国家软考 信息安全工程师 每天5分钟-信息安全风险管理003

威胁与脆弱性

系统外部可能造成的损害成为威胁，例如盯上鸡蛋的苍蝇。

系统内部可能造成的损害成为脆弱性，例如鸡蛋上裂缝

系统风险则是威胁利用脆弱性造成损害的可能性，苍蝇叮咬有裂缝的鸡蛋。

风险评估

风险评估就是依据风险评估标准，利用评估的方法、技术和工具，全面评价系统中的威胁、脆弱点以及带来风险大小的评估。

对信息系统进行风险评估，首先要确保评估和分析的内容、范围应该覆盖整个信息系统的体系。

系统体系包含：系统基本情况分析、系统安全状况调查、系统安全组织、政策分析、系统弱点漏洞分析等。

风险评估流程：

1. 确定资产：确定信息系统资产，明确资产价值。
2. 脆弱性和威胁分析：分析项目的脆弱性和威胁，评估发生概率及损失。
3. 制定应对方案：提出各种应对手段和解决办法。
4. 决策：评估影响、排列风险、制定决策。
5. 沟通与交流
6. 方案实施。

风险评估方法：

1. 定性风险评估：评估、汇总风险发生的概率和影响，并对风险进行排序。
2. 定量风险评估：定量分析已识别风险对项目的整体影响。
3. 定量与定性结合的风险评估：常用的方法有层次分析法，核心是将决策者的经验判断进行量化，并提供定量的决策依据。层次分析法步骤：系统分解、构造判断矩阵、层次总排序。

风险管理

风险管理目的：提高积极风险的发生概率和影响，降低消极风险的发生概率和影响。

项目管理中定义的风险管理包含如下过程：

1. 规划风险管理
2. 识别风险
3. 定性风险分析
4. 定量风险分析
5. 风险控制：制定具体的积极的、消极的风险应对方案。
6. 风险监控：整个项目过程中，跟踪已知风险，识别新风险，实施风险应对、评估风险有效性。

减少风险的方法：

1. 避免风险，如：隔离重要计算机免受攻击
2. 转移风险，如：外包服务、购买保险
3. 减少威胁，如：安装杀毒软件
4. 减少脆弱性，如：安装系统补丁
5. 减少威胁可能的影响，如：制定业务持续性计划，把损失降到最低。
6. 检测并响应和恢复意外事件，如：使用网管软件检测系统性能和故障，发现问题进行响应。

在实施风险控制后，仍然会存在风险，成为剩余风险。

风险接受是一个对剩余风险进行确认、评价接受的过程。

下期学习安全法规和标准。