具体如何进行风险评估

Question

如题所述

Answer 1

1、资产识别与赋值：对评估范围内的所有资产进行识别，并调查资产破坏后可能造成的损失大小，根据危害和损的大小为资产进行相对赋值；资产包括硬件、软件、服务、信息和人员等。
2、威胁识别与赋值：即分析资产所面临的每种威胁发生的频率，威胁包括环境因素和人为因素。
3、脆弱性识别与赋值：从管理和技术两个方面发现和识别脆弱性，根据被威胁利用时对资产造成的损害进行赋值。
4、风险值计算：通过分析上述测试数据，进行风险值计算，识别和确认高风险，并针对存在的安全风险提出整改建议。
5、被评估单位可根据风险评估结果防范和化解信息安全风险，或者将风险控制在可接受的水平，为最大限度地保障网络和信息安全提供科学依据。

Answer 2

以下是进行风险评估的步骤:
1、确定保护的对象（或者资产），确认其直接价值和间接价值；
2、确定资产面临的潜在威胁，导致威胁的问题所在及威胁发生的可能性大小；
3、确定资产中存在的可能会被潜在威胁所利用的弱点及利用的程度；
4、确定一旦威胁事件发生，组织会遭受的损失或者面临的负面影响；
5、确定组织应该采取怎样的安全措施才能将风险带来的损失降低到最低程度。

Answer 3

风险评估程序

Answer 4