当前位置：文档之家 › 信息系统安全风险评估综述 (1)

信息系统安全风险评估综述 (1)

  • 格式：pdf
  • 大小：323.16 KB
  • 文档页数：4

下载文档原格式

  / 4

合集下载

实时风险评估综述

实时风险评估综述

实时风险评估综述作者：何丽来源：《电脑知识与技术》2014年第06期摘要：网络安全风险评估方法主要分为两类：静态风险评估和实时风险评估。

由于静态风险评估问题重重，使得实时风险评估越来越受到关注。

该文针对目前国内外实时风险评估研究现状做了比较详细深入地介绍，对所提出的具有代表性的实时风险评估方法的设计原理做了详细的说明，并经深入地分析给出了其各自客观存在的现实问题。

最后预测和分析了未来实时风险评估研究的可能方向。

关键词：实时风险评估；隐马尔科夫模型；非负矩阵分解；人工免疫中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）06-1176-02A Survey On Real-Time Risk AssessmentHE Li（Department of Computer， Guangdong AIB Polytechnic College，Guangzhou 510507，China）Abstract： The risk assessment methods for network security are classified into two categories in this paper： the static risk assessment and the real-time risk assessment. Because of lots of problems about the static risk assessment， the real-time risk assessment is becoming more and more concerned about. Current status of the Study on real-time risk assessment are described in detail in this paper，and the design principles and existing problems of it are systematically discussed. Besides， some open problems in the development of real-time risk assessment are presented and analyzed in the end.Key words： real-time risk assessment； hidden Markov models； Non-Negative Matrix Factorization； artificial immune目前网络安全风险评估方法有两类：传统风险评估和实时评估，传统风险评估主要是基于一些国际标准来进行的，有代表性的是ISO/IEC27002（即ISO/IEC17799）[1]、CC[2]（即ISO/IEC15408）、SSE-CMM[3]、ISO/IEC13335，国内也制定了以《信息安全风险评估指南》为基础的一系列标准，比如2006年3月14日正式颁布了GB/T20261-2006的国家标准，于2008年11月1日开始实施的国家标准GB/T 22080-2008和国家标准GB/T 22081-2008（分别等同于国际标准ISO/IEC 27001：2005和ISO/IEC 27002：2005）。

信息系统风险评估总结汇报

信息系统风险评估总结汇报

信息系统风险评估总结汇报尊敬的领导和各位同事：
我很荣幸能够在这里向大家总结汇报我们团队进行的信息系统风险评估工作。

信息系统在现代企业中扮演着至关重要的角色，因此对其风险进行评估和管理显得尤为重要。

在本次风险评估中，我们团队首先对公司的信息系统进行了全面的调研和分析，包括系统的安全性、可靠性、完整性等方面。

通过对系统进行渗透测试、漏洞扫描、日志分析等手段，我们发现了一些潜在的风险和安全隐患。

这些风险可能会导致系统遭受黑客攻击、数据泄露、系统崩溃等严重后果，对公司的正常运营造成严重影响。

在识别和分析了这些风险之后，我们团队制定了相应的风险管理策略和措施。

这些措施包括加强系统的安全防护措施、定期更新和维护系统、加强员工的安全意识培训等。

通过这些措施的实施，我们可以有效地降低系统风险，保障公司信息系统的安全和稳定运行。

在未来的工作中，我们团队将继续对信息系统进行定期的风险评估和管理，及时发现和应对系统中的安全隐患，确保公司信息系统的安全和稳定运行。

同时，我们也将不断完善和提升风险评估的方法和手段，以应对日益复杂和多样化的网络安全威胁。

最后，我要感谢团队成员们在本次风险评估工作中的辛勤付出和努力，也感谢领导和各位同事对我们工作的支持和关注。

我们将继续努力，为公司的信息系统安全保驾护航。

谢谢大家！。

信息安全风险评估综述

信息安全风险评估综述

信息安全风险评估综述哎呀，信息安全风险评估这个话题听起来是不是有点“高大上”？别急，我们从头来，慢慢聊。

它就是要弄清楚，咱们平时在网络世界里，可能会遇到的那些隐形的危险。

不管是黑客攻击、病毒入侵，还是因为你随便点个链接，电脑就中招了，这些问题，都算是信息安全中的“坑”。

说白了，信息安全风险评估，就是帮我们找出这些“坑”，然后告诉我们，咋躲避，咋防范。

那到底怎么评估呢？其实就是通过一些方法，看看你目前的网络环境到底有多危险，哪些地方容易出事，咱们能做什么，才能让这些风险少一点，问题不至于这么严重。

你别看信息安全风险评估是一个“硬核”话题，但说白了，它就是一张“风险地图”，告诉你哪里有雷，哪里没雷，咱们得怎么走。

就好比你出去爬山，山路旁边的崖壁很陡，可能脚下一踩就滑倒；而旁边的山林又有很多隐形的危险，或许你没注意就踩到了蛇。

通过风险评估，你就能知道这些隐患在哪里，走得更稳，少受点摔跤的痛。

毕竟，在这个信息化社会，谁能保证自己的数据不被盗、设备不被黑，信息不被泄露呢？这不仅仅是个人的事，更是企业的事，是每一个关乎我们生活的隐患。

好啦，既然风险评估这么重要，咱们就聊聊它的具体操作。

信息安全风险评估并不是凭空猜测的事，而是要按照一定的步骤来进行。

要搞清楚的是，评估的对象是谁，评估的目的是什么？是对一个企业的整个IT系统进行评估，还是针对某一个具体的应用、平台进行风险分析？这样一来，评估的方式、方法就完全不一样了。

举个例子，假设你家是一个大企业，业务系统一堆，员工也很多，咱得通过综合的方式来看，哪些系统最重要，哪些数据最容易被黑，哪些环节最容易被攻击。

你是不是有点儿明白了？这就是让你知道最脆弱的地方，帮你打个提前预防针。

说到这里，很多人可能会有点疑问了：“我们咋知道这些地方到底危险不危险？”哎呀，这就要依赖一些具体的评估方法了。

一般来说，评估方法大致分为定性评估和定量评估。

定性评估，简单来说，就是先找出可能的威胁，比如黑客入侵、病毒攻击、员工泄露等。

信息安全风险评估报告51753

信息安全风险评估报告51753

XXXXX公司信息安全风险评估报告历史版本编制、审核、批准、发布实施、分发信息记录表一. 风险项目综述1.企业名称: XXXXX公司2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服务的企业。

