当前位置：文档之家 › 信息系统安全风险评估综述 (1)

信息系统安全风险评估综述 (1)

  • 格式：pdf
  • 大小：323.16 KB
  • 文档页数：4

下载文档原格式

  / 4

合集下载

实时风险评估综述

实时风险评估综述

实时风险评估综述作者：何丽来源：《电脑知识与技术》2014年第06期摘要：网络安全风险评估方法主要分为两类：静态风险评估和实时风险评估。

由于静态风险评估问题重重，使得实时风险评估越来越受到关注。

该文针对目前国内外实时风险评估研究现状做了比较详细深入地介绍，对所提出的具有代表性的实时风险评估方法的设计原理做了详细的说明，并经深入地分析给出了其各自客观存在的现实问题。

最后预测和分析了未来实时风险评估研究的可能方向。

关键词：实时风险评估；隐马尔科夫模型；非负矩阵分解；人工免疫中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）06-1176-02A Survey On Real-Time Risk AssessmentHE Li（Department of Computer， Guangdong AIB Polytechnic College，Guangzhou 510507，China）Abstract： The risk assessment methods for network security are classified into two categories in this paper： the static risk assessment and the real-time risk assessment. Because of lots of problems about the static risk assessment， the real-time risk assessment is becoming more and more concerned about. Current status of the Study on real-time risk assessment are described in detail in this paper，and the design principles and existing problems of it are systematically discussed. Besides， some open problems in the development of real-time risk assessment are presented and analyzed in the end.Key words： real-time risk assessment； hidden Markov models； Non-Negative Matrix Factorization； artificial immune目前网络安全风险评估方法有两类：传统风险评估和实时评估，传统风险评估主要是基于一些国际标准来进行的，有代表性的是ISO/IEC27002（即ISO/IEC17799）[1]、CC[2]（即ISO/IEC15408）、SSE-CMM[3]、ISO/IEC13335，国内也制定了以《信息安全风险评估指南》为基础的一系列标准，比如2006年3月14日正式颁布了GB/T20261-2006的国家标准，于2008年11月1日开始实施的国家标准GB/T 22080-2008和国家标准GB/T 22081-2008（分别等同于国际标准ISO/IEC 27001：2005和ISO/IEC 27002：2005）。

