時(shí)間：2015-06-28 00:00:00 來(lái)源：IT貓撲網(wǎng) 作者：網(wǎng)管聯(lián)盟 我要評(píng)論(0)
一、安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)備階段
在每次風(fēng)險(xiǎn)評(píng)估開(kāi)始之前，一個(gè)最好的保證評(píng)估過(guò)程順利完成，評(píng)估結(jié)果真實(shí)有效的方法，就得為此制定一個(gè)風(fēng)險(xiǎn)評(píng)估策略。但如果只是對(duì)某個(gè)獨(dú)立的或者是臨時(shí)決定的小評(píng)估項(xiàng)目進(jìn)行風(fēng)險(xiǎn)評(píng)估，而且你和你的評(píng)估團(tuán)隊(duì)以前經(jīng)常對(duì)些小評(píng)估項(xiàng)目進(jìn)行風(fēng)險(xiǎn)評(píng)估，那么，只要為它做一些相應(yīng)的準(zhǔn)備工作就可以直接進(jìn)行評(píng)估了。
風(fēng)險(xiǎn)評(píng)估策略的具體內(nèi)容是根據(jù)實(shí)際的評(píng)估對(duì)象和評(píng)估項(xiàng)目來(lái)決定的，因此，不同的評(píng)估對(duì)象的風(fēng)險(xiǎn)評(píng)估策略是不相同，就是同一評(píng)估對(duì)象，如果評(píng)估的具體項(xiàng)目不同，其風(fēng)險(xiǎn)評(píng)估策略也不會(huì)相同。
1、制定風(fēng)險(xiǎn)評(píng)估策略
一個(gè)好的風(fēng)險(xiǎn)評(píng)估策略，應(yīng)當(dāng)包括下列所示的內(nèi)容：
（1）、指定評(píng)估小組成員
信息風(fēng)險(xiǎn)評(píng)估小組擔(dān)負(fù)著機(jī)構(gòu)的風(fēng)險(xiǎn)評(píng)估工作，其成員要能代表整個(gè)機(jī)構(gòu)。同時(shí)，成員必需在人員安全評(píng)估（確定某個(gè)人員可以信任風(fēng)險(xiǎn)評(píng)估工作）通過(guò)后確定。具體的成員應(yīng)當(dāng)包括：IT部門(mén)主管、風(fēng)險(xiǎn)評(píng)估負(fù)責(zé)人、系統(tǒng)或網(wǎng)絡(luò)管理員、信息安全技術(shù)人員，還可以包括安全產(chǎn)品供應(yīng)商代表及合作伙伴代表等。
評(píng)估人員確定后，就要分配相應(yīng)的評(píng)估任務(wù)給具體的人員。確定每個(gè)評(píng)估人員各自的職責(zé)，所要承擔(dān)的法律責(zé)任，并做成文檔分發(fā)到每個(gè)評(píng)估人員手中。同時(shí)，要為評(píng)估任務(wù)指定一個(gè)總的負(fù)責(zé)人，來(lái)監(jiān)督整個(gè)評(píng)估過(guò)程，并協(xié)調(diào)處理評(píng)估過(guò)程中出現(xiàn)的臨時(shí)狀況。還要說(shuō)明評(píng)估結(jié)果的填寫(xiě)和上報(bào)方式，如說(shuō)明每個(gè)評(píng)估人員完成自己的評(píng)測(cè)任務(wù)，填上評(píng)測(cè)結(jié)果后，當(dāng)上交給風(fēng)險(xiǎn)評(píng)估負(fù)責(zé)人時(shí)，還應(yīng)當(dāng)與負(fù)責(zé)人一同簽名才能有效。
（2）、確定風(fēng)險(xiǎn)評(píng)估的范圍和目的
確定風(fēng)險(xiǎn)評(píng)估的范圍也就是指指定具體的評(píng)估對(duì)象和評(píng)估項(xiàng)目，風(fēng)險(xiǎn)評(píng)估的目的就是指此次風(fēng)險(xiǎn)評(píng)估要達(dá)到的期望值。風(fēng)險(xiǎn)評(píng)估的目的和范圍是相輔相成的，只有指定了評(píng)估對(duì)象中評(píng)估項(xiàng)目的風(fēng)險(xiǎn)評(píng)估目的，才知道需要什么樣的評(píng)估任務(wù)來(lái)達(dá)到這個(gè)目的，也就圈定了具體的評(píng)估范圍。也只有確定了風(fēng)險(xiǎn)評(píng)估的范圍和目的，我們的風(fēng)險(xiǎn)評(píng)估才能有的放矢地進(jìn)行。
