,四、风险评估流程,脆弱性识别是风险评估工作过程中最为复杂、较难把握的环节，同时也是非常重要的环节，对评估工作小组成员的专业技术水平要求较高。脆弱性分为管理脆弱性和技术脆弱性。管理脆弱性调查主要通过发放管理脆弱性调查问卷、顾问访谈以及收集分析现有的管理制度来完成；技术脆弱性检测主要借助专业的脆弱性检测工具和对评估范围内的各种软硬件安全配置进行检查来识别。在工作过程中，应注意脆弱性识别的全面性，包括物理、网络、应用和管理等方面。为了分析脆弱性影响的严重程度，最好对关键资产的脆弱性进行深度检测和验证，比如关键服务的身份认证等。识别完成之后，还要对具体资产的脆弱性严重程度进行赋值。脆弱性严重程度可以等级化处理，不同等级分别表示资产脆弱性严重程度的高低。等级数值越大，脆弱性严重程度越高。,4.脆弱性识别,四、风险评估流程,脆弱性识别 脆弱性识别可以以资产为核心，针对每一项需要保护的资产,识别可能被威胁利用的弱点，并对脆弱性的严重程度进行评估；也可以从物理、网络、系统、应用等层次进行识别，然后与资产、威胁对应起来。脆弱性识别的依据可以是国际或国家安全标准，也可以是行业规范、应用流程的安全要求。对应用在不同环境中的相同的弱点，其脆弱性严重程度是不同的，评估者应从组织安全策略的角度考虑、判断资产的脆弱性及其严重程度。脆弱性识别包括两个方面，即技术脆弱性和管理脆弱性。脆弱性识别所采用的方法：问卷调查、工具检测、人工核查、文档查阅、渗透性测试等。脆弱性赋值 根据对资产的损害程度、技术实现的难易程度、弱点的流行程度，采用等级方式对已识别的脆弱性的严重程度进行赋值。,4.脆弱性识别,四、风险评估流程,安全措施的确认应评估其有效性，即是否真正地降低了系统的脆弱性，抵御了威胁。有效的安全控制措施，可以降低安全事件发生的可能性，也可以减轻安全事件造成的不良影响。对有效的安全措施继续保持，以避免不必要的工作和费用，防止安全措施的重复实施。对确认为不适当的安全措施应该核实是否应被取消或对其进行修正，或采用更合适的安全措施予以替代。因此，在进行安全风险分析计算之前，有必要识别目前已有的安全控制措施，包括安全控制措施的识别与确认、管理和操作控制措施的识别与确认。并对措施的有效性进行分析，为后续的风险分析提供参考依据。安全措施识别与确认，应由评估小组的安全控制措施识别小组、安全设备管理人员及安全设备厂家技术人员共同参与。,5.已有安全措施确认,四、风险评估流程,安全措施可分为预防性安全措施和保护性安全措施两种。预防性安全措施可以降低威胁利用脆弱性导致安全事件发生的可能性，如入侵检测系统；保护性安全措施可以减少因安全事件发生后对组织或系统造成的影响。,5.已有安全措施确认,四、风险评估流程,6.风险分析,安全事件的可能性,威胁识别,风险分析原理图,四、风险评估流程,6.风险分析,构成风险的要素主要有资产、威胁和脆弱性，在识别了这些要素之后，就可以确定存在什么风险。风险分析阶段需要完成的工作主要有3项：风险计算、形成风险评估报告和给出风险控制建议。风险计算是针对每一项信息资产、根据其自身存在的脆弱性列表、所面临的威胁列表，考虑资产自身在信息系统中的重要程度（资产赋值），依据风险计算公式，计算出该信息资产的风险值，最终形成风险列表。风险评估报告主要结合风险评估工作过程中采集到的中间数据，对信息系统中的安全风险进行定性和定量分析。风险控制建议主要由评估工作小组在对被评估对象的安全现状进行综合分析的基础上，有针对性地给出。风险只能被预防、避免、降低、转移或接受，而不可能完全消除。