信息安全风险评估流程

第 1 页 共 2 页 科技风险外部审计项目

防火墙审计检查表

防火墙 安全审核

被审核部门 审核人员 审核日期 陪同人员

序号 审核项目 审核步骤/方法 审核结果 补充说明 备注

1 防火墙安全策略审核 检查防火墙安全策略的设置是否合理：

1. 检查防火墙是否只开放了必须要开放的端口；

2. 检查防火墙是否禁止了所有不必要开放的端口；

3. 检查防火墙是否设置了防DOS攻击安全策略；

4. 检查防火墙是否设置了抗扫描安全措施。

2 防火墙应用模式安全审核 防火墙采用何种应用模式（透明、NAT、路由），是否采用了必要的NAT、PAT措施隐藏服务器及内部网络结构

3 防火墙软件检查 检查防火墙操作系统是否为最新版本、是否安装相应的安全补丁。

4 防火墙管理检查 1. 检查防火墙的通过什么方式进行管理，是否为安全的管理方式

2. 检查防火墙是否根据权限不同进行分级管理

3. 检查防火墙的口令设置情况，口令设置是否满足安全要求

5 防火墙日志检查 1. 检查防火墙的日志设置是否合理，是否有所有拒绝数据包的记录日志。

2. 检查防火墙的日志保存情况，所记录的日志是否

第 2 页 共 2 页 防火墙 安全审核

被审核部门 审核人员 审核日期 陪同人员

序号 审核项目 审核步骤/方法 审核结果 补充说明 备注

有连续性；

3. 检查防火墙日志的查看情况，网络安全管理员是否按照防火墙管理制度对防火墙进行日常维护

信息系统安全风险评估流程图

输出文件详细实施流程

风险准备阶段1.评估对象相关信息2.调研报告

风险识别阶段1.调研报告2.重要资产清单3.资产赋值表4.脆弱性列表5.脆弱性赋值表

风险分析阶段1.调研报告2.风险评估规范3.威胁利用脆弱性可能性列表4.脆弱性发生对组织造成影响列表5.风险列表1.重要资产清单2.资产赋值表3.脆弱性列表4.脆弱性赋值表5.威胁分类清单6.威胁识别请购单7.威胁利用脆弱性可能性列表8.脆弱性发生对组织造成影响列表9.已有安全措施列表10.安全措施有效性列表

1.风险分析模型2.风险计算方法3风险列表4.风险评估报告阶段工作职责

合同签订后，风险评估小组对评估对象进行充分的系统调研

对资产进行分类，识别重要信息资产，分析重要资产的保密性、完整性、可用性和业务相关性，并对其进行赋值。

识别已有安全措施并进行有效性分析需求调研

资产识别制定方案

已安全措施的确认

风险分析模型建立

风险计算输入文件

风险评价、风险评估报告

风险处置建议根据调研情况，编制风险评估实施方案，组建风险评估团队并进行安全教育与技术培训，确定风险评估拟使用的工具，并对工具进行检查和测试。

对已识别资产的脆弱性进行识别，包括管理脆弱性和技术脆弱性，并 对脆弱性进行赋值。对威胁进行分类，识别资产面临的威胁，分析威胁利用脆弱的可能性，分析威胁利用脆弱性对组织可能造成的影响。

根据调研报告，结合风险评估规范，建立合适的风险分析模型

根据风险识别情况，结合风险分析模型，制定合适的风险计算方法

根据风险计算方法，结合风险评估准则、通过威胁利用脆弱性可能性 列表、脆弱性发生对组织造成影响列表对系统风险进行评价，编制风险评估报告

确定风险处置原则和风险处置措施，提出风险处置建议。脆弱性识别威胁识别1.调研报告2.风险评估实施方案、3.培训记录表、4.工具测试记录表

1.风险列表风险处置阶段1.风险处置建议

1. 总则

为了完善制度化建设、优化流程管理，抓好风险评估流程建设，达到对所承担的风险评估项目进行有效控制和管理的目的，结合公司实际，特制定本流程。 2. 准备阶段

引　言　值　扇　食　厕　险　值　

马立钢　．　夏军利　

（空军工程大学电讯工程学院。西安７１００７７）　

摘要：信息安全是一个动态复杂的过程．保证信息安全、建立信息安全管理体系已成为目前社会各行业　发展的首要任务。风险评估必须用到评估工具采完成对信息保护的工作．从而建立信息安全的　管理体系。　关键词：信息；安全风险评估；评估工具　

