信息安全風險評估范文第1篇

【關(guān)鍵詞】信息安全；風險評估

1 企業(yè)信息安全風險評估概述

信息系統(tǒng)的風險評估是指確定在計算機系統(tǒng)和網(wǎng)絡(luò)中每一種資源缺失或遭到破壞對整個系統(tǒng)造成的預計損失數(shù)量。是針對威脅、脆弱點以及它可能導致的風險大小而評估的。對信息安全進行風險分析和評估的目的就是：企業(yè)能知道信息系統(tǒng)中是否有安全隱患的存在，并估測這些風險將會造成的安全威脅與可能造成的損失，經(jīng)過這些判斷來決定修復或者對于安全信息系統(tǒng)的建立。

信息系統(tǒng)風險分析和評估能夠有效的保護企業(yè)信息，但同時它也是一個較為復雜的過程，建立一個完善的信息安全風險評估需要具備相應的標準體系、技術(shù)體系、組織架構(gòu)、業(yè)務體系同時也要遵循相關(guān)的法律法規(guī)。

2 企業(yè)信息安全風險評估的作用

信息安全風險評估是信息安全工作的基本保障措施之一。風險評估工作是預防為主方針的充分體現(xiàn)，它能夠把信息化工作的安全控制關(guān)口前移，超前防范。

針對信息系統(tǒng)規(guī)劃、設(shè)計、建設(shè)、運行、使用、維護等不同階段實行不同的信息安全風險評估，這樣能夠在第一時間發(fā)現(xiàn)各種所存在的安全隱患，然后再運用科學的方法對風險進行分析，從而解決信息化過程中不同層次和階段的安全問題。

在信息系統(tǒng)的規(guī)劃設(shè)計階段，信息安全風險評估工作的實行，可以使企業(yè)在充分考慮經(jīng)營管理目標的條件下，對信息系統(tǒng)的各個結(jié)構(gòu)進行完善從而滿足企業(yè)業(yè)務發(fā)展和系統(tǒng)發(fā)展的安全需求，有效的避免事后的安全事故。這種信息安全風險評估是必不可少的，它很好地體現(xiàn)了“預防為主”方針的具體體現(xiàn)，可以有效降低整個信息系統(tǒng)的總體擁有成本。信息安全風險評估作為整個信息安全保障體系建設(shè)的基礎(chǔ)、它確保了信息系統(tǒng)安全、業(yè)務安全、數(shù)據(jù)安全的基礎(chǔ)性、預防性工作。因此企業(yè)信息安全風險評估工作需要落到實處，從而促進其進一步又好又快發(fā)展。

3 信息安全風險評估的基本要素

使命：一個組織機構(gòu)通過信息化形成的能力要來進行的工作任務。使命是信息化的目的，一個信息系統(tǒng)如果不能實現(xiàn)具體的工作任務是沒有意義的。對企業(yè)來說，信息系統(tǒng)的使命是業(yè)務戰(zhàn)略。

依賴度：一個組織機構(gòu)的使命對信息系統(tǒng)和信息的依靠程度。依賴度越高，風險評估的任務就越重要

資產(chǎn)：對組織具有價值的信息或資源，是安全策略保護的對象

資產(chǎn)價值：體現(xiàn)了資產(chǎn)在重要程度或敏感程度上的表現(xiàn)特征。作為資產(chǎn)的屬性，資產(chǎn)價值同時也是對資產(chǎn)進行識別的重要內(nèi)容。

威脅：一般指會對系統(tǒng)或組織造成不良后果的不希望事故潛在起因。

脆弱性：可能被威脅所利用的資產(chǎn)或若干資產(chǎn)的脆弱環(huán)節(jié)。通常脆弱性也被稱作是弱點或漏洞。

威脅是外因，脆弱性是內(nèi)因，威脅只有通過利用脆弱性才能造成安全事件。

風險：人為或自然的威脅利用信息系統(tǒng)及其管理體系中存在的脆弱性導致安全事件的發(fā)生及其對組織造成的影響。衡量風險的指標有兩種，分別是由意外事件發(fā)生的概率或者是發(fā)生后可能造成的影響。

殘余風險：就是指在安全保障手段之后，防護能力有了提升，但是危險并沒有完全消失。

安全需求：為了保證組織機構(gòu)能夠正常的工作，因此在信息安全保障措施方面提出的要求。

安全保障措施：為了降低脆弱性，應對威脅，保護資產(chǎn)而進行的預防和控制意外事件的后果，檢測、響應意外事件，使得災難恢復迅速，同時打擊信息違法行為而采取的各種實踐、規(guī)程和機制的總稱。

4 信息安全風險評估的基本過程

目前信息安全風險評估有大量成熟的過程指南和最佳實踐，但風險評估過程的本質(zhì)是搜集資產(chǎn)、威脅、漏洞、影響等資料和數(shù)據(jù)，其過程和流程有一定的通用性。

4.1 識別和特征化系統(tǒng)

信息安全風險評估的第一步就是確定評估的工作范圍，界定風險評估工作的邊界，并識別和特征化工作范圍內(nèi)信息系統(tǒng)的各種資產(chǎn)、支持的業(yè)務流程及相應的管理信息等。下圖是一個信息系統(tǒng)描述規(guī)范：

4.2 識別和特征化漏洞

漏洞是在信息系統(tǒng)、系統(tǒng)安全程序、管理控制、物理設(shè)計、內(nèi)部控制等可能被攻擊者利用來獲得未授權(quán)的信息或破壞關(guān)鍵處理的弱點。識別和特征化漏洞工作的目的是開發(fā)一個信息系統(tǒng)漏洞列表。一般常用的識別系統(tǒng)漏洞的方法包括：

（1）使用以前的風險評估報告、系統(tǒng)異常報告、權(quán)威機構(gòu)的漏洞列表等；

（2）使用漏洞掃描工具、滲透性測試等主動的、系統(tǒng)化的測試方法；

（3）開發(fā)和使用安全檢查列表，對實際系統(tǒng)進行配置核查。

4.3 識別和特征化威脅

威脅是能夠通過未授權(quán)訪問、毀壞、揭露、數(shù)據(jù)修改或拒絕服務對系統(tǒng)造成潛在危害的任何環(huán)境或事件，具體而言，威脅是一個特定威脅源成功利用一個特定漏洞的潛在可能。