高风险和严重风险是不可接受的，必须选择实施相应的对策来消减。对于中等风险和低风险，可以选择接受，一般评估工作小组应针对被评估对象的中低风险给出风险控制建议。,四、风险评估流程,6.风险分析,风险计算原理 风险值=R(A,T,V)=R(L(T,V),F(La，Va)其中，R 表示安全风险计算函数；A表示资产；T表示威胁；V表示脆弱性；La 表示安全事件所作用的资产价值；Va 表示脆弱性严重程度；L 表示威胁利用资产的脆弱性导致安全事件发生的可能性；F表示安全事件发生后产生的损失。风险结果判断 为实现对风险的控制与管理，可以对风险评估的结果进行等级化处理。风险处理计划 对不可接受的风险应根据导致该风险的脆弱性制定风险处理计划。残余风险评估 在对于不可接受的风险选择适当安全措施后，为确保安全措施的有效性，可进行再评估，以判断实施安全措施后的残余风险是否已经降低到可接受的水平。,四、风险评估流程,风险评估文件记录,（1）风险评估方案：阐述风险评估的目标、范围、团队、评估方法、评估结果的形式和实施进度等；（2）风险评估程序：明确评估的目的、职责、过程、相关的文件要求，并且准备实施评估需要的文档；（3）资产识别清单：根据组织在风险评估程序文件中所确定的资产分类方法进行资产识别，形成资产识别清单，清单中应明确各资产的责任人/部门；（4）重要资产清单：根据资产识别和赋值的结果，形成重要资产列表，包括重要资产名称、描述、类型、重要程度、责任人/部门等；（5）威胁列表：根据威胁识别和赋值的结果，形成威胁列表，包括威胁名称、种类、来源、动机及出现的频率等；（6）脆弱性列表：根据脆弱性识别和赋值的结果，形成脆弱性列表，包括脆弱性名称、描述、类型及严重程度等；（7）已有安全措施确认表：根据已采取的安全措施确认的结果，形成已有安全措施确认表，包括已有安全措施名称、类型、功能描述及实施效果等；（8）风险评估报告：对整个风险评估过程和结果进行总结，详细说明被评估对象，风险评估方法，资产、威胁、脆弱性的识别结果，风险分析、风险统计和结论等内容；（9）风险处理计划：对评估结果中不可接受的风险制定风险处理计划，选择适当的控制目标及安全措施，明确责任、进度、资源，并通过对残余风险的评价确保所选择安全措施的有效性；（10）风险评估记录：根据组织的风险评估程序文件，记录对重要资产的风险评估过程。,五、风险评估工作的要点,第一，各级领导对评估工作的重视。风险评估工作只有得到各级领导的广泛认同和支持，才能顺利地开展并卓有成效地进行，获得客观、真实和有效的评估结果，作为今后信息安全建设的重要参考依据。第二，加强评估工作的组织和管理。信息安全风险评估工作启动后，应及时组建评估项目组，加强对整个评估工作的组织和管理。项目组主要包括项目领导小组、项目负责人和项目工作小组。,做好风险评估工作，特别要注意以下五方面的工作：,五、风险评估工作的要点,第三，注意评估过程中的风险控制。评估工作过程中所面临的风险，主要是敏感信息泄露和评估过程中的各种技术性评估带来的。规避敏感信息泄露风险，主要应该注意几点：参与评估的人员必须遵守国家有关信息安全的法律法规以及总行关于信息安全的相关管理规定，承担相应的义务和责任；被评估方应与参与评估的所有人员签订具有法律约束力的保密协议；评估过程中做好审核确认工作。对于规避技术性评估所带来的风险，例如进行漏洞扫描有时引起扫描对象宕机等，在制订各种技术性评估方案时，应当由被评估方和评估方共同审核确认，尽量避免采取可能造成不良影响的操作，最好事先经过测试。