文档介绍：风险评估方法对于风险评估来说,其三个关键要素是信息资产、弱点/脆弱性以及威胁。每个要素有其各自的属性,信息资产的属性是资产价值,弱点的属性是弱点被威胁利用后对资产带来的影响的严重程度,威胁的属性是威胁发生的可能性。信息安全风险评估的具体工作流程如图1所示。一、风险评估的准备风险评估的准备过程是组织进行风险评估的基础,是整个风险评估过程有效性的保证。组织对自身信息及信息系统进行风险评估是一种战略性的考虑,其结果将受组织的商业需求及战略目标、文化、业务流程、安全要求、规模和结构所影响。不同组织对于风险评估过程中的各种子过程可能存在不同的要求,因此在风险评估实施前,组织应:;,为风险评估的实施提供导向;;;。二、风险评估的实施组织应根据策划的结果,由评估的人员按照相应的职责和程序进行资产评估、威胁评估、脆弱性评估。在考虑已有安全措施的情况下,利用适当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性,并结合资产的安全属性受到破坏后的影响来得出资产的安全风险。三、风险计算风险计算的模型如图2所示。我们以下述函数进行表示:R=f(A,V,T)=f(Ia,L(Va,T))其中:R表示风险;A表示资产;V表示脆弱性;T表示威胁;Ia表示资产发生安全事件后对组织业务的影响(也称为资产的重要程度);Va表示某一资产本身的脆弱性,L表示威胁利用资产的脆弱性造成安全事件发生的可能性。具体而言分为以下几个步骤:;,确定可能利用此弱点造成安全事件的威胁的类型;;,得出安全事件发生的可能性;即:安全事件发生可能性=L(威胁可能性,脆弱点严重性);,即:风险值=R(资产重要程度,安全事件发生的可能性)。四、风险识别风险识别包括三个部分:分析风险来源;识别区域风险;风险关联分析。、威胁、脆弱性的计算后形成一个风险列表,需要对该列表的风险进行分类,并在分类的基础上进行风险合并。在对风险进行分类合并时,首先需要考虑风险所发生的位置,然后考虑风险的来源。风险的来源可以从威胁、脆弱性和安全管理三个方面进行。风险发生的位置可以从资产所在的安全域或从信息安全发生的层次进行划分。资产所在的安全域指具有相同安全属性的某一物理区域或逻辑区域,该区域和其他安全区域具有明显的边界;信息安全发生的层次指物理层安全、网络层安全、操作系统层安全、应用层安全、数据层安全。风险的来源从威胁角度进行合并,可以从威胁的来源,发生的途经,影响的大小角度进行划分整理。风险的来源从脆弱性角度进行合并,从大的方面有两类,一类是IT技术类脆弱性,另一类是管理类脆弱性。安全管理类脆弱性可以从设计、开发、验收、运行、维护、人员、业务持续性管理等方面进行分析。,通过这种判断可以发现被分析的安全域的主要威胁、主要影响和发生的可能性。这种经过判断的风险需要进行单独说明,使最后形成的风险具有更明确的意义。,对于复杂系统,还需要考虑多