六、安保策略
安保策略是定義系統(tǒng)、組織或其他實(shí)體安全意味著什么。對(duì)于一個(gè)組織，它要約束成員的行為，以及用機(jī)制約束黑客的入侵，諸如使用門、鎖、墻等設(shè)施。對(duì)于系統(tǒng)，安保策略要約束功能和數(shù)據(jù)流，約束外部系統(tǒng)和黑客的訪問，包括對(duì)人員或應(yīng)用程序和數(shù)據(jù)訪問。
安保策略由組織的高級(jí)管理層或選出的委員會(huì)來定義。安保策略可以由組織按要求對(duì)特定功能或系統(tǒng)進(jìn)行裁剪。安保項(xiàng)目應(yīng)該包括安保策略、標(biāo)準(zhǔn)、指南、基線、程序、安保基礎(chǔ)培訓(xùn)、事故響應(yīng)計(jì)劃和法規(guī)遵從。這些內(nèi)容在ISO/IEC 27000系列標(biāo)準(zhǔn)中描述，美國(guó)能源部提供了可以實(shí)施的細(xì)節(jié)。
七、危險(xiǎn)評(píng)估
危險(xiǎn)評(píng)估包括分析資產(chǎn)，確定信息和資產(chǎn)的價(jià)值, 確定漏洞和潛在危險(xiǎn)（威脅），威脅降低方法，決定可以接受、避免或轉(zhuǎn)移的危險(xiǎn)。這項(xiàng)行動(dòng)由危險(xiǎn)分析團(tuán)隊(duì)執(zhí)行。危險(xiǎn)評(píng)估過程包括執(zhí)行評(píng)估程序，分析及評(píng)定危險(xiǎn)結(jié)果。危險(xiǎn)評(píng)估應(yīng)用于信息、通信和電力。在這個(gè)周期，應(yīng)該確定關(guān)鍵資產(chǎn)。
危險(xiǎn)評(píng)估必須考慮對(duì)安保系統(tǒng)的影響。比如在一個(gè)系統(tǒng)中的危險(xiǎn)可能是：
?安全危險(xiǎn)可能導(dǎo)致生命損失，人員傷害，或環(huán)境破壞。
?任務(wù)危險(xiǎn)可能導(dǎo)致這個(gè)系統(tǒng)的癱瘓，諸如關(guān)鍵基礎(chǔ)設(shè)施或數(shù)據(jù)的損失。
?商業(yè)危險(xiǎn)可能導(dǎo)致重大經(jīng)濟(jì)損失，諸如商業(yè)或聲譽(yù)的損失。
?安保危險(xiǎn)可能導(dǎo)致敏感數(shù)據(jù)的損失。
八、建立危險(xiǎn)分析團(tuán)隊(duì)
危險(xiǎn)分析團(tuán)隊(duì)必須包括組織關(guān)鍵區(qū)域中的人員諸如管理人員，工程人員，安保專家，過程控制工程師，信息技術(shù)（IT）規(guī)劃師，應(yīng)用分析師，程序設(shè)計(jì)師。危險(xiǎn)分析團(tuán)隊(duì)成員必須是每個(gè)行業(yè)里的專家，了解過程、商業(yè)對(duì)象、工程原理、技術(shù)和法規(guī)。
九、信息和資產(chǎn)的價(jià)值
信息的價(jià)值決定了安保的方法。在評(píng)估信息的價(jià)值時(shí)，同樣的邏輯可用于資產(chǎn)，諸如設(shè)施，系統(tǒng)，服務(wù)，資源，供給和人員。為了評(píng)估什么是危險(xiǎn)，必須評(píng)估什么是財(cái)產(chǎn)。信息和資產(chǎn)都應(yīng)該有給予它數(shù)量和質(zhì)量的測(cè)量。
實(shí)際價(jià)值由它的獲得、開發(fā)和維護(hù)的成本所決定。對(duì)于所有者，授權(quán)用戶和非授權(quán)用戶的重要性決定了資產(chǎn)的價(jià)值。資產(chǎn)可以是有形的（計(jì)算機(jī)、設(shè)備、網(wǎng)絡(luò)、系統(tǒng)、設(shè)施、供給）或者是無形的（聲譽(yù)、數(shù)據(jù)、知識(shí)產(chǎn)權(quán)）。
十、確定威脅
威脅評(píng)估是一個(gè)非常具體的行為，在有些情況下，這是一項(xiàng)困難的任務(wù)。
威脅可以分成人為（有意或無意）和自然災(zāi)害。很多類型的威脅來源于多種漏洞，從而導(dǎo)致多種特定的威脅。一旦威脅是針對(duì)某種應(yīng)用、系統(tǒng)、業(yè)務(wù)單位或組織, 必須查清相關(guān)的漏洞，找到解決的辦法。
十一、確定漏洞
漏洞是一個(gè)用來攻擊的潛在通道，是連接內(nèi)部或外部代理，可能導(dǎo)致安保失效的系統(tǒng)屬性或環(huán)境。發(fā)現(xiàn)漏洞并不那么容易，需要一定的技能水平。當(dāng)發(fā)現(xiàn)特定的漏洞時(shí)，需要找出所有針對(duì)組織的進(jìn)入點(diǎn)，找出訪問信息（來自電子和物理）點(diǎn)，諸如：
- 因特網(wǎng)連接；
- 遠(yuǎn)程訪問點(diǎn)；
- 與其他組織的連接；
- 物理訪問設(shè)施；
- 用戶訪問點(diǎn)；
- 無線訪問點(diǎn)。
失效模式和影響分析是一種用于決定漏洞位置以及查出路徑的方法。這種方法支持決定功能、確定功能失效、評(píng)估失效原因和對(duì)結(jié)構(gòu)化過程的影響。這是一個(gè)系統(tǒng)工程方法，近來用于評(píng)估危險(xiǎn)管理的優(yōu)先級(jí)和減輕已知漏洞的威脅。
