安全三要素与如何实施安全评估?

一、安全三要素

是安全的基本组成元素,分别是机密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。

====================

二、如何实施安全评估

一个安全评估的过程,可以简单地分为4个阶段:资产等级划分、威胁分析、风险分析、确认解决方案

1、资产等级划分:资产等级划分是所有工作的基础,这项工作能够帮助我们明确目标是什么,要保护什么?互联网安全的核心问题,是数据安全的问题。因为对互联网公司拥有的资产进行等级划分,就是对数据做等级划分。

2、威胁分析:在安全领域里,我们把可能造成危害的来源称为威胁(Threat),而把可能会出现的损失称为风险(Risk)。

什么是威胁分析?威胁分析就是把所有的威胁都找出来。在本书中介绍一种威胁建模的方法,它最早是由微软提出的,叫做STRIDE模型。

3、风险分析

影响风险高低的因素,除了造成损失的大小外,还需要考虑到发生的可能性。

在微软提出的DREAD模型里,每一个因素都可以分为高、中、低三个等级。在上表中,高、中、低三个等级分别以3、2、1的分数代表其权重值,因此,我们可以具体计算出某一个威胁的风险值。

4、确认解决方案

安全评估的产出物,就是安全解决方案。解决方案一定要有针对性,这种针对性是由资产等级划分、威胁分析、风险分析等阶段的结果给出的。

最终,一个优秀的安全方案应该具备以下特点:
能够有效解决问题;
用户体验好;
高性能;
低耦合;
易于扩展与升级。

====================

你可能感兴趣的:(安全)