導(dǎo)言：作為寫作愛好者，不可錯(cuò)過(guò)為您精心挑選的10篇信息安全風(fēng)險(xiǎn)評(píng)估，它們將為您的寫作提供全新的視角，我們衷心期待您的閱讀，并希望這些內(nèi)容能為您提供靈感和參考。

篇1

信息產(chǎn)業(yè)的迅猛發(fā)展，使得信息化技術(shù)成為社會(huì)發(fā)展的必要組成部分，信息化技術(shù)為國(guó)民經(jīng)濟(jì)的發(fā)展注入了新鮮的活力，更加速了國(guó)名經(jīng)濟(jì)的發(fā)展和人民生活水平的提高。當(dāng)然，人們?cè)谙硎苄畔⒓夹g(shù)帶來(lái)的巨大便利時(shí)，也面臨著各種信息安全問(wèn)題帶來(lái)的威脅。這種信息安全事件帶來(lái)的影響是惡劣的，它將造成巨大的財(cái)產(chǎn)損失和信息系統(tǒng)的損害。因此，信息系統(tǒng)的安全問(wèn)題不得不引起社會(huì)和民眾的關(guān)注，完善信息系統(tǒng)的安全性，加強(qiáng)信息安全的風(fēng)險(xiǎn)評(píng)估成為亟待解決的問(wèn)題。

 

1 信息安全風(fēng)險(xiǎn)評(píng)估概述及必要性

 

1.1 信息安全風(fēng)險(xiǎn)評(píng)估概述

 

首先，信息安全風(fēng)險(xiǎn)，主要是指人為或自然的利用信息系統(tǒng)脆弱性操作威脅信息系統(tǒng)，以導(dǎo)致信息系統(tǒng)發(fā)生安全事件或造成一定消極影響的可能。而信息安全風(fēng)險(xiǎn)評(píng)估簡(jiǎn)單的理解，就是以減少信息安全風(fēng)險(xiǎn)為目的通過(guò)科學(xué)處理信息系統(tǒng)的方法對(duì)信息系統(tǒng)的保密性、完整性進(jìn)行評(píng)估。信息安全風(fēng)險(xiǎn)評(píng)估工作是一項(xiàng)保證信息系統(tǒng)相對(duì)安全的重要工作，必須科學(xué)的對(duì)信息系統(tǒng)的生命周期進(jìn)行評(píng)估，最大限度的保障網(wǎng)絡(luò)和信息的安全。

 

1.2 信息安全風(fēng)險(xiǎn)評(píng)估的必要性

 

信息安全評(píng)估是為了更好的保障信息系統(tǒng)的安全，以確保對(duì)信息化技術(shù)的正常使用。信息安全風(fēng)險(xiǎn)評(píng)估是信息系統(tǒng)安全管理的必要和關(guān)鍵的環(huán)節(jié)，因?yàn)樾畔⑾到y(tǒng)的安全管理必須建立在科學(xué)的風(fēng)險(xiǎn)評(píng)估基礎(chǔ)上，科學(xué)的風(fēng)險(xiǎn)評(píng)估有利于正確判斷信息系統(tǒng)的安全風(fēng)險(xiǎn)問(wèn)題，提供風(fēng)險(xiǎn)問(wèn)題的及時(shí)解決方案。

 

2 信息安全風(fēng)險(xiǎn)評(píng)估過(guò)程及方法

 

信息安全風(fēng)險(xiǎn)的評(píng)估過(guò)程極其復(fù)雜和規(guī)范。為了加強(qiáng)我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估工作的開展，這里有必要對(duì)風(fēng)險(xiǎn)評(píng)估的過(guò)程和方法給予提示和借鑒。風(fēng)險(xiǎn)評(píng)估的過(guò)程要求完整而準(zhǔn)確。具體有如下步驟：

 

1)風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備工作，即要確定信息系統(tǒng)資產(chǎn)，包含范圍、價(jià)值、評(píng)估團(tuán)隊(duì)、評(píng)估依據(jù)和方法等方面。要明確好這些資產(chǎn)信息，做好識(shí)別。2)對(duì)資產(chǎn)的脆弱性及威脅的識(shí)別工作，這是由于信息系統(tǒng)存在脆弱性的特點(diǎn)，所以要周密分析信息系統(tǒng)的脆弱點(diǎn)，統(tǒng)計(jì)分析信息系統(tǒng)發(fā)生威脅事件的可能性以及可能造成的損失。3)安全風(fēng)險(xiǎn)分析，這是較為重要的環(huán)節(jié)。主要是采用方法與工具確定威脅利用信息系統(tǒng)脆弱性導(dǎo)致安全事件發(fā)生的可能性，便于決策的提出。4)制定安全控制措施，主要有針對(duì)性的制定出控制威脅發(fā)生的措施，并確認(rèn)措施的有效性，最大限度的降低安全風(fēng)險(xiǎn)，確保信息系統(tǒng)的安全。5)措施實(shí)施的階段，主要是在有效監(jiān)督下實(shí)施安全措施，并及時(shí)發(fā)現(xiàn)問(wèn)題和改正。

 

對(duì)于信息安全風(fēng)險(xiǎn)評(píng)估的方法，國(guó)內(nèi)外進(jìn)行了很多不同的方法嘗試。方法一般都遵循風(fēng)險(xiǎn)評(píng)估的流程，只是在手段和計(jì)算方法上有差異，但是分別都有一定的評(píng)估效果。主要采用：定性評(píng)估、定量評(píng)估、以及定性與定量相結(jié)合的評(píng)估，最后的方法是一個(gè)互補(bǔ)的評(píng)估方式，能達(dá)到評(píng)估的最佳效果。

 

3 我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估發(fā)展現(xiàn)狀

 

較美國(guó)等西方國(guó)家關(guān)于信息安全系統(tǒng)風(fēng)險(xiǎn)評(píng)估的發(fā)展歷史和技術(shù)研究，我國(guó)起步比較晚且落后于發(fā)達(dá)國(guó)家。但近年來(lái)，隨著社會(huì)各界對(duì)信息系統(tǒng)安全的重視，我國(guó)開始在信息系統(tǒng)安全管理工作上加大力度，并把信息系統(tǒng)的安全評(píng)估工作放在重要的位置，不斷創(chuàng)新研究，取得了高效成果。但是，就我國(guó)目前的信息安全風(fēng)險(xiǎn)評(píng)估工作看來(lái)，還存在諸多問(wèn)題。

 

1)我國(guó)部分企業(yè)、組織和部門對(duì)于信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估沒有引起絕對(duì)的重視，沒有大力普及風(fēng)險(xiǎn)評(píng)估工作。由于領(lǐng)導(dǎo)者及員工的信息安全防范意識(shí)不強(qiáng)以及自身素質(zhì)水平的影響，導(dǎo)致對(duì)風(fēng)險(xiǎn)評(píng)估的流程及必要性都不了解，就不太重視對(duì)企業(yè)信息系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估工作。

 

2)我國(guó)缺乏信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的規(guī)范化標(biāo)準(zhǔn)。我國(guó)目前的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估工作的開展，大部分依靠參考國(guó)際標(biāo)準(zhǔn)提供服務(wù)，只注重效仿，而缺乏對(duì)我國(guó)信息系統(tǒng)安全風(fēng)險(xiǎn)的實(shí)際狀況的研究，沒有針對(duì)性，得不到應(yīng)有的效果。

 

3)我國(guó)缺乏行之有效的理論和技術(shù)，也缺乏實(shí)踐的經(jīng)驗(yàn)。由于科技水平的相對(duì)落后，對(duì)于信息系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估缺乏合適的理論、方法、技術(shù)等。我國(guó)僅依靠深化研究IT技術(shù)共性風(fēng)險(xiǎn)，而沒有針對(duì)性的行業(yè)信息個(gè)性風(fēng)險(xiǎn)評(píng)估，這是沒有聯(lián)系實(shí)際的舉措，是不能真正將信息系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估落實(shí)到位的。

 

4)在對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)的額評(píng)估中角色的責(zé)任不明確。這應(yīng)該歸咎于領(lǐng)導(dǎo)的和員工的不符責(zé)任及素質(zhì)水平的落后。對(duì)風(fēng)險(xiǎn)評(píng)估理論缺乏，那么就會(huì)導(dǎo)致參與評(píng)估工作領(lǐng)導(dǎo)和員工角色不明確，領(lǐng)導(dǎo)對(duì)評(píng)估工作的指導(dǎo)角色以及責(zé)任不明確，員工則對(duì)評(píng)估工作流程方法不理解，都大大降低了風(fēng)險(xiǎn)評(píng)估的工作效率。

 

以上種種關(guān)于信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的現(xiàn)狀問(wèn)題反映出我國(guó)在對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的工作還缺乏很多理論和實(shí)踐的指導(dǎo)。我國(guó)的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估工作的開展力度還遠(yuǎn)不夠，那些在信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估工作的成果還遠(yuǎn)遠(yuǎn)達(dá)不到評(píng)估工作的標(biāo)準(zhǔn)。

 

4 強(qiáng)化信息安全風(fēng)險(xiǎn)評(píng)估的對(duì)策

 

4.1 加強(qiáng)對(duì)信息安全風(fēng)險(xiǎn)評(píng)估的重視

 

信息化技術(shù)對(duì)于每一個(gè)企事業(yè)單位都是至關(guān)重要的，企業(yè)在對(duì)工作任務(wù)的執(zhí)行和管理中都必須用到信息化技術(shù)，因此，保證信息系統(tǒng)的安全性對(duì)于企業(yè)的發(fā)展至關(guān)重要。企業(yè)、組織和部門要加強(qiáng)對(duì)信息安全風(fēng)險(xiǎn)評(píng)估的重視，強(qiáng)化風(fēng)險(xiǎn)意識(shí)，將信息安全風(fēng)險(xiǎn)評(píng)估作為一項(xiàng)長(zhǎng)期的工作來(lái)開展。

 

4.2 完善我國(guó)信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的規(guī)范化標(biāo)準(zhǔn)

 

上文中指出我國(guó)目前的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估工作大部分依靠國(guó)際標(biāo)準(zhǔn)在進(jìn)行，國(guó)內(nèi)沒有一個(gè)統(tǒng)一的評(píng)估標(biāo)準(zhǔn)。因此，我國(guó)應(yīng)該根據(jù)企業(yè)各種標(biāo)準(zhǔn)的側(cè)重點(diǎn)，自主創(chuàng)新研究，創(chuàng)造出自己的標(biāo)準(zhǔn)技術(shù)體系，而不再一味的去效仿他國(guó)。只有這樣，我國(guó)的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估才能得到迅猛的提高與發(fā)展，才能保證國(guó)家信息化的安全。

 

4.3 加強(qiáng)對(duì)評(píng)估專業(yè)人才的培養(yǎng)

 

