Cybersecurity

CISP学习指南：信息安全风险管理

Created ,
CISP
  1. 一、风险管理概述
  2. 二、背景建立
  3. 三、风险评估
  4. 四、风险处置
  5. 五、风险值计算
  6. 六、残余风险
  7. 七、定量风险评估
  8. 八、风险监控
  9. 九、总结

信息安全风险管理是信息安全保障的核心工作，通过系统化的方法识别、评估和处置安全风险，确保信息资产的安全。

一、风险管理概述

1.1 信息安全风险评估工作意见

📜 《关于开展信息安全风险评估工作的意见》

文件背景：

该意见是指导我国信息安全风险评估工作的重要文件，明确了风险评估的原则、形式和要求。

核心原则：

📊 严密组织

  • 建立健全的组织体系
  • 明确职责分工
  • 加强统筹协调

📋 规范操作

  • 遵循标准规范
  • 按照流程执行
  • 保证评估质量

🔬 讲求科学

  • 采用科学方法
  • 基于客观事实
  • 综合分析判断

🎯 注重实效

  • 着眼解决实际问题 -提出可行建议
  • 促进安全改进

风险评估形式：

根据《关于开展信息安全风险评估工作的意见》，信息安全风险评估分为自评估和检查评估两种形式，应以自评估为主，自评估和检查评估相互结合、互为补充。

**选项分析：**

A. ❌ **错误：信息安全风险评估分自评估、检查评估两形式，应以检查评估为主，自评估和检查评估相互结合、互为补充**
- 错误原因：应以**自评估为主**，不是检查评估为主
- 自评估是组织自身开展的评估，更了解实际情况
- 检查评估是外部检查，起监督和验证作用

B. ✅ **正确：信息安全风险评估工作要按照“严密组织、规范操作、讲求科学、注重实效’的原则开展**
- 这是文件明确规定的四项原则

C. ✅ **正确：信息安全风险评估应管贯穿于网络和信息系统建设运行的全过程**
- 风险评估不是一次性工作
- 应贯穿于系统全生命周期
- 包括规划、设计、实施、运行、维护各阶段

D. ✅ **正确：开展信息安全风险评估工作应加强信息安全风险评估工作的组织领导**
- 需要高层支持和组织保障
- 明确职责分工
- 提供资源保障

两种评估形式对比：

特征 自评估 检查评估
实施主体 组织自身 外部机构
主要作用 自我检查、持续改进 监督检查、验证效果
开展频率 定期开展 按需开展
了解程度 深入了解 相对表面
重要性 主要形式 补充形式
优势 了解实际、及时发现 客观公正、专业性强

风险评估的全过程管理：

graph LR A["规划阶段"] B["设计阶段"] C["实施阶段"] D["运行阶段"] E["维护阶段"] A -->|"风险评估"| B B -->|"风险评估"| C C -->|"风险评估"| D D -->|"风险评估"| E E -->|"持续评估"| D style A fill:#e3f2fd,stroke:#1976d2 style B fill:#e8f5e9,stroke:#388e3d style C fill:#fff3e0,stroke:#f57c00 style D fill:#f3e5f5,stroke:#7b1fa2 style E fill:#ffebee,stroke:#c62828

1.2 风险管理流程

信息安全风险管理是一个系统化的过程，包括多个关键阶段。

💡 风险管理流程的关键阶段

风险管理流程：

我国标准《信息安全风险管理指南》（GB/Z24364）给出了信息安全风险管理的内容和过程。风险评估之后的关键阶段是风险处理（也称风险处置）。

为什么是风险处理：

✅ 风险处理的定位

  • 风险评估之后的关键阶段
  • 包括制定和实施风险处置方案
  • 采取措施降低、转移、规避或接受风险

其他概念的区别：

  • 风险计算：是风险分析阶段的一部分，不是独立的主要阶段
  • 风险预测：不是标准流程中的独立阶段
  • 风险评价：是风险评估阶段的一部分，不是评估之后的独立阶段
graph TB A["信息安全风险管理"] B["背景建立"] C["风险评估"] D["风险处理/处置"] E["风险监控"] A --> B B --> C C --> D D --> E E --> C B --> B1["确定范围和边界"] C --> C1["风险识别"] C --> C2["风险分析"] C --> C3["风险评价"] D --> D1["制定处置方案"] E --> E1["持续监控"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#fff3e0,stroke:#f57c00 style D fill:#e8f5e9,stroke:#388e3d style E fill:#f3e5f5,stroke:#7b1fa2

风险管理的关键阶段：

阶段 主要活动 目标 输出
背景建立 确定范围、调查系统、分析环境 建立风险管理基础 系统描述报告、安全需求报告
风险评估 识别资产、威胁、脆弱性 评估风险水平 风险评估报告
风险处置 制定和实施处置方案 降低风险 风险处置计划
风险监控 持续监控和审查 确保有效性 监控报告

二、背景建立

2.1 背景建立概述

🎯 背景建立的重要性

背景建立是信息安全风险管理过程中实施工作的第一步，为后续的风险评估和处置奠定基础。

背景建立的核心任务：

graph TB A["背景建立"] B["确定依据"] C["调查系统"] D["分析环境"] E["形成报告"] A --> B A --> C A --> D A --> E B --> B1["政策法规"] B --> B2["业务目标"] B --> B3["系统特性"] C --> C1["业务特性"] C --> C2["管理特性"] C --> C3["技术特性"] D --> D1["体系结构"] D --> D2["关键要素"] D --> D3["安全环境"] E --> E1["系统描述报告"] E --> E2["安全需求报告"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d style D fill:#fff3e0,stroke:#f57c00 style E fill:#f3e5f5,stroke:#7b1fa2

