终端安全风险管理：7种非技术性信息泄漏风险

2023-11-23 理论教育版权反馈

【摘要】：通过上述方式造成的信息窃取，难以发现和监控，造成安全事件很难追查，造成的安全损失也可能是不可挽回的，所以要引起组织的极大关注。相关风险点信息的非技术性泄漏风险点详见表C-9。在资产生命周期4个阶段中，运行阶段、维修阶段和废弃阶段都有可能会涉及终端的使用，通过显示器都可能造成信息的泄漏，都会带来相应的安全风险。4）第三方参观人员参观时专人陪同，避免疏忽造成的信息泄漏。

1.风险分析

（1）风险描述

该类风险主要表现为社会工程类信息泄密，技术控制措施再严格，也不能抵御通过社会工程类的攻击，比如偷看、心理推测、搭线窃听等等。通过上述方式造成的信息窃取，难以发现和监控，造成安全事件很难追查，造成的安全损失也可能是不可挽回的，所以要引起组织的极大关注。

（2）相关风险点

信息的非技术性泄漏风险点详见表C-9。

表 C-9

（a）相关资产生命周期：

风险点（1-5）：

这5个风险点主要为通过使用终端设备，通过显示器显示的方式造成的信息泄漏。在资产生命周期4个阶段中，运行阶段、维修阶段和废弃阶段都有可能会涉及终端的使用，通过显示器都可能造成信息的泄漏，都会带来相应的安全风险。运行阶段，是资产生命周期中最为重要的阶段，该阶段用户存储和浏览的信息量很大，相关重要信息数量较多，因此所面临的风险级别较高。在维修和报废阶段，原则上应该进行脱密处理后，才能从运行阶段转入该阶段，这时面临的安全风险将会大幅下降；但在维修和废弃阶段，因信息处理不及时，造成的隐私、机密信息泄漏的案例比比皆是，造成很大的影响，因此，必须重视这两个阶段的安全防护问题。

风险点（6-7）：

这两个风险点主要是在终端使用过程中造成的信息泄漏，与用户的工作环境息息相关，因此，主要涉及运行阶段，该阶段的风险级别比其他阶段的风险级别高。

（b）相关信息风险

上述所涉及的信息，为屏幕显示信息和网络传输信息，均为使用中的信息，而非存储类信息，风险级别有所处理的信息类型而定。

（c）基于资产使用人分析

对于终端用户、内部人员、外部人员和临时人员都存在不同程度的风险。

（d）合规性要求

合规性要求见表C-10。

表 C-10

（续）(www.chuimin.cn)

2.风险管控

上述风险因为其社会学的特点，因此很难通过信息技术去解决，具体的控制措施如下所示：