信息化技術(shù)是一項(xiàng)非常專業(yè)的技術(shù)，只有擁有專業(yè)知識(shí)和技能的高科技人才才能控制和把握。信息安全風(fēng)險(xiǎn)的評(píng)估工作上則更需要擁有專業(yè)技能和業(yè)務(wù)水平的人才，他們必須對(duì)信息化技術(shù)相當(dāng)了解和精通，對(duì)風(fēng)險(xiǎn)評(píng)估的方法、手段、模型、流程必須熟練。因此，企事業(yè)單位要加強(qiáng)對(duì)專業(yè)人才的培養(yǎng)，定期進(jìn)行業(yè)務(wù)技能培訓(xùn)，鼓勵(lì)人才的自主學(xué)習(xí)，不斷提高自身的能力，為確保企業(yè)信息安全評(píng)估工作的高效發(fā)展及信息安全貢獻(xiàn)力量。

 

4.4 加強(qiáng)科技創(chuàng)新，增強(qiáng)評(píng)估的可操作性

 

我國(guó)的科技水平較西方國(guó)家有很大的差距，因此在對(duì)信息安全風(fēng)險(xiǎn)的評(píng)估工作中，也存在理論和技術(shù)上的差距。我國(guó)應(yīng)該不斷的加強(qiáng)科研力度，在理論和技術(shù)上加以完善，在評(píng)估工具上改進(jìn)，以確保評(píng)估工作的高效開展。信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估是一個(gè)過(guò)程體系，必須抓好每一環(huán)節(jié)的技術(shù)性，在依據(jù)實(shí)際狀況下進(jìn)行風(fēng)險(xiǎn)評(píng)估。

 

4.5 明確評(píng)估工作的職責(zé)劃分

 

信息安全風(fēng)險(xiǎn)評(píng)估工作是復(fù)雜的，每一個(gè)流程都需要投入一定的人力、物力和財(cái)力。針對(duì)人力這一方面，企業(yè)單位應(yīng)該明確劃分評(píng)估工作人員的職責(zé)范圍，管理者要發(fā)揮好領(lǐng)導(dǎo)監(jiān)督作用，有效指導(dǎo)評(píng)估工作的開展，員工則有效發(fā)揮自身的作用和能力。進(jìn)而在每一環(huán)節(jié)工作人員共同協(xié)作下，完成評(píng)估工作的各項(xiàng)流程，并達(dá)到預(yù)期的成效。

 

5 結(jié)束語(yǔ)

 

篇2

關(guān)鍵詞：

信息安全；自評(píng)估；風(fēng)險(xiǎn)評(píng)估；模型設(shè)計(jì)

企業(yè)信息安全風(fēng)險(xiǎn)評(píng)估主要有2種模式，即他評(píng)估和自評(píng)估。相比較而言，自評(píng)估展現(xiàn)出越來(lái)越多的優(yōu)點(diǎn)，比如外部依賴性小、投入費(fèi)用低、評(píng)估周期短、次生風(fēng)險(xiǎn)低和可以提高內(nèi)部安全意識(shí)等。除此之外，信息安全風(fēng)險(xiǎn)的動(dòng)態(tài)化決定信息安全評(píng)估工作應(yīng)是長(zhǎng)期持續(xù)的，大部分的內(nèi)部信息安全風(fēng)險(xiǎn)評(píng)估內(nèi)容企業(yè)可采用自評(píng)估方式來(lái)完成。但信息安全風(fēng)險(xiǎn)評(píng)估的專業(yè)性、技術(shù)性、標(biāo)準(zhǔn)性比較高，企業(yè)難以掌握復(fù)雜的評(píng)估技術(shù)和方法。本文以企業(yè)業(yè)務(wù)為出發(fā)點(diǎn)，對(duì)信息安全風(fēng)險(xiǎn)評(píng)估基本模型進(jìn)行優(yōu)化，設(shè)計(jì)了一個(gè)更適用于企業(yè)依托自身力量來(lái)有效開展自評(píng)估的實(shí)施模型，以提高企業(yè)信息安全風(fēng)險(xiǎn)防護(hù)能力。

1信息安全風(fēng)險(xiǎn)評(píng)估基本模型

對(duì)風(fēng)險(xiǎn)評(píng)估模型的研究一直是信息安全風(fēng)險(xiǎn)評(píng)估領(lǐng)域的研究熱點(diǎn)之一。風(fēng)險(xiǎn)評(píng)估基本模型是一種基于資產(chǎn)、威脅和脆弱性的信息安全風(fēng)險(xiǎn)評(píng)估模型。其中，資產(chǎn)的評(píng)估主要是對(duì)資產(chǎn)進(jìn)行相對(duì)估價(jià)，估價(jià)準(zhǔn)則依賴于對(duì)其影響范圍的分析；威脅評(píng)估是對(duì)資產(chǎn)所受威脅發(fā)生可能性和威脅嚴(yán)重程度的評(píng)估；脆弱性評(píng)估是對(duì)資產(chǎn)脆弱程度的評(píng)估，也是對(duì)資產(chǎn)被威脅、利用成功的可能性的評(píng)估。信息安全風(fēng)險(xiǎn)評(píng)估基本模型的評(píng)估過(guò)程就是對(duì)資產(chǎn)信息、威脅信息和脆弱性信息進(jìn)行綜合分析評(píng)估并且生成風(fēng)險(xiǎn)信息的過(guò)程，包含確定評(píng)估范圍、資產(chǎn)識(shí)別階段、安全威脅/脆弱性評(píng)估、風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)管理等階段。基于信息安全風(fēng)險(xiǎn)評(píng)估基本模型，很多學(xué)者從不同角度和目的做了優(yōu)化和完善。但是，信息安全風(fēng)險(xiǎn)評(píng)估模型的研究還處于探索和完善階段，已有的研究存在一些缺陷，主要表現(xiàn)為以下3點(diǎn)：①缺乏對(duì)評(píng)估內(nèi)容的逐層細(xì)化，難以評(píng)價(jià)和量化各要素，可操作性比較差；②缺乏對(duì)風(fēng)險(xiǎn)評(píng)估基本要素屬性的綜合思考，難以體現(xiàn)評(píng)估要素與企業(yè)業(yè)務(wù)的關(guān)系；③大部分模型比較復(fù)雜，評(píng)估方法和流程操作起來(lái)費(fèi)時(shí)費(fèi)力，企業(yè)難以采用。

2基于基本模型的企業(yè)信息安全自評(píng)估模型

針對(duì)信息安全風(fēng)險(xiǎn)評(píng)估模型的不足，本文綜合考慮企業(yè)自身的業(yè)務(wù)和內(nèi)部約束條件，在基本模型和相關(guān)研究成果的基礎(chǔ)上，提出更加簡(jiǎn)單、有效的企業(yè)信息安全風(fēng)險(xiǎn)自評(píng)估模型。本文認(rèn)為，企業(yè)信息安全風(fēng)險(xiǎn)自評(píng)估模型應(yīng)遵循自主、簡(jiǎn)單、規(guī)范性、可行性和可擴(kuò)展性的原則，基本思路是從企業(yè)業(yè)務(wù)出發(fā)，多角度研究自評(píng)估模型中資產(chǎn)、威脅、脆弱性的關(guān)系和指標(biāo)，應(yīng)用相關(guān)統(tǒng)計(jì)分析方法統(tǒng)計(jì)，運(yùn)用層次分析法（AHP）評(píng)價(jià)、量化相關(guān)要素和風(fēng)險(xiǎn)，最終構(gòu)建一個(gè)科學(xué)、合理、可操作的企業(yè)自評(píng)估模型。在此過(guò)程中，需要解決3方面的問(wèn)題：①明確評(píng)估的對(duì)象、內(nèi)容和流程；②構(gòu)建評(píng)價(jià)方法，統(tǒng)一評(píng)估和度量風(fēng)險(xiǎn)基本要素；③統(tǒng)一不同層面、角度的評(píng)估結(jié)果。

2.1基于AHP的信息安全風(fēng)險(xiǎn)要素度量方法

AHP（AnalyticHierarchyProcess，層次分析法）是一種定性分析與定量分析相結(jié)合的多目標(biāo)決策分析方法，其基本步驟是：①分析問(wèn)題，建立遞階結(jié)構(gòu)（評(píng)價(jià)模型）；②構(gòu)造比較判斷矩陣；③層次單排序；④一致性檢驗(yàn)；⑤層次總排序與一致性檢驗(yàn)；⑥選擇最優(yōu)的解決方案。資產(chǎn)、威脅、脆弱性作為信息安全風(fēng)險(xiǎn)自評(píng)估模型的3個(gè)基本要素，需要分別識(shí)別和分析，并提煉出各自的評(píng)價(jià)指標(biāo)。本文結(jié)合已有的理論和實(shí)踐成果，從自主性、簡(jiǎn)單性、可行性和科學(xué)性原則出發(fā)，基于相關(guān)標(biāo)準(zhǔn)、企業(yè)環(huán)境和企業(yè)業(yè)務(wù)影響分析，提出信息資產(chǎn)的評(píng)價(jià)因素應(yīng)包含經(jīng)濟(jì)、名譽(yù)、法律法規(guī)、業(yè)務(wù)運(yùn)營(yíng)、社會(huì)秩序、商業(yè)利益和個(gè)人利益，等等，威脅可能性評(píng)價(jià)指標(biāo)應(yīng)包含威脅攻擊力、威脅動(dòng)機(jī)、資產(chǎn)誘因和威脅頻率等，脆弱性嚴(yán)重程度賦值的評(píng)價(jià)因素應(yīng)包含可用性、機(jī)密性和完整性。根據(jù)資產(chǎn)受到損害時(shí)對(duì)其評(píng)價(jià)因素帶來(lái)的損失為資產(chǎn)價(jià)值賦值（比如從1～4取值），數(shù)值越大，表明資產(chǎn)價(jià)值越高。得到各評(píng)價(jià)因素的綜合分值后，分值最大的為該資產(chǎn)的價(jià)值，即資產(chǎn)價(jià)值為A＝max（i）。根據(jù)威脅評(píng)價(jià)指標(biāo)和脆弱性評(píng)價(jià)因素，利用AHP方法建立威脅、脆弱性評(píng)價(jià)體系，體系由目標(biāo)層、準(zhǔn)則層和指標(biāo)層（方案層）構(gòu)成。為了方便對(duì)不同威脅發(fā)生可能性概率、不同脆弱性的嚴(yán)重程度進(jìn)行類比、度量，使用統(tǒng)一的度量標(biāo)準(zhǔn)，采用相對(duì)等級(jí)的方式處理評(píng)價(jià)結(jié)果（比如從1～4取值），數(shù)值越大，威脅發(fā)生的可能性越高，帶來(lái)的損害越大。通過(guò)AHP用數(shù)量形式表達(dá)和處理個(gè)人主觀判斷結(jié)果，采用專家和團(tuán)隊(duì)評(píng)分進(jìn)一步比較各要素的重要性，并做一致性檢驗(yàn)，最終確定各要素的值。