2.2 背景建立的依据

✅ 正确理解：背景建立的依据

背景建立的依据包括：

📋 国家、地区、行业的相关政策、法律、法规和标准

  • 网络安全法
  • 等级保护制度
  • 行业安全标准
  • 合规要求

🎯 机构的使命

  • 组织的战略目标
  • 核心业务使命
  • 发展规划

💼 信息系统的业务目标和特性

  • 系统的业务功能
  • 业务流程
  • 业务重要性
  • 系统特点

依据的作用：

依据类型 作用 示例
政策法规 确定合规要求 网络安全法、等级保护
机构使命 明确保护重点 核心业务系统
业务目标 确定安全需求 可用性、完整性要求
系统特性 识别安全风险 技术架构、数据敏感度

2.3 背景建立的输出文档

背景建立阶段的主要输出：

📋 背景建立阶段的文档输出

背景建立阶段主要输出两类文档：

📊 系统描述报告

  • 描述信息系统的业务目标、业务特性
  • 描述管理特性和技术特性
  • 提供系统全貌

🔒 安全需求报告

  • 分析信息系统的体系结构和关键要素
  • 分析信息系统的安全环境和要求
  • 明确安全需求

背景建立阶段不包括的内容：

⚠️ 常见错误：混淆背景建立和风险评估

错误说法：背景建立阶段应识别需要保护的资产、面临的威胁以及存在的脆弱性，并分别赋值，同时确认已有的安全措施，形成需要保护的资产清单。

❌ 为什么这是错误的：

这个描述混淆了背景建立和风险评估两个阶段的工作。

背景建立阶段（第一步）：

  • ✅ 调查信息系统
  • ✅ 分析信息系统
  • ✅ 确认已有安全措施
  • ❌ 不包括识别资产、威胁、脆弱性并赋值
  • ❌ 不包括形成资产清单

风险评估阶段（第二步）：

  • ✅ 识别资产
  • ✅ 识别威胁
  • ✅ 识别脆弱性
  • ✅ 对资产、威胁、脆弱性进行赋值
  • ✅ 形成资产清单

风险评估文档的正确归属：

文档类型 所属阶段 主要内容
风险评估方案 准备阶段 目的、范围、目标、步骤、预算、进度
风险评估方法和工具列表 准备阶段 评估方法、测试工具
风险评估准则要求 准备阶段 参考标准、分析方法、分类标准
系统描述报告 背景建立 业务、管理、技术特性
安全需求报告 背景建立 体系结构、安全环境、安全要求
已有安全措施列表 背景建立/风险要素识别 技术和管理安全措施
资产清单 风险评估 需要保护的资产列表
威胁列表 风险评估 面临的威胁
脆弱性列表 风险评估 存在的脆弱性
风险评估报告 风险评估 风险分析结果

💡 《已有安全措施列表》的归属

正确答案：《已有安全措施列表》属于风险要素识别阶段输出的文档

为什么属于风险要素识别阶段：

📋 风险要素识别的内容

  • 识别资产
  • 识别威胁
  • 识别脆弱性
  • 确认已有安全措施

🔍 已有安全措施的作用

  • 评估现有防护能力
  • 识别安全控制缺口
  • 为风险分析提供依据
  • 避免重复建设

已有安全措施列表包含：

  • 技术安全措施（防火墙、IDS、加密等）
  • 管理安全措施（策略、流程、制度等）
  • 物理安全措施（门禁、监控等）
  • 人员安全措施（培训、背景调查等）

风险评估各阶段文档对比：

风险评估文档体系：
├── 准备阶段
│   ├── 风险评估方案
│   ├── 风险评估方法和工具列表
│   └── 风险评估准则要求
├── 背景建立阶段
│   ├── 系统描述报告
│   └── 安全需求报告
├── 风险要素识别阶段
│   ├── 资产清单
│   ├── 威胁列表
│   ├── 脆弱性列表
│   └── 已有安全措施列表 ✅
├── 风险分析阶段
│   ├── 风险计算结果
│   └── 风险矩阵
└── 风险评价阶段
    ├── 风险评估报告
    └── 风险处置建议

2.4 背景建立的主要活动

背景建立阶段的三大活动：

1. 调查信息系统

📊 系统调查的内容

调查信息系统的业务目标、业务特性、管理特性和技术特性，形成信息系统的描述报告。

调查内容：

💼 业务目标

  • 系统的业务功能
  • 支持的业务流程
  • 业务重要性

🏢 业务特性

  • 业务类型
  • 用户群体
  • 业务量
  • 业务时间要求

⚙️ 管理特性

  • 组织结构
  • 管理流程
  • 人员配置
  • 管理制度

🖥️ 技术特性

  • 系统架构
  • 技术平台
  • 网络拓扑
  • 数据流向

系统描述报告内容：

信息系统描述报告：
├── 系统概述
│   ├── 系统名称和版本
│   ├── 系统定位和作用
│   └── 系统范围和边界
├── 业务描述
│   ├── 业务目标
│   ├── 业务流程
│   ├── 业务特性
│   └── 用户群体
├── 管理描述
│   ├── 组织结构
│   ├── 管理流程
│   ├── 人员配置
│   └── 管理制度
└── 技术描述
    ├── 系统架构
    ├── 技术平台
    ├── 网络拓扑
    └── 数据流向

