安全風險評估之信息資產賦值

/信息資產賦值定義1.為什么要進行信息資產的賦值？在完成信息資產的識別形成完整的信息資產表之后，為了明確對資產的保護，同時為了接下來對風險值的計算，有必要對資產的價值進行評估，其價值大小不僅僅是考慮其自身的價值，還要考慮其業(yè)務的相關性和一定條件下的潛在價值。資產價值常常是以安全事件發(fā)生時所產生的潛在業(yè)務影響來衡量，安全事件會導致資產機密性、完整性和可用性的損失，從而導致企業(yè)資金、市場份額、企業(yè)形象的損失。為了資產評估的一致性與準確性，我們建立一套資產價值的評估標準，對每一種資產和每一種可能的損失，例如機密性、完整性和可用性的損失，都可以賦予一個價值。但采用精確的方式給資產賦值是較困難的一件事，一般采用定性的方式，按照資產的價值評估標準將資產的價值劃分為不同等級。經(jīng)過資產的識別與估價后，組織應根據(jù)資產價值大小，進一步確定要保護的關鍵資產。在評估過程，為了保證沒有資產被忽略和遺漏，應該先確定信息安全體系范圍，建立資產的評審邊界。評估資產最簡單的方式是列出組織業(yè)務過程中、安全管理體系范圍內所有具有價值的資產，然后對資產賦予一定的價值，這種價值應該反映資產對組織業(yè)務運營的重要性，并以對業(yè)務的潛在影響程度表現(xiàn)出來。例如，資產價值越大，由于泄露、修改、損害、不可用等安全事件對組織業(yè)務的潛在影響就越大。基于組織業(yè)務需要的資產的識別與估價，是建立信息安全體系，確定風險的重要一步。2.如何進行信息資產賦值？在對資產賦予價值時，一方面要考慮資產購買成本與維護成本，另一方面主要考慮當這種資產的機密性、完整性、可用性受到損害時，對業(yè)務運營的負面影響程度。在信息安全管理中，并不是直接采用資產的賬面價值，而是采用以定性分級的方式建立資產的相對價值，以相對價值來作為確定重要資產的依據(jù)和為這種資產的保護投入多大資源的依據(jù)。對資產的賦值不僅要考慮資產本身的價值，更重要的是要考慮資產的安全狀況對于組織的重要性，即由資產在其CIA三個安全屬性上的達成程度決定。依據(jù)CIA屬性分級的標準對資產在機密性、完整性和可用性上的達成程度進行分析，并在此基礎上得出一個綜合結果——信息資產的價值。賦值五分法資產賦值標識C－機密性I－完整性A－可用性5很高包含組織最重要的秘密，關系未來發(fā)展的前途命運，對組織根本利益有著決定性影響，如果泄漏會造成災難性的損害（如企密AAA）完整性價值非常關鍵，未經(jīng)授權的修改或破壞會對組織造成重大的或無法接受的影響，對業(yè)務沖擊重大，并可能造成嚴重的業(yè)務中斷，難以彌補可用性價值非常高，合法使用者對信息與信息系統(tǒng)的可用度達到年度99.9%以上4高包含組織的重要秘密，其泄露會使組織的安全和利益遭受嚴重損害（如企密AA）完整性價值較高，未經(jīng)授權的修改或破壞會對組織造成重大影響，對業(yè)務沖擊嚴重，比較難以彌補可用性價值較高，合法使用者對信息與信息系統(tǒng)的可用度達到每天90%以上3中等包含組織的一般性秘密，一般僅能在組織某一或幾個部門內部公開,其泄露會使組織的安全和利益受到損害（如企密A）完整性價值中等，未經(jīng)授權的修改或破壞會對組織造成影響，對業(yè)務沖擊明顯，但可以彌補可用性價值中等，合法使用者對信息與信息系統(tǒng)的可用度在正常工作時間達到70%以上2低包含組織較低級別秘密,僅能在組織內部公開的信息，向外擴散有可能對組織的利益造成損害完整性價值較低，未經(jīng)授權的修改或破壞會對組織造成輕微影響，可以忍受，對業(yè)務沖擊輕微，容易彌補可用性價值較低，合法使用者對信息與信息系統(tǒng)的可用度在正常工作時間達到25%以上1很低包含可對社會公開的信息，公用的信息處理設備和系統(tǒng)資源等完整性價值非常低，未經(jīng)授權的修改或破壞對組織造成的影響可以忽略，對業(yè)務沖擊可以忽略可用性價值可以忽略，合法使用者對信息與信息系統(tǒng)的可用度在正常工作時間低于25%不同資產對應的賦值原則資產賦值標識C－機密性I－完整性A－可用性5很高關鍵系統(tǒng)主機；關鍵的網(wǎng)絡設備、安全設備、存儲設備；域控制器和關鍵基礎設施服務器；網(wǎng)絡和主機管理與監(jiān)控設備；備份設備、備份介質；打印機；復印機；傳真機；個人辦公電腦關鍵系統(tǒng)主機；重要系統(tǒng)主機；關鍵的網(wǎng)絡設備、安全設備、存儲設備；重要網(wǎng)絡設備、安全設備、存儲設備；一般網(wǎng)絡設備、安全設備、存儲設備；域控制器和關鍵基礎設施服務器；重要（機房）環(huán)境設施監(jiān)控設備；備份設備、備份介質關鍵系統(tǒng)主機；關鍵的網(wǎng)絡設備、安全設備、存儲設備；域控制器和關鍵基礎設施服務器；備份設備、備份介質4高重要系統(tǒng)主機；一般系統(tǒng)主機；重要網(wǎng)絡設備、安全設備、存儲設備；域成員服務器和重要基礎設施服務器；重要（機房）環(huán)境設施監(jiān)控設備；打印機；復印機；傳真機；個人辦公電腦一般系統(tǒng)主機；域成員服務器和重要基礎設施服務器；一般（機房）環(huán)境設施監(jiān)控設備；網(wǎng)絡和主機管理與監(jiān)控設備重要系統(tǒng)主機；重要網(wǎng)絡設備、安全設備、存儲設備；域成員服務器和重要基礎設施服務器；重要（機房）環(huán)境設施監(jiān)控設備；一般（機房）環(huán)境設施監(jiān)控設備；網(wǎng)絡和主機管理與監(jiān)控設備3中等一般網(wǎng)絡設備、安全設備、存儲設備；一般（機房）環(huán)境設施監(jiān)控設備；打印機；復印機；傳真機；個人辦公電腦完整性價值中等，未經(jīng)授權的修改或破壞會對組織造成影響，對業(yè)務沖擊明顯，但可以彌補；打印機；復印機；傳真機；個人辦公電腦一般系統(tǒng)主機；一般網(wǎng)絡設備、安全設備、存儲設備；打印機；復印機；傳真機；個人辦公電腦2低1很低信息資產賦值算法1.資產賦值算法說明

