ISMS-4-信息安全风险评估与管理

信息安全风险评估与管理

PKSEC北京知识安全工程中心

课程内容1. 概念解析 2. 风险和风险管理的一般过程 3. 信息安全风险管理模型 4. 27001中风险管理的要求 中风险管理的要求 5. 信息安全风险管理方法

PKSEC

PKSEC

1.1 风险

风险是什么？ 风险是什么？中国有句古话： 中国有句古话： “天有不测风云，人有旦夕祸福” 天有不测风云，人有旦夕祸福”

PKSEC

1.1 风险

不利事件 不利事件发生的条件 不利事件发生的可能性 不利事件的影响关于风险几个描述a) b) c) d) e) 中石油吉化公司双苯厂发生爆炸， 中石油吉化公司双苯厂发生爆炸，污染松花 江水质，给下游城市带来严重的水危机 江水质， 目前环境下投资股票比投资国债风险要大 人身意外伤害保险 频繁的黑客活动给网上银行带来很大的风险 内部人员的误操作和恶意侵害是银行最大信 息不安全

PKSEC

1.1 风险风险的定义金山词霸2005:美国传统词典 ： 金山词霸 The possibility of suffering harm or loss; danger. 遭受损害或损失的可能性； 遭受损害或损失的可能性；危险

PKSEC

1.1 风险风险的定义辞海：上海辞书出版社， 辞海：上海辞书出版社，1989年 年 风险： 风险：是指人们在生产建设和日常生活中遭遇可能导致 人身伤亡、财产受损及其它经济损失的自然灾害、 人身伤亡、财产受损及其它经济损失的自然灾害、意外 事故和其它不测事件的可能性。 事故和其它不测事件的可能性。

PKSEC

1.1 风险AS/NZS 4360:澳大利亚 新西兰国家标准： 新西兰国家标准： :澳大利亚/新西兰国家标准风险：对目标产生影响的某种事件发生的机会。 风险：对目标产生影响的某种事件发生的机会。它可以用后 果和可能性来衡量。 果和可能性来衡量。 Risk: the chance of something happening that will have on impact upon objectives. It is measured in terms of consequences and likelihood.

PKSEC

1.1 风险风险的定义ISO Guide73:2002 :(Risk Management – Vocabulary – Guidelines for use in standards) )

risk:combination of the probability of an event and its : consequence 事件的可能性及其后果的组合。 事件的可能性及其后果的组合。注1:通常，只有至少存在产生不利结果可能性的情况下才使用“风险”术语。 :通常，只有至少存在产生不利结果可能性的情况下才使用“风险”术语。 注2:在某些情况下，风险是由偏离期望的结果或事件的可能性引起的。 :在某些情况下，风险是由偏离期望的结果或事件的可能性引起的。

PKSEC

1.1 风险ISO/IEC TR 13335-1:1996 安全风险：是指一种特定的威胁利用一种或一组脆弱 安全风险： 性造成组织的资产损失或损害的可能性。 性

造成组织的资产损失或损害的可能性。 Risk: the potential that a given threat will exploit vulnerabilities of an asset or group of assets to cause loss or damage to the assets.

PKSEC

1.1 风险与风险有关的名词：后果 Consequence以定性或定量方式表示的一个事件的结果，可以是损害、 以定性或定量方式表示的一个事件的结果，可以是损害、伤 失利或获利。 害、失利或获利。

可能性 Likelihood用作对几率或频率的定性描述。 用作对几率或频率的定性描述。

几率 Probability以事件或结果与可能发生事件或结果的总数之比来度量事件 或结果的可能性。用数字0或者 来表达。 或者1来表达 或结果的可能性。用数字 或者 来表达。

