風險評估管理程序教材(編輯修改稿)

　

【文章內容簡介】 面主要考慮當這種資產的機密性、完整性、可用性受到損害時，對業務運營的負面影響程度。在信息安全管理中，并不是直接采用資產的賬面價值，在運維中心風險評估中采用以定性分級的方式建立資產的相對價值，以相對價值來作為確定重要資產的依據和為這種資產的保護投入多大資源的依據。 資產分類 運維中心資產分類見下表：大類 小類 名稱H010 大型機H020 小型機H030 PC 服務器H040 PC 臺式機H050 PC 移動電腦硬件類H060 業務終端15 / 37大類 小類 名稱H070 通訊設施H080 網絡交換機H090 網絡路由器H100 負載均衡器H110 網絡安全設備H120 數據存儲設備H130 移動存儲設備H140 存儲介質H150 紙質文檔H160 智能卡設備H170 UPS 設備H180 發電機H190 設備管理間H200 電線電纜H210 顯示設備H220 監控設備H230 傳真機/傳真系統H240 照明設施H250 供電設施H260 供水設施H270 暖通空調H280 消防設施H290 門禁系統H300 打印機H310 復印機H320 掃描儀H330 投影機H340 機架16 / 37大類 小類 名稱S010 核心業務應用系統S020 輔助業務應用系統S030 網絡基礎應用系統S040 網絡安全系統S050 操作系統S060 數據庫S070 中間件S080 軟件開發工具S090 軟件測試工具系統服務類S100 其他系統或服務I010 軟件I020 開發文檔及源代碼I030 用戶文檔I040 系統業務數據I050 系統支撐數據I060 密碼數據信息類I070 其他F010 通訊服務F020 系統運行F030 系統維護F040 軟件開發F050 軟件維護F060 安全保衛F070 人力資源服務F080 財務服務F090 供電F100 供暖支撐服務類F110 消防17 / 37大類 小類 名稱F120 照明F130 空調F140 咨詢服務F150 培訓服務F160 審計服務R010 管理層人員R020 網絡管理人員R030 系統管理人員R040 安全管理人員R050 軟件開發人員R060 軟件測試人員R070 通訊管理人員R080 文檔管理人員R090 系統用戶R100 企業客戶R110 簽約供應商R120 第三方人員人員類R130 臨時人員W010 公信力 W020 組織形象與聲譽 W030 商標W040 產品名稱無形資產類W050 知識產權表 52 資產分類表 資產價值屬性除了機密性、完整性和可用性外，在運維中心風險評估中引入系統對業務的重要程度、資產對系統的重要程度，資產花費等資產價值屬性，各價值屬性圖示如下：18 / 37系 統 對 業 務 的 重 要 程 度系 統 服 務 范 圍業 務 對 系 統 的 依 賴 程 度信 息 保 密 性信 息 完 整 性信 息 可 用 性資 產 信 息重 要 性資 產 對 業務 的 重 要程 度資 產 對 系 統 的 重 要 程 度資 產 業務 價 值花 費資 產 價 值圖 52 資產價值屬性1. 系統服務范圍：說明當前業務系統應用或服務的范圍，評估人員可以人工分析并選擇系統服務范圍值。2. 業務對系統的依賴程度：用于衡量部門業務對當前業務系統的依賴程度，評估人員可以人工分析并選擇業務對系統的依賴程度值。3. 系統對業務的重要程度：用于衡量業務系統對業務的重要性，其值由系統服務范圍和業務對系統的依賴程度確定。4. 信息保密性：說明信息資產本身或硬件、系統服務類資產所包含信息的保密性價值，評估人員可以人工分析并選擇信息保密性值。5. 信息完整性：說明信息資產本身或硬件、系統服務類資產所包含信息的完整性價值，評估人員可以人工分析并選擇信息完整性值。6. 信息可用性：說明信息資產本身或硬件、系統服務類資產所包含信息的可用性價值，評估人員可以人工分析并選擇信息可用性值。7. 資產信息重要性：用于衡量信息資產本身或硬件、系統服務類資產所包含信息的信息價值，其值由信息保密性、信息完整性和信息可用性確定。8. 資產對系統的重要程度：用于衡量硬件、系統服務類資產對業務系統的可用性價值，評估人員可以人工分析并選擇對系統的重要程度值。9. 資產對業務的重要程度：用于衡量硬件、系統服務類資產對業務的重要性，其值由系統對業務的重要程度和資產對系統的重要程度確定。10. 資產業務價值：用于衡量硬件、系統服務、人員及其它類資產對業務的價值，對于人員及無形類資產，其值由對業務的重要程度確定，對于硬件、系統服務類資產，其值由對業務的重要程度和資產信息重要性確定。11. 花費：用于衡量購買或恢復被破壞的資產所需要的花消，評估人員可以19 / 37人工分析并選擇花費值。12. 資產價值：用于表示資產的重要性，其值由資產業務價值和花費確定。不同類別資產賦值可能采用不同的價值屬性。