信息資產的資產價值要考慮機密性（C）、完整性（I）、可用性（A）三個因素。為了資產評估的一致性與準確性，我們建立一套資產價值的評估標準，對每一種資產和每一種可能的損失，例如機密性、完整性和可用性的損失，都可以賦予一個價值。然后利用確定的算法將信息資產三個因素的價值綜合考慮，確定最終的資產價值大小，進一步確定要保護的關鍵資產。

資產價值的算法通常包括算術平均法和對數(shù)平均法。算術平均法綜合考慮三個方面的因素，簡便易用。對數(shù)平均法在考慮三個因素的同時，更易突出某一特定因素的影響，更加客觀準確的體現(xiàn)出資產的價值。

在實際應用過程中，通常不同類別的資產對于三個因素的敏感程度是不同的，例如：人員資產通常不考慮完整性因素。因此，在實踐過程中，可以為不同類別資產的三個因素配置相應的權重，以保證對該類資產價值分析的可靠性和準確性。2.請選擇【信息資產賦值算法】：無權重算術平均法：綜合考慮資產三個方面的屬性，平均得出資產價值，簡單易用。

對數(shù)平均法：在綜合考慮資產三個方面屬性的同時，重點突出某一屬性的特點。例如，某些信息資產的保密性要求很高，而可用性、完整性要求較低時，使用本算法更能夠凸顯出其資產價值的重要性。

有權重(α+β+γ=1)加權算術平均