午啪啪夜福利无码亚洲,亚洲欧美suv精品,欧洲尺码日本尺码专线美国,老狼影院成年女人大片

1、安全技術防范管理知識培訓,第二章 風險評估基本知識,回答的主要問題（1）什么是風險？（2）風險是什么？（3）為什么會出現這些風險？（4）風險出現的可能性是多少？（5）風險后果是什么？（6）風險如何控制？,第二章 風險評估基本知識,主要內容 2.1風險評估概述 2.2風險評估方法 2.3安全解決方案,風險評估的意義,風險評估,克服安全需求確定的片面性安全需求即需要進行防護的范圍、深度。,保護哪些資產？防范什么威脅？防護哪些弱點？防護范圍？防范深度？,風險評估的意義,風險評估,減少系統設計的盲目性,根據風險評估確定的安全需求和風險背景信息，可以幫助設計者找準系統的設計目標，尋找最佳方案。,風險評估2、的意義,風險評估,有助于突出現行風險等級標準的個性,GA26-1992軍工產品儲存庫風險等級和安全防護級別的規定GA27-1992 文物系統博物館風險等級和安全防護級別的規定GA28-1992 貨幣印制企業風險等級和安全防護級別的規定GA38-1992 銀行營業場所風險等級和安全防護級別的規定,不能簡單地依賴標準，應該通過風險評估，找出特定單位的需求差異。,風險評估的意義,風險評估,可以促進系統建設資金運用的合理性,風險評估結果不僅可給出風險等級，還可根據風險程度給出優先防護順序，使有限的資金投入得到最合理的配置。,風險及其構成,風險評估,風險（Risk）風險的類型按損失承擔主體（誰受損失）分3、：個人、家庭、企業、政府、社會風險。按損失標的物（損失什么）分：人身、財產、環境風險。按風險來源分：自然、技術、社會、政治、經濟、金融、文化、行動風險。按風險后果分：純粹風險和投機風險。按風險影響范圍分：基本風險和特殊風險,風險及其構成,風險評估,風險（Risk）最常見的是按風險后果分：投機風險 可能結果：有損失、沒有損失、有所獲利。純粹風險 可能結果：沒有損失或有損失。,風險及其構成,風險評估,風險（Risk）純粹風險和投機風險兩者統計學特點：在相同的條件下，純粹風險重復出現的概率較大；而投機風險重復出現的概率則較小。,風險及其構成,風險評估,風險（Risk）風險的表現風險是通過不良事件現象4、和損失表現出來。,威脅經過一系列事件鏈最終引起損失/影響。,風險及其構成,風險評估,風險（Risk）風險的表現,風險的最終結果,風險發生的原因或征兆,風險？,風險評估,曾流行的風險定義：風險是損失的可能性；風險是損失的機會或概率；風險是潛在的損失；風險是潛在損失的變化范圍與幅度；,概括起來，有兩個基本特征，即：不確定性和損失性,風險：不確定性對目標的影響Risk：Effect of uncertainty onobjectives ISO31000：2009,風險及其構成,風險評估,風險（Risk）風險的表現,風險的最終結果,風險發生的原因或征兆,不確定性和損失性,在安全領域中，人們把這種不確5、定的損失的期望值叫做風險。并用函數關系式表示為：,R=f(p.c),風險及其構成,風險評估,風險（Risk）關系式 R=f(p.c)表明：風險具有概率和后果的兩重性，是不良事件發生概率和損失后果的函數。安全防范風險（被防護對象風險）,在安全防范領域，將上述風險定義做了引申：風險是指由于不良事件的發生使被防護對象遭受損失的可能性及損失/影響程度（后果）。,有形的或無形的,風險及其構成,風險評估,風險構成 構成要素：損失可能性、損失/影響程度 風險因子：資產（防護對象）、威脅與弱點,風險及其構成,風險評估,風險構成 風險因子威脅（Threat）：可能對資產造成損害的潛在原因。如各種刑事犯罪、恐怖、6、竊取情報等等；弱點(Vulnerability)：可能被威脅利用導致資產損失 的薄弱點。如：人員疏失、實體缺損、技術失效、管理漏洞等等；資產（Asset）：單位/組織內的有形及無形資產 如：人員、信息、過程、財產等等。