導言：作為寫作愛好者，不可錯過為您精心挑選的10篇信息安全風險評估，它們將為您的寫作提供全新的視角，我們衷心期待您的閱讀，并希望這些內容能為您提供靈感和參考。

篇1

信息產業(yè)的迅猛發(fā)展，使得信息化技術成為社會發(fā)展的必要組成部分，信息化技術為國民經濟的發(fā)展注入了新鮮的活力，更加速了國名經濟的發(fā)展和人民生活水平的提高。當然，人們在享受信息技術帶來的巨大便利時，也面臨著各種信息安全問題帶來的威脅。這種信息安全事件帶來的影響是惡劣的，它將造成巨大的財產損失和信息系統(tǒng)的損害。因此，信息系統(tǒng)的安全問題不得不引起社會和民眾的關注，完善信息系統(tǒng)的安全性，加強信息安全的風險評估成為亟待解決的問題。

 

1 信息安全風險評估概述及必要性

 

1.1 信息安全風險評估概述

 

首先，信息安全風險，主要是指人為或自然的利用信息系統(tǒng)脆弱性操作威脅信息系統(tǒng)，以導致信息系統(tǒng)發(fā)生安全事件或造成一定消極影響的可能。而信息安全風險評估簡單的理解，就是以減少信息安全風險為目的通過科學處理信息系統(tǒng)的方法對信息系統(tǒng)的保密性、完整性進行評估。信息安全風險評估工作是一項保證信息系統(tǒng)相對安全的重要工作，必須科學的對信息系統(tǒng)的生命周期進行評估，最大限度的保障網絡和信息的安全。

 

1.2 信息安全風險評估的必要性

 

信息安全評估是為了更好的保障信息系統(tǒng)的安全，以確保對信息化技術的正常使用。信息安全風險評估是信息系統(tǒng)安全管理的必要和關鍵的環(huán)節(jié)，因為信息系統(tǒng)的安全管理必須建立在科學的風險評估基礎上，科學的風險評估有利于正確判斷信息系統(tǒng)的安全風險問題，提供風險問題的及時解決方案。

 

2 信息安全風險評估過程及方法

 

信息安全風險的評估過程極其復雜和規(guī)范。為了加強我國信息安全風險評估工作的開展，這里有必要對風險評估的過程和方法給予提示和借鑒。風險評估的過程要求完整而準確。具體有如下步驟：

 

1)風險評估的準備工作，即要確定信息系統(tǒng)資產，包含范圍、價值、評估團隊、評估依據(jù)和方法等方面。要明確好這些資產信息，做好識別。2)對資產的脆弱性及威脅的識別工作，這是由于信息系統(tǒng)存在脆弱性的特點，所以要周密分析信息系統(tǒng)的脆弱點，統(tǒng)計分析信息系統(tǒng)發(fā)生威脅事件的可能性以及可能造成的損失。3)安全風險分析，這是較為重要的環(huán)節(jié)。主要是采用方法與工具確定威脅利用信息系統(tǒng)脆弱性導致安全事件發(fā)生的可能性，便于決策的提出。4)制定安全控制措施，主要有針對性的制定出控制威脅發(fā)生的措施，并確認措施的有效性，最大限度的降低安全風險，確保信息系統(tǒng)的安全。5)措施實施的階段，主要是在有效監(jiān)督下實施安全措施，并及時發(fā)現(xiàn)問題和改正。

 

對于信息安全風險評估的方法，國內外進行了很多不同的方法嘗試。方法一般都遵循風險評估的流程，只是在手段和計算方法上有差異，但是分別都有一定的評估效果。主要采用：定性評估、定量評估、以及定性與定量相結合的評估，最后的方法是一個互補的評估方式，能達到評估的最佳效果。

 

3 我國信息安全風險評估發(fā)展現(xiàn)狀

 

較美國等西方國家關于信息安全系統(tǒng)風險評估的發(fā)展歷史和技術研究，我國起步比較晚且落后于發(fā)達國家。但近年來，隨著社會各界對信息系統(tǒng)安全的重視，我國開始在信息系統(tǒng)安全管理工作上加大力度，并把信息系統(tǒng)的安全評估工作放在重要的位置，不斷創(chuàng)新研究，取得了高效成果。但是，就我國目前的信息安全風險評估工作看來，還存在諸多問題。

 

1)我國部分企業(yè)、組織和部門對于信息系統(tǒng)安全風險評估沒有引起絕對的重視，沒有大力普及風險評估工作。由于領導者及員工的信息安全防范意識不強以及自身素質水平的影響，導致對風險評估的流程及必要性都不了解，就不太重視對企業(yè)信息系統(tǒng)的安全風險評估工作。

 

2)我國缺乏信息系統(tǒng)安全風險評估的規(guī)范化標準。我國目前的信息系統(tǒng)安全風險評估工作的開展，大部分依靠參考國際標準提供服務，只注重效仿，而缺乏對我國信息系統(tǒng)安全風險的實際狀況的研究，沒有針對性，得不到應有的效果。

 

3)我國缺乏行之有效的理論和技術，也缺乏實踐的經驗。由于科技水平的相對落后，對于信息系統(tǒng)的安全風險評估缺乏合適的理論、方法、技術等。我國僅依靠深化研究IT技術共性風險，而沒有針對性的行業(yè)信息個性風險評估，這是沒有聯(lián)系實際的舉措，是不能真正將信息系統(tǒng)的安全風險評估落實到位的。

 

4)在對信息系統(tǒng)安全風險的額評估中角色的責任不明確。這應該歸咎于領導的和員工的不符責任及素質水平的落后。對風險評估理論缺乏，那么就會導致參與評估工作領導和員工角色不明確，領導對評估工作的指導角色以及責任不明確，員工則對評估工作流程方法不理解，都大大降低了風險評估的工作效率。

 

以上種種關于信息系統(tǒng)安全風險評估的現(xiàn)狀問題反映出我國在對信息系統(tǒng)安全風險評估的工作還缺乏很多理論和實踐的指導。我國的信息系統(tǒng)安全風險評估工作的開展力度還遠不夠，那些在信息系統(tǒng)安全風險評估工作的成果還遠遠達不到評估工作的標準。

 

4 強化信息安全風險評估的對策

 

4.1 加強對信息安全風險評估的重視

 

信息化技術對于每一個企事業(yè)單位都是至關重要的，企業(yè)在對工作任務的執(zhí)行和管理中都必須用到信息化技術，因此，保證信息系統(tǒng)的安全性對于企業(yè)的發(fā)展至關重要。企業(yè)、組織和部門要加強對信息安全風險評估的重視，強化風險意識，將信息安全風險評估作為一項長期的工作來開展。

 

4.2 完善我國信息系統(tǒng)安全風險評估的規(guī)范化標準

 

上文中指出我國目前的信息系統(tǒng)安全風險評估工作大部分依靠國際標準在進行，國內沒有一個統(tǒng)一的評估標準。因此，我國應該根據(jù)企業(yè)各種標準的側重點，自主創(chuàng)新研究，創(chuàng)造出自己的標準技術體系，而不再一味的去效仿他國。只有這樣，我國的信息系統(tǒng)安全風險評估才能得到迅猛的提高與發(fā)展，才能保證國家信息化的安全。

 

4.3 加強對評估專業(yè)人才的培養(yǎng)

 

信息化技術是一項非常專業(yè)的技術，只有擁有專業(yè)知識和技能的高科技人才才能控制和把握。信息安全風險的評估工作上則更需要擁有專業(yè)技能和業(yè)務水平的人才，他們必須對信息化技術相當了解和精通，對風險評估的方法、手段、模型、流程必須熟練。因此，企事業(yè)單位要加強對專業(yè)人才的培養(yǎng)，定期進行業(yè)務技能培訓，鼓勵人才的自主學習，不斷提高自身的能力，為確保企業(yè)信息安全評估工作的高效發(fā)展及信息安全貢獻力量。

 

4.4 加強科技創(chuàng)新，增強評估的可操作性

 

我國的科技水平較西方國家有很大的差距，因此在對信息安全風險的評估工作中，也存在理論和技術上的差距。我國應該不斷的加強科研力度，在理論和技術上加以完善，在評估工具上改進，以確保評估工作的高效開展。信息系統(tǒng)風險評估是一個過程體系，必須抓好每一環(huán)節(jié)的技術性，在依據(jù)實際狀況下進行風險評估。

 

4.5 明確評估工作的職責劃分

 

信息安全風險評估工作是復雜的，每一個流程都需要投入一定的人力、物力和財力。針對人力這一方面，企業(yè)單位應該明確劃分評估工作人員的職責范圍，管理者要發(fā)揮好領導監(jiān)督作用，有效指導評估工作的開展，員工則有效發(fā)揮自身的作用和能力。進而在每一環(huán)節(jié)工作人員共同協(xié)作下，完成評估工作的各項流程，并達到預期的成效。

 

5 結束語

 

篇2

關鍵詞：

信息安全；自評估；風險評估；模型設計

企業(yè)信息安全風險評估主要有2種模式，即他評估和自評估。相比較而言，自評估展現(xiàn)出越來越多的優(yōu)點，比如外部依賴性小、投入費用低、評估周期短、次生風險低和可以提高內部安全意識等。除此之外，信息安全風險的動態(tài)化決定信息安全評估工作應是長期持續(xù)的，大部分的內部信息安全風險評估內容企業(yè)可采用自評估方式來完成。但信息安全風險評估的專業(yè)性、技術性、標準性比較高，企業(yè)難以掌握復雜的評估技術和方法。本文以企業(yè)業(yè)務為出發(fā)點，對信息安全風險評估基本模型進行優(yōu)化，設計了一個更適用于企業(yè)依托自身力量來有效開展自評估的實施模型，以提高企業(yè)信息安全風險防護能力。

1信息安全風險評估基本模型

對風險評估模型的研究一直是信息安全風險評估領域的研究熱點之一。風險評估基本模型是一種基于資產、威脅和脆弱性的信息安全風險評估模型。其中，資產的評估主要是對資產進行相對估價，估價準則依賴于對其影響范圍的分析；威脅評估是對資產所受威脅發(fā)生可能性和威脅嚴重程度的評估；脆弱性評估是對資產脆弱程度的評估，也是對資產被威脅、利用成功的可能性的評估。信息安全風險評估基本模型的評估過程就是對資產信息、威脅信息和脆弱性信息進行綜合分析評估并且生成風險信息的過程，包含確定評估范圍、資產識別階段、安全威脅/脆弱性評估、風險分析和風險管理等階段。基于信息安全風險評估基本模型，很多學者從不同角度和目的做了優(yōu)化和完善。但是，信息安全風險評估模型的研究還處于探索和完善階段，已有的研究存在一些缺陷，主要表現(xiàn)為以下3點：①缺乏對評估內容的逐層細化，難以評價和量化各要素，可操作性比較差；②缺乏對風險評估基本要素屬性的綜合思考，難以體現(xiàn)評估要素與企業(yè)業(yè)務的關系；③大部分模型比較復雜，評估方法和流程操作起來費時費力，企業(yè)難以采用。

