3.1資產asset
【內容解析】
1.資產是對組織有價值的任何東西，說明其能為所擁有或獲得的組織創造財富。因此需要保護。資產識別時，應該牢記的是，資產不僅僅包含硬件和軟件。
2.根據資產擁有者的情況，資產的擁有者可以是組織，也可以是個人。
3.資產可分為以下幾種：
1)信息，例如：文檔和數據等;
2)軟件和系統，例如：應用軟件、系統軟件等;
3)硬件和設施，例如：存儲設備、網絡設備、保障設備等;
4)服務和其他，例如：IT服務、無形資產等;
5)人力資源，例如：涉密人員、特殊人員等。
3.2可用性 Availability
【內容解析】
1.可用性的目的是讓所有合法用戶能夠使用到已授權的信息和功能。可用性通常用百分率表示，公式為：{(規定服務時間-因意外中斷時間)/規定服務時間｝×100%。例如：99.9%。
2.其與保密性(Confidentiality)和完整性(Intergeity)并稱為信息安全的CIA三要素。
3.3保密性 Confidentiality
【內容解析】
保密性指數據、文檔以及網絡信息等不被泄露給非授權的用戶、實體或過程。強調信息只為授權用戶使用的特征。保密性是在可靠性和可用性基礎之上，保障信息安全的重要手段。常用的保密技術：
1)物理保密：利用各種物理方法，如限制、隔離、掩蔽、控制等措施，保護信息不被泄露。
2)防竊聽：使對手偵察、接收不到有用的信息。
3)防輻射：防止有用信息以各種途徑輻射出去。
4)信息加密：在密鑰的控制下，用加密算法對信息進行加密處理。即使對手得到了加密后的信息也會因為沒有密鑰而無法讀懂有效信息。
3.4信息安全 Information Security
【內容解析】
1.信息安全的目的是保證信息的保密性、完整性、可用性、真實性、可核查性等。保密性、完整性和可用性構成了信息安全的 CIA三要素。
2.信息安全是個相對的概念。沒有絕對的信息安全。
3.5信息安全事態 Information Security Event
【內容解析】
1.有害或意外的信息安全事態是引發信息安全事件的源頭。
2.信息安全事態發生后可能會造成信息安全事件，也可能未造成信息安全事件。
3.信息安全事態可能由一個原因導致的，也可能由多個原因導致的。
3.6信息安全事件 Information Security Incident
【內容解析】
1.一個或多個有害的或者意外信息安全事態是導致信息安全事件的源頭。
2.事件發生后，根據事件的影響程度，可分為一般事件和重大事件。根據信息安全事件的影響程度，對信息安全事件做出最恰當和最有效的響應。
3.盡管信息安全事態可能是意外或故意違反信息安全防護措施的企圖的結果，但在多數情況下，信息安全事態本身并不意味著破壞安全的企圖真正獲得了成功，因此也并不一定會對盋芐浴⑼暾院?或可用性產生影響。也就是說，并非所有信息安全事態都會被歸類為信息安全事件。
3.7信息安全管理體系(ISMS) Information Security management system(ISMS)
【內容解析】
1.信息安全管理體系是組織管理體系的一個組成部分。其目的是為了保護資產的安全。
2.信息安全管理體系基于整體業務活動風險。
3.信息安全管理體系與其他管理體系一樣，采用過程方法，PDCA的模型。支持與相關管理標準一致的、協調的實施和運行。
3.8完整性 Integrity
【內容解析】
完整性指的是防止未授權的更改和篡改。包含非授權的增加、減少或破壞。例如：在原有源代碼中非授權加入代碼，或者在原有源代碼中非授權裁剪或非授權修改了一部分代碼，均視為破壞完整性的行為。
3.9殘余風險 Residual risk
【內容解析】
1.殘余是指處理后剩余的風險。即沒有達到風險接受準則的風險。
2.殘余風險的危害程度一般大于原有風險。所以在接受殘余風險時，需獲得管理者對建議的殘余風險的批準。
3.10風險接受 risk acceptance
【理解要點】
組織確定風險程度可接受的決定。在明顯滿足組織方針策略和接受風險的準則的條件下，有意識地、客觀地接受風險。
3.11風險分析 risk analysis
