,风险的所有重要因素都紧紧围绕着资产为中心,威胁、脆弱性以及风险都是针对资产而客观存在的。威胁利用资产自身的脆弱性使得安全事件的发生成为可能,从而形成了风险。这些安全事件一旦发生,将对资产甚至是整个系统都将造成一定的影响。资产被定义为对组织具有价值的信息或资源,资产识别的目标就是识别出资产的价值,风险评估中资产的价值不是以资产的经济价值来衡量,而是由资产在其安全属性——机密性、完整性和可用性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。资产估价等级赋值高3中2低1信息资产识别资产分类资产组IP地址/名称资产估价等级组号资产编号具体资产物理资产服务器H001sunultra60中H002sunultra60中H003sunultra60高H004sunultra60高网络设备N001华为3680E中N002华为3680E中N003华为S2016中软件资产操作系统、数据库和应用软件H001Solaris高H002Solaris高H003Solaris高H004Solaris高D001Sybase高威胁分析威胁分析概述威胁是指可能对资产或组织造成损害事故的潜在原因。作为风险评估的重要因素,威胁是一个客观存在的事物,无论对于多么安全的信息系统都存在。威胁可能源于对系统直接或间接的攻击,例如信息泄漏、篡改、删除等,在机密性、完整性或可用性等方面造成损害;威胁也可能源于偶发的、或蓄意的事件。按照威胁产生的来源,可以分为外部威胁和内部威胁:(1)外部威胁:来自不可控网络的外部攻击,、互联网,以及第三方的攻击,其中互联网的威胁主要是黑客攻击、蠕虫病毒等,而第三方的威胁主要是越权或滥用、泄密、篡改、恶意代码或病毒等。(2)内部威胁:主要来自内部人员的恶意攻击、无作为或操作失误、越权或滥用、泄密、篡改等。另外,由于管理不规范导致各支撑系统之间的终端混用,也带来病毒泛滥的潜在威胁。
全文预览