2基于基本模型的企業(yè)信息安全自評估模型

針對信息安全風險評估模型的不足，本文綜合考慮企業(yè)自身的業(yè)務和內部約束條件，在基本模型和相關研究成果的基礎上，提出更加簡單、有效的企業(yè)信息安全風險自評估模型。本文認為，企業(yè)信息安全風險自評估模型應遵循自主、簡單、規(guī)范性、可行性和可擴展性的原則，基本思路是從企業(yè)業(yè)務出發(fā)，多角度研究自評估模型中資產、威脅、脆弱性的關系和指標，應用相關統(tǒng)計分析方法統(tǒng)計，運用層次分析法（AHP）評價、量化相關要素和風險，最終構建一個科學、合理、可操作的企業(yè)自評估模型。在此過程中，需要解決3方面的問題：①明確評估的對象、內容和流程；②構建評價方法，統(tǒng)一評估和度量風險基本要素；③統(tǒng)一不同層面、角度的評估結果。

2.1基于AHP的信息安全風險要素度量方法

AHP（AnalyticHierarchyProcess，層次分析法）是一種定性分析與定量分析相結合的多目標決策分析方法，其基本步驟是：①分析問題，建立遞階結構（評價模型）；②構造比較判斷矩陣；③層次單排序；④一致性檢驗；⑤層次總排序與一致性檢驗；⑥選擇最優(yōu)的解決方案。資產、威脅、脆弱性作為信息安全風險自評估模型的3個基本要素，需要分別識別和分析，并提煉出各自的評價指標。本文結合已有的理論和實踐成果，從自主性、簡單性、可行性和科學性原則出發(fā)，基于相關標準、企業(yè)環(huán)境和企業(yè)業(yè)務影響分析，提出信息資產的評價因素應包含經濟、名譽、法律法規(guī)、業(yè)務運營、社會秩序、商業(yè)利益和個人利益，等等，威脅可能性評價指標應包含威脅攻擊力、威脅動機、資產誘因和威脅頻率等，脆弱性嚴重程度賦值的評價因素應包含可用性、機密性和完整性。根據(jù)資產受到損害時對其評價因素帶來的損失為資產價值賦值（比如從1～4取值），數(shù)值越大，表明資產價值越高。得到各評價因素的綜合分值后，分值最大的為該資產的價值，即資產價值為A＝max（i）。根據(jù)威脅評價指標和脆弱性評價因素，利用AHP方法建立威脅、脆弱性評價體系，體系由目標層、準則層和指標層（方案層）構成。為了方便對不同威脅發(fā)生可能性概率、不同脆弱性的嚴重程度進行類比、度量，使用統(tǒng)一的度量標準，采用相對等級的方式處理評價結果（比如從1～4取值），數(shù)值越大，威脅發(fā)生的可能性越高，帶來的損害越大。通過AHP用數(shù)量形式表達和處理個人主觀判斷結果，采用專家和團隊評分進一步比較各要素的重要性，并做一致性檢驗，最終確定各要素的值。

2.2企業(yè)信息安全自評估風險計算

在對資產價值、威脅、脆弱性分析和量化后，還要確定各要素之間的組合方式和具體的計算方法。《信息安全風險評估規(guī)范》（2007）對風險值的計算提出了如下函數(shù)：風險值＝R（A，T，V）＝R（L（T，V），F(xiàn)（Ia，Va））.（1）式（1）中：R為安全風險計算函數(shù)；A為資產；T為威脅；V為脆弱性；L為威脅利用資產的脆弱性導致安全事件的可能性；F為安全事件發(fā)生后造成的損失；Ia為安全事件所作用的資產價值；Va為脆弱性嚴重程度。信息安全風險值的計算方法主要有矩陣法、相乘法和預先價值矩陣查表法等，并且可以將多種方法結合使用。因為相乘法操作簡單，所以，在風險分析中的應用比較廣泛。該方法是一種定量的計算方法，主要思路是利用2個相關要素值的乘積計算出結果要素的值。按照簡單性、科學性原則，對于企業(yè)自評估，本文認為，相乘法比較適合企業(yè)使用，但不限于該方法。根據(jù)相乘法，企業(yè)信息安全風險值的計算過程是：①計算威脅利用資產的脆弱性導致安全事件的可能性，即L＝L（T，V）＝T×V；②計算安全事件發(fā)生后造成的損失，即F＝F（Ia，Va）＝Ia×Va；③計算風險值，即R＝R（L，F(xiàn)）＝L×F.

2.3企業(yè)信息安全自評估模型和流程設計

企業(yè)信息安全風險自評估的基本目的是依據(jù)企業(yè)自身業(yè)務，識別出信息系統(tǒng)中存在的主要安全風險，并排列優(yōu)先級，為風險信息計算提供數(shù)據(jù)支撐，進而為提出風險應對措施提供建議?；谏鲜龇椒ǎ疚奶岢隽似髽I(yè)信息安全風險自評估模型，如圖1所示。企業(yè)信息安全風險自評估模型的實施分為范圍確定、資產識別與量化、威脅分析、脆弱性分析、風險分析與計算、風險應對建議6個階段，每個階段的具體任務如圖2所示。本文提出的自評估模型綜合了企業(yè)自評估的約束條件、風險評估的基本原理、關鍵環(huán)節(jié)與流程、基本要素度量等，具有以下5個特點：①模型提供了統(tǒng)一的資產、威脅、脆弱性3個基本要素的度量和評價方法，依據(jù)模型中的評價指標可以進行量化和排序。②模型將企業(yè)業(yè)務與風險評估結合起來，體現(xiàn)了IT服務企業(yè)、服務業(yè)務的理念，在一定程度上反映出了信息安全風險評估對業(yè)務的影響程度和對企業(yè)的價值。③模型滿足信息安全的動態(tài)性要求，適應企業(yè)業(yè)務不斷發(fā)展和調整的需要。當業(yè)務調整時，企業(yè)僅需分析業(yè)務信息流，識別出相關資產、威脅和脆弱性等。④模型滿足信息安全的持續(xù)性要求，企業(yè)可建立相關制度，將自評估設立為日常性工作。當業(yè)務無法調整時，自評估活動僅需識別和分析新的脆弱性和威脅信息，從而節(jié)省大量資源。⑤模型具有較強的適應性，適用于不同類型的企業(yè)，企業(yè)可根據(jù)實際情況裁減和優(yōu)化，根據(jù)各自的偏好選擇風險計算方法。

篇3

一、引言

 

信息時代為國家和個人提供了全新的發(fā)展機遇和生活空間，但也帶來了新的安全威脅。信息安全的威脅可能來自內部的破壞、外部的攻擊、內外勾結的破壞和信息系統(tǒng)自身的意外事故等，因此我們應按照風險管理的思想，對可能的威脅和需要保護的信息資源進行風險分析，以便采取安全措施，妥善應對可能發(fā)生的安全風險。信息安全風險評估是依據(jù)國家信息安全風險評估有關管理要求和技術標準，對信息系統(tǒng)及由其存儲、處理和傳輸?shù)男畔⒌臋C密性、完整性和可用性等安全屬性進行科學、公正的綜合評價的過程。根據(jù)ISO27001的管理思想，信息安全風險評估在信息安全管理的PDCA環(huán)中是一個很重要的過程，如何處理信息安全風險評估所產生的數(shù)據(jù)，是每一個信息安全管理者都非常迫切需要解決的一個問題。最好的解決方法是開發(fā)出一套實用性強、可操作性高的系統(tǒng)安全風險評估管理工具。

 

二、風險評估過程

 

信息安全風險評估系統(tǒng)的設計是針對組織開展信息安全風險評估的過程。這個過程包括對信息系統(tǒng)中的安全風險識別、信息收集、評估和報告等。風險評估的實施過程如下頁圖1。

 

1.評估前準備。在風險評估實施前，需要對以下工作進行確定：確定風險評估的目標、確定風險評估的范圍、組建風險評估團隊、進行系統(tǒng)調研、確定評估依據(jù)和方法、制定評估計劃和評估方案、獲得最高管理者對工作的支持。

 

2.資產識別。資產識別過程分為資產分類和資產評價兩個階段。資產分類是將單位的信息資產分為實物資產、軟件資產、數(shù)據(jù)資產、人員資產、服務資產和無形資產六類資產進行識別;資產評價是對資產的三個安全屬性保密性、可用性及完整性分別等級評價及賦值，經綜合評定后，得出資產的價值。

 

3.威脅識別。威脅識別主要工作是評估者需要從每項識別出的資產出發(fā)，找到可能遭受的威脅。識別威脅之后，還需要確定威脅發(fā)生的可能性。

 

4.脆弱性識別。評估者需要從每項識別出的資產和對應的威脅出發(fā)，找到可能被利用的脆弱性。識別脆弱性之后，還需要確定弱點可被利用的嚴重性。

 

5.已有安全措施確認。在識別脆弱性的同時，評估人員將對已采取的安全措施的有效性進行確認，評估其是否真正地降低了系統(tǒng)的脆弱性，抵御了威脅。

 

6.風險分析。風險評估中完成資產賦值、威脅評估、脆弱性評估后，在考慮已有安全措施的情況下，利用恰當?shù)姆椒ㄅc工具確定威脅利用資產脆弱性發(fā)生安全事件的可能性，并結合資產的安全屬性受到破壞后的影響得出信息資產的風險。

 

三、系統(tǒng)設計

 

1.用角色設計。系統(tǒng)角色分為三種類型，各用戶在登錄后自動轉入各自的操作頁面。A.超級管理員：擁有系統(tǒng)所有權限;B.評估項目管理員：可以對所負責的評估項目進行管理，對評估人員進行分工和權限管理;C.評估人員：負責由項目管理員分配的測評工作，將評估數(shù)據(jù)導入系統(tǒng)。

 

2.系統(tǒng)模型。根據(jù)信息安全風險評估管理的業(yè)務需求，我們構建了以安全知識庫為支撐，以風險評估流程為系統(tǒng)主要業(yè)務流，以受測業(yè)務系統(tǒng)及其相關信息資產的風險評估要素為對象的信息安全風險評估綜合管理系統(tǒng)模型，系統(tǒng)模型如圖2所示。

 

