1、國家（上海）信息安全工程技術(shù)研究中心上海世博會信息化安全性檢測與評估技術(shù)聯(lián)合實驗室2010年9月信息安全風險管理Page 2主要內(nèi)容主要內(nèi)容風險與風險管理介紹風險與風險管理介紹1信息安全風險評估介紹信息安全風險評估介紹2國內(nèi)外信息安全現(xiàn)狀簡介國內(nèi)外信息安全現(xiàn)狀簡介3Page 3風險與風險管理風險與風險管理p風險（風險（RiskRisk）在信息安全領域講，就是指信息資產(chǎn)遭受損壞并給企業(yè)帶來負面影響的潛在可能性。p風險評估（風險評估（Risk AssessmentRisk Assessment）就是對信息和信息處理設施面臨的威脅、受到的影響、存在的弱點以及威脅發(fā)生的可能性的評估。p風險管理（風險管

2、理（Risk ManagementRisk Management）就是以可接受的代價，識別、控制、減少或消除可能影響信息系統(tǒng)的安全風險的過程。Page 4風險管理的形象描述風險管理的形象描述p系統(tǒng)基本風險系統(tǒng)基本風險p采取措施后殘余風險采取措施后殘余風險Page 5安全成本與利益的平衡安全成本與利益的平衡p絕對安全是不現(xiàn)實的絕對安全是不現(xiàn)實的p尋求達到安全目標與安全成本的平衡尋求達到安全目標與安全成本的平衡Page 6風險管理的實際操作流程風險管理的實際操作流程p風險評估是風險管理過程中的關鍵步驟風險評估是風險管理過程中的關鍵步驟Page 7風險評估的一般方法風險評估的一般方法p定量風險評估：

3、定量風險評估：試圖從數(shù)字上對安全風險進行分析評估的一種方法。p定性風險評估：定性風險評估：憑借分析者的經(jīng)驗和直覺，或者業(yè)界的標準和慣例，為風險管理諸要素的大小或高低程度定性分級。Page 8風險評估量化計算模型風險評估量化計算模型Page 9滲透測試模型滲透測試模型Page 10國內(nèi)外信息安全發(fā)展現(xiàn)狀（標準體系）國內(nèi)外信息安全發(fā)展現(xiàn)狀（標準體系）p 國內(nèi)國內(nèi)u 等級保護體系等級保護體系(GB 17859)u 信息安全保障體系信息安全保障體系(GB/T 20274)u p 國際國際u 技術(shù)體系技術(shù)體系(RFC、NIST-SP800)u 管理體系管理體系(ISO27001/ISO27002)u 評估體系評估體系(ISO15408)u Page 11ISO27001-ISO27001-風險管理的過程模型風險管理的過程模型p應用于應用于ISMS過程的過程的PDCA模型模型計劃：計劃：建立與管理風險和改進信息安全有關的ISMS方針、目標、過程和規(guī)程，以提供與組織總體方針和總體目標一致的結(jié)果。實施：實施：實施和運行ISMS方針、控制措施和規(guī)程。檢查：檢查：基于ISMS內(nèi)部審核和管理評審的結(jié)果或者其他相關信息，采取糾正和預防措施，已持續(xù)改進ISMS。處置：處置