信息安全测评与风险评估复习

信息安全测评与风险评估

测评思想

科学精神

  • 怀疑
  • 批判
  • 创新
  • 求实
  • 协作
  • 严肃的科学精神
  • 严谨的工作作风
  • 严格的贯标流程

第一、二章–测评思想和方法

要贯彻国家标准规范,保证在规划、设计、建设、运行维护和退役等不同阶段的信息系统满足统一、可靠的安全质量要求

国家计算机安全等级保护标准

  • 《信息系统安全保护等级定级指南》
  • 《信息系统安全等级保护实施指南》
  • 《信息系统安全等级保护基本要求》

等保概念区分

  • 第一级:信息系统受到破坏后,会对公民、法人和其他组织的合法权益造成损害,但不损害国家安全、社会秩序和公共利益。
  • 第二级:信息系统受到破坏后,会对公民、法人和其他组织的合法权益产生严重损害,或者对社会秩序和公共利益造成损害,但不损害国家安全。
  • 第三级:信息系统受到破坏后,会对社会秩序和公共利益造成严重损害,或者对国家安全造成损害。
  • 第四级:信息系统受到破坏后,会对社会秩序和公共利益造成特别严重损害,或者对国家安全造成严重损害。
  • 第五级:信息系统受到破坏后,会对国家安全造成特别严重的损害。

安全域

  • 资产价值相似性安全域,指同一安全区域内的信息资产具有相近的资产价值。
  • 业务应用相似性安全域,指同一安全区域内信息系统的业务应用或系统功能相似。
  • 安全需求相似性安全域,指同一安全区域内的信息资产应具有相似的机密性要求、完整性要求和可用性要求。
  • 安全威胁相似性安全域,指同一安全区域内的信息资产应处在相似的风险环境中,面临相似的威胁。

制定工作计划注意要点

  • 工作目标
  • 工作范围
  • 工作重点
  • 进度安排
  • 保障措施
  • 约束条件
  • 计划审批
  • 测评依据
  • 术语和名词缩写

第三章-数据安全测评

数据安全属性

  • 完整性
  • 保密性
  • 可用性

测评方法

  • 访谈

    指测评人员通过与信息系统有关人员(个人/群体)进行交流、讨论等活动,获取证据以证明信息系统安全等级保护措施是否有效的一种方法。

  • 检查

    指测评人员通过对测评对象进行观察、查验和分析等活动,获取证据以证明信息系统安全等级保护措施是否有效的一种方法

  • 测试

    指测评人员通过对测评对象按照预定的方法/工具使其产生特定的行为等活动,然后查看、分析输出结果,获取证据以证明信息系统安全等级保护措施是否有效的一种方法。

数据安全测评环节

  • 数据完整性
  • 数据保密性
  • 数据备份与恢复

检查

(其中有文档检查和动手检查,故可能两项目的描述相同)

数据完整性检查

  1. 检查主机操作系统、网络设备系统、数据库管理系统的设计/验收文档或相关证明性材料(如证书、检验报告等),查看其是否检测/验证到系统管理数据(如 Windows 域管理、目录管理数据)、鉴别信息(如用户名和口令)和用户数据(如用户数据文件)在传输过程中完整性受到破坏,是否检测到系统管理数据、身份鉴别信息和用户数据(如防火墙的访问控制规则)在存储过程中完整性受到破坏,以及是否能检测到重要程序的完整性受到破坏。在检测到完整性错误时是否有采取必要的恢复措施的描述:如果有相关信息,查看其配置是否正确。
  2. 检查主要应用系统,查看其是否具备检测/验证系统管理数据、鉴别信息和用户数据在传输过程中完整性受到破坏的功能;是否具备检测/验证系统管理数据、身份鉴别信息和用户数据在存储过程中完整性收到破坏的功能;是否具备检测/验证重要程序完整性收到破坏的功能;在检测/验证到完整性错误时是否能采取必要的恢复措施。
  3. 应检查主要应用系统,查看其是否具备检测程序完整性收到破坏的功能,并在检测到完整性错误时采取必要的恢复措施。

