ISO27000信息安全风险评估FAQ,ISO27000信息安全风险形成的内因

ISO27000信息安全风险评估FAQ

ISO27000信息安全风险评估FAQ

为何要进行信息安全风险评估？

通过风险评估，你能够知道组织范围内存在什么重要的信息资产、信息处理设施以及面临的威胁，发现技术和管理上的脆弱点，综合评估现有综合资产的风险状况。

什么叫信息安全风险评估？

风险评估：对信息及信息载体、应用环境等各方面风险进行辨识和分析的过程，是对威胁、影响、脆弱性及三者发生的可能性的评估。它是确认安全风险以及大小的过程。

风险评估为管理层明确具体的安全策略，以及在“成本-效益”平衡基础上做决策服务；风险控制措施为组织实施信息安全的改进提供指导。

信息安全风险评估的实施的主体是什么？

风险评估可分为自评估和检查评估两大类。自评估是由被评估信息系统的拥有者依靠自身的力量，对其自身的信息系统进行的风险评估活动。检查评估则通常是被评估信息系统的拥有者的上级主管机关或业务主管机关发起的，旨在依据已经颁布的法规或标准进行的，具有强制意味的检查活动，是通过行政手段加强信息安全的重要措施。

检查评估应该是具有一定资质的风险评估服务机构实施的。自评估能够在信息安全风险评估服务机构的咨询、服务、培训下，由系统所有者和评估服务机构共同完成。

信息安全风险评估的政策依据及标准依据？

国家信息化领导小组《关于加强信息安全保障工作的意见》(中办发[2003]27号文件)将信息安全风险评估作为一项重要的举措。国信办2005年5号文率先在北京、上海、黑龙江、云南等地，以及银行、税务、电力3个行业进行试点，根据试点经验，各省市建立信息安全风险评估管理规范。

国信办标准草案《信息安全风险评估指南》、《信息安全风险管理指南》

NIST SP800-30 《Risk Management Guide for Information Technology Systems》

信息安全风险评估包含哪几个主要实施阶段？

风险评估能够分为资产识别、重要资产赋值、威胁分析、脆弱性识别、风险计算、风险控制措施提出等实施阶段。

信息安全风险评估的主要内容及方法？

信息安全风险评估的实施主要有以下内容：

（1）资产识别

（2）资产的安全属性赋值及权重计算

（3）威胁分析

（4）薄弱点分析

（5）威胁发生可能性及影响分析

（6）风险计算

（7）风险处理计划制定

风险评估是一项综合的系统工程，既涉及到技术，又涉及到管理。风险评估过程中既必须采用技术的检测手段，又必须进行综合的归纳、总结和分析方法。

风险评估中资产价值的判断、威胁判断、安全事件造成影响的判断标准都必须根据被评估具体情况，与被评估方共同明确。

信息安全风险评估是否会影响系统的业务正常运行？

除针对服务器的漏洞扫描、诊断及渗透性测试外，风险评估不会对系统的业务运行造成影响。即使是渗透性测试，也仅仅是为了验证漏洞存在给系统可能造成的后果（如文件窃取、控制修改关键程序/进程等），而不是以破坏系统为目的。评估人员在执行渗透性测试前，会将详细的渗透测试方案与用户交流，包含渗透测试对象、测试强度、可能后果、提前备份等要求，并经用户认可后方能实施。

信息安全风险评估的结果形式是什么？

信息安全风险评估在评估过程中将生成一系列的风险评估操作记录，包含：重要资产列表、脆弱性汇总表、资产威胁识别表、资产威胁风险系数表、信息资产综合风险值表等，最后将生成三份评估结果：

脆弱性评估报告：以资产为核心，描述该资产存在的薄弱点。

风险评估报告：反映了风险评估整个过程、方法、内容及风险结果。

风险处理计划：针对识别的风险，提出具体的控制目标和控制措施。

信息安全风险评估的周期有多长？

信息安全风险评估没有明确的时间周期，通常两年一次进行定期的评估，但当组织新增信息资产、系统发生重大变更、业务流程发生重大转变、发生严重信息安全事故等情况下应进行风险评估。

除此之外，对系统规划、扩建时也必须进行风险评估，为安全需求、安全策略的制定提供依据。

信息安全风险评估的收费标准？

根据评估对象的不同而不同。风险评估的对象能够是：单个独立的信息系统、支持组织业务的整体信息处理环境、整个组织范围。信息安全风险评估的费用主要依据以下几个方面进行核算：

网络规模

联网单位或顾客端抽样占比

被评估系统的多少

被评估信息设备的多少

被评估的组织范围大小

今日通过对《ISO27000信息安全风险评估FAQ》的学习，相信你对认证有更好的认识。假如要办理相关认证，请联络我们吧。

ISO27000信息安全风险形成的内因

任何风险都具有自然属性和社会属性，ISO27000信息安全风险也不例外。由于信息系统本身就是1个人机系统，在系统生命周期的每1个过程都离不开人的参与，而由于人的技术和管理能力的有限性，自然环境的不可控性，使信息系统不可避免在技术、管理和环境三方面存在一定的脆弱性，它是信息安全风险生成的内在原因。

