网络信息安全风险评估问题论文【1】

　　摘要：我国的信息化进程时间比较短，在网络信息技术高速发展的过程中，其安全问题也不断地暴露出来。

　　信息安全风险评估是建立信息安全体系的基础，是信息系统安全工程的一个关键组成部分。

　　本文探讨了目前网络信息安全风险评估工作中急需解决的问题。

　　关键词：信息安全;风险评估;脆弱性;威胁

　　一、引言

　　随着信息技术的飞速发展，关系国计民生的关键信息资源的规模越来越大，信息系统的复杂程度越来越高，保障信息资源、信息系统的安全是国民经济发展和信息化建设的需要。

　　信息安全的目标主要体现在机密性、完整性、可用性等方面。

　　风险评估是安全建设的出发点，它的重要意义在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案的制定，以成本一效益平衡的原则，通过评估信息系统面临的威胁以及脆弱性被威胁源利用后安全事件发生的可能性，并结合资产的重要程度来识别信息系统的安全风险。

　　信息安全风险评估就是从风险管理角度，运用科学的分析方法和手段，系统地分析信息化业务和信息系统所面临的人为和自然的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，以防范和化解风险，或者将残余风险控制在可接受的水平，从而最大限度地保障网络与信息安全。

　　二、网络信息安全的内容和主要因素分析

　　“网络信息的安全”从狭义的字面上来讲就是网络上各种信息的安全，而从广义的角度考虑，还包括整个网络系统的硬件、软件、数据以及数据处理、存储、传输等使用过程的安全。

　　网络信息安全具有如下5个特征：1.保密性。

　　即信息不泄露给非授权的个人或实体。

　　2.完整性。

　　即信息未经授权不能被修改、破坏。

　　3.可用性。

　　即能保证合法的用户正常访问相关的信息。

　　4.可控性。

　　即信息的内容及传播过程能够被有效地合法控制。

　　5.可审查性。

　　即信息的使用过程都有相关的记录可供事后查询核对。

　　网络信息安全的研究内容非常广泛，根据不同的分类方法可以有多种不同的分类。

　　研究内容的广泛性决定了实现网络信息安全问题的复杂性。

　　而通过有效的网络信息安全风险因素分析，就能够为此复杂问题的解决找到一个考虑问题的立足点，能够将复杂的问题量化，同时，也为能通过其他方法如人工智能网络方法解决问题提供依据和基础。

　　网络信息安全的风险因素主要有以下6大类：1.自然界因素，如地震、火灾、风灾、水灾、雷电等;2.社会因素，主要是人类社会的各种活动，如暴力、战争、盗窃等;

　　3.网络硬件的因素，如机房包括交换机、路由器、服务器等受电力、温度、湿度、灰尘、电磁干扰等影响;4.软件的因素，包括机房设备的管理软件、机房服务器与用户计算机的操作系统、各种服务器的数据库配置的合理性以及其他各种应用软件如杀毒软件、防火墙、工具软件等;

　　5.人为的因素，主要包括网络信息使用者和参与者的各种行为带来的影响因素，如操作失误、数据泄露、恶意代码、拒绝服务、骗取口令、木马攻击等;6.其他因素，包括政府职能部门的监管因素、有关部门对相关法律法规立法因素、教育部门对相关知识的培训因素、宣传部门对相关安全内容的宣传因素等。

　　这些因素对于网络信息安全均会产生直接或者间接的影响。

　　三、安全风险评估方法

　　(一)定制个性化的评估方法

　　虽然已经有许多标准评估方法和流程，但在实践过程中，不应只是这些方法的套用和拷贝，而是以他们作为参考，根据企业的特点及安全风险评估的能力，进行“基因”重组，定制个性化的评估方法，使得评估服务具有可裁剪性和灵活性。