数据保密性检查

  1. 检查主要主机操作系统、网络设备操作系统、数据库管理系统、应用系统的设计/验收文档或相关证明性材料(如证书等),查看其是否有关于鉴别信息、敏感系统管理数据和敏感用户数据采用加密或其他有效措施实现传输保密性的描述,是否有采用加密或其他保护措施实现存储保密性的描述。
  2. 应检查主要应用系统,查看其鉴别信息、敏感的系统管理数据和敏感的用户数据是否采用加密或其他有效措施实现传输保密性描述,是否采用加密或其他保护性措施实现存储保密性。

数据备份与恢复检查

  1. 检查设计/验收文档,查看其是否是有关于主要主机操作系统、网络设备操作系统、数据库管理系统、应用系统具备有本地和异地数据备份和恢复功能及策略的描述。
  2. 检查主要主机操作系统、网络设备管理系统、数据库管理系统、应用系统,查看其是否具备有本地/异地备份和恢复功能,其配置是否正确。
  3. 检查主要网络设备、通信线路和数据处理系统是否采用硬件冗余、软件配置等技术手段提供系统的高可用性。
  4. 检查网络拓扑结构是否不存在关键节点的单点故障。

第四章-主机安全测评

测评环节

  • 身份鉴别

    在登陆一台计算机终端或服务器的时候,需要有队登陆人员身份进行鉴别的机制。主要包括登陆口令和用户名等内容。

  • 自主访问控制

    主机内部对登陆后的用户进行访问权限的管理,自主访问控制指用户可以按自己的意愿对主机的参数做适当修改以决定哪些用户可以访问他/她的文件。

  • 强制访问控制

    用户与文件都有一个事先设置的、非经授权不能修改的安全属性。这些属性是强制性的规定,它是由这台主机的安全管理员,或者是操作系统根据限定的规则确定的,用户或用户的程序不能加以修改。主机用该安全属性来决定一个用户是否可以访问某个文件。

  • 安全审计

    主机安全审计包括对主机系统安全日志的保护,对用户行为的记录,以及对主机资源的异常记录等方面。

  • 剩余信息保护

    剩余信息保护就是主机储存的“敏感信息”的空间被释放给其他用户的时候,原来储存在主机里面的重要信息要保证及时清理掉。

  • 入侵防范

    入侵防范包括对入侵行为的记录(攻击目的、时间、攻击者的 IP 地址、重要程序是否被破坏以及破坏后能否迅速恢复等)。

  • 恶意代码防范

    检查主机是否配备相关的防恶意代码的机制,包括杀毒软件,等等。不止是恶意病毒,还包括木马、间谍软件等恶意程序。

  • 资源控制

    用户不能无限制的使用主机资源,也要防止外面的用户非法掠夺这台主机的资源。

检查

主机身份鉴别现场检查

  1. 检查服务器操作系统和数据库管理系统身份鉴别功能是否具有《操作系统安全技术要求》和《数据库管理系统安全技术要求》第二级或以上 TCSEC C2 级以上的测试报告。
  2. 检查主要服务器操作系统和数据库系统账户列表,查看管理员用户名分配是否唯一。
  3. 检查主要服务器操作系统和主要数据库管理系统,查看是否提供了身份鉴别措施(如用户名和口令等),其身份鉴别信息是否具有不易被冒用的特点。例如,口令需要足够长,口令具有复杂度(如规定字符应包括大、小写字母、数字和特殊字符)等,规定口令生命周期(如每周/每月进行替换等制度要求和替换记录),对新旧口令的替换要求(如规定替换的字符数量)或为了便于记忆使用了令牌。
  4. 检查主要服务器操作系统和主要数据库管理系统,查看身份鉴别是否采用两个及两个以上身份鉴别技术的组合技术来进行身份鉴别(如采用用户名/口令、挑战应答、动态口令、物理设备、生物识别技术和数字证书方式的身份鉴别技术中的任意两个组合)。
  5. 检查主要服务器操作系统和主要数据库管理系统,查看是否已配置了鉴别失败处理功能,并设置了非法登陆次数的限制值;查看是否设置网络登陆链接超时并自动退出功能。

