關(guān)于信息安全風(fēng)險(xiǎn)管理

關(guān)于信息安全風(fēng)險(xiǎn)管理

理論與實(shí)踐發(fā)展的一些思考崔書昆二00四年十月十二日關(guān)于信息安全風(fēng)險(xiǎn)管理理論與實(shí)踐發(fā)展的一些思考一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐二、我國信息安全實(shí)踐對(duì)風(fēng)險(xiǎn)管理理論提出了新問題、新要求三、信息安全風(fēng)險(xiǎn)管理上存在的問題只能靠信息安全實(shí)踐來解決關(guān)于信息安全風(fēng)險(xiǎn)管理理論與實(shí)踐發(fā)展的一些思考一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐二、我國信息安全實(shí)踐對(duì)風(fēng)險(xiǎn)管理理論提出了新問題、新要求三、信息安全風(fēng)險(xiǎn)管理上存在的問題只能靠信息安全實(shí)踐來解決一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐風(fēng)險(xiǎn)管理（Riskmanagement）包括風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)控制等內(nèi)容。

國外許多專家認(rèn)為，風(fēng)險(xiǎn)管理是信息安全的基礎(chǔ)工作和核心任務(wù)之一，是最有效的一種措施，是保證信息安全投資回報(bào)率優(yōu)化的科學(xué)方法?，F(xiàn)代風(fēng)險(xiǎn)管理理論產(chǎn)生于西方資本主義國家，它是為制定有效的經(jīng)濟(jì)發(fā)展戰(zhàn)略和市場競爭策略而創(chuàng)造的一種理論、方法和措施。一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐風(fēng)險(xiǎn)管理理論由于它的廣泛適用性、現(xiàn)已應(yīng)用于各國社會(huì)與經(jīng)濟(jì)發(fā)展、國家建設(shè)、國家安全、公共安全和信息安全諸多領(lǐng)域。風(fēng)險(xiǎn)管理理論應(yīng)用于信息安全領(lǐng)域始于20世紀(jì)60年代。此后，信息安全風(fēng)險(xiǎn)管理的實(shí)踐和理論的發(fā)展大體上經(jīng)過了三個(gè)階段：一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐（一）、20世紀(jì)60年代至80年代是信息安全風(fēng)險(xiǎn)管理實(shí)踐與理論發(fā)展的初期階段（二）、20世紀(jì)80年代末至90年代中期是信息安全風(fēng)險(xiǎn)管理實(shí)踐和理論走向初步成熟的階段（三）、20世紀(jì)90年代末，國際范圍的風(fēng)險(xiǎn)管理實(shí)踐與理論進(jìn)入第三個(gè)階段，即全球化階段一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐（一）、20世紀(jì)60年代至80年代是信息安全風(fēng)險(xiǎn)管理實(shí)踐與理論發(fā)展的初期階段

20世紀(jì)60年代，隨著資源共享計(jì)算機(jī)系統(tǒng)和早期計(jì)算機(jī)網(wǎng)絡(luò)的出現(xiàn)，計(jì)算機(jī)安全問題初步顯露。1967年秋，美國國防部委托蘭德公司為首的多個(gè)研究機(jī)構(gòu)和企業(yè)，進(jìn)行了美國歷史上第一次大規(guī)模的計(jì)算機(jī)安全風(fēng)險(xiǎn)評(píng)估，歷時(shí)三年。1970年初出版了一個(gè)長達(dá)數(shù)百頁的機(jī)密報(bào)告《計(jì)算機(jī)安全控制》。該報(bào)告奠定了國際安全風(fēng)險(xiǎn)評(píng)估的理論基礎(chǔ)。一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐（一）、20世紀(jì)60年代至80年代是信息安全風(fēng)險(xiǎn)管理實(shí)踐與理論發(fā)展的初期階段

