導(dǎo)言：作為寫作愛好者，不可錯過為您精心挑選的10篇信息安全風(fēng)險評估，它們將為您的寫作提供全新的視角，我們衷心期待您的閱讀，并希望這些內(nèi)容能為您提供靈感和參考。

篇1

信息產(chǎn)業(yè)的迅猛發(fā)展，使得信息化技術(shù)成為社會發(fā)展的必要組成部分，信息化技術(shù)為國民經(jīng)濟(jì)的發(fā)展注入了新鮮的活力，更加速了國名經(jīng)濟(jì)的發(fā)展和人民生活水平的提高。當(dāng)然，人們在享受信息技術(shù)帶來的巨大便利時，也面臨著各種信息安全問題帶來的威脅。這種信息安全事件帶來的影響是惡劣的，它將造成巨大的財產(chǎn)損失和信息系統(tǒng)的損害。因此，信息系統(tǒng)的安全問題不得不引起社會和民眾的關(guān)注，完善信息系統(tǒng)的安全性，加強信息安全的風(fēng)險評估成為亟待解決的問題。

 

1 信息安全風(fēng)險評估概述及必要性

 

1.1 信息安全風(fēng)險評估概述

 

首先，信息安全風(fēng)險，主要是指人為或自然的利用信息系統(tǒng)脆弱性操作威脅信息系統(tǒng)，以導(dǎo)致信息系統(tǒng)發(fā)生安全事件或造成一定消極影響的可能。而信息安全風(fēng)險評估簡單的理解，就是以減少信息安全風(fēng)險為目的通過科學(xué)處理信息系統(tǒng)的方法對信息系統(tǒng)的保密性、完整性進(jìn)行評估。信息安全風(fēng)險評估工作是一項保證信息系統(tǒng)相對安全的重要工作，必須科學(xué)的對信息系統(tǒng)的生命周期進(jìn)行評估，最大限度的保障網(wǎng)絡(luò)和信息的安全。

 

1.2 信息安全風(fēng)險評估的必要性

 

信息安全評估是為了更好的保障信息系統(tǒng)的安全，以確保對信息化技術(shù)的正常使用。信息安全風(fēng)險評估是信息系統(tǒng)安全管理的必要和關(guān)鍵的環(huán)節(jié)，因為信息系統(tǒng)的安全管理必須建立在科學(xué)的風(fēng)險評估基礎(chǔ)上，科學(xué)的風(fēng)險評估有利于正確判斷信息系統(tǒng)的安全風(fēng)險問題，提供風(fēng)險問題的及時解決方案。

 

2 信息安全風(fēng)險評估過程及方法

 

信息安全風(fēng)險的評估過程極其復(fù)雜和規(guī)范。為了加強我國信息安全風(fēng)險評估工作的開展，這里有必要對風(fēng)險評估的過程和方法給予提示和借鑒。風(fēng)險評估的過程要求完整而準(zhǔn)確。具體有如下步驟：

 

1)風(fēng)險評估的準(zhǔn)備工作，即要確定信息系統(tǒng)資產(chǎn)，包含范圍、價值、評估團(tuán)隊、評估依據(jù)和方法等方面。要明確好這些資產(chǎn)信息，做好識別。2)對資產(chǎn)的脆弱性及威脅的識別工作，這是由于信息系統(tǒng)存在脆弱性的特點，所以要周密分析信息系統(tǒng)的脆弱點，統(tǒng)計分析信息系統(tǒng)發(fā)生威脅事件的可能性以及可能造成的損失。3)安全風(fēng)險分析，這是較為重要的環(huán)節(jié)。主要是采用方法與工具確定威脅利用信息系統(tǒng)脆弱性導(dǎo)致安全事件發(fā)生的可能性，便于決策的提出。4)制定安全控制措施，主要有針對性的制定出控制威脅發(fā)生的措施，并確認(rèn)措施的有效性，最大限度的降低安全風(fēng)險，確保信息系統(tǒng)的安全。5)措施實施的階段，主要是在有效監(jiān)督下實施安全措施，并及時發(fā)現(xiàn)問題和改正。

 

對于信息安全風(fēng)險評估的方法，國內(nèi)外進(jìn)行了很多不同的方法嘗試。方法一般都遵循風(fēng)險評估的流程，只是在手段和計算方法上有差異，但是分別都有一定的評估效果。主要采用：定性評估、定量評估、以及定性與定量相結(jié)合的評估，最后的方法是一個互補的評估方式，能達(dá)到評估的最佳效果。

 

3 我國信息安全風(fēng)險評估發(fā)展現(xiàn)狀

 

較美國等西方國家關(guān)于信息安全系統(tǒng)風(fēng)險評估的發(fā)展歷史和技術(shù)研究，我國起步比較晚且落后于發(fā)達(dá)國家。但近年來，隨著社會各界對信息系統(tǒng)安全的重視，我國開始在信息系統(tǒng)安全管理工作上加大力度，并把信息系統(tǒng)的安全評估工作放在重要的位置，不斷創(chuàng)新研究，取得了高效成果。但是，就我國目前的信息安全風(fēng)險評估工作看來，還存在諸多問題。

 

1)我國部分企業(yè)、組織和部門對于信息系統(tǒng)安全風(fēng)險評估沒有引起絕對的重視，沒有大力普及風(fēng)險評估工作。由于領(lǐng)導(dǎo)者及員工的信息安全防范意識不強以及自身素質(zhì)水平的影響，導(dǎo)致對風(fēng)險評估的流程及必要性都不了解，就不太重視對企業(yè)信息系統(tǒng)的安全風(fēng)險評估工作。

 

2)我國缺乏信息系統(tǒng)安全風(fēng)險評估的規(guī)范化標(biāo)準(zhǔn)。我國目前的信息系統(tǒng)安全風(fēng)險評估工作的開展，大部分依靠參考國際標(biāo)準(zhǔn)提供服務(wù)，只注重效仿，而缺乏對我國信息系統(tǒng)安全風(fēng)險的實際狀況的研究，沒有針對性，得不到應(yīng)有的效果。

 

3)我國缺乏行之有效的理論和技術(shù)，也缺乏實踐的經(jīng)驗。由于科技水平的相對落后，對于信息系統(tǒng)的安全風(fēng)險評估缺乏合適的理論、方法、技術(shù)等。我國僅依靠深化研究IT技術(shù)共性風(fēng)險，而沒有針對性的行業(yè)信息個性風(fēng)險評估，這是沒有聯(lián)系實際的舉措，是不能真正將信息系統(tǒng)的安全風(fēng)險評估落實到位的。

 

4)在對信息系統(tǒng)安全風(fēng)險的額評估中角色的責(zé)任不明確。這應(yīng)該歸咎于領(lǐng)導(dǎo)的和員工的不符責(zé)任及素質(zhì)水平的落后。對風(fēng)險評估理論缺乏，那么就會導(dǎo)致參與評估工作領(lǐng)導(dǎo)和員工角色不明確，領(lǐng)導(dǎo)對評估工作的指導(dǎo)角色以及責(zé)任不明確，員工則對評估工作流程方法不理解，都大大降低了風(fēng)險評估的工作效率。

 

以上種種關(guān)于信息系統(tǒng)安全風(fēng)險評估的現(xiàn)狀問題反映出我國在對信息系統(tǒng)安全風(fēng)險評估的工作還缺乏很多理論和實踐的指導(dǎo)。我國的信息系統(tǒng)安全風(fēng)險評估工作的開展力度還遠(yuǎn)不夠，那些在信息系統(tǒng)安全風(fēng)險評估工作的成果還遠(yuǎn)遠(yuǎn)達(dá)不到評估工作的標(biāo)準(zhǔn)。

 

4 強化信息安全風(fēng)險評估的對策

 

4.1 加強對信息安全風(fēng)險評估的重視

 

信息化技術(shù)對于每一個企事業(yè)單位都是至關(guān)重要的，企業(yè)在對工作任務(wù)的執(zhí)行和管理中都必須用到信息化技術(shù)，因此，保證信息系統(tǒng)的安全性對于企業(yè)的發(fā)展至關(guān)重要。企業(yè)、組織和部門要加強對信息安全風(fēng)險評估的重視，強化風(fēng)險意識，將信息安全風(fēng)險評估作為一項長期的工作來開展。

 

4.2 完善我國信息系統(tǒng)安全風(fēng)險評估的規(guī)范化標(biāo)準(zhǔn)

 

上文中指出我國目前的信息系統(tǒng)安全風(fēng)險評估工作大部分依靠國際標(biāo)準(zhǔn)在進(jìn)行，國內(nèi)沒有一個統(tǒng)一的評估標(biāo)準(zhǔn)。因此，我國應(yīng)該根據(jù)企業(yè)各種標(biāo)準(zhǔn)的側(cè)重點，自主創(chuàng)新研究，創(chuàng)造出自己的標(biāo)準(zhǔn)技術(shù)體系，而不再一味的去效仿他國。只有這樣，我國的信息系統(tǒng)安全風(fēng)險評估才能得到迅猛的提高與發(fā)展，才能保證國家信息化的安全。

 

4.3 加強對評估專業(yè)人才的培養(yǎng)

 

信息化技術(shù)是一項非常專業(yè)的技術(shù)，只有擁有專業(yè)知識和技能的高科技人才才能控制和把握。信息安全風(fēng)險的評估工作上則更需要擁有專業(yè)技能和業(yè)務(wù)水平的人才，他們必須對信息化技術(shù)相當(dāng)了解和精通，對風(fēng)險評估的方法、手段、模型、流程必須熟練。因此，企事業(yè)單位要加強對專業(yè)人才的培養(yǎng)，定期進(jìn)行業(yè)務(wù)技能培訓(xùn)，鼓勵人才的自主學(xué)習(xí)，不斷提高自身的能力，為確保企業(yè)信息安全評估工作的高效發(fā)展及信息安全貢獻(xiàn)力量。

 

4.4 加強科技創(chuàng)新，增強評估的可操作性

 

我國的科技水平較西方國家有很大的差距，因此在對信息安全風(fēng)險的評估工作中，也存在理論和技術(shù)上的差距。我國應(yīng)該不斷的加強科研力度，在理論和技術(shù)上加以完善，在評估工具上改進(jìn)，以確保評估工作的高效開展。信息系統(tǒng)風(fēng)險評估是一個過程體系，必須抓好每一環(huán)節(jié)的技術(shù)性，在依據(jù)實際狀況下進(jìn)行風(fēng)險評估。

 

4.5 明確評估工作的職責(zé)劃分

 

信息安全風(fēng)險評估工作是復(fù)雜的，每一個流程都需要投入一定的人力、物力和財力。針對人力這一方面，企業(yè)單位應(yīng)該明確劃分評估工作人員的職責(zé)范圍，管理者要發(fā)揮好領(lǐng)導(dǎo)監(jiān)督作用，有效指導(dǎo)評估工作的開展，員工則有效發(fā)揮自身的作用和能力。進(jìn)而在每一環(huán)節(jié)工作人員共同協(xié)作下，完成評估工作的各項流程，并達(dá)到預(yù)期的成效。

 

5 結(jié)束語

 

篇2

關(guān)鍵詞：

信息安全；自評估；風(fēng)險評估；模型設(shè)計

企業(yè)信息安全風(fēng)險評估主要有2種模式，即他評估和自評估。相比較而言，自評估展現(xiàn)出越來越多的優(yōu)點，比如外部依賴性小、投入費用低、評估周期短、次生風(fēng)險低和可以提高內(nèi)部安全意識等。除此之外，信息安全風(fēng)險的動態(tài)化決定信息安全評估工作應(yīng)是長期持續(xù)的，大部分的內(nèi)部信息安全風(fēng)險評估內(nèi)容企業(yè)可采用自評估方式來完成。但信息安全風(fēng)險評估的專業(yè)性、技術(shù)性、標(biāo)準(zhǔn)性比較高，企業(yè)難以掌握復(fù)雜的評估技術(shù)和方法。本文以企業(yè)業(yè)務(wù)為出發(fā)點，對信息安全風(fēng)險評估基本模型進(jìn)行優(yōu)化，設(shè)計了一個更適用于企業(yè)依托自身力量來有效開展自評估的實施模型，以提高企業(yè)信息安全風(fēng)險防護(hù)能力。

1信息安全風(fēng)險評估基本模型

對風(fēng)險評估模型的研究一直是信息安全風(fēng)險評估領(lǐng)域的研究熱點之一。風(fēng)險評估基本模型是一種基于資產(chǎn)、威脅和脆弱性的信息安全風(fēng)險評估模型。其中，資產(chǎn)的評估主要是對資產(chǎn)進(jìn)行相對估價，估價準(zhǔn)則依賴于對其影響范圍的分析；威脅評估是對資產(chǎn)所受威脅發(fā)生可能性和威脅嚴(yán)重程度的評估；脆弱性評估是對資產(chǎn)脆弱程度的評估，也是對資產(chǎn)被威脅、利用成功的可能性的評估。信息安全風(fēng)險評估基本模型的評估過程就是對資產(chǎn)信息、威脅信息和脆弱性信息進(jìn)行綜合分析評估并且生成風(fēng)險信息的過程，包含確定評估范圍、資產(chǎn)識別階段、安全威脅/脆弱性評估、風(fēng)險分析和風(fēng)險管理等階段。基于信息安全風(fēng)險評估基本模型，很多學(xué)者從不同角度和目的做了優(yōu)化和完善。但是，信息安全風(fēng)險評估模型的研究還處于探索和完善階段，已有的研究存在一些缺陷，主要表現(xiàn)為以下3點：①缺乏對評估內(nèi)容的逐層細(xì)化，難以評價和量化各要素，可操作性比較差；②缺乏對風(fēng)險評估基本要素屬性的綜合思考，難以體現(xiàn)評估要素與企業(yè)業(yè)務(wù)的關(guān)系；③大部分模型比較復(fù)雜，評估方法和流程操作起來費時費力，企業(yè)難以采用。

