信息安全風險評估方法論文

時間：2022-10-09 01:47:37 信息安全畢業論文

信息安全風險評估方法論文

　　信息安全風險評估方法論文【1】

信息安全風險評估方法論文

　　【摘要】隨著信息化的逐步深化、擴展，信息系統的安全性和可用性顯得愈來愈重要。本文基于電網企業開展的信息安全風險評估工作，對信息安全風險評估的評估實施流程、評估實施方法及其在信息系統生命周期不同階段的實施要點進行淺要分析。

　　【關鍵詞】信息系統;信息安全;風險評估;評估方法

　　一、信息安全風險評估的評估實施流程

　　信息安全風險評估包括：資產評估、威脅評估、脆弱性評估、現有安全措施評估、風險計算和分析、風險決策和安全建議，在風險評估之后就是要進行安全整改。

　　網省公司信息系統風險評估的主要內容包括：資產評估、威脅評估、脆弱性評估和現有安全措施評估，一般采用全面風險評估的方法，以安全顧問訪談、管理問卷調查、安全文檔分析等方式，并結合了漏洞掃描、人工安全檢查等手段，對評估范圍內的網絡、主機以及相應的部門的安全狀況進行了全面的評估，經過充分的分析后，得到了信息系統的安全現狀。

　　二、信息安全風險評估實施方法

　　2.1 資產評估

　　網省公司資產識別主要針對提供特定業務服務能力的應用系統展開，通常一個應用系統都可劃分為數據存儲、業務處理、業務服務提供和客戶端四個功能部分，這四個部分在信息系統的實例中都顯現為獨立的資產實體，例如：典型的協同辦公系統可分為客戶端、Web服務器、Domino服務器、DB2數據庫服務器四部分資產實體。

　　綜合考慮資產的使命、資產本身的價值、資產對于應用系統的重要程度、業務系統對于資產的依賴程度、部署位置及其影響范圍等因素評估信息資產價值。資產賦值是資產評估由定性化判斷到定量化賦值的關鍵環節。

　　2.2 威脅評估

　　威脅評估是通過技術手段、統計數據和經驗判斷來確定信息系統面臨的威脅的過程。在實施過程中，根據各單位業務系統的具體系統情況，結合系統以往發生的信息安全事件及對網絡、系統管理員關于威脅發生可能性和發展趨勢的調查，下面按照威脅的主體分別對這些威脅及其可能發生的各種情形進行簡單描述：

　　2.3 脆弱性評估

　　脆弱性評估內容包括管理、運維和技術三方面的內容，具體實施可參照公司相應的技術或管理標準以及評估發起方的要求，根據評估選擇的策略和評估目的的不同進行調整。下表是一套脆弱性識別對象的參考：

　　管理脆弱性：安全方針、信息安全組織機構、人員安全管理、信息安全制度文件管理、信息化建設中的安全管理、信息安全等級保護工作、信息安全評估管理、信息安全的宣傳與培訓、信息安全監督與考核工作、符合性管理。

　　運維脆弱性：信息系統運行管理、資產分類管理、配置與變更管理、業務連續性管理、物理環境安全、設備與介質安全。

　　技術脆弱性：網絡系統、主機安全、通用系統安全、業務系統安全、現有安全措施。

　　管理、運維、技術三方面脆弱性是相互關聯的，管理脆弱性可能會導致運維脆弱性和技術脆弱性的產生，運維脆弱性也可能導致技術脆弱性的產生。技術的脆弱性識別主要采用工具掃描和人工審計的方式進行，運維和管理的脆弱性主要通過訪談和調查問卷來發現。此外，對以往的安全事件的統計和分析也是確定脆弱性的主要方法。

　　三、現有安全措施評估

　　通過現有安全措施指評估安全措施的部署、使用和管理情況，確定這些措施所保護的資產范圍，以及對系統面臨風險的消除程度。

　　3.1 安全技術措施評估

　　通過對各單位安全設備、防病毒系統的部署、使用和管理情況，對特征庫的更新方式、以及最近更新時間，設備自身資源使用率(CPU、MEM、DISK)、自身工作狀況、以及曾經出現過的異�，F象、告警策略、日志保存情況、系統中管理員的個數、管理員所使用的口令的強度、弱口令情況等信息進行脆弱性分析，并確定級別。

　　3.2 安全管理措施評估

　　訪談被評估單位是否成立了信息安全領導小組，并以文件的形式明確了信息安全領導小組成員和相關職責，是否結合實際提出符合自身發展的信息化建設策略，其中包括是否制定了信息安全工作的總體方針和安全策略，建立健全了各類安全管理制度，對日常管理操作建立了規范的操作規程;定期組織全員學習國家有關信息安全政策、法規等。

