信息安全的信息资产、威胁与脆弱性分类

信息系统安全风险的概念模型和评估模型叶志勇摘要：本文阐述了信息系统安全风险的概念模型和评估模型，旨在为风险评估工作提供理论指导，使风险评估的过程和结果具有逻辑性和系统性，从而提高风险评估的质量和效果。

风险的概念模型指出，风险由起源、方式、途径、受体和后果五个方面构成，分别是威胁源、威胁行为、脆弱性、资产和影响。

风险的评估模型要求，首先评估构成风险的五个方面，即威胁源的动机、威胁行为的能力、脆弱性的被利用性、资产的价值和影响的程度，然后综合这五方面的评估结果，最后得出风险的级别。

关键词：安全风险、安全事件、风险评估、威胁、脆弱性、资产、信息、信息系统。

一个机构要利用其拥有的资产来完成其使命。

因此，资产的安全是关系到该机构能否完成其使命的大事。

在信息时代，信息成为第一战略资源，更是起着至关重要的作用。

信息资产包括信息自身和信息系统。

本文提到的资产可以泛指各种形态的资产，但主要针对信息资产及其相关资产。

资产与风险是天生的一对矛盾，资产价值越高，面临的风险就越大。

风险管理就是要缓解这一对矛盾，将风险降低的可接受的程度，达到保护资产的目的，最终保障机构能够顺利完成其使命。

风险管理包括三个过程：风险评估、风险减缓和评价与评估。

风险评估是风险管理的第一步。

本文对风险的概念模型和评估模型进行了研究，旨在为风险评估工作提供理论指导，使风险评估的过程和结果具有逻辑性和系统性，从而提高风险评估的质量和效果。

一、风险的概念模型安全风险（以下简称风险）是一种潜在的、负面的东西，处于未发生的状态。

与之相对应，安全事件（以下简称事件）是一种显在的、负面的东西，处于已发生的状态。

风险是事件产生的前提，事件是在一定条件下由风险演变而来的。

图1给出了风险与事件之间的关系。

图1 风险与事件之间的关系风险的构成包括五个方面：起源、方式、途径、受体和后果。

它们的相互关系可表述为：风险的一个或多个起源，采用一种或多种方式，通过一种或多种途径，侵害一个或多个受体，造成不良后果。

信息安全信息资产评估分类信息安全是指在计算机网络及信息系统中，保护信息免受未授权访问、使用、披露、破坏、修改或泄漏的一系列措施和方法。

而信息资产评估则是对组织的信息资产进行全面的评估和分析，以确定其价值、风险和安全需求。

本文将对信息安全和信息资产评估进行分类讨论。

一、信息安全：1.定义：信息安全是指保护信息的机密性、完整性和可用性，以防止未经授权的访问、使用、披露、破坏、修改或泄漏。

2.目标：确保信息的保密性，即只有授权人员可以访问敏感信息；确保信息的完整性，防止信息被篡改或损坏；确保信息的可用性，保证信息及相关系统的正常运行。

3.措施：采取技术和管理手段进行信息安全保护，包括身份认证、访问控制、加密、防火墙、入侵检测系统等。

二、信息资产评估：1.定义：信息资产评估是对组织的信息资产进行全面的评估和分析，以确定其价值、风险和安全需求。

2.目的：了解组织的信息资产，包括数据、系统、网络、设备等的价值和风险，为制定有效的信息安全策略和措施提供依据。

3.流程：包括确定评估范围、收集信息资产、评估信息资产价值、评估信息资产风险、制定改进措施等步骤。

4.价值评估：评估信息资产的价值，包括数据的重要性、系统的关键性、网络的可靠性等，以确定其保护的优先级。

5.风险评估：评估信息资产的风险，包括潜在的威胁、漏洞和脆弱性，以确定需要采取的安全措施。

6.改进措施：根据评估结果，制定相应的信息安全策略和措施，包括制定访问控制策略、加强网络安全、加密敏感数据等。

三、信息安全和信息资产评估的关系：1.信息安全和信息资产评估是相互关联的，信息安全是保护信息资产的目标，而信息资产评估是评估信息资产的价值和风险，为制定信息安全策略和措施提供依据。

