1、信息平安管理 第二版 授課內容：信息平安風險評價 信息平安管理Information security management第3章 信息平安風險評價3.1 概述3.2 信息平安風險評價戰略3.3 信息平安風險評價流程3.4 信息平安風險評價方法3.5 風險評價案例3.6 本章小結3.7 習題從一個故事開場認識“風險3.1概述 故事梗概傻根在外地打工掙了錢，隨身攜帶著10萬元錢坐上了一輛混雜著很多小偷的長途火車回家。傻根把錢就放在了普通的布質書包里。傻根沒有坐軟臥包廂，而是坐在擠滿了上百人的硬座車廂。有時候累了，就坐著打個瞌睡。一路上，葛優等小偷團伙頻頻出手，嘗試著偷這10萬元錢。但是在好心人劉

2、德華和劉假設英等的維護下，葛優等小偷團伙未能得逞。好險啊，假設這錢被偷走了，傻根就娶不上媳婦了。天下無賊？3.1概述資產asset -對組織具有價值的任何東西 ISO/IEC TR 13335-1：2004概念要挾 threat -能夠導致對系統或組織損害的不希望事故潛在原因 ISO/IEC TR 13335-1：2004脆弱性vulnerability也稱脆弱點、破綻 -能夠會被要挾所利用的資產或假設干資產的弱點 ISO/IEC TR 13335-1：20043.1概述風險管理 risk management -在風險方面指揮或控制一個組織的協調活動，普通包括風險評價、風險處置、風險接受和風

3、險傳送 ISO Guide 73：2002風險 risk -事件的概率及其結果的組合 ISO Guide 73：2002風險評價risk evaluation -對照風險準那么比較被估計的風險，以確定風險嚴重性的過程 ISO Guide 73：2002概念3.1概述信息平安風險 信息平安風險是指信息資產的嚴密性、完好性和可用性遭到破壞的能夠性。 信息平安風險只思索那些對組織有負面影響的事件。風險值=資產價值要挾能夠性脆弱性嚴重性簡單了解3.1概述 對信息和信息處置設備的要挾、影響(Impact，指平安事件所帶來的直接和間接損失)和脆弱性及三者發生的能夠性的評價。3.1概述風險評價Risk As

4、sessment故事分析 在火車開動到停頓這段時間內，綜合資產、脆弱性、要挾和平安措施等各方面要素進展風險評價的結果是： 由于10萬元錢不是一筆小數目資產，葛優等小偷才干很強且決心堅決要挾，且傻根對錢的保管手段技術和認識管理都缺乏脆弱性，差一點發生 “娶不上媳婦這樣的結果風險。 因好心人劉德華和劉假設英等的維護到位平安措施，最終錢保住了風險消減。3.1概述以風險為中心的平安模型 ISO13335 風險平安措施信息資產要挾脆弱性平安需求降低添加添加利用暴露價值擁有抗擊添加引出被滿足3.1概述信息平安風險評價的意義和作用信息平安中的風險評價是傳統的風險實際和方法在信息系統中的運用，是科學地分析和了

5、解信息與信息系統在嚴密性、完好性、可用性等方面所面臨的風險，并在風險的減少、轉移和躲避等風險控制方法之間做出決策的過程。風險評價將導出信息系統的平安需求，因此，一切信息平安建立都應該以風險評價為起點。信息平安建立的最終目的是效力于信息化，但其直接目的是為了控制平安風險。只需在正確、全面地了解和了解平安風險后，才干決議如何處置平安風險，從而在信息平安的投資、信息平安措施的選擇、信息平安保證體系的建立等問題中做出合理的決策。繼續的風險評價任務可以成為檢查信息系統本身乃至信息系統擁有單位的績效的有力手段，風險評價的結果可以供相關主管單位參考，并使主管單位經過行政手段對信息系統的立項、投資、運轉產生影

6、響，促進信息系統擁有單位加強信息平安建立。3.1概述3.1概述3.1.1 信息平安風險評價相關要素信息平安風險評價的對象是信息系統，信息系統的資產、信息系統能夠面對的要挾、系統中存在的弱點脆弱性、系統中已有的平安措施等是影響信息平安風險的根本要素，它們和平安風險、平安風險對業務的影響以及系統平安需求等構成信息平安風險評價的要素。1.資產根據ISO/IEC 13335-1,資產是指任何對組織有價值的東西，資產包括：物理資產、信息/數據 、軟件、提供產品和效力的才干、人員、無形資產。 資產是指對組織具有價值的信息資源，是平安戰略維護的對象。以多種方式存在，有無形的、有形的，有硬件、軟件，有文檔、代