在此基礎(chǔ)上，美國率先推出了首批關(guān)于信息安全風(fēng)險(xiǎn)管理及相關(guān)的安全評(píng)測標(biāo)準(zhǔn)。其中：第一組標(biāo)準(zhǔn)是由國家標(biāo)準(zhǔn)局(NBS)制定的，如：FIPSPUB31自動(dòng)數(shù)據(jù)處理系統(tǒng)物理安全和風(fēng)險(xiǎn)管理指南（1974年）。FIPSPUB65自動(dòng)數(shù)據(jù)處理系統(tǒng)風(fēng)險(xiǎn)分析指南（1979年）一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐（一）、20世紀(jì)60年代至80年代是信息安全風(fēng)險(xiǎn)管理實(shí)踐與理論發(fā)展的初期階段

第二組是由美國國防部國家安全局于1983年后陸續(xù)制定的計(jì)算機(jī)系統(tǒng)安全評(píng)估系列標(biāo)準(zhǔn)，主要包括《可信計(jì)算機(jī)系統(tǒng)安全評(píng)估準(zhǔn)則》(TCSEC）、《可信網(wǎng)絡(luò)解釋》（TNI）、《特定環(huán)境下的安全需求》等等，總計(jì)約40來個(gè)各類標(biāo)準(zhǔn)。由于每個(gè)標(biāo)準(zhǔn)用不同顏色的封皮，俗稱為“彩虹系列”。一、信息安全風(fēng)險(xiǎn)管理理論來源于信息安全實(shí)踐（一）、20世紀(jì)60年代至80年代是信息安全風(fēng)險(xiǎn)管理實(shí)踐與理論發(fā)展的初期階段

這套標(biāo)準(zhǔn)建立在風(fēng)險(xiǎn)評(píng)估理論基礎(chǔ)上。該系列中《安全需求技術(shù)原理》標(biāo)準(zhǔn)指出：“評(píng)估一個(gè)計(jì)算機(jī)系統(tǒng)的安全級(jí)別依賴于該系統(tǒng)存在的風(fēng)險(xiǎn)水平，即風(fēng)險(xiǎn)因子（RISKINDEX）”，“還存在影響安全風(fēng)險(xiǎn)的其他諸如任務(wù)關(guān)鍵性、所需拒絕服務(wù)保護(hù)和威脅的嚴(yán)重性等因素?！币?、信息安全全風(fēng)險(xiǎn)管理理理論來源于信信息安全實(shí)踐踐（二）、20世紀(jì)80年年代末至90年代中期是是信息安全風(fēng)風(fēng)險(xiǎn)管理實(shí)踐踐和理論走向向初步成熟的的階段1989年美美國率先建立立了計(jì)算機(jī)應(yīng)應(yīng)急組織，次次年，建立了了信息安全事事件應(yīng)急國際際論壇（FIRST）。。1992年美美國國防部建建立了漏洞分分析與評(píng)估計(jì)計(jì)劃。1994年美美國國家安全全局等組織構(gòu)構(gòu)成的聯(lián)合委委員會(huì)明確提提出，美國國國家信息安全全必須建立在在風(fēng)險(xiǎn)管理的的基礎(chǔ)上。一、信息安全全風(fēng)險(xiǎn)管理理理論來源于信信息安全實(shí)踐踐（二）、20世紀(jì)80年年代末至90年代中期是是信息安全風(fēng)風(fēng)險(xiǎn)管理實(shí)踐踐和理論走向向初步成熟的的階段1995年9月至1996年4月，，美國總審計(jì)計(jì)局為因應(yīng)國國會(huì)“加強(qiáng)信信息安全、降降低信息戰(zhàn)威威脅”的要求求，對(duì)美國國國防系統(tǒng)的信信息系統(tǒng)進(jìn)行行了大規(guī)模風(fēng)風(fēng)險(xiǎn)評(píng)估，于于1996年年5月發(fā)表了了名為《信息息安全—針對(duì)對(duì)國防部的計(jì)計(jì)算機(jī)攻擊正正構(gòu)成日益增增大的風(fēng)險(xiǎn)》》的報(bào)告。1995年12月美國國國防部提出了了信息安全的的動(dòng)態(tài)模型，，即“防護(hù)——監(jiān)測—反應(yīng)應(yīng)”多環(huán)節(jié)保保障體系，后后通稱“PDR模型”。。1990年，，歐洲英、法法、德、荷四四國著手制定定了共同的信信息技術(shù)安全全評(píng)估標(biāo)準(zhǔn)（（ITSEC），強(qiáng)調(diào)要要把信息系統(tǒng)統(tǒng)實(shí)用環(huán)境中中的威脅與風(fēng)風(fēng)險(xiǎn)納入評(píng)估估視野。加拿拿大也制定了了本國的信息息安全測評(píng)標(biāo)標(biāo)準(zhǔn)。