网络信息安全风险评估工作探讨

第３１卷第１期　青海电力　Ｖｏ１．３１　Ｎｏ．１　２０１２年３月　ＱＩＮＧＨＡＩ　ＥＬＥＣＴＲＩＣ　ＰＯＷＥＲ　Ｍａｒ．，２０１２　网络信息安全风险评估工作探讨　吴维桥，李胜春　（青海电力科学试验研究院，青海西宁８１０００８）　摘要：在信息安全领域，对信息系统进行风险评估十分重要，其目的就是指导决策者在“投资成本”和“安　全级别”之间找到平衡，从而为等级化的资产风险制定保护策略和计划。　关键词：信息安全；　网络系统；风险评估；　中图分类号：ＴＰ３９３．０８　文献标识码：Ｂ　文章编号：１００６—８１９８（２０１２）０１—００６５—０４　Ｄｉｓｃｕｓｓｉｏｎ　ｏｎ　ｔｈｅ　Ｎｅｔｗｏｒｋ　Ｉｎｆｏｒｍａｔｉｏｎ　Ｓｅｃｕｒｉｔｙ　Ｒｉｓｋ　Ｅｖａｌｕａｔｉｏｎ　Ｗｏｒｋ　ＷＵ　Ｗｅｉ－ｑｉａｏ．ＬＩ　Ｓｈｅｎｇ－ｃｈｕｎ　Ａｂｓｔｒａｃｔ：Ｉｎ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｅｃｕｒｉｔｙ　ｆｉｅｌｄ，ｉｔ’Ｓ　ｉｍｐｏ￣ａｎｔ　ｔｏ　ｍａｋｅ　ｒｉｓｋ　ｅｖａｌｕａｔｉｏｎ　ｏｎ　ｉｎｆｏｒｍａｔｉｏｎ　ｓｙｓｔｅｍ，ｉｔ　ｗｉｌｌ　ｇｕｉｄｅ　ｔｈｅ　ｄｅｃｉｓｉｏｎ　ｍａｋｅｒｓ　ｆｉｎｄｉｎｇ　ｔｈｅ　ｂａｌａｎｃｅ　ｂｅｔｗｅｅｎ　ｉｎｖｅｓｔｍｅｎｔ　ｃｏｓｔ　ａｎｄ　ｓｅｃｕｒｉｔｙ　ｌｅｖｅｌ，ｔｈｅｒｅｆｏｒｅ　ｓｔｉｐｕｌａｔｅｓ　ｐｒｏｔｅｃｔｉｏｎ　ｔａｃ—　ｔｉｃｓ　ａｎｄ　ｐｌａｎｓ　ｆｏｒ　ｔｈｅ　ｃｌａｓｓｉｉｆｅｄ　ａｓｓｅｔ　ｒｉｓｋ．　Ｋｅｙ　Ｗｏｒｄｓ：ｉｆｎｏｒｍａｔｉｏｎ　ｓｅｃｕｒｉｔｙ；　ｎｅｔｗｏｒｋ　ｓｙｓｔｅｍ；　ｒｉｓｋ　ｅｖａｌｕａｔｉｏｎ　随着信息化建设的深入，信息安全问题日益　术和设备检测，发现可能存在的隐患和漏洞是十　严峻，信息安全隐患和各种形式网络攻击对信息　分必要的防范措施。随着企事业单位对信息系统　安全工作提出了严峻考验。虽然入侵检测、防火　依赖程度日益增强，信息安全问题受到普遍关注，　墙、杀毒软件等安全技术手段能不同程度起到防　采用风险管理的理念去识别安全风险、解决信息　御作用，但个别人员保密意识不强，信息泄密事件　安全问题得到了广泛认可和应用。开展信息安全　时有发生。为保证信息安全，尽可能消除安全隐　风险评估，科学分析和理解信息系统在保密性、完　患，就要开展信息安全风险评估工作。通过分析　整性、可用性等方面的问题显得尤为重要。通过　评估网络与信息系统安全潜在威胁、薄弱环节、防　明确信息系统安全风险，可以准确了解信息系统　护措施等，根据评估结果，采取适当安全措施，达　安全现状，同时通过发现信息安全存在的主要矛　到安全建设和管理的目的。　盾和问题，可以及早防范，找到解决办法，化解风　发达国家越来越重视信息安全风险评估工　险。　作，提倡风险评估制度化，提出了没有有效的风险　评估，便会导致信息安全需求与安全解决方案严　１　信息安全风险评估概念及应对策略　重脱离的观念。发达国家近年来大力加强以风险　１．１　概念　评估为核心的信息系统安全评估工作，并通过法　信息安全是关注信息系统在安全方面存在的　规、标准等手段加以保障，逐步形成了横跨立法、　问题、面临的威胁，是防止信息受到各种威胁，以　行政、司法的信息安全管理体系。　确保业务连续性，使业务风险最小化，投资回报和　目前，我国信息化建设在关键技术、关键设备　商业机遇最大化。信息安全是通过实施一系列安　上还受制于人。通过开展风险评估，运用专门技　全控制而实现的，包括策略、过程、程序、组织结构　作者简介：吴维桥（１９６５一），男，从事期刊编辑工作。　收稿日期：２０１１—１０—２０　青海电力　第３ｌ卷　和软硬件功能。在信息安全过程中建立、实施、监　的风险。　视、评审和改进这些控制，可确保满足该组织特定　信息安全风险评估内容是指在风险评估过程　安全和业务目标。　中必须考虑风险的组成部分、影响因素和相关因　信息安全风险评估，就是从风险管理角度，运　素。