主机自主访问控制现场检查

  1. 检查服务器操作系统和数据库管理系统的自主访问控制功能是否具有《操作系统安全技术要求》和《数据库管理系统安全技术要求》第 2 级以上或 TCSEC C2 级以上的测试报告。
  2. 检查主要服务器操作系统的安全策略,查看是否对重要文件的访问权限进行了限制,对系统不需要的服务、共享路径等可能被非法授权访问者进行了限制。
  3. 检查主要服务器操作系统和主要数据库管理系统的访问控制列表,查看授权用户中是否不存在过期的帐号和无用的帐号等;访问控制列表中的用户和权限,是否与安全策略相一致。
  4. 检查主要数据库服务器的数据库管理员和操作系统管理员是否由不同管理员担任。
  5. 检查主要服务器操作系统和主要数据库管理系统,查看特权用户的权限是否进行分离,如可分为系统管理员、安全管理员和安全审计员等;查看是否采用最小授权原则(如系统管理员只能对系统进行维护,安全管理员只能进行策略配置和安全设置,安全审计员只能维护审计信息等)。
  6. 查看主要服务器操作系统和主要数据库管理系统,查看匿名/默认用户的访问权限是否已被禁用或严格限制。

主机的强制访问控制现场检查

  1. 检查服务器操作系统和数据库管理系统的强制访问控制功能是否具有《操作系统安全技术要求》和《数据库管理系统安全技术要求》第 2 级以上或 TCSEC C2 级以上的测试报告。
  2. 检查服务器操作系统文档,查看强制访问控制模型是否采用“向下读,向上写”模型,如果操作系统采用其他的强制访问控制模型,则操作系统文档中是否有队这种模型进行的详细分析,并有权威机构对这种强制访问控制模型的合理性和完善性的检测证明。
  3. 检查主要服务器操作系统和主要数据库管理系统文档,查看强制访问控制是否与用户身份鉴别、标识等安全功能密切配合,是否控制粒度达到主体为用户级、客体为文件和数据库表级。

安全审计现场检查

  1. 检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统,查看当前审计范围是否覆盖到每个用户。
  2. 检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统,查看审计策略是否覆盖系统内重要的安全相关事件。例如,用户标识与鉴别、重要用户行为、系统资源的异常使用、重要系统命令的使用等。
  3. 检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统,查看审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件的成功或失败、身份鉴别事件中请求的来源(如末端标识符)和事件的结果等内容。
  4. 检查主要服务器和重要终端操作系统,查看是否为授权用户浏览和分析审计数据提供专门的审计工具(如对审计记录进行分类、排序、查询、统计、分析和组合查询等),并能根据需要生成审计报表。
  5. 检查主要服务器操作系统、重要终端操作系统和主要数据库管理系统,查看审计跟踪设置是否定义了审计跟踪极限的阈值,当存储空间被耗尽时,能否采取必要的保护措施。例如,报警并导出、丢弃未记录的审计信息,暂停审计或覆盖以前的审计记录等。

剩余信息保护现场检查

  1. 检查服务器操作系统和数据库管理系统的剩余信息保护(用户数据保密性保护/客体重用)功能是否具有《操作系统安全技术要求》《数据库管理系统安全技术要求》第 2 级以上的测试报告。
  2. 检查主要操作系统和主要数据库管理系统维护操作手册,查看是否明确用户的鉴别信息存储空间,被释放或再分配给其他用户前的处理方法和过程;文件、目录和数据库记录等资源所在的存储空间,被释放或重新分配给其他用户前的处理方法和过程。

主机的入侵防范现场检查

  1. 检查入侵防范系统,查看能否记录攻击者的源 IP、攻击类型、攻击目标和攻击时间等,在发生严重入侵事件时是否提供报警功能。
  2. 检查是否专门设置了升级服务器并实现对重要服务器的补丁升级。
  3. 检查主要服务器是否已经及时更新了操作系统和数据库系统厂商新公布的补丁。

主机的恶意代码现场检查

  1. 检查主要服务器系统和重要终端系统,查看是否安装了实时检测与查杀恶意代码的软件产品,查看实时检测与查杀恶意代码的软件产品是否具有支持恶意代码防范的统一管理功能,查看检测与查杀恶意代码软件产品的厂家、版本号和恶意代码库名称。
  2. 检查网络防恶意代码产品,查看厂家、版本号和恶意代码库名称,查看是否与主机防恶意代码产品有不同的恶意代码库。

主机的资源控制现场检查

  1. 检查主要服务器操作系统,查看是否设定了终端接入方式和网络地址范围等条件限制终端登陆功能。
  2. 检查主要服务器操作系统,查看是否限制了单个用户对系统资源(如 CPU、内存和硬盘等)的最大或最小使用限度。
  3. 检查主要服务器操作系统,查看是否在服务水平降低到预先规定的最小值时,能检测和报警。
  4. 检查能够访问主机服务器的终端是否设置了操作超时锁定功能。