具體見下表：資產類別價值屬性硬件類 系統服務類 信息類 支撐服務 人員 無形資產系統服務范圍 √ √ √ √ √業務對系統的依賴程度 √ √ √ √ √系統對業務的重要程度 √ √ √ √ √保密性 √ √完整性 √ √可用性 √ √ √ √ √資產 CIA 重要性 √ √ √ √ √資產對系統的重要程度 √ √ √ √ √資產對業務的重要程度 √ √ √ √ √資產業務價值 √ √ √ √ √花費 √ √ √ √ √表 53 不同資產采用的價值屬性 資產價值屬性賦值標準運維中心風險評估使用的資產屬性賦值標準見下表：? 系統服務范圍賦值系統服務范圍賦值 描述1 運維中心內部。2 面向開發基地。3 面向整個公司內部。4 面向整個公司內部及客戶、政府、組織等。表 54 系統服務范圍賦值表20 / 37? 業務對系統的依賴程度賦值業務對系統依賴程度賦值描述1整個業務處理流程可以通過手工方式或其他方式完成，而且這些替代方式對組織業務的開展沒有或極少影響。2整個業務處理流程可以通過手工方式或其他方式完成，但這些替代方式對組織業務的開展有較大的影響。3業務處理流程的部分環節可以通過手工方式或其他方式替代完成, 這些替代方式對組織業務的開展有較大的影響。4 業務處理流程完全依賴信息系統，手工方式無法完成。表 55 業務對系統的依賴程度賦值表? 系統對業務的重要程度計算系統重要程度權值（W）＝系統服務范圍值+業務對系統依賴程度值系統重要程度值＝T1（W）T1 是非線性函數，用于將計算出的權值 W 映射到 5 級，得到系統重要程度值，見下表：系統對業務重要程度賦值 描述1 W={2，3}2 W={4}3 W={5}4 W={6}5 W={7，8}表 56 系統對業務的重要程度計算表? 信息保密性賦值信息保密性賦值 描述1 信息的未授權泄露對運維中心的業務以及利益基本不會受到影響或損害極小。2 信息的未授權泄露對運維中心的業務以及利益帶來21 / 37信息保密性賦值 描述一定的損失或破壞。3 信息的未授權泄露對運維中心的業務、利益以及整個公司利益帶來嚴重的損失或破壞。4 信息的未授權泄露對運維中心的業務、利益以及整個公司利益帶來極其嚴重的損失或破壞。5 信息的未授權泄露會對運維中心的業務、利益以及整個公司利益帶來災難性的損失或破壞。表 57 信息保密性賦值表? 信息完整性賦值信息完整性賦值 描述1 信息的未授權的修改或破壞對運維中心的業務以及利益基本不會受到影響或損害極小。2 信息的未授權的修改或破壞對運維中心的業務以及利益帶來一定的損失或破壞。3 信息的未授權的修改或破壞對運維中心的業務、利益以及整個公司利益帶來嚴重的損失或破壞。4 信息的未授權的修改或破壞會對運維中心的業務、利益以及整個公司利益帶來極其嚴重的損失或破壞。5 信息的未授權的修改或破壞會對運維中心的業務、利益以及整個公司利益帶來災難性的損失或破壞。表 58 信息完整性賦值表? 信息可用性賦值信息可用性賦值 描述1 可用性價值可以忽略，合法使用者對信息及信息系統的可用度在正常工作時間低于 25%2 可用性價值較低，合法使用者對信息及信息系統的可用度在正常工作時間達到 25%以上3 可用性價值中等，合法使用者對信息及信息系統的可用22 / 37信息可用性賦值 描述度在正常工作時間達到 70%以上4 可用性價值較高，合法使用者對信息及信息系統的可用度達到每天 90%以上5 可用性價值非常高，合法使用者對信息及信息系統的可用度達到年度 %以上表 59 信息可用性賦值表? 資產 CIA 重要性計算資產 CIA 重要性值＝MAX（保密性值、完整性值、可用性值）? 資產對系統的重要程度賦值對系統的重要程度賦值描述1資產出現問題對整個業務系統的可用性影響極小或沒有影響。2 資產出現問題對整個業務系統的可用性有一定的影響。3 資產出現問題對整個業務系統的可用性有較大的影響。4 資產出現問題將導致整個業務系統喪失可用性。表 510 資產對系統的重要程度賦值表? 資產對業務的重要程度計算資產對業務的重要程度權重(W)＝系統對業務的重要程度值資產對系統的重要程度值 資產對業務的重要程度值＝T2（W）T2 是非線性函數，用于將計算出的權值 W 映射到 5 級，得到資產對業務重要程度值，見下表：資產對業務重要程度賦值描述1 W={1，2}2 W={3，4，5}3 W={6，8，9}4 W={10，12}23 / 37資產對業務重要程度賦值描述5 W={15，16，20}表 511 資產對業務的重要程度計算表? 資產業務價值計算資產業務價值＝MAX（資產對業務的重要程度值、資產 CIA 重要性值）? 花費賦值資產花費賦值 描述1 購買或恢復資產花費= 萬元。2 萬元購買或恢復資產花費1 萬元。3 1 萬元購買或恢復資產花費10 萬元。4 10 萬元購買或恢復資產花費50 萬元。5 50 萬元購買或恢復資產花費表 512 資產花費賦值表? 資產價值計算資產價值＝MAX（資產業務價值、花費） 威脅評估威脅是一種對運維中心資產構成潛在破壞的可能性因素或者事件。無論對于實施多少安全控制的信息系統，威脅始終是一個客觀存在的，因此在風險評估中威脅是需要考慮的重要因素之一。威