信息安全风险管理程序

城云科技（杭州）有限公司信息安全风险管理程序文档编号3.1受控状态受控版本号V2.0作者鄂鹏羽审核人李振华批准人夏敏发布日期2014/12/1批准日期2014/12/1目录信息安全风险管理程序.............................................................................................................................1第一章目的.......................................................................................................................................1第二章范围.......................................................................................................................................1第三章名词解释.................................................................................................................................1第四章风险评估方法.........................................................................................................................2第五章风险评估实施.........................................................................................................................5第六章风险管理要求.......................................................................................................................19第七章附则...................................................................................................................................20第八章检查要求...............................................................................................................................20第一章目的第一条目的：指导信息安全组织针对信息系统及其管理开展的信息风险评估工作。本指南定义了风险评估的基本概念、原理及实施流程；对资产、威胁和脆弱性识别要求进行了详细描述。第二章范围第二条范围：适用于风险评估组开展各项信息安全风险评估工作。第三章名词解释第三条资产对组织具有价值的信息或资源，是安全策略保护的对象。第四条资产价值资产的重要程度或敏感程度的表征。资产价值是资产的属性，也是进行资产识别的主要内容。资产价值通过机密性、完整性和可用性三个方面评估计算获得。（一）机密性（Confidentiality）：确保只有经过授权的人才能访问信息；（二）完整性（Integrality）：保护信息和信息的处理方法准确而完整；（三）可用性（Availability）：确保经过授权的用户在需要时可以访问信息并使用相关信息资产。第五条威胁可能导致对系统或组织危害的不希望事故潜在起因。第六条脆弱性可能被威胁所利用的资产或若干资产的弱点。第七条信息安全风险人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。第八条信息安全评估依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。第九条残余风险采取了安全措施后，信息系统仍然可能存在的风险。第四章风险评估方法第十条风险管理模型脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆图1风险管理模型图1为风险管理的基本模型，椭圆部分的内容是与这些要素相关的属性。风险管理围绕着资产、威胁、脆弱性和安全措施这些基本要素展开。信息安全风险评估在对风险管理要素的评估过程中，需要充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与这些基本要素相关的各类属性。图1中的风险管理要素及属性之间存在着以下关系：（一）业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；（二）资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；（三）风险是由威胁引发的，资产面临的威胁越多则风险越大，并可能演变成为安全事件；（四）资产的脆弱性可能暴露资产的价值，资产具有的弱点越多则风险越大；（五）脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产；（六）风险的存在及对风险的认识导出安全需求；（七）安全需求可通过安全措施得以满足，需要结合资产价值考虑实施成本；（八）安全措施可抵御威胁，降低风险；（九）残余风险有些是安全措施不当或无效,需要加强才可控制的风险；而有些则是在综合考虑了安全成本与效益后不去控制的风险；（十）残余风险应受到密切监视，它可能会在将来诱发新的安全事件。