導航：安全管理網(wǎng)>> 培訓課件>> 其他>>正文

信息安全評估與風險管理

		點擊數(shù)：	更新時間： 2021年04月26日
下載地址：點擊這里	文件大?。?3.45 MB 共102頁	文檔格式： PPT	下載點數(shù)： 20 點（VIP免費）

全屏查看

部分內(nèi)容預覽 [文件共102頁]

本文件共102頁，只能預覽部分內(nèi)容，查看全部內(nèi)容需要下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：3.45 MB 共102頁文件格式：PPT 下載點數(shù)：20 點（VIP會員免費）

下一篇：搬運作業(yè)中的安全

上一篇：關(guān)于信息安全風險管理

文本預覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

信息安全風險評估與風險管理
國家信息中心信息安全服務與研究中心
范紅
 
備注：1
2021/4/26
2
匯報內(nèi)容
一、前言
二、信息安全風險管理概述
三、信息安全風險管理各組成部分
四、信息安全風險管理的運用
五、結(jié)束語
備注：2
2021/4/26
3
一、前言

備注：3
2021/4/26
4
二、信息安全風險管理概述
      
    
1、 信息安全風險管理的目的和意義
2、 信息安全風險管理的范圍和對象
3、 信息安全風險管理的內(nèi)容和過程
4、 信息安全風險管理與信息系統(tǒng)生命周　
　　期和信息安全目標的關(guān)系
5、 信息安全風險管理的角色和責任　　
備注：4
2021/4/26
5
二、信息安全風險管理概述
      
    
1、 信息安全風險管理的目的和意義
2、 信息安全風險管理的范圍和對象
3、 信息安全風險管理的內(nèi)容和過程
4、 信息安全風險管理與信息系統(tǒng)生命周　
　　期和信息安全目標的關(guān)系
5、 信息安全風險管理的角色和責任　　
備注：5
2021/4/26
6
信息安全風險管理的目的和意義
      
    
　　信息安全風險管理是信息安全保障工作中的一項基礎(chǔ)性工作 。
　　1、信息安全風險管理體現(xiàn)在信息安全保障體系的技術(shù)、組織和管理等方面。 
　　2、信息安全風險管理貫穿信息系統(tǒng)生命周期的全部過程。 
　　3、信息安全風險管理依據(jù)等級保護的思想和適度安全的原則，平衡成本與效益，合理部署和利用信息安全的信任體系、監(jiān)控體系和應急處理等重要的基礎(chǔ)設施，確定合適的安全措施，從而確保機構(gòu)具有完成其使命的信息安全保障能力。
備注：6
2021/4/26
7
二、信息安全風險管理概述
      
    
1、 信息安全風險管理的目的和意義
2、 信息安全風險管理的范圍和對象
3、 信息安全風險管理的內(nèi)容和過程
4、 信息安全風險管理與信息系統(tǒng)生命周　
　　期和信息安全目標的關(guān)系
5、 信息安全風險管理的角色和責任　　
備注：7
2021/4/26
8
信息安全風險管理的范圍和對象
備注：8
2021/4/26
9
二、信息安全風險管理概述
      
    
1、 信息安全風險管理的目的和意義
2、 信息安全風險管理的范圍和對象
3、 信息安全風險管理的內(nèi)容和過程
4、 信息安全風險管理與信息系統(tǒng)生命周　
　　期和信息安全目標的關(guān)系
5、 信息安全風險管理的角色和責任　　
備注：9
2021/4/26
10
信息安全風險管理的內(nèi)容和過程 
備注：10
2021/4/26
11
二、信息安全風險管理概述
      
    
1、 信息安全風險管理的目的和意義
2、 信息安全風險管理的范圍和對象
3、 信息安全風險管理的內(nèi)容和過程
4、 信息安全風險管理與信息系統(tǒng)生命周　
　　期和信息安全目標的關(guān)系
5、 信息安全風險管理的角色和責任　　
備注：11
2021/4/26
12
三維結(jié)構(gòu)關(guān)系
備注：12
2021/4/26
13
二、信息安全風險管理概述
      
    
1、 信息安全風險管理的目的和意義
2、 信息安全風險管理的范圍和對象
3、 信息安全風險管理的內(nèi)容和過程
4、 信息安全風險管理與信息系統(tǒng)生命周　
　　期和信息安全目標的關(guān)系
5、 信息安全風險管理的角色和責任　　
備注：13
2021/4/26
14
信息安全風險管理相關(guān)人員的角色和責任 
層面	信息系統(tǒng)	信息系統(tǒng)	信息系統(tǒng)	信息安全風險管理	信息安全風險管理	信息安全風險管理
層面	角色	內(nèi)外部	責任	角色	內(nèi)外部	責任
決策層	主管者	內(nèi)	負責信息系統(tǒng)的重大決策。	主管者	內(nèi)	負責信息安全風險管理的重大決策。
管理層	管理者	內(nèi)	負責信息系統(tǒng)的規(guī)劃，以及建設、運行、維護和監(jiān)控等方面的組織和協(xié)調(diào)。	管理者	內(nèi)	負責信息安全風險管理的規(guī)劃，以及實施和監(jiān)控過程中的組織和協(xié)調(diào)。
執(zhí)行層	建設者	內(nèi)或外	負責信息系統(tǒng)的設計和實施。	執(zhí)行者	內(nèi)或外	負責信息安全風險管理的實施。
執(zhí)行層	運行者	內(nèi)	負責信息系統(tǒng)的日常運行和操作。	執(zhí)行者	內(nèi)或外	負責信息安全風險管理的實施。
執(zhí)行層	維護者	內(nèi)或外	負責信息系統(tǒng)的日常維護，包括維修和升級。	執(zhí)行者	內(nèi)或外	負責信息安全風險管理的實施。
執(zhí)行層	監(jiān)控者	內(nèi)	負責信息系統(tǒng)的監(jiān)視和控制。	監(jiān)控者	內(nèi)	負責信息安全風險管理過程和結(jié)果的監(jiān)視和控制。
支持層	專業(yè)者	外	為信息系統(tǒng)提供專業(yè)咨詢、培訓、診斷和工具等服務。	專業(yè)者	外	為信息安全風險管理提供專業(yè)咨詢、培訓、診斷和工具等服務。
用戶層	使用者	內(nèi)或外	利用信息系統(tǒng)完成自身的任務。	受益者	內(nèi)或外	反饋信息安全風險管理的效果。
備注：14
2021/4/26
15
三、信息安全風險管理各組成部分

