信息安全风险管理

第1章 概述
1.1 风险起源
1.1.1 风险的发展历程
1.1.2 风险定义
1.1.3 风险管理
1.2 风险管理的模型
1.2.1 风险管理对象
1.2.2 信息安全属性
1.2.3 风险管理环节
1.3 信息安全风险特性
1.3.1 风险的基本特性
1.3.2 风险的不确定性
1.3.3 风险的影响
1.4 信息安全风险要素与关系
1.4.1 基本要素
1.4.2 关系
第2章 信息安全风险管理相关标准
2.1 ISO／IEC31000
2.1.1 ISO／IEC31000标准内容简介
2.1.2 风险管理的原则
2.1.3 风险管理的框架
2.1.4 风险管理的过程
2.2 ISO／IEC 13335
2.2.1 ISO／IEC 13335标准内容简介
2.2.2 ISO／IEC 13335的信息安全概念
2.2.3 ISO／IEC 13335的安全要素
2.2.4 ISO／IEC 13335的八个安全要素之间的关系以及风险管理关系模型
2.3 ISO／IEC 27005
2.3.1 ISO／IEC 27005标准内容简介
2.3.2 IS0／IEC 27005风险管理过程
2.4 卡内基梅隆
2.4.1 OCTAVE概述
2.4.2 OCTAVE Method介绍
2.4.3 OCTAVE-S介绍
2.5 GB／T 20984
2.5.1 GB／T 20984标准的内容简介
2.5.2 GB／T 20984的风险评估
第3章 信息安全风险评估实现
3.1 风险评估过程框架
3.1.1 风险评估原则
3.1.2 风险评估过程框架
3.2 风险识别阶段
3.2.1 建立环境
3.2.2 风险评估前期调查
3.2.3 风险评估工具准备
3.2.4 资产识别
3.2.5 威胁识别
3.2.6 脆弱性识别
3.2.7 安全措施分析
3.3 风险分析阶段
3.3.1 风险分析
3.3.2 风险计算
3.4 风险评价阶段
3.5 风险评估的报告
3.6 风险评估的评审
第4章 信息安全风险处置
4.1 风险处置过程框架
4.2 风险处置方法
4.3 风险处置措施选择与实施
4.3.1 选择风险处置方法
4.3.2 准备和实施风险处置计划
4.4 风险处置的监视与评审
4.4.1 风险处置有效性的监视与评审的必要性
4.4.2 风险处置有效性的监督与评审示意图（如图4-3所示）
4.4.3 风险处置有效性的监督与评审的原则
4.5 典型的风险处置措施
第5章 信息安全风险管理案例
5.1 案例背景
5.2 确定风险管理框架
5.3 风险识别
5.3.1 建立环境
5.3.2 前期调查
5.3.3 工具准备
5.3.4 风险要素识别
5.4 风险分析
5.4.1 计算安全事件可能性
5.4.2 计算安全事件损失
5.4.3 计算风险值
5.5 风险评价
5.6 风险处置
5.6.1 现存风险判断
5.6.2 控制措施选择
5.7 风险管理评审
附录1：风险评估的工具和方法
附表1-1 风险评估的方法
附录2：系统调研调查表
附表2-1 单位基本情况调查表
附表2-2 参与测评项目相关人员名单
附表2-3 信息资产登记表
附表2-4 信息系统等级情况
附表2-5 外联线路及设备端口网络边界情况
附表2-6 信息系统网络结构环境情况
附表2-7 安全设备情况
附表2-8 网络设备情况
附表2-9 终端设备情况
附表2-10 服务器设备情况
附表2-11 应用系统软件情况
附表2-12 业务系统功能登记表
附表2-13 信息系统承载业务（服务）表
附表2-14 业务数据情况调查
附表2-15 数据备份情况
附表2-16 应用系统软件处理流程（多表）
附表2-17 管理文档情况调查（制度类文档）
附表2-18 管理文档情况调查（记录类文档）
附表2-19 安全威胁情况
参考文献