威脅的具體描述沒有嚴格規(guī)范，在信息安全風險評估過程中，應根據(jù)組織機構(gòu)及其運行環(huán)境的實際來識別威脅。

4.4 識別和特征化安全控制措施

在進行信息安全風險評估時，除了分析漏洞和威脅，同時也要全面分析當前所采取的各種安全控制措施。

控制措施可以分為技術(shù)控制措施、管理控制措施和物理控制措施。技術(shù)控制措施是綜合計算機硬件、軟件和固件中的保護措施。如訪問控制機制、身份識別機制、加密機制、入侵檢測軟件等。管理控制措施指的是管理運行和控制的保護措施。如安全策略、操作維護標準等。物理安全措施是指保護物理和環(huán)境安全。如重要資料柜加鎖等。

4.5 確定可能性

完成系統(tǒng)信息、漏洞、威脅和現(xiàn)有安全控制措施的搜集和分析后，下一步需要評估安全事件一旦發(fā)生可能造成的危害程序。

風險就是后果和可能性的產(chǎn)物。通用公式為：風險=負面事件發(fā)生的可能性（概率）×此負面事件的影響（后果）

給定威脅源執(zhí)行潛在漏洞的可能性可以用高、中、低進行描述。

可能性級別 可能性定義

高 威脅源有強烈的動機和足夠的能力，并且已有的控制措施對其無效

中 威脅源有動機和能力，但已有的控制可能可以遲緩漏洞的成功實施

低 威脅源缺少動機或能力，或已有控制可以防止或極大地遲緩漏洞的實施

4.6 分析影響

從風險的最基本原理公式可以看到，要得出風險，需要計算威脅的影響。

信息安全的主要目的是確保保密性、完整性和可用性，安全事件的影響是通過危害保密性、完整性和可用性來體現(xiàn)的。因此，信息安全事件的影響量級（高、中、低）可以通過分析這三個安全目標的受損程度來確定。

失去完整性：由于有意或無意的行為對數(shù)據(jù)或信息系統(tǒng)的非授權(quán)修改。

失去可用性：信息系統(tǒng)功能和操作對其終端用戶不可用。

失去保密性：受保護的數(shù)據(jù)和系統(tǒng)信息非授權(quán)訪問、暴露。

4.7 確定風險

通過分析和確定了安全事件影響和可能性后，可以使用風險基本原理公式進行風險結(jié)果計算。

在定性風險評估中，對風險級別的確定可能會相對主觀。其基本方法是為每種威脅可能性級別指定概率，為每種影響級別指定數(shù)值，最后確定風險區(qū)間等級。

如高威脅可能性的概率是1.0，低影響級別為10，則風險為1.0×10=10

風險等級：高（>50～100），中（>10～50），低（1～10）

4.8 編制風險評估報告和推薦安全控制措施

通過風險評估，得出風險的高中低等級，提出有針對性的抵御威脅的防護對策和整改措施，將風險控制在可接受的水平。從而為保障網(wǎng)絡(luò)與信息安全提供依據(jù)。

5 結(jié)束語

信息安全風險評估工作是信息安全建設(shè)的起點和基礎(chǔ)，在實際的信息安全風險評估工作中，應根據(jù)系統(tǒng)的實際運行環(huán)境和企業(yè)管理要求對評估過程進行剪裁，結(jié)合國內(nèi)外標準規(guī)范，完成自己的風險評估實踐。

信息安全風險評估范文第2篇

檔案信息資產(chǎn)是與檔案信息系統(tǒng)有關(guān)的所有資產(chǎn)，包括檔案信息系統(tǒng)的硬件、軟件、數(shù)據(jù)、人員、服務及組織形象等，是有形和無形資產(chǎn)的總和。脆弱性是檔案信息系統(tǒng)自身存在的技術(shù)和管理漏洞，可能被外部威脅利用，造成安全事故；威脅是外部存在的、可能導致檔案信息系統(tǒng)發(fā)生安全事故的潛在因素。威脅、脆弱性及檔案信息資產(chǎn)的相互影響造成檔案信息系統(tǒng)面臨安全風險，最后計算出風險值。

檔案信息安全風險評估總體方法

檔案信息安全風險評估的核心問題之一是風險評估方法的選擇，風險評估方法包括總體方法和具體方法�？傮w方法是從宏觀的角度確定檔案信息安全風險評估大致方法，包括：風險評價標準確定方法；風險評估中資產(chǎn)、威脅和脆弱性的識別方法；風險評估輔助工具使用方法及風險評估管理方法等。事實上，信息安全風險評估方法經(jīng)歷了一個不斷發(fā)展的過程，“經(jīng)歷了從手動評估到工具輔助評估的階段，目前正在由技術(shù)評估到整體評估發(fā)展，由定性評估向定性和定量相結(jié)合的方向發(fā)展，由基于知識(或經(jīng)驗)的評估向基于模型(或標準)的評估方法發(fā)展。”。隨著信息安全技術(shù)與安全管理的不斷發(fā)展，目前信息安全風險評估方法已發(fā)展到基于標準的、定性與定量相結(jié)合的、借用工具輔助評估的整體評估方法。檔案信息安全風險評估總體方法應采用目前最先進方法，即采用依據(jù)合適風險評估標準、定性與定量結(jié)合、借助評估工具或軟件來實現(xiàn)不僅進行檔案信息安全技術(shù)評估，而且進行檔案信息安全管理評估的整體評估方法。