1、對象確立
2、風險評估
3、風險控制
4、審核批準
5、溝通與咨詢
6、監(jiān)控與審查

備注：15
2021/4/26
16
三、信息安全風險管理各組成部分

1、對象確立
2、風險評估
3、風險控制
4、審核批準
5、溝通與咨詢
6、監(jiān)控與審查

備注：16
2021/4/26
17
對象確立概述
　　　對象確立是信息安全風險管理的第一步驟，根據(jù)要保護系統(tǒng)的業(yè)務目標和特性，確定風險管理對象。其目的是為了明確信息安全風險管理的范圍和對象，以及對象的特性和安全要求。
備注：17
2021/4/26
18
對象確立過程
備注：18
2021/4/26
19
風險管理準備
　　
備注：19
2021/4/26
20
信息系統(tǒng)調(diào)查 
備注：20
2021/4/26
21
信息系統(tǒng)分析
備注：21
2021/4/26
22
信息安全分析
備注：22
2021/4/26
23
對象確立的文檔
階段	輸出文檔	文檔內(nèi)容
風險管理準備	《風險管理計劃書》	風險管理的目的、意義、范圍、目標、組織結(jié)構(gòu)、經(jīng)費預算和進度安排等。
信息系統(tǒng)調(diào)查	《信息系統(tǒng)的描述報告》	信息系統(tǒng)的業(yè)務目標、業(yè)務特性、管理特性和技術(shù)特性等。
信息系統(tǒng)分析	《信息系統(tǒng)的分析報告》	信息系統(tǒng)的體系結(jié)構(gòu)和關(guān)鍵要素等。
信息安全分析	《信息系統(tǒng)的安全要求報告》	信息系統(tǒng)的安全環(huán)境和安全要求等。
備注：23
2021/4/26
24
三、信息安全風險管理各組成部分

1、對象確立
2、風險評估
3、風險控制
4、審核批準
5、溝通與咨詢
6、監(jiān)控與審查

備注：24
2021/4/26
25
風險評估概述 
　　　風險評估是信息安全風險管理的第二步，針對確立的風險管理對象所面臨的風險進行識別、分析和評價。
備注：25
2021/4/26
26
風險評估過程
備注：26
2021/4/26
27
風險評估準備
備注：27
2021/4/26
28
風險因素識別
備注：28
2021/4/26
29
風險程度分析
備注：29
2021/4/26
30
風險等級評價
備注：30
2021/4/26
31
風險評估的文檔
階段	輸出文檔	文檔內(nèi)容
風險評估準備	《風險評估計劃書》	風險評估的目的、意義、范圍、目標、組織結(jié)構(gòu)、經(jīng)費預算和進度安排等。
風險評估準備	《風險評估程序》	風險評估的工作流程、輸入數(shù)據(jù)和輸出結(jié)果等。
風險評估準備	《入選風險評估方法和工具列表》	合適的風險評估方法和工具列表。
風險因素識別	《需要保護的資產(chǎn)清單》	對機構(gòu)使命具有關(guān)鍵和重要作用的需要保護的資產(chǎn)清單。
風險因素識別	《面臨的威脅列表》	機構(gòu)的信息資產(chǎn)面臨的威脅列表。
風險因素識別	《存在的脆弱性列表》	機構(gòu)的信息資產(chǎn)存在的脆弱性列表。
備注：31
2021/4/26
32
風險評估的文檔
風險程度分析	《已有安全措施分析報告》	確認已有的安全措施，包括技術(shù)層面（即物理平臺、系統(tǒng)平臺、通信平臺、網(wǎng)絡平臺和應用平臺）的安全功能、組織層面（即結(jié)構(gòu)、崗位和人員）的安全控制和管理層面（即策略、規(guī)章和制度）的安全對策。
風險程度分析	《威脅源分析報告》	從利益、復仇、好奇和自負等驅(qū)使因素，分析威脅源動機的強弱。
風險程度分析	《威脅行為分析報告》	從攻擊的強度、廣度、速度和深度等方面，分析威脅行為能力的高低。
風險程度分析	《脆弱性分析報告》	按威脅/脆弱性對，分析脆弱性被威脅利用的難以程度。
風險程度分析	《資產(chǎn)價值分析報告》	從敏感性、關(guān)鍵性和昂貴性等方面，分析資產(chǎn)價值的大小。
風險程度分析	《影響程度分析報告》	從資產(chǎn)損失、使命妨礙和人員傷亡等方面，分析影響程度的深淺。
備注：32
2021/4/26
33
風險評估的文檔
風險等級評價	《威脅源等級列表》	威脅源動機的等級列表。
風險等級評價	《威脅行為等級列表》	威脅行為能力的等級列表。
風險等級評價	《脆弱性等級列表》	脆弱性被利用的等級列表。
風險等級評價	《資產(chǎn)價值等級列表》	資產(chǎn)價值的等級列表。
風險等級評價	《影響程度等級列表》	影響程度的等級列表。
風險等級評價	《風險評估報告》	匯總上述分析報告和等級列表，綜合評價風險的等級。
備注：33
2021/4/26
34
三、信息安全風險管理各組成部分