3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。

4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。

二. 风险评估目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。

三. 风险评估日期：2017-9-10至2017-9-15四. 评估小组成员XXXXXXX。

五. 评估方法综述1、首先由信息安全管理小组牵头组建风险评估小组；2、通过咨询公司对风险评估小组进行相关培训；3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法；4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单；5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级；6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施；7、对于可接受的剩余风险向公司领导汇报并得到批准。

六. 风险评估概况根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。

主要工作过程如下：1.2017-9-10 ~ 2017-9-10，风险评估培训；2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法；3.2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类；4.2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS工作组内审核；5.2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表；6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作组组织审核，并最终汇总形成本报告。

系统集成项目保密风险评估报告

系统集成项目保密风险评估报告

系统集成项目保密风险评估报告目录1. 内容综述 (2)1.1 项目背景 (3)1.2 报告目的及范围 (3)1.3 报告结构 (4)2. 保密风险评估 (6)2.1 保密资产识别 (7)2.2 威胁分析 (8)2.3 脆弱性分析 (10)2.4 风险等级分析 (12)3. 保密风险控制措施 (13)3.1 技术控制措施 (14)3.1.1 信息加密与脱敏技术 (15)3.1.2 信息访问控制技术 (16)3.2 管理控制措施 (19)3.2.1 保密协议及合同管理 (20)3.2.2 数据分类及标记管理 (22)3.2.3 安全培训及意识提升 (23)3.2.4 安全审计及监控措施 (24)3.3 操作控制措施 (25)3.3.1 人员准入控制 (27)3.3.2 信息传输安全控制 (27)3.3.3 移动设备安全管理 (29)4. 风险应对策略 (30)4.1 风险优先级排序 (31)4.2 风险应对措施方案建议 (33)4.3 评估误差控制和恢复方案 (34)5. 预期效果与后续工作 (37)5.2 后续任务计划 (39)1. 内容综述本保密风险评估报告旨在对即将进行的系统集成项目中的潜在保密风险进行全面识别、分析和评估。

项目涉及关键业务信息、敏感数据和或内部专有技术的传输、存储和处理。

此报告将遵循风险管理最佳实践，使用业界标准的流程和方法来评估和管理风险。

报告结构分为几个主要部分：初始背景和项目概述、风险识别过程、风险分析、风险评估矩阵、风险缓解策略和行动计划、评估结论和推荐，可能包括影响评估表、相关法规和指导原则引用以及参考资料。

在初始背景和项目概述部分，将详细描述项目目标、预期成果、参与方、关键技术和业务流程。

风险识别过程将介绍如何识别可能威胁项目保密性的潜在风险因素，包括内部和外部的风险来源。

风险分析将深入探讨每个风险的可能性和影响，并探讨业务连续性和灾难恢复策略如何适当地处理现有风险。

电子政务系统信息安全风险的综合评价

电子政务系统信息安全风险的综合评价


其 它 ，然 后逐 层 细 化 分析 。针 对 安全 风 险 我 从 安全 风 险 发 生 循 、 有章 不 循 的 现 象依 然 存 在 。要 进 ～ 步 建 立健 全 有 关规 章 制
的概 率 和 安 全风 险 发 生 的 后果 来 考 虑 ，而 安 全 风 险发 生 的 概率 度 ，加 强规 章 制 度 的 可操 作 性 、 可检 查 性 和 可控 性 。规 章制 度 和 安全风 险发 生的 后果 我 们又 可 以从 物 理层 、 网络 层 、系统 层 、 要 覆 盖 整 个 电子 政 务 系 统 的每 个 方 面 、每 个 环 节 。并 随 着 系统 的 升 级 更 新而 动 态 变 化 。在 加 强 对有 关人 员 进行 安全 与保 密教 应用 层 、管理 层等 五个 方 面来考 虑 ，然 后逐 层细 化分 析 。
１ 、电子政务系统信息安全风险指标体系构 建 的理论依据
信 息 安全 是 一 个 广泛 而 抽 象的概 念 ，其定 义 为 ：为了 防止 未 授 权 用户 对 资产 进 行使 用 、滥 用修 改而 采 取的 措施 。信 息安
运用 层 次 分析 法给 出了 各 指标 的权 重 。 指 出管 理安 全 在保 障 电
些 目标 的含义 如下 ： （）保 密 性 目标 要 求确 保 信 息不 泄 露给 非授 权 的用 户或 实 １ 体 。对 于某 些 特 定 的 电子政 务 系 统和 数 据 ，保 密性 目标是 最 重
要 的信息 安全 目标 。
（） 完整 性 目标 要 求确 保 信 息未 经 授权 不 得 更改 。即信 息 ２ 在 存储 或传 输过 程 中保证 不 被删 除 、修 改 、伪 造 、乱序 、重 放 、
●ｌ ＾ ＇ｌ ● 【
诧
4.1信息系统安全风险教学设计高二信息技术教科版必修2

4.1信息系统安全风险教学设计高二信息技术教科版必修2

7.课后拓展，提升素养：布置课后拓展任务，如查找信息安全领域的最新动态、技术文章等，鼓励学生自主学习，提升信息安全素养。
8.教学评价，关注过程：注重过程性评价，关注学生在课堂上的表现，及时给予反馈，激发学生的学习积极性。
9.跨学科整合，拓宽视野：将信息安全与数学、物理、政治等学科相结合，拓宽学生的知识视野，提高解决问题的能力。
3.导入新课：教师总结学生的回答，引出本章节的学习内容——信息系统安全风险，并强调学习信息安全的重要性。
（二）讲授新知（500字）
1.教学内容：教师讲解信息系统安全风险的基本概念、分类和特点；信息安全风险评估的基本方法；常见的信息安全技术及其应用；信息安全法律法规和道德规范。
2.讲解方法：运用PPT、实物演示、案例分析等多种教学手段，直观地呈现信息安全知识，帮助学生理解。
5.关注信息安全领域的发展动态，树立终身学习的观念，不断提高自身信息安全素养。
二、学情分析
在本章节的教学中，考虑到高二年级学生的特点，他们在认知、情感、技能等方面已具备一定的基础。学生在之前的学习中，已经掌握了计算机硬件、软件和网络基础知识，具备了一定的信息技术素养。在此基础上，他们对信息系统安全风险的学习有以下特点：
2.归纳方法：通过思维导图、表格等方式，梳理本节课的知识点，形成知识体系。
3.教学总结：教师强调信息安全在日常生活和学习中的重要性，提醒学生树立信息安全意识，养成良好的信息安全行为习惯。同时，鼓励学生在课后继续深入学习信息安全相关知识，提升自身信息安全素养。
五、作业布置
为了巩固本章节所学知识，提升学生的信息安全素养，特布置以下作业：
1.创设情境，激发兴趣：结合生活实例，如网络购物、个人信息泄露等，引发学生对信息安全风险的关注，激发学习兴趣。
信息安全风险评估研究综述