1　檔案信息安全風險評估標準的確定

信息安全風險評估標準主要分為國際國外標準和國家標準。國際國外標準有：《ISO／IEC 13335　信息技術(shù)　IT安全管理指南》、《ISO／IEC 17799：2005信息安全管理實施指南》、《ISO／IEC27001：2005信息安全管理體系要求》、《NIST SP 800-30信息技術(shù)系統(tǒng)的風險管理指南》系列標準等，這些標準在國外已得到廣泛使用，而我國信息安全風險評估起步較晚，在吸取國外標準且根據(jù)我國國情的基礎(chǔ)上于2007年制定了國家標準((GB／T 20984-2007信息安全技術(shù)信息安全風險評估規(guī)范》，并在全國范圍內(nèi)推廣。國家發(fā)展改革委員會、公安部、國家保密局于2008年了“關(guān)于加強國家電子政務工程建設(shè)項目信息安全風險評估工作的通知(發(fā)改高技[2008]2071號)”，該文件要求國家電子政務工程建設(shè)項目(以下簡稱電子政務項目)，應開展信息安全風險評估工作，且規(guī)定采用《GB／T 20984-2007信息安全技術(shù)信息安全風險評估規(guī)范》。檔案信息系統(tǒng)屬于電子政務系統(tǒng)，檔案信息安全風險評估也應該采取OB／T 20984-2007標準。

2　檔案信息安全風險評估需定性與定量相結(jié)合

定性分析方法是目前廣泛采用的方法，需要憑借評估者的知識、經(jīng)驗和直覺，為風險的各個要素定級。定性分析法操作相對容易，但也可能因為分析結(jié)果過于主觀性，很難完全反映安全現(xiàn)實情況。定量分析則對構(gòu)成風險的各個要素和潛在損失水平賦予數(shù)值或貨幣金額，最后得出系統(tǒng)安全風險的量化評估結(jié)果。

定量分析方法準確，但由于信息系統(tǒng)風險評估是一個復雜的過程，整個信息系統(tǒng)又是一個龐大的系統(tǒng)工程，需要考慮的安全因素眾多，而完全量化這些因素是不切實際的，因此完全量化評估是很難實現(xiàn)的。

定性與定量結(jié)合分析方法就是將風險要素的賦值和計算，根據(jù)需要分別采取定性和定量的方法，將定性分析方法和定量分析方法有機結(jié)合起來，共同完成信息安全風險評估。檔案信息安全風險評估應采取定性與定量相結(jié)合的方法，在檔案信息系統(tǒng)資產(chǎn)重要度、威脅分析和脆弱性分析可用定性方法，但給予賦值可采用定量方法。具體脆弱性測試軟件可得出定量的數(shù)據(jù)，最后得出風險值，并判斷哪些風險可接受和不可接受等。

3　檔案信息安全風險評估需借用輔助評估工具

目前信息安全風險評估輔助工具的出現(xiàn)，改變了以往一切工作都只能手工進行的狀況，這些工作包括識別重要資產(chǎn)、威脅和弱點發(fā)現(xiàn)、安全需求分析、當前安全實踐分析、基于資產(chǎn)的風險分析和評估等。其工作量巨大，容易出現(xiàn)疏漏，而且有些工作如系統(tǒng)軟硬件漏洞檢測等無法用手工完成，因此目前國內(nèi)外均使用相應的評估輔助工具，如漏洞檢測軟件和風險評估輔助軟件等。檔案信息安全風險評估也需借助相應的輔助工具，直接可用的是各種系統(tǒng)軟硬件漏洞測試軟件或我國依據(jù)《GB／T 20984-2007信息安全技術(shù)信息安全風險評估規(guī)范》開發(fā)的風險評估輔助軟件，將來可開發(fā)專門的檔案信息安全風險評估輔助工具軟件。

4　檔案信息安全風險評估需整體評估

信息安全風險評估不僅需進行安全技術(shù)評估，更重要的需進行安全管理等評估，我國已將信息系統(tǒng)等級保護作為一項安全制度，對不同等級的信息系統(tǒng)根據(jù)國家相關(guān)標準確定安全等級并采取該等級對應的基本安全措施，其中包括安全技術(shù)措施和安全管理措施，因此評估風險時同樣需進行安全技術(shù)和安全管理的整體風險評估，檔案信息安全風險評估同樣如此。

檔案信息安全風險評估具體方法

根據(jù)檔案信息安全風險評估原理。從資產(chǎn)識別到風險計算，都需根據(jù)信息系統(tǒng)自身情況和風險評估要求選擇合適的具體方法，包括：資產(chǎn)識別方法、威脅識別方法、脆弱性識別方法、現(xiàn)有措施識別法和風險計算方法等。

1　資產(chǎn)識別方法

檔案信息資產(chǎn)識別是對信息資產(chǎn)的分類和判定其價值，因此資產(chǎn)識別方法包括資產(chǎn)分類方法和資產(chǎn)賦值方法。

(1)資產(chǎn)分類方法

在風險評估中資產(chǎn)分類沒有嚴格的標準，但一般需滿足：所有的資產(chǎn)都能找到相應的類；任何資產(chǎn)只能有唯一的類相對應。常用的資產(chǎn)分類方法有：按資產(chǎn)表現(xiàn)形式分類、按資產(chǎn)安全級別分類和按資產(chǎn)的功能分類等。

在《GB／T 20984-2007信息安全技術(shù)信息安全風險評估規(guī)范》中，對資產(chǎn)按其表現(xiàn)形式進行分類，即分為數(shù)據(jù)、軟件、硬件、服務、人員及其他(主要指組織的無形資產(chǎn))。這種分類方法的優(yōu)點為：資產(chǎn)分類清晰、資產(chǎn)分類詳細，其缺點為：資產(chǎn)分類與其安全屬性無關(guān)、資產(chǎn)分類過細造成評估極其復雜，因為目前大部分風險評估

都以資產(chǎn)識別作為起點，一項資產(chǎn)面臨多項威脅，—項威脅又與多項脆弱性有關(guān)，最后造成針對某一項資產(chǎn)的風險評估就十分復雜，缺乏實際可操作性。這種分類方法比較適合于初次風險評估單位對所有信息資產(chǎn)進行摸底和統(tǒng)計。