2基于基本模型的企業(yè)信息安全自評估模型

針對信息安全風(fēng)險評估模型的不足，本文綜合考慮企業(yè)自身的業(yè)務(wù)和內(nèi)部約束條件，在基本模型和相關(guān)研究成果的基礎(chǔ)上，提出更加簡單、有效的企業(yè)信息安全風(fēng)險自評估模型。本文認(rèn)為，企業(yè)信息安全風(fēng)險自評估模型應(yīng)遵循自主、簡單、規(guī)范性、可行性和可擴(kuò)展性的原則，基本思路是從企業(yè)業(yè)務(wù)出發(fā)，多角度研究自評估模型中資產(chǎn)、威脅、脆弱性的關(guān)系和指標(biāo)，應(yīng)用相關(guān)統(tǒng)計分析方法統(tǒng)計，運用層次分析法（AHP）評價、量化相關(guān)要素和風(fēng)險，最終構(gòu)建一個科學(xué)、合理、可操作的企業(yè)自評估模型。在此過程中，需要解決3方面的問題：①明確評估的對象、內(nèi)容和流程；②構(gòu)建評價方法，統(tǒng)一評估和度量風(fēng)險基本要素；③統(tǒng)一不同層面、角度的評估結(jié)果。

2.1基于AHP的信息安全風(fēng)險要素度量方法

AHP（AnalyticHierarchyProcess，層次分析法）是一種定性分析與定量分析相結(jié)合的多目標(biāo)決策分析方法，其基本步驟是：①分析問題，建立遞階結(jié)構(gòu)（評價模型）；②構(gòu)造比較判斷矩陣；③層次單排序；④一致性檢驗；⑤層次總排序與一致性檢驗；⑥選擇最優(yōu)的解決方案。資產(chǎn)、威脅、脆弱性作為信息安全風(fēng)險自評估模型的3個基本要素，需要分別識別和分析，并提煉出各自的評價指標(biāo)。本文結(jié)合已有的理論和實踐成果，從自主性、簡單性、可行性和科學(xué)性原則出發(fā)，基于相關(guān)標(biāo)準(zhǔn)、企業(yè)環(huán)境和企業(yè)業(yè)務(wù)影響分析，提出信息資產(chǎn)的評價因素應(yīng)包含經(jīng)濟(jì)、名譽、法律法規(guī)、業(yè)務(wù)運營、社會秩序、商業(yè)利益和個人利益，等等，威脅可能性評價指標(biāo)應(yīng)包含威脅攻擊力、威脅動機、資產(chǎn)誘因和威脅頻率等，脆弱性嚴(yán)重程度賦值的評價因素應(yīng)包含可用性、機密性和完整性。根據(jù)資產(chǎn)受到損害時對其評價因素帶來的損失為資產(chǎn)價值賦值（比如從1～4取值），數(shù)值越大，表明資產(chǎn)價值越高。得到各評價因素的綜合分值后，分值最大的為該資產(chǎn)的價值，即資產(chǎn)價值為A＝max（i）。根據(jù)威脅評價指標(biāo)和脆弱性評價因素，利用AHP方法建立威脅、脆弱性評價體系，體系由目標(biāo)層、準(zhǔn)則層和指標(biāo)層（方案層）構(gòu)成。為了方便對不同威脅發(fā)生可能性概率、不同脆弱性的嚴(yán)重程度進(jìn)行類比、度量，使用統(tǒng)一的度量標(biāo)準(zhǔn)，采用相對等級的方式處理評價結(jié)果（比如從1～4取值），數(shù)值越大，威脅發(fā)生的可能性越高，帶來的損害越大。通過AHP用數(shù)量形式表達(dá)和處理個人主觀判斷結(jié)果，采用專家和團(tuán)隊評分進(jìn)一步比較各要素的重要性，并做一致性檢驗，最終確定各要素的值。

2.2企業(yè)信息安全自評估風(fēng)險計算

在對資產(chǎn)價值、威脅、脆弱性分析和量化后，還要確定各要素之間的組合方式和具體的計算方法。《信息安全風(fēng)險評估規(guī)范》（2007）對風(fēng)險值的計算提出了如下函數(shù)：風(fēng)險值＝R（A，T，V）＝R（L（T，V），F(xiàn)（Ia，Va））.（1）式（1）中：R為安全風(fēng)險計算函數(shù)；A為資產(chǎn)；T為威脅；V為脆弱性；L為威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件的可能性；F為安全事件發(fā)生后造成的損失；Ia為安全事件所作用的資產(chǎn)價值；Va為脆弱性嚴(yán)重程度。信息安全風(fēng)險值的計算方法主要有矩陣法、相乘法和預(yù)先價值矩陣查表法等，并且可以將多種方法結(jié)合使用。因為相乘法操作簡單，所以，在風(fēng)險分析中的應(yīng)用比較廣泛。該方法是一種定量的計算方法，主要思路是利用2個相關(guān)要素值的乘積計算出結(jié)果要素的值。按照簡單性、科學(xué)性原則，對于企業(yè)自評估，本文認(rèn)為，相乘法比較適合企業(yè)使用，但不限于該方法。根據(jù)相乘法，企業(yè)信息安全風(fēng)險值的計算過程是：①計算威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件的可能性，即L＝L（T，V）＝T×V；②計算安全事件發(fā)生后造成的損失，即F＝F（Ia，Va）＝Ia×Va；③計算風(fēng)險值，即R＝R（L，F(xiàn)）＝L×F.

2.3企業(yè)信息安全自評估模型和流程設(shè)計

企業(yè)信息安全風(fēng)險自評估的基本目的是依據(jù)企業(yè)自身業(yè)務(wù)，識別出信息系統(tǒng)中存在的主要安全風(fēng)險，并排列優(yōu)先級，為風(fēng)險信息計算提供數(shù)據(jù)支撐，進(jìn)而為提出風(fēng)險應(yīng)對措施提供建議?；谏鲜龇椒ǎ疚奶岢隽似髽I(yè)信息安全風(fēng)險自評估模型，如圖1所示。企業(yè)信息安全風(fēng)險自評估模型的實施分為范圍確定、資產(chǎn)識別與量化、威脅分析、脆弱性分析、風(fēng)險分析與計算、風(fēng)險應(yīng)對建議6個階段，每個階段的具體任務(wù)如圖2所示。本文提出的自評估模型綜合了企業(yè)自評估的約束條件、風(fēng)險評估的基本原理、關(guān)鍵環(huán)節(jié)與流程、基本要素度量等，具有以下5個特點：①模型提供了統(tǒng)一的資產(chǎn)、威脅、脆弱性3個基本要素的度量和評價方法，依據(jù)模型中的評價指標(biāo)可以進(jìn)行量化和排序。②模型將企業(yè)業(yè)務(wù)與風(fēng)險評估結(jié)合起來，體現(xiàn)了IT服務(wù)企業(yè)、服務(wù)業(yè)務(wù)的理念，在一定程度上反映出了信息安全風(fēng)險評估對業(yè)務(wù)的影響程度和對企業(yè)的價值。③模型滿足信息安全的動態(tài)性要求，適應(yīng)企業(yè)業(yè)務(wù)不斷發(fā)展和調(diào)整的需要。當(dāng)業(yè)務(wù)調(diào)整時，企業(yè)僅需分析業(yè)務(wù)信息流，識別出相關(guān)資產(chǎn)、威脅和脆弱性等。④模型滿足信息安全的持續(xù)性要求，企業(yè)可建立相關(guān)制度，將自評估設(shè)立為日常性工作。當(dāng)業(yè)務(wù)無法調(diào)整時，自評估活動僅需識別和分析新的脆弱性和威脅信息，從而節(jié)省大量資源。⑤模型具有較強的適應(yīng)性，適用于不同類型的企業(yè)，企業(yè)可根據(jù)實際情況裁減和優(yōu)化，根據(jù)各自的偏好選擇風(fēng)險計算方法。

篇3

一、引言

 

信息時代為國家和個人提供了全新的發(fā)展機遇和生活空間，但也帶來了新的安全威脅。信息安全的威脅可能來自內(nèi)部的破壞、外部的攻擊、內(nèi)外勾結(jié)的破壞和信息系統(tǒng)自身的意外事故等，因此我們應(yīng)按照風(fēng)險管理的思想，對可能的威脅和需要保護(hù)的信息資源進(jìn)行風(fēng)險分析，以便采取安全措施，妥善應(yīng)對可能發(fā)生的安全風(fēng)險。信息安全風(fēng)險評估是依據(jù)國家信息安全風(fēng)險評估有關(guān)管理要求和技術(shù)標(biāo)準(zhǔn)，對信息系統(tǒng)及由其存儲、處理和傳輸?shù)男畔⒌臋C密性、完整性和可用性等安全屬性進(jìn)行科學(xué)、公正的綜合評價的過程。根據(jù)ISO27001的管理思想，信息安全風(fēng)險評估在信息安全管理的PDCA環(huán)中是一個很重要的過程，如何處理信息安全風(fēng)險評估所產(chǎn)生的數(shù)據(jù)，是每一個信息安全管理者都非常迫切需要解決的一個問題。最好的解決方法是開發(fā)出一套實用性強、可操作性高的系統(tǒng)安全風(fēng)險評估管理工具。

 

二、風(fēng)險評估過程

 

信息安全風(fēng)險評估系統(tǒng)的設(shè)計是針對組織開展信息安全風(fēng)險評估的過程。這個過程包括對信息系統(tǒng)中的安全風(fēng)險識別、信息收集、評估和報告等。風(fēng)險評估的實施過程如下頁圖1。

 

1.評估前準(zhǔn)備。在風(fēng)險評估實施前，需要對以下工作進(jìn)行確定：確定風(fēng)險評估的目標(biāo)、確定風(fēng)險評估的范圍、組建風(fēng)險評估團(tuán)隊、進(jìn)行系統(tǒng)調(diào)研、確定評估依據(jù)和方法、制定評估計劃和評估方案、獲得最高管理者對工作的支持。

 

2.資產(chǎn)識別。資產(chǎn)識別過程分為資產(chǎn)分類和資產(chǎn)評價兩個階段。資產(chǎn)分類是將單位的信息資產(chǎn)分為實物資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)、人員資產(chǎn)、服務(wù)資產(chǎn)和無形資產(chǎn)六類資產(chǎn)進(jìn)行識別;資產(chǎn)評價是對資產(chǎn)的三個安全屬性保密性、可用性及完整性分別等級評價及賦值，經(jīng)綜合評定后，得出資產(chǎn)的價值。

 

3.威脅識別。威脅識別主要工作是評估者需要從每項識別出的資產(chǎn)出發(fā)，找到可能遭受的威脅。識別威脅之后，還需要確定威脅發(fā)生的可能性。

 

4.脆弱性識別。評估者需要從每項識別出的資產(chǎn)和對應(yīng)的威脅出發(fā)，找到可能被利用的脆弱性。識別脆弱性之后，還需要確定弱點可被利用的嚴(yán)重性。

 

5.已有安全措施確認(rèn)。在識別脆弱性的同時，評估人員將對已采取的安全措施的有效性進(jìn)行確認(rèn)，評估其是否真正地降低了系統(tǒng)的脆弱性，抵御了威脅。

 

6.風(fēng)險分析。風(fēng)險評估中完成資產(chǎn)賦值、威脅評估、脆弱性評估后，在考慮已有安全措施的情況下，利用恰當(dāng)?shù)姆椒ㄅc工具確定威脅利用資產(chǎn)脆弱性發(fā)生安全事件的可能性，并結(jié)合資產(chǎn)的安全屬性受到破壞后的影響得出信息資產(chǎn)的風(fēng)險。

 

三、系統(tǒng)設(shè)計

 

1.用角色設(shè)計。系統(tǒng)角色分為三種類型，各用戶在登錄后自動轉(zhuǎn)入各自的操作頁面。A.超級管理員：擁有系統(tǒng)所有權(quán)限;B.評估項目管理員：可以對所負(fù)責(zé)的評估項目進(jìn)行管理，對評估人員進(jìn)行分工和權(quán)限管理;C.評估人員：負(fù)責(zé)由項目管理員分配的測評工作，將評估數(shù)據(jù)導(dǎo)入系統(tǒng)。

 

2.系統(tǒng)模型。根據(jù)信息安全風(fēng)險評估管理的業(yè)務(wù)需求，我們構(gòu)建了以安全知識庫為支撐，以風(fēng)險評估流程為系統(tǒng)主要業(yè)務(wù)流，以受測業(yè)務(wù)系統(tǒng)及其相關(guān)信息資產(chǎn)的風(fēng)險評估要素為對象的信息安全風(fēng)險評估綜合管理系統(tǒng)模型，系統(tǒng)模型如圖2所示。

 

3.系統(tǒng)功能設(shè)計。信息安全風(fēng)險評估綜合管理系統(tǒng)的功能模塊包括：①風(fēng)險評估項目管理：評估項目管理模塊包括評估項目的建立、項目列表、項目設(shè)置等功能。主要輸入項：項目名稱、評估時間、評估對象等;主要輸出項：項目計劃書。②信息安全需求調(diào)研管理：該模塊用于用戶填寫安全調(diào)研問卷，為安全評估提供數(shù)據(jù)支持。主要輸入項：用戶ID、調(diào)查答案;主要輸出項：問卷標(biāo)題、調(diào)查題內(nèi)容。③資產(chǎn)識別。系統(tǒng)提供的資產(chǎn)識別，包括：硬件、軟件、數(shù)據(jù)等，根據(jù)業(yè)務(wù)系統(tǒng)對組織戰(zhàn)略的影響程度，對相關(guān)資產(chǎn)的重要性進(jìn)行評價;主要輸入項：評估對象(信息資產(chǎn))、賦值規(guī)則;主要輸出項：資產(chǎn)識別匯總表、資產(chǎn)識別報告。④威脅識別。威脅識別：系統(tǒng)提供多種網(wǎng)絡(luò)環(huán)境的威脅模板，支持和幫助用戶進(jìn)行威脅識別和分析，并提供資產(chǎn)、脆弱性、威脅自動關(guān)聯(lián)功能：主要輸入項：評估對象、賦值規(guī)則;主要輸出項：威脅識別匯總表、威脅識別報告。⑤脆弱性識別。脆弱性識別：系統(tǒng)可提供多種系統(tǒng)的脆弱性識別功能，包括：主機、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備等對象的脆弱性識別。系統(tǒng)支持常用漏洞掃描軟件掃描結(jié)果的導(dǎo)入，目前支持的掃描系統(tǒng)有：Nessus、NMap等，主機系統(tǒng)支持：Windows、Linux、Unix等，數(shù)據(jù)庫支持：MSSQL、Oracle等：主要輸入項：評估對象、漏洞掃描結(jié)果、賦值規(guī)則;主要輸出項：漏洞掃描報告、脆弱性識別匯總表、脆弱性識別報告。⑥安全措施識別。安全措施識別：系統(tǒng)提供基于技術(shù)、管理等方面的安全措施檢查功能，幫助用戶了解目前的安全狀況，找到安全管理問題，確定安全措施的有效性：主要輸出項：安全措施識別匯總表、安全措施識別報告。⑦風(fēng)險分析。系統(tǒng)通過資產(chǎn)評價、脆弱性評價、威脅評價、安全措施有效性評價、風(fēng)險分析等工作，可自動生成安全風(fēng)險評估分析報告。主要輸入項：評估對象、資產(chǎn)值、脆弱性值、威脅值、安全措施值、計算規(guī)則;主要輸出項：風(fēng)險計算匯總表、風(fēng)險分析報告。⑧評估結(jié)果管理。主要功能是對歷史記錄查詢與分析。匯總所有的安全評估結(jié)果進(jìn)行綜合分析，并生成各階段風(fēng)險評估工作報告，主要包括如下：《資產(chǎn)識別報告》、《漏洞掃描報告》、《威脅識別報告》、《脆弱性識別報告》、《控制措施識別報告》、《風(fēng)險分析報告》。并可對當(dāng)期風(fēng)險評估結(jié)果和原始數(shù)據(jù)進(jìn)行轉(zhuǎn)存或備份。在有需要時能調(diào)出評估歷史數(shù)據(jù)進(jìn)行查詢及風(fēng)險趨勢分析。⑨信息安全知識庫更新維護(hù)。信息安全知識庫的更新維護(hù)主要對象有：系統(tǒng)漏洞庫、安全威脅庫、安全脆弱點庫、控制措施庫。為避免造成數(shù)據(jù)的冗余，系統(tǒng)將在各評估項目中需要反復(fù)使用的數(shù)據(jù)歸入基礎(chǔ)數(shù)據(jù)庫進(jìn)行管理，在進(jìn)行評估活動時再從基礎(chǔ)庫提取有關(guān)數(shù)據(jù)，這樣也能減少重復(fù)的輸入工作。⑩數(shù)據(jù)接口。導(dǎo)入數(shù)據(jù)接口：資產(chǎn)庫、脆弱點庫、威脅庫、控制措施庫。支持以下常用的格式：如EXCEL文件等;常用的漏洞掃描工具：如綠盟、啟明星辰、NESSUS、NMAP等。

