20、信息安全风险分析与应对全解析

信息安全风险分析与应对全解析

1. 威胁识别

在信息安全管理中，识别潜在威胁是至关重要的第一步。通常，威胁可分为以下三大类：
- 自然威胁 ：如洪水、地震、龙卷风、山体滑坡、雪崩、电风暴等自然灾害。
- 人为威胁 ：由人类引发或促成的事件，包括无意行为（错误和疏忽）和蓄意行为（欺诈、恶意软件、未经授权的访问）。从统计数据来看，人为错误和疏忽对信息资源造成的损失最为严重。
- 环境威胁 ：长期停电、污染、化学品泄漏或液体渗漏等。

为了尽可能全面地列出威胁清单，可以采用以下几种方法：
- 制定检查表 ：检查表能确保所有方面都被覆盖，但使用不当可能会影响思路和信息的自由流动，因此不要在过程开始时就提供检查表。
- 审查历史数据 ：研究过去发生的事件类型及其发生频率，确定每年的发生率（ARO）。不同类型的威胁数据可从不同来源获取，例如自然威胁数据可从国家气象中心获取，意外人为威胁数据可向保险承销商咨询，蓄意威胁数据可联系当地执法部门或组织的安全部队，环境威胁数据可从设施管理部门和当地电力公司获取。
- 头脑风暴 ：召集利益相关者，提供一个框架让他们集中思考，尽可能多地识别威胁。在头脑风暴过程中，没有错误答案，目的是确保识别出所有威胁。完成信息收集后，清理重复项并合并相似的威胁。

2. 确定发生概率

确定威胁清单后，需要评估每个威胁发生的可能性。风险管理团队要得出一个总体可能性，以表