　　评估种类一般有整体评估、IT安全评估、渗透测试、边界评估、网络结构评估、脆弱性扫描、策略评估、应用风险评估等。

　　(二)安全整体框架的设计

　　风险评估的目的，不仅在于明确风险，更重要的是为管理风险提供基础和依据。

　　作为评估直接输出，用于进行风险管理的安全整体框架。

　　但是由于不同企业环境差异、需求差异，加上在操作层面可参考的模板很少，使得整体框架应用较少。

　　但是，企业至少应该完成近期1～2年内框架，这样才能做到有律可依。

　　(三)多用户决策评估

　　不同层面的用户能看到不同的问题，要全面了解风险，必须进行多用户沟通评估。

　　将评估过程作为多用户“决策”过程，对于了解风险、理解风险、管理风险、落实行动，具有极大的意义。

　　事实证明，多用户参与的效果非常明显。

　　多用户“决策”评估，也需要一个具体的流程和方法。

　　(四)敏感性分析

　　由于企业的系统越发复杂且互相关联，使得风险越来越隐蔽。

　　要提高评估效果，必须进行深入关联分析，比如对一个老漏洞，不是简单地分析它的影响和解决措施，而是要推断出可能相关的其他技术和管理漏洞，找出病“根”，开出有效的“处方”。

　　这需要强大的评估经验知识库支撑，同时要求评估者具有敏锐的分析能力。

　　(五)集中化决策管理

　　安全风险评估需要具有多种知识和能力的人参与，对这些能力和知识的管理，有助于提高评估的效果。

　　集中化决策管理，是评估项目成功的保障条件之一，它不仅是项目管理问题，而且是知识、能力等“基因”的组合运用。

　　必须选用具有特殊技能的人，去执行相应的关键任务。

　　如控制台审计和渗透性测试，由不具备攻防经验和知识的人执行，就达不到任何效果。

　　(六)评估结果管理

　　安全风险评估的输出，不应是文档的堆砌，而是一套能够进行记录、管理的系统。

　　它可能不是一个完整的风险管理系统，但至少是一个非常重要的可管理的风险表述系统。

　　企业需要这样的评估管理系统，使用它来指导评估过程，管理评估结果，以便在管理层面提高评估效果。

　　四、风险评估的过程

　　(一)前期准备阶段

　　主要任务是明确评估目标，确定评估所涉及的业务范围，签署相关合同及协议，接收被评估对象已存在的相关资料。

　　展开对被评估对象的调查研究工作。

　　(二)中期现场阶段

　　编写测评方案，准备现场测试表、管理问卷，展开现场阶段的测试和调查研究阶段。

　　(三)后期评估阶段

　　撰写系统测试报告。

　　进行补充调查研究，评估组依据系统测试报告和补充调研结果形成最终的系统风险评估报告。

　　五、风险评估的错误理解

　　1.不能把最终的系统风险评估报告认为是结果唯一。

　　2.不能认为风险评估可以发现所有的安全问题。

　　3.不能认为风险评估可以一劳永逸的解决安全问题。

　　4.不能认为风险评估就是漏洞扫描。

　　5.不能认为风险评估就是 IT部门的工作，与其它部门无关。

　　6.不能认为风险评估是对所有信息资产都进行评估。

　　六、结语

　　总之，风险评估可以明确信息系统的安全状况和主要安全风险。

　　风险评估是信息系统安全技术体系与管理体系建设的基础。

　　通过风险评估及早发现安全隐患并采取相应的加固方案是信息系统安全工程的重要组成部分，是建立信息系统安全体系的基础和前提。

　　加强信息安全风险评估工作是当前信息安全工作的客观需要和紧迫需求，但是，信息安全评估工作的实施也存在一定的难题，涉及信息安全评估的行业或系统各不相同，并不是所有的评估方法都适用于任何一个行业，要选择合适的评估方法，或开发适合于某一特定行业或系统的特定评估方法，是当前很现实的问题，也会成为下一步研究的重点。

　　参考文献：

　　信息安全风险评估方法论文【1】

　　【摘要】随着信息化的逐步深化、扩展，信息系统的安全性和可用性显得愈来愈重要。本文基于电网企业开展的信息安全风险评估工作，对信息安全风险评估的评估实施流程、评估实施方法及其在信息系统生命周期不同阶段的实施要点进行浅要分析。