信息系统风险评估总结汇报

信息系统风险评估总结汇报

信息系统风险评估总结汇报尊敬的领导和各位同事：
我很荣幸能够在这里向大家总结汇报我们团队进行的信息系统风险评估工作。

信息系统在现代企业中扮演着至关重要的角色，因此对其风险进行评估和管理显得尤为重要。

在本次风险评估中，我们团队首先对公司的信息系统进行了全面的调研和分析，包括系统的安全性、可靠性、完整性等方面。

通过对系统进行渗透测试、漏洞扫描、日志分析等手段，我们发现了一些潜在的风险和安全隐患。

这些风险可能会导致系统遭受黑客攻击、数据泄露、系统崩溃等严重后果，对公司的正常运营造成严重影响。

在识别和分析了这些风险之后，我们团队制定了相应的风险管理策略和措施。

这些措施包括加强系统的安全防护措施、定期更新和维护系统、加强员工的安全意识培训等。

通过这些措施的实施，我们可以有效地降低系统风险，保障公司信息系统的安全和稳定运行。

在未来的工作中，我们团队将继续对信息系统进行定期的风险评估和管理，及时发现和应对系统中的安全隐患，确保公司信息系统的安全和稳定运行。

同时，我们也将不断完善和提升风险评估的方法和手段，以应对日益复杂和多样化的网络安全威胁。

最后，我要感谢团队成员们在本次风险评估工作中的辛勤付出和努力，也感谢领导和各位同事对我们工作的支持和关注。

我们将继续努力，为公司的信息系统安全保驾护航。

谢谢大家！。

信息安全风险评估综述

信息安全风险评估综述

信息安全风险评估综述哎呀，信息安全风险评估这个话题听起来是不是有点“高大上”？别急，我们从头来，慢慢聊。

它就是要弄清楚，咱们平时在网络世界里，可能会遇到的那些隐形的危险。

不管是黑客攻击、病毒入侵，还是因为你随便点个链接，电脑就中招了，这些问题，都算是信息安全中的“坑”。

说白了，信息安全风险评估，就是帮我们找出这些“坑”，然后告诉我们，咋躲避，咋防范。

那到底怎么评估呢？其实就是通过一些方法，看看你目前的网络环境到底有多危险，哪些地方容易出事，咱们能做什么，才能让这些风险少一点，问题不至于这么严重。

你别看信息安全风险评估是一个“硬核”话题，但说白了，它就是一张“风险地图”，告诉你哪里有雷，哪里没雷，咱们得怎么走。

就好比你出去爬山，山路旁边的崖壁很陡，可能脚下一踩就滑倒；而旁边的山林又有很多隐形的危险，或许你没注意就踩到了蛇。

通过风险评估，你就能知道这些隐患在哪里，走得更稳，少受点摔跤的痛。

毕竟，在这个信息化社会，谁能保证自己的数据不被盗、设备不被黑，信息不被泄露呢？这不仅仅是个人的事，更是企业的事，是每一个关乎我们生活的隐患。

好啦，既然风险评估这么重要，咱们就聊聊它的具体操作。

信息安全风险评估并不是凭空猜测的事，而是要按照一定的步骤来进行。

要搞清楚的是，评估的对象是谁，评估的目的是什么？是对一个企业的整个IT系统进行评估，还是针对某一个具体的应用、平台进行风险分析？这样一来，评估的方式、方法就完全不一样了。

举个例子，假设你家是一个大企业，业务系统一堆，员工也很多，咱得通过综合的方式来看，哪些系统最重要，哪些数据最容易被黑，哪些环节最容易被攻击。

你是不是有点儿明白了？这就是让你知道最脆弱的地方，帮你打个提前预防针。

说到这里，很多人可能会有点疑问了：“我们咋知道这些地方到底危险不危险？”哎呀，这就要依赖一些具体的评估方法了。

一般来说，评估方法大致分为定性评估和定量评估。

定性评估，简单来说，就是先找出可能的威胁，比如黑客入侵、病毒攻击、员工泄露等。

信息安全风险评估报告51753

信息安全风险评估报告51753

XXXXX公司信息安全风险评估报告历史版本编制、审核、批准、发布实施、分发信息记录表一. 风险项目综述1.企业名称: XXXXX公司2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服务的企业。

3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。

4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。

二. 风险评估目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。

三. 风险评估日期：2017-9-10至2017-9-15四. 评估小组成员XXXXXXX。

五. 评估方法综述1、首先由信息安全管理小组牵头组建风险评估小组；2、通过咨询公司对风险评估小组进行相关培训；3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法；4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单；5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级；6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施；7、对于可接受的剩余风险向公司领导汇报并得到批准。

六. 风险评估概况根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。

主要工作过程如下：1.2017-9-10 ~ 2017-9-10，风险评估培训；2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法；3.2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类；4.2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS工作组内审核；5.2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表；6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作组组织审核，并最终汇总形成本报告。

系统集成项目保密风险评估报告

系统集成项目保密风险评估报告

系统集成项目保密风险评估报告目录1. 内容综述 (2)1.1 项目背景 (3)1.2 报告目的及范围 (3)1.3 报告结构 (4)2. 保密风险评估 (6)2.1 保密资产识别 (7)2.2 威胁分析 (8)2.3 脆弱性分析 (10)2.4 风险等级分析 (12)3. 保密风险控制措施 (13)3.1 技术控制措施 (14)3.1.1 信息加密与脱敏技术 (15)3.1.2 信息访问控制技术 (16)3.2 管理控制措施 (19)3.2.1 保密协议及合同管理 (20)3.2.2 数据分类及标记管理 (22)3.2.3 安全培训及意识提升 (23)3.2.4 安全审计及监控措施 (24)3.3 操作控制措施 (25)3.3.1 人员准入控制 (27)3.3.2 信息传输安全控制 (27)3.3.3 移动设备安全管理 (29)4. 风险应对策略 (30)4.1 风险优先级排序 (31)4.2 风险应对措施方案建议 (33)4.3 评估误差控制和恢复方案 (34)5. 预期效果与后续工作 (37)5.2 后续任务计划 (39)1. 内容综述本保密风险评估报告旨在对即将进行的系统集成项目中的潜在保密风险进行全面识别、分析和评估。

