信息安全風(fēng)險(xiǎn)評(píng)估探究論文

1、信息安全風(fēng)險(xiǎn)評(píng)估探究論文 1.風(fēng)險(xiǎn)評(píng)估內(nèi)涵 風(fēng)險(xiǎn)評(píng)估是一項(xiàng)周期性工作，是進(jìn)行風(fēng)險(xiǎn)管理。由于風(fēng)險(xiǎn)評(píng)估的結(jié)果將直接影響到信息系統(tǒng)防護(hù)措施的選擇，從而在一定程度上決定了風(fēng)險(xiǎn)管理的成效。風(fēng)險(xiǎn)評(píng)估可以概括為：風(fēng)險(xiǎn)評(píng)估是一個(gè)技術(shù)與管理的過程。風(fēng)險(xiǎn)評(píng)估是根據(jù)威脅、脆弱性判斷系統(tǒng)風(fēng)險(xiǎn)的過程。風(fēng)險(xiǎn)評(píng)估貫穿于系統(tǒng)建設(shè)生命周期的各階段。 2.信息安全風(fēng)險(xiǎn)評(píng)估方法 （1）安全風(fēng)險(xiǎn)評(píng)估。為確定這種可能性，需分析系統(tǒng)的威脅以及由此表現(xiàn)出的脆弱性。影響是按照系統(tǒng)在單位任務(wù)實(shí)施中的重要程度來確定的。風(fēng)險(xiǎn)評(píng)估以現(xiàn)實(shí)系統(tǒng)安全為目的，按照科學(xué)的程序和方法，對(duì)系統(tǒng)中的危險(xiǎn)要素進(jìn)行充分的定性、定量分析，并作出綜合評(píng)價(jià)，以便針對(duì)存在的問

2、題，根據(jù)當(dāng)前科學(xué)技術(shù)和經(jīng)濟(jì)條件，提出有效的安全措施，消除危險(xiǎn)或?qū)⑽ｋU(xiǎn)降到最低程度。即：風(fēng)險(xiǎn)評(píng)估是對(duì)系統(tǒng)存在的固有和潛在危險(xiǎn)及風(fēng)險(xiǎn)性進(jìn)行定性和定量分析，得出系統(tǒng)發(fā)送危險(xiǎn)的可能性和程度評(píng)價(jià)，以尋求最低的事故率、最少的損失和最優(yōu)的安全投資效益。（2）風(fēng)險(xiǎn)評(píng)估的主要內(nèi)容。技術(shù)層面。評(píng)估和分析網(wǎng)絡(luò)和主機(jī)上存在的安全技術(shù)風(fēng)險(xiǎn)，包括物理環(huán)境、網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫、應(yīng)用系統(tǒng)等軟、硬件設(shè)備。管理層面。從本單位的工作性質(zhì)、人員組成、組織結(jié)構(gòu)、管理制度、網(wǎng)絡(luò)系統(tǒng)運(yùn)行保障措施及其他運(yùn)行管理規(guī)范等角度，分析業(yè)務(wù)運(yùn)作和管理方面存在的安全缺陷。（3）風(fēng)險(xiǎn)評(píng)估方法。技術(shù)評(píng)估和整體評(píng)估。技術(shù)評(píng)估是指對(duì)組織的技術(shù)

3、基礎(chǔ)結(jié)構(gòu)和程序系統(tǒng)、及時(shí)地檢查，包括對(duì)組織內(nèi)部計(jì)算環(huán)境的安全性及對(duì)內(nèi)外攻擊脆弱性的完整性攻擊。整體風(fēng)險(xiǎn)評(píng)估擴(kuò)展了上述技術(shù)評(píng)估的范圍，著眼于分析組織內(nèi)部與安全相關(guān)的風(fēng)險(xiǎn)，包括內(nèi)部和外部的風(fēng)險(xiǎn)源、技術(shù)基礎(chǔ)和組織結(jié)構(gòu)以及基于電子的和基于人的風(fēng)險(xiǎn)。定性評(píng)估和定量評(píng)估。定性分析方法是使用最廣泛的風(fēng)險(xiǎn)分析方法。根據(jù)組織本身歷史事件的統(tǒng)計(jì)記錄等方法確定資產(chǎn)的價(jià)值權(quán)重，威脅發(fā)生的可能性以及如將其賦值為“極低、低、中、高、極高”?；谥R(shí)的評(píng)估和基于模型的評(píng)估?；谥R(shí)的風(fēng)險(xiǎn)評(píng)估方法主要依靠經(jīng)驗(yàn)進(jìn)行。經(jīng)驗(yàn)從安全專家處獲取并憑此來解決相似場(chǎng)景的風(fēng)險(xiǎn)評(píng)估問題。該方法的優(yōu)越性在于能直接提供推薦的保護(hù)措施、結(jié)構(gòu)框架和實(shí)

