信息安全风险评估的基本要素有哪些

1. 信息安全风险评估的基本要素有哪些

信息安全风险评估的基本过程主要分为：
1.风险评估准备过程
2.资产识别过程
3.威胁识别过程
4.脆弱性识别过程
5.风险分析过程
信息安全风险评估的概念涉及资产、威胁、脆弱性和风险4个主要因素。

2. 从信息安全的角度来讲，什么是风险评估？

风险评估是指从风险管理角度，依据国家有关信息安全技术标准和准则，运用科学的方法和手段，对信息系统及处理、传输和存储信息的保密性、完整性及可用性等安全属性进行全面科学地分析;对网络与信息系统所面临的威胁及存在的脆弱性进行系统的评价;对安全事件一旦发生可能造成的危害程度进行评估，并提出有针对性地抵御威胁的防护对策和整改措施。

3. 信息安全风险评估的内容提要

信息安全风险评估理论研究日趋成熟，相关资料比较充分，但有关评估实际工作的参考资料很少。本书以信息安全风险评估实践为基础，围绕评估工作中各阶段的实际操作，分基本知识、技术与方法、产品与工具、案例四个部分，详细介绍了信息安全风险评估的基本概念、国家政策及标准发展、评估实操方法、各种实际评估表格示例、评估分析模型和计算公式、主要的评估工具，并从不同行业和不同评估目的出发，列举了多个评估案例，供读者参考。

4. 什么是信息安全风险评估？

一、定义

信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。
风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。
二、风险评估对企业的重要性
企业对信息系统依赖性不断增强，而且存在无处不在的安全威胁和风险，从组织自身业务的需要和法律法规的要求的角度考虑，更加需要增强对信息风险的管理。风险评估是风险管理的基础，风险管理要依靠风险评估的结果来确定随后的风险控制和审核批准活动，使得组织能够准确“定位”风险管理的策略、实践和工具。从而将安全活动的重点放在重要的问题上，选择成本效益合理的、适用的安全对策。
风险评估可以明确信息系统的安全现状，确定信息系统的主要安全风险，是信息系统安全技术体系与管理体系建设的基础。
三、风险评估的个步骤：
步骤1：描述系统特征
步骤2：识别威胁（威胁评估）
步骤3：识别脆弱性（脆弱性评估）
步骤4：分析安全控制
步骤5：确定可能性
步骤6：分析影响
步骤7：确定风险
步骤8：对安全控制提出建议
步骤9：记录评估结果
四、风险评估的作用
任何系统的安全性都可以通过风险的大小来衡量。科学分析系统的安全风险，综合平衡风险和代价的过程就是风险评估。风险评估不是某个系统（包括信息系统）所特有的。在日常生活和工作中，风险评估也是随处可见，为了分析确定系统风险及风险大小，进而决定采取什么措施去减少、避免风险，把残余风险控制在可以容忍的范围内。人们经常会提出这样一些问题：什么地方、什么时间可能出问题？出问题的可能性有多大？这些问题的后果是什么？应该采取什么样的措施加以避免和弥补？并总是试图找出最合理的答案。这一过程实际上就是风险评估。

5. 什么是信息安全风险评估理论和工具

当前，国际上提出了一些广义的、传统的风险评估理论（并非特别针对信息系统安全）。从计算方法区分，有定性的方法、定量的方法和部分定量的方法。从实施手段区分，有基于“树”的技术、动态系统的技术等。各类方法举例如下。 定性的方法包括： 1.初步的风险分析（Preliminary Risk Analysis） 2.危险和可操作性研究（Hazard and Operability studies （HAZOP）） 3.失效模式及影响分析（Failure Mode and Effects Analysis （FMEA/FMECA）） 基于“树”的技术（Tree Based Techniques ）包括： 1.故障树分析（Fault tree analysis） 2.事件树分析（Event tree analysis） 3.因果分析（Cause－Consequence Analysis） 4.管理失败风险树（Management Oversight Risk Tree） 5.安全管理组织检查技术（Safety Management Organization Review Technique） 动态系统的技术（Techniques for Dynamic system）包括： 1.尝试方法（Go Method） 2.有向图/故障图（Digraph/Fault Graph） 3.马尔可夫建模（Markov Modeling） 4.动态事件逻辑分析方法学（Dynamic Event Logic Analytical Methodology） 5.动态事件树分析方法（Dynamic Event Tree Analysis Method） 目前存在的信息安全评估工具大体可以分成以下几类： 1.扫描工具：包括主机扫描、网络扫描、数据库扫描，用于分析系统的常见漏洞； 2.入侵检测系统（IDS）：用于收集与统计威胁数据； 3.渗透性测试工具：黑客工具，用于人工渗透，评估系统的深层次漏洞； 4.主机安全性审计工具：用于分析主机系统配置的安全性； 5.安全管理评价系统：用于安全访谈，评价安全管理措施； 6.风险综合分析系统：在基础数据基础上，定量、综合分析系统的风险，并且提供分类统计、查询、TOP N查询以及报表输出功能； 7.评估支撑环境工具：评估指标库、知识库、漏洞库、算法库、模型库。 综观这些理论和工具的现状，存在的问题是：尚缺乏模型化、形式化描述和证明的深度；一般化的广义的理论如何用于风险评估；定性，定量的理论方法如何更加有效；工具运用的结果如何能够反映实质，有效测度，准确无误；工具的使用如何能够综合协调。 作者：不详