 

四、結(jié)束語

 

篇4

1.1定性分析方法

這是評估方法具有的一個明顯特點就是它的主觀性較強，在風(fēng)險評估人員主觀上對資產(chǎn)風(fēng)險因素所面臨的威脅以及漏洞等作出評估判斷的過程。它的結(jié)構(gòu)構(gòu)成包括故障樹分析法、事件樹分析法以及原因———后果法等。（1）故障樹分析法。這種分析方法的適用于對風(fēng)險事件的發(fā)生源之間關(guān)系以及它的深層次原因進(jìn)行探究的，它的主要目的是在發(fā)現(xiàn)信息故障后對信息安全所進(jìn)行的定性分析。從它的運行原理來看，它是把信息系統(tǒng)中發(fā)生的結(jié)果來作為首要解決的問題，分析總結(jié)出不愿發(fā)生事件的形成因素，從而確定出各個因素之間的邏輯關(guān)系。（2）事件樹分析方法。這種方法是在原有的信息系統(tǒng)風(fēng)險基礎(chǔ)上，來對這些信息安全風(fēng)險事件發(fā)生可能產(chǎn)生的風(fēng)險結(jié)果進(jìn)行詳細(xì)的分析探究，它的分析工作開展的一個顯著特點就是需要對序列組中可能發(fā)生的危險事故的結(jié)果進(jìn)行合理的列舉，需要注意的是這并代表是最后的結(jié)果，只是其中的一個環(huán)節(jié)，但是它的缺點就是不適于進(jìn)行大范圍的普適。（3）原因———后果分析方法。這種分析方法從運行原理的實質(zhì)上來看，它是對前兩種分析方法的一種融合，它是前兩種分析方法所具有顯著特點的結(jié)合，但是，這種方法也有應(yīng)用的缺點，就是它在大型的、復(fù)雜的信息系統(tǒng)中應(yīng)用并起不到應(yīng)有的效果。

1.2定量分析方法

這種分析方法是對定性方法的一種改進(jìn)，削弱了定性方法的主觀性，但是在一些大型復(fù)雜的信息系統(tǒng)中，就很可能造成一些定量數(shù)據(jù)難以獲得，需要浪費較多的時間成本，基于此，它的應(yīng)用最為廣泛的是定量的故障樹分析法和風(fēng)險評審技術(shù)兩種。

1.3定性分析和定量分析相結(jié)合的方法

這種兩相結(jié)合的方法在現(xiàn)代應(yīng)用領(lǐng)域中是最為常見的，也是最適合的形式，這兩種方法相結(jié)合的主要目的是為了有效的彌補定性分析法和定量分析法之間的缺陷，因此，它的綜合性就會相對強一些。這種分析模式，適用范圍最為廣泛的并且最為主流的是層次分析法。

2在業(yè)務(wù)流程基礎(chǔ)上的信息安全風(fēng)險評估方法

2.1信息資產(chǎn)的辨別

信息安全風(fēng)險評估主要是針對于信息和信息處理設(shè)備所受到的威脅、影響以及威脅事件發(fā)生后所帶來的損失而進(jìn)行的評估預(yù)測，那么所進(jìn)行評估的內(nèi)容主要涉及到四個要素，即資產(chǎn)、威脅、漏洞以及原有的安全措施。對于這四個要素之間的關(guān)系論述，它們是屬于相互關(guān)系、相互作用的因素，各自對系統(tǒng)風(fēng)險的影響各不相同，共同構(gòu)成復(fù)雜的風(fēng)險評估系統(tǒng)工程。我們在實際的風(fēng)險評估工作中，主要是對已經(jīng)存在的風(fēng)險提出一系列有效的安全防范措施，并依據(jù)風(fēng)險措施實行采取合理的控制措施，從而使風(fēng)險控制到最合理的范圍內(nèi)，那么這么講就可以把它的具體實施流程劃分為兩大部分，即對風(fēng)險的分析和對風(fēng)險的控制。

2.2業(yè)務(wù)流程的風(fēng)險模型分析

在業(yè)務(wù)開展的基本流程中，對于位置變動資產(chǎn)的識別可以在它的開始階段就進(jìn)行，這是對位置變動來說的，而對于位置固定的資產(chǎn)識別，就需要對每一個具體業(yè)務(wù)的節(jié)點進(jìn)行逐一開展。對于位置固定資產(chǎn)的識別來說，因為其自身需要有大量的人工操作，因此它的風(fēng)險一般是集中于業(yè)務(wù)節(jié)點環(huán)節(jié)上，并且各個節(jié)點上的風(fēng)險類別、發(fā)生方式、起源以及造成的后果影響都是不相同的。此外，由于這些風(fēng)險的產(chǎn)生是因為位置固定資產(chǎn)而引起的，因此，在業(yè)務(wù)流程的過程中一般只需要對位置固定資產(chǎn)的風(fēng)險采取相應(yīng)的控制措施就可以了，這樣也就確保了位置別動不會對資產(chǎn)的保密性、完整性以及可用性造成威脅。

篇5

信息安全風(fēng)險評估是進(jìn)行信息安全管理的重要依據(jù)，通過對信息系統(tǒng)進(jìn)行系統(tǒng)的風(fēng)險分析和評估，發(fā)現(xiàn)存在的安全問題并提出相應(yīng)的措施，這對于保護(hù)和管理信息系統(tǒng)至關(guān)重要。目前國內(nèi)外都高度重視信息安全風(fēng)險評估工作。美國政府2002年頒布《聯(lián)邦信息安全管理法》，對信息安全風(fēng)險評估提出了具體的要求；歐盟國家也把開展信息安全風(fēng)險評估作為提高信息安全保障水平的重要手段；2003年7月23日，國家信息中心組建成立“信息安全風(fēng)險評估課題組”，提出了我國開展信息安全風(fēng)險評估的對策和辦法。2004年，國務(wù)院信息辦研究制訂了《信息安全風(fēng)險評估指南》和《信息安全風(fēng)險管理指南》兩個風(fēng)險評估的標(biāo)準(zhǔn)；2006年又起草了《關(guān)于開展信息安全風(fēng)險評估工作的意見》[1]。這些工作都對信息安全人才的培養(yǎng)提出了更高的要求，同時也為《信息安全風(fēng)險評估》課程的開設(shè)和講授提供了必要的基礎(chǔ)和條件?！缎畔踩L(fēng)險評估》課程教學(xué)，是信息安全專業(yè)一門重要的專業(yè)課程，能全面培養(yǎng)學(xué)生綜合運用專業(yè)知識，評估并解決信息系統(tǒng)安全問題的能力，是培養(yǎng)符合國家和社會需要的信息安全專業(yè)人才的重要課程之一?！缎畔踩L(fēng)險評估》課程本身的理論性與實踐性都很強，課程發(fā)展十分迅速，涉及的學(xué)科范圍也較廣，傳統(tǒng)的教學(xué)的模式不能使該課程的特點很好地展示出來，無法適應(yīng)社會經(jīng)濟(jì)發(fā)展對信息安全從業(yè)人員的新要求，教學(xué)改革勢在必行。

一、現(xiàn)狀與存在的問題

信息安全風(fēng)險評估是從風(fēng)險管理角度，運用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的安全威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和整改措施。它涉及信息系統(tǒng)的社會行為、管理行為、物理行為、邏輯行為等的保密性、完整性和可用性檢測。風(fēng)險評估的結(jié)果可以作為信息安全風(fēng)險管理的指南，用來確定合適的管理方針和選擇相應(yīng)的控制措施來保護(hù)信息資產(chǎn)，全面提高信息安全保障能力[2]。自2001年信息安全專業(yè)建立以來，高校在制訂本科專業(yè)教學(xué)培養(yǎng)目標(biāo)和教學(xué)計劃時，側(cè)重于具體安全理論和技術(shù)的教學(xué)和講授，特別是重點強調(diào)了密碼學(xué)、防火墻、入侵檢測、網(wǎng)絡(luò)安全等安全理論與技術(shù)的傳授。從目前高校的教學(xué)內(nèi)容看，多數(shù)側(cè)重于對“信息風(fēng)險管理”、“風(fēng)險識別”、“風(fēng)險評估”和“風(fēng)險控制”等基本內(nèi)容的介紹上，而且教學(xué)課時數(shù)也較少，只有十個學(xué)時。當(dāng)前從《信息安全風(fēng)險評估》課程的教學(xué)情況來看，該課程在信息安全教育教學(xué)過程中地位有待提高，實踐教學(xué)的建設(shè)與研究迫切需要深化。

當(dāng)前該課程的教學(xué)實踐中普遍存在以下幾個方面的問題，嚴(yán)重制約了《信息安全風(fēng)險評估》課程教學(xué)質(zhì)量的提高：

1.本科教學(xué)大都以理論內(nèi)容為主體，實驗和課程設(shè)計的學(xué)時安排較少。一般高校的《信息安全風(fēng)險評估》課程主要以理論內(nèi)容的講授為主，實驗和課程設(shè)計的學(xué)時較少，實驗內(nèi)容也大多屬于驗證性質(zhì)，缺少具有研究和探索性質(zhì)的信息安全風(fēng)險評估實踐內(nèi)容和課程設(shè)計；

2.教學(xué)方法單一，缺乏激勵學(xué)生求知欲的教學(xué)方法和手段。當(dāng)前開設(shè)《信息安全風(fēng)險評估》課程的高校還較少，師資力量相對薄弱，教學(xué)經(jīng)驗也比較缺乏，仍以主要由教師講述的傳統(tǒng)教學(xué)方式為主，學(xué)生進(jìn)行具體實踐和操作的課時較少，缺乏創(chuàng)新性的教學(xué)和研究，基本沒有具有探索性和創(chuàng)新性特點的教學(xué)內(nèi)容，不利于發(fā)揮學(xué)生主觀能動性，提高其創(chuàng)新能力；

3.實驗環(huán)境無法滿足教學(xué)需求，缺乏專業(yè)的信息安全風(fēng)險評估師資。我國信息安全風(fēng)險評估的研究和教學(xué)工作起步晚，缺乏相關(guān)的實驗設(shè)備；而且受到資金和專業(yè)發(fā)展等多方面因素的制約，難以設(shè)立專門的信息安全風(fēng)險評估實驗室。此外，信息安全風(fēng)險評估是以計算機技術(shù)為核心，涉及管理科學(xué)、安全技術(shù)、通信和信息工程等多個學(xué)科，對于理論和實踐要求都很高。這就要求教師既要學(xué)習(xí)好各學(xué)科的基本知識，又要加強實踐訓(xùn)練。

二、教學(xué)改革與探索

高校計算機相關(guān)專業(yè)開設(shè)《信息安全風(fēng)險評估》課程，不是培養(yǎng)網(wǎng)絡(luò)信息安全方面的全才或戰(zhàn)略人才，而是培養(yǎng)在實際生活和工作中確實能解決某些具體安全問題的實用型人才。針對《信息安全風(fēng)險評估》課程的特點和教學(xué)中存在的不足，我們從以下幾個方面對該課程的教學(xué)改革進(jìn)行了探索：

1.重新確立課程培養(yǎng)目標(biāo)。①重點培養(yǎng)學(xué)生分析和評估信息安全問題的能力：《信息安全風(fēng)險評估》課程是一門理論性和實踐性緊密結(jié)合的課程，目前開設(shè)該課程的高校較少，各學(xué)校的教學(xué)內(nèi)容也多種多樣。該課程的教學(xué)目標(biāo)即要培養(yǎng)學(xué)生發(fā)現(xiàn)信息系統(tǒng)存在的安全風(fēng)險，同時也需要培養(yǎng)他們科學(xué)地提出解決安全隱患的方案及能力。如何提高學(xué)生分析和評估信息安全問題的能力是該課程教學(xué)的首要目標(biāo)。②培養(yǎng)學(xué)生實際操作的能力：信息安全風(fēng)險評估的關(guān)鍵是對信息系統(tǒng)的資產(chǎn)進(jìn)行分類，對其風(fēng)險的識別、估計和評價做出全面的、綜合的分析。這就要求學(xué)生熟練地掌握目標(biāo)對象的檢測和評估方法，包括使用各種自動化和半自動化的工具，可在模擬實驗里，通過不斷地訓(xùn)練實現(xiàn)。③培養(yǎng)學(xué)生繼續(xù)學(xué)習(xí)、勇于探索創(chuàng)新的能力：隨著信息化的不斷發(fā)展，信息系統(tǒng)所面臨的安全威脅急劇增加，為此各國政府都不斷提出和完善了各類信息安全測評標(biāo)準(zhǔn)。這就要求我們在教學(xué)中不斷地學(xué)習(xí)、理解和解釋最新的國際、國內(nèi)以及相關(guān)的行業(yè)標(biāo)準(zhǔn)，培養(yǎng)和提高學(xué)生繼續(xù)學(xué)習(xí)的能力。另外，《信息安全風(fēng)險評估》課程也要求通過課堂教學(xué)、課后練習(xí)、實驗驗證和考試、考查等教學(xué)環(huán)節(jié)培養(yǎng)學(xué)生獨力分析信息系統(tǒng)安全的能力，培養(yǎng)學(xué)生對信息安全風(fēng)險評估領(lǐng)域進(jìn)行探索和研究的興趣，最終使學(xué)生掌握信息安全風(fēng)險評估的知識和技能，能夠解決具體信息系統(tǒng)的安全問題。

