安全风险评估培训(inspur)

Inspurgroup安全风险评估培训2今日议题安全风险评估介绍信息安全介绍工作环节评估的模式安全风险评估流程安全风险评估工具介绍安全风险评估工具3什么是风险？风险Risk对目标有所影响的某个事情发生的可能性。它根据后果和可能性来度量。----AS/NZS4360:1999《风险管理》4信息安全定义信息安全的三个方面(ISO27001/BS7799)机密性（Confidentiality）完整性（Integrity）可用性（Availability）5信息安全的典型特性潜在性相对性层次性分布性。。。。。。6“安全”（security）的独特内涵“防范潜在的危机”7性能容易量化可以评价为：低、较低、较高、高……看得见安全很难量化只有两个结果“出事”和“不出事”容易被忽视“安全”与“性能”的对比8“防范潜在的危机”安全没有100%安全只能将风险降到最低只有相对的安全，没有绝对的安全信息安全的相对性9资产保护风险管理的核心理念10123451-项目准备与范围确定项目计划项目组织结构项目工作环境Kickoff需求调研，背景讨论2-项目定义和蓝图完成详细方案设计定义项目目标培训定义详细项目范围定义报告格式完成蓝图并与用户签署3-评估安全评估（本地，远程）本地评估安全信息库开发4-综合报告和解决方案数据导入信息库和整理综合评估报告综合解决方案安全策略建议5-评审支持和维护修复和加固协助电话热线支持安全评估项目中的阶段1112345项目计划组织结构项目人员项目范围需求调研项目蓝图风险评估报告及解决方案策略建议安全解决方案用户回访报告评估报告及解决方案评估报告及解决方案安全信息库设计和开发综合评估报告综合解决方案策略建议项目阶段和提交文档12项目成果－交付件结构IDS申请报告ISS申请报告IDS实施方案ISS实施方案IDS分析报告ISS分析报告远程评估人工评估申请报告白客测试申请报告人工评估实施方案白客测试实施方案人工评估报告白客测试分析报告顾问访谈备忘录安全问卷调查报告网络架构评估报告业务流程评估报告策略文档评估报告策略文档评估报告总结本地评估申请方案中间报告评估阶段安全风险评估报告网络安全策略评估和改进建议网络安全解决方案方案阶段13第一阶段：项目准备阶段×××公司安全风险评估方案建议（SOW文档）第二阶段：蓝图阶段蓝图系列文档第三阶段：安全风险评估阶段×××公司系统综合风险分析报告项目阶段主要成果及标志（1）14第四阶段：综合评估和策略阶段×××公司系统网络安全现状×××公司系统安全策略建议×××公司系统安全解决方案第五阶段：项目评审项目验收报告项目阶段主要成果及标志（2）15风险评估的模式精简型风险评估标准型评估大型评估16今日议题安全风险评估介绍信息安全介绍工作环节评估的模式安全风险评估流程安全风险评估工具介绍安全风险评估工具17•信息资产界定•安全弱点和威胁的评估•风险量化和计算•安全评估报告•安全解决方案评估流程图安全风险评估流程18类别简称解释/示例数据Data存在电子媒介的各种数据资料，包括源代码、数据库数据，各种数据资料、系统文档、运行管理规程、计划、报告、用户手册等软件Software应用软件、系统软件、开发工具和资源库等服务Service业务流程和各种业务生产应用、操作系统、、SMTP、POP3、FTP、MRPII、DNS、呼叫中心、内部文件服务、网络连接、网络隔离保护、网络管理、网络安全保障、入侵监控硬件Hardware计算机硬件、路由器、交换机、硬件防火墙、程控交换机、布线、备份存储设备等文档Document纸质的各种文件、传真、电报、财务报告、发展计划设备Facility电源、空调、保险柜、文件柜、门禁、消防设施等人员HR各级管理人员，网管员，系统管理员，业务操作人员，第三方人员等其它Other企业形象，客户关系等信息资产分类列表19资产组主机（硬件，OS，应用软件，服务，数据）网络（硬件，IOS，配置文件，网络服务）数据