1、對象確立
2、風險評估
3、風險控制
4、審核批準
5、溝通與咨詢
6、監(jiān)控與審查

備注：34
2021/4/26
35
風險控制概述

風險控制是信息安全風險管理的第三步驟，依據(jù)風險評估的結(jié)果，選擇和實施合適的安全措施。風險控制方式主要有規(guī)避、轉(zhuǎn)移和降低三種方式。
備注：35
2021/4/26
36
風險控制需求及其相應的風險控制措施
PPDRR	風險控制需求	風險控制措施
策略
Policy	設備管理制度	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	機房出入守則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	系統(tǒng)安全管理守則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	系統(tǒng)安全配置明細	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	網(wǎng)絡安全管理守則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	網(wǎng)絡安全配置明細	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	應用安全管理守則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	應用安全配置明細	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	應急響應計劃	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
策略
Policy	安全事件處理準則	建立健全各種安全相關(guān)的規(guī)章制定和操作規(guī)范，使得保護、檢測和響應環(huán)節(jié)有章可循、切實有效。
備注：36
2021/4/26
37
主要的風險控制需求及其相應的風險控制措施
保護
Protection	機房	嚴格按照GB 50174-1993《電子計算機機房設計規(guī)范》、GB 9361-1988《計算站場地安全要求》、GB 2887-1982《計算機站場地技術(shù)要求》和GB/T 2887-2000《計算機場地通用規(guī)范》等國家標準建設和維護計算機機房。
保護
Protection	門控	安裝門控系統(tǒng)
保護
Protection	保安	建設保安制度和保安隊伍。
保護
Protection	電磁屏蔽	在必要的地方設置抗電磁干擾和防電磁泄漏的設施。
保護
Protection	病毒防殺	全面部署防病毒系統(tǒng)。
保護
Protection	漏洞補丁	及時下載和安裝最新的漏洞補丁模塊。
保護
Protection	安全配置	嚴格遵守各系統(tǒng)單元的安全配置明細，避免配置中的安全漏洞。
保護
Protection	身份認證	根據(jù)不同的安全強度，分別采用身份標識/口令、數(shù)字鑰匙、數(shù)字證書、生物識別、雙因子等級別的身份認證系統(tǒng)，對設備、用戶、服務等主客體進行身份認證。
保護
Protection	訪問控制	根據(jù)不同的安全強度，分別采用自主型、強制型等級別的訪問控制系統(tǒng)，對設備、用戶等主體訪問客體的權(quán)限進行控制。
保護
Protection	數(shù)據(jù)加密	根據(jù)不同的安全強度，分別采用商密、普密、機密等級別的數(shù)據(jù)加密系統(tǒng)，對傳輸數(shù)據(jù)和存儲數(shù)據(jù)進行加密。
保護
Protection	邊界控制	在網(wǎng)絡邊界布置防火墻，阻止來自外界非法訪問。
保護
Protection	數(shù)字水印	對于需要版權(quán)保護的圖片、聲音、文字等形式的信息，采用數(shù)字水印技術(shù)加以保護。
保護
Protection	數(shù)字簽名	在需要防止事后否認時，可采用數(shù)字簽名技術(shù)。
保護
Protection	內(nèi)容凈化	部署內(nèi)容過濾系統(tǒng)。
保護
Protection	安全機構(gòu)、安全崗位、安全責任	建立健全安全機構(gòu)，合理設置安全崗位，明確劃分安全責任。
備注：37
2021/4/26
38
主要的風險控制需求及其相應的風險控制措施
檢測