项目涉及关键业务信息、敏感数据和或内部专有技术的传输、存储和处理。

此报告将遵循风险管理最佳实践，使用业界标准的流程和方法来评估和管理风险。

报告结构分为几个主要部分：初始背景和项目概述、风险识别过程、风险分析、风险评估矩阵、风险缓解策略和行动计划、评估结论和推荐，可能包括影响评估表、相关法规和指导原则引用以及参考资料。

在初始背景和项目概述部分，将详细描述项目目标、预期成果、参与方、关键技术和业务流程。

风险识别过程将介绍如何识别可能威胁项目保密性的潜在风险因素，包括内部和外部的风险来源。

风险分析将深入探讨每个风险的可能性和影响，并探讨业务连续性和灾难恢复策略如何适当地处理现有风险。

电子政务系统信息安全风险的综合评价

电子政务系统信息安全风险的综合评价

其 它 ，然 后逐 层 细 化 分析 。针 对 安全 风 险 我 从 安全 风 险 发 生 循 、 有章 不 循 的 现 象依 然 存 在 。要 进 ～ 步 建 立健 全 有 关规 章 制
的概 率 和 安 全风 险 发 生 的 后果 来 考 虑 ，而 安 全 风 险发 生 的 概率 度 ，加 强规 章 制 度 的 可操 作 性 、 可检 查 性 和 可控 性 。规 章制 度 和 安全风 险发 生的 后果 我 们又 可 以从 物 理层 、 网络 层 、系统 层 、 要 覆 盖 整 个 电子 政 务 系 统 的每 个 方 面 、每 个 环 节 。并 随 着 系统 的 升 级 更 新而 动 态 变 化 。在 加 强 对有 关人 员 进行 安全 与保 密教 应用 层 、管理 层等 五个 方 面来考 虑 ，然 后逐 层细 化分 析 。
１ 、电子政务系统信息安全风险指标体系构 建 的理论依据
信 息 安全 是 一 个 广泛 而 抽 象的概 念 ，其定 义 为 ：为了 防止 未 授 权 用户 对 资产 进 行使 用 、滥 用修 改而 采 取的 措施 。信 息安
运用 层 次 分析 法给 出了 各 指标 的权 重 。 指 出管 理安 全 在保 障 电
些 目标 的含义 如下 ： （）保 密 性 目标 要 求确 保 信 息不 泄 露给 非授 权 的用 户或 实 １ 体 。对 于某 些 特 定 的 电子政 务 系 统和 数 据 ，保 密性 目标是 最 重
要 的信息 安全 目标 。
（） 完整 性 目标 要 求确 保 信 息未 经 授权 不 得 更改 。即信 息 ２ 在 存储 或传 输过 程 中保证 不 被删 除 、修 改 、伪 造 、乱序 、重 放 、
●ｌ ＾ ＇ｌ ● 【
诧

4.1信息系统安全风险教学设计高二信息技术教科版必修2

7.课后拓展，提升素养：布置课后拓展任务，如查找信息安全领域的最新动态、技术文章等，鼓励学生自主学习，提升信息安全素养。
8.教学评价，关注过程：注重过程性评价，关注学生在课堂上的表现，及时给予反馈，激发学生的学习积极性。
9.跨学科整合，拓宽视野：将信息安全与数学、物理、政治等学科相结合，拓宽学生的知识视野，提高解决问题的能力。
3.导入新课：教师总结学生的回答，引出本章节的学习内容——信息系统安全风险，并强调学习信息安全的重要性。
（二）讲授新知（500字）
1.教学内容：教师讲解信息系统安全风险的基本概念、分类和特点；信息安全风险评估的基本方法；常见的信息安全技术及其应用；信息安全法律法规和道德规范。
2.讲解方法：运用PPT、实物演示、案例分析等多种教学手段，直观地呈现信息安全知识，帮助学生理解。
5.关注信息安全领域的发展动态，树立终身学习的观念，不断提高自身信息安全素养。
二、学情分析
在本章节的教学中，考虑到高二年级学生的特点，他们在认知、情感、技能等方面已具备一定的基础。学生在之前的学习中，已经掌握了计算机硬件、软件和网络基础知识，具备了一定的信息技术素养。在此基础上，他们对信息系统安全风险的学习有以下特点：
2.归纳方法：通过思维导图、表格等方式，梳理本节课的知识点，形成知识体系。
3.教学总结：教师强调信息安全在日常生活和学习中的重要性，提醒学生树立信息安全意识，养成良好的信息安全行为习惯。同时，鼓励学生在课后继续深入学习信息安全相关知识，提升自身信息安全素养。
五、作业布置
为了巩固本章节所学知识，提升学生的信息安全素养，特布置以下作业：
1.创设情境，激发兴趣：结合生活实例，如网络购物、个人信息泄露等，引发学生对信息安全风险的关注，激发学习兴趣。