風險評估中資產(chǎn)的價值不是以資產(chǎn)的經(jīng)濟價值來衡量，所以信息資產(chǎn)分類應與信息資產(chǎn)安全要求有關(guān)，即依據(jù)信息資產(chǎn)對安全要求的高低進行分類，這種方法同時也滿足下一環(huán)節(jié)即信息資產(chǎn)重要度賦值需求。任何一個檔案信息資產(chǎn)無論是硬件、軟件還是其他，其均有安全屬性，在《GB／T 20984-2007信息安全技術(shù)信息安全風險評估規(guī)范》中要求：“資產(chǎn)價值應依據(jù)資產(chǎn)在保密性、完整性和可用性上的賦值等級，經(jīng)過綜合評定得出”�？蛇x擇每個資產(chǎn)在上述三個安全屬性中最重要的安全屬性等級作為其最后重要等級。但檔案信息安全屬性應該更多，除上述屬性外還包括：真實性、不可否認性(抗抵賴)、可控性和可追溯性，所以可以根據(jù)檔案信息的七個安全屬性中最重要屬性的等級作為該資產(chǎn)等級。

目前信息資產(chǎn)安全屬性等級如保密性等級可分為：很高、高、中等、低、很低，因此信息資產(chǎn)按安全等級也可分為：很高、高、中等、低、很低，即如果此信息資產(chǎn)保密性等級為“中”，完整性等級為“中”，可用性等級為“低”，則取此信息資產(chǎn)安全等級最高的“中”級。

按信息資產(chǎn)安全級別分類法符合風險評估要求，因為體現(xiàn)了安全要求越高其資產(chǎn)價值越高的宗旨，在統(tǒng)計資產(chǎn)時也可按表現(xiàn)形式和安全等級結(jié)合的方法進行，如下表1所示�！邦悇e”為按第一種分類方法中的類別，重要度為第二種方法中的五個等級。

但如果風險評估時按表1進行資產(chǎn)分類時，每個檔案信息系統(tǒng)將具有很多資產(chǎn)，這樣針對每一項資產(chǎn)進行評估的時間和精力對于評估方都難以接受。因此，在《信息安全風險評估——概念、方法和實踐》一書中提出：“最好的解決辦法應該是面對系統(tǒng)的評估”，信息資產(chǎn)安全等級分類的起點可以認為是系統(tǒng)(或子系統(tǒng))，這樣可以在資產(chǎn)統(tǒng)計時用資產(chǎn)表現(xiàn)形式進行分類，在資產(chǎn)安全等級分類時按系統(tǒng)或子系統(tǒng)進行大致分類，即同一個系統(tǒng)或子系統(tǒng)中的資產(chǎn)的安全等級相同，這樣滿足了組織進行風險評估時“用最少的時間找到主要風險”的思想。

(2)資產(chǎn)賦值方法

由于信息資產(chǎn)價值與安全等級有關(guān)，因此對資產(chǎn)賦值應與“很高、高、中等、低、很低”相關(guān)，但這是定性的方法，結(jié)合定量方法為對應“5、4、3、2、1”五個值，同時將此值稱為“資產(chǎn)等級重要度”。

2　威脅識別方法

(1)威脅分類方法

對檔案信息系統(tǒng)的威脅可從表現(xiàn)形式、來源、動機、途徑等多角度進行分類，而常用的為按來源和表現(xiàn)形式分類。按來源可分為：環(huán)境因素和人為因素，人為因素又分為惡意和無意兩種。基于表現(xiàn)形式可分為：物理環(huán)境影響、軟硬件故障、無作為或操作失誤、管理不到位、惡意代碼、越權(quán)或濫用、網(wǎng)絡(luò)攻擊、物理攻擊、泄密、篡改和抵賴等。由于威脅對信息系統(tǒng)的破壞性極大，所以應以分類詳細為宗旨，按表現(xiàn)形式方法分類較為合適。

(2)威脅賦值方法

威脅賦值是以威脅出現(xiàn)的頻率為依據(jù)的，評估者應根據(jù)經(jīng)驗或相關(guān)統(tǒng)計數(shù)據(jù)進行判斷，綜合考慮三個方面：“以往安全事件中出現(xiàn)威脅頻率及其頻率統(tǒng)計，實踐中檢測到的威脅頻率統(tǒng)計、近期國內(nèi)外相關(guān)組織的威脅預警”。�？梢詫ν�脅出現(xiàn)的頻率進行等級化賦值，即為：“很高、高、中等、低、很低”，相應的值為：“5、4、3、2、1”。

3　脆弱性識別方法

脆弱性的識別可以以資產(chǎn)為核心，針對每一項需要保護的資產(chǎn)，識別可能被威脅利用的弱點，同時結(jié)合已有安全控制措施，對脆弱性的嚴重程度進行評估。脆弱性識別時來自于信息資產(chǎn)的所有者、使用者，以及相關(guān)業(yè)務領(lǐng)域和軟硬件方面的專業(yè)人員等，并對脆弱性識別途徑主要有：問卷調(diào)查、工具檢測、人工核查、文檔查閱、滲透性測試等。

(1)脆弱性分類方法

脆弱性一般可以分為兩大類：信息資產(chǎn)本身脆弱性和安全控制措施不足帶來的脆弱性。資產(chǎn)本身的脆弱性可以通過測試或漏洞掃描等途徑得到，屬于技術(shù)脆弱性。而安全控制措施不足的脆弱性包括技術(shù)脆弱性和管理脆弱性，管理脆弱性更容易被威脅所利用，最后造成安全事故。檔案信息系統(tǒng)脆弱性分類最好按技術(shù)脆弱性和管理脆弱性進行。技術(shù)脆弱性涉及物理層、網(wǎng)絡(luò)層、系統(tǒng)層、應用層等各個層面的安全問題，管理脆弱性又可分為技術(shù)管理脆弱性和組織管理脆弱性兩方面。

(2)脆弱性賦值方法

根據(jù)脆弱性對資產(chǎn)的暴露程度(指被威脅利用后資產(chǎn)的損失程度)，采用等級方式可對已經(jīng)分類并識別的脆弱性進行賦值。如果脆弱性被威脅利用將對資產(chǎn)造成完全損害，則為最高等級，共分五級：“很高、高、中等、低、很低”，相應的值為：“5、4、3、2、1”。

脆弱性值(已有控制措施仍存在的脆弱性)也可稱為暴露等級，將暴露等級“5、4、3、2、1”可轉(zhuǎn)化為對應的暴露系數(shù)：100％、80％、60％、40％、20％，再將“脆弱性”與“資產(chǎn)重要度等級”聯(lián)系，計算出如果脆弱性被威脅利用后發(fā)生安全事故的影響等級。