7、碼，也有效力、籠統等。根據資產的表現方式，可將資產分為數據、軟件、硬件、文檔、效力、人員等類。3.1概述2.要挾要挾是能夠對資產或組織呵斥損害的潛在緣由。要挾有潛力導致不期望發生的事件發生，該事件能夠對系統或組織及其資產呵斥損害。這些損害能夠是蓄意的對信息系統和效力所處置信息的直接或間接攻擊。也能夠是偶發事件。根據要挾源的不同，要挾可分為：自然要挾、環境要挾、系統要挾、人員要挾3.脆弱性脆弱性是一個或一組資產所具有的，能夠被要挾利用對資產呵斥損害的薄弱環節。4.風險根據ISO/IEC 13335-1，信息平安風險是指要挾利用利用一個或一組資產的脆弱性導致組織受損的潛在，并以要挾利用脆弱性呵斥的

8、一系列不期望發生的事件或稱為平安事件表達3.1概述5.影響影響是要挾利用資產的脆弱性導致不期望發惹事件的后果。這些后果能夠表現為直接方式，如物理介質或設備的破壞、人員的損傷、 直接的資金損失等；也能夠表現為間接的損失如公司信譽、籠統受損、市場分額損失、法律責任等。 6.平安措施平安措施是指為維護資產、抵御要挾、減少脆弱性、限制不期望發惹事件的影響、加速不期望發惹事件的檢測及呼應而采取的各種實際、規程和機制的總稱。 7.平安需求平安需求是指為保證組織業務戰略的正常運作而在平安措施方面提出的要求。3.1概述3.1.2 信息平安風險評價信息平安風險評價是指根據有關信息平安技術與管理規范，對信息系統及

9、由其處置、傳輸和存儲的信息的性、完好性和可用性等平安屬性進展評價的過程。3.1.3 風險要素相互間的關系資產、要挾、脆弱性是信息平安風險的根本要素與信息平安風險有關的要素還包括：平安措施、平安需求、影響等。ISO/IEC 13335-1對它們之間的關系描畫如圖2-1所示3.1概述GB/T20984 對ISO/IEC 13335-1提出風險要素關系模型進展了擴展我國提出的信息風險要素關系圖3.2信息平安風險評價戰略 3.2.1 基線風險評價要求組織根據本人的實踐情況所在行業、業務環境與性質等，對信息系統進展基線平安檢查將現有的平安措施與平安基線規定的措施進展比較，找出其中的差距，得出根本的平安需

10、求，經過選擇并實施規范的平安措施來消減和控制風險。 可以根據以下資源來選擇平安基線：(1)國際規范和國家規范(2)行業規范或引薦(3)來自其他有類似商務目的和規模的組織的慣例3.2信息平安風險評價戰略基線評價的優點是： (1)風險分析和每個防護措施的實施管理只需求最少數量的資源，并且在選擇防護措施時破費更少的時間和努力(2) 假設組織的大量系統都在普通環境下運轉并且假設平安需求類似，那么很多系統都可以采用一樣或類似的基線防護措施而不需求太多的努力 基線評價的的缺陷是： (1)基線程度難以設置 (2)風險評價不全面、不透徹，且不易處置變卦3.2信息平安風險評價戰略3.2.2 詳細風險評價詳細風險

11、評價要求對資產、要挾和脆弱性進展詳細識別和評價，并對能夠引起風險的程度進展評價經過不期望事件的潛在負面業務影響評價和他們發生的能夠性來完成。根據風險評價的結果來識別和選擇平安措施，將風險降低到可接受的程度詳細評價的優點是： (1)有能夠為一切系統識別出適當的平安措施(2)詳細分析的結果可用于平安變卦管理。詳細評價的缺陷：需求更多的時間、努力和專業知識3.2信息平安風險評價戰略3.2.3 綜合風險評價基線風險評價耗費資源少、周期短、操作簡單，但不夠準確，適宜普通環境的評價詳細風險評價準確而細致，但耗費資源較多，適宜嚴厲限定邊境的較小范圍內的評價實際中，多采用二者結合的綜合評價方式3.3信息平安風