,風險及其構成,風險評估,風險構成 風險因子間的關系,弱點,風險及其構成,風險評估,風險構成 風險與風險因子間的關系,威脅,威脅,威脅,威脅,風險及其構成,風險評估,風險構成 問題：,風險是否等同于弱點?風險是否等同于威脅?風險是否等同于資產的價值?風險是否可以隨著人的意志而改變？,風險管理,風險評估,風險管理概念 是通過對潛在的風險的識別、分析與評價的基礎上，選擇適宜的處理風險7、措施和方法，以最少的管理成本，將風險導致的各種不利后果減低到可接受程度的管理方法和持續過程。是一個組織對風險的指揮和控制的一系列協調活動。包括了風險管理框架結構設計、風險管理實施、實施過程的監視與審查和框架的持續改進四個典型的PDCA循環。,風險管理,風險評估,溝通與咨詢,監視與審查,風險識別,風險分析,風險評價,風險處置,建立環境,風險管理框架與實施過程,風險評估概念及其過程,風險評估,風險評估的概念 指在對資產及其威脅、弱點風險因素信息進行收集，識別與分析的基礎上，對損失發生的可能性及損失/影響程度進行綜合評判，給出風險程度的專家觀點的過程。風險評估是風險管理的重要組成部分。,風險評估概念8、及其過程,風險評估,風險識別,風險分析,風險評價,評估范圍界定,風險評估報告,溝通與咨詢,監視與審查,風險評估過程,第二章 風險評估基本知識,主要內容 2.1風險評估概述 2.2風險評估方法 2.3安全解決方案,風險評估方法,風險評估,界定風險評估范圍,風險評估方法,風險評估,風險識別,是風險評估過程的第一步。通過深入調查，識別出風險因素及其影響的對象、安全事件產生的原因。這項工作的目標，是建立完整的風險因素清單。,風險評估方法,風險評估,風險識別,風險 Risk,CIKR：重要基礎設施及關鍵資源 Critical Infrastructure and Key Resources,風險評估,資9、產的特點,資產識別,資產是被保護對象資產是安全保衛需要顧及的因素資產特征決定了損失模式資產決定了評估內容,風險評估,資產的類型,資產識別,風險評估,資產-CIKR,突發事件如果造成對重要基礎設施和關鍵資源的破壞，將會嚴重影響政府部門和經濟界的正常運作，并產生一連串遠遠超出事件所針對部門和所發生區域的影響，甚至導致人民生命財產的巨大損失、經濟衰退以及公民士氣和國家信心的災難性損失。NIPP,資產識別,風險評估,資產-CI-重要基礎設施,食品與農業、國家標志與象征、金融、國防工業、化學與危險材料、水源、健康設施等。,資產識別,風險評估,資產-KR 關鍵資源,政府設施、水壩、商業設施、核電站 等。,10、資產識別,風險評估,資產 一般資產,資產識別,風險評估,資產損失模式,死亡、損毀以及直接的財務損失傷、病及持續的負面影響對社會及環境的影響損失后果被利用,資產識別,風險評估,資產 與威脅的相關性,資產,威脅,資產識別,風險評估,資產 決定風險評估內容,例：GA26 1992 軍工產品儲存庫風險等級和安全防護級別的規定GA27 2002 文物系統博物館風險等級和安全防護級別的規定GA38 2004 銀行營業場所風險等級和安全防護級別的規定風險評估是針對特指的資產；構成風險的其他因素（威脅、弱點）同樣特指某一資產；,資產識別,風險評估,威脅概念,威脅是可能對資產造成損害的潛在的原因；威脅是針對某一11、資產的實時狀態；威脅帶有指向性；威脅不僅來自系統外部。,威脅識別,風險評估,威脅分類,威脅,傳統安全威脅,NTS威脅,背景性威脅,功能性威脅,威脅識別,風險評估,威脅背景性威脅,目標所處在的社會環境，構成了背景性威脅的主要特征。,威脅識別,風險評估,威脅功能性威脅,目標自身的業務特征所招致的安全威脅，稱為功能性威脅。,威脅識別,風險評估,威脅威脅模式,威脅識別,風險評估,威脅 NTS IED,IED 臨時爆炸裝置,威脅識別,風險評估,威脅 NTS,CBR,CBR 化學、生物、放射性,威脅識別,風險評估,威脅 另一戰線,威脅識別,風險評估,威脅 ETIM(東土爾其斯坦伊斯蘭運動),在阿富汗境內庫12、納爾省（Kunar）或努爾斯坦省（Nurestan）境內的宗教學校（madrassa)接受訓練的,來自中國新疆的維族少年。