影響等級=暴露系數(shù)×資產(chǎn)等級重要度

4　已有控制措施識別方法

(1)識別方法

在識別脆弱性的同時應對已經(jīng)采取的安全措施進行確認，然后確定安全事件發(fā)生的容易度。容易度描述的是在采取安全控制措施后威脅利用脆弱性仍可能發(fā)生安全事故的容易情況，也就是威脅的五個等級：“很高、高、中等、低、很低”，相應的取值為：“5、4、3、2、1”，“5”為最容易發(fā)生安全事故。

同時安全事件發(fā)生的可能性與已有控制措施有關(guān)，評估人員可以根據(jù)對系統(tǒng)的調(diào)查分析直接給在用控制措施的有效性進行賦值，賦值等級可分為0-5級，

“0”為控制措施基本有效，“5”為控制措施基本無效。

(2)安全事件可能性賦值

安全事件發(fā)生的可能性可用以下公式計算：

發(fā)生可能性=發(fā)生容易度(即威脅賦值)+控制措施

5　風險計算方法

風險計算方法有很多種，但其必須與資產(chǎn)安全等級、面臨威脅值、脆弱性值、暴露等級值、容易度值、已有控制措施值等有關(guān)，計算出風險評估原理圖中的影響等級和發(fā)生可能性值。目前一般而言風險計算公式如下：

風險=影響等級×發(fā)生可能性

綜上所述，可將信息資產(chǎn)、面臨威脅、可利用脆弱性、暴露、容易度、控制措施、影響、可能性、風險值構(gòu)成表2，最終計算出風險值。下表以某數(shù)字檔案館為例，其主要分為館內(nèi)檔案管理系統(tǒng)和電子文件中心，評估資產(chǎn)以子系統(tǒng)作為分類和賦值為起點，并只以部分威脅、脆弱性列出并計算風險。

上表中暴露等級值體現(xiàn)了脆弱性，容易度體現(xiàn)了威脅，以表2第一行為例計算檔案管理系統(tǒng)數(shù)據(jù)泄密的風險值，過程如下：

影響等級=暴露系數(shù)×資產(chǎn)等級重要度＝(3／5)*5＝3

可能性=容易度(威脅值)+控制措施值＝3+3＝6

風險=影響等級×可能性＝3×6＝18

信息安全風險評估范文第3篇

關(guān)鍵詞：信息安全；風險評估；脆弱性；威脅

1. 引言

隨著信息技術(shù)的飛速發(fā)展，關(guān)系國計民生的關(guān)鍵信息資源的規(guī)模越來越大，信息系統(tǒng)的復雜程度越來越高，保障信息資源、信息系統(tǒng)的安全是國民經(jīng)濟發(fā)展和信息化建設(shè)的需要。信息安全的目標主要體現(xiàn)在機密性、完整性、可用性等方面。風險評估是安全建設(shè)的出發(fā)點，它的重要意義在于改變傳統(tǒng)的以技術(shù)驅(qū)動為導向的安全體系結(jié)構(gòu)設(shè)計及詳細安全方案的制定，以成本一效益平衡的原則，通過評估信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后安全事件發(fā)生的可能性，并結(jié)合資產(chǎn)的重要程度來識別信息系統(tǒng)的安全風險。信息安全風險評估就是從風險管理角度，運用科學的分析方法和手段，系統(tǒng)地分析信息化業(yè)務和信息系統(tǒng)所面臨的人為和自然的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施，以防范和化解風險，或者將殘余風險控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)與信息安全。

2．網(wǎng)絡(luò)信息安全的內(nèi)容和主要因素分析

“網(wǎng)絡(luò)信息的安全”從狹義的字面上來講就是網(wǎng)絡(luò)上各種信息的安全，而從廣義的角度考慮，還包括整個網(wǎng)絡(luò)系統(tǒng)的硬件、軟件、數(shù)據(jù)以及數(shù)據(jù)處理、存儲、傳輸?shù)仁褂眠^程的安全。

網(wǎng)絡(luò)信息安全具有如下6個特征：（1）　保密性。即信息不泄露給非授權(quán)的個人或?qū)嶓w。（2）完整性。即信息未經(jīng)授權(quán)不能被修改、破壞。（3）可用性。即能保證合法的用戶正常訪問相關(guān)的信息。（4）可控性。即信息的內(nèi)容及傳播過程能夠被有效地合法控制。（5）可審查性。即信息的使用過程都有相關(guān)的記錄可供事后查詢核對。網(wǎng)絡(luò)信息安全的研究內(nèi)容非常廣泛，根據(jù)不同的分類方法可以有多種不同的分類。研究內(nèi)容的廣泛性決定了實現(xiàn)網(wǎng)絡(luò)信息安全問題的復雜性。

而通過有效的網(wǎng)絡(luò)信息安全風險因素分析，就能夠為此復雜問題的解決找到一個考慮問題的立足點，能夠?qū)�復雜的問題量化，同時，也為能通過其他方法如人工智能網(wǎng)絡(luò)方法解決問題提供依據(jù)和基礎(chǔ)。

網(wǎng)絡(luò)信息安全的風險因素主要有以下6大類：（1）自然界因素，如地震、火災、風災、水災、雷電等；（2）社會因素，主要是人類社會的各種活動，如暴力、戰(zhàn)爭、盜竊等；（3）網(wǎng)絡(luò)硬件的因素，如機房包括交換機、路由器、服務器等受電力、溫度、濕度、灰塵、電磁干擾等影響；（4）軟件的因素，包括機房設(shè)備的管理軟件、機房服務器與用戶計算機的操作系統(tǒng)、各種服務器的數(shù)據(jù)庫配置的合理性以及其他各種應用軟件如殺毒軟件、防火墻、工具軟件等；（5）人為的因素，主要包括網(wǎng)絡(luò)信息使用者和參與者的各種行為帶來的影響因素，如操作失誤、數(shù)據(jù)泄露、惡意代碼、拒絕服務、騙取口令、木馬攻擊等；（6）其他因素，包括政府職能部門的監(jiān)管因素、有關(guān)部門對相關(guān)法律法規(guī)立法因素、教育部門對相關(guān)知識的培訓因素、宣傳部門對相關(guān)安全內(nèi)容的宣傳因素等。這些因素對于網(wǎng)絡(luò)信息安全均會產(chǎn)生直接或者間接的影響。