一、信息安全全風(fēng)險(xiǎn)管理理理論來源于信信息安全實(shí)踐踐（二）、20世紀(jì)80年年代末至90年代中期是是信息安全風(fēng)風(fēng)險(xiǎn)管理實(shí)踐踐和理論走向向初步成熟的的階段一、信息安全全風(fēng)險(xiǎn)管理理理論來源于信信息安全實(shí)踐踐（二）、20世紀(jì)80年年代末至90年代中期是是信息安全風(fēng)風(fēng)險(xiǎn)管理實(shí)踐踐和理論走向向初步成熟的的階段1993年歐歐美六個(gè)國家家又啟動(dòng)了建建立共同評(píng)測測標(biāo)準(zhǔn)（即后后來的CC標(biāo)標(biāo)準(zhǔn)）的計(jì)劃劃。這個(gè)期間間英國自己還還研發(fā)了基于于風(fēng)險(xiǎn)管理的的BS7799信息安全全管理標(biāo)準(zhǔn)，，澳大利亞和和新西蘭制定定了共同的風(fēng)風(fēng)險(xiǎn)管理標(biāo)準(zhǔn)準(zhǔn)AS/NES4360。此外，荷荷蘭、德國、、挪威等國也也制定了相應(yīng)應(yīng)的本國標(biāo)準(zhǔn)準(zhǔn)。所有這些些標(biāo)準(zhǔn)，都強(qiáng)強(qiáng)調(diào)風(fēng)險(xiǎn)評(píng)估估和管理的重重要性、基礎(chǔ)礎(chǔ)性作用。一、、信信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)管管理理理理論論來來源源于于信信息息安安全全實(shí)實(shí)踐踐（二二））、、20世世紀(jì)紀(jì)80年年代代末末至至90年年代代中中期期是是信信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)管管理理實(shí)實(shí)踐踐和和理理論論走走向向初初步步成成熟熟的的階階段段1997年年12月月，，美美國國國國防防部部發(fā)發(fā)表表了了《《信信息息技技術(shù)術(shù)安安全全認(rèn)認(rèn)證證和和批批準(zhǔn)準(zhǔn)程程序序》》（（DITSCAP）），，成成為為美美國國涉涉密密信信息息系系統(tǒng)統(tǒng)的的安安全全評(píng)評(píng)估估和和風(fēng)風(fēng)險(xiǎn)險(xiǎn)管管理理的的重重要要標(biāo)標(biāo)準(zhǔn)準(zhǔn)和和依依據(jù)據(jù)。。一、、信信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)管管理理理理論論來來源源于于信信息息安安全全實(shí)實(shí)踐踐（三三））、、20世世紀(jì)紀(jì)90年年代代末末，，國國際際范范圍圍的的風(fēng)風(fēng)險(xiǎn)險(xiǎn)管管理理實(shí)實(shí)踐踐與與理理論論進(jìn)進(jìn)入入第第三三個(gè)個(gè)階階段段，，即即全全球球化化階階段段由于于90年年代代以以來來因因特特網(wǎng)網(wǎng)、、移移動(dòng)動(dòng)通通信信和和跨跨國國光光纜纜的的高高速速發(fā)發(fā)展展，，各各國國原原本本局局限限于于本本國國內(nèi)內(nèi)的的信信息息網(wǎng)網(wǎng)絡(luò)絡(luò)迅迅速速跨跨越越國國境境連連成成一一片片。。與與此此同同時(shí)時(shí)，，信信息息安安全全也也成成為為世世界界各各國國面面臨臨的的共共同同挑挑戰(zhàn)戰(zhàn)。。一、、信信息息安安全全風(fēng)風(fēng)險(xiǎn)險(xiǎn)管管理理理理論論來來源源于于信信息息安安全全實(shí)實(shí)踐踐（三三））、、20世世紀(jì)紀(jì)90年年代代末末，，國國際際范范圍圍的的風(fēng)風(fēng)險(xiǎn)險(xiǎn)管管理理實(shí)實(shí)踐踐與與理理論論進(jìn)進(jìn)入入第第三三個(gè)個(gè)階階段段，，即即全全球球化化階階段段在共共同同需需求求的的驅(qū)驅(qū)動(dòng)動(dòng)下下，，1996年年國國際際標(biāo)標(biāo)準(zhǔn)準(zhǔn)組組織織發(fā)發(fā)布布了了ISO/IECTR13335標(biāo)標(biāo)準(zhǔn)準(zhǔn)即即《《信信息息技技術(shù)術(shù)安安全全管管理理指指南南》》。。1999年年發(fā)發(fā)布布了了ISO/IEC15408標(biāo)標(biāo)準(zhǔn)準(zhǔn)即即《《信信息息技技術(shù)術(shù)安安全全評(píng)評(píng)估估共共同同準(zhǔn)準(zhǔn)則則》》（（CC標(biāo)標(biāo)準(zhǔn)準(zhǔn)））。。