,五、风险评估工作的要点,第四，做好各方的协调配合工作。信息安全风险评估工作涉及信息系统的主管部门、建设单位或上级机关、运行维护部门、使用部门、安全管理部门和保密部门以及技术支持单位和产品或服务提供商。因此需要高层领导直接组织，需要被评估方和评估方的密切配合，相互支持。,五、风险评估工作的要点,第五，提供评估所必须的保障条件。在评估过程中，要考虑完成信息安全风险评估工作的相关保障条件，包括人员、时间和经费等。人员保障主要涉及完成风险评估工作的相关人员。评估工作小组的人员可以从被评估方的技术部门选派，也可选择国内可以信赖的第三方专业评估机构。特殊需要的专业技术人员可以根据评估工作的需要临时抽调。为了使评估结果真实、客观、有效，需要有一定的时间保障，尤其是评估准备阶段，需要花较长的时间精心准备。此外，风险评估还要有一定的经费支持，可能涉及咨询、技术服务、培训、管理、购置评估专用设备、购置工具和软件等费用。,THANKS,1、有时候，我们活得累，并非生活过于刻薄，而是我们太容易被外界的氛围所感染，被他人的情绪所左右。2、身材不好就去锻炼，没钱就努力去赚。别把窘境迁怒于别人，唯一可以抱怨的，只是不够努力的自己。3、大概是没有了当初那种毫无顾虑的勇气，才变成现在所谓成熟稳重的样子。4、世界上只有想不通的人，没有走不通的路。将帅的坚强意志，就像城市主要街道汇集点上的方尖碑一样，在军事艺术中占有十分突出的地位。5、世上最美好的事是：我已经长大，父母还未老;我有能力报答，父母仍然健康。6、没什么可怕的，大家都一样，在试探中不断前行。7、时间就像一张网，你撒在哪里，你的收获就在哪里。纽扣第一颗就扣错了，可你扣到最后一颗才发现。有些事一开始就是错的，可只有到最后才不得不承认。8、世上的事，只要肯用心去学，没有一件是太晚的。要始终保持敬畏之心，对阳光，对美，对痛楚。9、别再去抱怨身边人善变，多懂一些道理，明白一些事理，毕竟每个人都是越活越现实。10、山有封顶，还有彼岸，慢慢长途，终有回转，余味苦涩，终有回甘。11、人生就像是一个马尔可夫链，你的未来取决于你当下正在做的事，而无关于过去做完的事。12、女人，要么有美貌，要么有智慧，如果两者你都不占绝对优势，那你就选择善良。13、时间，抓住了就是黄金，虚度了就是流水。理想，努力了才叫梦想，放弃了那只是妄想。努力，虽然未必会收获，但放弃，就一定一无所获。14、一个人的知识，通过学习可以得到;一个人的成长，就必须通过磨练。若是自己没有尽力，就没有资格批评别人不用心。开口抱怨很容易，但是闭嘴努力的人更加值得尊敬。15、如果没有人为你遮风挡雨，那就学会自己披荆斩棘，面对一切，用倔强的骄傲，活出无人能及的精彩。16、成功的秘诀在于永不改变既定的目标。若不给自己设限，则人生中就没有限制你发挥的藩篱。幸福不会遗漏任何人，迟早有一天它会找到你。17、一个人只要强烈地坚持不懈地追求，他就能达到目的。你在希望中享受到的乐趣，比将来实际享受的乐趣要大得多。18、无论是对事还是对人，我们只需要做好自己的本分，不与过多人建立亲密的关系，也不要因为关系亲密便掏心掏肺，切莫交浅言深，应适可而止。19、大家常说一句话，认真你就输了，可是不认真的话，这辈子你就废了，自己的人生都不认真面对的话，那谁要认真对待你。20、没有收拾残局的能力，就别放纵善变的情绪。1、不是井里没有水，而是你挖的不够深。不是成功来得慢，而是你努力的不够多。2、孤单一人的时间使自己变得优秀，给来的人一个惊喜，也给自己一个好的交代。