信息安全风险评估研究综述

信息安全风险评估研究综述随着信息技术的迅速发展，信息安全问题已成为全球普遍关注的问题。

信息安全风险评估是信息安全领域中的一项基础性工作，其主要目的是评估信息系统和网络中存在的风险，为信息安全保障提供科学依据。

本文将对信息安全风险评估的概念、方法、现状和挑战进行综述。

一、信息安全风险评估的概念信息安全风险评估是一种对信息系统和网络的风险进行全面评估的过程，目的是为了确定系统的安全性和提供安全防护措施。

通俗来说，风险评估就是对系统的可能存在的威胁进行评估，并确定其对业务运作的可能影响。

信息安全风险评估是一项非常重要的工作，它可以帮助机构或企业评估其信息系统和网络的安全状态，及时发现风险问题并加以解决，从而保障信息安全。

二、信息安全风险评估的方法1.定性评估法定性评估法是一种基于经验和直觉的风险评估方法，它主要是通过可行性分析和专家咨询，来确定风险等级和可能造成的影响。

这种方法的优点是快速和简便，但缺点是主观性强，难以量化。

2.定量评估法定量评估法是一种基于详细的数据和数据分析的风险评估方法。

它通过使用统计学和数学模型，定量化风险，并计算基于量化评估的风险。

这种方法的优点是更加准确和客观，但缺点是需要进行大量的数据采集和分析。

3.半定量评估法半定量评估法是一种介于定性和定量评估之间的方法。

它通过使用主观和客观的因素来评估风险，并将其编码为数字，以提高评估的准确性。

这种方法的优点是比较灵活，既考虑了主观因素，又考虑了客观因素，但缺点是可塑性不够强。

三、信息安全风险评估的现状目前，越来越多的组织和企业开始意识到信息安全的重要性，信息安全风险评估也变得越来越重要。

国际标准组织ISO和国家标准化管理委员会CNTA都发布了相关标准，对信息安全风险评估提出了要求。

国内外的大型IT公司和科技服务供应商也正积极开展信息安全风险评估服务。

信息安全领域的专业人士也在不断研究和完善风险评估技术和方法。

四、信息安全风险评估面临的挑战信息安全风险评估在实践中面临着许多挑战：1.数据采集不足和数据质量问题评估的基础是数据，如果没有足够、准确、可靠的数据支持，风险评估将不能准确进行。

