GB/T 20984-2007《信息安全技术 信息安全风险评估规范》一、风险评估 4 大阶段【必背】评估准备 → 风险要素识别 → 风险分析 → 风险处置评估准备评估工作的起点保障评估有效性风险要素识别识别资产、威胁、脆弱性核心风险分析关联信息计算风险值风险处置给出处置建议加固后评估残余风险二、基本原则4 条标准性原则按 GB/T20984-2007 流程实施关键业务原则以关键业务为核心相关系统作为评估重点可控性原则4 个子项服务可控性人员与信息可控性签保密协议过程可控性项目组长负责制工具可控性评估工具、测试策略提前告知用户并获取许可最小影响原则在线业务评估优先保障稳定攻击性测试要应急备份、避开业务高峰三、风险要素识别重中之重选择题高频1. 资产识别资产对组织有价值的信息 / 资源是安全策略保护对象。风险围绕资产存在。 ✅资产 6 大类硬件、软件、数据、服务、人员、其他✅资产赋值维度保密性、完整性、可用性CIA等级分 5 档很高、高、中、低、很低✅资产调查方法阅读文档、访谈人员、现场查看 ✅资产赋值报告内容资产名称类别、CIA 赋值、资产价值、承载系统价值计算方法关键资产说明2. 威胁识别威胁可能造成损害的潜在起因客观存在。 ✅威胁 11 大类软硬件故障、物理环境影响、无作为或操作失误、管理不到位、恶意代码、越权 / 滥用、网络攻击、物理攻击、泄密、篡改、抵赖。威胁途径4 种人为威胁手段考题最爱区分主动攻击修改系统 / 信息。缓冲区溢出、木马病毒、DoS、篡改数据、重放。被动攻击不改信息只窃听侦察很难发现。流量分析、嗅探、口令截获。邻近攻击物理靠近设备。偷看屏幕、偷打印纸、破坏线路。分发攻击软硬件生产 / 安装阶段植入后门厂商预埋恶意功能。补充误操作合法用户无意操作非恶意但是破坏系统。威胁源分类非人为自然灾害水灾、地震、火灾、雷击等人为内部 / 外部非恶意误操作、恶意攻击攻击者类型恶意员工、独立黑客、有组织攻击者竞争者、犯罪团伙、恐怖组织、外国政府3. 脆弱性识别【高频一句话考点】、脆弱性核查技术 管理两大类✅ 技术脆弱性核查5 个方面网络安全脆弱性网络设备、网络架构安全缺陷分析维度结构、功能、安全功能、性能分析测试方法白盒、黑盒、灰盒核查手段查拓扑 / 策略配置文档、询问人员、硬件配置查看、漏洞扫描、流量 / 负载带宽测试、验证安全措施有效性主机系统安全脆弱性硬件、操作系统、数据库、软件的安全缺陷非法访问、抢占系统资源安全措施身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制分析 测试同样结构 / 功能 / 安全功能 / 性能白 / 黑 / 灰盒测试应用系统安全脆弱性业务应用系统漏洞非法访问、抢占业务资源安全措施身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制核查手段查阅需求 / 设计 / 测试文档、审查源代码、验证安全功能、日志分析、漏洞扫描、性能测试数据安全脆弱性存储 / 传输安全缺陷数据泄露、篡改破坏、不可用安全措施数据完整性保护、保密性保护、备份与恢复核查方法通信协议分析、数据破解、数据完整性校验物理安全前面图片开头✅ 安全管理脆弱性核查管理层面安全管理组织机构、岗位、人员配置、分工、职责是否清晰落地核查看组织文件、活动记录安全管理策略安全策略文件核查全面性、合理性询问人员识别策略缺陷安全管理制度制度体系完备性、发布 / 评审修订 / 落地执行情况审查制度文件、执行记录人员安全管理人员录用、培训、考核、离岗外部人员访问控制查阅记录、现场测试识别系统运维管理物理环境、资产、密码、恶意代码、监控、变更、备份、应急查阅制度、现场访谈、演示操作识别脆弱性严重等级很高、高、中等、低、很低5 级级别越高越严重。 脆弱性分析报告内容 ①资产存在的各种脆弱性 ②脆弱性特征及赋值基本特征、时间特征、环境特征 ③计算脆弱性严重程度的方法 ④严重脆弱性说明 ⑤脆弱性之间的关联分析二、风险分析阶段工作【高频考点】1. 风险分析模型三大基础要素资产、威胁、脆弱性R安全风险计算函数A资产T威胁V脆弱性模型逻辑威胁识别 → 威胁出现频率 →安全事件的可能性脆弱性识别 → 脆弱性严重程度资产识别 → 资产价值 →安全事件造成的损失可能性 损失 共同计算得到风险值建立模型两步 ① 威胁 ↔ 脆弱性关联哪些威胁可以利用哪些脆弱性判断安全事件发生可能性② 资产 ↔ 脆弱性关联哪些资产存在漏洞事件发生会造成多大损失2. 风险计算两大类方法定性计算考试最常考工程最常用将资产、威胁、脆弱性属性等级化赋值用相乘 / 矩阵法算风险实际项目中用的最多。定量计算量化财务价值计算风险实操很难落地很少使用。3. 风险分析与评价风险分析对风险值等级化风险值越高风险等级越高等级很高、高、中等、低、很低5 级也可简化高 / 中 / 低三级风险评价统计不同等级风险占比判断系统总体风险状况4. 风险评估报告风险分析阶段的输出文档是风险处置阶段关键依据 内容要点风险对业务影响范围、影响程度、法规依据、风险评价结论。 用途等级保护测评、安全检查、安全建设参考。三、风险处置建议风险处置基本原则适度接受风险根据组织可承受成本将残余风险控制在可接受范围 ✘ 等保、行业特殊安全要求场景不适用适度接受风险原则。4 种风险处置方式接受、消减、转移、规避安全整改属于【消减】风险整改建议分级策略简答题背诵 ① 非常严重需立即降低加固易实施 →立即整改② 非常严重需立即降低但加固难实施 → 制定整改方案先监控 应急预案③ 比较严重需降低加固不易实施 →定期整改前期监控✅ 评估结束标志评审会召开参会方被评估组织、评估机构、专家被评估组织安全主管领导、业务 / 技术主管评估机构项目组长、评估人员专家行业专家、安全领域专家四、项目各阶段输出文档选择 / 案例必考阶段输出文档准备阶段《系统调研报告》、《风险评估方案》识别阶段《资产价值分析报告》、《威胁分析报告》、《安全技术脆弱性分析报告》、《安全管理脆弱性分析报告》、《已有安全措施分析报告》风险分析《风险评估报告》风险处置《安全整改建议》五、评审会 残余风险评审意见专人记录专家意见针对评估流程、风险模型计算方法、评估结论、全套文档提意见评估机构根据意见修订报告交付被评估组织作为项目移交文档。残余风险整改完成后仍然剩余的风险 ✅ 残余风险评估目的识别、控制、管理残余风险如果加固后残余风险仍不可接受 → 需要进一步加强安全措施。