3．安全風險評估方法

3.1　定制個性化的評估方法

雖然已經(jīng)有許多標準評估方法和流程，但在實踐過程中，不應只是這些方法的套用和拷貝，而是以他們作為參考，根據(jù)企業(yè)的特點及安全風險評估的能力，進行“基因”重組，定制個性化的評估方法，使得評估服務具有可裁剪性和靈活性。評估種類一般有整體評估、IT安全評估、滲透測試、邊界評估、網(wǎng)絡(luò)結(jié)構(gòu)評估、脆弱性掃描、策略評估、應用風險評估等。

3.2　安全整體框架的設(shè)計

風險評估的目的，不僅在于明確風險，更重要的是為管理風險提供基礎(chǔ)和依據(jù)。作為評估直接輸出，用于進行風險管理的安全整體框架。但是由于不同企業(yè)環(huán)境差異、需求差異，加上在操作層面可參考的模板很少，使得整體框架應用較少。但是，企業(yè)至少應該完成近期　1～2　年內(nèi)框架，這樣才能做到有律可依。

3.3　多用戶決策評估

不同層面的用戶能看到不同的問題，要全面了解風險，必須進行多用戶溝通評估。將評估過程作為多用戶“決策”過程，對于了解風險、理解風險、管理風險、落實行動，具有極大的意義。事實證明，多用戶參與的效果非常明顯。多用戶“決策”評估，也需要一個具體的流程和方法。

3.4　敏感性分析

由于企業(yè)的系統(tǒng)越發(fā)復雜且互相關(guān)聯(lián)，使得風險越來越隱蔽。要提高評估效果，必須進行深入關(guān)聯(lián)分析，比如對一個老漏洞，不是簡單地分析它的影響和解決措施，而是要推斷出可能相關(guān)的其他技術(shù)和管理漏洞，找出病“根”，開出有效的“處方”。這需要強大的評估經(jīng)驗知識庫支撐，同時要求評估者具有敏銳的分析能力。

3.5　集中化決策管理

安全風險評估需要具有多種知識和能力的人參與，對這些能力和知識的管理，有助于提高評估的效果。集中化決策管理，是評估項目成功的保障條件之一，它不僅是項目管理問題，而且是知識、能力等“基因”的組合運用。必須選用具有特殊技能的人，去執(zhí)行相應的關(guān)鍵任務。如控制臺審計和滲透性測試，由不具備攻防經(jīng)驗和知識的人執(zhí)行，就達不到任何效果。

3.6　評估結(jié)果管理

安全風險評估的輸出，不應是文檔的堆砌，而是一套能夠進行記錄、管理的系統(tǒng)。它可能不是一個完整的風險管理系統(tǒng)，但至少是一個非常重要的可管理的風險表述系統(tǒng)。企業(yè)需要這樣的評估管理系統(tǒng)，使用它來指導評估過程，管理評估結(jié)果，以便在管理層面提高評估效果。

4．風險評估的過程

4.1　前期準備階段

主要任務是明確評估目標，確定評估所涉及的業(yè)務范圍，簽署相關(guān)合同及協(xié)議，接收被評估對象已存在的相關(guān)資料。展開對被評估對象的調(diào)查研究工作。

4.2　中期現(xiàn)場階段

編寫測評方案，準備現(xiàn)場測試表、管理問卷，展開現(xiàn)場階段的測試和調(diào)查研究階段。

4.3　后期評估階段

撰寫系統(tǒng)測試報告。進行補充調(diào)查研究，評估組依據(jù)系統(tǒng)測試報告和補充調(diào)研結(jié)果形成最終的系統(tǒng)風險評估報告。

5．風險評估的錯誤理解

（1）　不能把最終的系統(tǒng)風險評估報告認為是結(jié)果唯一。

（2）不能認為風險評估可以發(fā)現(xiàn)所有的安全問題。

（3）　不能認為風險評估可以一勞永逸的解決安全問題。

（4）不能認為風險評估就是漏洞掃描。

（5）不能認為風險評估就是　IT部門的工作，與其它部門無關(guān)。

（6）　不能認為風險評估是對所有信息資產(chǎn)都進行評估。

6．結(jié)語

總之，風險評估可以明確信息系統(tǒng)的安全狀況和主要安全風險。風險評估是信息系統(tǒng)安全技術(shù)體系與管理體系建設(shè)的基礎(chǔ)。通過風險評估及早發(fā)現(xiàn)安全隱患并采取相應的加固方案是信息系統(tǒng)安全工程的重要組成部分，是建立信息系統(tǒng)安全體系的基礎(chǔ)和前提。加強信息安全風險評估工作是當前信息安全工作的客觀需要和緊迫需求，但是，信息安全評估工作的實施也存在一定的難題，涉及信息安全評估的行業(yè)或系統(tǒng)各不相同，并不是所有的評估方法都適用于任何一個行業(yè)，要選擇合適的評估方法，或開發(fā)適合于某一特定行業(yè)或系統(tǒng)的特定評估方法，是當前很現(xiàn)實的問題，也會成為下一步研究的重點。

參考文獻：

[1] 王毅剛 , 吳昌倫. 信息安全風險評估的策劃[J]. 信息技術(shù)與標準化 , 2004,(09)

[2] 賈穎禾. 信息安全風險評估[J]. 中國計算機用戶 , 2004,(24)

[3] 楊潔. 層次化的企業(yè)信息系統(tǒng)風險分析方法研究[J]. 軟件導刊 , 2007,(03)

[4] 楊晨. 建立健全信息安全風險評估工作機制勢在必行——信息安全專家趙戰(zhàn)生訪談[J]. 當代通信 , 2004,(22)

