信息安全领域内的风险损失价值估算-创新互联

最近一直在跟很多IT的兄弟谈信息安全的问题,讨论的内容有很多,技术的、管理的、发展方向的,但有一件事大家都很明确:针对国内的企业现状,信息安全在各个企业中得到的重视程度都不够。

创新互联建站从2013年创立,是专业互联网技术服务公司,拥有项目网站制作、成都做网站网站策划,项目实施与项目整合能力。我们以让每一个梦想脱颖而出为使命,1280元嘉黎做网站,已为上家服务,为嘉黎各地企业和个人服务,联系电话:18980820575

要加强信息安全,无论是管理手段,技术手段或者物理手段,仅靠IT人去推动都会显的十分困难,连CISSP指南里都说过,信息安全一定要执行层面的领导亲自关注并带头推动,才能有较好的效果。

那么如何劝说领导对信息安全加大投入并关注,有两种方法是最有效的,一种是合规性,如果信息安全不合规,会引申出一系列的问题,在中国通常是主管部门的安全审计不合格,企业管理层会负上领导责任,这种情况下,推动安全系统的投入比较好办一点。还有就是经历过痛苦的,由于信息安全管理不善,造成了数据资产的损失,直接带来经济上的损失或者无形资产上的损失,领导终于下了狠话要把安全抓上来,这个属于亡羊补牢的。

在国际上有很多比较成熟的法规要求企业在经营活动当中,对信息安全和个人隐私提供必要的保护,如著名的HIPA法案,PCI DSS等。中国也有这方面的一些规范,但目前执行力度不是很严也没有强制的要求,除了军工、政府、机要等行政上有要求的,商业企业的信息安全管理普遍较弱,在这些企业里,要提高管理层对信息安全的认识还有一种方法可以使用,就是把风险量化了,用金钱价值来衡量数据资产损坏或丢失带来损失。当领导对抽象的数据风险,IT风险不太容易理解的时候,这也不失为一个较好的方法。

将IT风险量化并不是一件很难的事,目前有较好的价值估算模型可以使用,难就难在量化的过程当中,对事件发生概率的估计和事件造成损失的比率的定量性估算,这些关键点需要有实际工作经验的老手进行合理的评估并给出。

以下举例说明风险损失的价值估算

以某CRM系统为例,某公司的客户信息,价格信息产品信息等,全部存于公司的CRM系统当中,公司这些资讯的价值为100万元。

如果系统受到***,数据造成泄漏或损坏,那么信息损失为80万元,重建并恢复需10万元,那么单一可预见损失(Single Loss Expectancy)

SLE=80万+10万=90万元,也就是说,一旦信息安全问题发生在CRM上,可预见的损失额为90万元,针对总价值100万元,那么这一事件的风险因子就是90/100=0.9(Exposure Factor)

然而对系统的***并不是每时每刻都在发生,即便CRM系统目前处于弱保护状态中,有经验的IT管理人员评估大约每三年才会有一次较强***并造成上述的损失。那么该风险的年度发生率ARO(Annualized Rate of Occurrence)就是1/3,约为33.33%。

针对该风险,年度可预见损失ALE (Annual Loss Expectancy)=SLE*ARO=90万*33.33%,约为30万元。

好了,有了上述的基本概念,那么我们如果要上一套安全防护系统,比如说是应用级的防火墙,设备设计寿命5年,共花费采购费用20万和5年的维护费用5万共计25万元,每年的花费为25/5=5万元,每年花费5万元,预期减少风险30万元,该防火墙对公司的价值贡献为25万元。

以上仅是一简单的计算举例,将风险概念量化并评估的计算过程,虽然简单但可以提供将抽象概念价值化的手段。在其它的风险评估模型中,也有定性的分析方法,比如将风险评估为红色、黑色等级别,或者标示为高危、一般等等分析的方法,比如著名的Delphi技术法。

参考资料《CISSP All in one exam guide》

另外有需要云服务器可以了解下创新互联scvps.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。


标题名称:信息安全领域内的风险损失价值估算-创新互联
浏览地址:http://myzitong.com/article/cddjoe.html