　　3.3 物理與環境安全

　　查看被訪談單位信息機房是否有完善的物理環境保障措施，是否有健全的漏水監測系統，滅火系統是否安全可用，有無溫濕度監測及越限報警功能，是否配備精密空調嚴格調節控制機房內溫度及濕度，保障機房設備的良好運行環境。

　　3.4 應急響應與恢復管理

　　為正確、有效和快速處理網絡信息系統突發事件，最大限度地減少網絡信息系統突發事件對單位生產、經營、管理造成的損失和對社會的不良影響，需查看被評估單位是否具備完善網絡信息系統應急保證體系和應急響應機制，應對網絡信息系統突發事件的組織指揮能力和應急處置能力，是否及時修訂本單位的網絡信息系統突發事件應急預案，并進行嚴格的評審、發布。

　　3.5 安全整改

　　被評估單位根據信息安全風險評估結果，對本單位存在的安全風險進行整改消除，從安全技術及安全管理兩方面，落實信息安全風險控制及管理，確保信息系統安全穩定運行。

　　四、結語

　　公司近兩年推行了“雙網雙機、分區分域、等級保護、分層防御”的安全防護策略和一系列安全措施，各單位結合風險評估實踐情況，以技術促安全、以管理保安全，確保公司信息系統穩定運行，為公司發展提供有力信息支撐。

　　參考文獻

　　[1]中國國家標準化管理委員會，信息安全技術一信息安全風險評估規范，2007年

　　[2]國務院信息辦信息安全風險評估課題組[R]，信息安全風險評估研究報告，2004

　　信息安全風險評估論文【2】

　　【摘要】本文介紹了信息安全風險評估的基本概述，信息安全風險評估基本要素及通用的信息安全風險評估過程。提出在實際工作中結合實際情況進行剪裁，完成自己的風險評估實踐。

　　【關鍵詞】信息安全;風險評估

　　1 企業信息安全風險評估概述

　　信息系統的風險評估是指確定在計算機系統和網絡中每一種資源缺失或遭到破壞對整個系統造成的預計損失數量。是針對威脅、脆弱點以及它可能導致的風險大小而評估的。

　　對信息安全進行風險分析和評估的目的就是：企業能知道信息系統中是否有安全隱患的存在，并估測這些風險將會造成的安全威脅與可能造成的損失，經過這些判斷來決定修復或者對于安全信息系統的建立。

　　信息系統風險分析和評估能夠有效的保護企業信息，但同時它也是一個較為復雜的過程，建立一個完善的信息安全風險評估需要具備相應的標準體系、技術體系、組織架構、業務體系同時也要遵循相關的法律法規。

　　2 企業信息安全風險評估的作用

　　信息安全風險評估是信息安全工作的基本保障措施之一。風險評估工作是預防為主方針的充分體現，它能夠把信息化工作的安全控制關口前移，超前防范。

　　針對信息系統規劃、設計、建設、運行、使用、維護等不同階段實行不同的信息安全風險評估，這樣能夠在第一時間發現各種所存在的安全隱患，然后再運用科學的方法對風險進行分析，從而解決信息化過程中不同層次和階段的安全問題。

　　在信息系統的規劃設計階段，信息安全風險評估工作的實行，可以使企業在充分考慮經營管理目標的條件下，對信息系統的各個結構進行完善從而滿足企業業務發展和系統發展的安全需求，有效的避免事后的安全事故。

　　這種信息安全風險評估是必不可少的，它很好地體現了“預防為主”方針的具體體現，可以有效降低整個信息系統的總體擁有成本。信息安全風險評估作為整個信息安全保障體系建設的基礎、它確保了信息系統安全、業務安全、數據安全的基礎性、預防性工作。因此企業信息安全風險評估工作需要落到實處，從而促進其進一步又好又快發展。

　　3 信息安全風險評估的基本要素

　　使命：一個組織機構通過信息化形成的能力要來進行的工作任務。使命是信息化的目的，一個信息系統如果不能實現具體的工作任務是沒有意義的。對企業來說，信息系統的使命是業務戰略。

