信息安全风险管理要素_机房360

摘要：为网络安全做准备，企业必须满足基本的网络安全目标。网络安全准备是指能够检测并有效响应来自网络外部以及内部的计算机安全泄露事故和入侵、恶意软件攻击、网络钓鱼攻击以及数据和知识产权窃取。

　　为网络安全做准备，企业必须满足基本的网络安全目标。网络安全准备是指能够检测并有效响应来自网络外部以及内部的计算机安全泄露事故和入侵、恶意软件攻击、网络钓鱼攻击以及数据和知识产权窃取。

　　在本文中，我们将主要探讨风险，因为它影响着信息与信息系统。保护信息是一个业务问题，解决方案并不只是部署技术(防火墙和防病毒网关等)，然后不管不顾，并全权依赖保护。企业必须采取积极主动的方法来发现及保护其最重要的资产，包括信息、信息技术和关键业务流程。信息安全风险管理让企业可评估其试图保护的内容及原因，以作为确定安全措施的决定性支持要素。全面的信息安全风险评估应该允许企业根据其业务和组织需求来评估其安全需求和风险。

　　请记住，信息系统及其所包含数据的作用时支持业务流程，也是支持企业实现目标。在实际中，信息是支持企业及其使命的基本要素，它有助于维持企业运营。

　　风险定义

　　根据卡内基梅隆大学软件工程研究所的OCTAVE风险评估方法显示，风险是指：“遭受破坏或损失的可能性。”威胁是风险的组成部分，可以被认为是：威胁行为者(人类或非人类)采取某种行动，例如识别和利用漏洞，导致意想不到和不想要的结果，例如信息丢失、修改或披露，或者失去对信息的访问权限。这些结果对企业将带来负面影响，这些影响可能包括：收益或客户流失、市场差异化损失、事故响应及恢复的成本以及罚款和监管惩罚的成本。

　　信息安全风险组成部分

　　信息安全风险有几个重要组成部分：

　　威胁行为者：利用漏洞的人类或非人类实体;

　　漏洞：威胁行为者利用的对象;

　　结果：利用漏洞导致的结果;

　　影响：不良结果带来的影响，不要将结果与影响混淆。

　　信息安全风险最后且最重要的组成部分是受风险影响的资产，包括信息、过程和技术。假设资产风险无法消除，信息安全风险的唯一可控制的组件就是漏洞。我们可通过以下操作来控制漏洞：

　　删除漏洞。如果不存在漏洞，则不能被利用;

　　或者，如果漏洞无法被删除：

　　降低漏洞利用的可能性;

　　降低漏洞利用造成影响的严重性;

　　或者什么都不做，接受风险。