2.信息资产评估是信息安全的前提和基础，只有了解信息资产的价值和风险，才能有针对性地制定信息安全策略和措施。

3.信息资产评估是信息安全管理的重要环节，通过评估信息资产的价值和风险，可以合理分配安全资源，提高信息安全管理的效果和效率。

A.1 信息安全风险综合评价(LEC法)
是综合考虑信息安全的信息资产、威胁与脆弱性三个因素的各项影响包括经济影响进行的综合评价办法。

注意此方法适用于信息安全风险评价，不适用于其他的评价。

见公式（8）
D=L×E×C (1)
式中：
D：综合评价结果,
L：威胁出现的频率因子，
E：脆弱性严重程度因子,
C：信息资产重要性因子（C=c1+c2+c3）。

A.2 威胁出现的频率因子(L)，见表F.1
表F.1 威胁出现的频率因子(L)
A.3 脆弱性严重程度因子(E)，见表F.2
表F.2 脆弱性严重程度因子(E)
A.4 信息资产重要性因子(C)，见公式（9）
C=c1 + c2 +c3 (2)
式中：
C:：信息资产重要性因子
c1:：信息资产保密性因子
c2:：信息资产完整性因子
c3:：信息资产可用性因子。

A.4.1 信息资产保密性因子c1，见表F.3
表F.3 信息资产保密性因子c1
A.4.2 信息资产完整性因子 c2，见表F.4
表F.4 信息资产完整性因子 c2
A.4.3 信息资产可用性赋值 c3，见表F.5
表F.5 信息资产可用性赋值 c3
_________________________________。

信息安全风险评估包括哪些信息安全风险评估是指对信息系统中的潜在威胁进行客观和系统化的识别、分析和评价的过程。

通过对信息系统的风险进行评估和分析，能够帮助组织了解自身的安全现状，制定相应的安全措施和策略，以保证组织的信息安全。

信息安全风险评估包括以下几个方面：1. 资产评估：评估信息系统中的各类资产，包括硬件设备、软件应用、数据、网络设备等。

通过对这些资产的评估，确定哪些资产对组织的业务运作具有重要性，需要特别保护和重点关注。

2. 威胁评估：评估信息系统面临的潜在威胁和攻击方式。

通过分析各种威胁的来源、特征、攻击手段和影响，识别哪些威胁可能对信息系统的安全造成威胁，并评估其对组织业务的潜在损害。

3. 脆弱性评估：评估信息系统中的存在的脆弱性和漏洞。

通过分析系统的配置、补丁管理、口令管理等方面，发现可能被攻击者利用的漏洞和脆弱点，识别系统中潜在的风险。

4. 风险评估：通过对资产、威胁和脆弱性的评估，综合分析和量化风险的可能性和影响。

通过风险评估，识别和排序系统中的潜在风险，确定哪些风险具有较高的优先级，需要优先采取措施加以防范。

5. 对策评估：评估组织已有的安全控制措施和防御机制，分析其对系统当前面临的风险的有效性和适用性。

通过对策评估，发现安全控制措施的不足之处，并对其进行改进，提高组织的信息安全防护能力。

6. 风险管理计划：根据风险评估结果，制定信息安全风险管理计划，确定相应的风险管理策略和措施，明确各项安全控制的实施责任和时间表，以确保组织的信息系统安全管理工作的持续有效进行。

综上所述，信息安全风险评估是一个综合性的过程，通过对资产、威胁、脆弱性和对策的评估，识别和分析信息系统面临的风险，并制定相应的风险管理计划，以帮助组织建立起有效的信息安全管理体系，保护组织的信息系统和数据的安全。

信息安全的风险评估
信息安全的风险评估是指对信息系统或网络环境中的风险进行系统化的评估与分析，以确定对信息安全造成威胁的因素、可能遭受到的攻击类型以及可能导致的损失，为制定有效的安全措施和决策提供依据。

信息安全的风险评估可以按照以下步骤进行：
1. 资产识别和分类：识别和分类重要的信息资产，例如数据、系统、网络、设备等。

2. 威胁辨识：分析与确认可能的威胁来源和攻击方法，例如网络攻击、恶意软件、社会工程等。

3. 脆弱性评估：评估系统和网络存在的漏洞和弱点，即脆弱性，例如安全配置问题、未修补的漏洞等。

4. 风险分析：结合资产识别、威胁辨识和脆弱性评估的结果，评估潜在威胁和漏洞对信息安全造成的风险程度。

5. 风险评估：根据风险分析的结果，对风险进行量化评估或定性评估，确定风险的等级和优先级。

6. 风险管理：根据风险评估的结果，制定针对性的安全措施和策略，包括风险的接受、缓解、转移或避免。

7. 监测与更新：持续监测信息安全状况，及时更新风险评估和
管理策略，以适应不断变化的威胁环境。

通过信息安全的风险评估，组织能够识别和评估潜在的风险，制定相应的风险管理措施，提升信息系统和网络的安全性，保护重要的信息资产免受攻击和损失。

第1篇第一章总则第一条为加强信息安全风险管理，保障信息安全，根据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》等相关法律法规，结合我国信息安全工作实际，制定本规定。

