12、深入了解Web应用程序安全风险

深入了解Web应用程序安全风险

1. 识别关键信息资产

1.1 关键信息资产的重要性

每个组织都有对其业务至关重要的信息资产，这些资产的保密性、完整性和可用性的丧失可能会阻碍业务运营。例如，建筑公司的建筑设计、国家的国防机密、供应商的报价、电子商务商家的Web应用程序等。不同的信息资产对CIA三元组（保密性、完整性、可用性）有不同的安全要求。识别关键信息资产是风险评估活动的重要阶段，错误的识别会导致风险评估活动的误用或无效。

1.2 创建关键信息资产列表的方法

• 研讨会 ：这是创建信息资产列表最有效的方法。可以借鉴OCTAVE方法，组织高级管理层、运营管理层和员工研讨会，与管理层/客户讨论关键信息的存储、处理和传输类型，通过头脑风暴确保全面了解关键资产。
• 问卷调查 ：当人员分布在不同地区时，问卷调查是一种有效的获取关键信息资产的方式。问卷包含确定Web应用程序存储、处理或传输的关键资产类型所需的问题，风险评估团队根据结果整理信息并准备关键信息资产列表。
• 描述表 ：与问卷调查类似，但细节要求更高。此方法通常效果最差，因为人们往往因时间或动力不足而无法提供详细描述，结果可能模糊且无用，更适用于规模较小的实体。

2. 用户角色与关键信息资产访问

2.1 用户角色和访问的重要性

用户配置文件对于理解Web应用程序至关重要。确定应用程序的关键信息资产后，需要了解可能存在的用户类型以及他们对这些关键信息资产的访问