12、險評價流程3.3.1 風險評價流程概述風險評價四個階段:階段1:評價預備階段2:風險識別階段3:風險評價階段4:風險處置3.3信息平安風險評價流程3.3.2 風險評價的預備風險評價的預備是整個風險評價過程有效性的保證包括：1確定風險評價目的2確定風險評價的對象和范圍3組建團隊。 組建適當的風險評價管理與實施團隊，以支持整個過程的推進4選擇方法 應思索評價的目的、范圍、時間、效果、人員素質等要素來選擇詳細 的風險判別方法，使之可以與組織環境和平安要求相順應。5獲得支持6預備相關的評價工具3.3信息平安風險評價流程3.3.3 資產識別與評價1資產識別資產識別是風險識別的必要環節。資產識別的義務就是

13、對確定的評價對象所涉及或包含的資產進展詳細的標識資產識別過程中要特別留意無形資產的脫漏，同時還應留意不同資產間的相互依賴關系，關系嚴密的資產可作為一個整體來思索，同一中類型的資產也應放在一同思索。資產識別方法: 訪談、現場調查、問卷、文檔查閱3.3信息平安風險評價流程2資產評價資產的評價是對資產的價值或重要程度進展評價，資產本身的貨幣價值是資產價值的表達，但更重要的是資產對組織關鍵業務的順利開展乃至組織目的實現的重要程度。由于多數資產不能以貨幣方式的價值來衡量，資產評價很難以定量的方式來進展，多數情況下只能以定性的方式，根據重要程度的不同劃分等級定性：非常重要重要比較重要不太重要不重要 5級劃

14、分定量： 5 4 3 2 1信息資產的性、完好性、可用性、可審計性和不可抵賴性等是評價資產的平安屬性可以先分別對資產在以上各方面的重要程度進展評價，然后經過一定的方法進展綜合,可得資產的綜合價值2. 資產評價資產價值應根據資產在嚴密性、完好性和可用性上的賦值等級，經過綜合評定得出 電子信息資產 紙介資產 軟件資產 物理資產 人員 效力性資產 公司籠統和聲譽3.3信息平安風險評價流程2. 資產評價資產價值應根據資產在嚴密性、完好性和可用性上的賦值等級，經過綜合評定得出最大原那么：取5個屬性中最大的那個屬性賦值作為綜合評價值 VA=Max(VAc, VAi, VAa, VAac, VAn)加權原那

15、么：根據屬性維護對業務開展影響賦權重 Wc+Wi+Wa+Wac+Wn=1， VA= VAcWc+VAiWi+VAaWa+VAacWac+VAnWn3.3信息平安風險評價流程2. 資產評價GB/T20984引薦方法：首先，對資產的性、完好性、可用性定性賦值其次，用一定方法進展綜合，根本屬于最大原那么 性賦值表2-3P28 完好性賦值表2-4 P29 資產可用性賦值表2-5P29對關鍵資產進展風險評價是重點3.3信息平安風險評價流程2. 資產評價3.3信息平安風險評價流程賦值 標識 定義 5 很高 包含組織最重要的秘密，關系未來發展的前途命運，對組織根本利益有著決定性的影響，如果泄露會造成災難性的

16、損害 4 高 包含組織的重要秘密，其泄露會使組織的安全和利益遭受嚴重損害 3 中等 組織的一般性秘密，其泄露會使組織的安全和利益受到損害 2 低 僅能在組織內部或在組織某一部門內部公開的信息，向外擴散有可能對組織的利益造成輕微損害 1 很低 可對社會公開的信息，公用的信息處理設備和系統資源等 資產性賦值表GB/T209842. 資產評價3.3信息平安風險評價流程資產完好性賦值表賦值 標識 定義 5 很高 完整性價值非常關鍵，未經授權的修改或破壞會對組織造成重大的或無法接受的影響，對業務沖擊重大，并可能造成嚴重的業務中斷，難以彌補 4 高 完整性價值較高，未經授權的修改或破壞會對組織造成重大影響

17、，對業務沖擊嚴重，較難彌補 3 中等 完整性價值中等，未經授權的修改或破壞會對組織造成影響，對業務沖擊明顯，但可以彌補 2 低 完整性價值較低，未經授權的修改或破壞會對組織造成輕微影響，對業務沖擊輕微，容易彌補 1 很低 完整性價值非常低，未經授權的修改或破壞對組織造成的影響可以忽略，對業務沖擊可以忽略 GB/T209842. 資產評價3.3信息平安風險評價流程資產可用性賦值表賦值 標識 定義 5 很高 可用性價值非常高，合法使用者對信息及信息系統的可用度達到年度99.9%以上，或系統不允許中斷 4 高 可用性價值較高，合法使用者對信息及信息系統的可用度達到每天90%以上，或系統允許中斷時間小