3.系統(tǒng)功能設計。信息安全風險評估綜合管理系統(tǒng)的功能模塊包括：①風險評估項目管理：評估項目管理模塊包括評估項目的建立、項目列表、項目設置等功能。主要輸入項：項目名稱、評估時間、評估對象等;主要輸出項：項目計劃書。②信息安全需求調研管理：該模塊用于用戶填寫安全調研問卷，為安全評估提供數(shù)據(jù)支持。主要輸入項：用戶ID、調查答案;主要輸出項：問卷標題、調查題內容。③資產識別。系統(tǒng)提供的資產識別，包括：硬件、軟件、數(shù)據(jù)等，根據(jù)業(yè)務系統(tǒng)對組織戰(zhàn)略的影響程度，對相關資產的重要性進行評價;主要輸入項：評估對象(信息資產)、賦值規(guī)則;主要輸出項：資產識別匯總表、資產識別報告。④威脅識別。威脅識別：系統(tǒng)提供多種網絡環(huán)境的威脅模板，支持和幫助用戶進行威脅識別和分析，并提供資產、脆弱性、威脅自動關聯(lián)功能：主要輸入項：評估對象、賦值規(guī)則;主要輸出項：威脅識別匯總表、威脅識別報告。⑤脆弱性識別。脆弱性識別：系統(tǒng)可提供多種系統(tǒng)的脆弱性識別功能，包括：主機、數(shù)據(jù)庫、網絡設備等對象的脆弱性識別。系統(tǒng)支持常用漏洞掃描軟件掃描結果的導入，目前支持的掃描系統(tǒng)有：Nessus、NMap等，主機系統(tǒng)支持：Windows、Linux、Unix等，數(shù)據(jù)庫支持：MSSQL、Oracle等：主要輸入項：評估對象、漏洞掃描結果、賦值規(guī)則;主要輸出項：漏洞掃描報告、脆弱性識別匯總表、脆弱性識別報告。⑥安全措施識別。安全措施識別：系統(tǒng)提供基于技術、管理等方面的安全措施檢查功能，幫助用戶了解目前的安全狀況，找到安全管理問題，確定安全措施的有效性：主要輸出項：安全措施識別匯總表、安全措施識別報告。⑦風險分析。系統(tǒng)通過資產評價、脆弱性評價、威脅評價、安全措施有效性評價、風險分析等工作，可自動生成安全風險評估分析報告。主要輸入項：評估對象、資產值、脆弱性值、威脅值、安全措施值、計算規(guī)則;主要輸出項：風險計算匯總表、風險分析報告。⑧評估結果管理。主要功能是對歷史記錄查詢與分析。匯總所有的安全評估結果進行綜合分析，并生成各階段風險評估工作報告，主要包括如下：《資產識別報告》、《漏洞掃描報告》、《威脅識別報告》、《脆弱性識別報告》、《控制措施識別報告》、《風險分析報告》。并可對當期風險評估結果和原始數(shù)據(jù)進行轉存或備份。在有需要時能調出評估歷史數(shù)據(jù)進行查詢及風險趨勢分析。⑨信息安全知識庫更新維護。信息安全知識庫的更新維護主要對象有：系統(tǒng)漏洞庫、安全威脅庫、安全脆弱點庫、控制措施庫。為避免造成數(shù)據(jù)的冗余，系統(tǒng)將在各評估項目中需要反復使用的數(shù)據(jù)歸入基礎數(shù)據(jù)庫進行管理，在進行評估活動時再從基礎庫提取有關數(shù)據(jù)，這樣也能減少重復的輸入工作。⑩數(shù)據(jù)接口。導入數(shù)據(jù)接口：資產庫、脆弱點庫、威脅庫、控制措施庫。支持以下常用的格式：如EXCEL文件等;常用的漏洞掃描工具：如綠盟、啟明星辰、NESSUS、NMAP等。

 

四、結束語

 

篇4

1.1定性分析方法

這是評估方法具有的一個明顯特點就是它的主觀性較強，在風險評估人員主觀上對資產風險因素所面臨的威脅以及漏洞等作出評估判斷的過程。它的結構構成包括故障樹分析法、事件樹分析法以及原因———后果法等。（1）故障樹分析法。這種分析方法的適用于對風險事件的發(fā)生源之間關系以及它的深層次原因進行探究的，它的主要目的是在發(fā)現(xiàn)信息故障后對信息安全所進行的定性分析。從它的運行原理來看，它是把信息系統(tǒng)中發(fā)生的結果來作為首要解決的問題，分析總結出不愿發(fā)生事件的形成因素，從而確定出各個因素之間的邏輯關系。（2）事件樹分析方法。這種方法是在原有的信息系統(tǒng)風險基礎上，來對這些信息安全風險事件發(fā)生可能產生的風險結果進行詳細的分析探究，它的分析工作開展的一個顯著特點就是需要對序列組中可能發(fā)生的危險事故的結果進行合理的列舉，需要注意的是這并代表是最后的結果，只是其中的一個環(huán)節(jié)，但是它的缺點就是不適于進行大范圍的普適。（3）原因———后果分析方法。這種分析方法從運行原理的實質上來看，它是對前兩種分析方法的一種融合，它是前兩種分析方法所具有顯著特點的結合，但是，這種方法也有應用的缺點，就是它在大型的、復雜的信息系統(tǒng)中應用并起不到應有的效果。

1.2定量分析方法

這種分析方法是對定性方法的一種改進，削弱了定性方法的主觀性，但是在一些大型復雜的信息系統(tǒng)中，就很可能造成一些定量數(shù)據(jù)難以獲得，需要浪費較多的時間成本，基于此，它的應用最為廣泛的是定量的故障樹分析法和風險評審技術兩種。

1.3定性分析和定量分析相結合的方法

這種兩相結合的方法在現(xiàn)代應用領域中是最為常見的，也是最適合的形式，這兩種方法相結合的主要目的是為了有效的彌補定性分析法和定量分析法之間的缺陷，因此，它的綜合性就會相對強一些。這種分析模式，適用范圍最為廣泛的并且最為主流的是層次分析法。

2在業(yè)務流程基礎上的信息安全風險評估方法

2.1信息資產的辨別

信息安全風險評估主要是針對于信息和信息處理設備所受到的威脅、影響以及威脅事件發(fā)生后所帶來的損失而進行的評估預測，那么所進行評估的內容主要涉及到四個要素，即資產、威脅、漏洞以及原有的安全措施。對于這四個要素之間的關系論述，它們是屬于相互關系、相互作用的因素，各自對系統(tǒng)風險的影響各不相同，共同構成復雜的風險評估系統(tǒng)工程。我們在實際的風險評估工作中，主要是對已經存在的風險提出一系列有效的安全防范措施，并依據(jù)風險措施實行采取合理的控制措施，從而使風險控制到最合理的范圍內，那么這么講就可以把它的具體實施流程劃分為兩大部分，即對風險的分析和對風險的控制。

2.2業(yè)務流程的風險模型分析

在業(yè)務開展的基本流程中，對于位置變動資產的識別可以在它的開始階段就進行，這是對位置變動來說的，而對于位置固定的資產識別，就需要對每一個具體業(yè)務的節(jié)點進行逐一開展。對于位置固定資產的識別來說，因為其自身需要有大量的人工操作，因此它的風險一般是集中于業(yè)務節(jié)點環(huán)節(jié)上，并且各個節(jié)點上的風險類別、發(fā)生方式、起源以及造成的后果影響都是不相同的。此外，由于這些風險的產生是因為位置固定資產而引起的，因此，在業(yè)務流程的過程中一般只需要對位置固定資產的風險采取相應的控制措施就可以了，這樣也就確保了位置別動不會對資產的保密性、完整性以及可用性造成威脅。

篇5

信息安全風險評估是進行信息安全管理的重要依據(jù)，通過對信息系統(tǒng)進行系統(tǒng)的風險分析和評估，發(fā)現(xiàn)存在的安全問題并提出相應的措施，這對于保護和管理信息系統(tǒng)至關重要。目前國內外都高度重視信息安全風險評估工作。美國政府2002年頒布《聯(lián)邦信息安全管理法》，對信息安全風險評估提出了具體的要求；歐盟國家也把開展信息安全風險評估作為提高信息安全保障水平的重要手段；2003年7月23日，國家信息中心組建成立“信息安全風險評估課題組”，提出了我國開展信息安全風險評估的對策和辦法。2004年，國務院信息辦研究制訂了《信息安全風險評估指南》和《信息安全風險管理指南》兩個風險評估的標準；2006年又起草了《關于開展信息安全風險評估工作的意見》[1]。這些工作都對信息安全人才的培養(yǎng)提出了更高的要求，同時也為《信息安全風險評估》課程的開設和講授提供了必要的基礎和條件?！缎畔踩L險評估》課程教學，是信息安全專業(yè)一門重要的專業(yè)課程，能全面培養(yǎng)學生綜合運用專業(yè)知識，評估并解決信息系統(tǒng)安全問題的能力，是培養(yǎng)符合國家和社會需要的信息安全專業(yè)人才的重要課程之一?！缎畔踩L險評估》課程本身的理論性與實踐性都很強，課程發(fā)展十分迅速，涉及的學科范圍也較廣，傳統(tǒng)的教學的模式不能使該課程的特點很好地展示出來，無法適應社會經濟發(fā)展對信息安全從業(yè)人員的新要求，教學改革勢在必行。

一、現(xiàn)狀與存在的問題

信息安全風險評估是從風險管理角度，運用科學的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的安全威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。它涉及信息系統(tǒng)的社會行為、管理行為、物理行為、邏輯行為等的保密性、完整性和可用性檢測。風險評估的結果可以作為信息安全風險管理的指南，用來確定合適的管理方針和選擇相應的控制措施來保護信息資產，全面提高信息安全保障能力[2]。自2001年信息安全專業(yè)建立以來，高校在制訂本科專業(yè)教學培養(yǎng)目標和教學計劃時，側重于具體安全理論和技術的教學和講授，特別是重點強調了密碼學、防火墻、入侵檢測、網絡安全等安全理論與技術的傳授。從目前高校的教學內容看，多數(shù)側重于對“信息風險管理”、“風險識別”、“風險評估”和“風險控制”等基本內容的介紹上，而且教學課時數(shù)也較少，只有十個學時。當前從《信息安全風險評估》課程的教學情況來看，該課程在信息安全教育教學過程中地位有待提高，實踐教學的建設與研究迫切需要深化。

當前該課程的教學實踐中普遍存在以下幾個方面的問題，嚴重制約了《信息安全風險評估》課程教學質量的提高：

1.本科教學大都以理論內容為主體，實驗和課程設計的學時安排較少。一般高校的《信息安全風險評估》課程主要以理論內容的講授為主，實驗和課程設計的學時較少，實驗內容也大多屬于驗證性質，缺少具有研究和探索性質的信息安全風險評估實踐內容和課程設計；

2.教學方法單一，缺乏激勵學生求知欲的教學方法和手段。當前開設《信息安全風險評估》課程的高校還較少，師資力量相對薄弱，教學經驗也比較缺乏，仍以主要由教師講述的傳統(tǒng)教學方式為主，學生進行具體實踐和操作的課時較少，缺乏創(chuàng)新性的教學和研究，基本沒有具有探索性和創(chuàng)新性特點的教學內容，不利于發(fā)揮學生主觀能動性，提高其創(chuàng)新能力；

3.實驗環(huán)境無法滿足教學需求，缺乏專業(yè)的信息安全風險評估師資。我國信息安全風險評估的研究和教學工作起步晚，缺乏相關的實驗設備；而且受到資金和專業(yè)發(fā)展等多方面因素的制約，難以設立專門的信息安全風險評估實驗室。此外，信息安全風險評估是以計算機技術為核心，涉及管理科學、安全技術、通信和信息工程等多個學科，對于理論和實踐要求都很高。這就要求教師既要學習好各學科的基本知識，又要加強實踐訓練。

二、教學改革與探索

高校計算機相關專業(yè)開設《信息安全風險評估》課程，不是培養(yǎng)網絡信息安全方面的全才或戰(zhàn)略人才，而是培養(yǎng)在實際生活和工作中確實能解決某些具體安全問題的實用型人才。針對《信息安全風險評估》課程的特點和教學中存在的不足，我們從以下幾個方面對該課程的教學改革進行了探索：