2. 分析信息系统

🔍 系统分析的内容

分析信息系统的体系结构和关键要素，分析信息系统的安全环境和要求，形成信息系统的安全需求报告。

分析内容：

🏗️ 体系结构分析

  • 系统层次结构
  • 组件关系
  • 接口定义
  • 数据流向

🔑 关键要素分析

  • 关键资产
  • 关键流程
  • 关键人员
  • 关键技术

🌐 安全环境分析

  • 外部威胁
  • 内部威胁
  • 技术环境
  • 法律环境

📋 安全要求分析

  • 机密性要求
  • 完整性要求
  • 可用性要求
  • 合规性要求

安全需求报告内容：

信息系统安全需求报告：
├── 体系结构分析
│   ├── 系统层次
│   ├── 组件关系
│   └── 接口定义
├── 关键要素识别
│   ├── 关键资产
│   ├── 关键流程
│   └── 关键人员
├── 安全环境分析
│   ├── 威胁分析
│   ├── 环境分析
│   └── 约束条件
└── 安全需求定义
    ├── 机密性需求
    ├── 完整性需求
    ├── 可用性需求
    └── 合规性需求

3. 确认已有安全措施

已有安全措施的调查：

  • 🔐 技术安全措施
  • 📋 管理安全措施
  • 🏢 物理安全措施
  • 👥 人员安全措施

2.4 背景建立的常见误区

⚠️ 常见错误理解

错误说法：背景建立阶段应识别需要保护的资产、面临的威胁以及存在的脆弱性，并分别赋值，同时确认已有的安全措施，形成需要保护的资产清单。

❌ 为什么这是错误的：

这个描述混淆了背景建立和风险评估两个阶段的工作内容。

正确理解：

  1. 背景建立阶段

    • ✅ 调查系统特性
    • ✅ 分析安全环境和要求
    • ✅ 确认已有安全措施
    • ❌ 不包括识别资产、威胁、脆弱性并赋值

  2. 风险评估阶段

    • ✅ 识别资产
    • ✅ 识别威胁
    • ✅ 识别脆弱性
    • ✅ 进行赋值
    • ✅ 形成资产清单

背景建立 vs 风险评估：

阶段 主要工作 输出
背景建立 调查系统、分析环境、确认措施 系统描述报告、安全需求报告
风险评估 识别资产、威胁、脆弱性并赋值 资产清单、风险评估报告

三、风险评估

3.1 风险评估方法

💡 风险评估方法的正确理解

风险评估的三种方法：

风险评估方法包括：定性风险分析、定量风险分析以及半定量风险分析。

1. 定性风险分析

  • 使用描述性术语（高/中/低）
  • 依赖分析者的经验和直觉
  • 基于业界的标准和惯例
  • 具有主观性（但不是随意性）
  • 有系统的方法和框架

2. 定量风险分析

  • 使用具体数值
  • 基于数据和计算
  • 计算风险评估与成本效益
  • 收集各个组成部分的具体数字值
  • 更具客观性

3. 半定量风险分析

  • 综合使用定性和定量技术
  • 对风险要素进行赋值
  • 实现度量数值化
  • 如：高=3，中=2，低=1

风险评估方法对比：

graph TB A["风险评估方法"] B["定性风险分析"] C["定量风险分析"] D["半定量风险分析"] A --> B A --> C A --> D B --> B1["描述性术语"] B --> B2["高/中/低"] B --> B3["主观性"] C --> C1["具体数值"] C --> C2["ALE计算"] C --> C3["客观性"] D --> D1["结合两者"] D --> D2["量化定性结果"] D --> D3["平衡性"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#e8f5e9,stroke:#388e3d style D fill:#fff3e0,stroke:#f57c00

三种方法详细对比：

特征 定性风险分析 定量风险分析 半定量风险分析
结果表达 描述性（高/中/低） 数值（如20万元/年） 数值化的等级（如3/2/1）
数据要求 低 高 中
精确度 低 高 中
成本 低 高 中
时间 短 长 中
专业要求 中 高 中
主观性 高（但不是随意） 低 中
客观性 低 高 中
适用场景 快速评估、初步评估 投资决策、详细分析 综合评估
依据 经验、直觉、标准 数据、计算、统计 结合两者
优点 快速、简单、成本低 精确、客观、可量化 平衡、实用
缺点 主观、不精确 耗时、成本高、数据要求高 仍有一定主观性

为什么选项B错误：

⚠️ 主观性 vs 随意性

错误说法：定性风险分析具有随意性

❌ "随意性"的含义：

  • 没有规则和标准
  • 任意决定
  • 缺乏依据
  • 不可重复

✅ "主观性"的正确理解：

  • 依赖专家判断
  • 基于经验和知识
  • 遵循行业标准和惯例
  • 有系统的方法论
  • 结果可以重复和验证

定性分析不是随意的：

  • 📋 遵循标准方法（如ISO 27005）
  • 👥 依靠专家团队
  • 📊 使用风险矩阵
  • 🔄 可重复的过程
  • ✅ 有明确的评估标准

定性风险分析的系统方法：

定性风险分析的标准流程：
├── 1. 准备阶段
│   ├── 确定评估范围
│   ├── 组建专家团队
│   ├── 制定评估标准
│   └── 准备评估工具
├── 2. 识别阶段
│   ├── 识别资产
│   ├── 识别威胁
│   └── 识别脆弱性
├── 3. 分析阶段
│   ├── 评估可能性（高/中/低）
│   ├── 评估影响（高/中/低）
│   └── 使用风险矩阵
├── 4. 评价阶段
│   ├── 确定风险等级
│   ├── 风险排序
│   └── 识别不可接受风险
└── 5. 报告阶段
    ├── 编写评估报告
    ├── 提出处置建议
    └── 管理层审批

