14、信息技术风险管理全解析

信息技术风险管理全解析

1. 人类交互威胁

通常认为人类与信息技术系统的交互是最小的威胁，但实际上它对数据的保密性和完整性攻击构成了最高威胁。在信息收集阶段，审查系统入侵历史、安全违规报告、事件报告，并与企业所有者、系统支持人员、系统用户和管理层进行访谈，对于识别可能损害 IT 系统及其数据的人类威胁至关重要。一旦确定了潜在威胁，就应列出实施成功攻击可能需要的动机、资源和能力清单，以确定威胁利用漏洞的可能性。

2. 漏洞评估

对信息技术系统的威胁分析必须包括对与系统相关的潜在漏洞的分析。应汇总系统漏洞列表，并将其与威胁评估子过程中确定的威胁进行匹配。漏洞是指可被利用的控制或保障措施的缺失或薄弱之处。

2.1 识别系统漏洞的方法

• 制定安全要求清单 ：进行风险评估的安全决策者必须确定信息技术系统规定的安全要求以及在系统特征描述子过程中收集的要求，是否由现有或计划的安全控制措施满足。每个要求都对应一个解释，说明围绕系统设计或实施的控制措施是否满足安全控制要求。安全要求清单用于评估当前控制措施，并协助设计未来控制措施。
• 系统安全测试 ：根据系统在开发生命周期中的阶段不同，测试重点也不同。
  • 启动阶段 ：应在组织的应用程序开发/采购政策和程序中寻找漏洞，至少包括如何保护数据、如何分离职责以及如何维护应用程序。
  • 实施阶段 ：应进行测试以确定是否确保了数据完整性。