网络安全风险管理
定义和术语
风险管理定义：
- 在一个肯定有风险的环境中把风险降至最低的管理过程
- 风险管理包括对风险的量度、评估和应变策略
- 理想的风险管理是一连串排好优先次序的过程
网络空间安全风险术语：
<span style='color:red'>资产</span>：任何对组织有价值的东西，是要保护的对象，以多种形式存在
- 物理的（设备）和逻辑的（体系结构、通信协议等）
- 硬件的（主板、机箱、显示器、键鼠等）和软件的（OS、sql、app）
- 有形的和无形的（品牌、名誉等）
- 静态的（设施、规程）和动态的（人员、过程）
- 技术的和管理的（战略、计划等）
- <span style='color:red'>威胁</span>：木马后门、病毒蠕虫、流氓软件、DDoS、社工、渗透、内部威胁、系统漏洞、硬件故障、网络通信故障、供电中断、失火、雷雨地震
- <span style='color:red'>脆弱性</span>：与信息资产有关的弱点或安全隐患
eg：系统程序代码缺陷、设备安全配置错误、操作流程缺陷、维护人员安全意识不足
- <span style='color:red'>控制措施</span>：根据安全需求部署，用来防范威胁，降低风险的措施
eg：部署防火墙、入侵检测、审计系统，终端U盘管理制度
- <span style='color:red'>可能性</span>：指威胁源利用脆弱性造成不良后果的可能性
- <span style='color:red'>影响</span>：指威胁源利用脆弱性造成不良后果的程度大小
- <span style='color:red'>风险</span>：指威胁源采用恰当的威胁方式利用脆弱性造成不良后果
更完整的风险术语联系图：
- <span style='color:red'>残余风险</span>：采取了安全措施后依然可能存在的风险，有时候指在综合考虑了安全成本与效益后不去控制的风险；需要密切监视残余风险，将来可能诱发新的安全事件
<span style='color:red'>风险评估</span>：通过各种角度、方法等为控制风险水平在可接受范围提供科学依据风险评估的主要目标
- 标识资产和它们对于组织机构的价值
- 识别脆弱性和威胁
- 量化潜在威胁的可能性及其对业务的影响
- 在威胁的影响和对策的成本之间达到预算的平衡
风险分析的方法
- 定量分析：资产价值、威胁频率、损失影响等量化并输入公式，计算出总风险和剩余风险
- 定性分析：评级风险的高中低
网络空间安全风险管理工作内容：
- 建立背景：
风险评估：
- 风险评估准备
- 风险要素识别
- 风险分析
- 风险结果判定
- 风险处理：将风险始终控制在可接受的范围内
措施：
- 减低风险：从构成风险的五个方面中采取保护措施
eg：法律震慑、采取身份鉴别措施、给系统打补丁、备份
- 转移风险：通过将面临风险的资产或其价值转移到更安全的地方来避免或降低风险（一般为低风险但发生会造成重大影响的风险）
eg：技术外包第三方机构、上保险
- 规避风险：通过不使用面临风险的资产来避免风险（通常风险损失无法接受，难以控制减低风险）
eg：不处理敏感信息、内部业务不使用互联网
- 接受风险：选择对风险不采取进一步的处理措施，接受风险可能带来的结果（根据实际和经济做出接受选择，需要持续监控风险态势）
- 批准监督
风险评估方法
定性
- 依据研究者的知识、经验、历史教训、政策走向及特殊变例等非量化资料对风险做出判断
- 采用文字形式或叙述性数值范围描述风险的影响程度和可能性的大小（如高、中、低等）
- 更具主观性
定量
- 运用数量指标来对风险评估
- 采用量化的数值描述后果和可能性
期望年度损失法：
- 评估资产
- 确定单一预期损失SLE
- 确定年发生率ARO
- 确定年预期损失
- 确定控制成本
- 安全投资收益
综合
定量分析+定性分析，eg：层次分析法
国产化替代
原因：华为、中兴事件，我国科技尤其是上游核心技术受制于人的现状，对我国经济发展、社会稳定等都提出了严峻考验。大力发展科技产业，鼓励科技创新，成为当下时不我待的命题。中美贸易战以来，美国对华实施技术封锁，断供我国高新技术企业，企图遏制我国科技产业的发展