2.2企業(yè)信息安全自評(píng)估風(fēng)險(xiǎn)計(jì)算

在對(duì)資產(chǎn)價(jià)值、威脅、脆弱性分析和量化后，還要確定各要素之間的組合方式和具體的計(jì)算方法。《信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》（2007）對(duì)風(fēng)險(xiǎn)值的計(jì)算提出了如下函數(shù)：風(fēng)險(xiǎn)值＝R（A，T，V）＝R（L（T，V），F(xiàn)（Ia，Va））.（1）式（1）中：R為安全風(fēng)險(xiǎn)計(jì)算函數(shù)；A為資產(chǎn)；T為威脅；V為脆弱性；L為威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件的可能性；F為安全事件發(fā)生后造成的損失；Ia為安全事件所作用的資產(chǎn)價(jià)值；Va為脆弱性嚴(yán)重程度。信息安全風(fēng)險(xiǎn)值的計(jì)算方法主要有矩陣法、相乘法和預(yù)先價(jià)值矩陣查表法等，并且可以將多種方法結(jié)合使用。因?yàn)橄喑朔ú僮骱?jiǎn)單，所以，在風(fēng)險(xiǎn)分析中的應(yīng)用比較廣泛。該方法是一種定量的計(jì)算方法，主要思路是利用2個(gè)相關(guān)要素值的乘積計(jì)算出結(jié)果要素的值。按照簡(jiǎn)單性、科學(xué)性原則，對(duì)于企業(yè)自評(píng)估，本文認(rèn)為，相乘法比較適合企業(yè)使用，但不限于該方法。根據(jù)相乘法，企業(yè)信息安全風(fēng)險(xiǎn)值的計(jì)算過(guò)程是：①計(jì)算威脅利用資產(chǎn)的脆弱性導(dǎo)致安全事件的可能性，即L＝L（T，V）＝T×V；②計(jì)算安全事件發(fā)生后造成的損失，即F＝F（Ia，Va）＝Ia×Va；③計(jì)算風(fēng)險(xiǎn)值，即R＝R（L，F(xiàn)）＝L×F.

2.3企業(yè)信息安全自評(píng)估模型和流程設(shè)計(jì)

企業(yè)信息安全風(fēng)險(xiǎn)自評(píng)估的基本目的是依據(jù)企業(yè)自身業(yè)務(wù)，識(shí)別出信息系統(tǒng)中存在的主要安全風(fēng)險(xiǎn)，并排列優(yōu)先級(jí)，為風(fēng)險(xiǎn)信息計(jì)算提供數(shù)據(jù)支撐，進(jìn)而為提出風(fēng)險(xiǎn)應(yīng)對(duì)措施提供建議。基于上述方法，本文提出了企業(yè)信息安全風(fēng)險(xiǎn)自評(píng)估模型，如圖1所示。企業(yè)信息安全風(fēng)險(xiǎn)自評(píng)估模型的實(shí)施分為范圍確定、資產(chǎn)識(shí)別與量化、威脅分析、脆弱性分析、風(fēng)險(xiǎn)分析與計(jì)算、風(fēng)險(xiǎn)應(yīng)對(duì)建議6個(gè)階段，每個(gè)階段的具體任務(wù)如圖2所示。本文提出的自評(píng)估模型綜合了企業(yè)自評(píng)估的約束條件、風(fēng)險(xiǎn)評(píng)估的基本原理、關(guān)鍵環(huán)節(jié)與流程、基本要素度量等，具有以下5個(gè)特點(diǎn)：①模型提供了統(tǒng)一的資產(chǎn)、威脅、脆弱性3個(gè)基本要素的度量和評(píng)價(jià)方法，依據(jù)模型中的評(píng)價(jià)指標(biāo)可以進(jìn)行量化和排序。②模型將企業(yè)業(yè)務(wù)與風(fēng)險(xiǎn)評(píng)估結(jié)合起來(lái)，體現(xiàn)了IT服務(wù)企業(yè)、服務(wù)業(yè)務(wù)的理念，在一定程度上反映出了信息安全風(fēng)險(xiǎn)評(píng)估對(duì)業(yè)務(wù)的影響程度和對(duì)企業(yè)的價(jià)值。③模型滿足信息安全的動(dòng)態(tài)性要求，適應(yīng)企業(yè)業(yè)務(wù)不斷發(fā)展和調(diào)整的需要。當(dāng)業(yè)務(wù)調(diào)整時(shí)，企業(yè)僅需分析業(yè)務(wù)信息流，識(shí)別出相關(guān)資產(chǎn)、威脅和脆弱性等。④模型滿足信息安全的持續(xù)性要求，企業(yè)可建立相關(guān)制度，將自評(píng)估設(shè)立為日常性工作。當(dāng)業(yè)務(wù)無(wú)法調(diào)整時(shí)，自評(píng)估活動(dòng)僅需識(shí)別和分析新的脆弱性和威脅信息，從而節(jié)省大量資源。⑤模型具有較強(qiáng)的適應(yīng)性，適用于不同類型的企業(yè)，企業(yè)可根據(jù)實(shí)際情況裁減和優(yōu)化，根據(jù)各自的偏好選擇風(fēng)險(xiǎn)計(jì)算方法。

篇3

一、引言

 

信息時(shí)代為國(guó)家和個(gè)人提供了全新的發(fā)展機(jī)遇和生活空間，但也帶來(lái)了新的安全威脅。信息安全的威脅可能來(lái)自內(nèi)部的破壞、外部的攻擊、內(nèi)外勾結(jié)的破壞和信息系統(tǒng)自身的意外事故等，因此我們應(yīng)按照風(fēng)險(xiǎn)管理的思想，對(duì)可能的威脅和需要保護(hù)的信息資源進(jìn)行風(fēng)險(xiǎn)分析，以便采取安全措施，妥善應(yīng)對(duì)可能發(fā)生的安全風(fēng)險(xiǎn)。信息安全風(fēng)險(xiǎn)評(píng)估是依據(jù)國(guó)家信息安全風(fēng)險(xiǎn)評(píng)估有關(guān)管理要求和技術(shù)標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其存儲(chǔ)、處理和傳輸?shù)男畔⒌臋C(jī)密性、完整性和可用性等安全屬性進(jìn)行科學(xué)、公正的綜合評(píng)價(jià)的過(guò)程。根據(jù)ISO27001的管理思想，信息安全風(fēng)險(xiǎn)評(píng)估在信息安全管理的PDCA環(huán)中是一個(gè)很重要的過(guò)程，如何處理信息安全風(fēng)險(xiǎn)評(píng)估所產(chǎn)生的數(shù)據(jù)，是每一個(gè)信息安全管理者都非常迫切需要解決的一個(gè)問(wèn)題。最好的解決方法是開發(fā)出一套實(shí)用性強(qiáng)、可操作性高的系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估管理工具。

 

二、風(fēng)險(xiǎn)評(píng)估過(guò)程

 

信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的設(shè)計(jì)是針對(duì)組織開展信息安全風(fēng)險(xiǎn)評(píng)估的過(guò)程。這個(gè)過(guò)程包括對(duì)信息系統(tǒng)中的安全風(fēng)險(xiǎn)識(shí)別、信息收集、評(píng)估和報(bào)告等。風(fēng)險(xiǎn)評(píng)估的實(shí)施過(guò)程如下頁(yè)圖1。

 

1.評(píng)估前準(zhǔn)備。在風(fēng)險(xiǎn)評(píng)估實(shí)施前，需要對(duì)以下工作進(jìn)行確定：確定風(fēng)險(xiǎn)評(píng)估的目標(biāo)、確定風(fēng)險(xiǎn)評(píng)估的范圍、組建風(fēng)險(xiǎn)評(píng)估團(tuán)隊(duì)、進(jìn)行系統(tǒng)調(diào)研、確定評(píng)估依據(jù)和方法、制定評(píng)估計(jì)劃和評(píng)估方案、獲得最高管理者對(duì)工作的支持。

 

2.資產(chǎn)識(shí)別。資產(chǎn)識(shí)別過(guò)程分為資產(chǎn)分類和資產(chǎn)評(píng)價(jià)兩個(gè)階段。資產(chǎn)分類是將單位的信息資產(chǎn)分為實(shí)物資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)、人員資產(chǎn)、服務(wù)資產(chǎn)和無(wú)形資產(chǎn)六類資產(chǎn)進(jìn)行識(shí)別;資產(chǎn)評(píng)價(jià)是對(duì)資產(chǎn)的三個(gè)安全屬性保密性、可用性及完整性分別等級(jí)評(píng)價(jià)及賦值，經(jīng)綜合評(píng)定后，得出資產(chǎn)的價(jià)值。

 

3.威脅識(shí)別。威脅識(shí)別主要工作是評(píng)估者需要從每項(xiàng)識(shí)別出的資產(chǎn)出發(fā)，找到可能遭受的威脅。識(shí)別威脅之后，還需要確定威脅發(fā)生的可能性。

 

4.脆弱性識(shí)別。評(píng)估者需要從每項(xiàng)識(shí)別出的資產(chǎn)和對(duì)應(yīng)的威脅出發(fā)，找到可能被利用的脆弱性。識(shí)別脆弱性之后，還需要確定弱點(diǎn)可被利用的嚴(yán)重性。

 

5.已有安全措施確認(rèn)。在識(shí)別脆弱性的同時(shí)，評(píng)估人員將對(duì)已采取的安全措施的有效性進(jìn)行確認(rèn)，評(píng)估其是否真正地降低了系統(tǒng)的脆弱性，抵御了威脅。

 

6.風(fēng)險(xiǎn)分析。風(fēng)險(xiǎn)評(píng)估中完成資產(chǎn)賦值、威脅評(píng)估、脆弱性評(píng)估后，在考慮已有安全措施的情況下，利用恰當(dāng)?shù)姆椒ㄅc工具確定威脅利用資產(chǎn)脆弱性發(fā)生安全事件的可能性，并結(jié)合資產(chǎn)的安全屬性受到破壞后的影響得出信息資產(chǎn)的風(fēng)險(xiǎn)。

 

三、系統(tǒng)設(shè)計(jì)

 

1.用角色設(shè)計(jì)。系統(tǒng)角色分為三種類型，各用戶在登錄后自動(dòng)轉(zhuǎn)入各自的操作頁(yè)面。A.超級(jí)管理員：擁有系統(tǒng)所有權(quán)限;B.評(píng)估項(xiàng)目管理員：可以對(duì)所負(fù)責(zé)的評(píng)估項(xiàng)目進(jìn)行管理，對(duì)評(píng)估人員進(jìn)行分工和權(quán)限管理;C.評(píng)估人員：負(fù)責(zé)由項(xiàng)目管理員分配的測(cè)評(píng)工作，將評(píng)估數(shù)據(jù)導(dǎo)入系統(tǒng)。

 

2.系統(tǒng)模型。根據(jù)信息安全風(fēng)險(xiǎn)評(píng)估管理的業(yè)務(wù)需求，我們構(gòu)建了以安全知識(shí)庫(kù)為支撐，以風(fēng)險(xiǎn)評(píng)估流程為系統(tǒng)主要業(yè)務(wù)流，以受測(cè)業(yè)務(wù)系統(tǒng)及其相關(guān)信息資產(chǎn)的風(fēng)險(xiǎn)評(píng)估要素為對(duì)象的信息安全風(fēng)險(xiǎn)評(píng)估綜合管理系統(tǒng)模型，系統(tǒng)模型如圖2所示。

