介绍在网络安全中使用组件驱动的风险管理。

介绍

组件驱动的风险评估是网络安全行业中最成熟、最常见的评估类型。本节描述组件驱动技术的共同点、它们在哪些方面增加价值以及在哪些方面不增加价值。

• 一旦您了解了这些基础知识，您应该能够选择任何组件驱动的标准或框架（因为它们基于类似的风险视角）并了解它们与系统驱动的方法有何不同。
• 如果您尚未这样做，请在阅读本指南之前先阅读介绍组件和系统驱动风险评估的部分。
• 我们的基本风险评估方法提供了一种非常简单且基本的组件驱动方法。

范围和资产

毫不奇怪，组件驱动的风险评估主要集中在系统组件上。那么“组件”是什么意思呢？典型例子包括：

• 硬件（计算机、服务器）
• 软件（操作系统、应用程序）
• 网络组件
• 数据集
• 服务
• 个人身份信息 (PII)
• 业务关键信息
• 人们

对组件的关注要求您首先定义正在分析的函数（例如工资函数）。此功能称为评估的“范围”。然后，您需要说明在范围风险评估中正在考虑哪些组成部分，以及没有考虑哪些组成部分。这通常称为“资产清单”或“资产登记册”，但请确保您对资产的描述可用于涵盖仍然有价值的无形事物（例如组织的声誉或品牌）。资产不应仅仅狭隘地应用于描述物理组件。

您无法控制的组件（但您自己的系统依赖的组件）称为依赖项，并且可以包含在您的资产列表中，前提是这些依赖项如何影响您可以控制的组件。有时，范围最好以图表的形式呈现，它清楚地显示了哪些内容、哪些内容以及关键资产如何连接。下面显示了一个示例范围图，它将企业用户对基于云的应用程序的访问描述为某些风险分析的焦点，包括关键参与者和组件之间的连接，以及我们可能希望明确范围化的那些内容。

风险要素

一旦确定了范围，大多数组件驱动的方法都要求风险分析师评估风险的三个要素。这三个要素通常用术语“影响”、“脆弱性”和“威胁”来描述。

影响

影响是风险发生后的后果。这种影响有不同的描述方式，但网络安全领域中更常见的技术之一是评估对信息的机密性、 完整性和 可用性的影响 。例如，影响可能会被描述为客户数据集的机密性丧失或公司帐户的损坏（完整性丧失）。这些财产之一的损失可能与其他类型的后果有关，例如金钱损失、生命损失、项目延误或任何其他类型的不良结果。

值得注意的是，这是一种以信息为中心的思考风险和影响的方式，组织可能还有其他优先事项或他们关心的事情，也可能需要考虑有害影响。例如，提供在线支付服务的组织可能会担心欺诈的财务和声誉影响，或者类似地，向公众提供关键服务的组织可能会担心与其服务的安全性或可靠性相关的影响。与所有风险管理一样，重要的是不要受到任何单一观点的限制。

漏洞

漏洞是组件中的弱点，可能会有意或无意地造成影响。例如，漏洞可能是一个允许用户非法增加其用户帐户权限的软件，或者是业务流程中的弱点（例如在向某人颁发访问在线系统的凭据之前没有正确检查其身份）或服务）。无论所涉及的漏洞类型如何，它都可以被利用来造成影响。

威胁

正如网络风险威胁的基本原理和基础知识中所讨论的，网络风险威胁是在四个组成部分的背景下考虑的：

• 能力
• 意图
• 动机
• 机会

威胁是导致特定影响发生的个人、群体或情况。例如，这可能是：

• 单独的恶意黑客或国家资助的组织
• 犯了无心错误的员工
• 组织无法控制的情况（例如高影响天气，更准确地描述为“危险”）

评估威胁的目的是改进对给定风险发生可能性的评估。通常，在评估人类威胁行为者时，分析师会考虑可能想要伤害组织的人。然后，他们可以考虑这些群体的能力、意图、机会和动机。风险分析师使用威胁信息分类法、威胁信息知识库和分类方法来提供威胁能力的通用语言。