定性分析的评估标准示例：

可能性等级 描述 判断依据
高 几乎肯定发生 过去一年内发生过多次
中 可能发生 过去几年内发生过
低 不太可能发生 很少发生或从未发生
影响等级 描述 判断依据
高 严重影响 业务中断超过24小时，损失>100万
中 中等影响 业务中断4-24小时，损失10-100万
低 轻微影响 业务中断<4小时，损失<10万

定性分析的风险矩阵：

可能性/影响 低 中 高
高 中风险 高风险 极高风险
中 低风险 中风险 高风险
低 极低风险 低风险 中风险

半定量风险分析示例：

半定量分析的赋值方法：

可能性赋值：
├── 高：3分
├── 中：2分
└── 低：1分

影响赋值：
├── 高：3分
├── 中：2分
└── 低：1分

风险值计算：
风险值 = 可能性分值 × 影响分值

示例：
├── 威胁A：可能性=高(3) × 影响=中(2) = 6
├── 威胁B：可能性=中(2) × 影响=高(3) = 6
└── 威胁C：可能性=低(1) × 影响=低(1) = 1

风险等级划分：
├── 7-9分：高风险
├── 4-6分：中风险
└── 1-3分：低风险

三种方法的选择建议：

💡 方法选择指南

何时使用定性分析：

  • 快速评估需求
  • 初步风险识别
  • 数据不足
  • 预算有限
  • 时间紧迫

何时使用定量分析：

  • 投资决策
  • 成本效益分析
  • 详细风险评估
  • 有充足数据
  • 需要精确结果

何时使用半定量分析：

  • 综合评估
  • 需要量化但数据有限
  • 平衡精确度和成本
  • 便于比较和排序
  • 实际应用中最常用

最佳实践：结合使用

综合风险评估方法：
├── 第一阶段：定性评估
│   ├── 快速识别主要风险
│   ├── 确定评估范围
│   ├── 初步优先级排序
│   └── 决定是否需要定量评估
├── 第二阶段：半定量评估
│   ├── 对定性结果量化
│   ├── 便于比较和排序
│   ├── 支持决策
│   └── 识别高风险项
├── 第三阶段：定量评估（针对高风险）
│   ├── 收集详细数据
│   ├── 计算ALE
│   ├── 投资决策分析
│   └── 制定详细计划
└── 第四阶段：持续监控
    ├── 跟踪实际损失
    ├── 更新评估参数
    ├── 调整安全措施
    └── 重新评估

3.2 风险评估流程

风险评估的三个步骤：

graph LR A["风险识别"] --> B["风险分析"] B --> C["风险评价"] A --> A1["识别资产"] A --> A2["识别威胁"] A --> A3["识别脆弱性"] B --> B1["分析可能性"] B --> B2["分析影响"] C --> C1["确定风险等级"] C --> C2["风险排序"] style A fill:#e3f2fd,stroke:#1976d2 style B fill:#fff3e0,stroke:#f57c00 style C fill:#e8f5e9,stroke:#388e3d

3.2 风险识别

风险识别的核心任务：

🔍 风险识别三要素

风险识别需要识别：

  1. 资产（Asset）

    • 需要保护的信息资产
    • 资产的价值
    • 资产的重要性

  2. 威胁（Threat）

    • 可能对资产造成损害的因素
    • 威胁的来源
    • 威胁的类型

  3. 脆弱性（Vulnerability）

    • 资产存在的弱点
    • 可能被威胁利用的缺陷
    • 安全控制的不足

资产识别和赋值：

资产类型 示例 价值评估因素
数据资产 客户数据、财务数据 机密性、完整性、可用性
软件资产 应用系统、数据库 业务重要性、替代成本
硬件资产 服务器、网络设备 采购成本、业务影响
服务资产 网络服务、云服务 业务依赖度、中断影响
人员资产 关键人员、技术专家 知识价值、替代难度

威胁识别和赋值：

💡 威胁识别的工作内容

威胁识别的关键活动：

在风险管理工作中，当系统管理员依据已有的资产列表，逐个分析可能危害这些资产的主体、动机、途径等多种因素，并评估这些因素出现并造成损失的可能性大小，并为其赋值时，这属于威胁识别并赋值阶段的工作。

为什么是威胁识别：

✅ 分析威胁的主体、动机、途径

  • 识别谁可能实施威胁
  • 分析威胁的动机
  • 确定威胁的途径

✅ 评估威胁发生的可能性

  • 分析威胁出现的概率
  • 评估造成损失的可能性

✅ 为威胁赋值

  • 根据可能性和影响赋值
  • 形成威胁列表

与其他阶段的区别：

  • 资产识别：识别需要保护的资产（已完成）
  • 脆弱性识别：识别资产自身的弱点
  • 安全措施确认：识别已有的防护手段

威胁识别的关键要素：

要素 说明 示例
威胁主体 谁可能实施威胁 黑客、内部人员、竞争对手
威胁动机 为什么要实施威胁 经济利益、政治目的、个人怨恨
威胁途径 通过什么方式实施 网络政击、物理接触、社会工程
威胁可能性 威胁发生的概率 高/中/低
威胁影响 造成损失的严重程度 严重/中等/轻微