当今时代是信息时代。信息自然成为了第一战略　资源．信息与网络的运用亦是二十一世纪国力的象　征．以网络为载体、信息资源为核心的新经济改变了　传统的资产运营模式．没有各种信息的支持，经济载　体的生存和发展空间就会受到限制，国家的政治、军　事等职能部门就不能正常地维持发展。信息的重要性　使得它面临着来自各方面的层出不穷的挑战，因此，　需要对信息资产加以妥善保护。在现实环境中，信息　总是要面临着各种各样的威胁。信息安全风险是必然　的。在这种情况下．通过适当的、足够的。有时候是综　合的安全措施来控制风险。最终目的是使残余下来的　风险可以降低到最低程度。任何信息系统都会有安全　风险，所以，人们追求的所谓安全的信息系统，实际是　指信息系统在实施　风险评估并做出风险控制后，仍　然存在的残余风险可被接受的信息系统。　１　信息安全风险评估概述　安全风险是一种潜在的、负面的东西，处于未发　生的状态。与之对应的安全事件是一种　在的、负面　的东西，处于已发生的状态。风险是事件的前提．而事　件是风险的即定结果。风险砰估的目的就是要识别风　险．以便采取相应的措施来阻止其演变成为事件。　信息系统的安全风险，是说信息系统一定会存在　若脆弱件，就是我们常说的技术卜的漏｝ｆ司，可以被利　用的漏洞．再加ｊ二人为或自然的威胁．导致一些信息　安全事件的发生的町能性及其造成的影响。信息安全　风险评估是指对信息系统及其处理的传输和存储的　ＩＴ论坛　

信息的保密性、完整性和可用性等安全属性进行科学　识别和评价的过程。可是人们认识能力和实践能力，　从阶段性的考虑来说总是有局限性的，因此信息系统　存在的脆弱性是不可避免的．而这些原因的来源就是　由于人为的错误所造成的．对于现在所使用的一个庞　大的、复杂的技术系统来说．在长时间内是不可避免　的。　风险评估的意义和作用：　①风险评估是信息系统安全的基础性丁作，它是　观察过程的一个持续的工作。　②风险评估是分级防护和突出重点的具体体现。　分级保护的出发点就是要突出重点．要突出重点要害　部位，分级负责，分层实施。　③加强风险评估Ｔ作是当前信息安全工作的客　观需要和紧迫需求。信息系统安全风险评估的总体目　标是认清信息安全环境、信息安全状况。有助于达成　公式，明确责任，采取或完善安全保障措施，使其更加　经济有效，并使信息安全策略保持一致性和持续性。　２信息安全风险评估理论模型　在讨论信息安全风险评估理论模型之前，我们先　研究一下信息安全风险模型．即信息和风险之间的火　系。信息存在保密性、完整性、可用性　个安全属性，　但信息并不是孤立存在的，总是依托于信息的产生、　存储、传递和加工处理等过程，而这些过程叉依赖于　存储介质、传输媒体、信息处理设施等。信息安全风险　是指信息的保密性、完整性、可用性遭到破坏。实际上　就是信息在产牛、存储、传递或加工处理的过程中的　

龙源期刊网

信息安全的风险评估

作者：吴俊森

来源：《电脑知识与技术》2014年第32期

摘要：随着科技信息化的发展，信息安全问题成为信息系统最重要的问题之一。信息安全风险评估是建立信息系统安全体系的基础，能有力保障信息系统的安全性，促进国家信息化的发展。该文将对我国信息安全的风险评估问题进行探讨，并对信息安全风险评估的相关问题提出相应对策。

关键词：信息安全；风险评估；现状问题；对策

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）32-7601-02

信息产业的迅猛发展，使得信息化技术成为社会发展的必要组成部分，信息化技术为国民经济的发展注入了新鲜的活力，更加速了国名经济的发展和人民生活水平的提高。当然，人们在享受信息技术带来的巨大便利时，也面临着各种信息安全问题带来的威胁。这种信息安全事件带来的影响是恶劣的，它将造成巨大的财产损失和信息系统的损害。因此，信息系统的安全问题不得不引起社会和民众的关注，完善信息系统的安全性，加强信息安全的风险评估成为亟待解决的问题。

1 信息安全风险评估概述及必要性

1.1 信息安全风险评估概述

首先，信息安全风险，主要是指人为或自然的利用信息系统脆弱性操作威胁信息系统，以导致信息系统发生安全事件或造成一定消极影响的可能。而信息安全风险评估简单的理解，就是以减少信息安全风险为目的通过科学处理信息系统的方法对信息系统的保密性、完整性进行评估。信息安全风险评估工作是一项保证信息系统相对安全的重要工作，必须科学的对信息系统的生命周期进行评估，最大限度的保障网络和信息的安全。

1.2 信息安全风险评估的必要性

信息安全评估是为了更好的保障信息系统的安全，以确保对信息化技术的正常使用。信息安全风险评估是信息系统安全管理的必要和关键的环节，因为信息系统的安全管理必须建立在科学的风险评估基础上，科学的风险评估有利于正确判断信息系统的安全风险问题，提供风险问题的及时解决方案。