2.增加信息安全風(fēng)險評估理論和相關(guān)標(biāo)準(zhǔn)的教學(xué)。信息安全測評標(biāo)準(zhǔn)和相關(guān)法律法規(guī)是進(jìn)行信息系統(tǒng)安全風(fēng)險評估的依據(jù)和保障。2006年由原國信辦《關(guān)于開展信息安全風(fēng)險評估工作的意見》（國信辦2006年5號文）；同時，隨著信息安全等級保護(hù)制度的推行，公安部會同有關(guān)部門出臺了一系列政策文件，主要包括：《關(guān)于信息安全等級保護(hù)工作的實施意見》、《信息安全等級保護(hù)管理辦法》等；國家信息安全標(biāo)準(zhǔn)化委員會頒發(fā)了《信息安全風(fēng)險評估規(guī)范》（GB/T 20984~2007）、《信息系統(tǒng)安全等級保護(hù)基本要求》（GB/T 22239-2008）等多個國家標(biāo)準(zhǔn)[3]。為了保證《信息安全風(fēng)險評估》課程目標(biāo)的實現(xiàn)，我們在教學(xué)過程中，增加了《GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》、《GB/Z24364-2009信息安全風(fēng)險管理指南》、《GB/T

22080-2008信息安全管理體系要求》、《GB/T22081-

2008信息安全管理實用規(guī)則》、《GB/T20269-2006信息系統(tǒng)安全管理要求》、《GB/T25063-2010?搖信息安全技術(shù)服務(wù)器安全測評要求》、《GB/T 20010-2005信息安全技術(shù)包過濾防火墻評估準(zhǔn)則》、《GB/T20011-2005信息安全技術(shù)路由器安全評估準(zhǔn)則》、《GA/T 672-2006信息安全技術(shù)終端計算機系統(tǒng)安全等級評估準(zhǔn)則》、《GA/T 712-2007信息安全技術(shù)應(yīng)用軟件系統(tǒng)安全等級保護(hù)通用測試指南》等相關(guān)評估標(biāo)準(zhǔn)和指南的學(xué)習(xí)，并編制相關(guān)的調(diào)查、檢查、測試表，重點強調(diào)對脆弱性檢測的理論依據(jù)的描述，檢測方法及其步驟的詳細(xì)記錄。

3.利用各種測評工具，提高學(xué)生實踐能力。在信息安全風(fēng)險評估過程中，資產(chǎn)賦值、威脅量化分析、安全模型的建立等環(huán)節(jié)的教學(xué)和實踐對教師和學(xué)生都提出了較高的專業(yè)課程要求。我們在《信息安全風(fēng)險評估》課程實踐中通過使用風(fēng)險評估工具，并對具體的信息系統(tǒng)進(jìn)行自動化或半自動化的分析，加深了學(xué)生信息安全風(fēng)險評估的理論知識理解，同時注重培養(yǎng)學(xué)生動手實踐能力和探索新知識的能力。我們增加了主動型風(fēng)險評估工具Tenable掃描門戶網(wǎng)站系統(tǒng)的實踐性教學(xué)內(nèi)容。通過評估，該系統(tǒng)的服務(wù)器存在感染病毒的癥狀，其原因是服務(wù)器存在特定漏洞。為此我們使用漏洞掃描器對該服務(wù)器進(jìn)行掃描，發(fā)現(xiàn)了“遠(yuǎn)程代碼被執(zhí)行”漏洞，而且該漏洞能被蠕蟲病毒利用，形成針對系統(tǒng)的攻擊。通過案例特征提供了的信息，培養(yǎng)學(xué)生使用測評工具對具體信息系統(tǒng)進(jìn)行安全風(fēng)險評估的能力，并進(jìn)一步使其認(rèn)識到主動型評估工具是信息安全風(fēng)險評估中快速了解目標(biāo)系統(tǒng)安全狀況不可或缺的重要手段。

筆者結(jié)合自己的教學(xué)實踐體會，論述了當(dāng)前《信息安全風(fēng)險評估》課程中存在的問題以及解決對策?！缎畔踩L(fēng)險評估》課程教學(xué)改革和建設(shè)是一個長期的、系統(tǒng)化的工程，需要不斷地根據(jù)信息系統(tǒng)在新環(huán)境下面臨的各種威脅，制定新的評估標(biāo)準(zhǔn)和評估方案，并使得學(xué)生在有限的時間和環(huán)境下掌握相應(yīng)的知識和技能，以滿足社會對信息安全人才的需求。

參考文獻(xiàn)：

[1]付沙.加強信息安全風(fēng)險評估工作的研究[J].微型電腦應(yīng)用，2010，26（8）：6-8.

[2]楊春暉，張昊，王勇.信息安全風(fēng)險評估及輔助工具應(yīng)用[J].信息安全與通信保密，2007，（12）：75-77.

篇6

信息安全風(fēng)險評估是從風(fēng)險管理角度出發(fā)，構(gòu)建風(fēng)險評估模型，建立風(fēng)險評估體系，運用風(fēng)險評估方法，系統(tǒng)地分析信息系統(tǒng)所面臨的風(fēng)險威脅及系統(tǒng)的脆弱性/漏洞，評估風(fēng)險發(fā)生帶來的危害程度，提出應(yīng)對風(fēng)險的安全控制措施，規(guī)避和控制信息安全風(fēng)險，降低風(fēng)險發(fā)生的概率，將風(fēng)險控制在可承受的范圍，為信息安全風(fēng)險評估提供科學(xué)依據(jù)。

1.2信息安全風(fēng)險評估的方法

隨著信息安全風(fēng)險評估研究工作的不斷深入，形成了多種不同的信息安全風(fēng)險評估方法，這些方法的出現(xiàn)大大縮短了信息安全風(fēng)險評估的時間，節(jié)省了大量的資源，提高了信息安全風(fēng)險評估的效率和準(zhǔn)確性，為防范信息安全中出現(xiàn)的風(fēng)險提供了理論依據(jù)[3]。目前，常用的信息安全風(fēng)險評估的方法有定量評估方法、定性評估方法和定性與定量相結(jié)合的綜合評估方法。其中，定量評估方法是根據(jù)信息系統(tǒng)中風(fēng)險相關(guān)數(shù)據(jù)，利用具體的評估算法計算出評估結(jié)果，并對結(jié)果進(jìn)行分析，它能夠直觀地反應(yīng)評估結(jié)果，更容易被人們接受。但是該方法主要依賴于數(shù)學(xué)模型來描述風(fēng)險，在量化的過程中將原本復(fù)雜的事物理想化，一般適用于風(fēng)險評估材料齊全且數(shù)學(xué)理論基礎(chǔ)較好的情況，常見的定量評估方法有Markov分析法、聚類分析方法、決策樹分析方法、風(fēng)險審計技術(shù)等。定性評估方法是評估者利用自己擁有的專業(yè)知識和積累的經(jīng)驗對信息系統(tǒng)存在的風(fēng)險進(jìn)行識別和評價，并提出應(yīng)對風(fēng)險的安全控制措施。它對評估者知識和經(jīng)驗的要求較高，一般適用于風(fēng)險評估數(shù)據(jù)不全或者數(shù)學(xué)理論基礎(chǔ)較為薄弱的情況，常見的定性評估方法有故障樹分析法（FTA）、故障模式影響及危害性分析方法（RMECA）、德爾菲法（Delphi）等。在風(fēng)險評估的實際過程中，采用較多的是定性與定量相結(jié)合的綜合風(fēng)險評估方法，該方法可以將復(fù)雜問題按照層次化結(jié)構(gòu)分解成多個簡單的問題進(jìn)行分析，大大節(jié)省了評估時間、人力和費用，提高了風(fēng)險評估的準(zhǔn)確性和效率，常見的定性與定量相結(jié)合的綜合評估方法有層次分析法。

1.3信息安全風(fēng)險評估的模型

[4]信息安全風(fēng)險評估模型是信息安全風(fēng)險評估的理論基礎(chǔ)，是提高信息安全風(fēng)險評估準(zhǔn)確性和效率的重要前提。信息安全風(fēng)險評估模型如圖1所示，造成信息安全風(fēng)險的主要因素有威脅、信息資產(chǎn)、信息系統(tǒng)的脆弱性及漏洞和未被控制的殘余風(fēng)險，信息系統(tǒng)的威脅越大、脆弱性越暴露、漏洞越多、信息資產(chǎn)的價值越大、未被控制的風(fēng)險越多，則信息系統(tǒng)面臨的風(fēng)險也越多，風(fēng)險越多，信息系統(tǒng)的安全性越低。業(yè)務(wù)系統(tǒng)主要依賴于服務(wù)器和軟件等信息資產(chǎn)，業(yè)務(wù)系統(tǒng)越關(guān)鍵，對服務(wù)器等硬件和軟件資源的要求就越高，被攻擊的價值也就越大，面臨的風(fēng)險也就越大。資產(chǎn)的價值和防范風(fēng)險的意識會導(dǎo)出信息系統(tǒng)的安全需求。當(dāng)信息系統(tǒng)的安全需求被相應(yīng)的安全控制措施滿足時，就會降低發(fā)生風(fēng)險的概率。然而有些風(fēng)險由于成本過高、控制難度較大，往往不進(jìn)行控制，這部分不被控制的風(fēng)險具有潛在的威脅，應(yīng)該受到密切監(jiān)視，它可能會增加信息系統(tǒng)的風(fēng)險。

2高校信息安全面臨的風(fēng)險及應(yīng)對策略分析

隨著高校數(shù)字化校園建設(shè)和信息化建設(shè)的不斷推進(jìn)，高校業(yè)務(wù)處理對信息系統(tǒng)的依賴性越來越強。由于部分高校缺乏危機意識、防范風(fēng)險的制度和措施，沒有一套完善的信息系統(tǒng)風(fēng)險評估體系預(yù)防風(fēng)險，當(dāng)遇到信息安全的突發(fā)事件時，只能被動地采用“救火式”的方法處理風(fēng)險危機，使得信息系統(tǒng)面臨的風(fēng)險不斷增加。為了及時應(yīng)對信息系統(tǒng)面臨的各種風(fēng)險威脅，各個部門、各個環(huán)節(jié)應(yīng)密切配合、協(xié)調(diào)，對高校信息安全面臨的各種風(fēng)險及應(yīng)對策略應(yīng)進(jìn)行調(diào)研分析，建立信息安全的風(fēng)險評估體系，實現(xiàn)風(fēng)險評估的規(guī)范化和制度化，逐步形成監(jiān)控風(fēng)險和控制風(fēng)險的有效機制[5]。

2.1高校信息安全面臨的風(fēng)險分析

高校信息安全面臨的風(fēng)險一般可以分為技術(shù)脆弱性/漏洞風(fēng)險和非技術(shù)性風(fēng)險[6]。

2.1.1技術(shù)脆弱性/漏洞風(fēng)險

高校信息系統(tǒng)面臨的技術(shù)性/漏洞風(fēng)險主要包括數(shù)據(jù)存儲風(fēng)險、系統(tǒng)權(quán)限設(shè)置風(fēng)險、軟件編碼風(fēng)險、硬件設(shè)備風(fēng)險和網(wǎng)絡(luò)安全風(fēng)險等。其中數(shù)據(jù)存儲風(fēng)險主要體現(xiàn)在數(shù)據(jù)存儲空間不足、數(shù)據(jù)備份策略不健全、數(shù)據(jù)庫安全性低容易導(dǎo)致SQL注入篡改數(shù)據(jù)庫中的數(shù)據(jù)、數(shù)據(jù)不被加密在傳輸過程中容易被篡改或刪除、數(shù)據(jù)庫結(jié)構(gòu)不合理等方面；系統(tǒng)設(shè)置權(quán)限風(fēng)險主要體現(xiàn)在訪問控制策略失效、系統(tǒng)訪問權(quán)限過大、客戶身份認(rèn)證失敗等；軟件編碼風(fēng)險主要體現(xiàn)在操作失誤、系統(tǒng)漏洞、系統(tǒng)接口不安全、代碼健壯性差、系統(tǒng)運行環(huán)境改變等；硬件設(shè)備風(fēng)險主要體現(xiàn)在服務(wù)器配置過低、物理設(shè)備損壞、網(wǎng)絡(luò)帶寬不足、網(wǎng)絡(luò)硬件防護(hù)設(shè)備不齊全等；網(wǎng)絡(luò)安全風(fēng)險主要體現(xiàn)在網(wǎng)絡(luò)惡意攻擊使網(wǎng)絡(luò)癱瘓、服務(wù)劫持、拒絕服務(wù)、利用端口漏洞破壞系統(tǒng)、內(nèi)外網(wǎng)設(shè)置缺陷、網(wǎng)站掛馬、非法訪問系統(tǒng)、竊取和篡改網(wǎng)絡(luò)傳輸數(shù)據(jù)等。

2.1.2非技術(shù)性風(fēng)險

高校信息系統(tǒng)面臨的非技術(shù)性風(fēng)險主要包括人為疏忽行為、管理不到位、技術(shù)失效、蓄意行為和不可抗拒風(fēng)險等。其中人為疏忽行為主要體現(xiàn)在由于人為過失或非法操作導(dǎo)致服務(wù)器硬件損壞，系統(tǒng)和數(shù)據(jù)無法恢復(fù)等；管理不到位主要體現(xiàn)在沒有安裝殺毒軟件、沒有做系統(tǒng)備份策略和系統(tǒng)安全防護(hù)策略等；技術(shù)失效主要體現(xiàn)在硬件壽命設(shè)計缺陷、軟件服務(wù)到期、軟件后門等；蓄意行為主要體現(xiàn)在惡意軟件、系統(tǒng)設(shè)備帶木馬程序、蓄意泄漏機密文件、黑客與信息敲詐等；不可抗拒風(fēng)險主要體現(xiàn)為地震、雷擊等自然災(zāi)害造成的風(fēng)險。