18、于10 min 3 中等 可用性價值中等，合法使用者對信息及信息系統的可用度在正常工作時間達到70%以上，或系統允許中斷時間小于30 min 2 低 可用性價值較低，合法使用者對信息及信息系統的可用度在正常工作時間達到25%以上，或系統允許中斷時間小于60 min 5 很高 可用性價值非常高，合法使用者對信息及信息系統的可用度達到年度99.9%以上，或系統不允許中斷 GB/T209842. 資產評價3.3信息平安風險評價流程資產等級及含義描畫等級標識描述5很高非常重要，其安全屬性破壞后可能對組織造成非常嚴重的損失 4高重要，其安全屬性破壞后可能對組織造成比較嚴重的損失 3中比較重要，其安全屬性

19、破壞后可能對組織造成中等程度的損失 2低不太重要，其安全屬性破壞后可能對組織造成較低的損失 1很低不重要，其安全屬性破壞后對組織造成導很小的損失，甚至忽略不計 GB/T209843.3信息平安風險評價流程3.3.4 要挾識別與評價1要挾識別要挾識別的義務是對組織資產面臨的要挾進展全面的標識要挾識別可從要挾源進展分析，也可根據有關規范、組織所提供的要挾參考目錄進展分析。 如要挾樹P30系統缺點要挾樹P312要挾評價平安風險的大小是由平安事件發生的能夠性以及它呵斥的影響決議，平安事件發生的能夠性與要挾出現的頻率有關，而平安事件的影響那么與要挾的強度或破壞才干有關要挾評價就是對要挾出現的頻率及強度進

20、展評價，這是風險評價的重要環節評價者應根據閱歷和或有關的統計數據來分析要挾出現的頻率及其強度或破壞才干要挾評價的通用方法為要挾列表中的全部可賦值要挾類進展賦值 3.3信息平安風險評價流程等級標識定義5很高出現的頻率很高（或1 次/周）；或在大多數情況下幾乎不可避免；或可以證實經常發生過 4高出現的頻率較高（或 1 次/月）；或在大多數情況下很有可能會發生；或可以證實多次發生過 3中出現的頻率中等（或 1 次/半年）；或在某種情況下可能會發生；或被證實曾經發生過 2低出現的頻率較小；或一般不太可能發生；或沒有被證實發生過 1很低威脅幾乎不可能發生，僅可能在非常罕見和例外的情況下發生 要挾賦值表G

21、B/T20984要挾評價的通用方法判別要挾出現的頻率是要挾賦值的重要內容，應根據閱歷和或有關的統計數據來進展判別。需求綜合思索以下三個方面，以構成在某種評價環境中各種要挾出現的頻率： -以往平安事件報告中出現過的要挾及其頻率的統計； -實踐環境中經過檢測工具以及各種日志發現的要挾及其頻率的統計； -近一兩年來國際組織發布的對于整個社會或特定行業的要挾及其頻率統計，以及發布的要挾預警。為簡化后續的風險計算過程，防止不用要的計算任務，僅采用TOP5或者TOP10要挾參與風險計算3.3信息平安風險評價流程要挾舉例 3.3信息平安風險評價流程外部要挾開展網絡欺騙或訛詐感染惡意代碼泄露重要信息手機攻擊網

22、絡仿冒網頁篡改網頁惡意代碼渣滓郵件回絕服務攻擊病毒蠕蟲木馬3.3信息平安風險評價流程3.3信息平安風險評價流程3.3.5 脆弱性識別與評價 1脆弱性識別也稱為弱點識別。弱點是資產本身存在的，假設沒有相應的要挾發生，單純的弱點本身不會對資產呵斥損害。而且假設系統足夠強壯，再嚴重的要挾也不會導致平安事件，并呵斥損失。 即, 要挾總是要利用資產的脆弱性才能夠呵斥危害脆弱性識別時的數據應來自于資產的一切者、運用者，以及相關業務領域和軟硬件方面的專業人員等脆弱性識別所采用的方法主要有： 問卷調查、工具檢測、人工核對、文檔查閱、浸透性測試等3.3信息平安風險評價流程3.3.5 脆弱性識別與評價 1脆弱性識