　　【关键词】信息系统;信息安全;风险评估;评估方法

　　一、信息安全风险评估的评估实施流程

　　信息安全风险评估包括：资产评估、威胁评估、脆弱性评估、现有安全措施评估、风险计算和分析、风险决策和安全建议，在风险评估之后就是要进行安全整改。

　　网省公司信息系统风险评估的主要内容包括：资产评估、威胁评估、脆弱性评估和现有安全措施评估，一般采用全面风险评估的方法，以安全顾问访谈、管理问卷调查、安全文档分析等方式，并结合了漏洞扫描、人工安全检查等手段，对评估范围内的网络、主机以及相应的部门的安全状况进行了全面的评估，经过充分的分析后，得到了信息系统的安全现状。

　　二、信息安全风险评估实施方法

　　2.1 资产评估

　　网省公司资产识别主要针对提供特定业务服务能力的应用系统展开，通常一个应用系统都可划分为数据存储、业务处理、业务服务提供和客户端四个功能部分，这四个部分在信息系统的实例中都显现为独立的资产实体，例如：典型的协同办公系统可分为客户端、Web服务器、Domino服务器、DB2数据库服务器四部分资产实体。

　　综合考虑资产的使命、资产本身的价值、资产对于应用系统的重要程度、业务系统对于资产的依赖程度、部署位置及其影响范围等因素评估信息资产价值。资产赋值是资产评估由定性化判断到定量化赋值的关键环节。

　　2.2 威胁评估

　　威胁评估是通过技术手段、统计数据和经验判断来确定信息系统面临的威胁的过程。在实施过程中，根据各单位业务系统的具体系统情况，结合系统以往发生的信息安全事件及对网络、系统管理员关于威胁发生可能性和发展趋势的调查，下面按照威胁的主体分别对这些威胁及其可能发生的各种情形进行简单描述：

　　2.3 脆弱性评估

　　脆弱性评估内容包括管理、运维和技术三方面的内容，具体实施可参照公司相应的技术或管理标准以及评估发起方的要求，根据评估选择的策略和评估目的的不同进行调整。下表是一套脆弱性识别对象的参考：

　　管理脆弱性：安全方针、信息安全组织机构、人员安全管理、信息安全制度文件管理、信息化建设中的安全管理、信息安全等级保护工作、信息安全评估管理、信息安全的宣传与培训、信息安全监督与考核工作、符合性管理。

　　运维脆弱性：信息系统运行管理、资产分类管理、配置与变更管理、业务连续性管理、物理环境安全、设备与介质安全。

　　技术脆弱性：网络系统、主机安全、通用系统安全、业务系统安全、现有安全措施。

　　管理、运维、技术三方面脆弱性是相互关联的，管理脆弱性可能会导致运维脆弱性和技术脆弱性的产生，运维脆弱性也可能导致技术脆弱性的产生。技术的脆弱性识别主要采用工具扫描和人工审计的方式进行，运维和管理的脆弱性主要通过访谈和调查问卷来发现。此外，对以往的安全事件的统计和分析也是确定脆弱性的主要方法。

　　三、现有安全措施评估

　　通过现有安全措施指评估安全措施的部署、使用和管理情况，确定这些措施所保护的资产范围，以及对系统面临风险的消除程度。

　　3.1 安全技术措施评估

　　通过对各单位安全设备、防病毒系统的部署、使用和管理情况，对特征库的更新方式、以及最近更新时间，设备自身资源使用率(CPU、MEM、DISK)、自身工作状况、以及曾经出现过的异常现象、告警策略、日志保存情况、系统中管理员的个数、管理员所使用的口令的强度、弱口令情况等信息进行脆弱性分析，并确定级别。

