導航：安全管理網>> 培訓課件>> 其他>>正文

關于信息安全風險管理

		點擊數：	更新時間： 2021年04月26日
下載地址：點擊這里	文件大小： 531.00 KB 共34頁	文檔格式： PPT	下載點數： 16 點（VIP免費）

全屏查看

內容預覽 [文件共34頁]

本文件共34頁，如需編輯使用，請下載。

注：預覽效果可能會出現部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：531.00 KB 共34頁文件格式：PPT 下載點數：16 點（VIP會員免費）

下一篇：信息安全評估與風險管理

上一篇：信息安全理論與技術

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

關于信息安全風險管理理論與實踐發展的一些思考
崔書昆
二00四年十月十二日
備注：1
關于信息安全風險管理理論與實踐發展的一些思考
一、信息安全風險管理理論來源于信息安
       全實踐
二、我國信息安全實踐對風險管理理論提       
       出了新問題、新要求
三、信息安全風險管理上存在的問題只能
       靠信息安全實踐來解決
備注：2
關于信息安全風險管理理論與實踐發展的一些思考
一、信息安全風險管理理論來源于信息安
       全實踐
二、我國信息安全實踐對風險管理理論提       
       出了新問題、新要求
三、信息安全風險管理上存在的問題只能
       靠信息安全實踐來解決
備注：3
一、信息安全風險管理理論來源于信息安全實踐
風險管理（Risk management）包括風險識別、風險分析、風險評估和風險控制等內容。    
國外許多專家認為，風險管理是信息安全的基礎工作和核心任務之一，是最有效的一種措施，是保證信息安全投資回報率優化的科學方法。
現代風險管理理論產生于西方資本主義國家，它是為制定有效的經濟發展戰略和市場競爭策略而創造的一種理論、方法和措施。
備注：4
一、信息安全風險管理理論來源于信息安全實踐
風險管理理論由于它的廣泛適用性、現已應用于各國社會與經濟發展、國家建設、國家安全、公共安全和信息安全諸多領域。
風險管理理論應用于信息安全領域始于20世紀60年代。此后，信息安全風險管理的實踐和理論的發展大體上經過了三個階段：
備注：5
一、信息安全風險管理理論來源于信息安全實踐
（一）、20世紀60年代至80年代是信息安全風險管理
       實踐與理論發展的初期階段
（二）、20世紀80年代末至90年代中期是信息安全風
       險管理實踐和理論走向初步成熟的階段
（三）、20世紀90年代末，國際范圍的風險管理實踐
       與理論進入第三個階段，即全球化階段
備注：6
一、信息安全風險管理理論來源于信息安全實踐
（一）、20世紀60年代至80年代是信息安全風險管理實踐與理論發展的初期階段
        20世紀60年代，隨著資源共享計算機系統和早期計算機網絡的出現，計算機安全問題初步顯露。1967年秋，美國國防部委托蘭德公司為首的多個研究機構和企業，進行了美國歷史上第一次大規模的計算機安全風險評估，歷時三年。1970年初出版了一個長達數百頁的機密報告《計算機安全控制》。該報告奠定了國際安全風險評估的理論基礎。
備注：7
一、信息安全風險管理理論來源于信息安全實踐
（一）、20世紀60年代至80年代是信息安全風險管理實踐與理論發展的初期階段
    在此基礎上，美國率先推出了首批關于信息安全風險管理及相關的安全評測標準。其中：
    第一組標準是由國家標準局(NBS)制定的，如：
    FIPS PUB 31自動數據處理系統物理安全和風險管理指南（1974年）。
    FIPS PUB 65自動數據處理系統風險分析指南（1979年）
備注：8
一、信息安全風險管理理論來源于信息安全實踐
（一）、20世紀60年代至80年代是信息安全風險管理實踐與理論發展的初期階段
    第二組是由美國國防部國家安全局于1983年后陸續制定的計算機系統安全評估系列標準，主要包括《可信計算機系統安全評估準則》(TCSEC）、《可信網絡解釋》（TNI）、《特定環境下的安全需求》等等，總計約40來個各類標準。由于每個標準用不同顏色的封皮，俗稱為“彩虹系列”。
備注：9
一、信息安全風險管理理論來源于信息安全實踐
（一）、20世紀60年代至80年代是信息安全風險管理實踐與理論發展的初期階段
    這套標準建立在風險評估理論基礎上。該系列中《安全需求技術原理》標準指出：“評估一個計算機系統的安全級別依賴于該系統存在的風險水平，即風險因子（RISK INDEX）”，“還存在影響安全風險的其他諸如任務關鍵性、所需拒絕服務保護和威脅的嚴重性等因素。”
備注：10