23、別脆弱性識別主要從技術和管理兩個方面進展 技術脆弱性涉及物理層、網絡層、系統層、運用層等各個層面的平安問題 管理脆弱性又可分為技術管理和組織管理兩方面，前者與詳細技術活動相關，后者與管理環境相關1脆弱性識別類型識別對象識別內容技術脆弱性網絡結構從網絡結構設計、邊界保護、外部訪問控制策略、內部訪問控制策略、網絡設備安全配置等方面進行識別系統軟件從補丁安裝、物理保護、用戶帳號、口令策略、資源共享、事件審計、訪問控制、新系統配置、注冊表加固、網絡安全、系統管理等方面進行識別應用中間件從協議安全、交易完整性、數據完整性等方面進行識別應用系統從審計機制、審計存儲、訪問控制策略、數據完整性、通信、鑒別機制

24、、密碼保護等方面進行識別管理脆弱性技術管理從物理和環境安全、通信與操作管理、訪問控制、系統開發與維護、業務連續性等方面進行識別組織管理從安全策略、組織安全、資產分類與控制、人員安全、符合性等方面進行識別3.3信息平安風險評價流程脆弱性識別內容表 3.3信息平安風險評價流程2.脆弱性評價對脆弱性被利用后對資產損害程度、技術實現的難易程度、弱點流行程度進展評價，評價的結果普通都是定性等級劃分方式，綜合的標識脆弱性的嚴重程度。也可對脆弱性被利用后對資產的損害程度以及被利用的能夠性分別評價，然后以一定方式綜合。假設多個脆弱性反映同一個問題，應綜合思索這些脆弱性，確定該類脆弱性嚴重程度脆弱性評價3.3信

25、息平安風險評價流程等級標識定義5很高如果被威脅利用，將對資產造成完全損害。 4高如果被威脅利用，將對資產造成重大損害。 3中等如果被威脅利用，將對資產造成一般損害 。 2低如果被威脅利用，將對資產造成較小損害。 1很低如果被威脅利用，將對資產造成的損害可以忽略。 脆弱性嚴重程度賦值表 脆弱性嚴重程度可以進展等級化處置，不同的等級分別代表資產脆弱性嚴重程度的高低。等級數值越大，脆弱性嚴重程度越高GB/T209843.3信息平安風險評價流程3.3.6 已有平安措施確實認平安措施可以分為預防性平安措施和維護性平安措施兩種預防性平安措施可以降低要挾利用脆弱性導致平安事件發生的能夠性，如入侵檢測系統經過

26、兩個方面的作用來實現 1減少要挾出現的頻率，如經過立法或健全制度加大對員工惡意行為的懲罰，可以減少員工故意行為要挾出現的頻率，經過平安培訓可以減少無意行為導致平安事件出現的頻率； 2減少脆弱性，如及時為系統打補丁、對硬件設備定期檢查可以減少系統的技術脆弱性等。維護性平安措施可以減少因平安事件發生后對組織或系統呵斥的影響。 3.3信息平安風險評價流程3.3.6 已有平安措施確實認對已采取的平安措施進展確認，至少有兩個方面的意義 1有助于對當前信息系統面臨的風險進展分析 2經過對當前平安措施確實認，分析其有效性，對有效的平安措施繼續堅持，以防止不用要的任務和費用，防止平安措施的反復實施3.3信息平

27、安風險評價流程3.3.7 風險分析風險分析就是利用資產、要挾、脆弱性識別與評價結果以及對已有平安措施確認后，采用適當的方法與工具確定要挾利用脆弱性導致平安事件發生的能夠性。綜合平安事件所作用的資產價值及脆弱性的嚴重程度，判別平安事件呵斥的損失對組織的影響，即平安風險3.3信息平安風險評價流程3.3.7 風險分析1風險計算如前所述，風險可方式化的表示為R=(A,T,V)，其中R表示風險、A表示資產、T表示要挾、V表示脆弱性。相應的風險值由A、T、V的取值決議，是它們的函數，可以表示為： 風險值=RA，T，V= R(L(T，V)，F(Ia，Va ) Va表示脆弱性嚴重程度；L表示要挾利用資產的脆弱

28、性導致平安事件發生的能夠性；F表示平安事件發生后產生的損失3.3信息平安風險評價流程3.3.7 風險分析1風險計算三個關鍵計算環節：a計算平安事件發生的能夠性根據要挾出現頻率及弱點的情況，計算要挾利用脆弱性導致平安事件發生的能夠性，即： 平安事件發生的能夠性=L(要挾出現頻率，脆弱性) = L(T，V ) 在詳細評價中，應綜合攻擊者技術才干專業技術程度、攻擊設備等、脆弱性被利用的難易程度可訪問時間、設計和操作知識公開程度等、資產吸引力等要素來判別平安事件發生的能夠性。 3.3信息平安風險評價流程3.3.7 風險分析1風險計算三個關鍵計算環節：b計算平安事件發生后的損失 根據資產價值及脆弱性嚴重