2.2高校信息安全面臨的風(fēng)險應(yīng)對策略分析

在對信息安全進(jìn)行風(fēng)險評估時，可以根據(jù)風(fēng)險評估等級、風(fēng)險發(fā)生概率大小、風(fēng)險影響大小、控制風(fēng)險的難易程度和風(fēng)險管理的成本，給出處理與應(yīng)對風(fēng)險的相應(yīng)策略，供高校決策部門和相關(guān)技術(shù)部門參考，來降低風(fēng)險對信息系統(tǒng)的影響。高校應(yīng)對信息安全面臨風(fēng)險的應(yīng)對策略主要有風(fēng)險規(guī)避、風(fēng)險轉(zhuǎn)嫁、風(fēng)險預(yù)防、風(fēng)險控制、風(fēng)險承受和風(fēng)險追蹤等。其中風(fēng)險規(guī)避是高校在風(fēng)險發(fā)生之前，采取相關(guān)技術(shù)措施消除風(fēng)險因素，避免風(fēng)險發(fā)生；風(fēng)險轉(zhuǎn)嫁是高校不能完全避免風(fēng)險發(fā)生時，為了降低風(fēng)險造成的損失，將風(fēng)險轉(zhuǎn)嫁給其他組織或個人承擔(dān)，并支付風(fēng)險承擔(dān)者一定費用；風(fēng)險預(yù)防是高校在風(fēng)險發(fā)生之前密切監(jiān)視風(fēng)險的動態(tài)，采取相應(yīng)風(fēng)險防范措施，以降低風(fēng)險發(fā)生的概率；風(fēng)險控制是高校在風(fēng)險發(fā)生時采取各種技術(shù)手段降低風(fēng)險影響后果，縮小風(fēng)險影響范圍等；風(fēng)險承受是高校在綜合考慮控制風(fēng)險難度、控制風(fēng)險花費、風(fēng)險發(fā)生概率和高校風(fēng)險承受能力等情況下，選擇自行承擔(dān)風(fēng)險的方式；風(fēng)險追蹤是高校在發(fā)現(xiàn)風(fēng)險時，對風(fēng)險的來源及發(fā)起者進(jìn)行跟蹤，查到根源后追究其相應(yīng)責(zé)任，客觀上可以降低風(fēng)險發(fā)生的頻率。

3高校信息安全的風(fēng)險評估過程

[7]高校信息安全風(fēng)險評估過程包括風(fēng)險評估目標(biāo)確定、風(fēng)險識別、風(fēng)險評價、風(fēng)險控制策略選擇和風(fēng)險評估效果分析幾個環(huán)節(jié)，這些環(huán)節(jié)是相輔相成，缺一不可的。

3.1風(fēng)險評估目標(biāo)確定

風(fēng)險評估目標(biāo)是高校開展信息安全風(fēng)險評估的首要步驟。高校在對信息安全進(jìn)行風(fēng)險評估時，應(yīng)當(dāng)制定準(zhǔn)確的風(fēng)險評估目標(biāo)。風(fēng)險評估目標(biāo)主要包括風(fēng)險評價標(biāo)準(zhǔn)、風(fēng)險因素標(biāo)準(zhǔn)、風(fēng)險控制目標(biāo)、風(fēng)險控制費用標(biāo)準(zhǔn)、風(fēng)險防范措施制定、風(fēng)險評估效果評價、風(fēng)險發(fā)生后果影響等。

3.2風(fēng)險識別

風(fēng)險識別是高校信息安全風(fēng)險評估過程中最重要也最難的環(huán)節(jié)。風(fēng)險識別直接關(guān)系到風(fēng)險評價結(jié)果及風(fēng)險等級的確定，關(guān)系到風(fēng)險控制策略的選擇，如果不能正確識別風(fēng)險，就不能采取正確的風(fēng)險控制策略去規(guī)避和控制風(fēng)險，會大大增加風(fēng)險發(fā)生的可能性。3.3風(fēng)險評價風(fēng)險評價是高校信息安全風(fēng)險評估過程中的主要環(huán)節(jié)。它主要包括對風(fēng)險成因、發(fā)生概率、影響范圍、威脅程度、損失大小等因素進(jìn)行定性和定量分析，通過特定的風(fēng)險評估方法進(jìn)行測算分析，確定風(fēng)險的等級及危害程度。

3.險控制策略選擇

高校在綜合考慮風(fēng)險承受能力、風(fēng)險控制費用、風(fēng)險危害程度、風(fēng)險發(fā)生概率和風(fēng)險評估目標(biāo)等因素的基礎(chǔ)上，根據(jù)風(fēng)險評價結(jié)果，選取相應(yīng)的風(fēng)險控制策略，來降低風(fēng)險發(fā)生的概率及帶來的危害。

3.5風(fēng)險評估效果分析

風(fēng)險評估效果分析是高校結(jié)合自身的實際情況對風(fēng)險評估等級的判斷是否準(zhǔn)確、風(fēng)險識別的準(zhǔn)確性、風(fēng)險評估目標(biāo)是否達(dá)標(biāo)、風(fēng)險控制策略是否得當(dāng)、風(fēng)險評估過程的科學(xué)性、風(fēng)險評估數(shù)據(jù)和算法的合理性進(jìn)行綜合分析的過程。它對高校提高信息安全風(fēng)險評估的準(zhǔn)確性和科學(xué)性有一定的指導(dǎo)作用。

篇7

中圖分類號：TP393.08 文獻(xiàn)標(biāo)識碼：A 文章編號：1007—9599 （2012） 14—0000—02

一、引言

隨著信息技術(shù)的飛速發(fā)展，關(guān)系國計民生的關(guān)鍵信息資源的規(guī)模越來越大，信息系統(tǒng)的復(fù)雜程度越來越高，保障信息資源、信息系統(tǒng)的安全是國民經(jīng)濟(jì)發(fā)展和信息化建設(shè)的需要。信息安全的目標(biāo)主要體現(xiàn)在機密性、完整性、可用性等方面。風(fēng)險評估是安全建設(shè)的出發(fā)點，它的重要意義在于改變傳統(tǒng)的以技術(shù)驅(qū)動為導(dǎo)向的安全體系結(jié)構(gòu)設(shè)計及詳細(xì)安全方案的制定，以成本一效益平衡的原則，通過評估信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后安全事件發(fā)生的可能性，并結(jié)合資產(chǎn)的重要程度來識別信息系統(tǒng)的安全風(fēng)險。信息安全風(fēng)險評估就是從風(fēng)險管理角度，運用科學(xué)的分析方法和手段，系統(tǒng)地分析信息化業(yè)務(wù)和信息系統(tǒng)所面臨的人為和自然的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和整改措施，以防范和化解風(fēng)險，或者將殘余風(fēng)險控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)與信息安全。

二、網(wǎng)絡(luò)信息安全的內(nèi)容和主要因素分析

“網(wǎng)絡(luò)信息的安全”從狹義的字面上來講就是網(wǎng)絡(luò)上各種信息的安全，而從廣義的角度考慮，還包括整個網(wǎng)絡(luò)系統(tǒng)的硬件、軟件、數(shù)據(jù)以及數(shù)據(jù)處理、存儲、傳輸?shù)仁褂眠^程的安全。

網(wǎng)絡(luò)信息安全具有如下5個特征：1.保密性。即信息不泄露給非授權(quán)的個人或?qū)嶓w。2.完整性。即信息未經(jīng)授權(quán)不能被修改、破壞。3.可用性。即能保證合法的用戶正常訪問相關(guān)的信息。4.可控性。即信息的內(nèi)容及傳播過程能夠被有效地合法控制。5.可審查性。即信息的使用過程都有相關(guān)的記錄可供事后查詢核對。網(wǎng)絡(luò)信息安全的研究內(nèi)容非常廣泛，根據(jù)不同的分類方法可以有多種不同的分類。研究內(nèi)容的廣泛性決定了實現(xiàn)網(wǎng)絡(luò)信息安全問題的復(fù)雜性。

而通過有效的網(wǎng)絡(luò)信息安全風(fēng)險因素分析，就能夠為此復(fù)雜問題的解決找到一個考慮問題的立足點，能夠?qū)?fù)雜的問題量化，同時，也為能通過其他方法如人工智能網(wǎng)絡(luò)方法解決問題提供依據(jù)和基礎(chǔ)。

網(wǎng)絡(luò)信息安全的風(fēng)險因素主要有以下6大類：1.自然界因素，如地震、火災(zāi)、風(fēng)災(zāi)、水災(zāi)、雷電等；2.社會因素，主要是人類社會的各種活動，如暴力、戰(zhàn)爭、盜竊等；3.網(wǎng)絡(luò)硬件的因素，如機房包括交換機、路由器、服務(wù)器等受電力、溫度、濕度、灰塵、電磁干擾等影響；4.軟件的因素，包括機房設(shè)備的管理軟件、機房服務(wù)器與用戶計算機的操作系統(tǒng)、各種服務(wù)器的數(shù)據(jù)庫配置的合理性以及其他各種應(yīng)用軟件如殺毒軟件、防火墻、工具軟件等；5.人為的因素，主要包括網(wǎng)絡(luò)信息使用者和參與者的各種行為帶來的影響因素，如操作失誤、數(shù)據(jù)泄露、惡意代碼、拒絕服務(wù)、騙取口令、木馬攻擊等；6.其他因素，包括政府職能部門的監(jiān)管因素、有關(guān)部門對相關(guān)法律法規(guī)立法因素、教育部門對相關(guān)知識的培訓(xùn)因素、宣傳部門對相關(guān)安全內(nèi)容的宣傳因素等。這些因素對于網(wǎng)絡(luò)信息安全均會產(chǎn)生直接或者間接的影響。

三、安全風(fēng)險評估方法

（一）定制個性化的評估方法

雖然已經(jīng)有許多標(biāo)準(zhǔn)評估方法和流程，但在實踐過程中，不應(yīng)只是這些方法的套用和拷貝，而是以他們作為參考，根據(jù)企業(yè)的特點及安全風(fēng)險評估的能力，進(jìn)行“基因”重組，定制個性化的評估方法，使得評估服務(wù)具有可裁剪性和靈活性。評估種類一般有整體評估、IT安全評估、滲透測試、邊界評估、網(wǎng)絡(luò)結(jié)構(gòu)評估、脆弱性掃描、策略評估、應(yīng)用風(fēng)險評估等。

（二）安全整體框架的設(shè)計

風(fēng)險評估的目的，不僅在于明確風(fēng)險，更重要的是為管理風(fēng)險提供基礎(chǔ)和依據(jù)。作為評估直接輸出，用于進(jìn)行風(fēng)險管理的安全整體框架。但是由于不同企業(yè)環(huán)境差異、需求差異，加上在操作層面可參考的模板很少，使得整體框架應(yīng)用較少。但是，企業(yè)至少應(yīng)該完成近期1～2年內(nèi)框架，這樣才能做到有律可依。

（三）多用戶決策評估

不同層面的用戶能看到不同的問題，要全面了解風(fēng)險，必須進(jìn)行多用戶溝通評估。將評估過程作為多用戶“決策”過程，對于了解風(fēng)險、理解風(fēng)險、管理風(fēng)險、落實行動，具有極大的意義。事實證明，多用戶參與的效果非常明顯。多用戶“決策”評估，也需要一個具體的流程和方法。

（四）敏感性分析

由于企業(yè)的系統(tǒng)越發(fā)復(fù)雜且互相關(guān)聯(lián)，使得風(fēng)險越來越隱蔽。要提高評估效果，必須進(jìn)行深入關(guān)聯(lián)分析，比如對一個老漏洞，不是簡單地分析它的影響和解決措施，而是要推斷出可能相關(guān)的其他技術(shù)和管理漏洞，找出病“根”，開出有效的“處方”。這需要強大的評估經(jīng)驗知識庫支撐，同時要求評估者具有敏銳的分析能力。

（五）集中化決策管理

安全風(fēng)險評估需要具有多種知識和能力的人參與，對這些能力和知識的管理，有助于提高評估的效果。集中化決策管理，是評估項目成功的保障條件之一，它不僅是項目管理問題，而且是知識、能力等“基因”的組合運用。必須選用具有特殊技能的人，去執(zhí)行相應(yīng)的關(guān)鍵任務(wù)。如控制臺審計和滲透性測試，由不具備攻防經(jīng)驗和知識的人執(zhí)行，就達(dá)不到任何效果。

（六）評估結(jié)果管理

安全風(fēng)險評估的輸出，不應(yīng)是文檔的堆砌，而是一套能夠進(jìn)行記錄、管理的系統(tǒng)。它可能不是一個完整的風(fēng)險管理系統(tǒng)，但至少是一個非常重要的可管理的風(fēng)險表述系統(tǒng)。企業(yè)需要這樣的評估管理系統(tǒng)，使用它來指導(dǎo)評估過程，管理評估結(jié)果，以便在管理層面提高評估效果。

四、風(fēng)險評估的過程

（一）前期準(zhǔn)備階段

主要任務(wù)是明確評估目標(biāo)，確定評估所涉及的業(yè)務(wù)范圍，簽署相關(guān)合同及協(xié)議，接收被評估對象已存在的相關(guān)資料。展開對被評估對象的調(diào)查研究工作。

（二）中期現(xiàn)場階段

編寫測評方案，準(zhǔn)備現(xiàn)場測試表、管理問卷，展開現(xiàn)場階段的測試和調(diào)查研究階段。

（三）后期評估階段

撰寫系統(tǒng)測試報告。進(jìn)行補充調(diào)查研究，評估組依據(jù)系統(tǒng)測試報告和補充調(diào)研結(jié)果形成最終的系統(tǒng)風(fēng)險評估報告。