威胁评估的挑战之一是威胁的动机、能力、机会和意图可能会迅速变化，并且很难获得有关这些变化的可靠信息。因此，不要将威胁能力的评估视为静态的，而是寻找可用的最佳信息源，并确保您认识到威胁评估中的不确定性和可变性。威胁信息的良好来源可以通过信息共享伙伴关系（例如 CISP）、以部门或行业为重点的安全团体或国家当局（例如 NCSC 和国家保护安全局（以前称为 CPNI））。

评估威胁、脆弱性和影响的技术

有许多技术、方法和工具可以帮助您了解威胁、漏洞和影响。这些可能包括构建攻击树、进行威胁建模练习和场景规划。虽然我们建议这些技术可能对您有用，但可能还有其他技术同样有效。

应用和传达威胁、漏洞和影响

一旦评估了这些风险要素，下一步就是将这些要素结合起来，以确定哪些风险是最令人担忧的。这些方法可能会产生一长串潜在风险，但并非所有风险都可能发生。因此，请务必仔细考虑潜在威胁利用任何已识别漏洞的机会，以使此列表更有意义。一些技术通过将威胁、脆弱性和影响的评估结合到每个系统组件的单一风险测量中来实现这一点。在这种情况下，需要注意确保您了解每个单独的要素，以便您可以有效地管理由此产生的风险。

这并不像某些标准声称的那么简单。风险的三个组成部分彼此根本不同，需要注意明确定义每个组成部分的含义和特征，以便分析师和决策者能够理解。一些方法建议使用风险矩阵来组合这些元素，虽然风险矩阵使用起来既简单又快捷，但如果不小心使用，它们可能会给您的风险分析带来错误，从而可能误导或误导风险分析结果。

值得注意的是，一些组件驱动的方法以某种方式结合威胁和漏洞的分析来产生可能性值。然后将其与作为分析重点的系统组件（影响）价值的评估相结合，以给出风险评估值。如前所述，在这种情况下，重要的是，这种风险综合视图不会掩盖通过解决其一个或多个组成部分来管理风险的机会，例如采取措施减少影响、影响威胁行为者的机会或系统易受攻击的弱点。

优先考虑您的风险

一旦对各种威胁、漏洞和影响进行了评估并组合起来创建风险列表，就可以根据它们的关注程度对它们进行优先级排序。这使您可以首先管理最相关的风险。您可以通过多种方式传达风险的优先级。例如，您可以：

• 估计影响的经济损失（如果实现的话）
• 提供资产受到损害时需要发生的一系列事件的叙述

许多标准化组件驱动的风险管理技术使用定性标签来描述影响级别，通常带有“高”、“中”和“低”等标签。虽然这些标签相当直观，但研究表明，不同的人对这些标签的理解存在巨大差异。当考虑到缺乏一致性的理解时，应该非常谨慎地使用这些标签（以及类似的“红绿灯”方法）。您使用的技术应该适合风险评估的受众。它想要影响谁？您想告知什么决定？您从评估中提供的信息是否有助于或阻碍决策？

有些方法有一个现成的任务或目标列表，可用于减轻您已识别的风险。这些被称为“控制集”，您可以从中为每种风险选择最合适的缓解措施集。

常用的组件驱动的网络风险管理方法和框架

本节简要描述常用的组件驱动的网络风险管理方法和框架。单击相关超链接以获取有关每种方法/框架的更多详细信息。还有更多组件驱动的风险管理技术，此处未列出。此列表不包括系统驱动的方法。

选择适合您的技术

选择风险方法或框架时，您需要考虑：

• 使用该方法的总体成本（例如，购买工具、许可和专业知识）
• 项目范围；风险方法与正在评估的内容是否相称？
• 所需资源是否相称且可持续；需要哪些专业资源，您有吗？
• 您的主要合作伙伴（您必须定期与他们互动以管理共同风险）如何使用此方法？

常用组件驱动方法总结

笔记

我们故意不引用使用组件驱动方法（称为 IS1/2）的 CESG 风险管理方法。该标准已被 CESG 正式弃用，并且 NCSC 认为不再适合将其用作风险管理方法的一部分。组织应从静态认证和风险管理决策流程过渡到支持“设计安全”和持续保证的方法（例如上表中列出的方法，或本指南中提供的基本方法）。