第五章-网络安全测评

八个方面

  • 结构安全与网段划分
  • 网络访问控制
  • 拨号访问控制
  • 网络安全审计
  • 边界完整性检查
  • 网络入侵防范
  • 恶意代码防范
  • 网络设备防护

检查

结构安全与网段划分现场检查

  1. 应检查网络拓扑图,查看其与当前运行情况是否一致。
  2. 检查网络设计/验收文档,查看是否记有边界和主要网络设备业务处理能力、网络接入及核心网络的带宽是否满足业务高峰期的需要,以及不存在带宽瓶颈等方面的设计或描述
  3. 检查网络设计/验收文档,查看是否记有根据个部门的工作职能、重要性和所涉及信息的重要程度等因素,划分不同的子网或网段,并按照方便管理和控制的原则为各子网和网段分配地址段的设计或描述。
  4. 应检查边界和主要网络设备,查看是否体现了路由控制策略(如使用静态路由等)以建立安全的访问路径。
  5. 检查边界和主要网络设备,查看重要网段是否采取了技术隔离手段与其他网段隔离。
  6. 检查边界和主要网络设备,查看是否配置了对带宽进行控制的功能,这些功能能否保证在网络发生拥堵的时候优先保护重要业务。

网络访问控制现场检查

  1. 检查边界网络设备,查看其是否根据会话状态信息对数据流进行了控制。
  2. 检查边界网络设备,查看其是否对进出网络的信息内容进行过滤,以实现对应用层 HTTP、FTP、TELNET、SMTP 和 POP3 等协议命令级的控制。
  3. 检查边界网络设备,查看是否设置了会话处于非活跃的时间或会话结束后自动终止网络连接功能;查看是否设置了网络最大流量数及网络连接数。
  4. 检查边界和主要网络设备,查看重要网段是否采取了网络地址与数据链路地址绑定的措施。
  5. 检查边界网络设备,查看是否采取了一定的技术措施防止内部网络信息泄露。

拨号访问控制现场检查

  1. 检查边界网络设备(如路由器、防火墙和认证网关),查看是否正确配置了拨号访问控制列表,其控制粒度是否为单个用户;查看其能否限制具有拨号访问权限的用户数量。

网络安全审计现场检查

  1. 检查边界和主要网络设备,查看审计记录是否包含网络系统中的网络设备运行状况、网络流量和用户行为等。
  2. 检查边界和主要网络设备,查看事件审计记录是否包括事件的日期和时间、用户、事件类型和事件成功情况,以及其他与审计相关的信息。
  3. 检查边界和主要网络设备,查看是否为授权用户浏览和分析审计数据提供了专门的审计工具,并能根据需要生成审计报表。

边界完整性现场检查

  1. 检查边界完整性检查设备,查看是否设置了对非法连接到内网和非法连接到外网的行为进行监控并有效阻断的功能。

网络入侵防范现场检查

  1. 检查网络入侵防范设备,查看是否能检测端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP 碎片攻击和网络蠕虫攻击等攻击行为。
  2. 检查网络入侵防范设备,查看入侵事件记录中是否包括入侵的源 IP、攻击的类型、攻击的目的和攻击的时间等信息。
  3. 检查网络入侵防范设备,查看其规则库是否为最新的。

恶意代码防范现场检查

  1. 检查网络设计/验收文档,查看其是否有在网络边界处对恶意代码采取相关措施的描述,防恶意代码产品是否有实时更新功能的描述。
  2. 检查在网络边界及核心业务处网段处是否设有相应的防恶意代码措施。
  3. 检查防恶意代码产品,查看其运行是否正常,恶意代码库是否为最新版本。

网络设备防护现场检查

  1. 检查边界和主要网络设备,查看是否配置了对登录用户身份的鉴别功能,口令设置是否有复杂度要求;查看是否能对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别。
  2. 检查边界和主要网络设备,查看是否配置了鉴别失败处理功能。
  3. 检查边界和主要网络设备,查看是否配置了对设备远程管理所产生的鉴别信息进行保护的功能。。
  4. 检查边界和主要网络设备,查看是否对边界和主要网络设备的管理员登录地址进行了限制;查看是否设置了网络登陆连接超时并自动退出功能;查看是否实现了设备特权用户的权限分离。