 

3.系統(tǒng)功能設(shè)計(jì)。信息安全風(fēng)險(xiǎn)評(píng)估綜合管理系統(tǒng)的功能模塊包括：①風(fēng)險(xiǎn)評(píng)估項(xiàng)目管理：評(píng)估項(xiàng)目管理模塊包括評(píng)估項(xiàng)目的建立、項(xiàng)目列表、項(xiàng)目設(shè)置等功能。主要輸入項(xiàng)：項(xiàng)目名稱、評(píng)估時(shí)間、評(píng)估對(duì)象等;主要輸出項(xiàng)：項(xiàng)目計(jì)劃書。②信息安全需求調(diào)研管理：該模塊用于用戶填寫安全調(diào)研問(wèn)卷，為安全評(píng)估提供數(shù)據(jù)支持。主要輸入項(xiàng)：用戶ID、調(diào)查答案;主要輸出項(xiàng)：?jiǎn)柧順?biāo)題、調(diào)查題內(nèi)容。③資產(chǎn)識(shí)別。系統(tǒng)提供的資產(chǎn)識(shí)別，包括：硬件、軟件、數(shù)據(jù)等，根據(jù)業(yè)務(wù)系統(tǒng)對(duì)組織戰(zhàn)略的影響程度，對(duì)相關(guān)資產(chǎn)的重要性進(jìn)行評(píng)價(jià);主要輸入項(xiàng)：評(píng)估對(duì)象(信息資產(chǎn))、賦值規(guī)則;主要輸出項(xiàng)：資產(chǎn)識(shí)別匯總表、資產(chǎn)識(shí)別報(bào)告。④威脅識(shí)別。威脅識(shí)別：系統(tǒng)提供多種網(wǎng)絡(luò)環(huán)境的威脅模板，支持和幫助用戶進(jìn)行威脅識(shí)別和分析，并提供資產(chǎn)、脆弱性、威脅自動(dòng)關(guān)聯(lián)功能：主要輸入項(xiàng)：評(píng)估對(duì)象、賦值規(guī)則;主要輸出項(xiàng)：威脅識(shí)別匯總表、威脅識(shí)別報(bào)告。⑤脆弱性識(shí)別。脆弱性識(shí)別：系統(tǒng)可提供多種系統(tǒng)的脆弱性識(shí)別功能，包括：主機(jī)、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)設(shè)備等對(duì)象的脆弱性識(shí)別。系統(tǒng)支持常用漏洞掃描軟件掃描結(jié)果的導(dǎo)入，目前支持的掃描系統(tǒng)有：Nessus、NMap等，主機(jī)系統(tǒng)支持：Windows、Linux、Unix等，數(shù)據(jù)庫(kù)支持：MSSQL、Oracle等：主要輸入項(xiàng)：評(píng)估對(duì)象、漏洞掃描結(jié)果、賦值規(guī)則;主要輸出項(xiàng)：漏洞掃描報(bào)告、脆弱性識(shí)別匯總表、脆弱性識(shí)別報(bào)告。⑥安全措施識(shí)別。安全措施識(shí)別：系統(tǒng)提供基于技術(shù)、管理等方面的安全措施檢查功能，幫助用戶了解目前的安全狀況，找到安全管理問(wèn)題，確定安全措施的有效性：主要輸出項(xiàng)：安全措施識(shí)別匯總表、安全措施識(shí)別報(bào)告。⑦風(fēng)險(xiǎn)分析。系統(tǒng)通過(guò)資產(chǎn)評(píng)價(jià)、脆弱性評(píng)價(jià)、威脅評(píng)價(jià)、安全措施有效性評(píng)價(jià)、風(fēng)險(xiǎn)分析等工作，可自動(dòng)生成安全風(fēng)險(xiǎn)評(píng)估分析報(bào)告。主要輸入項(xiàng)：評(píng)估對(duì)象、資產(chǎn)值、脆弱性值、威脅值、安全措施值、計(jì)算規(guī)則;主要輸出項(xiàng)：風(fēng)險(xiǎn)計(jì)算匯總表、風(fēng)險(xiǎn)分析報(bào)告。⑧評(píng)估結(jié)果管理。主要功能是對(duì)歷史記錄查詢與分析。匯總所有的安全評(píng)估結(jié)果進(jìn)行綜合分析，并生成各階段風(fēng)險(xiǎn)評(píng)估工作報(bào)告，主要包括如下：《資產(chǎn)識(shí)別報(bào)告》、《漏洞掃描報(bào)告》、《威脅識(shí)別報(bào)告》、《脆弱性識(shí)別報(bào)告》、《控制措施識(shí)別報(bào)告》、《風(fēng)險(xiǎn)分析報(bào)告》。并可對(duì)當(dāng)期風(fēng)險(xiǎn)評(píng)估結(jié)果和原始數(shù)據(jù)進(jìn)行轉(zhuǎn)存或備份。在有需要時(shí)能調(diào)出評(píng)估歷史數(shù)據(jù)進(jìn)行查詢及風(fēng)險(xiǎn)趨勢(shì)分析。⑨信息安全知識(shí)庫(kù)更新維護(hù)。信息安全知識(shí)庫(kù)的更新維護(hù)主要對(duì)象有：系統(tǒng)漏洞庫(kù)、安全威脅庫(kù)、安全脆弱點(diǎn)庫(kù)、控制措施庫(kù)。為避免造成數(shù)據(jù)的冗余，系統(tǒng)將在各評(píng)估項(xiàng)目中需要反復(fù)使用的數(shù)據(jù)歸入基礎(chǔ)數(shù)據(jù)庫(kù)進(jìn)行管理，在進(jìn)行評(píng)估活動(dòng)時(shí)再?gòu)幕A(chǔ)庫(kù)提取有關(guān)數(shù)據(jù)，這樣也能減少重復(fù)的輸入工作。⑩數(shù)據(jù)接口。導(dǎo)入數(shù)據(jù)接口：資產(chǎn)庫(kù)、脆弱點(diǎn)庫(kù)、威脅庫(kù)、控制措施庫(kù)。支持以下常用的格式：如EXCEL文件等;常用的漏洞掃描工具：如綠盟、啟明星辰、NESSUS、NMAP等。

 

四、結(jié)束語(yǔ)

 

篇4

1.1定性分析方法

這是評(píng)估方法具有的一個(gè)明顯特點(diǎn)就是它的主觀性較強(qiáng)，在風(fēng)險(xiǎn)評(píng)估人員主觀上對(duì)資產(chǎn)風(fēng)險(xiǎn)因素所面臨的威脅以及漏洞等作出評(píng)估判斷的過(guò)程。它的結(jié)構(gòu)構(gòu)成包括故障樹分析法、事件樹分析法以及原因———后果法等。（1）故障樹分析法。這種分析方法的適用于對(duì)風(fēng)險(xiǎn)事件的發(fā)生源之間關(guān)系以及它的深層次原因進(jìn)行探究的，它的主要目的是在發(fā)現(xiàn)信息故障后對(duì)信息安全所進(jìn)行的定性分析。從它的運(yùn)行原理來(lái)看，它是把信息系統(tǒng)中發(fā)生的結(jié)果來(lái)作為首要解決的問(wèn)題，分析總結(jié)出不愿發(fā)生事件的形成因素，從而確定出各個(gè)因素之間的邏輯關(guān)系。（2）事件樹分析方法。這種方法是在原有的信息系統(tǒng)風(fēng)險(xiǎn)基礎(chǔ)上，來(lái)對(duì)這些信息安全風(fēng)險(xiǎn)事件發(fā)生可能產(chǎn)生的風(fēng)險(xiǎn)結(jié)果進(jìn)行詳細(xì)的分析探究，它的分析工作開展的一個(gè)顯著特點(diǎn)就是需要對(duì)序列組中可能發(fā)生的危險(xiǎn)事故的結(jié)果進(jìn)行合理的列舉，需要注意的是這并代表是最后的結(jié)果，只是其中的一個(gè)環(huán)節(jié)，但是它的缺點(diǎn)就是不適于進(jìn)行大范圍的普適。（3）原因———后果分析方法。這種分析方法從運(yùn)行原理的實(shí)質(zhì)上來(lái)看，它是對(duì)前兩種分析方法的一種融合，它是前兩種分析方法所具有顯著特點(diǎn)的結(jié)合，但是，這種方法也有應(yīng)用的缺點(diǎn)，就是它在大型的、復(fù)雜的信息系統(tǒng)中應(yīng)用并起不到應(yīng)有的效果。

1.2定量分析方法

這種分析方法是對(duì)定性方法的一種改進(jìn)，削弱了定性方法的主觀性，但是在一些大型復(fù)雜的信息系統(tǒng)中，就很可能造成一些定量數(shù)據(jù)難以獲得，需要浪費(fèi)較多的時(shí)間成本，基于此，它的應(yīng)用最為廣泛的是定量的故障樹分析法和風(fēng)險(xiǎn)評(píng)審技術(shù)兩種。

1.3定性分析和定量分析相結(jié)合的方法

這種兩相結(jié)合的方法在現(xiàn)代應(yīng)用領(lǐng)域中是最為常見的，也是最適合的形式，這兩種方法相結(jié)合的主要目的是為了有效的彌補(bǔ)定性分析法和定量分析法之間的缺陷，因此，它的綜合性就會(huì)相對(duì)強(qiáng)一些。這種分析模式，適用范圍最為廣泛的并且最為主流的是層次分析法。

2在業(yè)務(wù)流程基礎(chǔ)上的信息安全風(fēng)險(xiǎn)評(píng)估方法

2.1信息資產(chǎn)的辨別

信息安全風(fēng)險(xiǎn)評(píng)估主要是針對(duì)于信息和信息處理設(shè)備所受到的威脅、影響以及威脅事件發(fā)生后所帶來(lái)的損失而進(jìn)行的評(píng)估預(yù)測(cè)，那么所進(jìn)行評(píng)估的內(nèi)容主要涉及到四個(gè)要素，即資產(chǎn)、威脅、漏洞以及原有的安全措施。對(duì)于這四個(gè)要素之間的關(guān)系論述，它們是屬于相互關(guān)系、相互作用的因素，各自對(duì)系統(tǒng)風(fēng)險(xiǎn)的影響各不相同，共同構(gòu)成復(fù)雜的風(fēng)險(xiǎn)評(píng)估系統(tǒng)工程。我們?cè)趯?shí)際的風(fēng)險(xiǎn)評(píng)估工作中，主要是對(duì)已經(jīng)存在的風(fēng)險(xiǎn)提出一系列有效的安全防范措施，并依據(jù)風(fēng)險(xiǎn)措施實(shí)行采取合理的控制措施，從而使風(fēng)險(xiǎn)控制到最合理的范圍內(nèi)，那么這么講就可以把它的具體實(shí)施流程劃分為兩大部分，即對(duì)風(fēng)險(xiǎn)的分析和對(duì)風(fēng)險(xiǎn)的控制。