信息安全风险评估研究综述

信息安全风险评估研究综述随着信息技术的迅速发展，信息安全问题已成为全球普遍关注的问题。

信息安全风险评估是信息安全领域中的一项基础性工作，其主要目的是评估信息系统和网络中存在的风险，为信息安全保障提供科学依据。

本文将对信息安全风险评估的概念、方法、现状和挑战进行综述。

一、信息安全风险评估的概念信息安全风险评估是一种对信息系统和网络的风险进行全面评估的过程，目的是为了确定系统的安全性和提供安全防护措施。

通俗来说，风险评估就是对系统的可能存在的威胁进行评估，并确定其对业务运作的可能影响。

信息安全风险评估是一项非常重要的工作，它可以帮助机构或企业评估其信息系统和网络的安全状态，及时发现风险问题并加以解决，从而保障信息安全。

二、信息安全风险评估的方法1.定性评估法定性评估法是一种基于经验和直觉的风险评估方法，它主要是通过可行性分析和专家咨询，来确定风险等级和可能造成的影响。

这种方法的优点是快速和简便，但缺点是主观性强，难以量化。

2.定量评估法定量评估法是一种基于详细的数据和数据分析的风险评估方法。

它通过使用统计学和数学模型，定量化风险，并计算基于量化评估的风险。

这种方法的优点是更加准确和客观，但缺点是需要进行大量的数据采集和分析。

3.半定量评估法半定量评估法是一种介于定性和定量评估之间的方法。

它通过使用主观和客观的因素来评估风险，并将其编码为数字，以提高评估的准确性。

这种方法的优点是比较灵活，既考虑了主观因素，又考虑了客观因素，但缺点是可塑性不够强。

三、信息安全风险评估的现状目前，越来越多的组织和企业开始意识到信息安全的重要性，信息安全风险评估也变得越来越重要。

国际标准组织ISO和国家标准化管理委员会CNTA都发布了相关标准，对信息安全风险评估提出了要求。

国内外的大型IT公司和科技服务供应商也正积极开展信息安全风险评估服务。

信息安全领域的专业人士也在不断研究和完善风险评估技术和方法。

四、信息安全风险评估面临的挑战信息安全风险评估在实践中面临着许多挑战：1.数据采集不足和数据质量问题评估的基础是数据，如果没有足够、准确、可靠的数据支持，风险评估将不能准确进行。

信息安全风险评估方法

信息安全风险评估方法

问题 ： 如何 得 到 一 致 的 、 可 比较 的 、
全 领 域 的 新 生 事 物 ，或 者 说 舶 来 之 到 某 个 风 险 上 ； 更有甚 者 ， 比 如 上 次 对 于 某 个 重 要 系 统 ，由 于 没 有 必 要
可 重 复 的 风 险 评 估 结 果 ，来 加 以 分 物 ，尽 管 信 息 安 全 本 身 在 国 内 开 展
是 以 信 息 资 产 为 对 象 的 定 性 的 风 险 评 估 。 基 本 方 法 是 识 别 并 评 价 组 织 ／企 业 内 部 所 要 关 注 的 信 息 系 统 、
中 ，一 般 大 的 企 业 都 会 有 个 基 本 的 是 意 味 着 很 大 呢 ？或 者 问 我 们 企 业 年度 预算 ， Ｉ Ｔ／安 全 占 企 业 年 度 预 风 险 评 估 结 果 某 项 风 险 值 为 ３ ０的
析讨论 。
也不过是 １ ０来 年 ， 风 险 评 估 作 为 先 的 操 作 规 程 而 导 致 误 操 作 而 影 响 系 进 思 想 也 存 在 着 类似 “ 马 列 主 义 要 统 安 全 的风 险 ， 采取 、 规 范 了操 作 流
１ ． 风 险 评 估 的 现 状
风 险 理 论 也 逐 渐 被 广 大 信 息 安 与 中国 的 实 际 国情 结 合 走 中 国特 色 程 并 且 培 训 了 相 关操 作 人 员 等 控 制 全 专 业 人 士 所 熟 知 ， 以 风 险 驱 动 的
安 全 咖啡屋
计 算 机 与 网 络 创 新 生 活
从 最 开 始 接 触 风 险 评 估 理 论 到 现 在 ， 已 经 有 将 近 ５个 年 头 了 ， 从
２ ．风 险 评 估 的 突 出 问 题
信息安全风险评估综述

信息安全风险评估综述

状 况做 出评 估 ，它更 加注 重 的是 安全 事件 发 生 后带 来 的损失 ，而 忽略 安全 事 件发生 的 概 。因为 定性评 估 方法 中的很 多元素 都是 无 法 量化 的 ，所 以评估 结果 会稍 显 粗糙 ，比较 适 用于 资料 不充 分时 的风 险评 估 。 但 是 定 性 评 估 方 法 往 往 又 可 以 挖 掘 出
之重。 互 联 网 的 快 速 发 展 给 人 们 的 生 活 带 来
和 思维 方式 ，社 会环 境也 在逐 渐 发生 变化 ， 人 们 之 间信 息 的交 流更加 方便 ，资源 得到 了 共 享 。但是 ，由于 网络是 一个 开 放的 环境 ， 各 种 各样 的人都 可 以进 入 ，这 样就 带 来的安 全 隐 患 。随 着信 息化 时 代的 发展 ，信 息系 统 的 安全 对政 治 、经济 、文化 、教 育 、科研 等 都 会 产生 巨大 的影 响 。对 信 息 系统安 全风 险 的 评估 是 为 了使 系统 更加 合理 ，使得 安全 隐 患 更少 ，能 让人 们在 使用 时更 加安 全 。 ２ ． １ 定性评 估 方法 定 性 评 估 方 法 是 风 险 评 估 中 最 为 常 用 的 一 种 方 法 ， 它是 基 于 评 估 者 的知 识 、 经 验 、历史 教训 等无 法量化 的 元素 对 系统风 险
３信息安全风险评估过程
风 险 评估 是 在 一 定 的评 估 标 准 之 下 进 行 的 ，评 估标 准是 所 以活动 开展 的基 础和 前 提 。进行 评 估的过 程 中又需 要利 用相 关的评 估 技术 、评 估方 法 、评 估 工具 ，针对 信息 系 统 展开全 面 的风 险评估 。风 险评 估的 过程 中 要根 据评 估 的实 际情况 ，选 择正 确合适 的评 估 方法 ，好 的评 估方法 可 以提高 评估 结果 的 准 确率 。而 不同 的评估 方法 又往 往会 有一 定 的缺 陷 ，这就 需要 在合 适的 地方 选择 合适 的 评 估方法 ，扬长避 短 ，最终 取得 最佳 效果 。
信息系统生命周期各阶段的风险评估