Detection	監(jiān)視、監(jiān)測和報警	在適當?shù)奈恢冒仓帽O(jiān)視器和報警器，在各系統(tǒng)單元中配備監(jiān)測系統(tǒng)和報警系統(tǒng)，以實時發(fā)現(xiàn)安全事件并及時報警。
檢測
Detection	數(shù)據(jù)校驗	通過數(shù)據(jù)校驗技術(shù)，發(fā)現(xiàn)數(shù)據(jù)篡改。
檢測
Detection	主機入侵檢測	部署主機入侵檢測系統(tǒng)，發(fā)現(xiàn)主機入侵行為。
檢測
Detection	主機狀態(tài)監(jiān)測	部署主機狀態(tài)監(jiān)測系統(tǒng)，隨時掌握主機運行狀態(tài)。
檢測
Detection	網(wǎng)絡入侵檢測	部署網(wǎng)絡入侵檢測系統(tǒng)，發(fā)現(xiàn)網(wǎng)絡入侵行為。
檢測
Detection	網(wǎng)絡狀態(tài)監(jiān)測	部署網(wǎng)絡狀態(tài)監(jiān)測系統(tǒng)，隨時掌握網(wǎng)絡運行狀態(tài)。
檢測
Detection	安全審計	在各系統(tǒng)單元中配備安全審計，以發(fā)現(xiàn)深層安全漏洞和安全事件。
檢測
Detection	安全監(jiān)督、安全檢查	實行持續(xù)有效的安全監(jiān)督，預演應急響應計劃。
備注：38
2021/4/26
39
主要的風險控制需求及其相應的風險控制措施
響應
Response
恢復
Recovery	故障修復、事故排除	確保隨時能夠獲取故障修復和事故排除的技術(shù)人員和軟硬件工具。
響應
Response
恢復
Recovery	設施備份與恢復	對于關(guān)鍵設施，配備設施備份與恢復系統(tǒng)。
響應
Response
恢復
Recovery	系統(tǒng)備份與恢復	對于關(guān)鍵系統(tǒng)，配備系統(tǒng)備份與恢復系統(tǒng)。
響應
Response
恢復
Recovery	數(shù)據(jù)備份與恢復	對于關(guān)鍵數(shù)據(jù)，配備數(shù)據(jù)備份與恢復系統(tǒng)。
響應
Response
恢復
Recovery	信道備份與恢復	對于關(guān)鍵信道，配備設信道份與恢復系統(tǒng)。
響應
Response
恢復
Recovery	應用備份與恢復	對于關(guān)鍵應用，配備應用備份與恢復系統(tǒng)。
響應
Response
恢復
Recovery	應急響應	按照應急響應計劃處理應急事件。
響應
Response
恢復
Recovery	安全事件處理	按照安全事件處理找出原因、追究責任、總結(jié)經(jīng)驗、提出改進。
備注：39
2021/4/26
40
風險控制過程
備注：40
2021/4/26
41
現(xiàn)存風險判斷
備注：41
2021/4/26
42
控制目標確立
備注：42
2021/4/26
43
控制措施選擇
備注：43
2021/4/26
44
控制措施實施
備注：44
2021/4/26
45
風險控制的文檔
階段	輸出文檔	文檔內(nèi)容
現(xiàn)存風險判斷	《風險接受等級劃分表》	風險接受等級的劃分，即把風險評估得出的風險等級劃分為可接受和不可接受兩種。
現(xiàn)存風險判斷	《現(xiàn)存風險接受判斷書》	現(xiàn)存風險是否可接受的判斷結(jié)果。
控制目標確立	《風險控制需求分析報告》	從技術(shù)層面（即物理平臺、系統(tǒng)平臺、通信平臺、網(wǎng)絡平臺和應用平臺）、組織層面（即結(jié)構(gòu)、崗位和人員）和管理層面（即策略、規(guī)章和制度），分析風險控制的需求。
控制目標確立	《風險控制目標列表》	風險控制目標的列表，包括控制對象及其最低保護等級。
備注：45
2021/4/26
46
風險控制的文檔
控制措施選擇	《入選風險控制方式說明報告》	選擇合適的風險控制方式（包括規(guī)避方式、轉(zhuǎn)移方式和降低方式），并說明選擇的理由以及被選控制方式的使用方法和注意事項等。
控制措施選擇	《入選風險控制措施說明報告》	選擇合適的風險控制措施，并說明選擇的理由以及被選控制措施的成本、使用方法和注意事項等。
控制措施實施	《風險控制實施計劃書》	風險控制的范圍、對象、目標、組織結(jié)構(gòu)、成本預算和進度安排等。
控制措施實施	《風險控制實施記錄》	風險控制措施實施的過程和結(jié)果。
備注：46
2021/4/26
47
三、信息安全風險管理各組成部分