1.重新確立課程培養(yǎng)目標。①重點培養(yǎng)學生分析和評估信息安全問題的能力：《信息安全風險評估》課程是一門理論性和實踐性緊密結合的課程，目前開設該課程的高校較少，各學校的教學內容也多種多樣。該課程的教學目標即要培養(yǎng)學生發(fā)現(xiàn)信息系統(tǒng)存在的安全風險，同時也需要培養(yǎng)他們科學地提出解決安全隱患的方案及能力。如何提高學生分析和評估信息安全問題的能力是該課程教學的首要目標。②培養(yǎng)學生實際操作的能力：信息安全風險評估的關鍵是對信息系統(tǒng)的資產進行分類，對其風險的識別、估計和評價做出全面的、綜合的分析。這就要求學生熟練地掌握目標對象的檢測和評估方法，包括使用各種自動化和半自動化的工具，可在模擬實驗里，通過不斷地訓練實現(xiàn)。③培養(yǎng)學生繼續(xù)學習、勇于探索創(chuàng)新的能力：隨著信息化的不斷發(fā)展，信息系統(tǒng)所面臨的安全威脅急劇增加，為此各國政府都不斷提出和完善了各類信息安全測評標準。這就要求我們在教學中不斷地學習、理解和解釋最新的國際、國內以及相關的行業(yè)標準，培養(yǎng)和提高學生繼續(xù)學習的能力。另外，《信息安全風險評估》課程也要求通過課堂教學、課后練習、實驗驗證和考試、考查等教學環(huán)節(jié)培養(yǎng)學生獨力分析信息系統(tǒng)安全的能力，培養(yǎng)學生對信息安全風險評估領域進行探索和研究的興趣，最終使學生掌握信息安全風險評估的知識和技能，能夠解決具體信息系統(tǒng)的安全問題。

2.增加信息安全風險評估理論和相關標準的教學。信息安全測評標準和相關法律法規(guī)是進行信息系統(tǒng)安全風險評估的依據(jù)和保障。2006年由原國信辦《關于開展信息安全風險評估工作的意見》（國信辦2006年5號文）；同時，隨著信息安全等級保護制度的推行，公安部會同有關部門出臺了一系列政策文件，主要包括：《關于信息安全等級保護工作的實施意見》、《信息安全等級保護管理辦法》等；國家信息安全標準化委員會頒發(fā)了《信息安全風險評估規(guī)范》（GB/T 20984~2007）、《信息系統(tǒng)安全等級保護基本要求》（GB/T 22239-2008）等多個國家標準[3]。為了保證《信息安全風險評估》課程目標的實現(xiàn)，我們在教學過程中，增加了《GB/T20984-2007信息安全技術信息安全風險評估規(guī)范》、《GB/Z24364-2009信息安全風險管理指南》、《GB/T

22080-2008信息安全管理體系要求》、《GB/T22081-

2008信息安全管理實用規(guī)則》、《GB/T20269-2006信息系統(tǒng)安全管理要求》、《GB/T25063-2010?搖信息安全技術服務器安全測評要求》、《GB/T 20010-2005信息安全技術包過濾防火墻評估準則》、《GB/T20011-2005信息安全技術路由器安全評估準則》、《GA/T 672-2006信息安全技術終端計算機系統(tǒng)安全等級評估準則》、《GA/T 712-2007信息安全技術應用軟件系統(tǒng)安全等級保護通用測試指南》等相關評估標準和指南的學習，并編制相關的調查、檢查、測試表，重點強調對脆弱性檢測的理論依據(jù)的描述，檢測方法及其步驟的詳細記錄。

3.利用各種測評工具，提高學生實踐能力。在信息安全風險評估過程中，資產賦值、威脅量化分析、安全模型的建立等環(huán)節(jié)的教學和實踐對教師和學生都提出了較高的專業(yè)課程要求。我們在《信息安全風險評估》課程實踐中通過使用風險評估工具，并對具體的信息系統(tǒng)進行自動化或半自動化的分析，加深了學生信息安全風險評估的理論知識理解，同時注重培養(yǎng)學生動手實踐能力和探索新知識的能力。我們增加了主動型風險評估工具Tenable掃描門戶網站系統(tǒng)的實踐性教學內容。通過評估，該系統(tǒng)的服務器存在感染病毒的癥狀，其原因是服務器存在特定漏洞。為此我們使用漏洞掃描器對該服務器進行掃描，發(fā)現(xiàn)了“遠程代碼被執(zhí)行”漏洞，而且該漏洞能被蠕蟲病毒利用，形成針對系統(tǒng)的攻擊。通過案例特征提供了的信息，培養(yǎng)學生使用測評工具對具體信息系統(tǒng)進行安全風險評估的能力，并進一步使其認識到主動型評估工具是信息安全風險評估中快速了解目標系統(tǒng)安全狀況不可或缺的重要手段。

筆者結合自己的教學實踐體會，論述了當前《信息安全風險評估》課程中存在的問題以及解決對策。《信息安全風險評估》課程教學改革和建設是一個長期的、系統(tǒng)化的工程，需要不斷地根據(jù)信息系統(tǒng)在新環(huán)境下面臨的各種威脅，制定新的評估標準和評估方案，并使得學生在有限的時間和環(huán)境下掌握相應的知識和技能，以滿足社會對信息安全人才的需求。

參考文獻：

[1]付沙.加強信息安全風險評估工作的研究[J].微型電腦應用，2010，26（8）：6-8.

[2]楊春暉，張昊，王勇.信息安全風險評估及輔助工具應用[J].信息安全與通信保密，2007，（12）：75-77.

篇6

信息安全風險評估是從風險管理角度出發(fā)，構建風險評估模型，建立風險評估體系，運用風險評估方法，系統(tǒng)地分析信息系統(tǒng)所面臨的風險威脅及系統(tǒng)的脆弱性/漏洞，評估風險發(fā)生帶來的危害程度，提出應對風險的安全控制措施，規(guī)避和控制信息安全風險，降低風險發(fā)生的概率，將風險控制在可承受的范圍，為信息安全風險評估提供科學依據(jù)。

1.2信息安全風險評估的方法

隨著信息安全風險評估研究工作的不斷深入，形成了多種不同的信息安全風險評估方法，這些方法的出現(xiàn)大大縮短了信息安全風險評估的時間，節(jié)省了大量的資源，提高了信息安全風險評估的效率和準確性，為防范信息安全中出現(xiàn)的風險提供了理論依據(jù)[3]。目前，常用的信息安全風險評估的方法有定量評估方法、定性評估方法和定性與定量相結合的綜合評估方法。其中，定量評估方法是根據(jù)信息系統(tǒng)中風險相關數(shù)據(jù)，利用具體的評估算法計算出評估結果，并對結果進行分析，它能夠直觀地反應評估結果，更容易被人們接受。但是該方法主要依賴于數(shù)學模型來描述風險，在量化的過程中將原本復雜的事物理想化，一般適用于風險評估材料齊全且數(shù)學理論基礎較好的情況，常見的定量評估方法有Markov分析法、聚類分析方法、決策樹分析方法、風險審計技術等。定性評估方法是評估者利用自己擁有的專業(yè)知識和積累的經驗對信息系統(tǒng)存在的風險進行識別和評價，并提出應對風險的安全控制措施。它對評估者知識和經驗的要求較高，一般適用于風險評估數(shù)據(jù)不全或者數(shù)學理論基礎較為薄弱的情況，常見的定性評估方法有故障樹分析法（FTA）、故障模式影響及危害性分析方法（RMECA）、德爾菲法（Delphi）等。在風險評估的實際過程中，采用較多的是定性與定量相結合的綜合風險評估方法，該方法可以將復雜問題按照層次化結構分解成多個簡單的問題進行分析，大大節(jié)省了評估時間、人力和費用，提高了風險評估的準確性和效率，常見的定性與定量相結合的綜合評估方法有層次分析法。

1.3信息安全風險評估的模型

[4]信息安全風險評估模型是信息安全風險評估的理論基礎，是提高信息安全風險評估準確性和效率的重要前提。信息安全風險評估模型如圖1所示，造成信息安全風險的主要因素有威脅、信息資產、信息系統(tǒng)的脆弱性及漏洞和未被控制的殘余風險，信息系統(tǒng)的威脅越大、脆弱性越暴露、漏洞越多、信息資產的價值越大、未被控制的風險越多，則信息系統(tǒng)面臨的風險也越多，風險越多，信息系統(tǒng)的安全性越低。業(yè)務系統(tǒng)主要依賴于服務器和軟件等信息資產，業(yè)務系統(tǒng)越關鍵，對服務器等硬件和軟件資源的要求就越高，被攻擊的價值也就越大，面臨的風險也就越大。資產的價值和防范風險的意識會導出信息系統(tǒng)的安全需求。當信息系統(tǒng)的安全需求被相應的安全控制措施滿足時，就會降低發(fā)生風險的概率。然而有些風險由于成本過高、控制難度較大，往往不進行控制，這部分不被控制的風險具有潛在的威脅，應該受到密切監(jiān)視，它可能會增加信息系統(tǒng)的風險。

2高校信息安全面臨的風險及應對策略分析

隨著高校數(shù)字化校園建設和信息化建設的不斷推進，高校業(yè)務處理對信息系統(tǒng)的依賴性越來越強。由于部分高校缺乏危機意識、防范風險的制度和措施，沒有一套完善的信息系統(tǒng)風險評估體系預防風險，當遇到信息安全的突發(fā)事件時，只能被動地采用“救火式”的方法處理風險危機，使得信息系統(tǒng)面臨的風險不斷增加。為了及時應對信息系統(tǒng)面臨的各種風險威脅，各個部門、各個環(huán)節(jié)應密切配合、協(xié)調，對高校信息安全面臨的各種風險及應對策略應進行調研分析，建立信息安全的風險評估體系，實現(xiàn)風險評估的規(guī)范化和制度化，逐步形成監(jiān)控風險和控制風險的有效機制[5]。

2.1高校信息安全面臨的風險分析

高校信息安全面臨的風險一般可以分為技術脆弱性/漏洞風險和非技術性風險[6]。

2.1.1技術脆弱性/漏洞風險

高校信息系統(tǒng)面臨的技術性/漏洞風險主要包括數(shù)據(jù)存儲風險、系統(tǒng)權限設置風險、軟件編碼風險、硬件設備風險和網絡安全風險等。其中數(shù)據(jù)存儲風險主要體現(xiàn)在數(shù)據(jù)存儲空間不足、數(shù)據(jù)備份策略不健全、數(shù)據(jù)庫安全性低容易導致SQL注入篡改數(shù)據(jù)庫中的數(shù)據(jù)、數(shù)據(jù)不被加密在傳輸過程中容易被篡改或刪除、數(shù)據(jù)庫結構不合理等方面；系統(tǒng)設置權限風險主要體現(xiàn)在訪問控制策略失效、系統(tǒng)訪問權限過大、客戶身份認證失敗等；軟件編碼風險主要體現(xiàn)在操作失誤、系統(tǒng)漏洞、系統(tǒng)接口不安全、代碼健壯性差、系統(tǒng)運行環(huán)境改變等；硬件設備風險主要體現(xiàn)在服務器配置過低、物理設備損壞、網絡帶寬不足、網絡硬件防護設備不齊全等；網絡安全風險主要體現(xiàn)在網絡惡意攻擊使網絡癱瘓、服務劫持、拒絕服務、利用端口漏洞破壞系統(tǒng)、內外網設置缺陷、網站掛馬、非法訪問系統(tǒng)、竊取和篡改網絡傳輸數(shù)據(jù)等。