,威脅識別,風險評估,威脅 信息獲取,獲取威脅信息的渠道：公開的非公開的商業的,威脅識別,風險評估,威脅 信息獲取,獲取威脅信息的渠道：同域同業自身,威脅識別,風險評估,威脅,威脅,指向性,與資產特征相關 舉例,威脅識別,風險評估,威脅 可能性-效果要件,威脅識別,風險評估,威脅 可能性-攻擊數據庫（威脅清單）分析歷史威脅攻擊事件，建立攻擊數據庫,關注所有的攻擊事件，通過真實記錄和規范分析，獲得可能攻擊特征的信息，將這些信息記入攻擊數據庫。,威脅識別,風險評估,威脅 可能性13、-信息驗證,威脅識別,風險評估,威脅 可能性-描述,可能性（Likelihood）可以分級描述；概率（Probability）需要一個數值；不確定性意味著難以給出概率。資產不同，或安全防范態勢不同，威脅會有多種可能性。,威脅識別,風險評估,弱點 概念,弱點是指可能被威脅所利用，導致資產損失的薄弱點 弱點可能源于建筑特點、設備狀態、人的行為和業務流程薄弱是相對的，它取決于與其相鄰環節的狀態弱點來自某一特指的資產弱點是動態的,弱點識別,風險評估,弱點 發現弱點,弱點識別,風險評估,弱點 模型,ISO31010:2009 Risk Management Risk Assessment Techniq14、ues 風險管理 風險評估技術 羅列15種用于風險識別（Risk Identification）的方法,弱點識別,風險評估,弱點 模型 FTA 洛克比空難調查,1988年12月21日，泛美航空103號班機執行法蘭克福倫敦紐約底特律航線。它成為恐怖襲擊目標，飛機在蘇格蘭邊境小鎮洛克比（Lockerbie）上空爆炸，270人罹難。,弱點識別,風險評估,弱點 模型 FTA 洛克比空難調查,1-2,弱點識別,FTA法是從歷史或同業的安全事件中尋找相似環節，從中分析類似的問題和薄弱環節在現實的關鍵資產中是否存在，以及發現事件的致因與關注因素之間的關系。,風險評估,弱點 模型 ATA（Attack Tre15、e Analysis）,Bruce Scheiner 創建于1999 通過根目標 葉目標 節點，揭示攻擊路徑 用于發現和分析防范弱點和安全威脅,弱點識別,風險評估,弱點 模型 ATA例一,弱點識別,風險評估,弱點 模型 ATA-例二,弱點識別,風險評估,弱點 模型 ATA-應用,思考：如果我是攻擊者 所攻擊目標的價值有多大？我的機會？我的能力（資金、技能）？失手的損失？風險評估 決策（確定攻擊路徑）,弱點識別,風險評估,弱點 攻擊路徑,威脅Threat,資產Asset,A,B,C,D,弱點識別,資產易受侵害的弱點數目。利用弱點的難度。現有對策的有效性。,風險評估,弱點 模型 ATA-應用,思考16、：如果我是攻擊者 所攻擊目標的價值有多大？我的機會？我的能力（資金、技能）？失手的損失？風險評估 決策（確定攻擊路徑）,弱點識別,可能攻擊路徑：時間快捷；技能低；可視風險小；成本低。,風險評估,弱點 攻擊路徑,威脅Threat,資產Asset,A,B,C,D,弱點識別,資產易受侵害的弱點數目。利用弱點的難度。現有對策的有效性。,風險評估,弱點 模型 ATA-應用,思考：如果你是防范者 被防護對象的價值會引來什么樣的攻擊者？所有可能的攻擊路徑？當前最有可能的攻擊路徑？你們切斷了這些路徑嗎？切斷位置和次數？風險評估 決策。,弱點識別,風險評估,弱點 模型 ATA結果梳理,ATA結果梳理 1.路徑描17、述 2.路徑標識 3.投影分析,物理環境 業務流程 組織架構,弱點識別,風險評估,弱點 ATA結果梳理分析舉例,弱點識別,風險評估,弱點 ATA結果梳理分析,弱點識別,風險評估,弱點 ATA結果梳理分析報告,弱點識別,風險評估方法,風險評估,風險分析,是風險評估過程的第二步。,風險分析的任務通過風險因子相關關系，確定：資產損失可能性損失后果,損失可能性 Likelihood Likelihood=(Vulnerabilities，Threat）,相對威脅而言，弱點屬于既存的、狀態相對穩定的因素，因此，在考慮損失可能性時，對威脅可能性的關注度要高于弱點變化。