　　依賴度：一個組織機構的使命對信息系統和信息的依靠程度。依賴度越高，風險評估的任務就越重要

　　資產：對組織具有價值的信息或資源，是安全策略保護的對象

　　資產價值：體現了資產在重要程度或敏感程度上的表現特征。作為資產的屬性，資產價值同時也是對資產進行識別的重要內容。

　　威脅：一般指會對系統或組織造成不良后果的不希望事故潛在起因。

　　脆弱性：可能被威脅所利用的資產或若干資產的脆弱環節。通常脆弱性也被稱作是弱點或漏洞。

　　威脅是外因，脆弱性是內因，威脅只有通過利用脆弱性才能造成安全事件。

　　風險：人為或自然的威脅利用信息系統及其管理體系中存在的脆弱性導致安全事件的發生及其對組織造成的影響。衡量風險的指標有兩種，分別是由意外事件發生的概率或者是發生后可能造成的影響。

　　殘余風險：就是指在安全保障手段之后，防護能力有了提升，但是危險并沒有完全消失。

　　安全需求：為了保證組織機構能夠正常的工作，因此在信息安全保障措施方面提出的要求。

　　安全保障措施：為了降低脆弱性，應對威脅，保護資產而進行的預防和控制意外事件的后果，檢測、響應意外事件，使得災難恢復迅速，同時打擊信息違法行為而采取的各種實踐、規程和機制的總稱。

　　4 信息安全風險評估的基本過程

　　目前信息安全風險評估有大量成熟的過程指南和最佳實踐，但風險評估過程的本質是搜集資產、威脅、漏洞、影響等資料和數據，其過程和流程有一定的通用性。

　　4.1 識別和特征化系統

　　信息安全風險評估的第一步就是確定評估的工作范圍，界定風險評估工作的邊界，并識別和特征化工作范圍內信息系統的各種資產、支持的業務流程及相應的管理信息等。下圖是一個信息系統描述規范：

　　4.2 識別和特征化漏洞

　　漏洞是在信息系統、系統安全程序、管理控制、物理設計、內部控制等可能被攻擊者利用來獲得未授權的信息或破壞關鍵處理的弱點。識別和特征化漏洞工作的目的是開發一個信息系統漏洞列表。一般常用的識別系統漏洞的方法包括：

　　(1)使用以前的風險評估報告、系統異常報告、權威機構發布的漏洞列表等;

　　(2)使用漏洞掃描工具、滲透性測試等主動的、系統化的測試方法;

　　(3)開發和使用安全檢查列表，對實際系統進行配置核查。

　　4.3 識別和特征化威脅

　　威脅是能夠通過未授權訪問、毀壞、揭露、數據修改或拒絕服務對系統造成潛在危害的任何環境或事件，具體而言，威脅是一個特定威脅源成功利用一個特定漏洞的潛在可能。

　　威脅的具體描述沒有嚴格規范，在信息安全風險評估過程中，應根據組織機構及其運行環境的實際來識別威脅。

　　4.4 識別和特征化安全控制措施

　　在進行信息安全風險評估時，除了分析漏洞和威脅，同時也要全面分析當前所采取的各種安全控制措施。

　　控制措施可以分為技術控制措施、管理控制措施和物理控制措施。技術控制措施是綜合計算機硬件、軟件和固件中的保護措施。如訪問控制機制、身份識別機制、加密機制、入侵檢測軟件等。管理控制措施指的是管理運行和控制的保護措施。如安全策略、操作維護標準等。物理安全措施是指保護物理和環境安全。如重要資料柜加鎖等。

　　4.5 確定可能性

　　完成系統信息、漏洞、威脅和現有安全控制措施的搜集和分析后，下一步需要評估安全事件一旦發生可能造成的危害程序。　　風險就是后果和可能性的產物。通用公式為：風險=負面事件發生的可能性(概率)×此負面事件的影響(后果)

　　給定威脅源執行潛在漏洞的可能性可以用高、中、低進行描述。

　　可能性級別可能性定義

　　高威脅源有強烈的動機和足夠的能力，并且已有的控制措施對其無效

　　中威脅源有動機和能力，但已有的控制可能可以遲緩漏洞的成功實施

　　低威脅源缺少動機或能力，或已有控制可以防止或極大地遲緩漏洞的實施

　　4.6 分析影響

　　從風險的最基本原理公式可以看到，要得出風險，需要計算威脅的影響。

　　信息安全的主要目的是確保保密性、完整性和可用性，安全事件的影響是通過危害保密性、完整性和可用性來體現的。因此，信息安全事件的影響量級(高、中、低)可以通過分析這三個安全目標的受損程度來確定。

　　失去完整性：由于有意或無意的行為對數據或信息系統的非授權修改。

　　失去可用性：信息系統功能和操作對其終端用戶不可用。