風(fēng)險(xiǎn)評(píng)估:
信息安全風(fēng)險(xiǎn)評(píng)估是參照風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)和管理規(guī)范,對(duì)信息系統(tǒng)的資產(chǎn)價(jià)值、潛在威脅、薄弱環(huán)節(jié)、已采取的防護(hù)措施等進(jìn)行分析,判斷安全事件發(fā)生的概率以及可能造成的損失,提出風(fēng)險(xiǎn)管理措施的過(guò)程。當(dāng)風(fēng)險(xiǎn)評(píng)估應(yīng)用于 IT 領(lǐng)域時(shí),就是對(duì)信息安全的風(fēng)險(xiǎn)評(píng)估。
風(fēng)險(xiǎn)評(píng)估從早期簡(jiǎn)單的漏洞掃描、人工審計(jì)、滲透性測(cè)試這種類(lèi)型的純技術(shù)操作,逐漸過(guò)渡到目前普遍采用國(guó)際標(biāo)準(zhǔn)的 BS7799、ISO17799、國(guó)家標(biāo)準(zhǔn)《信息系統(tǒng)安全等級(jí)評(píng)測(cè)準(zhǔn)則》等方法,充分體現(xiàn)以資產(chǎn)為出發(fā)點(diǎn)、以威脅為觸發(fā)因素、以技術(shù) / 管理 / 運(yùn)行等方面存在的脆弱性為誘因的信息安全風(fēng)險(xiǎn)評(píng)估綜合方法及操作模型。
信息系統(tǒng)的生命周期分為設(shè)計(jì)、實(shí)施、運(yùn)行維護(hù)和終銷(xiāo)毀這四個(gè)主要階段,每個(gè)階段進(jìn)行相應(yīng)的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估。風(fēng)險(xiǎn)評(píng)估可以明確信息系統(tǒng)的安全現(xiàn)狀,確定信息系統(tǒng)的主要安全風(fēng)險(xiǎn),是信息系統(tǒng)安全技術(shù)體系與管理體系建設(shè)的基礎(chǔ)。
風(fēng)險(xiǎn)評(píng)估的目的是全面、準(zhǔn)確的了解組織機(jī)構(gòu)的網(wǎng)絡(luò)安全現(xiàn)狀,發(fā)現(xiàn)系統(tǒng)的安全問(wèn)題及其可能的危害,為系統(tǒng)終安全需求的提出提供依據(jù)。準(zhǔn)確了解組織的網(wǎng)絡(luò)和系統(tǒng)安全現(xiàn)狀。 |