《信息安全技术》学习笔记01

一、信息安全风险评估相关术语

1.什么是风险？

风险：指不确定性对目标的影响。不确定性是风险最本质的特征。

信息安全的不确定性、攻击的不确定性给信息安全带来了风险。

2.什么是信息安全风险？

特定的威胁利用资产的一种或多种脆弱性，导致资产的丢失或损害的潜在可能性。

• 资产 （Asset）：被组织赋予了价值、需要保护的有用资源，

1. 数据资产：数据库和数据文件等
2. 软件资产：应用软件、系统软件等
3. 硬件资产：计算机设备、通信设备等
4. 服务资产：服务、组织的声誉和形象等；（注意：服务也是一种资产，是一种无形的资产）
5. 人员资源：人员及他们的资格、技能和经验等

• 威胁 (Threat）：指可能对资产或组织造成损害的港在事物，例如：

1. 操作失误
2. 滥用授权
3. 身份假冒
4. 口令攻击
5. 拒绝服务
6. 漏洞利用
7. 物理破坏
8. 社会工程

• 脆弱性 (Vulnerability）：就是资产的弱点或薄弱点，这些弱点可能被威胁利用造成安全事件的发生，从而对资产造成损害。

3.什么是残余风险？

采取了