2.1.2非技術性風險

高校信息系統(tǒng)面臨的非技術性風險主要包括人為疏忽行為、管理不到位、技術失效、蓄意行為和不可抗拒風險等。其中人為疏忽行為主要體現(xiàn)在由于人為過失或非法操作導致服務器硬件損壞，系統(tǒng)和數(shù)據(jù)無法恢復等；管理不到位主要體現(xiàn)在沒有安裝殺毒軟件、沒有做系統(tǒng)備份策略和系統(tǒng)安全防護策略等；技術失效主要體現(xiàn)在硬件壽命設計缺陷、軟件服務到期、軟件后門等；蓄意行為主要體現(xiàn)在惡意軟件、系統(tǒng)設備帶木馬程序、蓄意泄漏機密文件、黑客與信息敲詐等；不可抗拒風險主要體現(xiàn)為地震、雷擊等自然災害造成的風險。

2.2高校信息安全面臨的風險應對策略分析

在對信息安全進行風險評估時，可以根據(jù)風險評估等級、風險發(fā)生概率大小、風險影響大小、控制風險的難易程度和風險管理的成本，給出處理與應對風險的相應策略，供高校決策部門和相關技術部門參考，來降低風險對信息系統(tǒng)的影響。高校應對信息安全面臨風險的應對策略主要有風險規(guī)避、風險轉嫁、風險預防、風險控制、風險承受和風險追蹤等。其中風險規(guī)避是高校在風險發(fā)生之前，采取相關技術措施消除風險因素，避免風險發(fā)生；風險轉嫁是高校不能完全避免風險發(fā)生時，為了降低風險造成的損失，將風險轉嫁給其他組織或個人承擔，并支付風險承擔者一定費用；風險預防是高校在風險發(fā)生之前密切監(jiān)視風險的動態(tài)，采取相應風險防范措施，以降低風險發(fā)生的概率；風險控制是高校在風險發(fā)生時采取各種技術手段降低風險影響后果，縮小風險影響范圍等；風險承受是高校在綜合考慮控制風險難度、控制風險花費、風險發(fā)生概率和高校風險承受能力等情況下，選擇自行承擔風險的方式；風險追蹤是高校在發(fā)現(xiàn)風險時，對風險的來源及發(fā)起者進行跟蹤，查到根源后追究其相應責任，客觀上可以降低風險發(fā)生的頻率。

3高校信息安全的風險評估過程

[7]高校信息安全風險評估過程包括風險評估目標確定、風險識別、風險評價、風險控制策略選擇和風險評估效果分析幾個環(huán)節(jié)，這些環(huán)節(jié)是相輔相成，缺一不可的。

3.1風險評估目標確定

風險評估目標是高校開展信息安全風險評估的首要步驟。高校在對信息安全進行風險評估時，應當制定準確的風險評估目標。風險評估目標主要包括風險評價標準、風險因素標準、風險控制目標、風險控制費用標準、風險防范措施制定、風險評估效果評價、風險發(fā)生后果影響等。

3.2風險識別

風險識別是高校信息安全風險評估過程中最重要也最難的環(huán)節(jié)。風險識別直接關系到風險評價結果及風險等級的確定，關系到風險控制策略的選擇，如果不能正確識別風險，就不能采取正確的風險控制策略去規(guī)避和控制風險，會大大增加風險發(fā)生的可能性。3.3風險評價風險評價是高校信息安全風險評估過程中的主要環(huán)節(jié)。它主要包括對風險成因、發(fā)生概率、影響范圍、威脅程度、損失大小等因素進行定性和定量分析，通過特定的風險評估方法進行測算分析，確定風險的等級及危害程度。

3.險控制策略選擇

高校在綜合考慮風險承受能力、風險控制費用、風險危害程度、風險發(fā)生概率和風險評估目標等因素的基礎上，根據(jù)風險評價結果，選取相應的風險控制策略，來降低風險發(fā)生的概率及帶來的危害。

3.5風險評估效果分析

風險評估效果分析是高校結合自身的實際情況對風險評估等級的判斷是否準確、風險識別的準確性、風險評估目標是否達標、風險控制策略是否得當、風險評估過程的科學性、風險評估數(shù)據(jù)和算法的合理性進行綜合分析的過程。它對高校提高信息安全風險評估的準確性和科學性有一定的指導作用。

篇7

中圖分類號：TP393.08 文獻標識碼：A 文章編號：1007—9599 （2012） 14—0000—02

一、引言

隨著信息技術的飛速發(fā)展，關系國計民生的關鍵信息資源的規(guī)模越來越大，信息系統(tǒng)的復雜程度越來越高，保障信息資源、信息系統(tǒng)的安全是國民經濟發(fā)展和信息化建設的需要。信息安全的目標主要體現(xiàn)在機密性、完整性、可用性等方面。風險評估是安全建設的出發(fā)點，它的重要意義在于改變傳統(tǒng)的以技術驅動為導向的安全體系結構設計及詳細安全方案的制定，以成本一效益平衡的原則，通過評估信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后安全事件發(fā)生的可能性，并結合資產的重要程度來識別信息系統(tǒng)的安全風險。信息安全風險評估就是從風險管理角度，運用科學的分析方法和手段，系統(tǒng)地分析信息化業(yè)務和信息系統(tǒng)所面臨的人為和自然的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，以防范和化解風險，或者將殘余風險控制在可接受的水平，從而最大限度地保障網絡與信息安全。

二、網絡信息安全的內容和主要因素分析

“網絡信息的安全”從狹義的字面上來講就是網絡上各種信息的安全，而從廣義的角度考慮，還包括整個網絡系統(tǒng)的硬件、軟件、數(shù)據(jù)以及數(shù)據(jù)處理、存儲、傳輸?shù)仁褂眠^程的安全。

網絡信息安全具有如下5個特征：1.保密性。即信息不泄露給非授權的個人或實體。2.完整性。即信息未經授權不能被修改、破壞。3.可用性。即能保證合法的用戶正常訪問相關的信息。4.可控性。即信息的內容及傳播過程能夠被有效地合法控制。5.可審查性。即信息的使用過程都有相關的記錄可供事后查詢核對。網絡信息安全的研究內容非常廣泛，根據(jù)不同的分類方法可以有多種不同的分類。研究內容的廣泛性決定了實現(xiàn)網絡信息安全問題的復雜性。

而通過有效的網絡信息安全風險因素分析，就能夠為此復雜問題的解決找到一個考慮問題的立足點，能夠將復雜的問題量化，同時，也為能通過其他方法如人工智能網絡方法解決問題提供依據(jù)和基礎。

網絡信息安全的風險因素主要有以下6大類：1.自然界因素，如地震、火災、風災、水災、雷電等；2.社會因素，主要是人類社會的各種活動，如暴力、戰(zhàn)爭、盜竊等；3.網絡硬件的因素，如機房包括交換機、路由器、服務器等受電力、溫度、濕度、灰塵、電磁干擾等影響；4.軟件的因素，包括機房設備的管理軟件、機房服務器與用戶計算機的操作系統(tǒng)、各種服務器的數(shù)據(jù)庫配置的合理性以及其他各種應用軟件如殺毒軟件、防火墻、工具軟件等；5.人為的因素，主要包括網絡信息使用者和參與者的各種行為帶來的影響因素，如操作失誤、數(shù)據(jù)泄露、惡意代碼、拒絕服務、騙取口令、木馬攻擊等；6.其他因素，包括政府職能部門的監(jiān)管因素、有關部門對相關法律法規(guī)立法因素、教育部門對相關知識的培訓因素、宣傳部門對相關安全內容的宣傳因素等。這些因素對于網絡信息安全均會產生直接或者間接的影響。

三、安全風險評估方法

（一）定制個性化的評估方法

雖然已經有許多標準評估方法和流程，但在實踐過程中，不應只是這些方法的套用和拷貝，而是以他們作為參考，根據(jù)企業(yè)的特點及安全風險評估的能力，進行“基因”重組，定制個性化的評估方法，使得評估服務具有可裁剪性和靈活性。評估種類一般有整體評估、IT安全評估、滲透測試、邊界評估、網絡結構評估、脆弱性掃描、策略評估、應用風險評估等。

（二）安全整體框架的設計

風險評估的目的，不僅在于明確風險，更重要的是為管理風險提供基礎和依據(jù)。作為評估直接輸出，用于進行風險管理的安全整體框架。但是由于不同企業(yè)環(huán)境差異、需求差異，加上在操作層面可參考的模板很少，使得整體框架應用較少。但是，企業(yè)至少應該完成近期1～2年內框架，這樣才能做到有律可依。

（三）多用戶決策評估

不同層面的用戶能看到不同的問題，要全面了解風險，必須進行多用戶溝通評估。將評估過程作為多用戶“決策”過程，對于了解風險、理解風險、管理風險、落實行動，具有極大的意義。事實證明，多用戶參與的效果非常明顯。多用戶“決策”評估，也需要一個具體的流程和方法。

（四）敏感性分析

由于企業(yè)的系統(tǒng)越發(fā)復雜且互相關聯(lián)，使得風險越來越隱蔽。要提高評估效果，必須進行深入關聯(lián)分析，比如對一個老漏洞，不是簡單地分析它的影響和解決措施，而是要推斷出可能相關的其他技術和管理漏洞，找出病“根”，開出有效的“處方”。這需要強大的評估經驗知識庫支撐，同時要求評估者具有敏銳的分析能力。

（五）集中化決策管理

安全風險評估需要具有多種知識和能力的人參與，對這些能力和知識的管理，有助于提高評估的效果。集中化決策管理，是評估項目成功的保障條件之一，它不僅是項目管理問題，而且是知識、能力等“基因”的組合運用。必須選用具有特殊技能的人，去執(zhí)行相應的關鍵任務。如控制臺審計和滲透性測試，由不具備攻防經驗和知識的人執(zhí)行，就達不到任何效果。

（六）評估結果管理

安全風險評估的輸出，不應是文檔的堆砌，而是一套能夠進行記錄、管理的系統(tǒng)。它可能不是一個完整的風險管理系統(tǒng)，但至少是一個非常重要的可管理的風險表述系統(tǒng)。企業(yè)需要這樣的評估管理系統(tǒng)，使用它來指導評估過程，管理評估結果，以便在管理層面提高評估效果。

四、風險評估的過程

（一）前期準備階段

主要任務是明確評估目標，確定評估所涉及的業(yè)務范圍，簽署相關合同及協(xié)議，接收被評估對象已存在的相關資料。展開對被評估對象的調查研究工作。

（二）中期現(xiàn)場階段

編寫測評方案，準備現(xiàn)場測試表、管理問卷，展開現(xiàn)場階段的測試和調查研究階段。

（三）后期評估階段

撰寫系統(tǒng)測試報告。進行補充調查研究，評估組依據(jù)系統(tǒng)測試報告和補充調研結果形成最終的系統(tǒng)風險評估報告。

五、風險評估的錯誤理解

1.不能把最終的系統(tǒng)風險評估報告認為是結果唯一。

2.不能認為風險評估可以發(fā)現(xiàn)所有的安全問題。

3.不能認為風險評估可以一勞永逸的解決安全問題。

4.不能認為風險評估就是漏洞掃描。

5.不能認為風險評估就是 IT部門的工作，與其它部門無關。

6.不能認為風險評估是對所有信息資產都進行評估。

六、結語

總之，風險評估可以明確信息系統(tǒng)的安全狀況和主要安全風險。風險評估是信息系統(tǒng)安全技術體系與管理體系建設的基礎。通過風險評估及早發(fā)現(xiàn)安全隱患并采取相應的加固方案是信息系統(tǒng)安全工程的重要組成部分，是建立信息系統(tǒng)安全體系的基礎和前提。加強信息安全風險評估工作是當前信息安全工作的客觀需要和緊迫需求，但是，信息安全評估工作的實施也存在一定的難題，涉及信息安全評估的行業(yè)或系統(tǒng)各不相同，并不是所有的評估方法都適用于任何一個行業(yè)，要選擇合適的評估方法，或開發(fā)適合于某一特定行業(yè)或系統(tǒng)的特定評估方法，是當前很現(xiàn)實的問題，也會成為下一步研究的重點。