信息系统生命周期各阶段的风险评估

的风 险 和脆 弱性 ， 而确 定 安 全措 施 的有 效性 ， 从 确保
安全 目标 得 以实 现 。 因此 ， 每个 阶段 风险 评估 的具 体
２０ ６年 第 ８期 （ ０ 总第 ２ ０期 ） Ｏ
维普资讯
综 述
实施 应根 据该 阶段 的特 点信 息 安全 方 面的挑 战 。 因此 为保
证 广播 电视 安 全播 出 的信息 安全 ， 立广 播 电视 信息 建 安全 管理体 系 已成 为 目前 安全 建设 的首要 任务 。 风险
建 买和 Ｉ 鍪购 ） ｌ —— 相 ／
关安全活动 ｌ
图 １
３ 规 划 阶段 的 风 险 评 估
规 划 阶段 的风 险评 估 的 目的是 识别 系统 的使命 ， 以支撑 系统 安全 需求 及安 全 战略等 。 规划 阶段 的评 估 应能够 描述 信 息系 统建 成 后对 现有 模式 的作 用 ， 包括 技术、 管理 等 方 面 ， 根 据其 作 用 确定 系统 建 设 应 达 并
规划 Ｌ— 设计 Ｌ＿ 实施 Ｌ 一 Ｊ —一 运行维护 Ｌ 一 废弃 —
确定系 Ｉ 安全ｌ Ｉ装／ 启Ｉ ｌ 全运 Ｉ 确定系 统Ｉ 确定 安 开 安 行 Ｉ 统 使 ｌ 需 ｌ ｌ 控 ｊ ｌ和 命 ｌ 求 安全 制 管理 ｌ 使 终结 ｌ 命
将安全需求纳Ｉ 安全测试 ｌ ｌ ｌ运行屎汪 ｌ ｌ审批 人 规格说明 ｌ （ Ｉ 包括认 Ｉ （ ／ 证） 监督 审计） 一 ｌ Ｉ
段。 信息 系统 生命 周期各 阶段 中涉 及 的风险评 估 的原 则 和方 法是 一致 的 ，但 由于 各个 阶段 实施 的 内容 、 对 象 、 全需 求 不 同 ， 安 使得 风 险 评估 的对象 、 目的 、 求 要 等 各方 面也有 所不 同 。如 图 ｌ 示 ， 息 系统 生命 周 所 信 期 包 含 规 划 、 计 、 施 、 行 维 护 和 废 弃 等 五 个 阶 设 实 运 段 。每个 阶段 的安全 活动 也有所 不 同。

信息安全风险评估综述

信息安全风险评估综述作者：周欣元来源：《电子技术与软件工程》2016年第20期摘要 21世纪是信息化时代，信息系统在当代扮演的作用日益重要。

信息系统主要由计算机硬件、网络系统、计算机软件、通讯设备、用户群、网路协议、网络规章制度、信息流等组成的综合性系统、信息系统的出现极大方便信息共享和信息传输方式，信息处理效率及质量显著提高。

信息安全是信息系统重要组成部分，风险评估是信息系统重要组成部分。

本文就信息安全风险评估展开综述。

【关键词】信息系统安全风险评估定性定量随着社会经济快速发展，信息传递无论是速度还是容量均不断创造新的高度。

信息传递方式与人们的生活、工作、学习息息相关。

信息产业发展蒸蒸日上，建立在信息技术基础上的信息系统存在一定风险，易受到黑客攻击，且信息系统充斥各种病毒，系统运行过程存在一定风险。

基于此必须做好信息系统安全建设，进行安全风险评估，奠定安全基础。

1 风险评估概述互联网快速发展极大提高人们的生活、工作、学习效率，与此同时发来一系列安全隐患。

人们通过互联网可实现信息有效获取，信息传递过程中仍旧可能出现信息被第三方截取情况，信息保密性、完整性、可靠性等均收到影响。

网络环境虽然方便信息处理方式，但也带来一系列安全隐患。

从信息安全角度而言，风险评估就是对信息系统自身存在的的种种弱点进行分析，判断可能存在的威胁、可能造成的影响等。

综合风险可能性，便于更好展开风险管理。

风险评估是研究信息安全的重要途径之一，属于组织信息安全管理体系策划过程。

风险评估主要内容包括：识别信息系统可能面对的各种风险、风险出现的概率、风险可能导致的后果、风险消除策略、风险控制策略等。

信息系统构成极为复杂，因此信息系统安全风险评估是一项综合性工作，其组织架构较为繁杂，主要包括技术体系、组织结构、法律体系、标准体系、业务体系等。

20世纪八十年代，以美国、加拿大为代表的发达国家已建立起风险评估体系。

我国风险评估体系建立较晚，至今只有十几年时间。

信息安全风险评估报告21565

XXXXX公司信息安全风险评估报告历史版本编制、审核、批准、发布实施、分发信息记录表一.风险项目综述1.企业名称: XXXXX公司2.企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服务的企业。