4、施計(jì)劃。（4）信息安全風(fēng)險(xiǎn)的計(jì)算。計(jì)算安全事件發(fā)生的可能性。根據(jù)威脅出現(xiàn)頻率及弱點(diǎn)的狀況，計(jì)算威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性。具體評(píng)估中，應(yīng)綜合攻擊者技術(shù)能力、脆弱性被利用的難易程度、資產(chǎn)吸引力等因素判斷安全事件發(fā)生的可能性。計(jì)算安全事件發(fā)生后的損失。根據(jù)資產(chǎn)價(jià)值及脆弱性的嚴(yán)重程度，計(jì)算安全事件一旦發(fā)生后的損失。部分安全事件損失的發(fā)生不僅針對(duì)該資產(chǎn)本身，還可能影響業(yè)務(wù)的連續(xù)性；不同安全事件的發(fā)生對(duì)組織造成的影響也不一樣。計(jì)算風(fēng)險(xiǎn)值。根據(jù)計(jì)算出的安全事件發(fā)生的可能性以及安全事件的損失計(jì)算風(fēng)險(xiǎn)值。 3.風(fēng)險(xiǎn)評(píng)估模型選擇 參考多個(gè)國際風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)，建立了由安全風(fēng)險(xiǎn)管理流程模型、安全風(fēng)險(xiǎn)關(guān)系模

5、型和安全風(fēng)險(xiǎn)計(jì)算模型共同組成的安全風(fēng)險(xiǎn)模型（見圖1）。（1）安全風(fēng)險(xiǎn)管理過程模型。風(fēng)險(xiǎn)評(píng)估過程。信息安全評(píng)估包括技術(shù)評(píng)估和管理評(píng)估。安全風(fēng)險(xiǎn)報(bào)告。提交安全風(fēng)險(xiǎn)報(bào)告，獲知安全風(fēng)險(xiǎn)狀況是安全評(píng)估的主要目標(biāo)。風(fēng)險(xiǎn)評(píng)估管理系統(tǒng)。根據(jù)單位安全風(fēng)險(xiǎn)分析與風(fēng)險(xiǎn)評(píng)估的結(jié)果，建立本單位的風(fēng)險(xiǎn)管理系統(tǒng)，將風(fēng)險(xiǎn)評(píng)估結(jié)果入庫保存，為安全管理和問題追蹤提供數(shù)據(jù)基礎(chǔ)。安全需求分析。根據(jù)本單位安全風(fēng)險(xiǎn)評(píng)估報(bào)告，確定有效安全需求。安全建議。依據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，提出相關(guān)建議，協(xié)助構(gòu)建本單位安全體系結(jié)構(gòu)，結(jié)合組織本地、遠(yuǎn)程網(wǎng)絡(luò)架構(gòu)，為制定完整動(dòng)態(tài)的安全解決方案提供參考。風(fēng)險(xiǎn)控制。根據(jù)安全風(fēng)險(xiǎn)報(bào)告，結(jié)合單位特點(diǎn)，針對(duì)面對(duì)的安全風(fēng)險(xiǎn)，

6、分析將面對(duì)的安全影響，提供相應(yīng)的風(fēng)險(xiǎn)控制建議。監(jiān)控審核。風(fēng)險(xiǎn)管理過程中每一個(gè)步驟都需要進(jìn)行監(jiān)控和審核程序，保證整個(gè)評(píng)估過程規(guī)范、安全、可信。溝通、咨詢與文檔管理。整個(gè)風(fēng)險(xiǎn)管理過程的溝通、咨詢是保證風(fēng)險(xiǎn)評(píng)估項(xiàng)目成功實(shí)施的關(guān)鍵因素。（2）安全風(fēng)險(xiǎn)關(guān)系模型。安全風(fēng)險(xiǎn)關(guān)系模型以風(fēng)險(xiǎn)為中心，形象地描述了面臨的風(fēng)險(xiǎn)、弱點(diǎn)、威脅及其相應(yīng)的資產(chǎn)價(jià)值、防護(hù)需求、保護(hù)措施等動(dòng)態(tài)循環(huán)的復(fù)雜關(guān)系。（3）安全風(fēng)險(xiǎn)計(jì)算模型。安全風(fēng)險(xiǎn)計(jì)算模型中詳細(xì)、具體地提供了風(fēng)險(xiǎn)計(jì)算的方法，通過威脅級(jí)別、威脅發(fā)生的概率及風(fēng)險(xiǎn)評(píng)估矩陣得出安全風(fēng)險(xiǎn)。 4.結(jié)語 本文在綜合風(fēng)險(xiǎn)和比較多種評(píng)估標(biāo)準(zhǔn)和方法的基礎(chǔ)上，針對(duì)現(xiàn)行網(wǎng)絡(luò)的安全現(xiàn)狀和安全需求，提出了網(wǎng)絡(luò)風(fēng)險(xiǎn)評(píng)估的模型和風(fēng)險(xiǎn)計(jì)算方法，以及時(shí)發(fā)現(xiàn)、彌補(bǔ)和減少信息安全漏洞，為提高涉密信息系統(tǒng)的安