參考文獻：

[1]剛，吳昌倫.信息安全風險評估的策劃[J].信息技術與標準化，2004，09

[2]賈穎禾.信息安全風險評估[J].中國計算機用戶，2004，24

篇8

2.信息安全風險評估方法

（1）安全風險評估。為確定這種可能性，需分析系統(tǒng)的威脅以及由此表現(xiàn)出的脆弱性。影響是按照系統(tǒng)在單位任務實施中的重要程度來確定的。風險評估以現(xiàn)實系統(tǒng)安全為目的，按照科學的程序和方法，對系統(tǒng)中的危險要素進行充分的定性、定量分析，并作出綜合評價，以便針對存在的問題，根據(jù)當前科學技術和經濟條件，提出有效的安全措施，消除危險或將危險降到最低程度。即：風險評估是對系統(tǒng)存在的固有和潛在危險及風險性進行定性和定量分析，得出系統(tǒng)發(fā)送危險的可能性和程度評價，以尋求最低的事故率、最少的損失和最優(yōu)的安全投資效益。（2）風險評估的主要內容。①技術層面。評估和分析網絡和主機上存在的安全技術風險，包括物理環(huán)境、網絡設備、主機系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫、應用系統(tǒng)等軟、硬件設備。②管理層面。從本單位的工作性質、人員組成、組織結構、管理制度、網絡系統(tǒng)運行保障措施及其他運行管理規(guī)范等角度，分析業(yè)務運作和管理方面存在的安全缺陷。（3）風險評估方法。①技術評估和整體評估。技術評估是指對組織的技術基礎結構和程序系統(tǒng)、及時地檢查，包括對組織內部計算環(huán)境的安全性及對內外攻擊脆弱性的完整性攻擊。整體風險評估擴展了上述技術評估的范圍，著眼于分析組織內部與安全相關的風險，包括內部和外部的風險源、技術基礎和組織結構以及基于電子的和基于人的風險。②定性評估和定量評估。定性分析方法是使用最廣泛的風險分析方法。根據(jù)組織本身歷史事件的統(tǒng)計記錄等方法確定資產的價值權重，威脅發(fā)生的可能性以及如將其賦值為“極低、低、中、高、極高”。③基于知識的評估和基于模型的評估。基于知識的風險評估方法主要依靠經驗進行。經驗從安全專家處獲取并憑此來解決相似場景的風險評估問題。該方法的優(yōu)越性在于能直接提供推薦的保護措施、結構框架和實施計劃。（4）信息安全風險的計算。①計算安全事件發(fā)生的可能性。根據(jù)威脅出現(xiàn)頻率及弱點的狀況，計算威脅利用脆弱性導致安全事件發(fā)生的可能性。具體評估中，應綜合攻擊者技術能力、脆弱性被利用的難易程度、資產吸引力等因素判斷安全事件發(fā)生的可能性。②計算安全事件發(fā)生后的損失。根據(jù)資產價值及脆弱性的嚴重程度，計算安全事件一旦發(fā)生后的損失。部分安全事件損失的發(fā)生不僅針對該資產本身，還可能影響業(yè)務的連續(xù)性；不同安全事件的發(fā)生對組織造成的影響也不一樣。③計算風險值。根據(jù)計算出的安全事件發(fā)生的可能性以及安全事件的損失計算風險值。

3.風險評估模型選擇

參考多個國際風險評估標準，建立了由安全風險管理流程模型、安全風險關系模型和安全風險計算模型共同組成的安全風險模型（見圖1）。（1）安全風險管理過程模型。①風險評估過程。信息安全評估包括技術評估和管理評估。②安全風險報告。提交安全風險報告，獲知安全風險狀況是安全評估的主要目標。③風險評估管理系統(tǒng)。根據(jù)單位安全風險分析與風險評估的結果，建立本單位的風險管理系統(tǒng)，將風險評估結果入庫保存，為安全管理和問題追蹤提供數(shù)據(jù)基礎。④安全需求分析。根據(jù)本單位安全風險評估報告，確定有效安全需求。⑤安全建議。依據(jù)風險評估結果，提出相關建議，協(xié)助構建本單位安全體系結構，結合組織本地、遠程網絡架構，為制定完整動態(tài)的安全解決方案提供參考。⑥風險控制。根據(jù)安全風險報告，結合單位特點，針對面對的安全風險，分析將面對的安全影響，提供相應的風險控制建議。⑦監(jiān)控審核。風險管理過程中每一個步驟都需要進行監(jiān)控和審核程序，保證整個評估過程規(guī)范、安全、可信。⑧溝通、咨詢與文檔管理。整個風險管理過程的溝通、咨詢是保證風險評估項目成功實施的關鍵因素。（2）安全風險關系模型。安全風險關系模型以風險為中心，形象地描述了面臨的風險、弱點、威脅及其相應的資產價值、防護需求、保護措施等動態(tài)循環(huán)的復雜關系。（3）安全風險計算模型。安全風險計算模型中詳細、具體地提供了風險計算的方法，通過威脅級別、威脅發(fā)生的概率及風險評估矩陣得出安全風險。

篇9

2信息安全風險評估項目的過程管理

可以從五個方面解釋信息安全風險評估項目的生命周期，即數(shù)據(jù)收集、計劃準備、數(shù)據(jù)分析、項目驗收、報告撰寫，其中一三五是風險評估的主要實施階段。

2.1計劃準備階段

（1）制定項目章程。在信息安全風險評估項目中，應盡早確認并任命項目經理，最好在制定項目章程時就任命。項目經理的職責首先就在于應該參與制定項目章程，而該章程則具有授權的作用，即它能夠使得經理能夠運用組織資源來進行項目的實施。顯而易見，項目經理是被授權的一方，必然不能成為授權項目運行有效的一方。授權項目啟動的人一般而言能夠提供實施項目所需要的資金等資源，他們能夠參與章程的編制。

（2）確定風險評估范圍。確定風險評估范圍即要了解什么方面或者對象具有風險爆發(fā)的可能，例如公司的服務器數(shù)目、電腦操作系統(tǒng)的安全性和穩(wěn)定性、應用的防火墻種類和數(shù)目等，甚至一些人為的因素也是重要的參考。

（3）明確風險評估成果。在信息安全風險評估項目中，應該在項目開始之前，與客戶將項目提交的成果及要求確定下來。明確風險評估成果之后，在項目執(zhí)行過程中，該目標也應該作為項目驗收的標準。

（4）制定項目實施方案。項目實施方案是項目活動實施的具體流程，主要用來為項目實施提供技術指導。

（5）制定項目管理計劃。如果想要計劃實施過程一切順利，或者說對定義等計劃行動的過程需要記錄的話，就會需要制定一個項目管理計劃。項目管理計劃需要通過不斷更新來漸進明細。項目管理計劃不能冗余，相反應該極其精煉，但是精煉并不意味著簡單，相反項目管理計劃應詳細論述和解釋完成這個項目所需要的一些條件。

（6）組建項目團隊。一個優(yōu)秀的項目團隊是完成項目所必不可少的，是一種必須的人力資源。在項目開始時，一般而言，由項目經理來決定優(yōu)秀團隊的組成，并且在組建團隊時應該注意談判技巧。

（7）召開項目啟動會。項目啟動會代表著一個項目從此開始了正式的運作，是一個項目的啟動階段，在項目啟動會上需要完成的任務包括分析評估完成項目所需要的方法和成本等問題。

（8）風險評估培訓。風險評估培訓是對項目團隊成員及客戶的項目參與者就風險評估方法、評估過程的相關細節(jié)性進行培訓，以便項目能順利實施。

2.2數(shù)據(jù)收集階段

主要包括收集資料、現(xiàn)場技術評估、現(xiàn)場管理評估三項任務。

（1）收集資料。數(shù)據(jù)收集階段最開始的步驟肯定是收集資料，簡而言之，收集資料就是采取一切可行的方法，盡可能詳細地獲得和項目相關的一些信息，例如客戶的行為習慣、客戶業(yè)務相關的文檔，甚至信息安全系統(tǒng)、信息化流程等信息都要盡量詳細化。

（2）現(xiàn)場技術評估?，F(xiàn)場技術評估就是通過漏洞掃描、問卷調查、現(xiàn)場訪談、主機配置審計、現(xiàn)場勘查等手段對評估對象進行評估。

（3）現(xiàn)場管理評估。現(xiàn)場管理評估是最后一個步驟，但是卻非常重要，它不僅關系著此次項目運行成功與否，還關系到以后項目效率的改進，現(xiàn)場評估需要對項目進展的流程進行綜合分析，找出不足之處，尋出與優(yōu)秀的項目管理之間的差距，歸納總結，從而完善管理程序。

2.3數(shù)據(jù)分析階段

收集數(shù)據(jù)階段已經收集了很多的數(shù)據(jù)存量，想要發(fā)現(xiàn)數(shù)據(jù)的內在規(guī)律，從而發(fā)現(xiàn)有用的東西，就必須對數(shù)據(jù)進行詳細分析，只有仔細分析數(shù)據(jù)，才能夠發(fā)現(xiàn)項目的風險所在，從而確定風險的大小，找出其資產、弱點、風險。

2.4報告撰寫階段

對收集到的數(shù)據(jù)進行了詳細分析，得到初步的結論以后，就到了報告撰寫階段，即在數(shù)據(jù)分析的基礎上，制作一份報告，論述項目的風險問題。

（1）撰寫風險評估報告。風險評估報告應該將風險分析的結果直觀地、形象地表達出來，讓管理層清楚地了解當前信息系統(tǒng)存在的風險。

（2）撰寫整改報告。整改報告則是根據(jù)風險評估的結果，提出對風險進行管理與控制的過程?？煞譃榘踩庸探ㄗh、安全體系結構建議、安全管理建議三種。

2.5項目驗收階段

在完成了以上的步驟以后，理論上就可以對項目進行驗收了，項目驗收即對前期風險評估成果的檢驗，一般包括三項內容，即報告的評審、組織會議討論驗收事宜以及內部項目總結。

（1）報告評審報告評審就是對風險評估報告及整改報告進行評審。

（2）召開項目驗收會即對項目的成果進行匯報。

（3）內部項目總結不僅僅是單純的對項目實施過程的一次簡單的回顧，還是一個經驗總結的過程，回顧過去，把握現(xiàn)在，爭取在以后的項目中不再犯同樣的錯誤。

3信息安全風險評估項目的重點領域管理

信息安全問題影響深遠，其風險評估應根據(jù)項目的特點及具體過程，且應在評估中重點加強溝通、范圍、時間、成本、風險、人力資源等幾個領域的管理。

3.1項目溝通管理

為了達到項目目標，項目經理首先必須通過溝通談判從本公司獲得相應的人力資源等支持；其次，為了獲得客戶的支持與配合，提高項目滿意度，項目經理必須與客戶進行有效溝通。項目的最終目標是滿足或者超過干系人的需求與期望。要滿足或者超過干系人的需求與期望，首先應該識別干系人，識別他們的需求與期望，制定溝通計劃，在項目實施過程中管理干系人的需求與期望。