频率 Frequency以规定时间内所发生的次数来表达的事件发生率的度量。 以规定时间内所发生的次数来表达的事件发生率的度量。

PKSEC

1.1 风险风险( 风险(risk) )风险是指遭受损害或损失的可能 性，是实现一个事件的不想要的 负面结果的潜在因素。 对信息系统而言：两种因素造成 对其使命的实际影响：(1)一个 特定的威胁源利用或偶然触发一 个特定的信息系统脆弱性的概率； (2)上述事件发生之后所带来的 影响。

PKSEC

1.2 风险管理风险管理的概念ISO Guide73:2002 :(Risk Management – Vocabulary – Guidelines for use in standards) )

risk management:coordinated activities to direct and : control an organization with regard to risk. 在风险方面指挥和控制组织的协同活动。 在风险方面指挥和控制组织的协同活动。注：风险管理一般包括风险评估、风险处理、风险接受和沟通。 风险管理一般包括风险评估、风险处理、风险接受和沟通。

PKSEC

1.2 风险管理风险管理的概念Wikipedia 维基百科 -自由、开发的百科全书 自由、风险管理又名危机管理，是指如何在一个肯定有风险的环境 风险管理又名危机管理，是指如何在一个肯定有风险的环境 风险 里把风险减至最低的管理过程。当中包括了对风险的量度、 里把风险减至最低的管理过程。当中包括了对风险的量度、 评估和应变策略。理想的风险管理， 评估和应变策略。理想的风险管理，是一连串排好优先次序 的过程， 的过程，使当中的可以引致最大损失及最可能发生的事情优 先处理、而相对风险较低的事情则压后处理。 先处理、而相对风险较低的事情则压后处理。 理想的风险管理， 理想的风险管理，正希望能够花最少的资源去尽可能化解最 大的危机。 大的危机。

PKSEC

1.2 风险管理风险管理的概念Peter L. Bernstein,《与上帝做对：风险的非凡经历》,1996年 《与上帝做对：风险的非凡经历》 年 一个具有革命意义的看

法是， “一个具有革命意义的看法是，对风险的掌握程度是划分现代 和过去时代的分水岭： 和过去时代的分水岭：所谓对风险的掌握就是说未来不再更多地依 赖上帝的安排，人类在自然面前不再是被动的。 赖上帝的安排，人类在自然面前不再是被动的。在人们发现跨越这 个分水岭的道路之前，未来只是过去的镜子， 个分水岭的道路之前，未来只是过去的镜子，或者是属于那些垄断 了对未来事件进行预测的圣贤和占扑者的黑暗领地。 了对未来事件进行预测的圣贤和占扑者的黑暗领地。” 风险管理有助于我们在非常广阔的领域里进行决策， “风险管理有助于我们在非常广阔的领域里进行决策，从分配 财富到保护公共健康，从战争到家庭计划安排， 财富到保护公共健康，从战争到家庭计划安排，从支付保费到系安 全带，从种植玉米到玉米片的市场营销。 全带，从种植玉米到玉米片的市场营销。”

PKSEC

1.2 风险管理风险管理的历史1930年代，源于美国，受当时经济危机影响，美国40%的银行和企业破产，促使他们设 年代，源于美国，受当时经济危机影响，美国 %的银行和企业破产， 年代 立保险管理部门，应对危机。 立保险管理部门，应对危机。 1950年代风险管理发展成为一门学科，风险管理一词才形成。 年代风险管理发展成为一门学科，风险管理一词才形成。 年代风险管理发展成为一门学科 1970年代以后逐渐掀起了全球性的风险管理运动，法国、日本相继学习美国开始了风险管 年代以后逐渐掀起了全球性的风险管理运动，法国、 年代以后逐渐掀起了全球性的风险管理运动 理研究。 理研究。 1983年在美国召开的风险和保险管理协会年会上，世界各国专家学者云集纽约，共同讨论 年在美国召开的风险和保险管理协会年会上，世界各国专家学者云集纽约， 年在美国召开的风险和保险管理协会年会上 并通过了“ 条风险管理准则” 它标志着风险管理的发 …… 此处隐藏：3051字，全部文档内容请下载后查看。喜欢就下载吧 ……