|
 |
|
|
| |
| 軟件企業(yè)如何構(gòu)建ISO27001認證的風險評估 |
| |
發(fā)布者：admin
發(fā)布時間：2014/11/25 13:49:00 閱讀：8481次 【字體：大
中 小】 |
軟件企業(yè)根據(jù)專用網(wǎng)絡(luò)信息評估的基本流程和方法，對專用網(wǎng)絡(luò)系統(tǒng)進行信息安全風險評估是確定信息安全策略、構(gòu)建ISO27001信息安全管理體系框架的前提。其主要內(nèi)容包括資產(chǎn)識別與重要性評估、風險分析等。
一、資產(chǎn)識別與重要性評估
在專用網(wǎng)絡(luò)系統(tǒng)中，資產(chǎn)主要有3 類：硬件資產(chǎn)、軟件資產(chǎn)、文檔和數(shù)據(jù)資產(chǎn)。其中硬件資產(chǎn)又包括網(wǎng)絡(luò)設(shè)備（如網(wǎng)絡(luò)交換機、路由器、集線器、網(wǎng)絡(luò)連接線等），終端與服務(wù)設(shè)備（如專用網(wǎng)絡(luò)終端、服務(wù)器等）和輔助設(shè)備（如供電設(shè)備等）。軟件資產(chǎn)包括系統(tǒng)軟件（如操作系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等），工具軟件（如辦公軟件、系統(tǒng)開發(fā)軟件、病毒防護軟件等）和應(yīng)用軟件。文檔和數(shù)據(jù)資產(chǎn)包括程序文件，業(yè)務(wù)文件（如合同、協(xié)議、信件等），系統(tǒng)文件（如系統(tǒng)日志、密碼、用戶屬性文件、系統(tǒng)使用說明等）和數(shù)據(jù)庫（包括人力資源數(shù)據(jù)庫、會計數(shù)據(jù)庫、生產(chǎn)管理系統(tǒng)數(shù)據(jù)等）。
資產(chǎn)重要性是指某項資產(chǎn)對于系統(tǒng)信息安全的重要性和敏感度。為了確保資產(chǎn)重要性評估，應(yīng)該針對專用網(wǎng)絡(luò)系統(tǒng)實際應(yīng)用情況制定專門的資產(chǎn)重要性評估標準。例如，機密性、完整性和可用性是信息安全3 個不同方面的特性，可以將它們作為評估專用網(wǎng)絡(luò)信息資產(chǎn)重要性的指標，對每項資產(chǎn)賦予重要性評估值。
二、風險分析
評價風險發(fā)生的可能性的過程如下：首先，從自然、人為和意外3 個方面識別各系統(tǒng)可能面對的威脅；接著，從硬件、軟件、數(shù)據(jù)、人員等方面識別系統(tǒng)具有的脆弱性，在完成威脅及脆弱性識別后，對威脅利用脆弱性可能造成的后果和影響進行描述； 后，根據(jù)現(xiàn)狀描述當前已經(jīng)采取的管理、技術(shù)控制措施，得出 終的風險發(fā)生的可能性。 |
| |
| |
|
| |
|
 |
|