第六章-应用安全测评

九个环节

  • 身份鉴别

  • 访问控制

  • 安全审计

  • 剩余信息保护

  • 通信完整性

  • 通信保密性

  • 抗抵赖

    在法制社会中人类的“契约”活动是由具有法律效力的合同等“证据”来保障的。在虚拟空间中一样需要这种保障机制。

  • 软件容错

    “容错”是“防错”的手段之一。它要求应用软件系统具有较强的健壮性。

  • 资源控制

检查

身份鉴别现场检查

  1. 检查设计/验收文档,查看文档中是否有系统采取了唯一标识(如用户名、UID 或其他属性)的说明。
  2. 检查操作规程和操作记录,查看其是否有身份标识和鉴别的操作规程、审批记录和操作记录。
  3. 检查主要应用系统,查看其是否采用了两个及两个以上身份鉴别技术的组合来进行身份鉴别。
  4. 检查主要应用系统,查看其是否配备了身份标识和鉴别功能;查看其身份鉴别信息是否具有不易被冒用的特点,是否配备鉴别信息复杂度检查功能,以保证系统中不存在弱口令。
  5. 检查主要应用系统,查看其是否使用并配置了登录失败处理功能。

访问控制现场检查

  1. 检查主要应用系统,查看系统是否提供访问控制机制;是否依据安全策略控制用户对客体(如文件和数据库中的数据)的访问。
  2. 检查主要应用系统,查看其自主访问控制的覆盖范围是否包括与信息安全直接相关的主体、客体及它们之间的操作
  3. 检查主要应用系统,查看该系统是否有对授权主体进行系统功能操作和对数据访问权限进行设置的功能。
  4. 检查主要应用系统,查看其特权用户的权限是否分离,是否按用户承担任务情况,只授予他们所需的最小权限,且权限之间是否相互制约。
  5. 检查主要应用系统,查看其是否有限制默认用户访问权限的功能,并已配置使用。

安全审计现场检查

  1. 检查主要应用系统,查看其当前审计范围是否覆盖到每个用户。
  2. 检查主要应用系统,查看其审计策略是否覆盖了系统内重要的安全相关事件,如用户标识与鉴别、自主访问控制的所有操作记录、重要用户行为、系统资源的异常使用和重要系统命令的使用等。
  3. 检查主要应用系统,查看其审计记录信息是否包括事件发生的日期与时间、触发事件的主体与客体、事件的类型、事件成功或失败、身份鉴别事件中请求的来源及事件的结果等内容。
  4. 检查主要应用系统,查看其是否为授权用户浏览和分析审计数据提供了专门的审计分析功能,并能根据需要生成审计报表。
  5. 检查主要应用系统,查看其能否对特定事件指定实时报警方式。

剩余信息保护现场检查

  1. 检查设计/验收文档,查看其是否有系统在释放或再分配鉴别信息所在存储空间给其他用户前如何将其清除的描述。
  2. 检查设计/验收文档,查看其是否有关于释放或重新分配系统内文件、目录和数据库记录等资源所在存储空间给其他用户前进行清除的描述。

通信完整性现场检查

  1. 检查设计/验收文档,查看其是否有通信完整性的说明,如果有,则查看其是否有根据校验码判断对方数据有效性的描述,以及用散列(Hash)密码计算报文验证码的描述。

软件容错现场检查

  1. 检查主要应用系统,查看业务系统是否对通过人-机接口输入或通过通信接口输入的数据进行了有效性检验;是否在故障发生时能自动保护当前所有状态信息。

资源控制现场检查

  1. 检查主要应用系统,查看是否限制了单个账户的多重并发会话功能;系统是否有最大并发会话连接数的限制,是否对一个时间段内可能的并发会话连接数进行了限制;是否能根据安全策略设定主题的服务优先级,根据优先级分配系统资源。
  2. 检查主要应用系统,查看是否对一个访问账户或一个请求进程占用的资源分配了最大限额和最小限额。
  3. 检查主要应用系统,查看是否有服务水平最小值的设定,当系统的服务水平降低到预先设定的最小值时,系统报警。

