信息安全风险评估与管理方案

引　言　值　扇　食　厕　险　值　

马立钢　．　夏军利　

（空军工程大学电讯工程学院。西安７１００７７）　

摘要：信息安全是一个动态复杂的过程．保证信息安全、建立信息安全管理体系已成为目前社会各行业　发展的首要任务。风险评估必须用到评估工具采完成对信息保护的工作．从而建立信息安全的　管理体系。　关键词：信息；安全风险评估；评估工具　

当今时代是信息时代。信息自然成为了第一战略　资源．信息与网络的运用亦是二十一世纪国力的象　征．以网络为载体、信息资源为核心的新经济改变了　传统的资产运营模式．没有各种信息的支持，经济载　体的生存和发展空间就会受到限制，国家的政治、军　事等职能部门就不能正常地维持发展。信息的重要性　使得它面临着来自各方面的层出不穷的挑战，因此，　需要对信息资产加以妥善保护。在现实环境中，信息　总是要面临着各种各样的威胁。信息安全风险是必然　的。在这种情况下．通过适当的、足够的。有时候是综　合的安全措施来控制风险。最终目的是使残余下来的　风险可以降低到最低程度。任何信息系统都会有安全　风险，所以，人们追求的所谓安全的信息系统，实际是　指信息系统在实施　风险评估并做出风险控制后，仍　然存在的残余风险可被接受的信息系统。　１　信息安全风险评估概述　安全风险是一种潜在的、负面的东西，处于未发　生的状态。与之对应的安全事件是一种　在的、负面　的东西，处于已发生的状态。风险是事件的前提．而事　件是风险的即定结果。风险砰估的目的就是要识别风　险．以便采取相应的措施来阻止其演变成为事件。　信息系统的安全风险，是说信息系统一定会存在　若脆弱件，就是我们常说的技术卜的漏｝ｆ司，可以被利　用的漏洞．再加ｊ二人为或自然的威胁．导致一些信息　安全事件的发生的町能性及其造成的影响。信息安全　风险评估是指对信息系统及其处理的传输和存储的　ＩＴ论坛　

信息的保密性、完整性和可用性等安全属性进行科学　识别和评价的过程。可是人们认识能力和实践能力，　从阶段性的考虑来说总是有局限性的，因此信息系统　存在的脆弱性是不可避免的．而这些原因的来源就是　由于人为的错误所造成的．对于现在所使用的一个庞　大的、复杂的技术系统来说．在长时间内是不可避免　的。　风险评估的意义和作用：　①风险评估是信息系统安全的基础性丁作，它是　观察过程的一个持续的工作。　②风险评估是分级防护和突出重点的具体体现。　分级保护的出发点就是要突出重点．要突出重点要害　部位，分级负责，分层实施。　③加强风险评估Ｔ作是当前信息安全工作的客　观需要和紧迫需求。信息系统安全风险评估的总体目　标是认清信息安全环境、信息安全状况。有助于达成　公式，明确责任，采取或完善安全保障措施，使其更加　经济有效，并使信息安全策略保持一致性和持续性。　２信息安全风险评估理论模型　在讨论信息安全风险评估理论模型之前，我们先　研究一下信息安全风险模型．即信息和风险之间的火　系。信息存在保密性、完整性、可用性　个安全属性，　但信息并不是孤立存在的，总是依托于信息的产生、　存储、传递和加工处理等过程，而这些过程叉依赖于　存储介质、传输媒体、信息处理设施等。信息安全风险　是指信息的保密性、完整性、可用性遭到破坏。实际上　就是信息在产牛、存储、传递或加工处理的过程中的　

最新资料欢迎阅读

1

信息安全风险评估方案

第一章 网络安全现状与问题

1、1 目前安全解决方案的盲目性 现在有很多公司提供各种各样的网络安全解决方案，包括加密、身份认证、 防病毒、防黑客等各个方面，每种解决方案都强调所论述方面面临威胁的严重性， 自己在此方面的卓越性，但对于用户来说这些方面是否真正是自己的薄弱之处， 会造成多大的损失，如何评估，投入多大可以满足要求，对应这些问题应该采取 什麽措施，这些用户真正关心的问题却很少有人提及。