2000年年又又發(fā)發(fā)布布了了ISO/IEC177799即即《《信信息息技技術(shù)術(shù)信信息息安安全全管管理理實(shí)實(shí)用用規(guī)規(guī)則則》》。。一、信息安安全風(fēng)險(xiǎn)管管理理論來來源于信息息安全實(shí)踐踐（三）、20世紀(jì)90年代末末，國際范范圍的風(fēng)險(xiǎn)險(xiǎn)管理實(shí)踐踐與理論進(jìn)進(jìn)入第三個(gè)個(gè)階段，即即全球化階階段國際標(biāo)準(zhǔn)的的出臺(tái)，反反過來又推推動(dòng)了各國國自身風(fēng)險(xiǎn)險(xiǎn)管理標(biāo)準(zhǔn)準(zhǔn)研發(fā)的進(jìn)進(jìn)程。例如如美國，從從90年代代末開始，，在風(fēng)險(xiǎn)管管理相關(guān)標(biāo)標(biāo)準(zhǔn)的制定定上掀起了了一個(gè)新高高潮，僅NIST（（美國國家家標(biāo)準(zhǔn)與技技術(shù)局）近近幾年制定定的與風(fēng)險(xiǎn)險(xiǎn)管理相關(guān)關(guān)的標(biāo)準(zhǔn)就就達(dá)十多個(gè)個(gè)。一、信息安安全風(fēng)險(xiǎn)管管理理論來來源于信息息安全實(shí)踐踐（三）、20世紀(jì)90年代末末，國際范范圍的風(fēng)險(xiǎn)險(xiǎn)管理實(shí)踐踐與理論進(jìn)進(jìn)入第三個(gè)個(gè)階段，即即全球化階階段美國國防部部于2002年發(fā)布布了《信息息（安全））保障》指指令（8500·1），于2003年年發(fā)布了《《信息（安安全）保障障實(shí)現(xiàn)》指指令（8500·2）兩個(gè)文文件，作為為國防系統(tǒng)統(tǒng)安全評(píng)估估也包括風(fēng)風(fēng)險(xiǎn)管理的的依據(jù)。一、信息安安全風(fēng)險(xiǎn)管管理理論來來源于信息息安全實(shí)踐踐（三）、20世紀(jì)90年代末末，國際范范圍的風(fēng)險(xiǎn)險(xiǎn)管理實(shí)踐踐與理論進(jìn)進(jìn)入第三個(gè)個(gè)階段，即即全球化階階段基中正式發(fā)發(fā)布的此類類標(biāo)準(zhǔn)主要要有：SP800——26信息息技術(shù)系統(tǒng)統(tǒng)安全自評(píng)評(píng)估指南（（2001年）SP800—30信信息技術(shù)系系統(tǒng)風(fēng)險(xiǎn)管管理指南（（2002年）SP800—51CVE使用用和漏洞命命名法（2002年年）等等。。關(guān)于信息安安全風(fēng)險(xiǎn)管管理理論與與實(shí)踐發(fā)展展的一些思思考一、信息安安全風(fēng)險(xiǎn)管管理理論來來源于信息息安全實(shí)踐二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新問題題、新要求求三、信息安安全風(fēng)險(xiǎn)管管理上存在在的問題只只能靠信息安全全實(shí)踐來解解決二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新新問題、新新要求20世紀(jì)90年代以以來，隨著著經(jīng)濟(jì)全球球化和世界界科技革命命，我國的的信息技術(shù)術(shù)、信息產(chǎn)產(chǎn)業(yè)和信息息網(wǎng)絡(luò)蓬勃勃發(fā)展。信信息安全日日益突出，，風(fēng)險(xiǎn)管理理的重要性性空前彰顯顯。2002年年我國在863計(jì)劃劃中首次規(guī)規(guī)劃了《系系統(tǒng)安全風(fēng)風(fēng)險(xiǎn)分析和和評(píng)估方法法研究》課課題。二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新新問題、新新要求2003年年8月至今今年在國信信辦直接指指導(dǎo)下，組組成了風(fēng)險(xiǎn)險(xiǎn)評(píng)估課題題組，開展展了系統(tǒng)的的風(fēng)險(xiǎn)評(píng)估估和管理理理論研究。。