1、對象確立
2、風險評估
3、風險控制
4、審核批準
5、溝通與咨詢
6、監(jiān)控與審查

備注：47
2021/4/26
48
審核批準概述

審核批準是信息安全風險管理的第四步驟，審核批準包括審核和批準兩部分：審核是指通過審查、測試、評審等手段，檢驗風險評估和風險控制的結(jié)果是否滿足信息系統(tǒng)的安全要求；批準是指機構(gòu)的決策層依據(jù)審核的結(jié)果，做出是否認可的決定。
　　審核既可以由機構(gòu)內(nèi)部完成，也可以委托外部專業(yè)機構(gòu)來完成，這主要取決于信息系統(tǒng)的性質(zhì)和機構(gòu)自身的專業(yè)能力。批準一般必須由機構(gòu)內(nèi)部或更高層的主管機構(gòu)的決策層來執(zhí)行。
備注：48
2021/4/26
49
審核批準過程及其在信息安全風險管理中的位置 
備注：49
2021/4/26
50
審核申請
備注：50
2021/4/26
51
審核處理
備注：51
2021/4/26
52
批準申請
備注：52
2021/4/26
53
批準處理
備注：53
2021/4/26
54
持續(xù)監(jiān)督
備注：54
2021/4/26
55
審核批準的文檔
階段	輸出文檔	文檔內(nèi)容
審核申請	《審核申請書》	審核的范圍、對象、目標和進度要求，以及申請者的基本信息和簽字等。
審核申請	《審核材料》	風險評估過程和風險控制過程輸出的文檔、軟件和硬件等結(jié)果。
審核申請	《審核受理回執(zhí)》	同意受理、補充材料的要求和提交時間（如果需要）、審核的進度安排和收費標準，以及審核機構(gòu)的名稱和簽章等。
審核處理	《審查結(jié)果報告》	審查的范圍、對象、意見和結(jié)論（即是否通過），以及審查人員的名字和簽字等。
審核處理	《測試結(jié)果報告》	測試的范圍、對象、意見和結(jié)論（即是否通過），以及測試人員的名字和簽字等。
審核處理	《專家鑒定報告》	鑒定的范圍、對象（及其基本情況）和結(jié)論，以及專家名單和簽字等。
審核處理	《審核結(jié)論報告》	審核的范圍、對象、意見、結(jié)論（即是否通過）和有效期，以及審核機構(gòu)的名稱和簽章等。
備注：55
2021/4/26
56
審核批準的文檔
批準申請	《批準申請書》	批準的范圍、對象和期望，以及申請者的基本信息和簽字等。
批準申請	《批準受理回執(zhí)》	同意受理、補充材料的要求和提交時間（如果需要），以及批準機構(gòu)的名稱和簽章等。
批準處理	《批準決定書》	批準的范圍、對象、意見、結(jié)論（即是否通過）和有效期，以及批準機構(gòu)的名稱和簽章等。
持續(xù)監(jiān)督	《審核到期通知書》	到期的時間和重新申請的要求，以及審核機構(gòu)的名稱和簽章。
持續(xù)監(jiān)督	《批準到期通知書》	到期的時間和重新申請的要求，以及批準機構(gòu)的名稱和簽章。
持續(xù)監(jiān)督	《機構(gòu)變化因素的描述報告》	機構(gòu)及其信息系統(tǒng)變化因素的列表、說明和安全隱患分析等。
持續(xù)監(jiān)督	《環(huán)境變化因素的描述報告》	信息安全相關(guān)環(huán)境變化因素的列表、說明和安全隱患分析等。
備注：56
2021/4/26
57
三、信息安全風險管理各組成部分

