风险分析和风险管理方法能力与极限

《风险分析和风险管理方法能力与极限》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、风险分析和风险管理方法风险分析和风险管理方法能力与极限能力与极限广东科达信息有限公司GuangdongInformationTechnologyLtd.12002-9-27内容内容ò介绍－术语ò现有风险分析和风险管理方法的优点和缺点òCRAMM（英国政府的风险分析和风险管理方法）－回顾GuangdongInformationTechnologyLtd.22002-9-27风险分析风险分析和和风险管理方法风险管理方法介绍－术语GuangdongInformationTechnologyLtd.32002-9-27相关术语相关术语°信息安全

2、包括：•保护信息的机密性•保护信息的完整性•保护信息的有效性GuangdongInformationTechnologyLtd.42002-9-27主要目的主要目的°保护下面的资产•硬件•软件•通信设备•周边控制设备•文档•数据和信息•员工°保护信息安全GuangdongInformationTechnologyLtd.52002-9-27信息安全信息安全可以可以//应该应该保护什么保护什么ò绝对的安全是不存在的ò最好的做法是平衡潜在风险成本和实施对策成本ò我们需要估计风险成本和估计对策的有效性的方法，以便可以加以比较Guangdong

3、InformationTechnologyLtd.62002-9-27我们怎样估计风险我们怎样估计风险°风险，是一个有以下自变量的函数•资产上的价值（金钱）（A）•脆弱性（V）•潜在的威胁和种类（T）•影响的对象和范围（I）°因此R（风险）=f(A,T,V,I)GuangdongInformationTechnologyLtd.72002-9-27威胁利用固有脆弱性资产计算导致影响风险产生减少对策结果GuangdongInformationTechnologyLtd.82002-9-27影响影响ò揭露ò更改ò消除ò杜绝Guangdong

4、InformationTechnologyLtd.92002-9-27对策对策ò物理ò程序ò技术ò人员GuangdongInformationTechnologyLtd.102002-9-27风险分析风险分析和和风险管理风险管理风险分析和风险管理方法的优点和缺点GuangdongInformationTechnologyLtd.112002-9-27风险分析和风险管理方法风险分析和风险管理方法ò建立信息安全的抽象模型ò鉴定和估计所有的资产ò估计对IT用户的影响ò分析脆弱性ò分析威胁程度ò计算风险系数ò选择和推荐对策ò监控和评价对策的应用

5、效果GuangdongInformationTechnologyLtd.122002-9-27估计资产威胁脆弱性影响计算风险选择对策GuangdongInformationTechnologyLtd.132002-9-27结果是结果是……°对一个特定的对策提出行之有效的建议可以有效的应付潜在的威胁。GuangdongInformationTechnologyLtd.142002-9-27极限性极限性有很多现成的方法，但即使有这些方法的完整目录，或可以比较它们，或包括所有必须的步骤，或包括了所有的信息系统子资产…GuangdongInfo

6、rmationTechnologyLtd.152002-9-27评估框架评估框架ò用户ò资产覆盖范围ò年总结ò威胁和脆弱性覆盖ò适应范围范围òH/W需求ò影响分析覆盖范围òS/W需求ò评估方法ò必需的用户经验ò一套对策ò大小GuangdongInformationTechnologyLtd.162002-9-27其他局限其他局限ò风险分析和风险管理方法不能提供现有对策的反馈及他们的有效性报告ò不能提供统计预测而只是提供主观判断GuangdongInformationTechnologyLtd.172002-9-27然而然而……ò到目前还

7、没有人提出一个更好的处理风险的办法ò使用一个公共的语言使管理层、雇员、专家之间有了交流的渠道ò用经济术语代替数学公式进行威胁表达，在有密集商业活动的组织里有特定的优势GuangdongInformationTechnologyLtd.182002-9-27因此因此……ò风险分析和风险管理方法被认为是进行交流的可靠的、并且有效的方法GuangdongInformationTechnologyLtd.192002-9-27风险分析风险分析和和风险管理方法风险管理方法CRAMM方法GuangdongInformationTechnologyL

8、td.202002-9-27CRAMMCRAMM方法方法ò在1986-1987研发ò最新版本4.1在2001年发布ò已经在全世界成千上万的评估中应用ò提供检测方案的能力（what-if）ò提供威胁和对策目录