云安全风险评估流程-云安全深度剖析

2023-11-18 理论教育版权反馈

【摘要】：信息系统安全风险评估的主要内容就是在充分识别风险要素的基础上。界定评估范围风险评估范围可能是组织全部的信息及与信息处理相关的各类资产、管理机构，也可能是某个独立的系统、关键业务流程的系统或部门。

按照《信息技术安全评估准则》，信息系统安全风险与信息资产、威胁、脆弱性以及安全措施等相关因素有关。

信息系统安全风险评估的主要内容就是在充分识别风险要素的基础上。综合考虑各要素间的内在关联性，重现实际存在或潜在的威胁场景，分析和确定其可能造成的影响，以及造成后果的可能性，从而确定风险，为风险控制提供合理的依据。

风险评估的实施流程包括评估准备、风险因素识别、风险分析以及风险控制等步骤^[6]。

1.评估准备

为了确保评估过程的可控性以及评估结果的客观性，在风险评估实施前，一般应做到以下几点：

（1）确定评估目标应明确风险评估对象的机密性、完整性和可用性等目标，为风险评估的过程提供导向。

（2）界定评估范围风险评估范围可能是组织全部的信息及与信息处理相关的各类资产、管理机构，也可能是某个独立的系统、关键业务流程的系统或部门。

（3）组建评估团队组建风险评估管理与实施团队，支持整个评估工作的推进，如成立由管理层、相关业务骨干和技术人员等组成的风险评估小组。

（4）选择评估方法和工具应依据评估范围、目的、时间和人员素质等因素，选取能够与具体组织环境和安全要求相适应的评估方法和工具。

（5）争取领导支持所有内容确定后应得到组织最高管理者的支持和批准，对管理层和技术人员进行传达，并对风险评估内容进行培训，以明确相关人员在风险评估中的具体任务。

2.资产识别

此阶段的主要工作是识别信息安全风险要素的风险，以及已有的安全措施的效果。机密性、完整性和可用性是评价资产的三个安全属性。安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性以及已采取的安全措施都将对资产安全属性的达成程度产生影响。

资产识别工作主要包括：①资产分类，风险评估中，资产大多属于不同的信息系统，其支持业务持续运行的系统数量可能更多，这时需要将信息系统及相关的资产进行恰当的分类，为下一步的风险评估做准备；②资产赋值，对资产的赋值不仅要考虑资产本身的价值，还要考虑资产的安全状况对于组织的重要性。为确保资产赋值时的一致性和准确性，应建立统一的资产价值评价尺度，以指导资产赋值。资产赋值的过程也是对资产在机密性、完整性和可用性上的达成程度进行分析。(www.chuimin.cn)

3.威胁识别

造成威胁的因素可分为人为因素和环境因素。根据威胁的动机，人为因素又可分为恶意和无意两种。威胁作用形式可以是对信息系统直接或间接的攻击，如非授权的泄露、篡改和删除等，在机密性、完整性或可用性等方面造成损害。

威胁识别工作主要包括：①威胁分类，分类的依据很多，如依据威胁来源进行分类；②威胁赋值，判断威胁出现的频率是威胁识别的重要工作，评估者应根据经验和有关的统计数据来进行判断，如按照威胁频率等级将威胁划分为三级，分别代表威胁出现的频率高低。等级数值越大，威胁出现的频率越高。

4.脆弱性识别

脆弱性识别将针对每一项需要保护的资产，找出可能被威胁利用的弱点，并对脆弱性的严重程度进行评估。脆弱性识别时的数据应来自于资产的所有者，以及相关业务领域的专家等。资产的脆弱性具有隐蔽性，有些弱点只有在一定条件和环境下才能显现，这是脆弱性识别中最为困难的部分。

脆弱性识别所采用的方法主要有问卷调查、工具检测、人工核查、文档查阅和渗透性测试等。

主要任务有：①脆弱性识别，对每个资产分别识别其存在的脆弱性；②脆弱性赋值，根据资产损害程度、技术实现的难易程度和脆弱性程度，采用等级方式对已识别的脆弱性的严重程度进行赋值。

5.风险分析

风险分析涉及资产、威胁和脆弱性等基本要素。每个要素有各自的属性，资产的属性是资产价值，威胁的属性是威胁出现的频率，脆弱性的属性是资产弱点的严重程度。

风险分析的主要内容为：①对资产进行识别，并对资产的重要性进行赋值；②对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；③对资产的脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；④根据威胁和脆弱性的识别结果判断安全事件发生的可能性；⑤根据脆弱性的严重程度及安全事件所作用资产的重要性计算安全事件的损失；⑥根据安全事件发生的可能性以及可能造成的损失，计算安全事件发生时对组织的影响，即风险值。

6.风险控制

信息系统的安全风险具有危害严重和不可转移等特性。因此，信息系统安全风险的处理方式包括以下三种^[7]：①降低风险，对于不能接受的风险，采取适当的控制措施，如系统安全加固和漏洞修补等，减少风险发生的可能性，降低风险发生的影响；②避免风险，对于可以通过技术措施或管理措施避免的风险，应当采取措施予以避免；③接受风险，对于已采取措施避免的风险，出于某方面的原因，若其残余风险在组织可接受的范围内，可以考虑接受风险。

云安全风险评估流程-云安全深度剖析

相关推荐