或者至少保證對威脅與弱點的同步關注。,18、風險分析,風險評估,損失可能性 等級 理論,風險分析,風險評估,損失可能性 等級 統計趨勢,風險分析,風險評估,損失可能性 等級 薄弱點分布,風險分析,風險評估,損失可能性 原則,分析可能性時，需要把握的原則包括：威脅與弱點構成了攻擊組合；威脅與弱點同與一項資產相關；可能存在多種組合，需要分別描述。,風險分析,風險評估,風險后果 Consequence Consequence=(Threat、Asset）,相對威脅而言，資產屬于狀態相對穩定的因素，因此，在考慮后果時，對威脅可能性的關注度要高于資產變化。同時要考慮NTS因素對資產的威脅。,風險分析,風險評估,損失后果 等級-理論,風險分析,風險19、評估,損失后果 等級,風險分析,風險評估,損失后果 分析原則,分析后果時,需要把握的原則包括:威脅與資產共同決定了后果/影響;資產特征和威脅能力影響后果。,風險分析,風險評估,是風險評估過程的第三步。包括：建立評價風險的表達方式；根據風險分析獲得的風險要素，綜合評定風險的等級。,風險評價,風險評估,風險表達形式 Risk=(Likelihood、Consequence）,風險Risk,后果Consequence,可能性Likelihood,威脅Threat,資產Asset,弱點Vulnerabilities,風險評價,風險評估,風險平面,任何一個風險，總能夠在坐標平面上找到相對應的位置。風險若20、發生變化，無論是損失的后果變大（小），還是損失可能性增加（減少），都能夠在風險平面上顯示出來。,風險評價,風險評估,風險輪廓線 Risk=Likelihood Consequence=K,風險評價,風險評估,風險可接受區域,決定因素：價值觀與安全文化 安全策略 安保資源 內部與外部環境,風險評價,風險評估,風險矩陣 Risk Matrix RM,RM是風險輪廓線的數字化；區域數量的確定，應考慮政策法 規標準的要求；顧及目標及其所在社區公共安全 預警和應急預案的要求。,風險評價,風險評估,風險等級 導入,風險評價,風險評估,風險處置對策，是風險管理的另一重要組成部分。其目的，是在前面進行的風險評21、價的基礎上確定那些風險需要進行處理和風險處理的策略及優先順位。,風險處置對策,風險評估,風險處置策略,風險評估,風險處理策略,現有的風險較低，在可接受的風險水平范圍內；注意維持現狀，不追加投入，或采取少量措施，鞏固現有安全狀況。,風險評估,風險處理策略,損失可能性高，但后果嚴重性不太高；開展犯罪預防與損失預防，降低損失可能性,風險評估,風險處理策略,損失發生的可能性不大，但后果非常嚴重投入安全資源有限，不能實行風險控制策略，轉移到其它責任方，如保險等,風險評估,風險處理策略,損失發生的可能性大，后果也嚴重；以風險較低的解決方案，降低損失可能性和后果嚴重性；如關、停、限、監、控、隔,風險評估,風22、險的可接受標準,風險程度較低，即損失可能性、后果嚴重性均較低。最優成本：當再加入一點成本時，減少風險的花費就會大于收益。,風險評估的關鍵技術研究,如何確定各類關鍵資產的風險可接收標準；對于確定的高風險，采取什么措施進行風險控制，控制到什么程度；對于人們可以忍受的風險是否需要采取風險控制措施；可以忍受的風險在什么時候或在什么條件下會突然變成不能忍受的風險。,風險評估不是一勞永逸的工作。每當任務、設施和設備發生變化，都要重新做。,風險評估報告是風險評估結果的表現形式；風險評估報告針對特指的某一資產；報告中所描述的是該項資產在特指時間下的風險；風險評估報告將作為系統設計的依據；風險評估報告是一份安全敏感文件。,風險評估報告,風險評估報告 基本內容,風險評估報告,風險評估報告 解讀 系統設計師,風險評估報告,風險評估報告 解讀 風險識別 設計師應從風險評估報告中分辨：需要了解的風險；需要關注的風險；需要考慮的風險；需要處置的風險。,風險評估報告,。,本章思考題,1.2.3.4.5.,。,謝 謝！,