這期間，，我國一些些國家研究究機(jī)構(gòu)、大大專院校、、民營企業(yè)業(yè)、外資企企業(yè)、向國國內(nèi)介紹了了美、英等等發(fā)達(dá)國家家關(guān)于信息息安全風(fēng)險(xiǎn)險(xiǎn)評(píng)估、風(fēng)風(fēng)險(xiǎn)管理的的理論、方方法和經(jīng)驗(yàn)驗(yàn)，為我國國這個(gè)領(lǐng)域域工作的開開展發(fā)揮了了重要作用用。二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新新問題、新新要求但是在新形形勢下，我我國風(fēng)險(xiǎn)管管理理論和和實(shí)踐還存存在不少亟亟待解決的的問題。根根據(jù)“國信信辦信息安安全風(fēng)險(xiǎn)評(píng)評(píng)估課題組組”去年年年底至今年年年初進(jìn)行行調(diào)研中接接觸到的情情況，我認(rèn)認(rèn)為可以歸歸納為如下下五個(gè)方面面的問題：：二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新新問題、新新要求（一）、絕絕對(duì)安全的的觀念束縛縛著風(fēng)險(xiǎn)管管理思想的的樹立（二）、主主觀上風(fēng)險(xiǎn)險(xiǎn)意識(shí)談薄薄影響著對(duì)對(duì)我國在信信息安全上面臨高高風(fēng)險(xiǎn)形勢勢的認(rèn)識(shí)（三）、現(xiàn)現(xiàn)代信息網(wǎng)網(wǎng)絡(luò)已成為為復(fù)雜系統(tǒng)統(tǒng)，現(xiàn)有的的風(fēng)險(xiǎn)管理理論和和手段難以以完全滿足足有關(guān)要求求（四）、風(fēng)風(fēng)險(xiǎn)管理理理論研究與與信息安全全實(shí)踐結(jié)合合不夠緊密（五）、現(xiàn)現(xiàn)有的風(fēng)險(xiǎn)險(xiǎn)評(píng)估、管管理理論和和方法有待待完善二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新新問題、新新要求（一）、絕絕對(duì)安全的的觀念束縛縛著風(fēng)險(xiǎn)管管理思想的的樹立但信息安全全保密實(shí)踐踐歷史告訴訴我們，安安全保密是是一個(gè)動(dòng)態(tài)態(tài)過程，安安全事件是是一種隨機(jī)機(jī)事件，很很難做到百百分之百安安全。祈求求“絕對(duì)安安全”將在在人力物力力上付出極極大代價(jià)，，造成嚴(yán)重重浪費(fèi)。二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新新問題、新新要求（二）、主主觀上風(fēng)險(xiǎn)險(xiǎn)意識(shí)談薄薄影響著對(duì)對(duì)我國在信信息安全上上面臨高風(fēng)風(fēng)險(xiǎn)形勢的的認(rèn)識(shí)一些有關(guān)人人員風(fēng)險(xiǎn)意意識(shí)談薄，，信息安全全知識(shí)不足足，卻津津津樂道“太太平盛世””，雙耳不不聞“盛世世危言”，，甚至認(rèn)為為，談風(fēng)險(xiǎn)險(xiǎn)是“杞人人憂天”，，說安全是是“天下本本無事庸人人自擾之””。這些都都嚴(yán)重影響響了正確認(rèn)認(rèn)識(shí)形勢，，樹立信息息安全風(fēng)險(xiǎn)險(xiǎn)觀念。二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新新問題、新新要求（三）、現(xiàn)現(xiàn)代信息網(wǎng)網(wǎng)絡(luò)已成為為復(fù)雜系統(tǒng)統(tǒng)，現(xiàn)有的的風(fēng)險(xiǎn)管理理理論和手手段難以完完全滿足有有關(guān)要求信息系統(tǒng)在在規(guī)模上日日益龐大，，網(wǎng)絡(luò)結(jié)構(gòu)構(gòu)越來越復(fù)復(fù)雜。這樣樣的復(fù)雜型型系統(tǒng)進(jìn)行行有效地風(fēng)風(fēng)險(xiǎn)分析、、評(píng)估和管管理，需要要更先進(jìn)的的理論和手手段，現(xiàn)有有的理論難難以充分滿滿足其要求求。二、我國信信息安全實(shí)實(shí)踐對(duì)風(fēng)險(xiǎn)險(xiǎn)管理理論論提出了新新問題、新新要求（四）、風(fēng)風(fēng)險(xiǎn)管理理理論研究與與信息安全全實(shí)踐結(jié)合合不夠緊密密在信息安全全實(shí)踐中主主動(dòng)結(jié)合風(fēng)風(fēng)險(xiǎn)管理理理論不夠。。近幾年由由一批留學(xué)學(xué)人員、