威胁分析流程：

威胁识别和赋值流程：
├── 1. 获取资产列表
│   └── 依据已有的资产列表
├── 2. 识别威胁
│   ├── 分析威胁主体（谁）
│   ├── 分析威胁动机（为什么）
│   └── 分析威胁途径（怎么做）
├── 3. 评估可能性
│   ├── 分析威胁发生的概率
│   └── 考虑各种影响因素
├── 4. 评估影响
│   ├── 分析造成损失的严重程度
│   └── 考虑对业务的影响
└── 5. 威胁赋值
    ├── 根据可能性和影响赋值
    └── 形成威胁列表

威胁分类：

威胁分类：
├── 自然威胁
│   ├── 地震、洪水
│   ├── 火灾
│   └── 极端天气
├── 人为威胁
│   ├── 恶意攻击
│   ├── 误操作
│   └── 内部威胁
├── 技术威胁
│   ├── 硬件故障
│   ├── 软件缺陷
│   └── 网络故障
└── 环境威胁
    ├── 电力中断
    ├── 温度异常
    └── 湿度异常

脆弱性识别：

  • 🔓 技术脆弱性：系统漏洞、配置错误
  • 📋 管理脆弱性：制度缺失、流程不完善
  • 🏢 物理脆弱性：环境控制不足
  • 👥 人员脆弱性：安全意识不足、技能缺乏

3.3 风险分析

风险分析的核心：

📊 风险计算公式

风险 = 资产价值 × 威胁可能性 × 脆弱性严重程度

或

风险 = 可能性 × 影响

风险矩阵示例：

可能性/影响 低 中 高
高 中风险 高风险 极高风险
中 低风险 中风险 高风险
低 极低风险 低风险 中风险

3.4 风险评价

风险评价的目标：

  • 📊 确定风险等级
  • 🎯 识别不可接受的风险
  • 📋 为风险处置提供依据
  • 🔄 支持风险决策

风险等级划分：

风险等级 描述 处置优先级 建议措施
极高 必须立即处理 最高 立即采取措施
高 需要尽快处理 高 制定处置计划
中 需要关注 中 定期评估
低 可以接受 低 持续监控

四、风险处置

4.1 风险处置策略

四种风险处置策略：

graph TB A["风险处置策略"] B["风险规避"] C["风险缓解/降低"] D["风险转移"] E["风险接受"] A --> B A --> C A --> D A --> E B --> B1["消除风险源"] C --> C1["降低风险"] D --> D1["转移给第三方"] E --> E1["接受残余风险"] style B fill:#ffcdd2,stroke:#c62828 style C fill:#fff3e0,stroke:#f57c00 style D fill:#e3f2fd,stroke:#1976d2 style E fill:#e8f5e9,stroke:#388e3d

策略选择指南：

策略 适用场景 示例 优点 缺点
规避 风险过高且可避免 停止使用有风险的系统、放弃高风险功能模块 彻底消除风险 可能影响业务
缓解/降低 风险可接受但需控制 部署安全控制措施 平衡风险和成本 无法完全消除
转移 可通过第三方承担 购买保险、外包 降低自身损失 需要额外成本
接受 风险很低或成本过高 接受低风险 节省成本 保留风险

4.2 风险处置策略详解

4.2.1 风险规避（Risk Avoidance）

🚫 风险规避策略

定义： 通过停止或避免导致风险的活动来消除风险。

适用场景：

  • 风险太高，无法接受
  • 风险处置成本过高
  • 存在可行的替代方案
  • 业务功能可以放弃

典型措施：

  • 🛑 停止使用存在高风险的系统
  • ❌ 放弃高风险的业务功能模块
  • 🔄 选择更安全的替代方案
  • 📋 不开展高风险业务活动

案例：放弃高风险功能模块

💼 实际案例

场景： 某公司的信息系统中部分涉及金融交易的功能模块风险太高。

风险评估结果：

  • 资产价值：高
  • 威胁可能性：高
  • 脆弱性严重程度：高
  • 综合风险等级：极高

处置建议： 采用风险规避策略，放弃这个功能模块。

理由：

  • 风险太高，难以接受
  • 加固成本可能超过收益
  • 存在其他替代方案
  • 避免潜在的重大损失

4.2.2 风险降低/缓解（Risk Mitigation）

📉 风险降低策略

定义： 通过采取安全措施降低风险发生的可能性或减少风险的影响。

适用场景：

  • 风险可以通过控制措施降低
  • 完全规避风险会影响业务
  • 处置成本合理
  • 残余风险可接受

典型措施：

  • 🛡️ 部署防火墙、IDS/IPS
  • 🔐 实施访问控制
  • 🔄 建立备份和恢复机制
  • 📋 制定安全策略和流程
  • 👥 开展安全培训

风险降低的实施步骤：

风险降低实施流程：
├── 1. 识别风险
│   └── 确定需要降低的风险
├── 2. 分析风险
│   ├── 评估当前风险水平
│   └── 确定可接受的风险水平
├── 3. 选择控制措施
│   ├── 技术控制
│   ├── 管理控制
│   └── 物理控制
├── 4. 实施控制措施
│   ├── 制定实施计划
│   ├── 分配资源
│   └── 执行实施
└── 5. 评估效果
    ├── 测量残余风险
    └── 验证是否达到目标