2.2業(yè)務(wù)流程的風(fēng)險(xiǎn)模型分析

在業(yè)務(wù)開展的基本流程中，對(duì)于位置變動(dòng)資產(chǎn)的識(shí)別可以在它的開始階段就進(jìn)行，這是對(duì)位置變動(dòng)來(lái)說(shuō)的，而對(duì)于位置固定的資產(chǎn)識(shí)別，就需要對(duì)每一個(gè)具體業(yè)務(wù)的節(jié)點(diǎn)進(jìn)行逐一開展。對(duì)于位置固定資產(chǎn)的識(shí)別來(lái)說(shuō)，因?yàn)槠渥陨硇枰写罅康娜斯げ僮鳎虼怂娘L(fēng)險(xiǎn)一般是集中于業(yè)務(wù)節(jié)點(diǎn)環(huán)節(jié)上，并且各個(gè)節(jié)點(diǎn)上的風(fēng)險(xiǎn)類別、發(fā)生方式、起源以及造成的后果影響都是不相同的。此外，由于這些風(fēng)險(xiǎn)的產(chǎn)生是因?yàn)槲恢霉潭ㄙY產(chǎn)而引起的，因此，在業(yè)務(wù)流程的過(guò)程中一般只需要對(duì)位置固定資產(chǎn)的風(fēng)險(xiǎn)采取相應(yīng)的控制措施就可以了，這樣也就確保了位置別動(dòng)不會(huì)對(duì)資產(chǎn)的保密性、完整性以及可用性造成威脅。

篇5

信息安全風(fēng)險(xiǎn)評(píng)估是進(jìn)行信息安全管理的重要依據(jù)，通過(guò)對(duì)信息系統(tǒng)進(jìn)行系統(tǒng)的風(fēng)險(xiǎn)分析和評(píng)估，發(fā)現(xiàn)存在的安全問(wèn)題并提出相應(yīng)的措施，這對(duì)于保護(hù)和管理信息系統(tǒng)至關(guān)重要。目前國(guó)內(nèi)外都高度重視信息安全風(fēng)險(xiǎn)評(píng)估工作。美國(guó)政府2002年頒布《聯(lián)邦信息安全管理法》，對(duì)信息安全風(fēng)險(xiǎn)評(píng)估提出了具體的要求；歐盟國(guó)家也把開展信息安全風(fēng)險(xiǎn)評(píng)估作為提高信息安全保障水平的重要手段；2003年7月23日，國(guó)家信息中心組建成立“信息安全風(fēng)險(xiǎn)評(píng)估課題組”，提出了我國(guó)開展信息安全風(fēng)險(xiǎn)評(píng)估的對(duì)策和辦法。2004年，國(guó)務(wù)院信息辦研究制訂了《信息安全風(fēng)險(xiǎn)評(píng)估指南》和《信息安全風(fēng)險(xiǎn)管理指南》兩個(gè)風(fēng)險(xiǎn)評(píng)估的標(biāo)準(zhǔn)；2006年又起草了《關(guān)于開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見》[1]。這些工作都對(duì)信息安全人才的培養(yǎng)提出了更高的要求，同時(shí)也為《信息安全風(fēng)險(xiǎn)評(píng)估》課程的開設(shè)和講授提供了必要的基礎(chǔ)和條件。《信息安全風(fēng)險(xiǎn)評(píng)估》課程教學(xué)，是信息安全專業(yè)一門重要的專業(yè)課程，能全面培養(yǎng)學(xué)生綜合運(yùn)用專業(yè)知識(shí)，評(píng)估并解決信息系統(tǒng)安全問(wèn)題的能力，是培養(yǎng)符合國(guó)家和社會(huì)需要的信息安全專業(yè)人才的重要課程之一。《信息安全風(fēng)險(xiǎn)評(píng)估》課程本身的理論性與實(shí)踐性都很強(qiáng)，課程發(fā)展十分迅速，涉及的學(xué)科范圍也較廣，傳統(tǒng)的教學(xué)的模式不能使該課程的特點(diǎn)很好地展示出來(lái)，無(wú)法適應(yīng)社會(huì)經(jīng)濟(jì)發(fā)展對(duì)信息安全從業(yè)人員的新要求，教學(xué)改革勢(shì)在必行。

一、現(xiàn)狀與存在的問(wèn)題

信息安全風(fēng)險(xiǎn)評(píng)估是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的安全威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施。它涉及信息系統(tǒng)的社會(huì)行為、管理行為、物理行為、邏輯行為等的保密性、完整性和可用性檢測(cè)。風(fēng)險(xiǎn)評(píng)估的結(jié)果可以作為信息安全風(fēng)險(xiǎn)管理的指南，用來(lái)確定合適的管理方針和選擇相應(yīng)的控制措施來(lái)保護(hù)信息資產(chǎn)，全面提高信息安全保障能力[2]。自2001年信息安全專業(yè)建立以來(lái)，高校在制訂本科專業(yè)教學(xué)培養(yǎng)目標(biāo)和教學(xué)計(jì)劃時(shí)，側(cè)重于具體安全理論和技術(shù)的教學(xué)和講授，特別是重點(diǎn)強(qiáng)調(diào)了密碼學(xué)、防火墻、入侵檢測(cè)、網(wǎng)絡(luò)安全等安全理論與技術(shù)的傳授。從目前高校的教學(xué)內(nèi)容看，多數(shù)側(cè)重于對(duì)“信息風(fēng)險(xiǎn)管理”、“風(fēng)險(xiǎn)識(shí)別”、“風(fēng)險(xiǎn)評(píng)估”和“風(fēng)險(xiǎn)控制”等基本內(nèi)容的介紹上，而且教學(xué)課時(shí)數(shù)也較少，只有十個(gè)學(xué)時(shí)。當(dāng)前從《信息安全風(fēng)險(xiǎn)評(píng)估》課程的教學(xué)情況來(lái)看，該課程在信息安全教育教學(xué)過(guò)程中地位有待提高，實(shí)踐教學(xué)的建設(shè)與研究迫切需要深化。

當(dāng)前該課程的教學(xué)實(shí)踐中普遍存在以下幾個(gè)方面的問(wèn)題，嚴(yán)重制約了《信息安全風(fēng)險(xiǎn)評(píng)估》課程教學(xué)質(zhì)量的提高：

1.本科教學(xué)大都以理論內(nèi)容為主體，實(shí)驗(yàn)和課程設(shè)計(jì)的學(xué)時(shí)安排較少。一般高校的《信息安全風(fēng)險(xiǎn)評(píng)估》課程主要以理論內(nèi)容的講授為主，實(shí)驗(yàn)和課程設(shè)計(jì)的學(xué)時(shí)較少，實(shí)驗(yàn)內(nèi)容也大多屬于驗(yàn)證性質(zhì)，缺少具有研究和探索性質(zhì)的信息安全風(fēng)險(xiǎn)評(píng)估實(shí)踐內(nèi)容和課程設(shè)計(jì)；

2.教學(xué)方法單一，缺乏激勵(lì)學(xué)生求知欲的教學(xué)方法和手段。當(dāng)前開設(shè)《信息安全風(fēng)險(xiǎn)評(píng)估》課程的高校還較少，師資力量相對(duì)薄弱，教學(xué)經(jīng)驗(yàn)也比較缺乏，仍以主要由教師講述的傳統(tǒng)教學(xué)方式為主，學(xué)生進(jìn)行具體實(shí)踐和操作的課時(shí)較少，缺乏創(chuàng)新性的教學(xué)和研究，基本沒有具有探索性和創(chuàng)新性特點(diǎn)的教學(xué)內(nèi)容，不利于發(fā)揮學(xué)生主觀能動(dòng)性，提高其創(chuàng)新能力；

3.實(shí)驗(yàn)環(huán)境無(wú)法滿足教學(xué)需求，缺乏專業(yè)的信息安全風(fēng)險(xiǎn)評(píng)估師資。我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估的研究和教學(xué)工作起步晚，缺乏相關(guān)的實(shí)驗(yàn)設(shè)備；而且受到資金和專業(yè)發(fā)展等多方面因素的制約，難以設(shè)立專門的信息安全風(fēng)險(xiǎn)評(píng)估實(shí)驗(yàn)室。此外，信息安全風(fēng)險(xiǎn)評(píng)估是以計(jì)算機(jī)技術(shù)為核心，涉及管理科學(xué)、安全技術(shù)、通信和信息工程等多個(gè)學(xué)科，對(duì)于理論和實(shí)踐要求都很高。這就要求教師既要學(xué)習(xí)好各學(xué)科的基本知識(shí)，又要加強(qiáng)實(shí)踐訓(xùn)練。

二、教學(xué)改革與探索

高校計(jì)算機(jī)相關(guān)專業(yè)開設(shè)《信息安全風(fēng)險(xiǎn)評(píng)估》課程，不是培養(yǎng)網(wǎng)絡(luò)信息安全方面的全才或戰(zhàn)略人才，而是培養(yǎng)在實(shí)際生活和工作中確實(shí)能解決某些具體安全問(wèn)題的實(shí)用型人才。針對(duì)《信息安全風(fēng)險(xiǎn)評(píng)估》課程的特點(diǎn)和教學(xué)中存在的不足，我們從以下幾個(gè)方面對(duì)該課程的教學(xué)改革進(jìn)行了探索：

1.重新確立課程培養(yǎng)目標(biāo)。①重點(diǎn)培養(yǎng)學(xué)生分析和評(píng)估信息安全問(wèn)題的能力：《信息安全風(fēng)險(xiǎn)評(píng)估》課程是一門理論性和實(shí)踐性緊密結(jié)合的課程，目前開設(shè)該課程的高校較少，各學(xué)校的教學(xué)內(nèi)容也多種多樣。該課程的教學(xué)目標(biāo)即要培養(yǎng)學(xué)生發(fā)現(xiàn)信息系統(tǒng)存在的安全風(fēng)險(xiǎn)，同時(shí)也需要培養(yǎng)他們科學(xué)地提出解決安全隱患的方案及能力。如何提高學(xué)生分析和評(píng)估信息安全問(wèn)題的能力是該課程教學(xué)的首要目標(biāo)。②培養(yǎng)學(xué)生實(shí)際操作的能力：信息安全風(fēng)險(xiǎn)評(píng)估的關(guān)鍵是對(duì)信息系統(tǒng)的資產(chǎn)進(jìn)行分類，對(duì)其風(fēng)險(xiǎn)的識(shí)別、估計(jì)和評(píng)價(jià)做出全面的、綜合的分析。這就要求學(xué)生熟練地掌握目標(biāo)對(duì)象的檢測(cè)和評(píng)估方法，包括使用各種自動(dòng)化和半自動(dòng)化的工具，可在模擬實(shí)驗(yàn)里，通過(guò)不斷地訓(xùn)練實(shí)現(xiàn)。③培養(yǎng)學(xué)生繼續(xù)學(xué)習(xí)、勇于探索創(chuàng)新的能力：隨著信息化的不斷發(fā)展，信息系統(tǒng)所面臨的安全威脅急劇增加，為此各國(guó)政府都不斷提出和完善了各類信息安全測(cè)評(píng)標(biāo)準(zhǔn)。這就要求我們?cè)诮虒W(xué)中不斷地學(xué)習(xí)、理解和解釋最新的國(guó)際、國(guó)內(nèi)以及相關(guān)的行業(yè)標(biāo)準(zhǔn)，培養(yǎng)和提高學(xué)生繼續(xù)學(xué)習(xí)的能力。另外，《信息安全風(fēng)險(xiǎn)評(píng)估》課程也要求通過(guò)課堂教學(xué)、課后練習(xí)、實(shí)驗(yàn)驗(yàn)證和考試、考查等教學(xué)環(huán)節(jié)培養(yǎng)學(xué)生獨(dú)力分析信息系統(tǒng)安全的能力，培養(yǎng)學(xué)生對(duì)信息安全風(fēng)險(xiǎn)評(píng)估領(lǐng)域進(jìn)行探索和研究的興趣，最終使學(xué)生掌握信息安全風(fēng)險(xiǎn)評(píng)估的知識(shí)和技能，能夠解決具體信息系統(tǒng)的安全問(wèn)題。