29、程度，計算平安事件一旦發生后的損失，即： 平安事件的損失=F(資產價值，脆弱性嚴重程度) =F(Ia，Va ) 部分平安事件的發生呵斥的損失不僅僅是針對該資產本身，還能夠影響業務的延續性；不同平安事件的發生對組織呵斥的影響也是不一樣的。在計算某個平安事件的損失時，應將對組織的影響也思索在內。 對發生能夠性極小的平安事件，可以不計算其損失3.3信息平安風險評價流程3.3.7 風險分析1風險計算三個關鍵計算環節：c計算風險值 根據計算出的平安事件發生的能夠性以及平安事件的損失，計算風險值，即： 風險值=R(平安事件發生的能夠性，平安事件呵斥的損失) =R(L(T，V)，F(Ia，Va ) 可根據本

30、身情況選擇相應的風險計算方法計算風險值，如矩陣法或相乘法。矩陣法經過構造一個二維矩陣，構成平安事件發生的能夠性與平安事件的損失之間的二維關系相乘法經過構造閱歷函數，將平安事件發生的能夠性與平安事件的損失進展運算得到風險值。3.3信息平安風險評價流程2影響分析平安事件對組織的影響可表達在以下方面： 直接經濟損失、物理資產的損壞、業務影響、 法律責任、人員平安危害、信譽籠統損失上述損失有些容易定量表示，有些那么很難3能夠性分析平安事件發生的能夠性的要素有： 資產吸引力、要挾出現的能夠性、 脆弱性的屬性、平安措施的效能等。根據要挾源的分類，引起平安事件發生的緣由能夠 自然災禍、環境及系統要挾、 人員

31、無意行為、人員故意行為等不同類型的平安事件，其能夠性影響要素也有點不同3.3信息平安風險評價流程4. 風險結果斷定 為實現對風險的控制與管理，可以對風險評價的結果進展等級化處置。可以將風險劃分為五級，等級越高，風險越高根據所采用的風險計算方法，計算每種資產面臨的風險值根據風險值的分布情況，為每個等級設定風險值范圍，并對一切風險計算結果進展等級處置。每個等級代表了相應風險的嚴重程度等 級標 識描 述5很高一旦發生將產生非常嚴重的經濟或社會影響，如組織信譽嚴重破壞、嚴重影響組織的正常經營，經濟損失重大、社會影響惡劣 4高一旦發生將產生較大的經濟或社會影響，在一定范圍內給組織的經營和組織信譽造成損害

32、 3中等一旦發生會造成一定的經濟、社會或生產經營影響，但影響面和影響程度不大 2低一旦發生造成的影響程度較低，一般僅限于組織內部，通過一定手段很快能解決 1很低一旦發生造成的影響幾乎不存在，通過簡單的措施就能彌補 風險等級劃分表 3.3信息平安風險評價流程3.3.8 平安措施的選取風險評價的目的不僅是獲取組織面臨的有關風險信息，更重要的是采取適當的措施將平安風險控制在可接受的范圍內。平安措施可以降低平安事件呵斥的影響，也可以降低平安事件發生的能夠性，在對組織面臨的平安風險有全面認識后，應根據風險的性質選取適宜的平安措施，并對對能夠的剩余風險進展分析，直到剩余風險為可接受風險為止。3.3信息平安

33、風險評價流程3.3.9 風險評價文件記錄風險評價文件包括在整個風險評價過程中產生的評價過程文檔和評價結果文檔，這些文檔包括： (1)風險評價方案 (2)風險評價程序 (3)資產識別清單 (4)重要資產清單 (5)要挾列表 (6)脆弱性列表 (7)已有平安措施確認表 (8)風險評價報告 (9)風險處置方案 (10)風險評價記錄3.3信息平安風險評價流程3.3.10 信息系統生命周期各階段評價風險評價應貫穿于信息系統生命周期的各階段中信息系統生命周期各階段中涉及的風險評價的原那么和方法是一致的，但由于各階段實施的內容、對象、平安需求不同，使得風險評價的對象、目的、要求等各方面也有所不同。規劃設計階