信息安全风险评估过程中威胁越多，风险越　用定性、定量的科学分析方法和手段，系统分析信　大；脆弱性暴露资产，其脆弱性越多，风险越大；资　息化业务和信息系统资产所面临的认为和自然威　产拥有资产价值，其资产价值越大，风险越大；风　胁以及威胁事件一旦发生可能遭受的危害程度，　险导出安全需求，安全需求依赖安全措施，安全措　有针对性采取抵御威胁的安全等级、防护对策和　施通过对抗威胁降低风险。风险评估的意义在于　整改措施，最大限度降低并减少经济损失和负面　对风险的认识，而风险的处理过程，可在考虑管理　影响。　成本之后，选择适合企业自身特点的控制方法，对　１．２信息系统安全风险应对策略…　同类风险采用相同的控制策略，有利于在保证效　１）规避风险。针对风险事件产生的原因，设　果的前提下降低风险评估成本。　法避免风险成为事实，降低风险发生概率；　３．１．１　资产　２）降低风险。针对潜在产生的风险，采取相　资产是企业有价值的东西。资产包括软件、　应保障措施，降低风险影响；　硬件、实体信息、人员、电子数据、服务设施和其他　３）转移风险。将潜在的风险改变转移到其　等。　它资产、其它过程、其他组织机构去承受；　１）软件。基础应用软件（如数据库软件）、操　４）接受风险。信息安全风险事件的损失价　作系统；　值应低于防范措施的成本，与该风险相关的资产　２）硬件。主机、路由器、防火墙、交换机、打　不值得保护，要谨慎采取消极决策。　印机、复印件等；　２风险评估时机的选择　Ｊ　３）实体信息。合同、传真、电报、财务报告、　企业发展规划、磁带、光盘等；　在信息系统生存周期有多种情况，必须对信　４）人员。包括各级安全组织、安全人员、各　息系统所涉及的人员、技术环境、物理环境进行风　级管理人员、网管员、系统管理员、业务操作人员　险评估：　和第三方人员；　１）在设计规划或升级至新的信息系统时；　５）电子数据。所有通过网络能访问到的数　２）给正在运行的信息系统增加新应用时；　据；　３）与其他组织进行网络互联时；　６）服务设施。电源、空调、保险柜、文件柜、　４）技术平台进行大规模更新或升级时；　消防设施、照明等；　５）计算机安全事件发生之后或怀疑可能发　７）其他。企业形象、企业信誉和客户关系。　生安全事件时；　３．１．２脆弱性　６）现有信息安全措施是否充分或是否具有　脆弱性是指与信息资产有关的弱点或安全隐　相应的安全效力时；　患，包括系统漏洞、配置不当、程序ＢＵＧ、专业人　７）组织结构变动时；　员缺乏、弱口令、缺乏安全意识等。　８）对信息系统的安全状况进行定期、不定期　３．１．３威胁　评估，以查看是否满足持续运营需要时等。　威胁是指可能导致信息安全事故和组织信息　３风险评估内容及工作流程　资产损失的活动，威胁是利用脆弱性来造成的后　果。例如：自然威胁一洪水、地震、飓风、泥石流、　３．１风险评估内容　雪崩、雷电、风暴及类似事件；人为威胁——有人　风险评估通过对信息系统的资产、面临的威　激发或引发的事件（比如个别人粗心录入数据的　胁、存在的脆弱性、采用的安全控制措施等进行分　无意识行为和网络攻击、恶意软件上传、对秘密信　析，从技术和管理等层面综合判断信息系统面临　息未授权访问的故意行为）。　第１期　３．２风险评估工作流程　吴维桥，等：网络信息安全风险评估工作探讨　６７　３）对脆弱性进行识别，并对具体资产脆弱性　的严重程度赋值；　４）根据威胁利用脆弱性的难易程度判断安　主要步骤包括风险评估准备、风险因素识别、　风险分析、风险控制。风险评估工作流程图如图　１所示。　图１　风险评估工作流程图　如图所述，在进行威胁、薄弱点评估时，暂时　不考虑已有的控制措施，先根据通常状况进行威　胁和薄弱点赋值，在最后风险评估时进行考虑。　确定风险值的大小是明确不同威胁对资产所产生　的风险相对值。　３．３风险分析原理　风险分析原理如图２所示。　图２风险分析原理图　风险分析中涉及资产、威胁、脆弱性３个基本　要素。每个要素有各自的属性，资产的属性是资　产价值；威胁的属性是威胁主体、影响对象、出现　频率、动机等；脆弱性的属性是资产弱点的严重程　度。