1、對象確立
2、風險評估
3、風險控制
4、審核批準
5、監(jiān)控與審查
6、溝通與咨詢

備注：57
2021/4/26
58
監(jiān)控與審查的概述

監(jiān)控與審查對信息安全風險管理主循環(huán)的四個步驟（即對象確立、風險評估、風險控制和審核批準）進行監(jiān)控和審查。監(jiān)控是監(jiān)視和控制，一是監(jiān)視和控制風險管理過程，即過程質(zhì)量管理，以保證過程的有效性；二是分析和平衡成本效益，即成本效益管理，以保證成本的有效性。審查是跟蹤受保護系統(tǒng)自身或所處環(huán)境的變化，以保證結(jié)果的有效性。
備注：58
2021/4/26
59
監(jiān)控與審查過程 
備注：59
2021/4/26
60
貫穿對象確立
階段	監(jiān)控	監(jiān)控	審查
階段	過程有效性	成本有效性 	結(jié)果有效性
風險管理準備	風險管理計劃制定的流程及其相關(guān)文檔	風險管理計劃的成本與效果	《風險管理計劃書》的時效
信息系統(tǒng)調(diào)查	信息系統(tǒng)調(diào)查的流程及其相關(guān)文檔	信息系統(tǒng)調(diào)查的成本與效果	《信息系統(tǒng)的描述報告》的時效
信息系統(tǒng)分析	信息系統(tǒng)分析的流程及其相關(guān)文檔	信息系統(tǒng)分析的成本與效果	《信息系統(tǒng)的分析報告》的時效
信息安全分析	信息系統(tǒng)安全要求分析的流程及其相關(guān)文檔	信息系統(tǒng)安全要求分析的成本與效果	《信息系統(tǒng)的安全要求報告》的時效
備注：60
2021/4/26
61
貫穿風險評估
階段	監(jiān)控	監(jiān)控	審查
階段	過程有效性	成本有效性 	結(jié)果有效性
風險評估準備	風險評估的計劃制定、程序確定以及方法和工具選擇的流程及其相關(guān)文檔	風險評估的計劃、程序以及入選方法和工具的成本與效果	《風險評估計劃》、《風險評估程序》和《入選風險評估方法和工具列表》的時效
風險因素識別	資產(chǎn)、威脅列和脆弱性識別的流程及其相關(guān)文檔	資產(chǎn)、威脅列和脆弱性識別的成本與效果	《需要保護的資產(chǎn)清單》、《面臨的威脅列表》和《存在的脆弱性列表》的時效
備注：61
2021/4/26
62
貫穿風險評估
風險程度分析	已有安全措施、威脅源、威脅行為、脆弱性、資產(chǎn)價值和影響程度分析的流程及其相關(guān)文檔	已有安全措施、威脅源、威脅行為、脆弱性、資產(chǎn)價值和影響程度分析的成本與效果	《已有安全措施分析報告》、《威脅源分析報告》、《威脅行為分析報告》、《脆弱性分析報告》、《資產(chǎn)價值分析報告》和《影響程度分析報告》的時效
風險等級評價	威脅源等級、威脅行為等級、脆弱性等級、資產(chǎn)價值等級和影響程度等級評價以及《風險評估報告》生成的流程及其相關(guān)文檔	威脅源等級、威脅行為等級、脆弱性等級、資產(chǎn)價值等級和影響程度等級評價以及《風險評估報告》生成的成本與效果	《威脅源等級列表》、《威脅行為等級列表》、《脆弱性等級列表》、《資產(chǎn)價值等級列表》、《影響程度等級列表》和《風險評估報告》的時效
備注：62
2021/4/26
63
貫穿風險控制
階段	監(jiān)控	監(jiān)控	審查
階段	過程有效性	成本有效性 	結(jié)果有效性
現(xiàn)存風險判斷	可接受風險等級確定和現(xiàn)存風險接受判斷的流程及其相關(guān)文檔	可接受風險等級確定和現(xiàn)存風險接受判斷的成本與效果	《風險接受等級劃分表》和《現(xiàn)存風險接受判斷書》的時效
控制目標確立	風險控制需求分析和風險控制目標確立的流程及其相關(guān)文檔	風險控制需求分析和風險控制目標確立的成本與效果	《風險控制需求分析報告》和《風險控制目標列表》的時效
備注：63
2021/4/26
64
貫穿風險控制
控制措施選擇	風險控制方式和措施選擇的流程及其相關(guān)文檔	入選風險控制方式和措施的成本與效果	《入選風險控制方式說明報告》和《入選風險控制措施說明報告》的時效
控制措施實施	風險控制實施計劃制定和風險控制措施實施的流程及其相關(guān)文檔	風險控制實施計劃制定和風險控制措施實施的成本與效果	《風險控制實施計劃書》和《風險控制實施記錄》的時效
備注：64
2021/4/26
65
貫穿審核批準
階段	監(jiān)控	監(jiān)控	審查
階段	過程有效性	成本有效性 	結(jié)果有效性
審核申請	審核申請和受理的流程及其相關(guān)文檔	審核申請和受理的成本與效果	《審核申請書》、《審核材料》和《審核受理回執(zhí)》的時效
審核處理	審核材料審查、審核對象測試、專家鑒定和審核結(jié)論給出的流程及其相關(guān)文檔	審核材料審查、審核對象測試、專家鑒定和審核結(jié)論給出的成本與效果	《審查結(jié)果報告》、《測試結(jié)果報告》、《專家鑒定報告》和《審核結(jié)論報告》的時效
備注：65
2021/4/26
66
貫穿審核批準
批準申請	批準申請和受理的流程及其相關(guān)文檔	批準申請和受理的成本與效果	《批準申請書》和《批準受理回執(zhí)》的時效
批準處理	審閱批準材料和批準決定做出的流程及其相關(guān)文檔	審閱批準材料和批準決定做出的成本與效果	《批準決定書》的時效
持續(xù)監(jiān)督	《審核結(jié)論報告》和《批準決定書》到期檢查和機構(gòu)及其環(huán)境變化檢查的流程及其相關(guān)文檔	《審核結(jié)論報告》和《批準決定書》到期檢查和機構(gòu)及其環(huán)境變化檢查的成本與效果	《機構(gòu)變化因素的描述報告》和《環(huán)境變化因素的描述報告》的時效
備注：66
2021/4/26
67
監(jiān)控與審查的文檔
過程	輸出文檔	文檔內(nèi)容
對象確立	《對象確立的監(jiān)控與審查記錄》	對象確立過程中監(jiān)控和審查的范圍、對象、時間、過程、結(jié)果和措施等。
風險評估	《風險評估的監(jiān)控與審查記錄》	風險評估過程中監(jiān)控和審查的范圍、對象、時間、過程、結(jié)果和措施等。
風險控制	《風險控制的監(jiān)控與審查記錄》	風險控制過程中監(jiān)控和審查的范圍、對象、時間、過程、結(jié)果和措施等。
審核批準	《審核批準的監(jiān)控與審查記錄》	審核批準過程中監(jiān)控和審查的范圍、對象、時間、過程、結(jié)果和措施等。
備注：67
2021/4/26
68
三、信息安全風險管理各組成部分