3、命运给你一个比别人低的起点是想告诉你，让你用你的一生去奋斗出一个绝地反击的故事，所以有什么理由不努力!4、心中没有过分的贪求，自然苦就少。口里不说多余的话，自然祸就少。腹内的食物能减少，自然病就少。思绪中没有过分欲，自然忧就少。大悲是无泪的，同样大悟无言。缘来尽量要惜，缘尽就放。人生本来就空，对人家笑笑，对自己笑笑，笑着看天下，看日出日落，花谢花开，岂不自在，哪里来的尘埃!5、心情就像衣服，脏了就拿去洗洗，晒晒，阳光自然就会蔓延开来。阳光那么好，何必自寻烦恼，过好每一个当下，一万个美丽的未来抵不过一个温暖的现在。6、无论你正遭遇着什么，你都要从落魄中站起来重振旗鼓，要继续保持热忱，要继续保持微笑，就像从未受伤过一样。7、生命的美丽，永远展现在她的进取之中;就像大树的美丽，是展现在它负势向上高耸入云的蓬勃生机中;像雄鹰的美丽，是展现在它搏风击雨如苍天之魂的翱翔中;像江河的美丽，是展现在它波涛汹涌一泻千里的奔流中。8、有些事，不可避免地发生，阴晴圆缺皆有规律，我们只能坦然地接受;有些事，只要你愿意努力，矢志不渝地付出，就能慢慢改变它的轨迹。9、与其埋怨世界，不如改变自己。管好自己的心，做好自己的事，比什么都强。人生无完美，曲折亦风景。别把失去看得过重，放弃是另一种拥有;不要经常艳羡他人，人做到了，心悟到了，相信属于你的风景就在下一个拐弯处。10、有些事想开了，你就会明白，在世上，你就是你，你痛痛你自己，你累累你自己，就算有人同情你，那又怎样，最后收拾残局的还是要靠你自己。11、人生的某些障碍，你是逃不掉的。与其费尽周折绕过去，不如勇敢地攀登，或许这会铸就你人生的高点。12、有些压力总是得自己扛过去，说出来就成了充满负能量的抱怨。寻求安慰也无济于事，还徒增了别人的烦恼。13、认识到我们的所见所闻都是假象，认识到此生都是虚幻，我们才能真正认识到佛法的真相。钱多了会压死你，你承受得了吗?带，带不走，放，放不下。时时刻刻发悲心，饶益众生为他人。14、梦想总是跑在我的前面。努力追寻它们，为了那一瞬间的同步，这就是动人的生命奇迹。15、懒惰不会让你一下子跌倒，但会在不知不觉中减少你的收获;勤奋也不会让你一夜成功，但会在不知不觉中积累你的成果。人生需要挑战，更需要坚持和勤奋!16、人生在世：可以缺钱，但不能缺德;可以失言，但不能失信;可以倒下，但不能跪下;可以求名，但不能盗名;可以低落，但不能堕落;可以放松，但不能放纵;可以虚荣，但不能虚伪;可以平凡，但不能平庸;可以浪漫，但不能浪荡;可以生气，但不能生事。17、人生没有笔直路，当你感到迷茫、失落时，找几部这种充满正能量的电影，坐下来静静欣赏，去发现生命中真正重要的东西。18、在人生的舞台上，当有人愿意在台下陪你度过无数个没有未来的夜时，你就更想展现精彩绝伦的自己。但愿每个被努力支撑的灵魂能吸引更多的人同行。19、积极的人在每一次忧患中都看到一个机会，而消极的人则在每个机会中看到了某种忧患。莫找借口失败，只找理由成功。20、每一个成就和长进，都蕴含着曾经受过的寂寞、洒过的汗水、流过的眼泪。许多时候不是看到希望才去坚持，而是坚持了才能看到希望。1、想要体面生活，又觉得打拼辛苦；想要健康身体，又无法坚持运动。人最失败的，莫过于对自己不负责任，连答应自己的事都办不到，又何必抱怨这个世界都和你作对？人生的道理很简单，你想要什么，就去付出足够的努力。2、时间是最公平的，活一天就拥有24小时，差别只是珍惜。你若不相信努力和时光，时光一定第一个辜负你。有梦想就立刻行动，因为现在过的每一天，都是余生中最年轻的一天。