五、風(fēng)險評估的錯誤理解

1.不能把最終的系統(tǒng)風(fēng)險評估報告認(rèn)為是結(jié)果唯一。

2.不能認(rèn)為風(fēng)險評估可以發(fā)現(xiàn)所有的安全問題。

3.不能認(rèn)為風(fēng)險評估可以一勞永逸的解決安全問題。

4.不能認(rèn)為風(fēng)險評估就是漏洞掃描。

5.不能認(rèn)為風(fēng)險評估就是 IT部門的工作，與其它部門無關(guān)。

6.不能認(rèn)為風(fēng)險評估是對所有信息資產(chǎn)都進(jìn)行評估。

六、結(jié)語

總之，風(fēng)險評估可以明確信息系統(tǒng)的安全狀況和主要安全風(fēng)險。風(fēng)險評估是信息系統(tǒng)安全技術(shù)體系與管理體系建設(shè)的基礎(chǔ)。通過風(fēng)險評估及早發(fā)現(xiàn)安全隱患并采取相應(yīng)的加固方案是信息系統(tǒng)安全工程的重要組成部分，是建立信息系統(tǒng)安全體系的基礎(chǔ)和前提。加強信息安全風(fēng)險評估工作是當(dāng)前信息安全工作的客觀需要和緊迫需求，但是，信息安全評估工作的實施也存在一定的難題，涉及信息安全評估的行業(yè)或系統(tǒng)各不相同，并不是所有的評估方法都適用于任何一個行業(yè)，要選擇合適的評估方法，或開發(fā)適合于某一特定行業(yè)或系統(tǒng)的特定評估方法，是當(dāng)前很現(xiàn)實的問題，也會成為下一步研究的重點。

參考文獻(xiàn)：

[1]剛，吳昌倫.信息安全風(fēng)險評估的策劃[J].信息技術(shù)與標(biāo)準(zhǔn)化，2004，09

[2]賈穎禾.信息安全風(fēng)險評估[J].中國計算機用戶，2004，24

篇8

2.信息安全風(fēng)險評估方法

（1）安全風(fēng)險評估。為確定這種可能性，需分析系統(tǒng)的威脅以及由此表現(xiàn)出的脆弱性。影響是按照系統(tǒng)在單位任務(wù)實施中的重要程度來確定的。風(fēng)險評估以現(xiàn)實系統(tǒng)安全為目的，按照科學(xué)的程序和方法，對系統(tǒng)中的危險要素進(jìn)行充分的定性、定量分析，并作出綜合評價，以便針對存在的問題，根據(jù)當(dāng)前科學(xué)技術(shù)和經(jīng)濟(jì)條件，提出有效的安全措施，消除危險或?qū)⑽ｋU降到最低程度。即：風(fēng)險評估是對系統(tǒng)存在的固有和潛在危險及風(fēng)險性進(jìn)行定性和定量分析，得出系統(tǒng)發(fā)送危險的可能性和程度評價，以尋求最低的事故率、最少的損失和最優(yōu)的安全投資效益。（2）風(fēng)險評估的主要內(nèi)容。①技術(shù)層面。評估和分析網(wǎng)絡(luò)和主機上存在的安全技術(shù)風(fēng)險，包括物理環(huán)境、網(wǎng)絡(luò)設(shè)備、主機系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)等軟、硬件設(shè)備。②管理層面。從本單位的工作性質(zhì)、人員組成、組織結(jié)構(gòu)、管理制度、網(wǎng)絡(luò)系統(tǒng)運行保障措施及其他運行管理規(guī)范等角度，分析業(yè)務(wù)運作和管理方面存在的安全缺陷。（3）風(fēng)險評估方法。①技術(shù)評估和整體評估。技術(shù)評估是指對組織的技術(shù)基礎(chǔ)結(jié)構(gòu)和程序系統(tǒng)、及時地檢查，包括對組織內(nèi)部計算環(huán)境的安全性及對內(nèi)外攻擊脆弱性的完整性攻擊。整體風(fēng)險評估擴(kuò)展了上述技術(shù)評估的范圍，著眼于分析組織內(nèi)部與安全相關(guān)的風(fēng)險，包括內(nèi)部和外部的風(fēng)險源、技術(shù)基礎(chǔ)和組織結(jié)構(gòu)以及基于電子的和基于人的風(fēng)險。②定性評估和定量評估。定性分析方法是使用最廣泛的風(fēng)險分析方法。根據(jù)組織本身歷史事件的統(tǒng)計記錄等方法確定資產(chǎn)的價值權(quán)重，威脅發(fā)生的可能性以及如將其賦值為“極低、低、中、高、極高”。③基于知識的評估和基于模型的評估?；谥R的風(fēng)險評估方法主要依靠經(jīng)驗進(jìn)行。經(jīng)驗從安全專家處獲取并憑此來解決相似場景的風(fēng)險評估問題。該方法的優(yōu)越性在于能直接提供推薦的保護(hù)措施、結(jié)構(gòu)框架和實施計劃。（4）信息安全風(fēng)險的計算。①計算安全事件發(fā)生的可能性。根據(jù)威脅出現(xiàn)頻率及弱點的狀況，計算威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性。具體評估中，應(yīng)綜合攻擊者技術(shù)能力、脆弱性被利用的難易程度、資產(chǎn)吸引力等因素判斷安全事件發(fā)生的可能性。②計算安全事件發(fā)生后的損失。根據(jù)資產(chǎn)價值及脆弱性的嚴(yán)重程度，計算安全事件一旦發(fā)生后的損失。部分安全事件損失的發(fā)生不僅針對該資產(chǎn)本身，還可能影響業(yè)務(wù)的連續(xù)性；不同安全事件的發(fā)生對組織造成的影響也不一樣。③計算風(fēng)險值。根據(jù)計算出的安全事件發(fā)生的可能性以及安全事件的損失計算風(fēng)險值。

3.風(fēng)險評估模型選擇

參考多個國際風(fēng)險評估標(biāo)準(zhǔn)，建立了由安全風(fēng)險管理流程模型、安全風(fēng)險關(guān)系模型和安全風(fēng)險計算模型共同組成的安全風(fēng)險模型（見圖1）。（1）安全風(fēng)險管理過程模型。①風(fēng)險評估過程。信息安全評估包括技術(shù)評估和管理評估。②安全風(fēng)險報告。提交安全風(fēng)險報告，獲知安全風(fēng)險狀況是安全評估的主要目標(biāo)。③風(fēng)險評估管理系統(tǒng)。根據(jù)單位安全風(fēng)險分析與風(fēng)險評估的結(jié)果，建立本單位的風(fēng)險管理系統(tǒng)，將風(fēng)險評估結(jié)果入庫保存，為安全管理和問題追蹤提供數(shù)據(jù)基礎(chǔ)。④安全需求分析。根據(jù)本單位安全風(fēng)險評估報告，確定有效安全需求。⑤安全建議。依據(jù)風(fēng)險評估結(jié)果，提出相關(guān)建議，協(xié)助構(gòu)建本單位安全體系結(jié)構(gòu)，結(jié)合組織本地、遠(yuǎn)程網(wǎng)絡(luò)架構(gòu)，為制定完整動態(tài)的安全解決方案提供參考。⑥風(fēng)險控制。根據(jù)安全風(fēng)險報告，結(jié)合單位特點，針對面對的安全風(fēng)險，分析將面對的安全影響，提供相應(yīng)的風(fēng)險控制建議。⑦監(jiān)控審核。風(fēng)險管理過程中每一個步驟都需要進(jìn)行監(jiān)控和審核程序，保證整個評估過程規(guī)范、安全、可信。⑧溝通、咨詢與文檔管理。整個風(fēng)險管理過程的溝通、咨詢是保證風(fēng)險評估項目成功實施的關(guān)鍵因素。（2）安全風(fēng)險關(guān)系模型。安全風(fēng)險關(guān)系模型以風(fēng)險為中心，形象地描述了面臨的風(fēng)險、弱點、威脅及其相應(yīng)的資產(chǎn)價值、防護(hù)需求、保護(hù)措施等動態(tài)循環(huán)的復(fù)雜關(guān)系。（3）安全風(fēng)險計算模型。安全風(fēng)險計算模型中詳細(xì)、具體地提供了風(fēng)險計算的方法，通過威脅級別、威脅發(fā)生的概率及風(fēng)險評估矩陣得出安全風(fēng)險。

篇9

2信息安全風(fēng)險評估項目的過程管理

可以從五個方面解釋信息安全風(fēng)險評估項目的生命周期，即數(shù)據(jù)收集、計劃準(zhǔn)備、數(shù)據(jù)分析、項目驗收、報告撰寫，其中一三五是風(fēng)險評估的主要實施階段。

2.1計劃準(zhǔn)備階段

（1）制定項目章程。在信息安全風(fēng)險評估項目中，應(yīng)盡早確認(rèn)并任命項目經(jīng)理，最好在制定項目章程時就任命。項目經(jīng)理的職責(zé)首先就在于應(yīng)該參與制定項目章程，而該章程則具有授權(quán)的作用，即它能夠使得經(jīng)理能夠運用組織資源來進(jìn)行項目的實施。顯而易見，項目經(jīng)理是被授權(quán)的一方，必然不能成為授權(quán)項目運行有效的一方。授權(quán)項目啟動的人一般而言能夠提供實施項目所需要的資金等資源，他們能夠參與章程的編制。

（2）確定風(fēng)險評估范圍。確定風(fēng)險評估范圍即要了解什么方面或者對象具有風(fēng)險爆發(fā)的可能，例如公司的服務(wù)器數(shù)目、電腦操作系統(tǒng)的安全性和穩(wěn)定性、應(yīng)用的防火墻種類和數(shù)目等，甚至一些人為的因素也是重要的參考。

（3）明確風(fēng)險評估成果。在信息安全風(fēng)險評估項目中，應(yīng)該在項目開始之前，與客戶將項目提交的成果及要求確定下來。明確風(fēng)險評估成果之后，在項目執(zhí)行過程中，該目標(biāo)也應(yīng)該作為項目驗收的標(biāo)準(zhǔn)。

（4）制定項目實施方案。項目實施方案是項目活動實施的具體流程，主要用來為項目實施提供技術(shù)指導(dǎo)。

（5）制定項目管理計劃。如果想要計劃實施過程一切順利，或者說對定義等計劃行動的過程需要記錄的話，就會需要制定一個項目管理計劃。項目管理計劃需要通過不斷更新來漸進(jìn)明細(xì)。項目管理計劃不能冗余，相反應(yīng)該極其精煉，但是精煉并不意味著簡單，相反項目管理計劃應(yīng)詳細(xì)論述和解釋完成這個項目所需要的一些條件。

（6）組建項目團(tuán)隊。一個優(yōu)秀的項目團(tuán)隊是完成項目所必不可少的，是一種必須的人力資源。在項目開始時，一般而言，由項目經(jīng)理來決定優(yōu)秀團(tuán)隊的組成，并且在組建團(tuán)隊時應(yīng)該注意談判技巧。

（7）召開項目啟動會。項目啟動會代表著一個項目從此開始了正式的運作，是一個項目的啟動階段，在項目啟動會上需要完成的任務(wù)包括分析評估完成項目所需要的方法和成本等問題。

（8）風(fēng)險評估培訓(xùn)。風(fēng)險評估培訓(xùn)是對項目團(tuán)隊成員及客戶的項目參與者就風(fēng)險評估方法、評估過程的相關(guān)細(xì)節(jié)性進(jìn)行培訓(xùn)，以便項目能順利實施。

2.2數(shù)據(jù)收集階段

主要包括收集資料、現(xiàn)場技術(shù)評估、現(xiàn)場管理評估三項任務(wù)。

（1）收集資料。數(shù)據(jù)收集階段最開始的步驟肯定是收集資料，簡而言之，收集資料就是采取一切可行的方法，盡可能詳細(xì)地獲得和項目相關(guān)的一些信息，例如客戶的行為習(xí)慣、客戶業(yè)務(wù)相關(guān)的文檔，甚至信息安全系統(tǒng)、信息化流程等信息都要盡量詳細(xì)化。

（2）現(xiàn)場技術(shù)評估?，F(xiàn)場技術(shù)評估就是通過漏洞掃描、問卷調(diào)查、現(xiàn)場訪談、主機配置審計、現(xiàn)場勘查等手段對評估對象進(jìn)行評估。

（3）現(xiàn)場管理評估。現(xiàn)場管理評估是最后一個步驟，但是卻非常重要，它不僅關(guān)系著此次項目運行成功與否，還關(guān)系到以后項目效率的改進(jìn)，現(xiàn)場評估需要對項目進(jìn)展的流程進(jìn)行綜合分析，找出不足之處，尋出與優(yōu)秀的項目管理之間的差距，歸納總結(jié)，從而完善管理程序。

2.3數(shù)據(jù)分析階段

收集數(shù)據(jù)階段已經(jīng)收集了很多的數(shù)據(jù)存量，想要發(fā)現(xiàn)數(shù)據(jù)的內(nèi)在規(guī)律，從而發(fā)現(xiàn)有用的東西，就必須對數(shù)據(jù)進(jìn)行詳細(xì)分析，只有仔細(xì)分析數(shù)據(jù)，才能夠發(fā)現(xiàn)項目的風(fēng)險所在，從而確定風(fēng)險的大小，找出其資產(chǎn)、弱點、風(fēng)險。

2.4報告撰寫階段

對收集到的數(shù)據(jù)進(jìn)行了詳細(xì)分析，得到初步的結(jié)論以后，就到了報告撰寫階段，即在數(shù)據(jù)分析的基礎(chǔ)上，制作一份報告，論述項目的風(fēng)險問題。

（1）撰寫風(fēng)險評估報告。風(fēng)險評估報告應(yīng)該將風(fēng)險分析的結(jié)果直觀地、形象地表達(dá)出來，讓管理層清楚地了解當(dāng)前信息系統(tǒng)存在的風(fēng)險。

（2）撰寫整改報告。整改報告則是根據(jù)風(fēng)險評估的結(jié)果，提出對風(fēng)險進(jìn)行管理與控制的過程。可分為安全加固建議、安全體系結(jié)構(gòu)建議、安全管理建議三種。

2.5項目驗收階段

在完成了以上的步驟以后，理論上就可以對項目進(jìn)行驗收了，項目驗收即對前期風(fēng)險評估成果的檢驗，一般包括三項內(nèi)容，即報告的評審、組織會議討論驗收事宜以及內(nèi)部項目總結(jié)。

（1）報告評審報告評審就是對風(fēng)險評估報告及整改報告進(jìn)行評審。

（2）召開項目驗收會即對項目的成果進(jìn)行匯報。

（3）內(nèi)部項目總結(jié)不僅僅是單純的對項目實施過程的一次簡單的回顧，還是一個經(jīng)驗總結(jié)的過程，回顧過去，把握現(xiàn)在，爭取在以后的項目中不再犯同樣的錯誤。

3信息安全風(fēng)險評估項目的重點領(lǐng)域管理

信息安全問題影響深遠(yuǎn)，其風(fēng)險評估應(yīng)根據(jù)項目的特點及具體過程，且應(yīng)在評估中重點加強溝通、范圍、時間、成本、風(fēng)險、人力資源等幾個領(lǐng)域的管理。