库（数据库软件，数据等）总体资产组（每个业务为一个资产组）独立资产服务（主要业务服务和业务流程等）数据（重要的数据）人员（各类人员，安全组织和人员）本项目应用的分类标准20赋值含义解释4VeryHigh价值非常关键，对相应资产具有致命性的潜在影响3High价值较高，潜在影响严重，相应资产将蒙受严重损失，难以弥补2Medium价值中等，对相应资产潜在影响重大，但可以弥补1Low价值较低，对相应资产潜在影响可以忍受，较容易弥补0Negligible价值或潜在影响可以忽略机密性、完整性和可用性的价值分别赋值实际的赋值过程中，将以用户为主信息资产赋值21•信息资产界定•安全弱点和威胁的评估•风险量化和计算•安全评估报告•安全解决方案风险评估流程22弱点和资产紧密相连，它可能被威胁利用、引起资产损失或破坏。弱点(脆弱性)赋值赋值简称说明4VH该弱点可以造成资产全部损失等非常大的威胁3H该弱点可以造成资产重大损失等较大威胁2M该弱点可以造成资产损失，引发中等威胁1L该弱点可以造成较小资产损失，引发较小威胁0N该弱点可能造成资产损失可以忽略、引发的威胁可以忽略安全弱点的评估23威胁的属性：•可能性•影响性安全威胁是一种对系统、组织及其资产构成潜在破坏能力的可能性因素或者事件安全威胁的评估24赋值简称说明4VH不可避免（90%）3H非常有可能（70%~90%）2M可能（20%~70%）1L可能性很小（20%）0N不可能（~0%）•国际公布的IT威胁的统计概率•用户的事件或故障报告•IDS的数据的采样威胁的属性--可能性Likelihood25赋值简称说明4VH资产全部损失，或资产已不可用（75%）3H资产遭受重大损失（50%~75%）2M资产遭受明显损失（25%~50%）1L损失可忍受（25%）0N损失可忽略（~0%）和系统现有的安全措施相关，主要依靠经验来判断。威胁的属性—严重性Impact26在弱点和威胁评估时充分考虑现有安全措施及强弱程度对其影响。•安全技术措施•安全控制手段•有效的安全服务•安全策略现有安全措施界定27•信息资产界定•安全弱点和威胁的评估•风险量化和计算•安全评估报告•安全解决方案安全风险评估流程28风险值=资产价值X威胁值X弱点值此处=威胁值已经考虑现有安全措施对其影响风险的计算29•避免——完全消除风险•降低——减小弱点、威胁的可能性和严重性•接受——承担一些风险•转嫁——责任外包，保险•回避——不开展此业务或应用（消极）•威慑——通过追究责任的方式风险处置措施30符号含义建议处置措施E极度风险要求立即采取措施：避免？转移？减小？H高风险需要高级管理部门的注意：避免？转移？减小？M中等风险必须规定管理责任：避免？接受？转移？减小？L低风险用日常程序处理：避免？接受？转移？减小？风险处置措施31•信息资产界定•安全弱点和威胁的评估•风险量化和计算•安全评估报告•安全解决方案安全风险评估流程321.信息资产列表总结2.安全弱点评估总结3.安全威胁评估总结4.现有安全措施列表总结5.风险量化和评级总结6.风险的处置和接受总结7.安全措施建议总结8.安全风险评估总结安全风险评估报告33•按层次描述安全现状–物理层–网络层–操作系统层–应用程序层–业务系统层–数据保护•安全现状综述–人员–安全组织–资产分类及控制–安全策略、制度与规范–业务连续性–法律和策略符合性安全现状报告34安全风险评估分析提取需求体需求体详细分析需求体的业务分析需求体的层次分析需求体的依赖关系分析需求体框架分析需求分析总结需求分析35需求体分解安全方案建议引言方案建议可行性分析优势推荐意见安全解决方案36风险评估主要方法介绍安全工具扫描(网络、系统、数据库)安全策略文档分析安全审计和顾问访谈业务流程评估网络拓扑结构评估白客渗透测试IDS工具取样37今日议题安全风险评估介绍信息安全介绍工作环节评估的模式安全风险评估流程安全风险评估工具介绍安全风险评估工具38风险评估工具工具介绍工具演示39Q&A谢谢！