1、對象確立
2、風險評估
3、風險控制
4、審核批準
5、監(jiān)控與審查
6、溝通與咨詢

備注：68
2021/4/26
69
溝通與咨詢的概述

溝通與咨詢?yōu)樾畔踩L險管理主循環(huán)的四個步驟（即對象確立、風險評估、風險控制和審核批準）中相關(guān)人員提供溝通和咨詢。溝通是為直接參與人員提供交流途徑，以保持他們之間的協(xié)調(diào)一致，共同實現(xiàn)安全目標。咨詢是為所有相關(guān)人員提供學習途徑，以提高他們的風險意識、知識和技能，配合實現(xiàn)安全目標。
備注：69
2021/4/26
70
溝通與咨詢的方式
方式	方式	接受方	接受方	接受方	接受方	接受方
方式	方式	決策層	管理層	執(zhí)行層	支持層	用戶層
發(fā)
出
方	決策層	交流	指導和檢查	指導和檢查	表態(tài)	表態(tài)
發(fā)
出
方	管理層	匯報	交流	指導和檢查	宣傳和介紹	宣傳和介紹
發(fā)
出
方	執(zhí)行層	匯報	匯報	交流	宣傳和介紹	培訓和咨詢
發(fā)
出
方	支持層	培訓和咨詢	培訓和咨詢	培訓和咨詢	交流	培訓和咨詢
發(fā)
出
方	用戶層	反饋	反饋	反饋	反饋	交流
備注：70
2021/4/26
71
溝通與咨詢的過程
備注：71
2021/4/26
72
貫穿對象確立
階段	參與人員	參與人員	涉及內(nèi)容
階段	信息系統(tǒng)	信息安全風險管理	涉及內(nèi)容
風險管理準備	決策層	決策層
管理層	《風險管理計劃書》
信息系統(tǒng)調(diào)查	管理層
執(zhí)行層
支持層	管理層
執(zhí)行層	《信息系統(tǒng)的描述報告》
信息系統(tǒng)分析	管理層
執(zhí)行層
支持層	管理層
執(zhí)行層	《信息系統(tǒng)的分析報告》
信息安全分析		管理層
執(zhí)行層
支持層	《信息系統(tǒng)的安全要求報告》
備注：72
2021/4/26
73
貫穿風險評估
階段	參與人員	參與人員	涉及內(nèi)容
階段	信息系統(tǒng)	信息安全風險管理	涉及內(nèi)容
風險評估準備	決策層	決策層
管理層	《風險評估計劃》
風險評估準備	管理層	管理層
執(zhí)行層
支持層	《風險評估程序》
《入選風險評估方法和工具列表》
風險因素識別	管理層
執(zhí)行層	執(zhí)行層
支持層	《需要保護的資產(chǎn)清單》
《面臨的威脅列表》
《存在的脆弱性列表》
備注：73
2021/4/26
74
貫穿風險評估
風險程度分析	管理層
執(zhí)行層	執(zhí)行層
支持層	《已有安全措施分析報告》
《威脅源分析報告》
《威脅行為分析報告》
《脆弱性分析報告》
《資產(chǎn)價值分析報告》
《影響程度分析報告》
風險等級評價		執(zhí)行層
支持層	《威脅源等級列表》
《威脅行為等級列表》
《脆弱性等級列表》
《資產(chǎn)價值等級列表》
《影響程度等級列表》
《風險評估報告》
備注：74
2021/4/26
75
貫穿風險控制
階段	參與人員	參與人員	涉及內(nèi)容
階段	信息系統(tǒng)	信息安全風險管理	涉及內(nèi)容
現(xiàn)存風險判斷	決策層
管理層	決策層
管理層
執(zhí)行層
支持層	《風險接受等級劃分表》
《現(xiàn)存風險接受判斷書》
控制目標確立	管理層	管理層
執(zhí)行層
支持層	《風險控制需求分析報告》
《風險控制目標列表》
備注：75
2021/4/26
76
貫穿風險控制
控制措施選擇		執(zhí)行層
支持層	《入選風險控制方式說明報告》
《入選風險控制措施說明報告》
控制措施實施	管理層
執(zhí)行層	管理層
執(zhí)行層
支持層	《風險控制實施計劃書》
《風險控制實施記錄》
備注：76
2021/4/26
77
貫穿審核批準
階段	參與人員	參與人員	涉及內(nèi)容
階段	信息系統(tǒng)	信息安全風險管理	涉及內(nèi)容
審核申請		決策層
管理層
執(zhí)行層	《審核申請書》
《審核材料》
《審核受理回執(zhí)》
審核處理		管理層
執(zhí)行層
支持層	《審查結(jié)果報告》
《測試結(jié)果報告》
《專家鑒定報告》
《審核結(jié)論報告》
備注：77
2021/4/26
78
貫穿審核批準
批準申請		決策層
管理層
執(zhí)行層	《批準申請書》
《批準受理回執(zhí)》
批準處理	決策層	決策層
管理層	《批準決定書》
持續(xù)監(jiān)督	管理層
執(zhí)行層	管理層
執(zhí)行層	《機構(gòu)變化因素的描述報告》
《環(huán)境變化因素的描述報告》
備注：78
2021/4/26
79
溝通與咨詢的文檔
過程	輸出文檔	文檔內(nèi)容
對象確立	《對象確立的溝通與咨詢記錄》	對象確立過程中溝通和咨詢的范圍、對象、時間、內(nèi)容和結(jié)果等。
風險評估	《風險評估的溝通與咨詢記錄》	風險評估過程中溝通和咨詢的范圍、對象、時間、內(nèi)容和結(jié)果等。
風險控制	《風險控制的溝通與咨詢記錄》	風險控制過程中溝通和咨詢的范圍、對象、時間、內(nèi)容和結(jié)果等。
審核批準	《審核批準的溝通與咨詢記錄》	審核批準過程中溝通和咨詢的范圍、對象、時間、內(nèi)容和結(jié)果等。
備注：79
2021/4/26
80
四、信息安全風險管理的運用
      
1、規(guī)劃階段
2、設計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：80
2021/4/26
81
四、信息安全風險管理的運用
      