3.ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。

4.ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。

二.风险评估目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。

三.风险评估日期：2017-9-10至2017-9-15四.评估小组成员XXXXXXX。

五.评估方法综述1、首先由信息安全管理小组牵头组建风险评估小组；2、通过咨询公司对风险评估小组进行相关培训；3、根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法；4、各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单；5、对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级；6、根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A制定相关的风险控制措施；7、对于可接受的剩余风险向公司领导汇报并得到批准。

六.风险评估概况根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从2017年9月10日开始进入风险评估阶段，到2017年9月15日止基本工作告一段落。

主要工作过程如下：1.2017-9-10 ~ 2017-9-10，风险评估培训；2.2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法；3.2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类；4.2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS工作组内审核；5.2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表；6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作组组织审核，并最终汇总形成本报告。

企业信息系统容灾风险评估报告

企业信息系统容灾风险评估报告目录1综述 (5)1.1项目背景 (5)1.2文档导读 (5)1.3术语及约定 (5)1.4风险评估结论简述 (6)2IT基础架构风险评估及建议 (9)2.1网络架构 (9)2.1.1现状概述 (9)2.1.2风险评估及建议 (10)2.2服务器架构 (13)2.2.1现状概述 (13)2.2.2风险评估及建议 (13)2.3虚拟化架构 (13)2.3.1现状概述 (13)2.3.2风险评估及建议 (13)2.4存储架构 (13)2.4.1现状概述 (13)2.4.2风险评估及建议 (13)2.5备份系统架构 (14)2.5.1现状概述 (14)2.5.2风险评估及建议 (14)2.6数据库架构 (14)2.6.1现状概述 (14)2.6.2风险评估及建议 (14)3应用系统架构风险评估及建议 (15)3.1现状概述 (15)3.1.1信息系统业务架构 (15)3.1.2信息系统关联关系 (16)3.1.3信息系统物理部署架构 (17)3.2风险评估及建议 (18)4数据中心基础环境调研 (19)4.1地理区域地质及气候 (19)4.1.1地质灾害 (19)4.2生产数据中心周边环境及基础设施 (21)5风险计算 (27)5.1风险资产（A SSET）定义与赋值 (27)5.1.1资产定义 (27)5.1.2资产赋值 (28)5.1.2.1基础设施类 (28)5.1.2.2人员类 (29)5.1.2.3管理类 (29)5.1.2.4信息系统类 (29)5.1.2.5数据类 (30)5.2威胁（T HREAT）识别与赋值 (30)5.2.1威胁等级说明 (30)5.2.2威胁赋值列表 (30)5.2.2.1基础设施类 (31)5.2.2.2人员类 (31)5.2.2.3管理类 (32)5.2.2.4信息系统类 (32)5.2.2.5数据类 (32)5.3脆弱性（V ULNERABILITY）识别 (32)5.3.1脆弱性等级说明 (32)5.3.2脆弱性赋值列表 (33)5.3.2.1基础设施类 (33)5.3.2.2人员类 (37)5.3.2.3管理类 (38)5.3.2.4信息系统类 (38)5.3.2.5数据类 (41)5.4风险分析计算 (42)5.4.1风险计算公式 (42)5.4.2风险等级定义 (42)5.4.3风险计算结果 (43)5.4.3.1基础设施类 (43)5.4.3.2人员类 (44)5.4.3.3管理类 (45)5.4.3.4信息系统类 (45)5.4.3.5数据类 (46)6风险评定及改进措施建议 (47)6.2改进措施建议 (47)7灾难场景 (49)7.1残余风险 (49)7.2灾难场景 (50)附录一风险评估理论依据及方法论 (52)7.3理论依据 (52)7.4方法论 (54)1综述1.1项目背景为提升信息系统风险控制能力，应对可能发生的信息系统灾难，保障业务健康可持续发展和战略目标的顺利实现，xx公司于2018年8月启动灾备体系建设专项工作。

信息安全风险评估报告20836

XXXXX公司信息安全风险评估报告历史版本编制、审核、批准、发布实施、分发信息记录表风险项目综述企业名称: XXXXX公司企业概况：XXXXX公司是一家致力于计算机软件产品的开发与销售、计算机信息系统集成及技术支持与服务的企业。

ISMS方针：预防为主，共筑信息安全；完善管理，赢得顾客信赖。

ISMS范围：计算机应用软件开发，网络安全产品设计/开发，系统集成及服务的信息安全管理。

风险评估目的为了在考虑控制成本与风险平衡的前提下选择合适的控制目标和控制方式，将信息安全风险控制在可接受的水平,进行本次风险评估。

风险评估日期：2017-9-10至2017-9-15评估小组成员XXXXXXX。

评估方法综述首先由信息安全管理小组牵头组建风险评估小组；通过咨询公司对风险评估小组进行相关培训；根据我们的信息安全方针、范围制定信息安全风险管理程序，以这个程序作为我们风险评估的依据和方法；各部门识别所有的业务流程，并根据这些业务流程进行资产识别，对识别的资产进行打分形成重要资产清单；对每个重要资产进行威胁、脆弱性识别并打分，并以此得到资产的风险等级；根据风险接受准则得出不可接受风险，并根据标准ISO27001:2013的附录A 制定相关的风险控制措施；对于可接受的剩余风险向公司领导汇报并得到批准。

风险评估概况根据第一阶段审核结果，修订了信息安全风险管理程序，根据新修订程序文件，再次进行了风险评估工作从20xx年9月10日开始进入风险评估阶段，到20xx年9月15日止基本工作告一段落。

主要工作过程如下：2017-9-10 ~ 2017-9-10，风险评估培训；2017-9-11 ~ 2017-9-11，公司评估小组制定《信息安全风险管理程序》，制定系统化的风险评估方法；2017-9-12 ~ 2017-9-12，本公司各部门识别本部门信息资产，并对信息资产进行等级评定，其中资产分为物理资产、软件资产、数据资产、文档资产、无形资产，服务资产等共六大类；2017-9-13 ~ 2017-9-13，本公司各部门编写风险评估表，识别信息资产的脆弱性和面临的威胁，评估潜在风险，并在ISMS工作组内审核；2017-9-14 ~ 2017-9-14，本公司各部门实施人员、部门领导或其指定的代表人员一起审核风险评估表；6. 2017-9-15 ~ 2017-9-15，各部门修订风险评估表，识别重大风险，制定控制措施；ISMS工作组组织审核，并最终汇总形成本报告。

