在本頁

• 1 .是否需要一種正式的方法來管理網絡風險？
• 2 .網絡安全風險管理工具箱中可能有什么？
• 3 .補充工具和方法

擁有正確的風險管理技術、工具或方法來應對組織面臨的網絡安全挑戰。

每個組織都是不同的，他們面臨的風險管理挑戰也不同。這意味著組織將需要使用不同的風險管理工具、方法和途徑來幫助他們應對不同的風險管理挑戰。組織的網絡安全風險管理工具箱中可以包含許多途徑、方法和工具，但沒有任何一種工具、方法或途徑能夠提供有效管理所有網絡安全風險所需的信息和觀點。

正如安全是組織內每個人的責任一樣，安全決策也可以發生在各個級別。為了實現這一目標，組織的高級領導層應該使用安全治理來列出各種風險信息。

了解所做選擇的好處和局限性非常重要。最終，如果您使用的方法不能幫助您了解需要保護的內容、原因和方式，那么應該尋求替代方法。

對工具、方法和方法的選擇也可能受到業務限制的影響，例如可用的財務、資源和風險管理技能，并且可能需要組織的部門與合作伙伴組織使用的工具或方法保持一致。

有些工具、方法和方法是免費的，并且相對易于使用，而另一些則需要訂閱、廣泛的培訓和支持治理結構，因此選擇適合風險挑戰的工具至關重要。

是否需要一種正式的方法來管理網絡風險？

在我們開始考慮網絡安全風險管理工具箱中可能包含的工具、方法和方法之前，值得說明的是，在某些情況下，進行網絡安全風險評估和分析可能幾乎沒有什么收獲。這些情況可能包括：

• 那些您面臨眾所周知和易于理解的問題、已知良好架構或風險處理模式的情況可以遵循和應用。
• 已經進行風險評估以支持您擁有或打算實施的安全基線的風險評估，例如《小型企業指南》或《網絡要點》
• 或者某些客戶、部門或業務的特定法規要求您應用控制措施或控制措施集以符合合同和法規。

您應該僅在您認為風險管理挑戰超出任何預定義方案或控制集范圍以及可能存在風險管理差距或缺陷的領域應用額外的風險評估和分析工具、方法和途徑。

網絡安全風險管理工具箱中可能有什么？

在開發風險管理工具箱時，請務必記住，這并不意味著您需要停止使用或扔掉已經使用的任何東西。如果您當前使用的途徑、方法和工具能夠有效解決您的網絡安全風險挑戰并滿足您的組織的需求，那么您應該繼續使用它們，并讓它們成為您的風險管理工具箱的基礎。但請考慮用新的或替代的方法、方法和工具來補充這些內容，以提高您對網絡安全風險的看法和理解。

以下列表旨在提出任何組織都可以考慮添加到其風險管理工具箱中的一些工具、方法和途徑，無論它們是從頭開始還是在某些現有工具、方法和途徑的基礎上構建。此列表無意以任何方式進行優先級、詳盡或完整，組織需要根據他們面臨的風險管理挑戰以及他們可用的資源來選擇他們使用的內容。

通過以下提供的鏈接可以查看有關此處涵蓋的每個領域的更多信息：

• 風險管理信息。為了盡可能地了解風險，需要各種風險管理信息。
• 網絡安全風險量化 網絡安全風險分析和評估主要采用定性方法進行。一種補充方法可能是在適當且有用的情況下使用定量方法。
• 風險評估方法。從不同角度思考網絡安全風險管理挑戰有助于提供最佳信息來指導決策。系統方法與組成方法不同，每種方法都提供了不同的風險視角。

組件驅動方法。這些是理解和管理網絡風險最常用的風險評估方法。這些分析了各個系統組件面臨的網絡安全風險，并且最好應用于系統生命周期、運行或設計和開發過程中的各個點，在這些點上可以很好地理解其組成部分及其之間的關系。

系統方法。這些方法提供了風險的系統視角，并且可以在系統的確切物理設計確定之前使用，例如在系統設計的概念階段。這些系統驅動的方法可以幫助您識別系統組件之間的交互所產生的風險，并且當系統組件之間的交互特別復雜或不太容易理解時（例如當將新元素引入到先前的元素中時）可能會很有用。易于理解的系統）。這種方法還可以幫助您整合不同類型的風險評估，例如網絡安全和網絡物理系統中的安全風險。

•  應不斷從您用于處理網絡安全風險的控制措施（無論是程序、人員、物理還是技術）中尋求保證。因此，（通過有效利用保障活動）獲得對風險處理的信心對于管理網絡風險至關重要。

補充工具和方法

有許多補充工具、方法和技術可以幫助您了解和管理網絡安全風險。下面介紹了一些內容，但您應該根據自己的需要尋求擴展工具箱，采用適合您的方法和技術。

• 攻擊樹 可用于探索可能導致成功攻擊的事件鏈，并可以幫助您了解對系統進行一系列潛在攻擊的可行性。攻擊樹可以在敏捷環境中有效使用，因為攻擊樹可以與迭代開發一起構建，從而使您能夠在開發的同時發現并解決安全風險。
• 威脅建模涉及使用多種不同的技術、工具和方法，幫助您更好地了解所面臨的技術威脅，了解您正在構建或使用的系統或服務可能如何受到攻擊以及如何管理風險由那些攻擊所構成。
• 網絡安全場景可以幫助您了解您可能面臨的網絡安全風險挑戰，并制定對網絡安全事件的響應措施，為事件發生時做好準備。

筆記

上述途徑、方法、工具和技術并不相互排斥，因此可以在系統生命周期的不同階段相互補充，或者對面臨的網絡安全風險、它們如何實現以及如何獲得不同的看法，將如何管理它們。