1、規(guī)劃階段
2、設計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：81
2021/4/26
82
安全需求和目標
明確安全總體方針
確保安全總體方針源自業(yè)務期望
明確項目范圍
清晰描述項目范圍內(nèi)所涉及系統(tǒng)的安全現(xiàn)狀
提交明確的安全需求文檔
清晰描述從系統(tǒng)的那些層次進行安全實現(xiàn)
對實現(xiàn)的可能性進行充分分析、論證
明確評價準則并達成一致
備注：82
2021/4/26
83
風險管理的過程概述
　　　在項目規(guī)劃階段，風險管理者應能清楚、準確地描述機構(gòu)的安全總體方針、安全策略、風險管理范圍、當前正在進行的或計劃中將要執(zhí)行的風險管理活動以及當前特殊安全要求等。
備注：83
2021/4/26
84
風險管理的活動
序號	風險管理活動	所處風險管理流程
1	明確安全總體方針	對象確立
2	安全需求分析	對象確立、風險評估
3	風險評價準則達成一致	風險控制、審核批準
備注：84
2021/4/26
85
四、信息安全風險管理的運用
      
1、規(guī)劃階段
2、設計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：85
2021/4/26
86
安全需求和目標
對用以實現(xiàn)安全系統(tǒng)的各類技術(shù)進行有效性評估。
對用于實施方案的產(chǎn)品需滿足安全保護等級的要求
對自開發(fā)的軟件要在結(jié)構(gòu)設計階段就充分考慮安全風險
備注：86
2021/4/26
87
風險管理的過程概述
　　　在設計階段，風險管理者應能標識出在項目結(jié)構(gòu)實現(xiàn)過程中潛在的安全風險，為設計說明中的安全性設計提供評判依據(jù)，并對實施方案中選擇的產(chǎn)品進行合格檢查，確保項目設計階段的重要環(huán)節(jié)均能得到較好的安全風險控制。
備注：87
2021/4/26
88
風險管理的活動
序號	風險管理活動	所處風險管理流程
1	安全技術(shù)選擇	風險控制
2	安全產(chǎn)品選擇	風險控制
3	軟件設計風險控制	風險控制
備注：88
2021/4/26
89
四、信息安全風險管理的運用
      
1、規(guī)劃階段
2、設計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：89
2021/4/26
90
安全需求和目標
　　實施階段是按照規(guī)劃和設計階段所定義的信息系統(tǒng)實施方案，采購設備和軟件，開發(fā)定制功能，集成、部署、配置和測試系統(tǒng)，培訓人員，并對是否允許系統(tǒng)投入運行進行審核批準。
備注：90
2021/4/26
91
風險管理的過程概述
　　　實施階段的風險管理主要活動包括檢查與配置、安全測試、人員培訓及授權(quán)運行，同時在上述過程中通過監(jiān)控與審查、溝通與咨詢來確保本階段風險管理目標的實現(xiàn)。 
備注：91
2021/4/26
92
風險管理的活動
序號	風險管理活動	所處風險管理流程
1	檢查與配置	風險控制
2	安全測試	風險控制
3	人員培訓	風險控制
4	授權(quán)系統(tǒng)運行	審核批準
備注：92
2021/4/26
93
四、信息安全風險管理的運用
      
1、規(guī)劃階段
2、設計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：93
2021/4/26
94
安全需求和目標
　　運行維護階段是在信息系統(tǒng)經(jīng)過授權(quán)投入運行之后，通過風險管理的相關(guān)過程和活動，確保信息系統(tǒng)在運行過程中、以及信息系統(tǒng)或其運行環(huán)境發(fā)生變化時維持系統(tǒng)的正常運行和安全性。
備注：94
2021/4/26
95
風險管理的過程概述
　　　運行維護階段的風險管理主要活動包括安全運行和管理、變更管理、風險再評估、定期重新審批，同時在上述過程中通過監(jiān)控與審查、溝通與咨詢來確保本階段風險管理目標的實現(xiàn)。 
備注：95
2021/4/26
96
運行維護階段風險管理活動的流程 
備注：96
2021/4/26
97
四、信息安全風險管理的運用
      
1、規(guī)劃階段
2、設計階段
3、實施階段　
4、運維階段　
5、廢棄階段
備注：97
2021/4/26
98
安全需求和目標
　　　廢棄階段是對信息系統(tǒng)的過時或無用部分進行報廢處理的過程。在廢棄階段，風險管理的目標是確保信息、硬件、軟件在執(zhí)行廢棄的過程中確保其安全廢棄，防止發(fā)生信息系統(tǒng)的安全目標遭到破壞。
備注：98
2021/4/26
99
風險管理的過程概述
　　　系統(tǒng)廢棄階段涉及到信息、硬件和軟件的安全處置，應防止敏感信息就泄漏給外部人員。系統(tǒng)廢棄的風險管理活動包括：確定廢棄對象，對廢棄對象的風險評估，對廢棄對象及廢棄過程的風險控制。同時在上述過程中通過監(jiān)控與審查、溝通與咨詢來確保本階段風險管理目標的實現(xiàn)。 
備注：99
2021/4/26
100
風險管理的活動
序號	風險管理活動	所處風險管理流程
1	確立廢棄對象	對象確立
2	廢棄對象的風險評估	風險評估
3	廢棄過程的風險控制	風險控制
4	廢棄后的評審	審核批準
備注：100
2021/4/26
101
五、結(jié)束語

備注：101

網(wǎng)友評論 more

其他最新內(nèi)容

04-18