某业务运维信息系统风险评估报告

某业务运维信息系统风险评估报告X X X业务运维信息系统风险评估报告⽂档控制版本信息所有权声明⽂档⾥的资料版权归江苏开拓信息系统有限公司（以下简称“江苏开拓”）所有。

未经江苏开拓事先书⾯允许，不得复制或散发任何部分的内容。

任何团体或个⼈未经批准，擅⾃观看⽅案将被认为获取了江苏开拓的私有信息⽽遭受法律的制裁。

⽬录1.评估项⽬概述1.1.评估⽬的和⽬标对XXX信息系统进⾏风险评估，分析系统的脆弱性、所⾯临的威胁以及由此可能产⽣的风险；根据风险评估结果,给出安全控制措施建议。

风险评估范围包括：（1）安全环境：包括机房环境、主机环境、⽹络环境等；（2）硬件设备：包括主机、⽹络设备、线路、电源等；（3）系统软件：包括操作系统、数据库、应⽤系统、监控软件、备份系统等；（4）⽹络结构：包括远程接⼊安全、⽹络带宽评估、⽹络监控措施等；（5）数据交换：包括交换模式的合理性、对业务系统安全的影响等；（6）数据备份/恢复：包括主机操作系统、数据库、应⽤程序等的数据备份/恢复机制；（7）⼈员安全及管理，通信与操作管理；（8）技术⽀持⼿段；（9）安全策略、安全审计、访问控制；1.2.被评估系统概述1.2.1.系统概况XXX信息系统主要由HIS系统、LIS系统、PACS系统以及医保、⼤屏、合理⽤药、折⼦⼯程等业务系统、内外⽹安全服务器、双翼服务器、OA服务器、交换机、防⽕墙以及安全控制设备等构成，内外⽹物理隔离，外⽹为访问互联⽹相关服务为主，内⽹为XXX⽣产⽹络。

2.风险综述2.1.风险摘要2.1.1.风险统计与分析经过风险分析，各级风险统计结果如下：风险级别风险数量百分⽐极⾼风险 2 2.94%⾼风险9 13.24%中风险39 57.35%低风险18 26.47%总计68 100% 根据风险评估统计结果，各级风险统计结果分布如下图所⽰：各类风险分布数量如下表所⽰：类别风险级别总计低风险中风险⾼风险极⾼风险运⾏维护 1 5 0 0 6 系统开发 1 4 1 0 6 物理环境0 3 2 0 5 ⽹络通信 2 1 1 1 5 认证授权0 2 0 0 2 备份容错0 0 2 1 3 安装部署13 24 3 0 40 安全审计 1 0 0 0 1类别风险级别总计总计18 39 9 2 68各类风险及级别分布如下图所⽰：极⾼风险分布如下图所⽰：⾼风险分布如下图所⽰：中风险分布如下图所⽰：低风险分布如下图所⽰：2.1.2.极⾼风险摘要极⾼风险摘要 2 备份容错 1核⼼业务系统单点故障导致业务中断 1⽹络通信 1内⽹单点⼀故障风险造成业务系统服务停⽌ 12.1.3.⾼风险摘要⾼风险摘要9 安装部署 31⾮法者极易获得系统管理员⽤户权限攻击SUN SOLARIS系统⾮法者利⽤SQL Server管理员账号弱⼝令渗透进系统 1⾮法者利⽤管理员账号弱⼝令尝试登录Windows系统 1备份容错 2备份数据⽆异地存储导致灾难发⽣后系统不能快速恢复 1灾难发⽣后业务系统难以快速恢复 1⽹络通信 1⾮法者利⽤医保服务器渗透进内⽹ 1物理环境 2防⽕措施不当引发更⼤损失 1机房未进⾏防⽔处理引起设备⽼化、损坏 1系统开发 1未规范⼝令管理导致⽤户冒⽤ 12.1.4.中风险摘要中风险39 安装部署24SUN Solaris远程⽤户配置不当造成⽆需验证登录到主机 1⾮法者获得数据库权限进⽽获得系统管理员权限 1⾮法者或蠕⾍病毒利⽤默认共享攻击Windows系统 11⾮法者或蠕⾍病毒利⽤权限控制不当的共享攻击Windows系统⾮法者利⽤Guest账号攻击Windows系统 1⾮法者利⽤IIS⽬录权限设置问题攻击Windows系统 1⾮法者利⽤Oracle数据库调度程序漏洞远程执⾏任意指令 11⾮法者利⽤SQL Server的xp_cmdshell扩展存储过程渗透进系统⾮法者利⽤SQL Server漏洞攻击Windows系统 1⾮法者利⽤Web server的漏洞来攻击主机系统 1⾮法者利⽤不当的监听器配置攻击Oracle系统 1⾮法者利⽤匿名FTP服务登录FTP系统 1⾮法者利⽤已启⽤的不需要服务攻击Windows系统 1⾮法者利⽤已知Windows管理员账号尝试攻击Windows系统 1⾮法者利⽤已知漏洞攻击SUN SOLARIS系统 1⾮法者利⽤已知漏洞攻击Windows系统 1⾮法者利⽤远程桌⾯登录Windows系统 1⾮法者破解Cisco交换机弱密码⽽侵⼊系统 1⾮法者通过SNMP修改cisco交换机配置 1⾮法者通过SNMP修改SSG520防⽕墙配置 1⾮法者通过Sun Solaris 不需要服务的安全漏洞⼊侵系统 11⾮法者通过监听和伪造的⽅式获得管理员与主机间的通信内容⾮法者有更多机会破解Windows系统密码 1系统管理员账号失控威胁Windows系统安全 1认证授权 2未对数据库连接进⾏控制导致系统⾮授权访问 1系统未采⽤安全的⾝份鉴别机制导致⽤户账户被冒⽤ 1⽹络通信 1外⽹单⼀单点故障风险造成Internet访问中断 1物理环境 3机房存在多余出⼊⼝可能引起⾮法潜⼊ 1机房内⽆防盗报警设施引起⾮法潜⼊ 1未采取防静电措施引起设备故障 1系统开发 4⽣产数据通过培训环境泄露 1未对系统会话进⾏限制影响系统可⽤性 1未做⽤户登录安全控制导致⽤户被冒⽤ 1系统开发外包管理有待完善引发系统安全问题 1运⾏维护 5安全管理体系不完善引发安全问题 1⼈员岗位、配备不完善影响系统运⾏维护 1未规范信息系统建设影响系统建设 1未与相关⼈员签订保密协议引起信息泄密 1运维管理不完善引发安全事件 12.1.5.低风险摘要低风险18 安全审计 1发⽣安全事件很难依系统⽇志追查来源 1安装部署13SQL Server发⽣安全事件时难以追查来源或异常⾏为 1 Windows发⽣安全事件难以追查来源或⾮法⾏为 2⾮法者可从多个地点尝试登录Cisco交换机 1⾮法者利⽤DVBBS数据库渗透进Windows系统 1⾮法者利⽤IIS默认映射问题攻击Windows系统 1⾮法者利⽤IIS⽰例程序问题攻击Windows系统 1⾮法者利⽤IIS允许⽗路径问题攻击Windows系统 1⾮法者利⽤Oracle数据库漏洞可获得任意⽂件读写权限 1⾮法者利⽤SNMP服务获取Windows主机信息 1⾮法者利⽤SUN Solaris匿名FTP服务登录FTP系统 1⾮法者利⽤开启过多的snmp服务获得详细信息 1⽇志⽆备份对系统管理和安全事件记录分析带来困难 1⽹络通信 2出现安全事件⽆法进⾏有效定位和问责 1⾮法者利⽤防⽕墙配置不当渗透⼊外⽹ 1系统开发 1系统未进⾏分级管理导致核⼼系统不能得到更多的保护 1运⾏维护 1安全管理制度缺乏维护导致安全管理滞后 12.2.风险综述（1）⽹络通信⽅⾯1)内⽹设计中存在单点故障风险，当wins/dns服务器发⽣故障后，⽹内所有域⽤户全部都不能正常登录到域，造成业务信息系统⽆法提供正常服务。

