网络安全培训-风险相关概念.docx
网络安全风险评估风险相关基础概念2011年Ol月风险相关基础概念风险，指事态的概率及其结果的组合（GB/Z24364-2009信息安全风险管理指南）信息安全风险，指人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响（GB/T20984-2007信息安全风险评估规范）信息安全风险会破坏组织信息资产的保密性、完整性或可用性等属性风险相关基础概念信息安全，就是保证信息的机密性、完整性和可用性。机密性：确保信息不被非授权的个人、组织和计算机程序使用完整性：确保信息没有被篡改和破坏完整性 (Integrity)可用性 (Availability)可用性：确保拥有授权的用户或程序可以及时、正常使用信息CIA三元组是信息安全的目标，也是基本原则，与之相反的是DAD三元组:ureIteration破坏Destruction风险的构成风险的构成包括五个方面：起源（威胁源）、方式（威胁行为）、途径（脆弱性）、受体（资产）和后果（影响）- 业务战略- 安全事件安全需求- 风险准则风险评估风险处理- 风险管理- 残余风险(ResidentalRisk)信息安全风险评估风险相关术语资产(ASSet)威胁(Threat)脆弱性(VunerabiIity)可能性(Likelihood,Probability)安全措施/控制措施(Countermeasure,safeguard,control)资产资产是任何对组织有价值的东西，是要保护的对象*资产以多种形式春在（多种分类比去）物理的（如计算设备、网络设备和存储介质等）和逻辑的（如体系结构、通信协议、计算程序和数据文件等）硬件的（如计算机主板、机箱、显示器、键盘和鼠标等）和软件的（如操作系统软件、数据库管理软件、工具软件和应用软件等）有形的（如机房、设备和人员等）和无形的（如品牌、信心和名誉等）静态的（如设施和规程等）和动态的（如人员和过程等）技术的（如计算机硬件、软件和固件等）和管理的（如业务目标、战略、策略、规程、过程、计划和人员等）等威胁:可能导致对系统或组织危害的不希望事故潜在起因:引起风险的外因威胁源采取恰当的威胁方式才可能引发风险威胁举例操作失误漏洞利用滥用授权拒绝服务 行为抵赖窃取数据 身份假冒,物理破坏口令攻击社会工程 密钥分析脆弱性;喔需贸瞿啕普雷产或若干资产的薄弱环节*脆弱性本身并不对资产构成危害，但是在一定条件得到满足时，系统程序代码缺陷系统设备安全配置错误系统操作流程有缺陷维护人员安全意识不足恰当的威胁方式对信息资产造成危害可能性:某件事发生的机会:摩物源利用脆弱性造成不良后果的机会脆弱性只有国家级测试人员采用专业工具才能利用，发生不良后果的机会很小系统存在漏洞，但只在与互联网物理隔离的局域网运行，发生不良后果的机会较小互联网公开漏洞且有相应的测试工具，发生不良后果的机会很大影响:指.脉胁源利用脆弱性造成不良后果的程度大小网站被黑客控制，国家级网站比省市网站的名誉损失大很多。银行门户网站和内部核心系统受到攻击，其核心系统的损失更大。同样型号路由器被攻破，用于互联网骨干路由要比企业内部系统的路由器损失更大。风险威胁源采用某种威胁方式利用脆弱性造成不良后果的可能性网站存在SQL注入漏洞,普通攻击者利用自动化攻击工具很容易控制网站，修改网站内容，从而损害国家政府部门声誉对信息安全风险的理解*伊,赛制&I喙曩指一种特定的威胁利用一种或一组脆弱性造成组织的信息相关资产损失或损害的可能性信舄案金风险是指信息资产的保密性、完整性和可用性遭到械球的可能性'信息安全风险只考虑那些对组织有负面影响的事件小风险的五方面威胁源、威胁行为、脆弱性、资产、影响安全措施/控制措施里望聚痒的鞠威段发减少脆弱性，降低打击信息犯罪而实施的各种实践、规程和机制，它是管理风险的具体手段和方法:根据盘全需求部署，用来防范威胁，降低风险的措施部署防火墙、入侵检测、审计系统测试环节操作审批环节应急体系终端U盘管理制度风险术语之间的关系PaBeI6信息安全风险评估:是依据有关信息安全技术与管理标准，对信息系统及由其处理、传输禾口存储的信息的保密性'完整性和可用性等安全属性进行评价的过程'它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响风险处理、风险管理'风险处理是选择并且执行措施来更改风险的过程*风险管理是识别、控制、消除或最小化可能影响系统资源不确定因素的过程风险评估VS风险管理风险管理风险评估目标将风险降低到可接受水平确定面临的风险并确定其优先级周期包括风险评估、风险决策、风险控制等所有阶段风险管理中的单个阶段计划持续(PDCA)按需要残余风险*采取了安全措施后，信息系统仍然可能存在的风险'有些残余风险是在综合考虑了安全成本与效益后不去控制的风险.残余风险应受到密切监视，它可能会在将来诱发新的安全事件。举例风险列表中有10项风险，根据风险成本效益分析，只有前8项需要控制，则前8项处理后剩余的风险加上另2项风险为残余风险，一段时间内系统处于风险可接受水平风险相关要素之间的关系依赖未被满足资产价值有确定成本风险,一导出全需求-一-一抵御降低残余风险一未控制一I安全措施