一、信息安全風險管理理論來源于信息安全實踐
（二）、20世紀80年代末至90年代中期是信息安全風險管理實踐和理論走向初步成熟的階段
    1989年美國率先建立了計算機應急組織，次年，建立了信息安全事件應急國際論壇（FIRST）。
    1992年美國國防部建立了漏洞分析與評估計劃。
    1994年美國國家安全局等組織構成的聯合委員會明確提出，美國國家信息安全必須建立在風險管理的基礎上。
備注：11
一、信息安全風險管理理論來源于信息安全實踐
（二）、20世紀80年代末至90年代中期是信息安全風險管理實踐和理論走向初步成熟的階段
    1995年9月至1996年4月，美國總審計局為因應國會“加強信息安全、降低信息戰威脅”的要求，對美國國防系統的信息系統進行了大規模風險評估，于1996年5月發表了名為《信息安全—針對國防部的計算機攻擊正構成日益增大的風險》的報告。
備注：12
    1995年12月美國國防部提出了信息安全的動態模型，即“防護—監測—反應”多環節保障體系，后通稱“PDR模型”。
    1990年，歐洲英、法、德、荷四國著手制定了共同的信息技術安全評估標準（ITSEC），強調要把信息系統實用環境中的威脅與風險納入評估視野。加拿大也制定了本國的信息安全測評標準。
一、信息安全風險管理理論來源于信息安全實踐
（二）、20世紀80年代末至90年代中期是信息安全風險管理實踐和理論走向初步成熟的階段
備注：13
一、信息安全風險管理理論來源于信息安全實踐
（二）、20世紀80年代末至90年代中期是信息安全風險管理實踐和理論走向初步成熟的階段
    1993年歐美六個國家又啟動了建立共同評測標準（即后來的CC標準）的計劃。這個期間英國自己還研發了基于風險管理的BS7799信息安全管理標準，澳大利亞和新西蘭制定了共同的風險管理標準AS/NES4360。此外，荷蘭、德國、挪威等國也制定了相應的本國標準。所有這些標準，都強調風險評估和管理的重要性、基礎性作用。
備注：14
一、信息安全風險管理理論來源于信息安全實踐
（二）、20世紀80年代末至90年代中期是信息安全風險管理實踐和理論走向初步成熟的階段
    1997年12月，美國國防部發表了《信息技術安全認證和批準程序》（DITSCAP），成為美國涉密信息系統的安全評估和風險管理的重要標準和依據。
備注：15
一、信息安全風險管理理論來源于信息安全實踐
（三）、20世紀90年代末，國際范圍的風險管理實踐與理論進入第三個階段，即全球化階段
    由于90年代以來因特網、移動通信和跨國光纜的高速發展，各國原本局限于本國內的信息網絡迅速跨越國境連成一片。與此同時，信息安全也成為世界各國面臨的共同挑戰。
。
備注：16
一、信息安全風險管理理論來源于信息安全實踐
（三）、20世紀90年代末，國際范圍的風險管理實踐與理論進入第三個階段，即全球化階段
    在共同需求的驅動下，1996年國際標準組織發布了ISO/IEC TR 13335標準即《信息技術安全管理指南》。1999年發布了ISO/IEC15408標準即《信息技術安全評估共同準則》（CC標準）。2000年又發布了ISO/IEC177799即《信息技術信息安全管理實用規則》。 
備注：17
一、信息安全風險管理理論來源于信息安全實踐
（三）、20世紀90年代末，國際范圍的風險管理實踐與理論進入第三個階段，即全球化階段
    國際標準的出臺，反過來又推動了各國自身風險管理標準研發的進程。例如美國，從90年代末開始，在風險管理相關標準的制定上掀起了一個新高潮，僅NIST（美國國家標準與技術局）近幾年制定的與風險管理相關的標準就達十多個。 
備注：18
一、信息安全風險管理理論來源于信息安全實踐
（三）、20世紀90年代末，國際范圍的風險管理實踐與理論進入第三個階段，即全球化階段
    美國國防部于2002年發布了《信息（安全）保障》指令（8500·1），于2003年發布了《信息（安全）保障實現》指令（8500·2）兩個文件，作為國防系統安全評估也包括風險管理的依據。
備注：19
一、信息安全風險管理理論來源于信息安全實踐
（三）、20世紀90年代末，國際范圍的風險管理實踐與理論進入第三個階段，即全球化階段
基中正式發布的此類標準主要有：
SP800—26信息技術系統安全自評估指南（2001年）
SP800—30信息技術系統風險管理指南（2002年）
SP800—51CVE使用和漏洞命名法（2002年）等等。
備注：20
關于信息安全風險管理理論與實踐發展的一些思考
一、信息安全風險管理理論來源于信息安
       全實踐
二、我國信息安全實踐對風險管理理論提       
       出了新問題、新要求
三、信息安全風險管理上存在的問題只能
       靠信息安全實踐來解決
備注：21
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
