信息安全风险评估

一、风险评估基础概念

1. 定义与目标

   • 定义：识别、分析和评价信息系统及数据面临的威胁、脆弱性及潜在影响，量化风险并制定应对措施的过程。
   • 目标：保障信息的CIA三要素（机密性、完整性、可用性），满足合规要求（如《网络安全法》GB/T 20984-2022）。

2. 风险要素关系

   • 风险值 = 威胁可能性 × 脆弱性 × 资产价值
   • 威胁来源：自然（地震、火灾）和人为（黑客攻击、内部泄密）。
   • 脆弱性：技术漏洞（如未打补丁的系统）和管理缺陷（如权限分配混乱）。

二、风险评估流程

1. 实施步骤（基于GB/T 31509-2015）：

   • 准备阶段：确定评估范围、组建团队、收集资产清单。
   • 风险识别：
     • 资产识别：按业务、系统、组件分层分类（如数据、硬件、服务）。
     • 威胁分析：通过渗透测试、日志审计识别攻击路径。
     • 脆弱性评估：使用漏洞扫描工具（如Nessus）检测系统弱点。
   • 风险分析：结合威胁频率、脆弱性严重程度和资产价值计算风险等级。
   • 风险处置：规避（关闭高危端口）、转移（购买保险）、接受（监控低风险）。

2. 生命周期评估：

   • 规划/设计阶段：识别业务安全需求（如数据加密需求）。
   • 运行阶段：定期进行威胁监控和脆弱性修复（如每月漏洞扫描）。

三、风险评估标准与方法

1. 核心标准：

   • GB/T 20984-2022：最新风险评估国家标准，强调以“业务”为核心，威胁驱动的分析方法。
   • ISO 27005：国际风险管理标准，适用于ISMS（信息安全管理体系）认证。

2. 常用方法：

   • 定性分析：基于专家经验（如德尔菲法），适用于难以量化的风险（如员工安全意识薄弱）。
   • 定量分析：通过数学模型（如层次分析法）计算风险值，需依赖历史数据（如攻击频率统计）。
   • 组合评估：结合基线和详细评估，优先处理高风险资产。

3. 工具支持：

   • 漏洞扫描工具：Nessus、OpenVAS。
   • 风险管理平台：安与安“信安智评”系统（支持GB/T 20984自动生成报告）。

四、练习题

1. 题目（来源：软考模拟题）

   风险评估中，残余风险是指？
   A. 未识别的风险
   B. 风险处置后剩余的风险
   C. 重大风险
   答案与解析：

   • 正确答案：B
   • 解析：残余风险是风险处置后仍存在的风险，可能包含未识别风险（如未修复的隐蔽漏洞）。

2. 题目（来源：GB/T 20984-2022标准题）

   以下哪项是威胁分析的关键内容？
   ① 攻击者动机
   ② 漏洞扫描结果
   ③ 资产价值
   答案与解析：

   • 正确答案：①
   • 解析：威胁分析需关注攻击者的能力、动机（如经济利益、政治目的），漏洞扫描属于脆弱性识别。

3. 题目（来源：等级保护试题）

   信息系统生命周期中，设计阶段风险评估的重点是？
   答案与解析：

   • 重点内容：
     1. 分析物理环境威胁（如机房防火设计）。
     2. 验证安全设计方案（如访问控制策略）是否符合需求。