2.增加信息安全風(fēng)險(xiǎn)評(píng)估理論和相關(guān)標(biāo)準(zhǔn)的教學(xué)。信息安全測(cè)評(píng)標(biāo)準(zhǔn)和相關(guān)法律法規(guī)是進(jìn)行信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的依據(jù)和保障。2006年由原國(guó)信辦《關(guān)于開展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見》（國(guó)信辦2006年5號(hào)文）；同時(shí)，隨著信息安全等級(jí)保護(hù)制度的推行，公安部會(huì)同有關(guān)部門出臺(tái)了一系列政策文件，主要包括：《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》、《信息安全等級(jí)保護(hù)管理辦法》等；國(guó)家信息安全標(biāo)準(zhǔn)化委員會(huì)頒發(fā)了《信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》（GB/T 20984~2007）、《信息系統(tǒng)安全等級(jí)保護(hù)基本要求》（GB/T 22239-2008）等多個(gè)國(guó)家標(biāo)準(zhǔn)[3]。為了保證《信息安全風(fēng)險(xiǎn)評(píng)估》課程目標(biāo)的實(shí)現(xiàn)，我們?cè)诮虒W(xué)過(guò)程中，增加了《GB/T20984-2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》、《GB/Z24364-2009信息安全風(fēng)險(xiǎn)管理指南》、《GB/T

22080-2008信息安全管理體系要求》、《GB/T22081-

2008信息安全管理實(shí)用規(guī)則》、《GB/T20269-2006信息系統(tǒng)安全管理要求》、《GB/T25063-2010?搖信息安全技術(shù)服務(wù)器安全測(cè)評(píng)要求》、《GB/T 20010-2005信息安全技術(shù)包過(guò)濾防火墻評(píng)估準(zhǔn)則》、《GB/T20011-2005信息安全技術(shù)路由器安全評(píng)估準(zhǔn)則》、《GA/T 672-2006信息安全技術(shù)終端計(jì)算機(jī)系統(tǒng)安全等級(jí)評(píng)估準(zhǔn)則》、《GA/T 712-2007信息安全技術(shù)應(yīng)用軟件系統(tǒng)安全等級(jí)保護(hù)通用測(cè)試指南》等相關(guān)評(píng)估標(biāo)準(zhǔn)和指南的學(xué)習(xí)，并編制相關(guān)的調(diào)查、檢查、測(cè)試表，重點(diǎn)強(qiáng)調(diào)對(duì)脆弱性檢測(cè)的理論依據(jù)的描述，檢測(cè)方法及其步驟的詳細(xì)記錄。

3.利用各種測(cè)評(píng)工具，提高學(xué)生實(shí)踐能力。在信息安全風(fēng)險(xiǎn)評(píng)估過(guò)程中，資產(chǎn)賦值、威脅量化分析、安全模型的建立等環(huán)節(jié)的教學(xué)和實(shí)踐對(duì)教師和學(xué)生都提出了較高的專業(yè)課程要求。我們?cè)凇缎畔踩L(fēng)險(xiǎn)評(píng)估》課程實(shí)踐中通過(guò)使用風(fēng)險(xiǎn)評(píng)估工具，并對(duì)具體的信息系統(tǒng)進(jìn)行自動(dòng)化或半自動(dòng)化的分析，加深了學(xué)生信息安全風(fēng)險(xiǎn)評(píng)估的理論知識(shí)理解，同時(shí)注重培養(yǎng)學(xué)生動(dòng)手實(shí)踐能力和探索新知識(shí)的能力。我們?cè)黾恿酥鲃?dòng)型風(fēng)險(xiǎn)評(píng)估工具Tenable掃描門戶網(wǎng)站系統(tǒng)的實(shí)踐性教學(xué)內(nèi)容。通過(guò)評(píng)估，該系統(tǒng)的服務(wù)器存在感染病毒的癥狀，其原因是服務(wù)器存在特定漏洞。為此我們使用漏洞掃描器對(duì)該服務(wù)器進(jìn)行掃描，發(fā)現(xiàn)了“遠(yuǎn)程代碼被執(zhí)行”漏洞，而且該漏洞能被蠕蟲病毒利用，形成針對(duì)系統(tǒng)的攻擊。通過(guò)案例特征提供了的信息，培養(yǎng)學(xué)生使用測(cè)評(píng)工具對(duì)具體信息系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估的能力，并進(jìn)一步使其認(rèn)識(shí)到主動(dòng)型評(píng)估工具是信息安全風(fēng)險(xiǎn)評(píng)估中快速了解目標(biāo)系統(tǒng)安全狀況不可或缺的重要手段。

筆者結(jié)合自己的教學(xué)實(shí)踐體會(huì)，論述了當(dāng)前《信息安全風(fēng)險(xiǎn)評(píng)估》課程中存在的問(wèn)題以及解決對(duì)策。《信息安全風(fēng)險(xiǎn)評(píng)估》課程教學(xué)改革和建設(shè)是一個(gè)長(zhǎng)期的、系統(tǒng)化的工程，需要不斷地根據(jù)信息系統(tǒng)在新環(huán)境下面臨的各種威脅，制定新的評(píng)估標(biāo)準(zhǔn)和評(píng)估方案，并使得學(xué)生在有限的時(shí)間和環(huán)境下掌握相應(yīng)的知識(shí)和技能，以滿足社會(huì)對(duì)信息安全人才的需求。

參考文獻(xiàn)：

[1]付沙.加強(qiáng)信息安全風(fēng)險(xiǎn)評(píng)估工作的研究[J].微型電腦應(yīng)用，2010，26（8）：6-8.

[2]楊春暉，張昊，王勇.信息安全風(fēng)險(xiǎn)評(píng)估及輔助工具應(yīng)用[J].信息安全與通信保密，2007，（12）：75-77.

篇6

信息安全風(fēng)險(xiǎn)評(píng)估是從風(fēng)險(xiǎn)管理角度出發(fā)，構(gòu)建風(fēng)險(xiǎn)評(píng)估模型，建立風(fēng)險(xiǎn)評(píng)估體系，運(yùn)用風(fēng)險(xiǎn)評(píng)估方法，系統(tǒng)地分析信息系統(tǒng)所面臨的風(fēng)險(xiǎn)威脅及系統(tǒng)的脆弱性/漏洞，評(píng)估風(fēng)險(xiǎn)發(fā)生帶來(lái)的危害程度，提出應(yīng)對(duì)風(fēng)險(xiǎn)的安全控制措施，規(guī)避和控制信息安全風(fēng)險(xiǎn)，降低風(fēng)險(xiǎn)發(fā)生的概率，將風(fēng)險(xiǎn)控制在可承受的范圍，為信息安全風(fēng)險(xiǎn)評(píng)估提供科學(xué)依據(jù)。

1.2信息安全風(fēng)險(xiǎn)評(píng)估的方法

隨著信息安全風(fēng)險(xiǎn)評(píng)估研究工作的不斷深入，形成了多種不同的信息安全風(fēng)險(xiǎn)評(píng)估方法，這些方法的出現(xiàn)大大縮短了信息安全風(fēng)險(xiǎn)評(píng)估的時(shí)間，節(jié)省了大量的資源，提高了信息安全風(fēng)險(xiǎn)評(píng)估的效率和準(zhǔn)確性，為防范信息安全中出現(xiàn)的風(fēng)險(xiǎn)提供了理論依據(jù)[3]。目前，常用的信息安全風(fēng)險(xiǎn)評(píng)估的方法有定量評(píng)估方法、定性評(píng)估方法和定性與定量相結(jié)合的綜合評(píng)估方法。其中，定量評(píng)估方法是根據(jù)信息系統(tǒng)中風(fēng)險(xiǎn)相關(guān)數(shù)據(jù)，利用具體的評(píng)估算法計(jì)算出評(píng)估結(jié)果，并對(duì)結(jié)果進(jìn)行分析，它能夠直觀地反應(yīng)評(píng)估結(jié)果，更容易被人們接受。但是該方法主要依賴于數(shù)學(xué)模型來(lái)描述風(fēng)險(xiǎn)，在量化的過(guò)程中將原本復(fù)雜的事物理想化，一般適用于風(fēng)險(xiǎn)評(píng)估材料齊全且數(shù)學(xué)理論基礎(chǔ)較好的情況，常見的定量評(píng)估方法有Markov分析法、聚類分析方法、決策樹分析方法、風(fēng)險(xiǎn)審計(jì)技術(shù)等。定性評(píng)估方法是評(píng)估者利用自己擁有的專業(yè)知識(shí)和積累的經(jīng)驗(yàn)對(duì)信息系統(tǒng)存在的風(fēng)險(xiǎn)進(jìn)行識(shí)別和評(píng)價(jià)，并提出應(yīng)對(duì)風(fēng)險(xiǎn)的安全控制措施。它對(duì)評(píng)估者知識(shí)和經(jīng)驗(yàn)的要求較高，一般適用于風(fēng)險(xiǎn)評(píng)估數(shù)據(jù)不全或者數(shù)學(xué)理論基礎(chǔ)較為薄弱的情況，常見的定性評(píng)估方法有故障樹分析法（FTA）、故障模式影響及危害性分析方法（RMECA）、德爾菲法（Delphi）等。在風(fēng)險(xiǎn)評(píng)估的實(shí)際過(guò)程中，采用較多的是定性與定量相結(jié)合的綜合風(fēng)險(xiǎn)評(píng)估方法，該方法可以將復(fù)雜問(wèn)題按照層次化結(jié)構(gòu)分解成多個(gè)簡(jiǎn)單的問(wèn)題進(jìn)行分析，大大節(jié)省了評(píng)估時(shí)間、人力和費(fèi)用，提高了風(fēng)險(xiǎn)評(píng)估的準(zhǔn)確性和效率，常見的定性與定量相結(jié)合的綜合評(píng)估方法有層次分析法。