（1）識別干系人。很顯然，與項目的相關程度不同，不同的人對項目信息安全風險具有不同的影響，作為客戶方與項目實施方，其公司企業(yè)的信息安全風險是不一樣的，一般而言客戶方具有最大的影響力，公司方則次之，干系人對項目的態(tài)度也是影響項目信息安全風險的重要因素，態(tài)度一般分為無關、支持和反對三個。

（2）了解干系人的需求與期望。應該在充分了解項目背景的基礎上，運用一定的方法與技巧了解干系人的需求與期望。①了解項目背景?？梢宰稍兪矍邦檰?、銷售人員或者查閱招標時的招標書，甚至可以通過互聯(lián)網獲得相關信息。風險評估項目的項目背景也是復雜的，一般而言會分成很多的情況，比較常見的有項目本身實施過程中出現(xiàn)的信息安全事件、監(jiān)管機制的不合理等。②了解干系人需求與期望的方法。馬期洛需求層次理論可以幫助我們了解干系人需求與期望。通過馬期洛需求層次理論可以大致了解干系人的需求，然后通過換位思考、溝通交流等手段，進一步確認干系人的需求與期望。

（3）制定溝通計劃。信息安全風險評估項目需要溝通，所以需要制定一個有效的溝通計劃。信息安全風險評估項目不能夠隨意地制定溝通計劃，而應該詳細地分析相關的影響因素，重點關注利益相關者的溝通情況，從而降低影響，提高效率。

（4）管理干系人的需求與期望。干系人的期望與需求也應該得到恰當?shù)墓芾?，最重要的是要明確期望與需求，進行類別的劃分。可分為A、B、C三類：A類：必須做（need），這一類如不做，將難以通過驗收；B類：應該做（want），這一類如不做，會影響驗收效果；C類：可以做（wish），這一類是可做可不做的，做了客戶會更加滿意，不做也不會影響驗收。其次，在管理干系人的需求與期望時，應該遵循80/20規(guī)則，即完成20%的任務實現(xiàn)80%的價值，這部分任務必須作為重點。另外，可能還有20%的任務花費80%的成本，在資源及時間允許的情況下處理此類需求與期望。再次，在管理干系人的需求與期望時也可以根據(jù)干系人的職權（權力）進行管理。①在第一象限中的干系人權力高，但對項目關注程度低，采用令其滿意的管理策略。②在第二象限中的干系人權力高，且對項目關注程度高，要對其重點管理，優(yōu)先滿足其需要與期望。③第三象限的人員對項目關注程度高，但權力較低，采用隨時告知的策略，盡量不要影響其個人利益。④第四象限的人權力低，且對項目不關注，要監(jiān)督他們對項目的反應，不引起負面影響。最后，為了滿足干系人的需求與期望，需要在項目范圍、項目時間、項目成本、項目質量之間做好平衡。

3.2項目范圍管理

范圍是一個空間的范疇，一個項目管理的范圍規(guī)定了一個項目的權限范圍，規(guī)定了項目可以做哪些事情，而哪些事情是不能做的，實際上是對必要工作的堅持和對不必要工作的摒棄。

（1）明確風險評估范圍。項目計劃準備時就要考慮風險評估范圍，在這一階段就應該定義項目范圍的廣泛性以及縱深等內容，并且考慮客戶的需求，從而明確項目管理范圍。項目范圍的確定不是一方所能夠決定的，相反這是一個博弈的過程，應該照顧各方的利益，制定出一個符合各方利益的項目管理范圍。

（2）明確風險評估成果。應該在項目開始之前，與客戶將項目提交的成果及要求確定下來。一是在項目執(zhí)行過程中，以此為目標；二是設定一個驗收項目的標準。

（3）創(chuàng)建工作分解結構。顧名思義，創(chuàng)建工作分解結構即將解構分解，即把項目的最后結果和其工作流程明細化，從而使得每一步變得簡單，更加容易操作。在信息安全風險評估項目中，第一層一般就放置項目成果，而第二層則更加側重中間成果。顯而易見，分解工作結構并不是一件簡單的事情，也不是只有一種方法，各層次都是可以相互變化的。

（4）風險評估范圍控制。范圍是所有計劃的基礎。對待客戶提出范圍變更應該遵循以下流程：首先不能明確拒絕，然后要分析客戶變更的原因及目的，快速反應變更所需要的人工及預算對時間和質量的影響，然后再做出決定。

（5）風險評估成果核實。風險評估成果核實過程應該嚴謹而且細心，因為這是一個正式驗收項目的過程，需要由客戶和項目的執(zhí)行人一起認真核實項目的最終結果。

（6）取得干系人對項目范圍正式認可。它要求審查可交付成果和工作結果，以保證一切均已正確無誤且令人滿意地完成。

3.3項目時間管理

時間管理至關重要，因為優(yōu)秀的時間管理保證項目能夠不延期交付。

（1）定義活動。定義活動從字面上理解就是一個識別的過程，定義識別的是在項目的實施過程中需要采取的一切實施方法和步驟。它是在工作分解結構的基礎上進行細化而完成的。

（2）排列活動順序。活動順序涉及到的是一個排列的問題，指的是一種依賴關系，即識別和記錄項目活動的依賴關系，是一種邏輯的過程。一般而言，這里所指的依賴關系指的是信息安全風險評估項目中，各個活動之間所具有的特性，如強制性、選擇性和外部依賴性。確定完活動之間的依賴關系，就可以對他們進行排序了，可以采用網絡圖的方法來表達他們之間的順序，常有三種關系，即完成-開始，開始-開始，結束-結束。

（3）估算活動持續(xù)時間。估算活動持續(xù)時間是一個時間上的范疇，指的是估計資源運用和消耗，以及估計完成一項活動所需工時的過程。需要根據(jù)活動的具體情況、負責活動的人員情況來進行估算。估算不能隨意，應該具有嚴格的依據(jù)。工時估算時，常采用三點估算法。即估算工時=（最樂觀時間+4×最可能時間+最悲觀時間）/6。①制定進度計劃。制定進度計劃首先需要對所掌握的信息進行深入分析，從而確定活動的順序，并且在時間和空間上確定一個相對準確的點，估算對資源的需求以及項目實施流程。制定一個有效的進度計劃并不是件簡單的事情，而是極其復雜的過程，在這期間需要一遍又一遍分析，從而確定一個合適的時間跨度，并且對項目結果有一個合適的預期。即使制訂了進度計劃，也不是一成不變的，而是要根據(jù)相關審查部門的意見適當?shù)匦薷挠媱?，從而使得計劃在時間和資源應用上更加合理。只有審查通過以后，這個進度計劃才可以說是確定下來了。信息安全風險評估項目極其復雜，很多因素無論是內部的還是外部的，都對項目有很大的影響，并且鑒于有限的項目組成員，所以需要采用一個更加合適的進度計劃形式。②控制進度?？刂七M度的同時也是一個對項目監(jiān)督管理的過程，這一過程根據(jù)進度計劃的基準不斷地調整項目的進程。進度控制程序：一般分為四個步驟，即先要分析一個項目所散發(fā)的狀態(tài)信息；然后如果需要調整進度，就要調整影響進度的相關參數(shù)；再次分析以后，要確定一個項目是否在原定的軌道上；如果進度脫離了軌道，就要進行相應的管理。

3.4項目成本管理

成本管理包括估算成本、制定預算、控制成本三項任務。

（1）估算成本。對成本的估算需要囊括整個項目的進程，時間跨度和空間跨度上均要全面。成本估算是在某特定時點，根據(jù)已知信息所做出的成本預測。信息安全風險評估項目的主要成本是人工成本及實施直接成本，因為人工成本占了所有成本的一大部分，所以精確地估算人工成本是成本估算最基礎的一面。估算人工成本有個前提，即進度計劃是準確的，從而對團隊成員的人工估算做到精確。項目成本即使估算出來了，也不一定是準確的，需要時時修正，因為越到了項目的后期，需要估計的越少，影響估算準確性的因素也越少，所以成本估算需要不斷進行。

（2）制定預算。制定預算也是一個估算的過程，是對一個項目的所有方面進行一個全面的評估，從而為以后資金的撥付制訂了基礎和基準。只有制定預算，才能夠根據(jù)預算的需求來劃撥資金，并且影響到了項目的實施全過程和成果評估部分。

（3）控制成本。成本的控制一般而言指的是成本不應該超出預算，控制成本是一個動態(tài)的過程，是監(jiān)督項目狀態(tài)，從而獲得有用信息以更新項目預算。項目成本控制包括：找出影響項目成本的因素，并作相應的修改；保證修改項目參數(shù)能夠成功；在修改成功以后，要隨時動態(tài)地監(jiān)督；控制成本，使得成本控制在預算的范圍之內，甚至應該精確到每一項開支；分析成本與預算成本基準之間的差距；對照資金支出，監(jiān)督工作績效；嚴格禁止不相關的支出，使得每一項成本都合情合理；向有關干系人匯報項目進展和成本控制的工作；即使項目超支了，也要盡量減少成本。

3.5人力資源管理

人力資源管理在一個項目執(zhí)行時包括很多方面的內容，例如管理組織一個實施團隊、人員分工等。

（1）制定人力資源計劃。制定人力資源計劃是在項目實施之前對實施項目的團隊、人員、職務、報酬等方面的規(guī)劃，并且對各個人和團隊的責任進行詳細劃分。人力資源計劃包含項目角色與職責記錄、分成的各個部門等。一些信息安全風險評估項目執(zhí)行時間比較長，因此需要更加有效的團隊，這就需要對人員進行培訓以及制定團隊建設策略等。風險評估項目的責任分配并不復雜，可采用責任分配矩陣（RAM），這個矩陣能夠顯示工作包或活動與項目團隊成員之間的聯(lián)系。并且根據(jù)需求的不同，制定不同層次的矩陣。

（2）組建項目團隊。組建項目團隊實際上是對人力資源使用和分配的過程，需要了解人力資源的各種特性，從而組建最合適的管理團隊，在組建團隊時需要注意：項目經理所要做的是積極地與人力資源人員進行交流，充分掌握各方面的信息，從而獲得最合適和最有效率的人才。但是有時候項目經理并不能總是如愿地獲得自己想要的人力資源，而是會受到如經濟等其他項目對資源的占用等因素的影響，從而制約了項目的實施，作為替代，項目經理可能不可避免地使用不合適的人力資源。