3.1項目溝通管理

為了達(dá)到項目目標(biāo)，項目經(jīng)理首先必須通過溝通談判從本公司獲得相應(yīng)的人力資源等支持；其次，為了獲得客戶的支持與配合，提高項目滿意度，項目經(jīng)理必須與客戶進(jìn)行有效溝通。項目的最終目標(biāo)是滿足或者超過干系人的需求與期望。要滿足或者超過干系人的需求與期望，首先應(yīng)該識別干系人，識別他們的需求與期望，制定溝通計劃，在項目實施過程中管理干系人的需求與期望。

（1）識別干系人。很顯然，與項目的相關(guān)程度不同，不同的人對項目信息安全風(fēng)險具有不同的影響，作為客戶方與項目實施方，其公司企業(yè)的信息安全風(fēng)險是不一樣的，一般而言客戶方具有最大的影響力，公司方則次之，干系人對項目的態(tài)度也是影響項目信息安全風(fēng)險的重要因素，態(tài)度一般分為無關(guān)、支持和反對三個。

（2）了解干系人的需求與期望。應(yīng)該在充分了解項目背景的基礎(chǔ)上，運用一定的方法與技巧了解干系人的需求與期望。①了解項目背景?？梢宰稍兪矍邦檰?、銷售人員或者查閱招標(biāo)時的招標(biāo)書，甚至可以通過互聯(lián)網(wǎng)獲得相關(guān)信息。風(fēng)險評估項目的項目背景也是復(fù)雜的，一般而言會分成很多的情況，比較常見的有項目本身實施過程中出現(xiàn)的信息安全事件、監(jiān)管機制的不合理等。②了解干系人需求與期望的方法。馬期洛需求層次理論可以幫助我們了解干系人需求與期望。通過馬期洛需求層次理論可以大致了解干系人的需求，然后通過換位思考、溝通交流等手段，進(jìn)一步確認(rèn)干系人的需求與期望。

（3）制定溝通計劃。信息安全風(fēng)險評估項目需要溝通，所以需要制定一個有效的溝通計劃。信息安全風(fēng)險評估項目不能夠隨意地制定溝通計劃，而應(yīng)該詳細(xì)地分析相關(guān)的影響因素，重點關(guān)注利益相關(guān)者的溝通情況，從而降低影響，提高效率。

（4）管理干系人的需求與期望。干系人的期望與需求也應(yīng)該得到恰當(dāng)?shù)墓芾恚钪匾氖且鞔_期望與需求，進(jìn)行類別的劃分。可分為A、B、C三類：A類：必須做（need），這一類如不做，將難以通過驗收；B類：應(yīng)該做（want），這一類如不做，會影響驗收效果；C類：可以做（wish），這一類是可做可不做的，做了客戶會更加滿意，不做也不會影響驗收。其次，在管理干系人的需求與期望時，應(yīng)該遵循80/20規(guī)則，即完成20%的任務(wù)實現(xiàn)80%的價值，這部分任務(wù)必須作為重點。另外，可能還有20%的任務(wù)花費80%的成本，在資源及時間允許的情況下處理此類需求與期望。再次，在管理干系人的需求與期望時也可以根據(jù)干系人的職權(quán)（權(quán)力）進(jìn)行管理。①在第一象限中的干系人權(quán)力高，但對項目關(guān)注程度低，采用令其滿意的管理策略。②在第二象限中的干系人權(quán)力高，且對項目關(guān)注程度高，要對其重點管理，優(yōu)先滿足其需要與期望。③第三象限的人員對項目關(guān)注程度高，但權(quán)力較低，采用隨時告知的策略，盡量不要影響其個人利益。④第四象限的人權(quán)力低，且對項目不關(guān)注，要監(jiān)督他們對項目的反應(yīng)，不引起負(fù)面影響。最后，為了滿足干系人的需求與期望，需要在項目范圍、項目時間、項目成本、項目質(zhì)量之間做好平衡。

3.2項目范圍管理

范圍是一個空間的范疇，一個項目管理的范圍規(guī)定了一個項目的權(quán)限范圍，規(guī)定了項目可以做哪些事情，而哪些事情是不能做的，實際上是對必要工作的堅持和對不必要工作的摒棄。

（1）明確風(fēng)險評估范圍。項目計劃準(zhǔn)備時就要考慮風(fēng)險評估范圍，在這一階段就應(yīng)該定義項目范圍的廣泛性以及縱深等內(nèi)容，并且考慮客戶的需求，從而明確項目管理范圍。項目范圍的確定不是一方所能夠決定的，相反這是一個博弈的過程，應(yīng)該照顧各方的利益，制定出一個符合各方利益的項目管理范圍。

（2）明確風(fēng)險評估成果。應(yīng)該在項目開始之前，與客戶將項目提交的成果及要求確定下來。一是在項目執(zhí)行過程中，以此為目標(biāo)；二是設(shè)定一個驗收項目的標(biāo)準(zhǔn)。

（3）創(chuàng)建工作分解結(jié)構(gòu)。顧名思義，創(chuàng)建工作分解結(jié)構(gòu)即將解構(gòu)分解，即把項目的最后結(jié)果和其工作流程明細(xì)化，從而使得每一步變得簡單，更加容易操作。在信息安全風(fēng)險評估項目中，第一層一般就放置項目成果，而第二層則更加側(cè)重中間成果。顯而易見，分解工作結(jié)構(gòu)并不是一件簡單的事情，也不是只有一種方法，各層次都是可以相互變化的。

（4）風(fēng)險評估范圍控制。范圍是所有計劃的基礎(chǔ)。對待客戶提出范圍變更應(yīng)該遵循以下流程：首先不能明確拒絕，然后要分析客戶變更的原因及目的，快速反應(yīng)變更所需要的人工及預(yù)算對時間和質(zhì)量的影響，然后再做出決定。

（5）風(fēng)險評估成果核實。風(fēng)險評估成果核實過程應(yīng)該嚴(yán)謹(jǐn)而且細(xì)心，因為這是一個正式驗收項目的過程，需要由客戶和項目的執(zhí)行人一起認(rèn)真核實項目的最終結(jié)果。

（6）取得干系人對項目范圍正式認(rèn)可。它要求審查可交付成果和工作結(jié)果，以保證一切均已正確無誤且令人滿意地完成。

3.3項目時間管理

時間管理至關(guān)重要，因為優(yōu)秀的時間管理保證項目能夠不延期交付。

（1）定義活動。定義活動從字面上理解就是一個識別的過程，定義識別的是在項目的實施過程中需要采取的一切實施方法和步驟。它是在工作分解結(jié)構(gòu)的基礎(chǔ)上進(jìn)行細(xì)化而完成的。

（2）排列活動順序?；顒禹樞蛏婕暗降氖且粋€排列的問題，指的是一種依賴關(guān)系，即識別和記錄項目活動的依賴關(guān)系，是一種邏輯的過程。一般而言，這里所指的依賴關(guān)系指的是信息安全風(fēng)險評估項目中，各個活動之間所具有的特性，如強制性、選擇性和外部依賴性。確定完活動之間的依賴關(guān)系，就可以對他們進(jìn)行排序了，可以采用網(wǎng)絡(luò)圖的方法來表達(dá)他們之間的順序，常有三種關(guān)系，即完成-開始，開始-開始，結(jié)束-結(jié)束。

（3）估算活動持續(xù)時間。估算活動持續(xù)時間是一個時間上的范疇，指的是估計資源運用和消耗，以及估計完成一項活動所需工時的過程。需要根據(jù)活動的具體情況、負(fù)責(zé)活動的人員情況來進(jìn)行估算。估算不能隨意，應(yīng)該具有嚴(yán)格的依據(jù)。工時估算時，常采用三點估算法。即估算工時=（最樂觀時間+4×最可能時間+最悲觀時間）/6。①制定進(jìn)度計劃。制定進(jìn)度計劃首先需要對所掌握的信息進(jìn)行深入分析，從而確定活動的順序，并且在時間和空間上確定一個相對準(zhǔn)確的點，估算對資源的需求以及項目實施流程。制定一個有效的進(jìn)度計劃并不是件簡單的事情，而是極其復(fù)雜的過程，在這期間需要一遍又一遍分析，從而確定一個合適的時間跨度，并且對項目結(jié)果有一個合適的預(yù)期。即使制訂了進(jìn)度計劃，也不是一成不變的，而是要根據(jù)相關(guān)審查部門的意見適當(dāng)?shù)匦薷挠媱潱瑥亩沟糜媱澰跁r間和資源應(yīng)用上更加合理。只有審查通過以后，這個進(jìn)度計劃才可以說是確定下來了。信息安全風(fēng)險評估項目極其復(fù)雜，很多因素?zé)o論是內(nèi)部的還是外部的，都對項目有很大的影響，并且鑒于有限的項目組成員，所以需要采用一個更加合適的進(jìn)度計劃形式。②控制進(jìn)度?？刂七M(jìn)度的同時也是一個對項目監(jiān)督管理的過程，這一過程根據(jù)進(jìn)度計劃的基準(zhǔn)不斷地調(diào)整項目的進(jìn)程。進(jìn)度控制程序：一般分為四個步驟，即先要分析一個項目所散發(fā)的狀態(tài)信息；然后如果需要調(diào)整進(jìn)度，就要調(diào)整影響進(jìn)度的相關(guān)參數(shù)；再次分析以后，要確定一個項目是否在原定的軌道上；如果進(jìn)度脫離了軌道，就要進(jìn)行相應(yīng)的管理。

3.4項目成本管理

成本管理包括估算成本、制定預(yù)算、控制成本三項任務(wù)。

（1）估算成本。對成本的估算需要囊括整個項目的進(jìn)程，時間跨度和空間跨度上均要全面。成本估算是在某特定時點，根據(jù)已知信息所做出的成本預(yù)測。信息安全風(fēng)險評估項目的主要成本是人工成本及實施直接成本，因為人工成本占了所有成本的一大部分，所以精確地估算人工成本是成本估算最基礎(chǔ)的一面。估算人工成本有個前提，即進(jìn)度計劃是準(zhǔn)確的，從而對團(tuán)隊成員的人工估算做到精確。項目成本即使估算出來了，也不一定是準(zhǔn)確的，需要時時修正，因為越到了項目的后期，需要估計的越少，影響估算準(zhǔn)確性的因素也越少，所以成本估算需要不斷進(jìn)行。

（2）制定預(yù)算。制定預(yù)算也是一個估算的過程，是對一個項目的所有方面進(jìn)行一個全面的評估，從而為以后資金的撥付制訂了基礎(chǔ)和基準(zhǔn)。只有制定預(yù)算，才能夠根據(jù)預(yù)算的需求來劃撥資金，并且影響到了項目的實施全過程和成果評估部分。

（3）控制成本。成本的控制一般而言指的是成本不應(yīng)該超出預(yù)算，控制成本是一個動態(tài)的過程，是監(jiān)督項目狀態(tài)，從而獲得有用信息以更新項目預(yù)算。項目成本控制包括：找出影響項目成本的因素，并作相應(yīng)的修改；保證修改項目參數(shù)能夠成功；在修改成功以后，要隨時動態(tài)地監(jiān)督；控制成本，使得成本控制在預(yù)算的范圍之內(nèi)，甚至應(yīng)該精確到每一項開支；分析成本與預(yù)算成本基準(zhǔn)之間的差距；對照資金支出，監(jiān)督工作績效；嚴(yán)格禁止不相關(guān)的支出，使得每一項成本都合情合理；向有關(guān)干系人匯報項目進(jìn)展和成本控制的工作；即使項目超支了，也要盡量減少成本。

3.5人力資源管理

人力資源管理在一個項目執(zhí)行時包括很多方面的內(nèi)容，例如管理組織一個實施團(tuán)隊、人員分工等。

（1）制定人力資源計劃。制定人力資源計劃是在項目實施之前對實施項目的團(tuán)隊、人員、職務(wù)、報酬等方面的規(guī)劃，并且對各個人和團(tuán)隊的責(zé)任進(jìn)行詳細(xì)劃分。人力資源計劃包含項目角色與職責(zé)記錄、分成的各個部門等。一些信息安全風(fēng)險評估項目執(zhí)行時間比較長，因此需要更加有效的團(tuán)隊，這就需要對人員進(jìn)行培訓(xùn)以及制定團(tuán)隊建設(shè)策略等。風(fēng)險評估項目的責(zé)任分配并不復(fù)雜，可采用責(zé)任分配矩陣（RAM），這個矩陣能夠顯示工作包或活動與項目團(tuán)隊成員之間的聯(lián)系。并且根據(jù)需求的不同，制定不同層次的矩陣。

（2）組建項目團(tuán)隊。組建項目團(tuán)隊實際上是對人力資源使用和分配的過程，需要了解人力資源的各種特性，從而組建最合適的管理團(tuán)隊，在組建團(tuán)隊時需要注意：項目經(jīng)理所要做的是積極地與人力資源人員進(jìn)行交流，充分掌握各方面的信息，從而獲得最合適和最有效率的人才。但是有時候項目經(jīng)理并不能總是如愿地獲得自己想要的人力資源，而是會受到如經(jīng)濟(jì)等其他項目對資源的占用等因素的影響，從而制約了項目的實施，作為替代，項目經(jīng)理可能不可避免地使用不合適的人力資源。