6. 什么是信息安全风险评估？

什么是信息安全风险评估？
一、定义
信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。
风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。
二、风险评估对企业的重要性
企业对信息系统依赖性不断增强，而且存在无处不在的安全威胁和风险，从组织自身业务的需要和法律法规的要求的角度考虑，更加需要增强对信息风险的管理。风险评估是风险管理的基础，风险管理要依靠风险评估的结果来确定随后的风险控制和审核批准活动，使得组织能够准确“定位”风险管理的策略、实践和工具。从而将安全活动的重点放在重要的问题上，选择成本效益合理的、适用的安全对策。
风险评估可以明确信息系统的安全现状，确定信息系统的主要安全风险，是信息系统安全技术体系与管理体系建设的基础。
三、风险评估的个步骤：
步骤1：描述系统特征
步骤2：识别威胁（威胁评估）
步骤3：识别脆弱性（脆弱性评估）
步骤4：分析安全控制
步骤5：确定可能性
步骤6：分析影响
步骤7：确定风险
步骤8：对安全控制提出建议
步骤9：记录评估结果
四、风险评估的作用
任何系统的安全性都可以通过风险的大小来衡量。科学分析系统的安全风险，综合平衡风险和代价的过程就是风险评估。风险评估不是某个系统（包括信息系统）所特有的。在日常生活和工作中，风险评估也是随处可见，为了分析确定系统风险及风险大小，进而决定采取什么措施去减少、避免风险，把残余风险控制在可以容忍的范围内。人们经常会提出这样一些问题：什么地方、什么时间可能出问题？出问题的可能性有多大？这些问题的后果是什么？应该采取什么样的措施加以避免和弥补？并总是试图找出最合理的答案。这一过程实际上就是风险评估。
万方安全从事信息安全事业十多年，有多行业的安全服务成功案例，是一家提供一站式专业安全服务的信息安全服务厂商，在信息安全行业资历深厚。

7. 作为一家国有企业中的信息安全风险评估最重要的环节是什么

进行风险评估是非常重要的，而且是对于专业性要求比较高的一件事，所以人们也都应该好好地注意好进行评估的各个步骤，每一个步骤都真实到位，才能够确保最终出来的评估效果是可靠、准确的，所以我们也都应该好好地去做好每一个步骤。第一步：风险辨识进行评估之前，需要先对于每一个业务中的单元、各种相关的活动、以及业务流程里面的重要环节都进行反复的排查与辨识，看看这些项目都有着什么样的风险，这样子才能够在大体上面对于风险情况有一个估计，做出一个基础的判断。第二步：风险分析在接下来的风险评估第二步，就是在那些有风险辨识度的项目或是流程上面，进行仔细的分析，看看这些风险的特征是什么，并且使用明确的定义来进行描述，从而能够更为精准，特别是使用数字或是档位定义来明确这些风险的发生条件、以及风险的程度高低，从而使得人们都能够对于这些风险的发生可能性、以及所会造成的后果有着更为直观的认知。第三步：风险评价最后一步就是进行风险的最终评价了，也就是进行正式的风险评估，将企业方案、或是运营目标的最终影响程度、以及风险的可能性与价格、可能的后果都进行明确的量化评估，从而使得用户可以更为明确地了解【摘要】
作为一家国有企业中的信息安全风险评估最重要的环节是什么【提问】
进行风险评估是非常重要的，而且是对于专业性要求比较高的一件事，所以人们也都应该好好地注意好进行评估的各个步骤，每一个步骤都真实到位，才能够确保最终出来的评估效果是可靠、准确的，所以我们也都应该好好地去做好每一个步骤。第一步：风险辨识进行评估之前，需要先对于每一个业务中的单元、各种相关的活动、以及业务流程里面的重要环节都进行反复的排查与辨识，看看这些项目都有着什么样的风险，这样子才能够在大体上面对于风险情况有一个估计，做出一个基础的判断。第二步：风险分析在接下来的风险评估第二步，就是在那些有风险辨识度的项目或是流程上面，进行仔细的分析，看看这些风险的特征是什么，并且使用明确的定义来进行描述，从而能够更为精准，特别是使用数字或是档位定义来明确这些风险的发生条件、以及风险的程度高低，从而使得人们都能够对于这些风险的发生可能性、以及所会造成的后果有着更为直观的认知。第三步：风险评价最后一步就是进行风险的最终评价了，也就是进行正式的风险评估，将企业方案、或是运营目标的最终影响程度、以及风险的可能性与价格、可能的后果都进行明确的量化评估，从而使得用户可以更为明确地了解【回答】

8. 信息安全风险评估什么意思

风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能性的评估。它是确认安全风险及其大小的过程，即利用定性或定量的方法，借助于风险评估工具，确定信息资产的风险等级和优先风险控制。 

　　风险评估是风险管理的最根本依据，是对现有网络的安全性进行分析的第一手资料，也是网络安全领域内最重要的内容之一。企业在进行网络安全设备选型、网络安全需求分析、网络建设、网络改造、应用系统试运行、内网与外网互联、与第三方业务伙伴进行网上业务数据传输、电子政务等业务之前，进行风险评估会帮助组织在一个安全的框架下进行组织活动。它通过风险评估来识别风险大小，通过制定信息安全方针，采取适当的控制目标与控制方式对风险进行控制，使风险被避免、转移或降至一个可被接受的水平。