（3）管理項目團隊。管理項目團隊是選出來運營項目的人所組成的團隊，他們具有多樣化的目標，例如繼續(xù)學習，提高團隊成員的專業(yè)技能，增強團隊的執(zhí)行能力從而保證項目結果的按時交付；以最低的成本完成最高質量的項目；按時完成項目，團隊成員之間相互協(xié)作，增加團隊效率，豐富團隊成員的知識，增強其跨學科運作能力，提高團隊的凝聚力，無論整體上還是個人上都有效率的提升等。項目經理在期間應該全權負責項目團隊的管理運作，增加項目績效，在團隊出現(xiàn)問題時，分析導致問題的原因，然后解決問題。團隊建設一般要經過5個階段：①形成階段，這個階段是團隊形成的最初階段，團隊成員只是互相認識，并沒有相應的合作。②震蕩階段，指的是團隊已經開始運作，但是成員之間需要磨合的階段。③規(guī)范階段，過了磨合期以后，團隊成員彼此之間逐漸適應了彼此的節(jié)奏，能夠進行初步合作了，團隊開始有成為一個有效整體的趨向。④成熟階段，這一階段團隊成員之間已經能夠精誠合作，互補余缺，相互學習，團隊效率較高。⑤解散階段，即當項目完成以后，各成員完成了職責，從而脫離團隊。因為各種各樣的原因，例如缺乏充足的資金、進度安排不合理、團隊成員之間缺乏配合等，會造成項目環(huán)境的沖突。如果項目經理能有效管理，則意見分歧能夠轉變?yōu)閳F隊的多樣化管理，不僅能夠提高團隊創(chuàng)造力還有利于做出更好的決策。如果管理不當，團隊之間的分歧沒有得到解決，就可能會加大團隊成員之間的鴻溝，從而對項目的實施產生負面的影響。要建設高效的項目團隊，項目經理需要獲得高層管理者的支持，獲得團隊成員的承諾，采用適當?shù)莫剟詈驼J可機制，創(chuàng)建團隊認同感，有效管理沖突，團隊成員間增進信任和開放式溝通，特別是要有良好的團隊領導力。項目團隊管理的一些工具與技術包括：①人際關系技能。通過了解項目團隊成員的感情來預測其行動，了解其后顧之憂，并盡力幫助解決問題，項目管理團隊可大大減少麻煩并促進合作。②培訓。旨在提高項目團隊成員能力的全部活動，培訓可以是正式或非正式的。應該按人力資源計劃中的安排來實施預定的培訓。③制定管理規(guī)范，對項目團隊成員的可接受行為做出明確規(guī)定。盡早制定并遵守明確的規(guī)則，可減少誤解，提高生產力。規(guī)則一旦建立，全體項目團隊成員都必須遵守。④認可與獎勵。如果想要提高項目團隊的效率，使得每個人更加盡心和更加富有責任感，就應在團隊建設過程中引進相應的激勵機制，在制定項目計劃時就應該考慮到團隊成員的獎懲問題。在管理項目團隊的過程中，團隊成員的獎勵不是隨意而發(fā)的，而是通過項目績效評價，以正式或非正式的方式做出獎勵決定。只有優(yōu)良行為才能得到獎勵。

3.6項目風險管理

項目風險管理旨在降低風險，或者把風險控制在可控范圍之內。其目標是盡力使得項目運行向著有利的方面轉化，對消極負面的一部分則注意防范。信息安全風險評估項目不屬于特別大的項目，所以一般分為識別風險、評價風險、規(guī)劃風險應對、監(jiān)控風險四個過程。

（1）識別風險。識別風險是風險管理的前提，是一個信息處理的過程，在這個過程中判斷分析什么樣的風險會影響項目。可采用核對表的方式進行風險識別。

（2）評價風險。對于信息安全風險評估項目，評價風險只需要定性評價即可。實施定性風險分析根據(jù)風險發(fā)生的相對概率或可能性、風險發(fā)生后對項目目標的相應影響以及其他因素來評估已識別風險的優(yōu)先級。

（3）規(guī)劃風險應對。規(guī)劃風險應對是風險管理最重要的步驟，其規(guī)劃的是項目的目標及降低風險的步驟。對于消極風險，常有回避、轉移、減輕、接受四種方式；對于積極風險，常有開拓、分享、提高、接受四種方式。

（4）監(jiān)控風險。監(jiān)控風險是風險管理的最后一步，也是第一步，因為它是貫穿在整個項目之中，是一個制定風險應對計劃、監(jiān)控已知風險、加強管理以解決風險以及發(fā)現(xiàn)新風險的過程。

篇10

中圖分類號:TP309文獻標識碼:A 文章編號:1009-3044(2010)19-5129-03

The Research for Information Security Risk Assessment Based on AHP Method

ZENG Li-mei, JIANG Wen-hao

(School of Computer Science and Technology , Chongqing University of Posts and Telecommunications, Chongqing 400065, China)

Abstract: The risk assessment of information security evolves four fundamental elements included information capital, the fragility of information capital, the encountering threats and the possible risk in information capital. The key problem for risk assessment relies on the weight among risk factors. This issue takes an enterprise as an example, introduced a method called Analytic Hierarchy Process (AHP) to evaluate the risk of systems. The results show that this method can be applied well to information security risk assessment.

Key words: information security; information capital; risk assessment; Analytic Hierarchy Process (AHP)

計算機網絡技術在當今社會迅猛發(fā)展并且得到廣泛應用,使得各行各業(yè)對信息系統(tǒng)的依賴日益加深,信息技術幾乎滲透到了社會生活的方方面面。信息系統(tǒng)及其所承載信息的安全問題日益突出,為了在安全風險的預防、減少、轉移、補償和分散等之間做出決策,需要對網絡系統(tǒng)進行信息安全風險評估。

信息安全風險評估,是指依據(jù)國家有關信息安全技術標準,對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學評價的過程[1]。風險評估是提高系統(tǒng)安全性的關鍵環(huán)節(jié),通過風險評估,了解系統(tǒng)的安全狀況,將信息系統(tǒng)的風險控制在可接受的范圍內。

1信息系統(tǒng)安全風險評估要素

1.1 風險評估的各要素

信息系統(tǒng)安全風險評估要素及其各要素間的關系如圖l所示。

圖1中,整個模型的核心是風險,資產、脆弱性和威脅是風險評估的基本要素。風險評估的工作圍繞其基本要素展開 。

1.2 風險評估各要素之間的關系

風險評估基本要素之間存在以下關系:

資產是信息系統(tǒng)中需要保護的對象,資產完成業(yè)務戰(zhàn)略。單位的業(yè)務戰(zhàn)略越重要,對資產的依賴度越高,資產的價值就越大,資產的價值越大風險則越大。

風險是由威脅引起的,威脅越大風險就越大,并很有可能演變成安全事件。

脆弱性是資產中的弱點。威脅利用脆弱性,脆弱性越大風險就越大。

安全需求由資產的重要性和對風險的意識導出。安全措施可以抗擊威脅,降低風險,減弱安全事件的不良影響。

風險不可能也沒有必要降為零,在實施了安全措施后還會有殘留下來的風險,稱為殘余風險。殘余風險可以接受,但應受到密切監(jiān)視,因為它可能會在將來誘發(fā)新的安全事件[2]。

2 風險評估方法

目前國內外存在很多風險評估的方法,還沒有統(tǒng)一的信息安全風險分析的方法。在風險評估過程中根據(jù)系統(tǒng)的實際情況,選擇合適的風險評估方法。風險評估的方法概括起來可分為三大類:定性分析方法、定量分析方法、定性和定量相結合的分析方法。[3]

2.1定性分析方法

定性分析方法是一種典型的模糊分析方法,可以快捷的對資源、威脅、脆弱性進行系統(tǒng)評估。典型的定性分析方法有邏輯分析法、因素分析法、德爾斐法、歷史比較法[4] 。

定性評估方法的優(yōu)點是全面、深入,缺點是主觀性太強,對評估者要求高。

2.2 定量分析方法

定量分析方法是在定性分析的邏輯基礎上,通過對風險評估各要素的分析,為信息系統(tǒng)提供系統(tǒng)的分析手段。典型的定量分析方法有決策樹法、回歸模型、因子分析法。

定量分析方法的優(yōu)點是直觀、明顯、客觀、對比性強,缺點是簡單化、模糊化、會造成誤解和曲解。

2.3 定性和定量結合的綜合評估方法

定量分析是定性分析的基礎和前提,定性分析應該建立在定量分析的基礎上才能揭示客觀事物的內在規(guī)律。不能將定性分析方法與定量分析方割裂,而是將這兩種方法融合起來,發(fā)揮各自的優(yōu)勢,采用綜合分析評估方法。主要的綜合分析方法有模糊綜合評價方法、層次分析法、概率風險評估等。[5]

3 AHP方法

3.1 層次分析法簡介

層次分析法(AHP)是美國運籌學家薩蒂(T.L.Saaty)于20世紀70年代初提出的一種定性與定量分析相結合的多準則決策分析方法,該方法簡便、靈活又實用。

層次分析法的基本思想是在決策目標的要求下,將決策對象相對于決策標準的優(yōu)劣狀況進行兩兩比較,最終獲得各個對象的總體優(yōu)劣狀況,從而為決策者提供定量形式的決策依據(jù) [6] 。

3.2 系統(tǒng)分解,建立層次結構模型

層次模型的構造是運用分解法的思想,進行對象的系統(tǒng)分解。它的基本層次包括目標層、準則層、方案層三類。目的是建立系統(tǒng)的評估指標體系。層次結構如圖2所示。

3.3 構造判斷矩陣

判斷矩陣的作用是同層次的兩兩元素之間的相對重要性進行比較。層次分析法采用1～9標度方法,對不同情況的評比給出數(shù)量標度,如表1所示。[7]

構造判斷矩陣,判斷矩陣A=(aij)n×n有如下性質:①aij>0;②當i≠j時,aji=1/aij;③當i=j時,aij=1。aij為i與j兩因素相對權值的比值。

3.4 層次排序

步驟一:將A的每一列向量歸一化。

步驟二:對按列歸一化的判斷矩陣,再按行求和。

步驟三:將向量歸一化。

3.5 一致性檢驗

步驟一:計算判斷矩陣的最大特征根。

式中(AW)i表示AW的第i個元素。

步驟二:計算一致性指標。

式中,λmax 表示比較判斷矩陣的最大特征根,n表示比較判斷矩陣階數(shù)。

步驟三:計算一致性比率。

當 CR

平均隨機一致性標度如表2所示。

4.評估方法實際應用

4.1 建立信息安全風險評估模型

為了突出風險評估的重點,對信息系統(tǒng)風險的評價指標進行適當?shù)暮喕?建立某企業(yè)信息安全風險評估層次結構模型,如圖3所示。

4.2 風險評估結果

根據(jù)圖3各評估因素及其相互關系,建立兩兩比較判斷矩陣,如表3、表4、表5、表6所示,用AHP方法求解一致性比率CR,判斷矩陣是否具有滿意一致性。

表3G-C的判斷矩陣

表4C1-P的判斷矩陣 表5C2-P的判斷矩陣 表6C3-P的判斷矩陣

以上結果CR均小于0.1,表明比較判斷矩陣都滿足一致性檢驗標準。由以上結果求的最終的總層次排序結果如表7所示。

5 結束語

在信息系統(tǒng)風險評估中,風險評估方法一直都是研究的關鍵點。本文采用層次分析法對風險評估的指標進行了分析,通過分析研究可得,層次分析法在風險評估和等級劃分的實際應用中是一種行之有效、可操作性強的方法,可以很好的應用于信息安全風險評估。

參考文獻:

[1] GB/T 20984-2007,信息安全技術信息安全風險評估規(guī)[S].中華人民共和國國家標準,2007.

[2] 向宏,傅鵬,詹榜華.信息安全測評與風險評估[M].北京:電子工業(yè)出版社,2009:319.

[3] 王偉,李春平,李建彬.信息系統(tǒng)風險評估方法的研究[J].計算機工程與設計,2007,28(14):3473-3474.

[4] 范紅,馮登國,吳亞非.信息安全風險評估方法與應用[M].北京:清華大學出版社,2006:49-50.