信息安全风险评估方法

问题 ： 如何 得 到 一 致 的 、 可 比较 的 、
全 领 域 的 新 生 事 物 ，或 者 说 舶 来 之 到 某 个 风 险 上 ； 更有甚 者 ， 比 如 上 次 对 于 某 个 重 要 系 统 ，由 于 没 有 必 要
可 重 复 的 风 险 评 估 结 果 ，来 加 以 分 物 ，尽 管 信 息 安 全 本 身 在 国 内 开 展
是 以 信 息 资 产 为 对 象 的 定 性 的 风 险 评 估 。 基 本 方 法 是 识 别 并 评 价 组 织 ／企 业 内 部 所 要 关 注 的 信 息 系 统 、
中 ，一 般 大 的 企 业 都 会 有 个 基 本 的 是 意 味 着 很 大 呢 ？或 者 问 我 们 企 业 年度 预算 ， Ｉ Ｔ／安 全 占 企 业 年 度 预 风 险 评 估 结 果 某 项 风 险 值 为 ３ ０的
析讨论 。
也不过是 １ ０来 年 ， 风 险 评 估 作 为 先 的 操 作 规 程 而 导 致 误 操 作 而 影 响 系 进 思 想 也 存 在 着 类似 “ 马 列 主 义 要 统 安 全 的风 险 ， 采取 、 规 范 了操 作 流
１ ． 风 险 评 估 的 现 状
风 险 理 论 也 逐 渐 被 广 大 信 息 安 与 中国 的 实 际 国情 结 合 走 中 国特 色 程 并 且 培 训 了 相 关操 作 人 员 等 控 制 全 专 业 人 士 所 熟 知 ， 以 风 险 驱 动 的
安 全 咖啡屋
计 算 机 与 网 络 创 新 生 活
从 最 开 始 接 触 风 险 评 估 理 论 到 现 在 ， 已 经 有 将 近 ５个 年 头 了 ， 从
２ ．风 险 评 估 的 突 出 问 题