20世紀90年代以來，隨著經濟全球化和世界科技革命，我國的信息技術、信息產業和信息網絡蓬勃發展。信息安全日益突出，風險管理的重要性空前彰顯。 
2002年我國在863計劃中首次規劃了《系統安全風險分析和評估方法研究》課題 。
備注：22
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
2003年8月至今年在國信辦直接指導下，組成了風險評估課題組，開展了系統的風險評估和管理理論研究。這期間，我國一些國家研究機構、大專院校、民營企業、外資企業、向國內介紹了美、英等發達國家關于信息安全風險評估、風險管理的理論、方法和經驗，為我國這個領域工作的開展發揮了重要作用。
備注：23
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
 但是在新形勢下，我國風險管理理論和實踐還存在不少亟待解決的問題。根據“國信辦信息安全風險評估課題組”去年年底至今年年初進行調研中接觸到的情況，我認為可以歸納為如下五個方面的問題：
備注：24
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
（一）、絕對安全的觀念束縛著風險管理思想的樹立
（二）、主觀上風險意識談薄影響著對我國在信息安
              全上面臨高風險形勢的認識
（三）、現代信息網絡已成為復雜系統，現有的風險
              管理理論和手段難以完全滿足有關要求
（四）、風險管理理論研究與信息安全實踐結合不夠
              緊密
（五）、現有的風險評估、管理理論和方法有待完善 
備注：25
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
（一）、絕對安全的觀念束縛著風險管理思想的樹立
        但信息安全保密實踐歷史告訴我們，安全保密是一個動態過程，安全事件是一種隨機事件，很難做到百分之百安全。祈求“絕對安全”將在人力物力上付出極大代價，造成嚴重浪費。
備注：26
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
（二）、主觀上風險意識談薄影響著對我國在信息安全上面臨高風險形勢的認識
        一些有關人員風險意識談薄，信息安全知識不足，卻津津樂道“太平盛世”，雙耳不聞“盛世危言”，甚至認為，談風險是“杞人憂天”，說安全是“天下本無事庸人自擾之”。這些都嚴重影響了正確認識形勢，樹立信息安全風險觀念。
備注：27
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
（三）、現代信息網絡已成為復雜系統，現有的風險管理理論和手段難以完全滿足有關要求
    信息系統在規模上日益龐大，網絡結構越來越復雜。這樣的復雜型系統進行有效地風險分析、評估和管理，需要更先進的理論和手段，現有的理論難以充分滿足其要求。
備注：28
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
（四）、風險管理理論研究與信息安全實踐結合不夠緊密
    在信息安全實踐中主動結合風險管理理論不夠。近幾年由一批留學人員、民營企業將系統的風險評估理論帶回國內，引起有關部門重視。 
備注：29
二、我國信息安全實踐對風險管理理論提出了新問題、新要求
（五）、現有的風險評估、管理理論和方法有待完善
        當前一些研究人員正在探討的“網絡控制論”、“自動化分析工具”和“形式化分析方法”等新理論、新方法有可能為未來的風險評估和管理提供一些新的、可借鑒的方法和工具。
備注：30
關于信息安全風險管理理論與實踐發展的一些思考
一、信息安全風險管理理論來源于信息安
       全實踐
二、我國信息安全實踐對風險管理理論提       
       出了新問題、新要求
三、信息安全風險管理上存在的問題只能
       靠信息安全實踐來解決
備注：31
三、信息安全風險管理上存在的問題只能靠信息安全實踐來解決
        目前信息安全風險管理中存在的諸多問題也只能在實踐中、發展中加以解決。
        有如下五點建議：
備注：32
三、信息安全風險管理上存在的問題只能靠信息安全實踐來解決
（一）、把風險管理思想、理論和方法與信息系統的等
        級保護工作緊密結合起來
（二）、普及風險管理知識，增強信息安全風險意識
（三）、深化風險管理理論研究，科學規范風險管理工
        作體系 
（四）、重視技術開發，打造新的高效的風險評估工具 
（五）、加緊建設風險管理的專業隊伍
備注：33

網友評論 more

其他最新內容

04-04