什么是信息安全風(fēng)險(xiǎn)評(píng)估？

信息安全風(fēng)險(xiǎn)評(píng)估是參照風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)和管理規(guī)范，對(duì)信息系統(tǒng)的資產(chǎn)價(jià)值、潛在威脅、薄弱環(huán)節(jié)、已采取的防護(hù)措施等進(jìn)行分析，判斷安全事件發(fā)生的概率以及可能造成的損失，提出風(fēng)險(xiǎn)管理措施的過(guò)程。當(dāng)風(fēng)險(xiǎn)評(píng)估應(yīng)用于IT領(lǐng)域時(shí)，就是對(duì)信息安全的風(fēng)險(xiǎn)評(píng)估。

系統(tǒng)存在著脆弱性，就是我們常說(shuō)的技術(shù)上的漏洞，可以被利用的漏洞，我們有時(shí)候講脆弱性。再加上人為或自然的威脅，導(dǎo)致一些信息安全事件的發(fā)生的可能性及其造成的影響，特別是負(fù)面影響。也就是說(shuō)脆弱性和威脅是原因，可能性和影響是結(jié)果，當(dāng)然還有一些其他的要素。信息安全風(fēng)險(xiǎn)評(píng)估是指對(duì)信息系統(tǒng)及其處理的傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行科學(xué)識(shí)別和評(píng)價(jià)的過(guò)程。

風(fēng)險(xiǎn)評(píng)估從早期簡(jiǎn)單的漏洞掃描、人工審計(jì)、滲透性測(cè)試這種類(lèi)型的純技術(shù)操作，逐漸過(guò)渡到目前普遍采用國(guó)際標(biāo)準(zhǔn)的BS7799、ISO17799、國(guó)家標(biāo)準(zhǔn)《信息系統(tǒng)安全等級(jí)評(píng)測(cè)準(zhǔn)則》等方法，充分體現(xiàn)以資產(chǎn)為出發(fā)點(diǎn)、以威脅為觸發(fā)因素、以技術(shù)/管理/運(yùn)行等方面存在的脆弱性為誘因的信息安全風(fēng)險(xiǎn)評(píng)估綜合方法及操作模型。

風(fēng)險(xiǎn)評(píng)估的每一個(gè)步驟都非常重要

進(jìn)行風(fēng)險(xiǎn)評(píng)估是非常重要的，而且是對(duì)于專(zhuān)業(yè)性要求比較高的一件事，所以人們也都應(yīng)該好好地注意好進(jìn)行評(píng)估的各個(gè)步驟，每一個(gè)步驟都真實(shí)到位，才能夠確保最終出來(lái)的評(píng)估效果是可靠、準(zhǔn)確的，所以我們也都應(yīng)該好好地去做好每一個(gè)步驟。

第一步：風(fēng)險(xiǎn)辨識(shí)

進(jìn)行評(píng)估之前，需要先對(duì)于每一個(gè)業(yè)務(wù)中的單元、各種相關(guān)的活動(dòng)、以及業(yè)務(wù)流程里面的重要環(huán)節(jié)都進(jìn)行反復(fù)的排查與辨識(shí)，看看這些項(xiàng)目都有著什么樣的風(fēng)險(xiǎn)，這樣子才能夠在大體上面對(duì)于風(fēng)險(xiǎn)情況有一個(gè)估計(jì)，做出一個(gè)基礎(chǔ)的判斷。

第二步：風(fēng)險(xiǎn)分析

在接下來(lái)的風(fēng)險(xiǎn)評(píng)估第二步，就是在那些有風(fēng)險(xiǎn)辨識(shí)度的項(xiàng)目或是流程上面，進(jìn)行仔細(xì)的分析，看看這些風(fēng)險(xiǎn)的特征是什么，并且使用明確的定義來(lái)進(jìn)行描述，從而能夠更為精準(zhǔn)，特別是使用數(shù)字或是檔位定義來(lái)明確這些風(fēng)險(xiǎn)的發(fā)生條件、以及風(fēng)險(xiǎn)的程度高低，從而使得人們都能夠?qū)τ谶@些風(fēng)險(xiǎn)的發(fā)生可能性、以及所會(huì)造成的后果有著更為直觀(guān)的認(rèn)知。

第三步：風(fēng)險(xiǎn)評(píng)價(jià)

最后一步就是進(jìn)行風(fēng)險(xiǎn)的最終評(píng)價(jià)了，也就是進(jìn)行正式的風(fēng)險(xiǎn)評(píng)估，將企業(yè)方案、或是運(yùn)營(yíng)目標(biāo)的最終影響程度、以及風(fēng)險(xiǎn)的可能性與價(jià)格、可能的后果都進(jìn)行明確的量化評(píng)估，從而使得用戶(hù)可以更為明確地了解到自己是否應(yīng)該繼續(xù)這個(gè)方案，是否足以承擔(dān)相關(guān)風(fēng)險(xiǎn)。

信息安全進(jìn)行風(fēng)險(xiǎn)評(píng)估的意義是什么？

在這個(gè)互聯(lián)網(wǎng)時(shí)代，信息安全是每一家企業(yè)都應(yīng)該重視的事情。要知道信息一旦被黑客攻下，那么帶來(lái)的損失是無(wú)法衡量的。因此日常做好信息安全風(fēng)險(xiǎn)評(píng)估的工作是非常有必要的。下面我們來(lái)介紹一下它的意義有哪些吧。

能夠及時(shí)發(fā)現(xiàn)信息安全中存在的主要問(wèn)題和矛盾

我們知道，即使是日常使用的電腦也都要定期維護(hù)、查殺病毒，來(lái)確保安全使用。因此企業(yè)的系統(tǒng)更要注重日常的檢查，才能及時(shí)分析確定系統(tǒng)風(fēng)險(xiǎn)及風(fēng)險(xiǎn)大小，進(jìn)而采取合適的措施去減少、轉(zhuǎn)移，有效避免風(fēng)險(xiǎn)或?qū)L(fēng)險(xiǎn)控制在可以容忍的范圍內(nèi)，將中心數(shù)據(jù)進(jìn)行更好的保護(hù)。

能夠加強(qiáng)信息安全保障體系建設(shè)和管理

要知道所有的信息安全建設(shè)都離不開(kāi)風(fēng)險(xiǎn)評(píng)估。也就是說(shuō)，它是安全信息建設(shè)的基礎(chǔ)所在。因?yàn)橹挥姓_的全面的了解了風(fēng)險(xiǎn)后，才能在怎么控制風(fēng)險(xiǎn)這個(gè)問(wèn)題上做出正確合理的判斷。比如調(diào)動(dòng)什么樣的資源、付出什么樣的代價(jià)，采取怎么樣樣的措施去控制、轉(zhuǎn)移等等。另外，信息安全建設(shè)得基于一定的實(shí)際去出發(fā)，才能更好的去規(guī)避風(fēng)險(xiǎn)。要知道風(fēng)險(xiǎn)總是客觀(guān)存在的，那么如何去規(guī)避，需要具體問(wèn)題具體分析。