信息安全风险评估综述

状 况做 出评 估 ，它更 加注 重 的是 安全 事件 发 生 后带 来 的损失 ，而 忽略 安全 事 件发生 的 概 。因为 定性评 估 方法 中的很 多元素 都是 无 法 量化 的 ，所 以评估 结果 会稍 显 粗糙 ，比较 适 用于 资料 不充 分时 的风 险评 估 。 但 是 定 性 评 估 方 法 往 往 又 可 以 挖 掘 出
之重。 互 联 网 的 快 速 发 展 给 人 们 的 生 活 带 来
和 思维 方式 ，社 会环 境也 在逐 渐 发生 变化 ， 人 们 之 间信 息 的交 流更加 方便 ，资源 得到 了 共 享 。但是 ，由于 网络是 一个 开 放的 环境 ， 各 种 各样 的人都 可 以进 入 ，这 样就 带 来的安 全 隐 患 。随 着信 息化 时 代的 发展 ，信 息系 统 的 安全 对政 治 、经济 、文化 、教 育 、科研 等 都 会 产生 巨大 的影 响 。对 信 息 系统安 全风 险 的 评估 是 为 了使 系统 更加 合理 ，使得 安全 隐 患 更少 ，能 让人 们在 使用 时更 加安 全 。 ２ ． １ 定性评 估 方法 定 性 评 估 方 法 是 风 险 评 估 中 最 为 常 用 的 一 种 方 法 ， 它是 基 于 评 估 者 的知 识 、 经 验 、历史 教训 等无 法量化 的 元素 对 系统风 险
３信息安全风险评估过程
风 险 评估 是 在 一 定 的评 估 标 准 之 下 进 行 的 ，评 估标 准是 所 以活动 开展 的基 础和 前 提 。进行 评 估的过 程 中又需 要利 用相 关的评 估 技术 、评 估方 法 、评 估 工具 ，针对 信息 系 统 展开全 面 的风 险评估 。风 险评 估的 过程 中 要根 据评 估 的实 际情况 ，选 择正 确合适 的评 估 方法 ，好 的评 估方法 可 以提高 评估 结果 的 准 确率 。而 不同 的评估 方法 又往 往会 有一 定 的缺 陷 ，这就 需要 在合 适的 地方 选择 合适 的 评 估方法 ，扬长避 短 ，最终 取得 最佳 效果 。
  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2) 风险评价过程中对风险发生可能性及其影响的评 价 。风险评价过程中不可避免地需要分析者进行主观判 断 , 怎样减少评估结果的主观性增加其客观因素是风险评 价过程的难点 , 另外风险发生造成的影响也很难用一种标 准度量 , 例如声誉损失就很难准确地用金钱来度量 。
3) 风险评估过程中评估方和被评估信息系统所在组 织之间的交互常常存在问题 。被评估信息系统所在组织的 高层管理人员可能因为利益 、隐私等原因在评估过程中不 愿意提供一些评估所需资料或者对评估过程实行限制 , 这 样将导致风险评估所搜集的信息可能不完整和不准确 , 导 致风险评估的质量不高 。
综述与述评
ITA
●宋 艳 , 陈冬华 (哈尔滨工程大学 , 黑龙江 哈尔滨 150001)
信息系统安全风险评估综述 3
摘 要 : 随着信息技术和网络技术的飞速发展 , 国民经济 、社会生活的各个方面对信息系统的依赖程 度越来越高 , 安全问题也日益凸显 。信息系统安全风险评估作为衡量系统安全性的重要手段 , 为信息系统 的建设和管理决策提供了重要依据 。本文对信息系统安全进行了定义 , 并与信息安全加以区别 。描述了风 险评估的模型 , 按照定量分析和定性分析方法介绍了典型的评估方法并做了具体的比较 。最后探讨了当前 我国信息系统安全风险评估中存在的问题及发展方向 。
一般来说 , 信息系统安全概念分为 3个层次 : 通信保 密 (Communication Security) 、信息防护 ( Information Pro2 tection) 和信息保障 ( Information A ssurance, IA ) [2 ] 。
2 风险评估模型
211 风险评估要素关系模型 信息系统安全风险评估 (R isk A ssessment) 是依据国
关键词 : 信息系统 ; 信息安全 ; 风险评估
Abstract: W ith the rap id development of information technology and network technology, the dependence of national economy and social life on information system gets higher and higher, and its security p roblem becomes in2 creasingly distinct. A s an important means to determ ine the security of information system , information system secur2 ity risk assessment has p rovided an important basis for the construction of information system and for the decision making of management. This paper gives a definition of information system security and tells its difference from infor2 mation security. The model of risk assessment is described. The classical assessment methods are compared in ac2 cordance w ith the qualitative and quantitative analysis methods. Finally, the paper discusses the p roblem s in infor2 mation system security risk assessment in China and its future development.
