信息安全风险评估与风险管理.ppt

《信息安全风险评估与风险管理.ppt》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、信息安全风险评估与风险管理国家信息中心信息安全服务与研究中心范红二00四年九月汇报内容一、前言二、信息安全风险管理概述三、信息安全风险管理各组成部分四、信息安全风险管理的运用五、结束语2一、前言3二、信息安全风险管理概述1、信息安全风险管理的目的和意义2、信息安全风险管理的范围和对象3、信息安全风险管理的内容和过程4、信息安全风险管理与信息系统生命周期和信息安全目标的关系5、信息安全风险管理的角色和责任4二、信息安全风险管理概述1、信息安全风险管理的目的和意义2、信息安全风险管理的范围和对象3、信息安全风险管理的内容和过程4、信息安全风险管理与信息系统生命周期和信息安全目

2、标的关系5、信息安全风险管理的角色和责任5信息安全风险管理的目的和意义信息安全风险管理是信息安全保障工作中的一项基础性工作。1、信息安全风险管理体现在信息安全保障体系的技术、组织和管理等方面。2、信息安全风险管理贯穿信息系统生命周期的全部过程。3、信息安全风险管理依据等级保护的思想和适度安全的原则，平衡成本与效益，合理部署和利用信息安全的信任体系、监控体系和应急处理等重要的基础设施，确定合适的安全措施，从而确保机构具有完成其使命的信息安全保障能力。6二、信息安全风险管理概述1、信息安全风险管理的目的和意义2、信息安全风险管理的范围和对象3、信息安全风险管理的内容和过程4、

3、信息安全风险管理与信息系统生命周期和信息安全目标的关系5、信息安全风险管理的角色和责任7信息安全风险管理的范围和对象8二、信息安全风险管理概述1、信息安全风险管理的目的和意义2、信息安全风险管理的范围和对象3、信息安全风险管理的内容和过程4、信息安全风险管理与信息系统生命周期和信息安全目标的关系5、信息安全风险管理的角色和责任9信息安全风险管理的内容和过程10二、信息安全风险管理概述1、信息安全风险管理的目的和意义2、信息安全风险管理的范围和对象3、信息安全风险管理的内容和过程4、信息安全风险管理与信息系统生命周期和信息安全目标的关系5、信息安全风险管理的角色和责任11三

4、维结构关系12二、信息安全风险管理概述1、信息安全风险管理的目的和意义2、信息安全风险管理的范围和对象3、信息安全风险管理的内容和过程4、信息安全风险管理与信息系统生命周期和信息安全目标的关系5、信息安全风险管理的角色和责任13信息安全风险管理相关人员的角色和责任层面信息系统信息安全风险管理角色内外部责任角色内外部责任决策层主管者内负责信息系统的重大决策。主管者内负责信息安全风险管理的重大决策。管理层管理者内负责信息系统的规划，以及建设、运行、维护和监控等方面的组织和协调。管理者内负责信息安全风险管理的规划，以及实施和监控过程中的组织和协调。执行层建设者内或外负责信息系统

5、的设计和实施。执行者内或外负责信息安全风险管理的实施。运行者内负责信息系统的日常运行和操作。维护者内或外负责信息系统的日常维护，包括维修和升级。监控者内负责信息系统的监视和控制。监控者内负责信息安全风险管理过程和结果的监视和控制。支持层专业者外为信息系统提供专业咨询、培训、诊断和工具等服务。专业者外为信息安全风险管理提供专业咨询、培训、诊断和工具等服务。用户层使用者内或外利用信息系统完成自身的任务。受益者内或外反馈信息安全风险管理的效果。14三、信息安全风险管理各组成部分1、对象确立2、风险评估3、风险控制4、审核批准5、沟通与咨询6、监控与审查15三、信息安全风险管理各

6、组成部分1、对象确立2、风险评估3、风险控制4、审核批准5、沟通与咨询6、监控与审查16对象确立概述对象确立是信息安全风险管理的第一步骤，根据要保护系统的业务目标和特性，确定风险管理对象。其目的是为了明确信息安全风险管理的范围和对象，以及对象的特性和安全要求。17对象确立过程18风险管理准备19信息系统调查20信息系统分析21信息安全分析22对象确立的文档阶段输出文档文档内容风险管理准备《风险管理计划书》风险管理的目的、意义、范围、目标、组织结构、经费预算和进度安排等。信息系统调查《信息系统的描述报告》信息系统的业务目标、业务特性、管理特性和技术特性等。信息系统分析《信息

7、系统的分析报告》信息系统的体系结构和关键要素等。信息安全分析《信息系统的安全要求报告》信息系统的安全环境和安全要求等。23三、信息安全风险管理各组成部分1、对象确立2、风险评估3、风险控制4、审核批准5、沟通与咨询6、监控与审查24风险评估概述风险评估是信息安全风险管理的第二步，针对确立的风险管理对象所面临的风险进行识别、分析和评价。25风险评估过程26风险评估准备27风险因素识别28风险程度分析29风险等级评价30风险评估的文档阶段输出文档文档内容风险评估准备《风险评估计划书》风险评估的目的、意义、范围、目标、组织结构、经费