[原创]什么是信息安全资产管理?

[原创]什么是信息安全资产管理?

1 什么是资产？是任何对组织有价值的东西；

2 什么是信息资产？ 是具有价值的信息或资源，它能够以多种形式存在，有无形的，有形的。在ISO17799中，对信息的定义更确切、具体：“信息是一种资产，像其他重要的业务资产一样，对组织具有价值，因此需要妥善保护”。

3 什么信息安全资产管理流程：（1）首先要明确什么是信息资产 （2）资产识别 （3） 资产的评价 (4)资产风险评估（5）资产的管理 ；

4 资产识别其中资产识别需要考虑的有：

(1)信息资产：数据库和数据文件、合同和协议、 系统文件、研究信息、用户手册、培训材料、操作或支 持程序、业务连续性计划、后备运行安排、审计记录、 归档的信息；

(2)软件资产：应用软件、系统软件、开发工具和 实用程序；

(3)物理资产：计算机设备、通信设备、可移动媒 体和其他设备；

(4)服务：计算和通信服务、通用公用事业，例如， 供暖、照明、能源、空调；

(5)人员及其资格、技能和经验；

无形资产，如组织的声誉和形象。简单来讲就是有形资产和无形资产。

所有的资产对组织来讲都是有用的，当然要进行“资产评价”，通常资产评价依据：信息的机密 性（安全性）、完整性、可用性及其他需求进行评估。

5 资产评价10大因素：

(1)获取或开发该资产所需的成本；

(2)维护和保护该资产所需的成本；

(3)该资产对所有者和用户所具有的价值；

(4)该资产对竞争对手所具有的价值；

(5)知识产权的价值；

(6)其他人愿意为购买该资产所付出的价格；

(7)在损失的情况下替换该资产所付出的资格；

(8)在该资产不可用的情况下损失的运行和工作能力；

(9)该资产贬值时的债务问题；

(10)该资产的用处。 其中，资产赋值比较常用的方式是 采用定性分级的方式建立资产的相对价值，以相对价 值来作为确定重要资产的依据和为这种资产的保护 投入多大资源的依据。

6 资产风险评估：实施控制 措施以避免、转移和降低风险至可接受 水平。

（1）威胁识别（威胁是对组织及其资产构成潜在破坏的可能性因素或者事件）其中威胁受影响4因素：

1)资产的吸引力；

2)资产转化成报酬的容易程度；

3)威胁的技术力量；

4)脆弱性被利用的难易程度。

2）脆弱性识别 （脆弱性识别可通过脆弱性评估来完成，弱点是资 产本身存在的，它可以被威胁利用，引起资产或商业 目标的损害) 。

脆弱性识别所采用的方法主要为：问卷调查、人员问询、工具扫描、手动检查、文档审查、渗透测试等。

(3) 风险评估 完成威胁发生的频率或者发生的概率和脆弱性赋值后，可通过如下公式计算资产所受到的风险：R= f(A,V,T)=f(Ia,L(Va,T)) R 表示风险；

A 表示资产；V 表示脆弱性；T 表示威胁；Ia 表示资产发生安全事件后对机构业务的影响(也称为资产的重要程度)；

Va 表示某一资产 本身的脆弱性，L 表示威胁利用资产的脆弱性造成安 全事件发生的可能性。

(4)安全控制措施选择与实施

(1)资产所要求的保障程度；

(2)成本；

(3)实施的容易性；

(4)法律法规的要求；

(5)客户及其他合同要求。

(5) 风险接受 对残余的风险加以分类，可以 是“可接受的”或是“不可接受的”。

7 资产管理 在信息安全管理体系建立、实施和运行过程中， 资产主要采取以下几种控制方式进行管理：

（1）资产清单

(1.1)新的资产的采购和获得；

(1.2)原有信息 资产的级别变更；

(1.3)资产的时效性；

(1.4)法律法规及合同方要求的变更。

（2）资产责任人

（3）可接受的资产使用

(4)分类指南

(5) 信息的标记和处理

(6) 明确使用管理

6.1)涉密信息的保管

6.2)涉密信息的访问权限

6.3)涉密信息的使用

6.4)涉密信息的发送

最后用一句话描述：信息资产作为信息安全管理体系的作用对象，信息资产管理在整个信息安全管理体系的建立、实施和运行中有着重要的地位。