信息安全等级测评师(初级技术)简答题综述

1、《基本要求》，在应用安全层面的访问控制要求中，三级系统较二级系统增加的措施有哪些？答：三级比二级增加的要求项有：应提供对重要信息资源设置敏感标记的功能；应按照安全策略严格控制用户对有敏感标记重要信息资源的访问。

2、在主机测试前期调研活动中，收集信息的内容（至少写出六项）？在选择主机测评对象时应该注意哪些要点？答：至少需要收集服务器主机的设备名称、型号、所属网络区域、操作系统版本、IP地址、安装的应用软件名称、主要业务应用、涉及数据、是否热备、重要程度、责任部门。

测评对象选择时应该注意重要性、代表性、完整性、安全性、共享性五大原则。

3、《基本要求》中，对于三级信息系统，网络安全层面应采取哪些安全技术措施？画出图并进行描述（不考虑安全加固）。

答：网络层面需要考虑结构安全、访问控制、安全审计、边界完整性、入侵防范、恶意代码防范、网络设备防护、数据备份与恢复。

4、主机按照其规模或系统功能来区分为哪些类？主机安全在测评时会遇到哪些类型操作系统？网络安全三级信息系统的安全子类是什么？三级网络安全的安全审计内容是什么？答：1、巨型、大型、中型、小型、微型计算机及单片机。

