ISO27000信息安全风险形成的外因(ISO认证申请需要注意什么)

ISO27000信息安全风险形成的外因

伴随着计算机网络通信技术的快速发展，来自恶意代码、拒绝服务、不满员工、非授权访问、社会工程、偷窃和欺骗等攻击技术和人员的威胁成为组织ISO27000信息安全风险生成的潜在的外在原因。

例如：

①故意制造出来的恶意代码，是用于入侵计算机或是在访问计算后造成巨大破坏的计算机程序，它利用木马、后门、病毒、蠕虫、逻辑炸弹（logic bomb）等攻击目标用户，破坏和窃取目标机密或敏感信息；

②拒绝服务攻击，通过向目标服务器发送大量邮件、连接信息，以堵塞合法通路，造成服务器瘫痪和组织业务的中断；

③内部不满员工，出于对组织的不满、或受雇于其它间谍或情报组织窃取组织敏感或机密信息，以达到发泄私愤或换取金钱的目的；

④非法用户如黑客、非法闯入者、脚本小子、间谍、网络恐怖分子、员工、顾问或合作商，利用物理环境和系统安全弱点或漏洞，非法或越权入侵组织计算机系统，窃取、删除有用数据或者破坏计算机系统，使其瘫痪；

⑤恶意人员，利用电话、公开信息、虚假身份等社交工程来欺骗、说服目标用户，使之泄露访问用户名和密码，它不必须技术、技能和能力来入侵系统，依靠谎言、别人的轻信和疏忽达到目的；

⑥窃听和欺骗，利用嗅探器（sniffer）监视网络上传输的数据；利用中间人（TCP 劫持），强行占用1个网络连接对话，其次读取或是修改网络对话传输的数据；

⑦其它的如制造商在其软件和硬件中安置“陷井或“后门；攻击者在产品运输过程中，在产品中嵌入监听设备或软件，以期在未来收集所需信息等等。这些不断出现和动态转变的威胁是造成信息安全风险发生的外在动力。

威胁是诱发 信息系统产生风险事件的外因。威胁是一定的主体，出于某种动机，利用自己的知识和技术能力，通过脆弱性作用于信息系统，造成风险事件的发生。仅有明确了威 胁，才能透彻了解风险发生的外在原因。因此，必须从威胁的表现形式、来源、行为、动机、能力、途径、目标、后果进行综合分析，明确威胁发生的可能性和造成 的后果大小，如下图。

信息安全威胁

（1）从威胁的表现形式，可分为环境威胁、外部威胁、内部威胁和错误四大类；

（2）从威胁的来源，可分为敌对组织、黑客、工业间谍、情报组织、竞争对手、不满员工；

（3）从威胁行为，可分为刺探、扫描、旁路、欺骗、拷贝、偷窃、修改和删除；

（4）从威胁动机，可分为好奇、信仰、利益和恶意报复等；

（5）从威胁能力，可分为利用攻击工具、脚本、代理技术、木马等；

（6）从威胁途径，可利用设计、实施和配置的脆弱性；

（7）从威胁目标，可分为计算机、帐户、网络等信息资产；

（8）从威胁后果，可分为非授权泄露、修改、拒绝服务和冲突、欺诈和仿冒。

人是威胁的主体，人的因素起着决定性的作用。同外部人员相比，内部具有恶意企图的授权人员，尤其是掌握组织敏感信息、具有专业技能的内部恶意员工（例如：具 有超级权限的系统管理员等），更加掌握组织计算机系统的运行方式，知晓组织计算机系统的漏洞，更易于发动有效的攻击，给组织造成严重损失。目前，一些安全 违背事件80%都是由于内部人员滥用存取权限，遭成了极其严重的后果。相比，外部人员造成的威胁比较容易发现，商业伙伴造成的威胁能够通过合同限制加以约束，但很 多情况下来自内部的威胁由于具有极大的隐蔽性和透明性导致更加难以控制和防范。因此在明确威胁的情况下，不能只看到那些比较直接的容易分辨的外部威胁，来自内 部的各种威胁应该引起高度重视。