（3）管理項目團(tuán)隊。管理項目團(tuán)隊是選出來運營項目的人所組成的團(tuán)隊，他們具有多樣化的目標(biāo)，例如繼續(xù)學(xué)習(xí)，提高團(tuán)隊成員的專業(yè)技能，增強團(tuán)隊的執(zhí)行能力從而保證項目結(jié)果的按時交付；以最低的成本完成最高質(zhì)量的項目；按時完成項目，團(tuán)隊成員之間相互協(xié)作，增加團(tuán)隊效率，豐富團(tuán)隊成員的知識，增強其跨學(xué)科運作能力，提高團(tuán)隊的凝聚力，無論整體上還是個人上都有效率的提升等。項目經(jīng)理在期間應(yīng)該全權(quán)負(fù)責(zé)項目團(tuán)隊的管理運作，增加項目績效，在團(tuán)隊出現(xiàn)問題時，分析導(dǎo)致問題的原因，然后解決問題。團(tuán)隊建設(shè)一般要經(jīng)過5個階段：①形成階段，這個階段是團(tuán)隊形成的最初階段，團(tuán)隊成員只是互相認(rèn)識，并沒有相應(yīng)的合作。②震蕩階段，指的是團(tuán)隊已經(jīng)開始運作，但是成員之間需要磨合的階段。③規(guī)范階段，過了磨合期以后，團(tuán)隊成員彼此之間逐漸適應(yīng)了彼此的節(jié)奏，能夠進(jìn)行初步合作了，團(tuán)隊開始有成為一個有效整體的趨向。④成熟階段，這一階段團(tuán)隊成員之間已經(jīng)能夠精誠合作，互補余缺，相互學(xué)習(xí)，團(tuán)隊效率較高。⑤解散階段，即當(dāng)項目完成以后，各成員完成了職責(zé)，從而脫離團(tuán)隊。因為各種各樣的原因，例如缺乏充足的資金、進(jìn)度安排不合理、團(tuán)隊成員之間缺乏配合等，會造成項目環(huán)境的沖突。如果項目經(jīng)理能有效管理，則意見分歧能夠轉(zhuǎn)變?yōu)閳F(tuán)隊的多樣化管理，不僅能夠提高團(tuán)隊創(chuàng)造力還有利于做出更好的決策。如果管理不當(dāng)，團(tuán)隊之間的分歧沒有得到解決，就可能會加大團(tuán)隊成員之間的鴻溝，從而對項目的實施產(chǎn)生負(fù)面的影響。要建設(shè)高效的項目團(tuán)隊，項目經(jīng)理需要獲得高層管理者的支持，獲得團(tuán)隊成員的承諾，采用適當(dāng)?shù)莫剟詈驼J(rèn)可機制，創(chuàng)建團(tuán)隊認(rèn)同感，有效管理沖突，團(tuán)隊成員間增進(jìn)信任和開放式溝通，特別是要有良好的團(tuán)隊領(lǐng)導(dǎo)力。項目團(tuán)隊管理的一些工具與技術(shù)包括：①人際關(guān)系技能。通過了解項目團(tuán)隊成員的感情來預(yù)測其行動，了解其后顧之憂，并盡力幫助解決問題，項目管理團(tuán)隊可大大減少麻煩并促進(jìn)合作。②培訓(xùn)。旨在提高項目團(tuán)隊成員能力的全部活動，培訓(xùn)可以是正式或非正式的。應(yīng)該按人力資源計劃中的安排來實施預(yù)定的培訓(xùn)。③制定管理規(guī)范，對項目團(tuán)隊成員的可接受行為做出明確規(guī)定。盡早制定并遵守明確的規(guī)則，可減少誤解，提高生產(chǎn)力。規(guī)則一旦建立，全體項目團(tuán)隊成員都必須遵守。④認(rèn)可與獎勵。如果想要提高項目團(tuán)隊的效率，使得每個人更加盡心和更加富有責(zé)任感，就應(yīng)在團(tuán)隊建設(shè)過程中引進(jìn)相應(yīng)的激勵機制，在制定項目計劃時就應(yīng)該考慮到團(tuán)隊成員的獎懲問題。在管理項目團(tuán)隊的過程中，團(tuán)隊成員的獎勵不是隨意而發(fā)的，而是通過項目績效評價，以正式或非正式的方式做出獎勵決定。只有優(yōu)良行為才能得到獎勵。

3.6項目風(fēng)險管理

項目風(fēng)險管理旨在降低風(fēng)險，或者把風(fēng)險控制在可控范圍之內(nèi)。其目標(biāo)是盡力使得項目運行向著有利的方面轉(zhuǎn)化，對消極負(fù)面的一部分則注意防范。信息安全風(fēng)險評估項目不屬于特別大的項目，所以一般分為識別風(fēng)險、評價風(fēng)險、規(guī)劃風(fēng)險應(yīng)對、監(jiān)控風(fēng)險四個過程。

（1）識別風(fēng)險。識別風(fēng)險是風(fēng)險管理的前提，是一個信息處理的過程，在這個過程中判斷分析什么樣的風(fēng)險會影響項目?？刹捎煤藢Ρ淼姆绞竭M(jìn)行風(fēng)險識別。

（2）評價風(fēng)險。對于信息安全風(fēng)險評估項目，評價風(fēng)險只需要定性評價即可。實施定性風(fēng)險分析根據(jù)風(fēng)險發(fā)生的相對概率或可能性、風(fēng)險發(fā)生后對項目目標(biāo)的相應(yīng)影響以及其他因素來評估已識別風(fēng)險的優(yōu)先級。

（3）規(guī)劃風(fēng)險應(yīng)對。規(guī)劃風(fēng)險應(yīng)對是風(fēng)險管理最重要的步驟，其規(guī)劃的是項目的目標(biāo)及降低風(fēng)險的步驟。對于消極風(fēng)險，常有回避、轉(zhuǎn)移、減輕、接受四種方式；對于積極風(fēng)險，常有開拓、分享、提高、接受四種方式。

（4）監(jiān)控風(fēng)險。監(jiān)控風(fēng)險是風(fēng)險管理的最后一步，也是第一步，因為它是貫穿在整個項目之中，是一個制定風(fēng)險應(yīng)對計劃、監(jiān)控已知風(fēng)險、加強管理以解決風(fēng)險以及發(fā)現(xiàn)新風(fēng)險的過程。

篇10

中圖分類號:TP309文獻(xiàn)標(biāo)識碼:A 文章編號:1009-3044(2010)19-5129-03

The Research for Information Security Risk Assessment Based on AHP Method

ZENG Li-mei, JIANG Wen-hao

(School of Computer Science and Technology , Chongqing University of Posts and Telecommunications, Chongqing 400065, China)

Abstract: The risk assessment of information security evolves four fundamental elements included information capital, the fragility of information capital, the encountering threats and the possible risk in information capital. The key problem for risk assessment relies on the weight among risk factors. This issue takes an enterprise as an example, introduced a method called Analytic Hierarchy Process (AHP) to evaluate the risk of systems. The results show that this method can be applied well to information security risk assessment.

Key words: information security; information capital; risk assessment; Analytic Hierarchy Process (AHP)

計算機網(wǎng)絡(luò)技術(shù)在當(dāng)今社會迅猛發(fā)展并且得到廣泛應(yīng)用,使得各行各業(yè)對信息系統(tǒng)的依賴日益加深,信息技術(shù)幾乎滲透到了社會生活的方方面面。信息系統(tǒng)及其所承載信息的安全問題日益突出,為了在安全風(fēng)險的預(yù)防、減少、轉(zhuǎn)移、補償和分散等之間做出決策,需要對網(wǎng)絡(luò)系統(tǒng)進(jìn)行信息安全風(fēng)險評估。

信息安全風(fēng)險評估,是指依據(jù)國家有關(guān)信息安全技術(shù)標(biāo)準(zhǔn),對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進(jìn)行科學(xué)評價的過程[1]。風(fēng)險評估是提高系統(tǒng)安全性的關(guān)鍵環(huán)節(jié),通過風(fēng)險評估,了解系統(tǒng)的安全狀況,將信息系統(tǒng)的風(fēng)險控制在可接受的范圍內(nèi)。

1信息系統(tǒng)安全風(fēng)險評估要素

1.1 風(fēng)險評估的各要素

信息系統(tǒng)安全風(fēng)險評估要素及其各要素間的關(guān)系如圖l所示。

圖1中,整個模型的核心是風(fēng)險,資產(chǎn)、脆弱性和威脅是風(fēng)險評估的基本要素。風(fēng)險評估的工作圍繞其基本要素展開 。

1.2 風(fēng)險評估各要素之間的關(guān)系

風(fēng)險評估基本要素之間存在以下關(guān)系:

資產(chǎn)是信息系統(tǒng)中需要保護(hù)的對象,資產(chǎn)完成業(yè)務(wù)戰(zhàn)略。單位的業(yè)務(wù)戰(zhàn)略越重要,對資產(chǎn)的依賴度越高,資產(chǎn)的價值就越大,資產(chǎn)的價值越大風(fēng)險則越大。

風(fēng)險是由威脅引起的,威脅越大風(fēng)險就越大,并很有可能演變成安全事件。

脆弱性是資產(chǎn)中的弱點。威脅利用脆弱性,脆弱性越大風(fēng)險就越大。

安全需求由資產(chǎn)的重要性和對風(fēng)險的意識導(dǎo)出。安全措施可以抗擊威脅,降低風(fēng)險,減弱安全事件的不良影響。

風(fēng)險不可能也沒有必要降為零,在實施了安全措施后還會有殘留下來的風(fēng)險,稱為殘余風(fēng)險。殘余風(fēng)險可以接受,但應(yīng)受到密切監(jiān)視,因為它可能會在將來誘發(fā)新的安全事件[2]。

2 風(fēng)險評估方法

目前國內(nèi)外存在很多風(fēng)險評估的方法,還沒有統(tǒng)一的信息安全風(fēng)險分析的方法。在風(fēng)險評估過程中根據(jù)系統(tǒng)的實際情況,選擇合適的風(fēng)險評估方法。風(fēng)險評估的方法概括起來可分為三大類:定性分析方法、定量分析方法、定性和定量相結(jié)合的分析方法。[3]

2.1定性分析方法

定性分析方法是一種典型的模糊分析方法,可以快捷的對資源、威脅、脆弱性進(jìn)行系統(tǒng)評估。典型的定性分析方法有邏輯分析法、因素分析法、德爾斐法、歷史比較法[4] 。

定性評估方法的優(yōu)點是全面、深入,缺點是主觀性太強,對評估者要求高。

2.2 定量分析方法

定量分析方法是在定性分析的邏輯基礎(chǔ)上,通過對風(fēng)險評估各要素的分析,為信息系統(tǒng)提供系統(tǒng)的分析手段。典型的定量分析方法有決策樹法、回歸模型、因子分析法。

定量分析方法的優(yōu)點是直觀、明顯、客觀、對比性強,缺點是簡單化、模糊化、會造成誤解和曲解。

2.3 定性和定量結(jié)合的綜合評估方法

定量分析是定性分析的基礎(chǔ)和前提,定性分析應(yīng)該建立在定量分析的基礎(chǔ)上才能揭示客觀事物的內(nèi)在規(guī)律。不能將定性分析方法與定量分析方割裂,而是將這兩種方法融合起來,發(fā)揮各自的優(yōu)勢,采用綜合分析評估方法。主要的綜合分析方法有模糊綜合評價方法、層次分析法、概率風(fēng)險評估等。[5]

3 AHP方法

3.1 層次分析法簡介

層次分析法(AHP)是美國運籌學(xué)家薩蒂(T.L.Saaty)于20世紀(jì)70年代初提出的一種定性與定量分析相結(jié)合的多準(zhǔn)則決策分析方法,該方法簡便、靈活又實用。

層次分析法的基本思想是在決策目標(biāo)的要求下,將決策對象相對于決策標(biāo)準(zhǔn)的優(yōu)劣狀況進(jìn)行兩兩比較,最終獲得各個對象的總體優(yōu)劣狀況,從而為決策者提供定量形式的決策依據(jù) [6] 。

3.2 系統(tǒng)分解,建立層次結(jié)構(gòu)模型

層次模型的構(gòu)造是運用分解法的思想,進(jìn)行對象的系統(tǒng)分解。它的基本層次包括目標(biāo)層、準(zhǔn)則層、方案層三類。目的是建立系統(tǒng)的評估指標(biāo)體系。層次結(jié)構(gòu)如圖2所示。

3.3 構(gòu)造判斷矩陣

判斷矩陣的作用是同層次的兩兩元素之間的相對重要性進(jìn)行比較。層次分析法采用1～9標(biāo)度方法,對不同情況的評比給出數(shù)量標(biāo)度,如表1所示。[7]

構(gòu)造判斷矩陣,判斷矩陣A=(aij)n×n有如下性質(zhì):①aij>0;②當(dāng)i≠j時,aji=1/aij;③當(dāng)i=j時,aij=1。aij為i與j兩因素相對權(quán)值的比值。

3.4 層次排序

步驟一:將A的每一列向量歸一化。

步驟二:對按列歸一化的判斷矩陣,再按行求和。

步驟三:將向量歸一化。

3.5 一致性檢驗

步驟一:計算判斷矩陣的最大特征根。

式中(AW)i表示AW的第i個元素。

步驟二:計算一致性指標(biāo)。

式中,λmax 表示比較判斷矩陣的最大特征根,n表示比較判斷矩陣階數(shù)。

步驟三:計算一致性比率。

當(dāng) CR

平均隨機一致性標(biāo)度如表2所示。

4.評估方法實際應(yīng)用

4.1 建立信息安全風(fēng)險評估模型

為了突出風(fēng)險評估的重點,對信息系統(tǒng)風(fēng)險的評價指標(biāo)進(jìn)行適當(dāng)?shù)暮喕?建立某企業(yè)信息安全風(fēng)險評估層次結(jié)構(gòu)模型,如圖3所示。

4.2 風(fēng)險評估結(jié)果

根據(jù)圖3各評估因素及其相互關(guān)系,建立兩兩比較判斷矩陣,如表3、表4、表5、表6所示,用AHP方法求解一致性比率CR,判斷矩陣是否具有滿意一致性。

表3G-C的判斷矩陣

表4C1-P的判斷矩陣 表5C2-P的判斷矩陣 表6C3-P的判斷矩陣

以上結(jié)果CR均小于0.1,表明比較判斷矩陣都滿足一致性檢驗標(biāo)準(zhǔn)。由以上結(jié)果求的最終的總層次排序結(jié)果如表7所示。

5 結(jié)束語

在信息系統(tǒng)風(fēng)險評估中,風(fēng)險評估方法一直都是研究的關(guān)鍵點。本文采用層次分析法對風(fēng)險評估的指標(biāo)進(jìn)行了分析,通過分析研究可得,層次分析法在風(fēng)險評估和等級劃分的實際應(yīng)用中是一種行之有效、可操作性強的方法,可以很好的應(yīng)用于信息安全風(fēng)險評估。

參考文獻(xiàn):

[1] GB/T 20984-2007,信息安全技術(shù)信息安全風(fēng)險評估規(guī)[S].中華人民共和國國家標(biāo)準(zhǔn),2007.

[2] 向宏,傅鵬,詹榜華.信息安全測評與風(fēng)險評估[M].北京:電子工業(yè)出版社,2009:319.

[3] 王偉,李春平,李建彬.信息系統(tǒng)風(fēng)險評估方法的研究[J].計算機工程與設(shè)計,2007,28(14):3473-3474.

[4] 范紅,馮登國,吳亞非.信息安全風(fēng)險評估方法與應(yīng)用[M].北京:清華大學(xué)出版社,2006:49-50.