3、无论正在经历什么，都请不要轻言放弃，因为从来没有一种坚持会被辜负。谁的人生不是荆棘前行，生活从来不会一蹴而就，也不会永远安稳，只要努力，就能做独一无二平凡可贵的自己。4、努力本就是年轻人应有的状态，是件充实且美好的事，可一旦有了表演的成分，就会显得廉价，努力，不该是为了朋友圈多获得几个赞，不该是每次长篇赘述后的自我感动，它是一件平凡而自然而然的事，最佳的努力不过是：但行好事，莫问前程。愿努力，成就更好的你！5、付出努力却没能实现的梦想，爱了很久却没能在一起的人，活得用力却平淡寂寞的青春，遗憾是每一次小的挫折，它磨去最初柔软的心智、让我们懂得累积时间的力量；那些孤独沉寂的时光，让我们学会守候内心的平和与坚定。那些脆弱的不完美，都会在努力和坚持下，改变模样。6、人生中总会有一段艰难的路，需要自己独自走完，没人帮助，没人陪伴，不必畏惧，昂头走过去就是了，经历所有的挫折与磨难，你会发现，自己远比想象中要强大得多。多走弯路，才会找到捷径，经历也是人生，修炼一颗强大的内心，做更好的自己！7、“一定要成功”这种内在的推动力是我们生命中最神奇最有趣的东西。一个人要做成大事，绝不能缺少这种力量，因为这种力量能够驱动人不停地提高自己的能力。一个人只有先在心里肯定自己，相信自己，才能成就自己！8、人生的旅途中，最清晰的脚印，往往印在最泥泞的路上，所以，别畏惧暂时的困顿，即使无人鼓掌，也要全情投入，优雅坚持。真正改变命运的，并不是等来的机遇，而是我们的态度。9、这世上没有所谓的天才，也没有不劳而获的回报，你所看到的每个光鲜人物，其背后都付出了令人震惊的努力。请相信，你的潜力还远远没有爆发出来，不要给自己的人生设限，你自以为的极限，只是别人的起点。写给渴望突破瓶颈、实现快速跨越的你。10、生活中，有人给予帮助，那是幸运，没人给予帮助，那是命运。我们要学会在幸运青睐自己的时候学会感恩，在命运磨练自己的时候学会坚韧。这既是对自己的尊重，也是对自己的负责。11、失败不可怕，可怕的是从来没有努力过，还怡然自得地安慰自己，连一点点的懊悔都被麻木所掩盖下去。不能怕，没什么比自己背叛自己更可怕。12、跌倒了，一定要爬起来。不爬起来，别人会看不起你，你自己也会失去机会。在人前微笑，在人后落泪，可这是每个人都要学会的成长。13、要相信，这个世界上永远能够依靠的只有你自己。所以，管别人怎么看，坚持自己的坚持，直到坚持不下去为止。14、也许你想要的未来在别人眼里不值一提，也许你已经很努力了可还是有人不满意，也许你的理想离你的距离从来没有拉近过.但请你继续向前走，因为别人看不到你的努力，你却始终看得见自己。15、所有的辉煌和伟大，一定伴随着挫折和跌倒；所有的风光背后，一定都是一串串揉和着泪水和汗水的脚印。16、成功的反义词不是失败，而是从未行动。有一天你总会明白，遗憾比失败更让你难以面对。17、没有一件事情可以一下子把你打垮，也不会有一件事情可以让你一步登天，慢慢走，慢慢看，生命是一个慢慢累积的过程。18、努力也许不等于成功，可是那段追逐梦想的努力，会让你找到一个更好的自己，一个沉默努力充实安静的自己。19、你相信梦想，梦想才会相信你。有一种落差是，你配不上自己的野心，也辜负了所受的苦难。20、生活不会按你想要的方式进行，它会给你一段时间，让你孤独、迷茫又沉默忧郁。但如果靠这段时间跟自己独处，多看一本书，去做可以做的事，放下过去的人，等你度过低潮，那些独处的时光必定能照亮你的路，也是这些不堪陪你成熟。所以，现在没那么糟，看似生活对你的亏欠，其实都是祝愿。,