2、Windows，Linux,Sun Solaris,IBM AIX,HP-UX等等。

3、结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护。

4、a、应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录。

b、审计记录应包括：事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息。

c、应能够根据记录数据进行分析，并生成审计报表。

d、应对审计记录进行保护、避免受到未预期的删除、修改或覆盖等。

5、数据库常见威胁有哪些？针对于工具测试需要注意哪些内容？答：（1）非授权访问、特权提升、SQL注入、针对漏洞进行攻击、绕过访问控制进行非授权访问等。

（2）工具测试接入测试设备前，首先要有被测系统人员确定测试条件是否具备。

  1. 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
  2. 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
  3. 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
2) 风险评价过程中对风险发生可能性及其影响的评 价 。风险评价过程中不可避免地需要分析者进行主观判 断 , 怎样减少评估结果的主观性增加其客观因素是风险评 价过程的难点 , 另外风险发生造成的影响也很难用一种标 准度量 , 例如声誉损失就很难准确地用金钱来度量 。
3) 风险评估过程中评估方和被评估信息系统所在组 织之间的交互常常存在问题 。被评估信息系统所在组织的 高层管理人员可能因为利益 、隐私等原因在评估过程中不 愿意提供一些评估所需资料或者对评估过程实行限制 , 这 样将导致风险评估所搜集的信息可能不完整和不准确 , 导 致风险评估的质量不高 。
综述与述评
ITA
●宋 艳 , 陈冬华 (哈尔滨工程大学 , 黑龙江 哈尔滨 150001)
信息系统安全风险评估综述 3
摘 要 : 随着信息技术和网络技术的飞速发展 , 国民经济 、社会生活的各个方面对信息系统的依赖程 度越来越高 , 安全问题也日益凸显 。信息系统安全风险评估作为衡量系统安全性的重要手段 , 为信息系统 的建设和管理决策提供了重要依据 。本文对信息系统安全进行了定义 , 并与信息安全加以区别 。描述了风 险评估的模型 , 按照定量分析和定性分析方法介绍了典型的评估方法并做了具体的比较 。最后探讨了当前 我国信息系统安全风险评估中存在的问题及发展方向 。
一般来说 , 信息系统安全概念分为 3个层次 : 通信保 密 (Communication Security) 、信息防护 ( Information Pro2 tection) 和信息保障 ( Information A ssurance, IA ) [2 ] 。
2 风险评估模型
211 风险评估要素关系模型 信息系统安全风险评估 (R isk A ssessment) 是依据国
关键词 : 信息系统 ; 信息安全 ; 风险评估
Abstract: W ith the rap id development of information technology and network technology, the dependence of national economy and social life on information system gets higher and higher, and its security p roblem becomes in2 creasingly distinct. A s an important means to determ ine the security of information system , information system secur2 ity risk assessment has p rovided an important basis for the construction of information system and for the decision making of management. This paper gives a definition of information system security and tells its difference from infor2 mation security. The model of risk assessment is described. The classical assessment methods are compared in ac2 cordance w ith the qualitative and quantitative analysis methods. Finally, the paper discusses the p roblem s in infor2 mation system security risk assessment in China and its future development.
Keywords: information system; information security; risk assessment
1 信息系统安全
信息系统安全是一门涉及计算机科学 、网络技术 、通 信技术 、密码技术 、信息安全技术 、应用数学 、数论 、信 息论等多种学科的综合性学科 。它主要是指网络系统的硬 件 、软件及其系统中的数据受到保护 , 不受偶然的或恶意 的原因而遭到破坏 、更改 、泄露 , 系统连续可靠正常地运 行 , 网络服务不中断 [1 ] 。
·情报理论与实践 ·
图 2 风险评估过程模型
根据图 2可以对风险评估的过程有一个清晰的理解 , 但在风险评估的具体实施过程中存在着以下难点 。
1) 评估前评估范围和资产的确定 。风险评估范围和 评估资产的确 定 是 否 恰 当 是 风 险 评 估 质 量 的 决 定 因 素 之 一 , 而由于信息系统的复杂和多样性 , 对评估范围和评估 资产的确定还没有统一的标准 。
定性分析方法是目前采用最为广泛的一种方法 , 优点 是避免了定量方法的缺点 , 可以挖掘出一些蕴藏很深的思 想 , 使评估的结论更全面 、更深刻 。但是它的主观性很 强 , 往往需要凭借分析者的经验和直觉 , 或者业界的标准 和惯例 , 为风险管理诸要素 (资产价值 , 威胁的可能性 , 弱点被利用的难易程度 , 现有控制措施的效力等 ) 的大 小或高低程度定性分级 , 例如 “高 ”、“中 ”、“低 ”三级 。
与定量分析相比 , 定性分析的准确性稍好但精确性不 够 , 定量分析则相反 。定性分析法没有定量分析那样繁多 的计算负担 , 但要求分析者具备一定的经验和能力 。定量 分析依赖大量的统计数据 , 而定性分析没有这方面的要 求 。定性分析较为主观 , 定量分析基于客观 。此外定量分 析的结果很直观 , 容易理解 , 而定性分析的结果则很难有 统一的解释 。 313 综合评估方法
家有关的政策法规及信息技术标准 , 对信息系统及由其处 理 、传输和存储的信息的保密性 、完整性和可用性等安全 属性进行科学 、公正的综合评估的活动过程 [3 ] 。
风险评估是个复杂的过程 , 其中包含很多因素 。最主 要的因素包括系统的业务战略及安全需求 , 系统的资产及 其拥有的价值 、资产的脆弱性 、资产面临的威胁 , 威胁利 用脆弱性而引发的安全事件并由此而给系统带来的风险 , 为降低风险而采取的安全措施以及在安全措施下仍然存在 的残余风险等 。这些要素之间的关系如图 1[4 ]所示 。图 1
·第 32卷 2009年第 5期 ·
ITA
综述与述评
中方框部分的内容为风险评估的基本要素 , 椭圆部分的内 容是与这些要素相关的属性 , 也是风险评估要素的一部 分 。风险评估工作是围绕着基本要素展开的 , 在对这些要 素的评估过程中需要充分考虑业务战略 、资产价值 、安全 事件 、残余风险等与这些基本要素相关的各类因素 。
3 风险评估方法
311 定量分析方法 定量评估方法是指运用数量指标来对风险进行评估 ,
即对构成风险的要素和潜在损失的水平赋予数值或货币金
— 115 —
综述与述评
ITA
额 , 当度量风险的要素 (资产价值 、威胁频率 、弱点利用 程度 、安全措施的效率和成本等 ) 都被赋值 , 风险评估的 整个过程和结果就都可以被量化了 [5 ] 。典型的定量分析 方法有因子分析法 、聚类分析法 、时序模型 、回归模型 、 等风险图法 、决策树法等 。定量评估方法的优点是用直观 的数据来表述评估的结果 , 可以对安全风险进行准确的分 级 , 但这有个前提 , 那就是可供参考的数据指标是准确 的 , 然而在信息环境日益复杂多变的今天 , 定量分析所依 据的数据的可靠性是很难保证的 。此外 , 常常为了量化 , 使本来比较复杂的事物简单化 、模糊化了 , 有的风险因素 被量化以后还可能被误解 。 312 定性分析方法
在此资产上发 生 安 全 事 件 的 可 能 性 计 算 信 息 资 产 的 风 险 值 。第三步记录风险评估的结果 。风险评估的一般流程如 图 2[4 ]所示 。
图 1 风险评估要素关系模型 这些要素之间存在以下关系 : 业务战略依赖于资产去 完成 , 资产拥有价值 , 单位的业务战略越重要 , 对资产的 依赖度越高 , 资产的价值就越大 , 资产的价值越大则风险 越大 ; 风险是由威胁发起的 , 威胁越大则风险越大 , 并可 能演变安全事件 ; 威胁都要利用脆弱性 , 脆弱性越大则风 险越大 。脆弱性使资产暴露 , 是未被满足的安全需求 , 威 胁利用脆弱性来危害资产 , 从而形成风险 。 资产的重要性和对风险的意识会导致安全需求 , 安全 需求通过安全措施来得以满足 , 且是有成本的 ; 安全措施 可以抗击威胁 , 降低风险 , 减弱安全事件的影响 ; 风险不 可能也没必要降为零 , 在实施了安全措施后还会有残留下 来的风险 。一部分残余风险来自于安全措施不当或无效 , 在以后需要继续控制这部分风险 ; 另一部分残余风险则是 在综合考虑了安全的成本与资产价值后 , 有意去控制的风 险 , 这部分风险是可以被接受的 。残余风险应受到密切监 视 , 因为它可能会在将来诱发新的安全事件 。 212 风险评估过程模型 信息系统风险评估 ( Information System Security Evalu2 ation) 是一个动态的复杂过程 , 它贯穿于信息资产和信息 系统的整个生命周期 , 即在评估标准的指导下 , 综合利用 相关评估技术 、评估方法 , 针对信息系统展开评估工作的 完整历程 。对信息系统进行风险评估 , 首先是风险评估的 准备阶段 , 进行组织准备 、技术准备 、人员准备和资金的 准备 。第二步对风险评估要素的识别与赋值 : 对威胁进行 分析 , 并对威胁发生的可能性赋值 ; 识别信息资产的脆弱 性 , 并对弱点的严重程度赋值 ; 结合信息资产的重要性和
3 本文为黑龙江省软科学攻关项目 (项目编号 : GZ08D201 ) 和 黑龙江省社会科学基金项目 (项目编号 : 05B0018) 资助的成果 。