1.3信息安全風(fēng)險(xiǎn)評(píng)估的模型

[4]信息安全風(fēng)險(xiǎn)評(píng)估模型是信息安全風(fēng)險(xiǎn)評(píng)估的理論基礎(chǔ)，是提高信息安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)確性和效率的重要前提。信息安全風(fēng)險(xiǎn)評(píng)估模型如圖1所示，造成信息安全風(fēng)險(xiǎn)的主要因素有威脅、信息資產(chǎn)、信息系統(tǒng)的脆弱性及漏洞和未被控制的殘余風(fēng)險(xiǎn)，信息系統(tǒng)的威脅越大、脆弱性越暴露、漏洞越多、信息資產(chǎn)的價(jià)值越大、未被控制的風(fēng)險(xiǎn)越多，則信息系統(tǒng)面臨的風(fēng)險(xiǎn)也越多，風(fēng)險(xiǎn)越多，信息系統(tǒng)的安全性越低。業(yè)務(wù)系統(tǒng)主要依賴于服務(wù)器和軟件等信息資產(chǎn)，業(yè)務(wù)系統(tǒng)越關(guān)鍵，對(duì)服務(wù)器等硬件和軟件資源的要求就越高，被攻擊的價(jià)值也就越大，面臨的風(fēng)險(xiǎn)也就越大。資產(chǎn)的價(jià)值和防范風(fēng)險(xiǎn)的意識(shí)會(huì)導(dǎo)出信息系統(tǒng)的安全需求。當(dāng)信息系統(tǒng)的安全需求被相應(yīng)的安全控制措施滿足時(shí)，就會(huì)降低發(fā)生風(fēng)險(xiǎn)的概率。然而有些風(fēng)險(xiǎn)由于成本過(guò)高、控制難度較大，往往不進(jìn)行控制，這部分不被控制的風(fēng)險(xiǎn)具有潛在的威脅，應(yīng)該受到密切監(jiān)視，它可能會(huì)增加信息系統(tǒng)的風(fēng)險(xiǎn)。

2高校信息安全面臨的風(fēng)險(xiǎn)及應(yīng)對(duì)策略分析

隨著高校數(shù)字化校園建設(shè)和信息化建設(shè)的不斷推進(jìn)，高校業(yè)務(wù)處理對(duì)信息系統(tǒng)的依賴性越來(lái)越強(qiáng)。由于部分高校缺乏危機(jī)意識(shí)、防范風(fēng)險(xiǎn)的制度和措施，沒有一套完善的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估體系預(yù)防風(fēng)險(xiǎn)，當(dāng)遇到信息安全的突發(fā)事件時(shí)，只能被動(dòng)地采用“救火式”的方法處理風(fēng)險(xiǎn)危機(jī)，使得信息系統(tǒng)面臨的風(fēng)險(xiǎn)不斷增加。為了及時(shí)應(yīng)對(duì)信息系統(tǒng)面臨的各種風(fēng)險(xiǎn)威脅，各個(gè)部門、各個(gè)環(huán)節(jié)應(yīng)密切配合、協(xié)調(diào)，對(duì)高校信息安全面臨的各種風(fēng)險(xiǎn)及應(yīng)對(duì)策略應(yīng)進(jìn)行調(diào)研分析，建立信息安全的風(fēng)險(xiǎn)評(píng)估體系，實(shí)現(xiàn)風(fēng)險(xiǎn)評(píng)估的規(guī)范化和制度化，逐步形成監(jiān)控風(fēng)險(xiǎn)和控制風(fēng)險(xiǎn)的有效機(jī)制[5]。

2.1高校信息安全面臨的風(fēng)險(xiǎn)分析

高校信息安全面臨的風(fēng)險(xiǎn)一般可以分為技術(shù)脆弱性/漏洞風(fēng)險(xiǎn)和非技術(shù)性風(fēng)險(xiǎn)[6]。

2.1.1技術(shù)脆弱性/漏洞風(fēng)險(xiǎn)

高校信息系統(tǒng)面臨的技術(shù)性/漏洞風(fēng)險(xiǎn)主要包括數(shù)據(jù)存儲(chǔ)風(fēng)險(xiǎn)、系統(tǒng)權(quán)限設(shè)置風(fēng)險(xiǎn)、軟件編碼風(fēng)險(xiǎn)、硬件設(shè)備風(fēng)險(xiǎn)和網(wǎng)絡(luò)安全風(fēng)險(xiǎn)等。其中數(shù)據(jù)存儲(chǔ)風(fēng)險(xiǎn)主要體現(xiàn)在數(shù)據(jù)存儲(chǔ)空間不足、數(shù)據(jù)備份策略不健全、數(shù)據(jù)庫(kù)安全性低容易導(dǎo)致SQL注入篡改數(shù)據(jù)庫(kù)中的數(shù)據(jù)、數(shù)據(jù)不被加密在傳輸過(guò)程中容易被篡改或刪除、數(shù)據(jù)庫(kù)結(jié)構(gòu)不合理等方面；系統(tǒng)設(shè)置權(quán)限風(fēng)險(xiǎn)主要體現(xiàn)在訪問(wèn)控制策略失效、系統(tǒng)訪問(wèn)權(quán)限過(guò)大、客戶身份認(rèn)證失敗等；軟件編碼風(fēng)險(xiǎn)主要體現(xiàn)在操作失誤、系統(tǒng)漏洞、系統(tǒng)接口不安全、代碼健壯性差、系統(tǒng)運(yùn)行環(huán)境改變等；硬件設(shè)備風(fēng)險(xiǎn)主要體現(xiàn)在服務(wù)器配置過(guò)低、物理設(shè)備損壞、網(wǎng)絡(luò)帶寬不足、網(wǎng)絡(luò)硬件防護(hù)設(shè)備不齊全等；網(wǎng)絡(luò)安全風(fēng)險(xiǎn)主要體現(xiàn)在網(wǎng)絡(luò)惡意攻擊使網(wǎng)絡(luò)癱瘓、服務(wù)劫持、拒絕服務(wù)、利用端口漏洞破壞系統(tǒng)、內(nèi)外網(wǎng)設(shè)置缺陷、網(wǎng)站掛馬、非法訪問(wèn)系統(tǒng)、竊取和篡改網(wǎng)絡(luò)傳輸數(shù)據(jù)等。

2.1.2非技術(shù)性風(fēng)險(xiǎn)

高校信息系統(tǒng)面臨的非技術(shù)性風(fēng)險(xiǎn)主要包括人為疏忽行為、管理不到位、技術(shù)失效、蓄意行為和不可抗拒風(fēng)險(xiǎn)等。其中人為疏忽行為主要體現(xiàn)在由于人為過(guò)失或非法操作導(dǎo)致服務(wù)器硬件損壞，系統(tǒng)和數(shù)據(jù)無(wú)法恢復(fù)等；管理不到位主要體現(xiàn)在沒有安裝殺毒軟件、沒有做系統(tǒng)備份策略和系統(tǒng)安全防護(hù)策略等；技術(shù)失效主要體現(xiàn)在硬件壽命設(shè)計(jì)缺陷、軟件服務(wù)到期、軟件后門等；蓄意行為主要體現(xiàn)在惡意軟件、系統(tǒng)設(shè)備帶木馬程序、蓄意泄漏機(jī)密文件、黑客與信息敲詐等；不可抗拒風(fēng)險(xiǎn)主要體現(xiàn)為地震、雷擊等自然災(zāi)害造成的風(fēng)險(xiǎn)。

2.2高校信息安全面臨的風(fēng)險(xiǎn)應(yīng)對(duì)策略分析

在對(duì)信息安全進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，可以根據(jù)風(fēng)險(xiǎn)評(píng)估等級(jí)、風(fēng)險(xiǎn)發(fā)生概率大小、風(fēng)險(xiǎn)影響大小、控制風(fēng)險(xiǎn)的難易程度和風(fēng)險(xiǎn)管理的成本，給出處理與應(yīng)對(duì)風(fēng)險(xiǎn)的相應(yīng)策略，供高校決策部門和相關(guān)技術(shù)部門參考，來(lái)降低風(fēng)險(xiǎn)對(duì)信息系統(tǒng)的影響。高校應(yīng)對(duì)信息安全面臨風(fēng)險(xiǎn)的應(yīng)對(duì)策略主要有風(fēng)險(xiǎn)規(guī)避、風(fēng)險(xiǎn)轉(zhuǎn)嫁、風(fēng)險(xiǎn)預(yù)防、風(fēng)險(xiǎn)控制、風(fēng)險(xiǎn)承受和風(fēng)險(xiǎn)追蹤等。其中風(fēng)險(xiǎn)規(guī)避是高校在風(fēng)險(xiǎn)發(fā)生之前，采取相關(guān)技術(shù)措施消除風(fēng)險(xiǎn)因素，避免風(fēng)險(xiǎn)發(fā)生；風(fēng)險(xiǎn)轉(zhuǎn)嫁是高校不能完全避免風(fēng)險(xiǎn)發(fā)生時(shí)，為了降低風(fēng)險(xiǎn)造成的損失，將風(fēng)險(xiǎn)轉(zhuǎn)嫁給其他組織或個(gè)人承擔(dān)，并支付風(fēng)險(xiǎn)承擔(dān)者一定費(fèi)用；風(fēng)險(xiǎn)預(yù)防是高校在風(fēng)險(xiǎn)發(fā)生之前密切監(jiān)視風(fēng)險(xiǎn)的動(dòng)態(tài)，采取相應(yīng)風(fēng)險(xiǎn)防范措施，以降低風(fēng)險(xiǎn)發(fā)生的概率；風(fēng)險(xiǎn)控制是高校在風(fēng)險(xiǎn)發(fā)生時(shí)采取各種技術(shù)手段降低風(fēng)險(xiǎn)影響后果，縮小風(fēng)險(xiǎn)影響范圍等；風(fēng)險(xiǎn)承受是高校在綜合考慮控制風(fēng)險(xiǎn)難度、控制風(fēng)險(xiǎn)花費(fèi)、風(fēng)險(xiǎn)發(fā)生概率和高校風(fēng)險(xiǎn)承受能力等情況下，選擇自行承擔(dān)風(fēng)險(xiǎn)的方式；風(fēng)險(xiǎn)追蹤是高校在發(fā)現(xiàn)風(fēng)險(xiǎn)時(shí)，對(duì)風(fēng)險(xiǎn)的來(lái)源及發(fā)起者進(jìn)行跟蹤，查到根源后追究其相應(yīng)責(zé)任，客觀上可以降低風(fēng)險(xiǎn)發(fā)生的頻率。

3高校信息安全的風(fēng)險(xiǎn)評(píng)估過(guò)程

[7]高校信息安全風(fēng)險(xiǎn)評(píng)估過(guò)程包括風(fēng)險(xiǎn)評(píng)估目標(biāo)確定、風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)評(píng)價(jià)、風(fēng)險(xiǎn)控制策略選擇和風(fēng)險(xiǎn)評(píng)估效果分析幾個(gè)環(huán)節(jié)，這些環(huán)節(jié)是相輔相成，缺一不可的。

