[TOC]
↗ Cyberspace Assets Mapping & Management
cyber security and risk management
风险管理广泛用于管理决策。风险管理是网络空间安全保障的有效工作方式。
- 风险管理的通用定义
- 风险管理：是指如何在一个肯定有风险的环境里把风险减至最低的管理过程。
- 风险管理包括对风险的量度、评估和应变策略。
- 理想的风险管理，是一连串排好优先次序的过程，使引致最大损失及最可能发生的事情优先处理、而相对风险较低的事情则押后处理。
- 网络空间安全风险管理：（了解风险 + 控制风险 = 管理风险）
- 定义一：GB/Z 24364《信息安全风险管理指南》信息安全风险管理是识别、控制、消除或最小化可能影响系统资源的不确定因素的过程。
- 定义二：在组织机构内部识别、优化、管理风险，使风险降低到可接受水平的过程。
网络空间安全工作中的风险管理的意义：
- 好的风险管理过程可以让机构以最具有成本效益的方式运行，并且使已知的风险维持在可接受的水平。
- 好的风险管理过程使组织可以用一种一致的、条理清晰的方式来组织有限的资源并确定优先级，更好地管理风险。而不是将保贵的资源用于解决所有可能的风险。
- 风险管理是一个持续的PDCA管理过程
网络空间安全风险管理的目标： 进不来，拿不走，改不了，看不懂，跑不了
risk management
cyber security and risk management
[!links] ↗ Cyberspace Assets ↗ Cyberspace Assets Mapping & Management ↗ Cyber Assets Attack Surface Management (CAASM)
资产（Asset）是任何对组织有价值的东西，是要保护的对象。
资产以多种形式存在（多种分类方法）
- 物理的（如计算设备、网络设备和存储介质等）和逻辑的（如体系结构、通信协议、计算程序和数据文件等）；
- 硬件的（如计算机主板、机箱、显示器、键盘和鼠标等）和软件的（如操作系统软件、数据库管理软件、工具软件和应用软件等）；
- 有形的（如机房、设备和人员等）和无形的（如品牌、信心和名誉等）；
- 静态的（如设施和规程等）和动态的（如人员和过程等）；
- 技术的（如计算机硬件、软件和固件等）和管理的（如业务目标、战略、策略、规程、过程、计划和人员等）等。
[!links] ↗ Cybersecurity Threats & Attacks ↗ Cryptographic Attacks & Rubber-Hose Cryptanalysis
威胁（Threat） / 威胁源（Threat Agent）：威胁源是实施威胁的主体，而威胁是一类事件/活动
威胁：可能导致信息安全事故和组织信息资产损失的活动 威胁源采取恰当的威胁方式才可能引发风险
威胁举例：
- 操作失误
- 滥用授权
- 行为抵赖
- 身份假冒
- 口令攻击
- 密钥分析
- 漏洞利用
- 拒绝服务
- 窃取数据
- 物理破坏
- 社会工程
[!links] ↗ Vulnerabilities ↗ Software Vulnerability & Weakness
脆弱性（Vulnerability）：与信息资产有关的弱点或安全隐患。
- 造成风险的内因。
- 脆弱性本身并不对资产构成危害，但是在一定条件得到满足时，脆弱性会被威胁源利用恰当的威胁方式对信息资产造成危害。
脆弱性举例
- 系统程序代码缺陷
- 系统设备安全配置错误
- 系统操作流程有缺陷
- 维护人员安全意识不足
- 管理机制的缺陷
威胁源，威胁和脆弱性：
[!links] ↗ Risk Countermeasures & Security Control
控制措施（Countermeasure, safeguard, (security) control）：根据安全需求部署，用来弥补脆弱性，防范威胁，降低风险的措施。
公知措施举例：
- 部署防火墙、入侵检测、审计系统
- 漏洞修复
- 测试环节
- 操作审批环节
- 应急体系
- 终端U盘管理制度
可能性（Likelihood,Probability）：指威胁源利用脆弱性，采用对应的威胁方式，造成不良后果的可能性。
可能性举例：
- 脆弱性只有国家级测试人员采用专业工具才能利用，发生不良后果的可能性很小
- 系统存在漏洞，但只在与互联网物理隔离的局域网运行，发生的可能性较小。
- 互联网公开漏洞且有相应的测试工具，发生不良后果的可能性很大。
影响（Impact,loss）指威胁源利用脆弱性造成不良后果的程度大小 影响与资产的重要性/价值有关。不同系统之间资产的差别，同一系统内部核心业务/非核心业务资产的差别，等等。
- 网站被黑客控制，国家级网站比省市网站的名誉损失大很多。
- 银行门户网站和内部核心系统受到攻击，其核心系统的损失更大。
- 同样型号路由器被攻破，用于互联网骨干路由要比企业内部系统的路由器损失更大。
风险（Risk）：指威胁源采用恰当的威胁方式利用脆弱性造成不良后果
GB/T 20984对网络空间安全风险的定义：人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。
- 网络空间安全风险只考虑那些对组织有负面影响的事件。
- 网络空间安全风险是指信息资产的机密性、完整性和可用性可能遭到破坏。
- 网络空间安全风险是指一种特定的威胁利用一种或一组脆弱性可能造成组织的资产损失或损害。
风险的五要素
- 威胁源
- 威胁行为
- 脆弱性
- 资产
- 影响
残余风险（Residential Risk）指采取了安全措施后，信息系统仍然可能存在的风险。
- 有些残余风险是在综合考虑了安全成本与效益后不去控制的风险
- 残余风险应受到密切监视，它可能会在将来诱发新的安全事件
举例
- 风险列表中有10类风险，根据风险成本效益分析，只有前8项需要控制，则另2项为残余风险，一段时间内系统处于风险可接受水平。
↗ Risk Assessment /3️⃣ Risk Analysis ⭐
GB/Z 24364
ISO/IEC 31000