4.2.3 风险转移（Risk Transfer）

🔄 风险转移策略

定义： 将风险转移给第三方承担，通常通过合同或保险方式实现。

适用场景：

  • 存在可以承担风险的第三方
  • 转移成本低于自行承担
  • 第三方更有能力处理风险
  • 需要分散风险

典型措施：

  • 💰 购买网络安全保险
  • 🤝 外包给专业安全服务商
  • 📋 签订责任转移合同
  • ☁️ 使用云服务（部分风险转移）

风险转移的注意事项：

⚠️ 风险转移的局限性

不能完全转移的风险：

  • 声誉损失
  • 客户信任损失
  • 法律责任（某些情况）
  • 业务中断影响

需要注意：

  • 📋 仔细审查合同条款
  • 💰 评估转移成本
  • 🔍 验证第三方能力
  • 📊 保留必要的监督权

4.2.4 风险接受（Risk Acceptance）

✅ 风险接受策略

定义： 在充分了解风险的情况下，决定接受风险及其后果。

适用场景：

  • 风险很低，可以接受
  • 处置成本远高于风险损失
  • 没有可行的处置方案
  • 残余风险在可接受范围内

要求：

  • 📋 必须经过正式评估
  • 👔 需要管理层批准
  • 📝 形成书面记录
  • 🔄 定期重新评估

4.3 风险处置策略对比

四种策略的对比分析：

策略 风险消除程度 成本 业务影响 适用风险等级 决策难度
规避 完全消除 可能很高 可能很大 极高风险 高
降低 部分降低 中等 较小 高/中风险 中
转移 转移损失 中等 较小 中风险 中
接受 不消除 最低 无 低风险 低

4.4 风险处置计划

风险处置计划内容：

风险处置计划：
├── 风险描述
│   ├── 风险识别号
│   ├── 风险描述
│   └── 风险等级
├── 处置策略
│   ├── 选择的策略
│   ├── 策略依据
│   └── 预期效果
├── 实施措施
│   ├── 具体措施
│   ├── 责任人
│   ├── 时间计划
│   └── 资源需求
└── 监控机制
    ├── 监控指标
    ├── 监控频率
    └── 报告机制

五、风险值计算

5.1 风险值计算方法

在风险评估中，需要为每个资产计算风险值。风险值的计算基于资产、威胁和脆弱性的组合。

💡 风险值计算的原理

风险值计算方法：

在风险评估中，使用相乘法计算风险值时，需要为每个威胁-脆弱性组合计算一个风险值。

计算原则：

📊 每个组合独立计算

  • 一个威胁可以利用多个脆弱性
  • 每个组合代表一个独立的风险场景
  • 需要分别评估和计算

示例计算：

假设资产A1面临：

  • 威胁T1可利用脆弱性V1和V2
  • 威胁T2可利用脆弱性V3、V4和V5

则需要计算的风险值：

  • T1 × V1 → 风险值1
  • T1 × V2 → 风险值2
  • T2 × V3 → 风险值3
  • T2 × V4 → 风险值4
  • T2 × V5 → 风险值5

总计：5个风险值

风险值计算原理：

graph TB A["资产A1"] B["威胁T1"] C["威胁T2"] A --> B A --> C B --> B1["脆弱性V1
→ 风险值1"] B --> B2["脆弱性V2
→ 风险值2"] C --> C1["脆弱性V3
→ 风险值3"] C --> C2["脆弱性V4
→ 风险值4"] C --> C3["脆弱性V5
→ 风险值5"] style A fill:#e3f2fd,stroke:#1976d2 style B fill:#fff3e0,stroke:#f57c00 style C fill:#e8f5e9,stroke:#388e3d style B1 fill:#ffcdd2,stroke:#c62828 style B2 fill:#ffcdd2,stroke:#c62828 style C1 fill:#ffcdd2,stroke:#c62828 style C2 fill:#ffcdd2,stroke:#c62828 style C3 fill:#ffcdd2,stroke:#c62828

风险值计算规则：

风险值计算方法（相乘法）：
风险值 = 资产价值 × 威胁可能性 × 脆弱性严重程度

计算原则：
├── 每个威胁-脆弱性组合计算一个风险值
├── 一个威胁可以利用多个脆弱性
├── 每个组合都需要单独评估
└── 最终得到多个风险值

资产A1的风险值计算：
├── 威胁T1
│   ├── T1 × V1 → 风险值1
│   └── T1 × V2 → 风险值2
└── 威胁T2
    ├── T2 × V3 → 风险值3
    ├── T2 × V4 → 风险值4
    └── T2 × V5 → 风险值5

总计：5个风险值

详细计算示例：

资产 威胁 脆弱性 风险值编号 计算公式
A1 T1 V1 风险值1 A1 × T1 × V1
A1 T1 V2 风险值2 A1 × T1 × V2
A1 T2 V3 风险值3 A1 × T2 × V3
A1 T2 V4 风险值4 A1 × T2 × V4
A1 T2 V5 风险值5 A1 × T2 × V5

为什么是5个风险值：

🎯 理解要点

关键理解：

1️⃣ 威胁-脆弱性组合

  • 每个威胁可以利用多个脆弱性
  • 每个组合代表一个独立的风险场景
  • 需要分别评估和计算

2️⃣ 不是简单相加

  • 不是威胁数量（2个）
  • 不是脆弱性总数（5个）
  • 而是所有可能的威胁-脆弱性组合数

3️⃣ 实际意义

  • 威胁T1通过V1攻击是一种风险
  • 威胁T1通过V2攻击是另一种风险
  • 每种攻击路径都需要单独评估

完整案例分析：

案例完整信息：

资产A1：
├── 威胁T1
│   ├── 可利用脆弱性V1 → 风险值1
│   └── 可利用脆弱性V2 → 风险值2
└── 威胁T2
    ├── 可利用脆弱性V3 → 风险值3
    ├── 可利用脆弱性V4 → 风险值4
    └── 可利用脆弱性V5 → 风险值5