34、段，經過風險評價以確定系統的平安目的；建立驗收階段，經過風險評價以確定系統的平安目的達成與否；運轉維護階段，要不斷地實施風險評價以識別系統面臨的不斷變化的風險和脆弱性，從而確定平安措施的有效性，確保平安目的得以實現。每個階段風險評價的詳細實施應根據該階段的特點有所偏重有條件時，應采用風險評價工具開展風險評價活動 3.3信息平安風險評價流程3.3.10 信息系統生命周期各階段評價規劃階段的風險評價詳見GB/T 209842007 設計階段的風險評價詳見GB/T 209842007 實施階段的風險評價詳見GB/T 209842007運轉維護階段的風險評價詳見GB/T 209842007廢棄階段的風

35、險評價詳見GB/T 209842007 3.3信息平安風險評價流程3.3.11 風險評價的任務方式 分為自評價和檢查評價兩種方式。信息平安風險評價應以自評價為主，自評價和檢查評價相結合、互為補充 自評價 是指信息系統擁有、運營或運用單位發起的對本單位信息系統進展的風險評價自評價應在本規范的指點下，結合系統特定的平安要求進展實施周期性進展的自評價可以在評價流程上適當簡化，重點調查自上次評價后系統發生變化后引入的新要挾，以及系統脆弱性的完好識別，以便于兩次評價結果的對比但系統發生艱苦變卦時，應根據本規范進展完好的評價 3.3信息平安風險評價流程3.3.11 風險評價的任務方式 分為自評價和檢查評價

36、兩種方式。信息平安風險評價應以自評價為主，自評價和檢查評價相結合、互為補充 檢查評價 是指信息系統上級管理部門組織或國家有關職能部門依法開展的風險評價。檢查評價可根據本規范的要求，實施完好的風險評價過程。檢查評價也可在自評價實施的根底上，對關鍵環節或重點內容實施抽樣評價3.3信息平安風險評價流程3.3.11 風險評價的任務方式 檢查評價 包括以下內容 a自評價隊伍及技術人員審查； b自評價方法的檢查； c自評價過程控制與文檔記錄檢查； d自評價資產列表審查； e自評價要挾列表審查； f自評價脆弱性列表審查； g現有平安措施有效性檢查； h自評價結果審查與采取相應措施的跟蹤檢查； i自評價技術技

37、藝限制未完成工程的檢查評價； j上級關注或要求的關鍵環節和重點內容的檢查評價； k軟硬件維護制度及實施管理的檢查； l突發事件應對措施的檢查； 3.4信息平安風險評價方法3.4.1 概述 信息平安風險評價是經過采用一定的方法對組織面臨的風險進展識別，并分析風險對組織帶來的影響以及其發生的能夠性大小，然后經過一定的綜合評價方法來評價組織面臨的風險，并選取適當的措施來控制風險。風險評價的復雜性決議了風險評價方法的多樣性。 從實際上看，風險評價方法的實際根底包括：概率風險分析方法、模糊決策方法、人工智能、定性推理方法、灰色決策實際、綜合評價方法等。 從風險評價過程整體上看，風險評價方法有：基于資產驅

38、動的風險評價方法、要挾驅動的風險評價方法、脆弱性驅動的風險評價方法、基于案例的風險評價方法等。 從風險分析方法來看，風險評價方法可分為兩大類：定量方法與定性方法。3.4信息平安風險評價方法3.4.2 信息平安風險評價實際根底 1.概率風險分析 概率風險分析方法的思想是利用概率論方法來識別和分析風險，這類方法主要包括：缺點樹分析法FTA，缺點方式影響和危害程度分析方法FMECA，危害及可操作性研討分析方法HazOp和Markov分析法。 2.模糊決策方法 風險評價的對象以及信息系統的形狀具有不確定性，經典的數學模型由于其準確性特點使得它很難很好的把握問題的本質，模糊決策方法填補了這方面的缺乏。

39、模糊決策實際不是把問題變成模糊不清的東西，相反，它具有數學的共性：條理清楚、一絲不茍，它是經過規范化的實際體系來描畫模糊的對象，使模糊對象能明晰的呈如今決策者面前，這是經典的數學實際所不能做到的。3.4信息平安風險評價方法3.人工智能 人工智能是20世紀中期產生的并正在迅速開展的新興邊緣學科,它是探求和模擬人的智能和思想過程的規律,并進而設計出類似人的某些智能化的科學。 信息系統形狀變化規律的復雜性決議了很難用一確定的數學模型來描畫，應綜合神經網絡、智能推理，知識庫等多方面知識，建立一個具有自學習才干的專家系統，目前基于案例的風險評價方法就是這一實際的詳細運用。6.灰色系統實際 部分信息知、部