信息安全風險評估范文第4篇

[關(guān)鍵詞] 中小企業(yè)；信息安全；風險評估

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2023 . 21. 043

[中圖分類號] TP309 [文獻標識碼] A [文章編號] 1673 - 0194（2023）21- 0090- 02

信息安全風險評估是以風險管理為基礎(chǔ)，通過科學的方法和手段，對企業(yè)信息系統(tǒng)所面臨的威脅與存在的脆弱性進行全面分析，以安全事故對企業(yè)生產(chǎn)經(jīng)營有可能帶來的危害展開評估，進而制定出有效的防御及整改措施[1]。信息安全風險評估在企業(yè)信息安全保障體系中占據(jù)著十分重要的地位，其不但是重要的評價方法，同時也是利于企業(yè)決策的有效機制。如果缺乏準確及時的風險評估，便不能準確的判斷出企業(yè)所存在的信息安全問題，因此加強企業(yè)信息安全風險評估，對每一個中小企業(yè)來說，都意義重大。

1 中小企業(yè)信息安全評估方法

為了進一步評估信息系統(tǒng)的安全風險，多種風險評估方法被開發(fā)出來并在企業(yè)中得以運用。定性評估法，定量評估法以及半定量評估法是目前較為常用的幾種方法。風險評估中的定量評估方法，主要是結(jié)合企業(yè)特點，根據(jù)評估內(nèi)容和評估流程，從眾多的信息系統(tǒng)、人員和設(shè)備中，利用分類分別計算比例的方法，對評估對象合理選定，并進行數(shù)量采樣[2]。并在此基礎(chǔ)上，分析企業(yè)信息系統(tǒng)中資產(chǎn)價值、威脅性以及脆弱性三者之間存在的函數(shù)關(guān)系，從而根據(jù)企業(yè)實際情況選取恰當?shù)娘L險計算方法，合理計算出企業(yè)信息安全風險評估數(shù)值。本文認為定量方法對當前的中小企業(yè)來說更具實用價值，主要可從風險計算方法、威脅可能性量化賦值方法著手。

1.1 風險計算方法

后果（Consequence）及可能性（Likelihood）是風險具有的兩個基本屬性。風險對信息系統(tǒng)的影響，說到底也是這兩個因素所造成的。資產(chǎn)的不同自然也使其面臨的主要威脅存在差異。而隨著威脅可以利用的、資產(chǎn)存在的弱點數(shù)量的增加會增加風險的可能性，隨著弱點嚴重級別的提高會增加一該資產(chǎn)面臨風險的后果。通常來說， 某項資產(chǎn)風險的可能性為資產(chǎn)脆弱性與存在威脅的可能性的函數(shù)，同時風險后果則為資產(chǎn)價值（影響）的函數(shù)。本論文采用如下算式來得到資產(chǎn)的風險賦值：

風險值=資產(chǎn)價值×威脅可能性×資產(chǎn)脆弱性

上述公式主要考慮到各參數(shù)采取的取值并不十分精確，因而加入了以往的經(jīng)驗和判斷，在國際中對此類數(shù)據(jù)則通常采用數(shù)學乘法或矩陣等方法。而采用線性相乘，則主要是為了方便進行計算。企業(yè)實施風險分析可以從風險信息和數(shù)據(jù)，進行不同程度的改進。并根據(jù)計算出的風險值的數(shù)值范圍，確定相應的風險等級。風險數(shù)值與風險等級對應的關(guān)系見表1。

1.2 脆弱性量化賦值方法

脆弱性和威脅所存在的對應關(guān)系，應在評估時充分考慮到，要知道相對應的脆弱性是威脅起作用的基本因素，因此脆弱性與威脅基本上是通過一一對應的形式呈現(xiàn)出來的。對脆弱性大小的評定需要結(jié)合評估采集的調(diào)研結(jié)果、安全漏洞掃描結(jié)果以及人工安全檢查結(jié)果。參照國際通行做法和專家經(jīng)驗，將資產(chǎn)存在的脆弱性分為5個等級，分別是很高（VH）、高（H）、中（M）、低（L）、可忽略（N），并且從高到低分別賦值5-1，具體參照表2。

威脅可能性屬性非常難以度量.它依賴于具體的資產(chǎn)、弱點。并且這兩個屬性都和時間有關(guān)系。在威脅評估過程中，評估者的專家經(jīng)驗非常重要。

2 結(jié) 語

目前，信息系統(tǒng)已經(jīng)被廣泛運用到中小企業(yè)的日常管理工作中，對其的重視程度也越來越高。對中小企業(yè)來說，定期進行信息安全風險評估是信息安全工作得以順利實施的有效保障，通過有效的信息安全風險評估方法則是科學合理地開展信息安全風險評估的前提條件。因此，新形勢下中小企業(yè)的信息安全風險評估工作必須要做到與時俱進，不斷創(chuàng)新，從而以適應快速發(fā)展的社會需求。

主要參考文獻

信息安全風險評估范文第5篇

關(guān)鍵詞：信息系統(tǒng)；安全風險；研究進展

一、國外研究進展

國外對動態(tài)風險評估研究主要包括動態(tài)風險評估的體系架構(gòu)、工具和關(guān)鍵技術(shù)等。在動態(tài)風險評估的體系架構(gòu)方面，1999年Tim Bass首次提出了網(wǎng)絡(luò)安全態(tài)勢感知概念，隨即又提出了基于多傳感器數(shù)據(jù)融合的入侵檢測框架，并把該框架用于下一代入侵檢測系統(tǒng)和網(wǎng)絡(luò)安全態(tài)勢感知系統(tǒng)，采用該框架實現(xiàn)入侵行為檢測、入侵率計算、入侵者身份和入侵者行為識別、態(tài)勢評估以及威脅評估等功能。StephenG. Batsell，JasonShifflet等人也提出了類似的模型。美國國防部提出了JDL（Joint Director of Laboratories）模型的網(wǎng)絡(luò)態(tài)勢感知總體框架結(jié)構(gòu)，此模型主要包括多源異構(gòu)數(shù)據(jù)采集、數(shù)據(jù)預處理、事件關(guān)聯(lián)和目標識別、態(tài)勢評估、威脅評估、響應與預警、態(tài)勢可視化顯示以及過程優(yōu)化控制與管理等功能模塊。動態(tài)風險評估由于評估頻次高，因此應充分使用自動化工具代替人工勞動，力爭做到對實時風險的監(jiān)控和計算，同時抓住最重要風險來分析。在動態(tài)風險評估的工具方面，可依托的工具包括評估威脅的入侵檢測系統(tǒng)、異常流量分析系統(tǒng)、日志分析系統(tǒng)等，評估脆弱性的網(wǎng)絡(luò)掃描器、應用掃描工具等。