资产A1的风险值数量：5个

资产A2：
└── 威胁T3
    ├── 可利用脆弱性V6 → 风险值6
    └── 可利用脆弱性V7 → 风险值7

资产A2的风险值数量：2个

整个系统的风险值总数：7个

六、残余风险

6.1 残余风险概述

残余风险是风险管理中的一个重要概念，指采取了安全措施后仍然存在的风险。

💡 残余风险的正确理解

残余风险的定义和特点：

📊 什么是残余风险

  • 采取了安全措施后，仍然可能存在的风险
  • 在综合考虑了安全成本与效益后不去控制的风险
  • 基于成本效益分析决定接受

🔍 残余风险的管理要求

  • 应受到密切监控
  • 会随着时间的推移而发生变化
  • 可能会在将来诱发新的安全事件

📝 残余风险的报告和批准

  • 应将残余风险清单告知组织的高管
  • 使其了解残余风险的存在和可能造成的后果
  • 需要管理层正式批准

⚠️ 常见误区：追求最小残余风险

  • 不应以最小残余风险值作为目标
  • 应该在成本效益平衡的基础上降低风险
  • 追求最小残余风险可能导致成本过高
  • 应该追求可接受的残余风险水平

残余风险的正确理解：

graph TB A["初始风险"] B["风险处置"] C["残余风险"] D["可接受风险"] A --> B B --> C C --> D B --> B1["风险降低"] B --> B2["风险转移"] B --> B3["风险规避"] C --> C1["成本效益平衡"] C --> C2["可接受水平"] C --> C3["持续监控"] D --> D1["管理层批准"] D --> D2["正式接受"] style A fill:#ffcdd2,stroke:#c62828 style B fill:#fff3e0,stroke:#f57c00 style C fill:#fff9c4,stroke:#f57f17 style D fill:#c8e6c9,stroke:#2e7d32

残余风险管理原则：

残余风险管理：
├── 1. 识别残余风险
│   ├── 评估风险处置效果
│   ├── 确定剩余风险
│   └── 形成残余风险清单
├── 2. 评估残余风险
│   ├── 评估风险水平
│   ├── 判断是否可接受
│   └── 考虑成本效益
├── 3. 报告残余风险
│   ├── 向管理层报告
│   ├── 说明风险性质
│   └── 说明可能后果
├── 4. 批准残余风险
│   ├── 管理层审批
│   ├── 正式接受
│   └── 承担责任
└── 5. 监控残余风险
    ├── 持续监控
    ├── 定期评估
    └── 及时调整

残余风险的特点：

特点 说明 管理要求
不可完全消除 总会存在一定风险 接受现实
动态变化 随时间和环境变化 持续监控
需要批准 必须获得管理层批准 正式接受
成本效益 基于成本效益分析 平衡投入
可能演变 可能诱发新事件 及时应对

为什么不追求最小残余风险：

⚠️ 常见误区

错误观念：追求最小残余风险值

❌ 问题：

  • 成本可能无限增长
  • 投入产出比不合理
  • 可能影响业务运营
  • 不符合实际需求

✅ 正确做法：

  • 追求可接受的残余风险水平
  • 基于成本效益分析
  • 平衡安全与业务需求
  • 符合组织风险承受能力

成本效益分析示例：

📊 图表说明

这是帮助理解的示例数据，非真实数据

从图表可以看出：

  • 方案1-2：成本效益比较好
  • 方案3：成本开始快速上升
  • 方案4：成本远超风险降低效果
  • 最优选择：方案2或方案3
  • 不应追求方案4（最小残余风险）

残余风险决策流程：

残余风险决策：
├── 1. 评估残余风险
│   ├── 风险水平：中等
│   ├── 进一步降低成本：100万元
│   └── 预期风险降低：10万元/年
├── 2. 成本效益分析
│   ├── 投资回收期：10年
│   ├── 成本效益比：1:0.1
│   └── 结论：不划算
├── 3. 决策
│   ├── 不再进一步降低
│   ├── 接受当前残余风险
│   └── 实施监控措施
└── 4. 批准和监控
    ├── 向管理层报告
    ├── 获得正式批准
    └── 建立监控机制

七、定量风险评估

7.1 定量风险评估方法

定量风险评估使用数值来表示风险，可以更精确地计算风险大小和损失预期。

定量风险评估的关键指标：

graph TB A["定量风险评估指标"] B["资产价值
AV"] C["暴露系数
EF"] D["单次损失期望
SLE"] E["年度发生率
ARO"] F["年度预期损失
ALE"] A --> B A --> C B --> D C --> D D --> E E --> F B --> B1["Asset Value
资产总价值"] C --> C1["Exposure Factor
损失比例"] D --> D1["Single Loss Expectancy
SLE = AV × EF"] E --> E1["Annualized Rate of Occurrence
每年发生次数"] F --> F1["Annualized Loss Expectancy
ALE = SLE × ARO"] style B fill:#e3f2fd,stroke:#1976d2 style C fill:#fff3e0,stroke:#f57c00 style D fill:#e8f5e9,stroke:#388e3d style E fill:#f3e5f5,stroke:#7b1fa2 style F fill:#ffebee,stroke:#c62828