40、分信息未知的系統稱為灰色系統。灰色系統實際是研討和處理灰色系統分析、建模、預測和控制的實際。在信息世界，由于數據的短缺或事物本身的特性，很多景象是“灰色的，其意義是指其中含有知的、未知的與非確定的種種信息。3.4信息平安風險評價方法7.綜合評價方法 信息平安風險評價對象是多目的的復雜系統，對于多目的系統，評價目的有多個，不同目的有不同的量綱，多目的系統的評價過程中必需處理以下兩個問題：其一是采用什么方法將不同量綱目的無量綱化，其二是采用何種方式確定不同目的的相對重要性，通常是引入權向量來描畫。不同綜合評價方法有不同的處置方法，常用的綜合評價方法有綜合指數法、效果評分法、TOPSIS法、層次分析

41、法、主成份分析法、聚類分析法等(1)綜合指數法是多目的系統的一種評價方法。綜合指數法經過計算各評價對象對每個目的折算指數值來實現不同目的值的無量綱化，并經過加權平均方法計算綜合指數值3.4信息平安風險評價方法 (2) 效果評分法經過效果系數來實現不同目的的無量綱化，然后在利用其他方法來確定效果權值，如均權法、層次分析法、離差權法等。 (3)TOPSIS法3.4信息平安風險評價方法3.4信息平安風險評價方法(4) 層次分析法是將決策問題的有關元素分解成目的、準那么、方案等層次，在此根底上進展定量和定性分析的一種決策方法。層次分析法的決策過程如下： a)分析各影響要素間的關系，建立層次模型 b)構

42、建兩兩比較判別矩陣 c)計算單個判別矩陣對應的權重向量 d)計算各層元素對目的層的合成權重向量(5) 主成分分析是一種多元統計分析方法，對于多目的的復雜評價系統，由于目的多，數據處置相當復雜，由于目的之間存在一定的關系，可以適當簡化。主成分分析的思想是經過一定的變換，用較少的目的來替代原先較多的目的，從而到達簡化問題的處置與分析的目的。(6) 聚類分析法是處理“物以類聚，處理事務分類的一種數學方法。它是在沒有或不用樣品所述類別信息的情況下，根據對樣品采集的數據的內在構造以及相互間的關系，在樣品間類似性度量的根底上，對樣品進展分類的一種方法3.4信息平安風險評價方法3.4.3 定量方法 定量方法

43、試圖用詳細的貨幣表示方式的損失值來分析和度量風險，定量方法主要有基于期望損失的風險評價方法與基于期望損失成效的風險評價方法等。1基于期望損失的風險評價方法 類似的定義還有期望年損失ALEAnnual Loss Expectancy，它是以組織在目前平安形狀下平均年損失作為風險度量的規范。假設風險事件E呵斥的相對損失為loss，其發生的能夠性為L，loss和L均為取值在0,1區間定量值。假設根據期望損失實際，將根據lossL值大小劃分等級，等級劃分方法結果如圖2-9所示3.4信息平安風險評價方法2基于期望損失成效的風險評價方法假設經過風險評價，風險事件E呵斥的相對損失為loss，其發生的能夠性為

44、L，loss和L均為取值在0,1區間定量值。建立風險等級劃分方法，結果見圖所示 這種方法的益處就是可以更好的區分“高損失、低能夠性及“低損失、高能夠性兩種不同平安事件的風險。3.4信息平安風險評價方法3.4.4 定性方法 定性方法不是給出詳細的貨幣方式的損失，而是用諸如“極為嚴重、嚴重、普通、可忽略等定性方法來度量風險。定性方法普通基于一定的定量方法，在定量方法的根底上進展裁剪和簡化。典型的定性風險分析與評價方法有風險矩陣丈量、要挾分級法、風險綜合評價等。1風險矩陣丈量這種方法的特點是事先建立資產價值、要挾等級和脆弱性等級的一個對應矩陣，預先將風險等級進展了確定。然后根據不同資產的賦值從矩陣中確定不同的風險。2要挾分級法這種方法是直接思索要挾、要挾導致的平安事件對資產產生的影響以及要挾導致平安事件發生的能夠性來確定風險。3風險綜合評價這種方法中風險由要挾導致的平安事件發生的能夠性、對資產的影響程度以及曾經存在的控制措施三個方面來確定。與風險矩陣法和要挾分級法不同，本方法將控制措施的采用引入風險