信息安全风险评估的主要内容

资产识别

资产数据采集

确定信息系统的资产

资产分类识别

根据资产使用模式、访问点等属性，对其进行分类

资产赋值

根据资产在保密性、完整性和可用性方面的损失所引发的业务影响程度，对其价值进行估值

威胁识别

威胁数据采集

确定信息系统每项资产所面临的的安全威胁

威胁分类识别

根据威胁来源，对标识出的威胁进行分类

威胁赋值

根据威胁发生的可能性和频度对其进行估价

物理脆弱性识别

环境

从场地、供电、监控等环境方面进行脆弱性识别

系统

从设备标识、标记、布局等方面进行脆弱性识别

设备

从系统备份、设备管理、性能管理的等方面进行脆弱性识别

网络脆弱性识别

网络拓扑结构

从接入方式、子网划分、入侵检测措施等方面进行脆弱性识别

网络通讯基础设施

从访问控制措施、远程维护、审计策略等方面进行脆弱性识别

网络数据传输安全体系

从SSL协议配置、传输安全机制等方面进行脆弱性识别

网络安全基础设施

从访问控制措施、远程维护、审计策略等方面进行脆弱性识别

系统脆弱性识别

操作系统系统

从系统维护方式、口令策略、网络服务配置等方面进行脆弱性识别

应用服务器系统

从系统维护方式、口令策略、系统资源配置等方面进行脆弱性识别

数据库服务器系统

从访问控制策略、用户配置、审计策略等方面进行脆弱性识别

应用脆弱性识别

系统设计安全性识别

从应用程序设计、工程实现等方面进行脆弱性识别

业务功能脆弱性识别

从业务逻辑、功能实现等方面进行脆弱性识别

系统工程实现脆弱性识别

从系统工程设计与实现、安全功能等方面进行脆弱性识别

管理脆弱性识别

组织机构

从岗位设置、人员配置、审核等方面进行脆弱性识别

人员管理

从人员录用离岗、文档资料等方面进行脆弱性识别

制度管理

从总体方针和安全策略、制度的修订和发布等方面进行脆弱性识别

安全策略

从总体安全策略、测试与验收策略、备份与恢复策略等方面进行脆弱性识别

系统建设

从工程实施、项目变更、系统交付等方面进行脆弱性识别

系统运维

从网络安全管理、病毒和恶意代码管理、密码管理等方面进行脆弱性识别

已有安全措施优先性识别

预防性措施

识别威胁利用脆弱性导致安全事件发生的可能性

保护性措施

识别减少安全事件发生后对组织或系统造成的影响

风险分析

风险值计算

采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性

风险结果判定

量化风险，风险处理计划，残余风险评估