【內容解析】
1.風險識別的目的是決定什么發生可能會造成潛在損失，并深入了解損失可能如何、何地、為什么發生。
2.風險識別包括：威脅識別、脆弱性識別、后果識別和現有控制措施的識別。
a)威脅識別：威脅有可能損害資產，諸如信息、過程、系統甚至組織。威脅的來源可能是自然的或人為的，可能是意外的或是故意的。也可能來自組織內部或外部。所以對整體并按類型(如未授權行為，物理損害，技術故障)識別威脅意味著沒有威脅被忽視，包括突發的威脅。
b)脆弱性識別：脆弱性本身不會產生危害，只有被某個威脅利用時才會產生危害。沒有相應威脅的脆弱性可能不需要實施控制措施，但是應關注和監視其變化。
c)后果識別：后果可能是喪失有效性、不利運行條件、業務損失、聲譽破壞等。資產受到損害時，后果可能是臨時性的，也可能是永久的。
d)現有控制措施識別：為避免不必要的工作或成本，如，重復的控制措施。此外，識別現有的控制措施時，進行檢查以確保控制措施在正確運行是非常必要的活動。
3.在考慮喪失資產的保密性、完整性和可用性所造成的后果的情況下，評估安全失效可能造成的對組織的影響。
4.根據主要的威脅和脆弱性、對資產的影響以及當前所實施的控制措施，評估安全失效發生的現實可能性。
5.估計風險級別。
3.12風險評估 risk assessment
【內容解析】
1.對信息和信息處理設施的威脅、脆弱性和影響及三者發生的可能性的評估。
2.風險評估也就是確認安全風險及其大小的過程，即利用適當的風險評估工具，包括定性和定量的方法，確定資產風險等級和優先控制順序。
3.風險評估確定了信息資產的價值，對存在(或可能存在的)適用的威脅和脆弱性進行識別，考慮現有的控制措施及其對已識別風險的影響，確定潛在的后果。
4.對確定的風險根據緊急度和影響度進行優先級排序，并按照背景建立時確定的風險準則劃分等級。
3.13風險評價 risk evaluation
【內容解析】
1.風險評價是綜合考慮信息安全事件的影響和發生可能性而得出的風險的級別。確定風險是否可接受，通常將風險分為：不可接受風險、有條件可接受風險(需要關注)、可接受風險。
2.在需要時，根據建立的風險準則進行處理。
3.14風險管理 risk management
【內容解析】
1.以可以接受的方式識別、控制、降低或規避和轉移可能影響信息系統的安全風險過程。
2.風險管理一般包括建立背景、風險評估、風險處理、風險接受和風險溝通。
3.通過風險評估來分析和評價風險。
4.通過制定信息安全方針，采用適當的控制目標和控制方式對風險進行控制和降低。
5.風險管理的目的是使風險被降低、規避、轉移或降至一個可能接受的水平。
3.15風險處置 risk treatment
【內容解析】
風險處置的有效性取決于風險評估結果。風險處置有可能不能立即達到一個可接受水平的殘余風險。在這種情況下，如果必要，可能需要另一個改變了背景參數(例如，風險評估、風險接受或影響的準則)的風險評估迭代，接下來做進一步的風險處置。
風險處置的四種方式：
1)風險降低：為降低風險發生的可能性和/或不利后果所采取的行動。例如：采取糾正、消除、預防、影響最小化、威懾、檢測、恢復、監視和意識等措施。
2)風險規避：對新技術或不能控制風險的活動，不采用該活動的方式。例如：避免采用新技術等。
3)風險轉移：與另一方共享由風險帶來的損失或收益。對于信息安全風險而言，風險轉移僅考慮不利的后果(損失)。例如：保險、供應商等。
4)風險保留：也稱“風險接受”，組織確定風險程度可接受的決定。在明顯滿足組織方針策略和接受風險的準則的條件下，有意識地、客觀地接受風險。
3.16適用性聲明 Statement of applicability
【內容解析】
1.適用性聲明提供了一份關于風險處置決定的綜述。證明不會因疏忽而遺漏控制措施。
2.適用性聲明包含當前實施的控制目標和控制措施。
3.適用性聲明是一個包含組織所選擇的控制目標和控制措施的文件，以及選擇的理由。如果對該標準附錄A中任何控制目標和控制措施的刪減，應在適用性聲明中說明刪減的合理性。
共有條評論 網友評論