第二条本规定适用于中华人民共和国境内所有组织和个人，包括但不限于企业、事业单位、社会团体、个体工商户等。

第三条信息安全风险管理应遵循以下原则：（一）依法依规：严格遵守国家法律法规和标准规范，确保信息安全风险管理合法、合规。

（二）预防为主：坚持预防为主、防治结合的方针，强化安全意识，加强安全防护，降低信息安全风险。

（三）全面覆盖：全面覆盖信息安全风险管理的各个环节，确保信息安全风险得到有效控制。

（四）持续改进：建立健全信息安全风险管理体系，持续改进，提高信息安全风险防范能力。

第四条组织和个人应加强信息安全风险管理，建立健全信息安全风险管理制度，明确责任，落实措施，确保信息安全。

第二章信息安全风险评估第五条组织和个人应定期开展信息安全风险评估，评估内容包括但不限于：（一）信息资产识别：识别组织和个人所拥有的信息资产，包括但不限于数据、系统、网络、设备等。

（二）威胁识别：识别可能对信息资产造成威胁的因素，包括但不限于网络攻击、恶意软件、人为错误等。

（三）脆弱性识别：识别信息资产可能存在的安全漏洞和缺陷。

（四）影响评估：评估信息安全事件可能对组织和个人造成的影响，包括但不限于经济损失、声誉损失、业务中断等。

第六条信息安全风险评估应遵循以下步骤：（一）制定评估计划：明确评估目的、范围、方法、时间安排等。

（二）信息收集：收集与信息安全风险评估相关的资料，包括信息资产、威胁、脆弱性、影响等。

（三）分析评估：对收集到的信息进行分析，评估信息安全风险等级。

（四）报告编制：编制信息安全风险评估报告，包括评估结果、风险等级、建议措施等。

第七条信息安全风险评估报告应包括以下内容：（一）评估背景：说明评估目的、范围、方法等。

（二）评估结果：列出信息安全风险等级、风险点、可能造成的影响等。

新疆汇和银行信息资产分级管理1.信息资产分类鉴别•为达到及维护组织资产的保护, 应明确识别所有资产, 并制作与维持所有重要资产的清单, 与信息处理设施相关的所有信息及资产由信息科技管理小组指定管理者。

与信息处理设施相关的信息与资产。

计算机管理中心和会计核心算中心具体负责做好信息资产定期更新与维护信息资产清单, 由信息科技管理小组统一控管, 确保信息资产列表完整性。

信息资产依其性质不同, 分为5类：人员、硬件、软件、电子数据、书面文件依序如下：•人员: 系指业务主管、承办人员、委外厂商、契约人员等。

•硬件: 系指网络设备、主机设备、通讯设备、环境设备等相关硬件设施。

例如: 服务器主机、个人计算机、不断电设备等。

•软件: 系指自行开发或委外开发之应用系统程序、外购之软件包等。

例如: 应用系统、操作系统、软件包、工具程序等。

电子数据: 系指以电子形式存在之信息数据。

例如: 网络设定数据、备份文件等。

书面文件: 系指以纸本形式存在之文书数据、报表等相关信息。

例如: 合同、规范、系统文件、用户手册、训练教材等。

所有资产经由资产分类, 制成「信息资产列表」。

2.信息资产价值鉴别为信息依其对组织的价值、法律要求、敏感性及重要性加以分类, 价值鉴别准则依信息资产分类分别针对机密性、可用性、完整性, 其评估标准如下：各资产价值为资产之机密性、完整性及可用性评估值取最大值；如以下式子: 资产价值 = 机密性评估值 + 完整性评估值 + 可用性评估值。

各资产依资产价值数值分级；详如资产价值等级表3.信息资产标示与处理依照组织所采用的分类法, 发展与实作一套适当的信息标示与处置程序。

资产标示必须明确。

资产标示含资产风险等级并以颜色卷标区分。

硬件类资产标示依其价值等级并以颜色卷标区分。

高资产价值: 指该资产价值最高, 贴红色卷标。

中资产价值: 指该资产价值中等, 贴黄色标签。

低资产价值：指该资产价值最低, 不贴卷标。

资产在保存过程中, 应依适当程序作妥善保存。