课件试点工作专家组工作汇报.ppt

下一步建议 认真总结经验 统一规划、建立制度。制定国家基础网络和重要信息系统的风险评估总体规划以及“十一五”期间的工作计划。积极推进风险评估基本管理制度的建立；应尽快就国家基础信息网络和重要信息系统风险评估工作所涉及的领导体制、协调机制、认证与认可、监管和督察、评估时间、评估对象、评估范围、评估方式、评估人员资质、评估结果发布和备案等内容，进一步研究，形成风险评估管理法规制度 加快建立逐步完善标准规范体系。标准规范是推广实施风险评估工作的法律依据和技术保障，要加快风险评估管理与技术标准的制定和完善，研究评估机构服务标准、资质认可与资质的核查评估的管理办法；尽快出台国家标准。 下一步建议（续） 国家立项，支持相关工作的深入。建设风险评估技术支撑体系。建设国家基础网络和重要信息系统风险评估的基础设施和基础环境；落实开发相关技术和产品的攻关项目。 加强风险评估工作队伍的建设，重视培训、建立风险评估机构管理制度 在已有基础上，整合资源，分类指导，组建不同等级的风险评估机构，分别承担国家和地方基础信息网络和重要信息系统以及本行业信息系统风险评估工作，形成风险评估的骨干力量。 风险评估敏感性很强，如果引导不当，管理不到位，有可能因风险评估带来新的安全隐患。对国家基础网络和重要信息系统的风险评估，实行资质准入制度，只充许经国家批准的风险评估机构实施风险评估。国家必须加强风险评估评估工作的管理，建立服务标准、资质认可与资质核查评估制度。 限于水平，可能还有许多不妥之处，欢迎批评指正! 谢 谢! * * * * * 信息安全风险评估基本方法 手动评估：在风险评估工具出现前，安全评估工作都只能手工进行。其劳动量巨大，容易出现疏漏，而且由于依据各自经验，有较大的局限性。 工具辅助评估 工具的出现在一定程度上解决了手动评估的局限性。1985年，英国CCTA开发了CRAMM风险评估工具。遵循BS 7799规范。1991年，CA System Security公司推出了COBRA工具，用来进行信息安全风险评估。它可以看作一个基于专家系统和扩展知识库的问卷系统，对所有的威胁和脆弱点评估其相对重要性，并且给出合适的建议和解决方案，对每个风险类别提供风险分析报告和风险值。 技术评估和整体评估 技术评估和整体评估 技术评估是指对机构的技术基础结构和程序进行系统的、及时的检查，包括对机构内部计算环境的安全性及其对内外攻击脆弱性的完整性攻击。 （1）评估整个计算基础结构。（2）使用软件工具分析基础结构及其全部组件。（3）提供详细的分析报告， 整体风险评估扩展了上述技术评估的范围，着眼于分析机构内部与安全相关的风险，包括内部和外部的风险源、技术基础和机构结构以及基于电子的和基于人的风险。 关注的焦点主要集中在以下4个方面： （1）检查与安全相关的实践，标识当前安全实践的优点和弱点。 （2）包括对系统进行技术分析、对政策进行评审，以及对物理安全进行审查。 （3）检查IT的基础结构，以确定技术上的弱点。包括恶意代码的入侵、数据的破坏或者毁灭、信息丢失、拒绝服务、访问权限和特权的未授权变更等。 （4）帮助决策制订者综合平衡风险以选择成本效益对策 定性评估和定量评估 定性分析方法是最广泛使用的风险分析方法。该方法通常只关注威胁事件所带来的损失（Loss），而忽略事件发生的概率（Probability）。 多数定性风险分析方法依据机构面临的威胁、脆弱点以及控制措施等元素来决定安全风险等级。在定性评估时并不使用具体的数据，而是指定期望值，如设定每种风险的影响值和概率值为“高”、“中”、“低”。 有时单纯使用期望值，并不能明显区别风险值之间的差别。可以考虑为定性数据指定数值。例如，设“高”的值为3，“中”的值为2，“低”的值为1。但是要注意的是，这里考虑的只是风险的相对等级，并不能说明该风险到底有多大。 定量分析方法利用两个基本的元素： 威胁事件发生的概率和可能造成的损失。 把这两个元素简单相乘的结果称为ALE（Annual Loss Expectancy）或EAC（Estimated Annual Cost）。理论上可以依据ALE计算风险等级，并且做出相应的决策。 一种定量风险评估方法 首先评估特定资产的价值V 然后根据客观数据计算威胁的频率P； 最后计算威胁影响系数μ，因为对于每一个风险，并不是所有的资产所遭受的危害程度都是一样的，程度的范围可能从无危害到彻底危害。 根据上述三个参数，计算ALE： ALE ＝ V × P × μ 定量风险分析方法要求特别关注资产的价值和威胁的量化数据，但是这种方法存在一个问题，就是数据的不可靠和不精确。 基于知识的评估和基于模型的评估 基于知识的风险评估方法主要是依靠经验进行的