5.2 定量风险评估计算公式

核心公式：

💡 定量风险评估公式

基本公式：

📊 单次损失期望（SLE） 

SLE = AV × EF

  • AV（Asset Value）：资产价值
  • EF（Exposure Factor）：暴露系数（损失比例）
  • SLE（Single Loss Expectancy）：单次损失期望

📈 年度预期损失（ALE） 

ALE = SLE × ARO

  • SLE：单次损失期望
  • ARO（Annualized Rate of Occurrence）：年度发生率
  • ALE（Annualized Loss Expectancy）：年度预期损失

完整公式： 

ALE = AV × EF × ARO

5.3 实际计算示例

案例：机房火灾风险计算

💡 机房火灾风险计算示例

已知条件：

  • 机房总价值（AV）：400万元人民币
  • 暴露系数（EF）：25%（火灾导致25%的资产损失）
  • 年度发生率（ARO）：0.2（平均5年发生一次）

计算步骤：

步骤1：计算单次损失期望（SLE） 

SLE = AV × EF
SLE = 400万元 × 25% SLE = 400万元 × 0.25 SLE = 100万元 
**步骤2：计算年度预期损失（ALE）**

ALE = SLE × ARO
ALE = 100万元 × 0.2
ALE = 20万元


**结论：年度预期损失（ALE）= 20万元人民币**

计算过程图示：

5.4 定量风险评估的应用

定量评估的价值：

应用场景 说明 示例
投资决策 计算安全投资回报率 安全措施成本 vs ALE降低
优先级排序 根据ALE确定处理优先级 高ALE风险优先处理
保险决策 确定保险金额 根据ALE购买保险
预算规划 制定安全预算 预算应覆盖主要ALE
效果评估 评估安全措施效果 对比实施前后ALE

安全投资决策示例：

场景：是否部署防火墙系统

当前风险：
- 资产价值（AV）：1000万元
- 暴露系数（EF）：30%
- 年度发生率（ARO）：0.5
- 当前ALE = 1000 × 0.3 × 0.5 = 150万元

部署防火墙后：
- 暴露系数降低到（EF）：10%
- 年度发生率降低到（ARO）：0.1
- 新ALE = 1000 × 0.1 × 0.1 = 10万元

投资分析：
- ALE降低：150 - 10 = 140万元/年
- 防火墙成本：50万元（一次性）+ 10万元/年（维护）
- 第一年净收益：140 - 50 - 10 = 80万元
- 投资回报期：< 1年
- 结论：值得投资

5.5 定量评估的局限性

定量评估的挑战：

⚠️ 定量评估的局限性

数据获取困难：

  • 📊 历史数据不足
  • 🔮 未来预测不确定
  • 💰 资产价值难以量化
  • 📉 暴露系数估算困难

计算复杂性：

  • 🧮 需要大量数据
  • ⏱️ 耗时较长
  • 💡 需要专业知识
  • 🔄 需要持续更新

结果的不确定性：

  • ⚠️ 基于假设和估算
  • 📈 可能存在偏差
  • 🎯 不能完全准确
  • 🔄 需要定期校准

定性与定量评估对比：

特征 定性评估 定量评估
数据要求 低 高
精确度 低 高
成本 低 高
时间 短 长
专业要求 中 高
结果表达 高/中/低 具体数值
适用场景 快速评估、初步评估 投资决策、详细分析
主观性 高 低

最佳实践：结合使用

综合风险评估方法：
├── 第一阶段：定性评估
│   ├── 快速识别主要风险
│   ├── 确定评估范围
│   ├── 初步优先级排序
│   └── 决定是否需要定量评估
├── 第二阶段：定量评估（针对高风险）
│   ├── 收集详细数据
│   ├── 计算ALE
│   ├── 投资决策分析
│   └── 制定详细计划
└── 第三阶段：持续监控
    ├── 跟踪实际损失
    ├── 更新评估参数
    ├── 调整安全措施
    └── 重新评估

八、风险监控

8.1 风险监控的目的

风险监控的关键活动：

  • 📊 监控风险状态变化
  • 🔍 评估处置措施有效性
  • 🆕 识别新的风险
  • 🔄 更新风险评估
  • 📋 报告风险状况

8.2 持续改进

风险管理的持续改进循环：

graph LR A["计划
Plan"] --> B["执行
Do"] B --> C["检查
Check"] C --> D["改进
Act"] D --> A style A fill:#e3f2fd,stroke:#1976d2 style B fill:#e8f5e9,stroke:#388e3d style C fill:#fff3e0,stroke:#f57c00 style D fill:#f3e5f5,stroke:#7b1fa2

九、总结

信息安全风险管理的核心要点：

  1. 背景建立：风险管理的第一步，调查系统、分析环境
  2. 风险评估：识别资产、威胁、脆弱性并进行评估
  3. 风险处置：选择合适的策略降低风险
  4. 风险监控：持续监控和改进

🎯 关键要点

  • 背景建立是风险管理的第一步
  • 背景建立的依据包括政策法规、机构使命和系统特性
  • 背景建立阶段调查系统、分析环境，形成描述报告和需求报告
  • 资产、威胁、脆弱性的识别和赋值属于风险评估阶段
  • 风险处置有四种策略：规避、缓解、转移、接受
  • 风险管理是一个持续的过程

💡 实践建议

  • 建立系统化的风险管理流程
  • 定期进行风险评估
  • 根据风险等级制定处置计划
  • 持续监控风险状态
  • 建立风险管理文档体系
  • 培养全员风险意识
分享到