第十一条风险评估模型资产所有者威胁来源信息资产价值信息资产脆弱性威胁的可能性影响度后果可能性风险图2风险评估原理图风险评估的过程中主要包含信息资产（InformationAsset），脆弱性（Vulnerability）、威胁（Threat）、影响（Impact）和风险（Risk）五个要素。信息资产的基本属性是资产价值（AssetsValue），脆弱性的基本属性是被威胁利用的难易程度（HowEasilyExploitedbyThreats）、威胁的基本属性是威胁的可能性（ThreatLikelihood）、影响度的基本属性是严重性（Severity），它们直接影响风险的两个属性，风险的后果（RiskConsequence）和风险的可能性（RiskLikelihood）。其中资产价值和影响的严重性构成风险的后果，脆弱性被威胁利用的难易程度和威胁的可能性构成风险的可能性，风险的后果和风险的可能性构成风险。第十二条风险评估方法脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆脆图3风险评估方法风险评估的主要内容为：（一）对资产进行识别，并对资产的价值进行赋值；（二）对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；（三）对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；（四）根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性；（五）根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件的损失；（六）根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响；（七）综合分析，采用适当的方式计算风险值。第五章风险评估实施第十三条风险评估的准备风险评估的准备是整个风险评估过程有效性的保证。组织实施风险评估是一种战略性的考虑，其结果将受到组织业务战略、业务流程、安全需求、系统规模和结构等方面的影响。因此，在风险评估实施前应：（一）确定风险评估的目标；（二）确定风险评估的范围；（三）组建适当的评估管理与实施团队；（四）进行系统调研；（五）确定评估依据和方法（即评估列表）；（六）获得最高管理者对风险评估工作的支持。第十四条资产识别资产识别是对直接赋予了价值因而需要保护的资产进行分类和价值等级赋值。资产分类和赋值方法可根据ISO27001体系结合组织自身情况完成，资产价值作为风险计算的输入。第十五条威胁评估安全威胁是一种对系统、组织及其资产构成潜在破坏的可能性因素或者事件。产生安全威胁的主要因素可以分为人为因素和环境因素。人为因素包括有意因素和无意因素。环境因素包括自然界的不可抗力因素和其它物理因素。威胁可能是对信息系统直接或间接的攻击，例如非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。威胁也可能是偶发的、或蓄意的事件。一般来说，威胁总是要利用网络、系统、应用或数据的弱点才可能成功地对资产造成伤害。安全事件及其后果是分析威胁的重要依据。但是有相当一部分威胁发生时，由于未能造成后果，或者没有意识到，而被安全控制人员忽略。这将导致对安全威胁的认识出现偏差。威胁分析方法首先需要考虑威胁的来源，然后分析各种来源存在哪些威胁种类，最后做出威胁来源和威胁种类的列表进行威胁赋值。（一）威胁来源分析信息系统的安全威胁来源可考虑以下方面：威胁源威胁分类威胁来源描述人为因素非恶意人员威胁事件内部人员由于缺乏责任心，或者由于不关心和不专注，或者没有遵循规章制度和操作流程而导致故障或被攻击；内部人员由于缺乏培训，专业技能不足,不具备岗位技能要求而导致信息系统故障或被攻击。恶意人员威胁事件不满的或有预谋的内部人员对信息系统进行恶意破坏；采用自主的或内外勾结的方式盗窃机密信息或进行篡改，获取利益。第三方合作伙伴和供应商，包括业务合作伙伴以及软件开发合作伙伴、系统集成商、服务商和产品供应商；包括第三方恶意的和无恶意的行为。外部人员利用信息系统的弱点，对网络和系统的机密性、完整性和可用性进行破坏，以获取利益或炫耀能力。环境威胁自然威胁事件洪灾、火灾、地震等环境条件和自然灾害物理威胁事由于断电、静电、灰尘、潮湿、温度、鼠蚁虫害、电磁干扰、；表1：威胁来源（二）威胁种类分析对安全威胁进行分类的方式有多种多样，针对上表威胁来源，组织信息管理部的安全威胁种类按类列举如下表所示。威胁的编号按照类别进行划分，以字母“T”开头（Threats），第二个字母为威胁类型，例如人员威胁为TP为前缀，以“-”连接，以数字后缀为序列。威胁源威胁分类威胁编号威胁类型威胁表现威胁注释人为因素非恶意人员威胁事件TP-01无作为或操作失误操作失误、错误在正常工作或使用过程中，由于技能不足或精神不集中导致的操作不当、设置错误，无意中造成对资产的侵害TP-02无作为或操作失误无意识传播恶意代码使用个人电脑、移动介质等时无意识中传播了恶意的代码，TP-03管理不到位遗失无意遗失重要资产TP-04管理不到位生病感染流行病或传染病导致无法正常出勤TP-05管理不到位事假、离职因事假或离职导致无法正常工作TP-06无作为或操作失误工作疏忽、监控不力、判断失误在正常工作或使用过程中，由于技能不足或精神不集中导致的监察不力、响应不及时等，无意中造成对资产的侵害恶意人员威胁事件TP-07物理攻击蓄意破坏蓄意以各种方式破坏信息资产，可能导致资产不可用，如纵火，在系统中故意留后门TP-08篡改数据破坏对系统中数据进行恶意删除等行为件非人为系统威胁事件意外事故或由于软件、硬件、数据、通讯线路方面的故障。社会因素威胁社会动乱恐怖袭击TP-09越权或滥用非授权访问/使用非授权地对网络或系统进行访问，非授权地使用设备或软件，如对系统内容非法下载或批量导出,非授权扫描TP-10恶意代码恶意代码攻击病毒、蠕虫、逻辑炸弹、木马后门等恶意代码的攻击TP-11篡改非授权篡改对系统或数据进行非授权篡改，导致完整性丧失TP-12管理不到位擅自使用非授权软件擅自通过互联网下