1、2 网络安全规划上的滞后 网络在面对目前越来越复杂的非法入侵、内部犯罪、恶意代码、病毒威胁等 行为时，往往是头痛医头、脚痛医脚，面 对层出不穷的安全问题，疲于奔命，再 加上各种各样的安全产品与安全服务，使用户摸不着头脑，没有清晰的思路，其 原因是由于没有一套完整的安全体系，不能从整体上有所把握。

在目前网络业务系统向交易手段模块化、经纪业务平台化与总部集中监控的

趋势下，安全规划显然未跟上网络管理方式发展的趋势。

第二章 网络动态安全防范体系 用户目前接受的安全策略建议普遍存在着“以偏盖全”的现象，它们过分强调了某个方 面的重要性，而忽略了安全构件（产品）之间的关系。因此在客户化的、可操作的安全策略 基础上，需要构建一个具有 全局观的、多层次的、组件化 的 安全防御体系。它应涉及 网络边 界、网络基础、核心业务和桌面 等多个层面，涵盖路由器、交换机、防火墙、接入服务器、 数据库、操作系统、 DNS、 WWW、 MAIL 及其它应用系统。

静态的安全产品不可能解决动态的安全问题，应该使之 客户化、可定义、可管理 。无论 静态或动态（可管理）安全产品， 简单的叠加并不是有效的防御措施 ，应该要求安全产品构 件之间能够相互联动，以便实现安全资源的 集中管理、统一审计、信息共享 。 最新资料欢迎阅读

重庆电子工程职业学院十一栋

信息安全教室风险评估

项目名称：信息安全教室风险评估

风险评估单位：信安09级1班

风险评估人员：黄 洪

目 录

一、风险评估概述 .................................................................................................................................. 5

1.1 风险评估概念 ................................................................................................................................ 5

1.2风险评估相关 ................................................................................................................................ 5

1.3信息安全现状 ................................................................................................................................ 6

1.4风险评估目的 ................................................................................................................................ 6

信息安全风险评估管理制度

第一章：总则

为了保障公司的信息安全，合理评估和管理信息系统中存在的风险，提高信息资产的保护水平，依法合规运营企业，订立本《信息安全风险评估管理制度》。

第二章：评估管理机构

第一节：评估管理机构的组织设置

1. 公司信息技术部门负责评估管理机构的组织设置和日常工作协调。

2. 评估管理机构由信息技术部门安全团队负责，成员包含信息技术部门员工和相关职能部门的代表。

第二节：评估管理机构的职责

1. 组织和协调信息安全风险评估工作。

2. 研究、订立和完善信息安全风险评估的流程和方法。

3. 监督和检查各部门的信息安全风险评估工作。

4. 帮助各部门解决评估工作中的问题和难题。

5. 定期向公司领导层报告信息安全风险评估情况。

第三节：评估管理机构的权利和义务

1. 评估管理机构有权要求各部门供应相关评估料子和数据。

2. 评估管理机构有权对各部门的评估工作进行抽查和复核。

3. 评估管理机构应当乐观搭配其他部门开展信息安全教育和培训工作。

4. 评估管理机构应当保守评估过程中涉及的信息，对评估结果保密。

5. 评估管理机构应当定期对评估流程和方法进行总结和改进。

第三章：评估工作流程

第一节：评估目标确定

1. 各部门依照公司确定的评估周期和要求，订立评估目标。 2. 评估目标应当明确、具体、可衡量，涵盖系统、网络、应用、设备和数据等方面。

3. 评估目标应当与公司的信息安全政策和目标相全都。

第二节：评估范围确定

1. 各部门依照评估目标，确定评估范围。

2. 评估范围应当包含系统、网络、应用、设备和数据等关键要素。

3. 评估范围应当掩盖公司内部和外部的信息安全风险。

第三节：评估方法选择

1. 各部门综合考虑评估范围和目标，选择适合的评估方法。

2. 评估方法包含但不限于自查、抽查、外部审核等方式。

3. 评估方法应当科学、合理、公正，确保评估结果准确有效。

第四节：评估过程实施