　　3.2 安全管理措施评估

　　访谈被评估单位是否成立了信息安全领导小组，并以文件的形式明确了信息安全领导小组成员和相关职责，是否结合实际提出符合自身发展的信息化建设策略，其中包括是否制定了信息安全工作的总体方针和安全策略，建立健全了各类安全管理制度，对日常管理操作建立了规范的操作规程;定期组织全员学习国家有关信息安全政策、法规等。

　　3.3 物理与环境安全

　　查看被访谈单位信息机房是否有完善的物理环境保障措施，是否有健全的漏水监测系统，灭火系统是否安全可用，有无温湿度监测及越限报警功能，是否配备精密空调严格调节控制机房内温度及湿度，保障机房设备的良好运行环境。

　　3.4 应急响应与恢复管理

　　为正确、有效和快速处理网络信息系统突发事件，最大限度地减少网络信息系统突发事件对单位生产、经营、管理造成的损失和对社会的不良影响，需查看被评估单位是否具备完善网络信息系统应急保证体系和应急响应机制，应对网络信息系统突发事件的组织指挥能力和应急处置能力，是否及时修订本单位的网络信息系统突发事件应急预案，并进行严格的评审、发布。

　　3.5 安全整改

　　被评估单位根据信息安全风险评估结果，对本单位存在的安全风险进行整改消除，从安全技术及安全管理两方面，落实信息安全风险控制及管理，确保信息系统安全稳定运行。

　　四、结语

　　公司近两年推行了“双网双机、分区分域、等级保护、分层防御”的安全防护策略和一系列安全措施，各单位结合风险评估实践情况，以技术促安全、以管理保安全，确保公司信息系统稳定运行，为公司发展提供有力信息支撑。

　　参考文献

　　[1]中国国家标准化管理委员会，信息安全技术一信息安全风险评估规范，2007年

　　[2]国务院信息办信息安全风险评估课题组[R]，信息安全风险评估研究报告，2004

　　信息安全风险评估论文【2】

　　【摘 要】本文介绍了信息安全风险评估的基本概述，信息安全风险评估基本要素及通用的信息安全风险评估过程。提出在实际工作中结合实际情况进行剪裁，完成自己的风险评估实践。

　　【关键词】信息安全;风险评估

　　1 企业信息安全风险评估概述

　　信息系统的风险评估是指确定在计算机系统和网络中每一种资源缺失或遭到破坏对整个系统造成的预计损失数量。是针对威胁、脆弱点以及它可能导致的风险大小而评估的。

　　对信息安全进行风险分析和评估的目的就是：企业能知道信息系统中是否有安全隐患的存在，并估测这些风险将会造成的安全威胁与可能造成的损失，经过这些判断来决定修复或者对于安全信息系统的建立。

　　信息系统风险分析和评估能够有效的保护企业信息，但同时它也是一个较为复杂的过程，建立一个完善的信息安全风险评估需要具备相应的标准体系、技术体系、组织架构、业务体系同时也要遵循相关的法律法规。

　　2 企业信息安全风险评估的作用

　　信息安全风险评估是信息安全工作的基本保障措施之一。风险评估工作是预防为主方针的充分体现，它能够把信息化工作的安全控制关口前移，超前防范。

　　针对信息系统规划、设计、建设、运行、使用、维护等不同阶段实行不同的信息安全风险评估，这样能够在第一时间发现各种所存在的安全隐患，然后再运用科学的方法对风险进行分析，从而解决信息化过程中不同层次和阶段的安全问题。

　　在信息系统的规划设计阶段，信息安全风险评估工作的实行，可以使企业在充分考虑经营管理目标的条件下，对信息系统的各个结构进行完善从而满足企业业务发展和系统发展的安全需求，有效的避免事后的安全事故。

　　这种信息安全风险评估是必不可少的，它很好地体现了“预防为主”方针的具体体现，可以有效降低整个信息系统的总体拥有成本。信息安全风险评估作为整个信息安全保障体系建设的基础、它确保了信息系统安全、业务安全、数据安全的基础性、预防性工作。因此企业信息安全风险评估工作需要落到实处，从而促进其进一步又好又快发展。

　　3 信息安全风险评估的基本要素