风险分析的主要内容：　１）对资产进行识别，并对资产的价值进行赋　值；　２）对威胁进行识别，描述威胁的属性，并对　威胁出现的频率赋值；　全事件发生的可能性；　５）根据脆弱性的严重程度及安全事件所作　用的资产价值，计算安全事件的损失；　６）根据安全事件发生的可能性以及安全事　件出现后的损失，计算安全事件一旦发生对组织　的影响，即风险值，可按以下公式确定：　风险值＝资产估值×威胁估值×脆弱性估值　一已有的控制措施值　（１）　风险分析计算（风险等级评估）的３个条件：　１）资产相对估价为：Ａ（０≤Ａ≤５）（由资产的　组成要素综合所得）；　２）威胁评估值为：Ｔ（０≤Ｔ≤５）（由威胁的组　成特性综合所得）；　３）薄弱点评估值为：Ｖ（０≤Ｖ≤５）（由薄弱点　的组成特性综合所得）；　由上述条件可得，风险值Ｒ＝Ａ　Ｘ　Ｔ×Ｖ，资　产风险值为：Ｒ（０≤Ｒ≤１２５）。由此计算风险值并　进行判定，划分风险等级。风险等级分为５类：很　低、低、中、高、很高；范围依次为０≤Ｒ≤２５、２５＜　Ｒ≤５０、５０＜Ｒ≤７５、７５＜Ｒ≤１００、１００＜Ｒ≤１２５。　依据风险等级决定行动的优先级，制定相应的措　施，最终做出合理可行的风险处理计划。　４风险评估原则　信息安全风险评估工作是复杂、系统的工作。　如果工作流程自身不规范或存在缺陷，势必造成　评估结果与实际情况之间出现偏差，甚至会损害　评估单位利益。因此，在评估过程中，应遵循以下　原则：　１）可操作性原则。评估工作流程应规范化，　具有可操作性及可控性；　２）风险规避原则。评估工作开始实施之前，　应充分考虑由于评估工作本身而可能引发的风　险，并通过相应的措施加以规避。对于难以预料　和控制的风险，应事先提出应急预案并确认可行　性，以备不测之需；　３）质量控制原则。强调评估过程中的组织、　管理和控制。主要通过强化评估项目管理达到控　制质量；　６８　青海电力　第３１卷　４）最小影响原则。应对评估工作事先进行　应用安全产品的同时，积极开展信息安全风险评　估工作。当前，最重要的工作就是建立和完善信　息安全风险评估的各项制度，信息管理部门应加　计划，对评估组织的网络及信息系统正常业务造　成的影响，应采取措施，把影响降至最低；　５）保密性原则。为防止被评估单位的敏感　信息被泄露，评估单位应与被评估组织签署相关　保密协议和非侵害协议，评估单位应对工作过程　中的数据和结果等严格保密，未经授权不得泄露　任何信息和数据，严禁利用测试、评估数据进行任　何侵害被评估单位信息系统的行为。　强信息安全风险评估工作的研究，使信息安全工　作更上一层楼，同时也希望通过文章的浅述能为　开展网络信息安全风险评估工作提供参考。　参考文献：　［１］陈辣，文巨峰，韩冰青．信息安全风险评估［Ｊ］．计算　机工程－９应用，２００６（４）．　（２］李明高．信息安全风险评估在信息安全体系建设中　的应用分析［Ｊ］．电脑与电信，２００９（Ｏ１）．　５　结束语　信息安全风险是信息化时代亟待解决的问　［３］付沙．加强信息安全风险评估工作的研究（Ｊ］．微　型电脑应用。２０１０（８）．　题，风险管理水平的提高是保障组织健康、稳定发　展的关键。要使青海信息网络更安全，就必须在　美国首次为新建电厂设置二氧化碳排放标准　美国环境保护署２７　１３首次对美国未来新建的发电厂提议设定二氧化碳排放标准，以鼓励建设天然气发电等更加清　洁的发电厂。　美国环境保护署当天发布声明说，根据最高２００７年的一项裁决，该机构首次为新建电厂提议设定全国性的空　气污染排放标准，即新建的发电厂只允许每兆瓦时排放１０００磅（约合４５３．６千克）二氧化碳，大致相当于一个现代天然　气发电厂的排放水平。这项新标准不适用于现已运营的电厂或者即将于ｌ２个月内开工建设的电厂。　该机构说，这一新标准反映了发电行业的发展趋势，即利用美国清洁、高效燃烧的天然气发电等技术来建设更加清　洁的电厂，也为这些技术在未来电厂的应用铺好了道路。　美国环境保护署署长莉萨・杰克逊说，对电厂设定排放标准是应对气候变化威胁的重要举动，这紧跟了行业发展趋　势，“我们认为这对投资者是非常重要的信号”。　分析认为，这一排放标准将有效阻止美国煤炭发电厂的建设，进一步挤压这种传统电厂的生存空间。过去数十年　来，煤电一直是美国电力生产的主要来源。然而，随着页岩天然气的开发，市场上出现了大量廉价天然气，造成很多煤电　厂关停。美国ＩＨＳ能源咨询公司预计，到２０１６年美国将关停１０％到２０％的煤电厂。