在本例中，我們的評(píng)估對(duì)象是信息安全風(fēng)險(xiǎn)評(píng)估；評(píng)估項(xiàng)目是網(wǎng)絡(luò)操作痕跡信息檢查；評(píng)估的目的是檢查網(wǎng)絡(luò)中遺留的網(wǎng)絡(luò)操作痕跡信息中是否含有機(jī)構(gòu)內(nèi)部機(jī)密；具體的評(píng)估任務(wù)有：
①、檢查機(jī)構(gòu)內(nèi)部員工WEB數(shù)據(jù)庫(kù)和緩存中的內(nèi)容；
②、檢查機(jī)構(gòu)內(nèi)部員工是否通過(guò)個(gè)人主頁(yè)、博客、論壇，以及發(fā)布網(wǎng)絡(luò)求職簡(jiǎn)歷的方式，透露了機(jī)構(gòu)的組織結(jié)構(gòu)，或其它機(jī)構(gòu)內(nèi)部機(jī)密信息；
③、調(diào)查機(jī)構(gòu)內(nèi)部員工是否在使用私人電子郵箱，并且在法律允許的條件下，檢查員工是否通過(guò)機(jī)構(gòu)分配的電子郵件發(fā)送機(jī)構(gòu)內(nèi)部機(jī)密信息；
④、了解機(jī)構(gòu)內(nèi)部員工的計(jì)算機(jī)技術(shù)水平，以及了解計(jì)算機(jī)技術(shù)水平較高的員工所處的部門(mén)及其操作權(quán)限；
⑤、調(diào)查機(jī)構(gòu)內(nèi)部員工是否在工作時(shí)間使用即時(shí)通信工具，并在法律條件允許的條件下監(jiān)控即時(shí)通信的內(nèi)容；
⑥、使用互聯(lián)網(wǎng)搜索引擎查找網(wǎng)絡(luò)中是否存在與機(jī)構(gòu)相關(guān)的機(jī)密信息，或者可以在各種特定的新聞組、論壇及博客中搜索；
⑦、檢查機(jī)構(gòu)內(nèi)部員工是否在使用P2P軟件，在法律條件允許下審查P2P通信內(nèi)容。
（3）、確定本次評(píng)估任務(wù)的開(kāi)始和結(jié)束的具體日期和時(shí)間，如有可能，還有決定具體的風(fēng)險(xiǎn)評(píng)估時(shí)間，并在風(fēng)險(xiǎn)評(píng)估文檔中留出相應(yīng)的位置用來(lái)標(biāo)明評(píng)估工作的開(kāi)始和結(jié)束時(shí)間。
（4）、考慮一些在風(fēng)險(xiǎn)評(píng)估過(guò)程中可能發(fā)生的情況，以不影響正常的業(yè)務(wù)為基本條件。應(yīng)當(dāng)為此制定一個(gè)應(yīng)對(duì)有可能造成業(yè)務(wù)中斷，或造成真實(shí)安全事件發(fā)生事件時(shí)的應(yīng)急措施。
2、根據(jù)評(píng)估項(xiàng)目和要完成的評(píng)估任務(wù)制作風(fēng)險(xiǎn)評(píng)估表單
風(fēng)險(xiǎn)評(píng)估表單就是在一張表單上將要評(píng)估的項(xiàng)目及評(píng)估任務(wù)一一列出，然后在進(jìn)行具體的風(fēng)險(xiǎn)評(píng)估時(shí)，就可以按表單中的內(nèi)容來(lái)依次進(jìn)行。圖2.1就是網(wǎng)絡(luò)操作痕跡信息檢查評(píng)估項(xiàng)目的風(fēng)險(xiǎn)評(píng)估表單。
圖2.1 網(wǎng)絡(luò)操作痕跡信息檢查的風(fēng)險(xiǎn)評(píng)估表單????
信息安全風(fēng)險(xiǎn)評(píng)估 | |||||||
評(píng)估項(xiàng)目： | 網(wǎng)絡(luò)操作痕跡信息檢查 | ||||||
評(píng)估的目的： | 檢查網(wǎng)絡(luò)中遺留的網(wǎng)絡(luò)操作痕跡信息中是否含有機(jī)構(gòu)內(nèi)部機(jī)密 | ||||||
相關(guān)閱讀
熱門(mén)文章
相關(guān)下載 人氣排行 各品牌的ADSL與路由器出廠默認(rèn)IP、帳號(hào)、密碼 路由器地址大全-各品牌路由設(shè)置地址 騰達(dá)路由器怎么設(shè)置？騰達(dá)路由器設(shè)置教程 ADSL雙線負(fù)載均衡設(shè)置詳細(xì)圖文教程 路由表說(shuō)明(詳解route print) Nslookup命令詳解-域名DNS診斷 網(wǎng)管員實(shí)際工作的一天 網(wǎng)管必會(huì)！了解交換機(jī)控制端口流量
| |||||||
路由器地址大全-各品牌路由設(shè)置地址
各品牌的ADSL與路由器出廠默認(rèn)IP、帳號(hào)、密碼
Nslookup命令詳解-域名DNS診斷
站長(zhǎng)裝備：十大網(wǎng)站管理員服務(wù)器工具軟件