在動態(tài)風險評估的技術(shù)方面，動態(tài)風險評估領(lǐng)域涉及到數(shù)據(jù)采集、數(shù)據(jù)融合、態(tài)勢可視化等多項技術(shù)，網(wǎng)絡(luò)動態(tài)風險評估的難點主要集中在對態(tài)勢的正確理解和合理預測上。關(guān)于動態(tài)風險評估相關(guān)技術(shù)研究很多，例如在數(shù)據(jù)采集技術(shù)方面，按照數(shù)據(jù)源分為基于系統(tǒng)配置信息（服務設(shè)置系統(tǒng)中存在的漏洞等）和基于系統(tǒng)運行信息（IDS日志中顯示的系統(tǒng)所受攻擊狀況等）兩大類數(shù)據(jù)采集；在數(shù)據(jù)融合技術(shù)方面，Tim Bass首次提出將JDL模型直接運用到網(wǎng)絡(luò)態(tài)勢感知領(lǐng)域，這為以后數(shù)據(jù)融合技術(shù)在網(wǎng)絡(luò)態(tài)勢感知領(lǐng)域的應用奠定了基礎(chǔ)，Christos Siaterlis等人運用數(shù)據(jù)融合技術(shù)設(shè)計出檢測DDoS攻擊的模型；在態(tài)勢可視化技術(shù)方面，H.Koike和K.Ohno專門為分析Snort日志以及Syslog數(shù)據(jù)開發(fā)了SnortView系統(tǒng)，可以實現(xiàn)每2min對視圖的一次更新，并可以顯示4h以內(nèi)的報警數(shù)據(jù)。

二、國內(nèi)研究進展

我國對網(wǎng)絡(luò)和信息安全保障工作高度重視，了中辦發(fā)[2003]27號《國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意見》、中辦發(fā)[2006]11號《2006—2023年國家信息化發(fā)展戰(zhàn)略》等文件部署安全風險評估等安全工作，但是由于我國關(guān)于安全風險評估研究起步的較晚，目前國內(nèi)整體處于起步和借鑒階段，大多數(shù)研究主要面向信息系統(tǒng)，針對電信網(wǎng)絡(luò)的特點進行風險評估的研究和應用較少。

在安全風險評估模型、方法和工具方面，我國雖然已經(jīng)有一些相關(guān)的文章和專著，但是也還局限在對已有國際模型、方法和工具的分析和模仿上，缺乏科學、有效、得到廣泛認可的方法和工具，尤其針對電信網(wǎng)的業(yè)務和網(wǎng)絡(luò)特點的可操作性強、得到普遍認可的風險評估方法和工具較少。

國內(nèi)對安全動態(tài)風險評估的研究還屬于起步階段，相關(guān)研究主要包括動態(tài)風險評估的體系架構(gòu)、相關(guān)關(guān)鍵技術(shù)等。在體系架構(gòu)方面，西安交通大學研究并實現(xiàn)了基于IDS和防火墻的集成化網(wǎng)絡(luò)安全監(jiān)控平臺，提出了基于統(tǒng)計分析的層次化（從上到下分為系統(tǒng)、主機、服務和攻擊/漏洞4個層次）安全態(tài)勢量化評估模型，采用了自下而上、先局部后整體的評估策略及相應計算方法，此方面也是在動態(tài)風險評估領(lǐng)域普遍采用的方法。北京理工大學信息安全與對抗技術(shù)研究中心研制了一套基于局域網(wǎng)絡(luò)的網(wǎng)絡(luò)安全態(tài)勢評估系統(tǒng)，由網(wǎng)絡(luò)安全風險狀態(tài)評估和網(wǎng)絡(luò)威脅發(fā)展趨勢預測兩部分組成，用于評估網(wǎng)絡(luò)設(shè)備及結(jié)構(gòu)的脆弱性、安全威脅水平等。在關(guān)鍵技術(shù)方面，安全領(lǐng)域?qū)＜荫T毅從我軍信息與網(wǎng)絡(luò)安全的角度出發(fā)，闡述了我軍積極開展網(wǎng)絡(luò)安全態(tài)勢感知研究的必要性和重要性，指出了多源傳感器數(shù)據(jù)融合和數(shù)據(jù)挖掘兩項關(guān)鍵技術(shù)。國防科技大學的胡華平等人提出了面向大規(guī)模網(wǎng)絡(luò)的入侵檢測與預警系統(tǒng)的基本框架及其關(guān)鍵技術(shù)與難點問題。另外，國內(nèi)也有一些科研機構(gòu)嘗試把數(shù)據(jù)融合技術(shù)應用到網(wǎng)絡(luò)安全領(lǐng)域，提出了應用數(shù)據(jù)融合技術(shù)的網(wǎng)絡(luò)安全分析評估系統(tǒng)、入侵檢測系統(tǒng)等。

但是總體來說，國內(nèi)在動態(tài)風險評估研究方面取得的成果有限，仍沒有成熟的、實用的技術(shù)或工具，更缺乏針對電信網(wǎng)進行動態(tài)風險評估的相關(guān)研究，現(xiàn)有研究成果還存在動態(tài)評估的實時性不強、采集的數(shù)據(jù)不夠豐富有效、對風險態(tài)勢的預測研究不夠等諸多問題。

參考文獻：

[1] 彭凌西;陳月峰;劉才銘;曾金全;劉孫俊;趙輝;;基于危險理論的網(wǎng)絡(luò)風險評估模型[J];電子科技大學學報;2007年06期

[2] 李波;;入侵檢測技術(shù)面臨的挑戰(zhàn)與未來發(fā)展趨勢[J];電子科技;2007年07期

[3] 丁麗萍;論計算機取證的原則和步驟[J];中國人民公安大學學報(自然科學版);2005年01期

[4] 趙冬梅;張玉清;馬建峰;;網(wǎng)絡(luò)安全的綜合風險評估[J];計算機科學;2004年07期