第七章-资产识别

信息安全风险

人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件发生及其对组织造成的影响。

资产

即对组织具有价值的信息或资源,是安全策略保护的对象。

资产价值

即资产的重要程度或敏感程度的表征。资产价值是资产的属性,也是进行资产识别的主要内容。

资产分类

按照系统组成成分和服务内容分类

分类 示例
数据 保存在信息媒介上的各种数据资源,包括源代码、数据库数据、系统文档、运行管理规程、计划、报告、用户手册、各类纸质的文档等
软件 系统软件:操作系统、数据库管理系统、软件开发平台等
应用软件:办公软件、数据库软件等
源程序:各种共享源代码、自行或合作开发的各种代码等
硬件 网络设备:路由器、网关、交换机等
计算机设备:大型机、小型机、服务器、工作站、台式计算机、便携式计算机等
存储设备:磁带机、磁盘阵列、磁带、光盘、软盘、移动硬盘等
传输介质:光纤、双绞线等
保障设备:UPS、变电设备、空调、保险柜、文件柜、门禁、消防设备等
安全设备:防火墙、入侵检测设备、身份鉴别设备等
其他:打印机、复印机、扫描仪、传真机等
服务 信息服务:该系统对外开展的各种服务
网络服务:各种网络设备、设施提供的网络连接服务
办公服务:为提高效率而开发的管理信息系统,包括各种内部配置管理、文件流转管理等服务
人员 掌握重要形象和核心业务的人员,如主机维护主管、网络维护主管以及应用项目经理等
其他 企业形象、客户关系等

按照信息论、系统论将资产分为

  • 信息
    • 业务信息
    • 用户信息
    • 系统管理
    • 维护信息
  • 信息载体
    • 硬件、软件
  • 信息环境
    • 硬环境、软环境

对资产进行分类,不是简单的“对账”,要和该组织的工作职能、业务范围、发展战略等挂起钩来。

第八章-威胁识别

威胁

指可能导致对系统或组织危害的事故潜在起因

威胁分类

来源
环境因素
人为因素 恶意人员
非恶意人员

根据其表现形式分类

种类 描述
软、硬件故障 对业务实施或系统运行产生影响的设备硬件故障、通信链路中断、系统本身或软件缺陷等
物理环境影响 对信息系统正常运行造成影响的物理环境或自然灾害
无所作为或操作失误 应该执行而没有执行相应的操作,或无意执行了错误的操作
管理不到位 安全管理无法落实或不到位,从而破坏信息系统正常有序运行
恶意代码 故意在计算机系统上执行恶意任务的程序代码
越权或滥用 通过采用一些措施,超越自己的权限访问本来无权访问的资源,或之后滥用自己的权限,做出破坏信息系统的行为
网络攻击 利用攻击工具和技术通过网络对信息系统进行攻击和入侵
物理攻击 通过物理的接触造成对软件、硬件、数据的损害
泄密 信息泄露给不应该了解的他人
篡改 非法修改信息,破坏信息的完整性使系统的安全性降低或信息不可用
抵赖 不承认收到的信息和所做的操作和交易

第九章-脆弱性识别

脆弱性

指可能被威胁所利用的资产或若干资产的薄弱环节。任何资产都有其脆弱性。

脆弱性识别

  • 脆弱性发现
  • 脆弱性分类
  • 脆弱性验证
  • 脆弱性赋值

脆弱性分类

  • 技术脆弱性
    • 物理环境
    • 网络结构
    • 系统软件
    • 应用中间件
    • 应用系统
  • 管理脆弱性
    • 技术管理
    • 组织管理

第十章-风险分析

风险分析的计算

  1. 计算安全事件发生的可能性 L(T,V)
  2. 计算安全事件造成的损失 F(Ia,Va)
  3. 计算风险值 R=R(A,T,V)=R(L(T,V),F(Ia,Va))

风险控制四原则

  • 论证充分
  • 循序渐进
  • 结合国情
  • 应急联动

第十一章-应急响应

应急响应

指组织为了应对突发/重大信息安全事件的发生所做的准备及在事件发生后所采取的措施。

应急响应计划

指组织为了应对突发/重大信息安全事件而编制的,对包括信息系统运行在内的业务运行进行维持或恢复的策略和规程。

应急响应计划

  • 总则
  • 角色和职责
  • 预防和预警机制
  • 应急响应流程
  • 应急响应保障措施
  • 附件