Keywords: information system; information security; risk assessment
1 信息系统安全
信息系统安全是一门涉及计算机科学 、网络技术 、通 信技术 、密码技术 、信息安全技术 、应用数学 、数论 、信 息论等多种学科的综合性学科 。它主要是指网络系统的硬 件 、软件及其系统中的数据受到保护 , 不受偶然的或恶意 的原因而遭到破坏 、更改 、泄露 , 系统连续可靠正常地运 行 , 网络服务不中断 [1 ] 。
·情报理论与实践 ·
图 2 风险评估过程模型
根据图 2可以对风险评估的过程有一个清晰的理解 , 但在风险评估的具体实施过程中存在着以下难点 。
1) 评估前评估范围和资产的确定 。风险评估范围和 评估资产的确 定 是 否 恰 当 是 风 险 评 估 质 量 的 决 定 因 素 之 一 , 而由于信息系统的复杂和多样性 , 对评估范围和评估 资产的确定还没有统一的标准 。
定性分析方法是目前采用最为广泛的一种方法 , 优点 是避免了定量方法的缺点 , 可以挖掘出一些蕴藏很深的思 想 , 使评估的结论更全面 、更深刻 。但是它的主观性很 强 , 往往需要凭借分析者的经验和直觉 , 或者业界的标准 和惯例 , 为风险管理诸要素 (资产价值 , 威胁的可能性 , 弱点被利用的难易程度 , 现有控制措施的效力等 ) 的大 小或高低程度定性分级 , 例如 “高 ”、“中 ”、“低 ”三级 。
与定量分析相比 , 定性分析的准确性稍好但精确性不 够 , 定量分析则相反 。定性分析法没有定量分析那样繁多 的计算负担 , 但要求分析者具备一定的经验和能力 。定量 分析依赖大量的统计数据 , 而定性分析没有这方面的要 求 。定性分析较为主观 , 定量分析基于客观 。此外定量分 析的结果很直观 , 容易理解 , 而定性分析的结果则很难有 统一的解释 。 313 综合评估方法
家有关的政策法规及信息技术标准 , 对信息系统及由其处 理 、传输和存储的信息的保密性 、完整性和可用性等安全 属性进行科学 、公正的综合评估的活动过程 [3 ] 。
风险评估是个复杂的过程 , 其中包含很多因素 。最主 要的因素包括系统的业务战略及安全需求 , 系统的资产及 其拥有的价值 、资产的脆弱性 、资产面临的威胁 , 威胁利 用脆弱性而引发的安全事件并由此而给系统带来的风险 , 为降低风险而采取的安全措施以及在安全措施下仍然存在 的残余风险等 。这些要素之间的关系如图 1[4 ]所示 。图 1
·第 32卷 2009年第 5期 ·
ITA
综述与述评
中方框部分的内容为风险评估的基本要素 , 椭圆部分的内 容是与这些要素相关的属性 , 也是风险评估要素的一部 分 。风险评估工作是围绕着基本要素展开的 , 在对这些要 素的评估过程中需要充分考虑业务战略 、资产价值 、安全 事件 、残余风险等与这些基本要素相关的各类因素 。
3 风险评估方法
311 定量分析方法 定量评估方法是指运用数量指标来对风险进行评估 ,
即对构成风险的要素和潜在损失的水平赋予数值或货币金
— 115 —
综述与述评
ITA
额 , 当度量风险的要素 (资产价值 、威胁频率 、弱点利用 程度 、安全措施的效率和成本等 ) 都被赋值 , 风险评估的 整个过程和结果就都可以被量化了 [5 ] 。典型的定量分析 方法有因子分析法 、聚类分析法 、时序模型 、回归模型 、 等风险图法 、决策树法等 。定量评估方法的优点是用直观 的数据来表述评估的结果 , 可以对安全风险进行准确的分 级 , 但这有个前提 , 那就是可供参考的数据指标是准确 的 , 然而在信息环境日益复杂多变的今天 , 定量分析所依 据的数据的可靠性是很难保证的 。此外 , 常常为了量化 , 使本来比较复杂的事物简单化 、模糊化了 , 有的风险因素 被量化以后还可能被误解 。 312 定性分析方法
在此资产上发 生 安 全 事 件 的 可 能 性 计 算 信 息 资 产 的 风 险 值 。第三步记录风险评估的结果 。风险评估的一般流程如 图 2[4 ]所示 。
图 1 风险评估要素关系模型 这些要素之间存在以下关系 : 业务战略依赖于资产去 完成 , 资产拥有价值 , 单位的业务战略越重要 , 对资产的 依赖度越高 , 资产的价值就越大 , 资产的价值越大则风险 越大 ; 风险是由威胁发起的 , 威胁越大则风险越大 , 并可 能演变安全事件 ; 威胁都要利用脆弱性 , 脆弱性越大则风 险越大 。脆弱性使资产暴露 , 是未被满足的安全需求 , 威 胁利用脆弱性来危害资产 , 从而形成风险 。 资产的重要性和对风险的意识会导致安全需求 , 安全 需求通过安全措施来得以满足 , 且是有成本的 ; 安全措施 可以抗击威胁 , 降低风险 , 减弱安全事件的影响 ; 风险不 可能也没必要降为零 , 在实施了安全措施后还会有残留下 来的风险 。一部分残余风险来自于安全措施不当或无效 , 在以后需要继续控制这部分风险 ; 另一部分残余风险则是 在综合考虑了安全的成本与资产价值后 , 有意去控制的风 险 , 这部分风险是可以被接受的 。残余风险应受到密切监 视 , 因为它可能会在将来诱发新的安全事件 。 212 风险评估过程模型 信息系统风险评估 ( Information System Security Evalu2 ation) 是一个动态的复杂过程 , 它贯穿于信息资产和信息 系统的整个生命周期 , 即在评估标准的指导下 , 综合利用 相关评估技术 、评估方法 , 针对信息系统展开评估工作的 完整历程 。对信息系统进行风险评估 , 首先是风险评估的 准备阶段 , 进行组织准备 、技术准备 、人员准备和资金的 准备 。第二步对风险评估要素的识别与赋值 : 对威胁进行 分析 , 并对威胁发生的可能性赋值 ; 识别信息资产的脆弱 性 , 并对弱点的严重程度赋值 ; 结合信息资产的重要性和
3 本文为黑龙江省软科学攻关项目 (项目编号 : GZ08D201 ) 和 黑龙江省社会科学基金项目 (项目编号 : 05B0018) 资助的成果 。