返回chinesezzqiang的回答

chinesezzqiangchinesezzqiang  信息技术经理 , M

风险评估是从风险管理角度,运用科学的方法和手段,系统地分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件一旦发生可能造成的危害程度,同时为防范和化解信息安全风险,或者将风险控制在可接受的水平,制定有针对性的抵御威胁的防护对策和整改措施以最大限度地保障网络和信息安全提供科学依据。
存储类项目作为企业的核心项目,其风险评估可从两个方面着手,一是新核心系统本身的风险评估,包括网络、硬件和信息系统等方面;二是原核心系统改造或者迁移和外围系统变更过程的风险评估。在具体评估实施过程中一般包括风险评估的准备,对信息系统软硬件资产、面临威胁、存在脆弱性的识别,对已采取的安全措施的确认,和对可能存在的信息安全风险的识别等环节。
1、风险评估的准备。这是实施风险评估的前提,是为了更好地开展信息安全风险评估。由于新核心系统项目涉及的业务流程、信息安全等级需求、新核心系统规模、软硬件架构等方面的内容,需要提前进行以下风险评估前的准备:
(1)确定评估的目标;
(2)确定评估的范围;
(3)组建评估监管团队和评估实施团队;
(4)进行系统调研,调研内容包括:业务发展战略、信息系统管理制度、主要业务功能和要求、内外部网络架构和环境、网络安全分区边界、新核心系统所涉及的主要硬件和软件、新核心系统的数据信息、新核心系统的系统和数据敏感性以及该系统的业务使用、运维、开发人员等;
(5)确定评估依据和方法,评估依据包括:现有国际或国家有关信息安全标准、银监等监管机构对核心业务系统的要求和制度、安全等级保护要求和核心系统本身的实时性和性能要求等;
(6)获得最高管理者对风险评估工作的支持。
2、风险识别。这是发现、列举和描述风险要素的过程。其目是确定可能影响系统或者
组织目标得以实现的事件或者情况。其过程包括对风险源、风险事件及其原因和潜在后果的识别,关键点在于整个风险识别过程中,要认识到人和组织的因素的重要性,因此偏离预期的人为及组织因素也应被纳入风险识别过程。新核心系统风险识别包括以下三个方面:
(1)新核心系统软硬件资产分类,以资产的机密性、完整性和可用性三个安全属性为基础进行风险衡量;
(2)新核心系统威胁识别,造成威胁的因素可分为人为因素和环境因素,通过对这些威胁因素的识别之后,以此作为衡量新核心系统各个方面抗风险的能力。例如软硬件故障、物理环境影响、人为误操作、恶意代码、网络攻击、数据泄密、篡改等威胁情况下的新核心系统风险防范。
(3)新核心系统脆弱识别,可以以新核心系统所涉及的资产为核心,针对每一项需要保护的资产,识别可能被威胁利用的弱点,并对脆弱性的严重程度进行评估;也可以从新核心系统所在的物理、网络、系统、应用等多个层次进行识别,然后与资产、威胁对应起来。脆弱性识别内容包括:技术脆弱性(物理环境、网络架构、操作系统及软件、数据库、中间件、应用程序等)和管理脆弱性(技术管理、组织管理)两个方面。
3、已有安全措施确认。安全措施包含预防性安全措施和保护性安全措施两种。在识别脆弱性的同时,评估人员应对已采取的安全措施进行有效性检查,检查是否发挥了真正作用。对有效发挥了其作用的安全措施,应继续保持,而不用重复建设;对于不适当的安全措施,应及时进行整改,或采用更合适的安全措施替代。例如新核心系统利旧原核心系统两地三中心存储架构和备份架构,该架构的有效性长期经受过切换演练的检验,新核心系统架构可有效抵御物理环境的脆弱性带来的风险隐患。
4、风险分析。通过风险分析增进对风险的理解,为风险评价、决定风险是否需要应对以及最适当的应对策略和方法提供信息支持。通常而言,有以下三种风险分析方法:
(1)后果分析:通过假定新核心系统建设过程中出现的特定事件、情况或者环境,来分析风险影响的性质和类型。后果分析应包括:考虑应对后果的现有控制措施,并关注可能影响后果的相关因素;将后果与最初目标联系起来;对马上出现的后果和那些经过一段时间后可能出现的后果两种情况要同等重视;不能忽视次要后果,例如新核心系统建设带来的其他相关联的外围系统的影响和风险。
(2)可能性分析:通常使用三种方法来估计可能性,包括利用相关历史数据来识别那些过去发生的事件或情况,借此推断出它们未来发生的可能性,例如通过评估原核心系统各项主要性能指标的历史趋势,来衡量新核心系统的资源压力瓶颈;利用故障数和事件树等技术来预测可能性,例如对新核心系统所用的软件组件和架构和现有行内相同的组件和架构进行比对评估,通过衡量其他组件和架构的稳定性和故障率来评估新核心系统标准技术的选型;系统化和结构化地利用专家观点来估计可能性,例如通过专家论证、评审的方式,确定新核心系统方案、架构选型等。
(3)初步分析:对风险进行全面筛查,识别出最重大的风险或把不太重要和次要的风险排查,便于进一步分析,以确保能够组织资源集中应对新核心系统建设可能带来的最严重风险。
5、风险评价。包括将风险分析的结果与预先设定的风险准则相比较,或者在各种风险分析结果之间进行比较,确定风险等级。针对风险分析过程中所获得的对风险的认识,来对未来的行动产生决策,包括某个风险是否需要应对、风险的应对优先次序、是否应开展某项应对措施、应该采取哪种有效途径进行应对等等。并依据风险的可容忍程度,将风险划分为三个区域:不可接收区域(必须不牺一切代价进行风险应对)、中间区域(权衡应对措施的成本与收益,权衡机遇与潜在后果)、可广泛接收区域(风险微不足道,无需采取任何风险应对措施)。
6、文件的归档。风险评估的过程和结果都应进行记录,并以可理解的术语来表达,同时风险等级的单位也应得到清晰表述。所有记录的文件包括但不限于:风险评估方案、风险评估程序、新核心系统资产识别清单、系统威胁列表、已有安全措施确认、风险评估报告、风险处理计划、风险评估记录等。整个评估记录工作应在整个项目的全生命周期内持续进行,如果出现重要的新信息或者环境发生变化,应根据管理的需求对风险评估进行更新。
7、风险评估的监督和检查。通过对新核心系统项目风险发展变化的观察和掌握,对风险识别、分析、评价、处理的监视和控制,评估风险危险程度和风险处理策略和措施的效果,并针对出现的问题及时采取措施的过程,从而保证风险管理达到预期的目标。项目风险监控和检查采取的措施主要有权变措施、纠正措施、变更申请和处理计划更新等。

IT其它 · 2019-02-22
浏览1331

回答者

chinesezzqiang
信息技术经理M
擅长领域: 云计算存储私有云

chinesezzqiang 最近回答过的问题

回答状态

  • 发布时间:2019-02-22
  • 关注会员:2 人
  • 回答浏览:1331
  • X社区推广