从 系统论的观点来看，信息系统是由相互作用、相互依赖的若干部分组合而成，各部分承受风险的能力与每部分的安全状况以及它们之间的相互联络方式密切相关。各 个组成部分抵御外界威胁的抵抗力、自适应力和恢复力各不相同，它们之间的联络方式也各不相同。这样自身抵抗威胁的能力以及自适应力差的部分风险比较大。另 外，信息系统的各组成部分相互依存，实现自身在信息系统中的功能，因此它们之间的结合点往往是薄弱环节，也是信息系统可能发生风险事件的脆弱点。信息系统 各个组成部分的安全状况是随着外界因素的转变而处于发展和转变中，它的脆弱性也是动态转变的，因此要用动态的观点来看待信息系统的脆弱性。

从信息系统的安全角度，信息系统脆弱性主要是来自技术、管理和物理自然环境的脆弱性。

（1）技术脆弱性

众所周知，许多组织使用的网络操作系统和业务应用系统都存在令人担忧的安全漏洞。

WINDOWS 计算机产品在世界市场上占据绝对的地位，是大多数用户使用的系统，然而却有着“最不安全操作系统的名声。从 DOS, WINDOWS9X, WINDOWS 2000, WINDOWS NT,WINDOWS XP 操作系统，不断发布的安全补丁仍然不能保证安全的操作环境。WINDOWS 提供的通过 TELNET远程进行系统用户登录的方式，创建了在身份认证方面的主要安全弱点，攻击者能够通过 TELNET 对系统帐户进行口令猜测；容许远程主机匿名登录 FTP服务器，使 FTP 服务器在访问控制方面存在匿名可写的目录；WINDOWS的远程缓冲区溢出成为拒绝服务攻击的系统漏洞；还有 WINDOWS 的默认共享配置、弱口令问题；WEB服务 IIS5.0 printer ISAPI远程缓冲区溢出；WINDOWS 2000 电子邮件系统的 SENDMAIL 头处理溢出漏洞，SMTP 服务认证错误漏洞，很容易使传输邮件被修改，引发邮件欺诈问题等等。

数据库软件 Oracle Tnslsnr 口令设置缺失，Microsoft SQL Server 2000 多个服务安全漏洞，2003年病毒利用 SQL Server 2000的漏洞的流行传播导致因特网几乎瘫痪。

一些安全产品，诸如网管、防火墙等也存在安全弱点，如防火墙拒绝服务。

另 外，INTERNET 网络数据的传输是没有加密控制的，无法保证信息的机密性和完整性安全目标，影响了认证和不可否认的功能实现。快速增长的网络促进了复杂应用服务的发展，这 些新产品尤其是现贷供应(Off-the-shelf)的应用系统尽管解决了一定的安全需求，但由于缺乏合理的安全设计和配置，常常引入新的漏洞。

（2）管理问题

由于网络和信息系统的复杂性，必须经过良好培训或有经验的员工来保证信息系统的安全工程实施和管理，此外依据ISO27000标准，建立信息安全管理体系也是非常重要的，但 现有的安全人才通常都集中分布在安全产品公司、学校和研究机构，远远不能满足组织的安全人才需求。缺乏经验的专业人员经常由于错误的安全配置、软硬件的错 误使用，使系统处于不安全状态，容易受到内外部的攻击；或者未经过安全教育培训的员工由于缺乏安全意识，经常不遵守安全制度和违背安全策略，极易引发安全 事件。

此外，由于缺乏组织决策层领导的支持或是没有意识到安全问题的重要性， 很少为信息安全分配足够的资源，例如建立相应的组织机构“信息安全部或“安全官，而把信息安全责任看作是信息技术部门以及技术人员的职责；有的组织缺 乏有效的信息安全计划以及安全机制，有的甚至根本没有安全策略和计划，或是即使有，也是束之高阁，由于没有相应的监管机制，或是人员无安全意识，导致 安全策略不能有效的实施和遵守，一旦发生安全事件不清楚应该在什么时间、向谁汇报违规和事故，管理者也就不清楚发生了什么，也就不能及时、合理地处理安全 问题，使安全损失扩大，有时甚至是灾难性的。

（3）物理自然环境

缺乏对建筑物、门、窗等支撑设施的物理保护和物理访问控制的监管，导致盗窃、故意破坏设施发生的可能性；不稳定的电力供应如电涌和电压波动容易引起存储介质失效或硬件故障；防水、防火、防雷等防范措施的不充分，可能在灾难发生时，造成严重损失。