3.1風(fēng)險(xiǎn)評(píng)估目標(biāo)確定

風(fēng)險(xiǎn)評(píng)估目標(biāo)是高校開展信息安全風(fēng)險(xiǎn)評(píng)估的首要步驟。高校在對(duì)信息安全進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，應(yīng)當(dāng)制定準(zhǔn)確的風(fēng)險(xiǎn)評(píng)估目標(biāo)。風(fēng)險(xiǎn)評(píng)估目標(biāo)主要包括風(fēng)險(xiǎn)評(píng)價(jià)標(biāo)準(zhǔn)、風(fēng)險(xiǎn)因素標(biāo)準(zhǔn)、風(fēng)險(xiǎn)控制目標(biāo)、風(fēng)險(xiǎn)控制費(fèi)用標(biāo)準(zhǔn)、風(fēng)險(xiǎn)防范措施制定、風(fēng)險(xiǎn)評(píng)估效果評(píng)價(jià)、風(fēng)險(xiǎn)發(fā)生后果影響等。

3.2風(fēng)險(xiǎn)識(shí)別

風(fēng)險(xiǎn)識(shí)別是高校信息安全風(fēng)險(xiǎn)評(píng)估過(guò)程中最重要也最難的環(huán)節(jié)。風(fēng)險(xiǎn)識(shí)別直接關(guān)系到風(fēng)險(xiǎn)評(píng)價(jià)結(jié)果及風(fēng)險(xiǎn)等級(jí)的確定，關(guān)系到風(fēng)險(xiǎn)控制策略的選擇，如果不能正確識(shí)別風(fēng)險(xiǎn)，就不能采取正確的風(fēng)險(xiǎn)控制策略去規(guī)避和控制風(fēng)險(xiǎn)，會(huì)大大增加風(fēng)險(xiǎn)發(fā)生的可能性。3.3風(fēng)險(xiǎn)評(píng)價(jià)風(fēng)險(xiǎn)評(píng)價(jià)是高校信息安全風(fēng)險(xiǎn)評(píng)估過(guò)程中的主要環(huán)節(jié)。它主要包括對(duì)風(fēng)險(xiǎn)成因、發(fā)生概率、影響范圍、威脅程度、損失大小等因素進(jìn)行定性和定量分析，通過(guò)特定的風(fēng)險(xiǎn)評(píng)估方法進(jìn)行測(cè)算分析，確定風(fēng)險(xiǎn)的等級(jí)及危害程度。

3.險(xiǎn)控制策略選擇

高校在綜合考慮風(fēng)險(xiǎn)承受能力、風(fēng)險(xiǎn)控制費(fèi)用、風(fēng)險(xiǎn)危害程度、風(fēng)險(xiǎn)發(fā)生概率和風(fēng)險(xiǎn)評(píng)估目標(biāo)等因素的基礎(chǔ)上，根據(jù)風(fēng)險(xiǎn)評(píng)價(jià)結(jié)果，選取相應(yīng)的風(fēng)險(xiǎn)控制策略，來(lái)降低風(fēng)險(xiǎn)發(fā)生的概率及帶來(lái)的危害。

3.5風(fēng)險(xiǎn)評(píng)估效果分析

風(fēng)險(xiǎn)評(píng)估效果分析是高校結(jié)合自身的實(shí)際情況對(duì)風(fēng)險(xiǎn)評(píng)估等級(jí)的判斷是否準(zhǔn)確、風(fēng)險(xiǎn)識(shí)別的準(zhǔn)確性、風(fēng)險(xiǎn)評(píng)估目標(biāo)是否達(dá)標(biāo)、風(fēng)險(xiǎn)控制策略是否得當(dāng)、風(fēng)險(xiǎn)評(píng)估過(guò)程的科學(xué)性、風(fēng)險(xiǎn)評(píng)估數(shù)據(jù)和算法的合理性進(jìn)行綜合分析的過(guò)程。它對(duì)高校提高信息安全風(fēng)險(xiǎn)評(píng)估的準(zhǔn)確性和科學(xué)性有一定的指導(dǎo)作用。

篇7

中圖分類號(hào)：TP393.08 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1007—9599 （2012） 14—0000—02

一、引言

隨著信息技術(shù)的飛速發(fā)展，關(guān)系國(guó)計(jì)民生的關(guān)鍵信息資源的規(guī)模越來(lái)越大，信息系統(tǒng)的復(fù)雜程度越來(lái)越高，保障信息資源、信息系統(tǒng)的安全是國(guó)民經(jīng)濟(jì)發(fā)展和信息化建設(shè)的需要。信息安全的目標(biāo)主要體現(xiàn)在機(jī)密性、完整性、可用性等方面。風(fēng)險(xiǎn)評(píng)估是安全建設(shè)的出發(fā)點(diǎn)，它的重要意義在于改變傳統(tǒng)的以技術(shù)驅(qū)動(dòng)為導(dǎo)向的安全體系結(jié)構(gòu)設(shè)計(jì)及詳細(xì)安全方案的制定，以成本一效益平衡的原則，通過(guò)評(píng)估信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后安全事件發(fā)生的可能性，并結(jié)合資產(chǎn)的重要程度來(lái)識(shí)別信息系統(tǒng)的安全風(fēng)險(xiǎn)。信息安全風(fēng)險(xiǎn)評(píng)估就是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的分析方法和手段，系統(tǒng)地分析信息化業(yè)務(wù)和信息系統(tǒng)所面臨的人為和自然的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施，以防范和化解風(fēng)險(xiǎn)，或者將殘余風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)與信息安全。

二、網(wǎng)絡(luò)信息安全的內(nèi)容和主要因素分析

“網(wǎng)絡(luò)信息的安全”從狹義的字面上來(lái)講就是網(wǎng)絡(luò)上各種信息的安全，而從廣義的角度考慮，還包括整個(gè)網(wǎng)絡(luò)系統(tǒng)的硬件、軟件、數(shù)據(jù)以及數(shù)據(jù)處理、存儲(chǔ)、傳輸?shù)仁褂眠^(guò)程的安全。

網(wǎng)絡(luò)信息安全具有如下5個(gè)特征：1.保密性。即信息不泄露給非授權(quán)的個(gè)人或?qū)嶓w。2.完整性。即信息未經(jīng)授權(quán)不能被修改、破壞。3.可用性。即能保證合法的用戶正常訪問(wèn)相關(guān)的信息。4.可控性。即信息的內(nèi)容及傳播過(guò)程能夠被有效地合法控制。5.可審查性。即信息的使用過(guò)程都有相關(guān)的記錄可供事后查詢核對(duì)。網(wǎng)絡(luò)信息安全的研究?jī)?nèi)容非常廣泛，根據(jù)不同的分類方法可以有多種不同的分類。研究?jī)?nèi)容的廣泛性決定了實(shí)現(xiàn)網(wǎng)絡(luò)信息安全問(wèn)題的復(fù)雜性。

而通過(guò)有效的網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)因素分析，就能夠?yàn)榇藦?fù)雜問(wèn)題的解決找到一個(gè)考慮問(wèn)題的立足點(diǎn)，能夠?qū)?fù)雜的問(wèn)題量化，同時(shí)，也為能通過(guò)其他方法如人工智能網(wǎng)絡(luò)方法解決問(wèn)題提供依據(jù)和基礎(chǔ)。

網(wǎng)絡(luò)信息安全的風(fēng)險(xiǎn)因素主要有以下6大類：1.自然界因素，如地震、火災(zāi)、風(fēng)災(zāi)、水災(zāi)、雷電等；2.社會(huì)因素，主要是人類社會(huì)的各種活動(dòng)，如暴力、戰(zhàn)爭(zhēng)、盜竊等；3.網(wǎng)絡(luò)硬件的因素，如機(jī)房包括交換機(jī)、路由器、服務(wù)器等受電力、溫度、濕度、灰塵、電磁干擾等影響；4.軟件的因素，包括機(jī)房設(shè)備的管理軟件、機(jī)房服務(wù)器與用戶計(jì)算機(jī)的操作系統(tǒng)、各種服務(wù)器的數(shù)據(jù)庫(kù)配置的合理性以及其他各種應(yīng)用軟件如殺毒軟件、防火墻、工具軟件等；5.人為的因素，主要包括網(wǎng)絡(luò)信息使用者和參與者的各種行為帶來(lái)的影響因素，如操作失誤、數(shù)據(jù)泄露、惡意代碼、拒絕服務(wù)、騙取口令、木馬攻擊等；6.其他因素，包括政府職能部門的監(jiān)管因素、有關(guān)部門對(duì)相關(guān)法律法規(guī)立法因素、教育部門對(duì)相關(guān)知識(shí)的培訓(xùn)因素、宣傳部門對(duì)相關(guān)安全內(nèi)容的宣傳因素等。這些因素對(duì)于網(wǎng)絡(luò)信息安全均會(huì)產(chǎn)生直接或者間接的影響。

三、安全風(fēng)險(xiǎn)評(píng)估方法

（一）定制個(gè)性化的評(píng)估方法

雖然已經(jīng)有許多標(biāo)準(zhǔn)評(píng)估方法和流程，但在實(shí)踐過(guò)程中，不應(yīng)只是這些方法的套用和拷貝，而是以他們作為參考，根據(jù)企業(yè)的特點(diǎn)及安全風(fēng)險(xiǎn)評(píng)估的能力，進(jìn)行“基因”重組，定制個(gè)性化的評(píng)估方法，使得評(píng)估服務(wù)具有可裁剪性和靈活性。評(píng)估種類一般有整體評(píng)估、IT安全評(píng)估、滲透測(cè)試、邊界評(píng)估、網(wǎng)絡(luò)結(jié)構(gòu)評(píng)估、脆弱性掃描、策略評(píng)估、應(yīng)用風(fēng)險(xiǎn)評(píng)估等。

（二）安全整體框架的設(shè)計(jì)

風(fēng)險(xiǎn)評(píng)估的目的，不僅在于明確風(fēng)險(xiǎn)，更重要的是為管理風(fēng)險(xiǎn)提供基礎(chǔ)和依據(jù)。作為評(píng)估直接輸出，用于進(jìn)行風(fēng)險(xiǎn)管理的安全整體框架。但是由于不同企業(yè)環(huán)境差異、需求差異，加上在操作層面可參考的模板很少，使得整體框架應(yīng)用較少。但是，企業(yè)至少應(yīng)該完成近期1～2年內(nèi)框架，這樣才能做到有律可依。

（三）多用戶決策評(píng)估

不同層面的用戶能看到不同的問(wèn)題，要全面了解風(fēng)險(xiǎn)，必須進(jìn)行多用戶溝通評(píng)估。將評(píng)估過(guò)程作為多用戶“決策”過(guò)程，對(duì)于了解風(fēng)險(xiǎn)、理解風(fēng)險(xiǎn)、管理風(fēng)險(xiǎn)、落實(shí)行動(dòng)，具有極大的意義。事實(shí)證明，多用戶參與的效果非常明顯。多用戶“決策”評(píng)估，也需要一個(gè)具體的流程和方法。

（四）敏感性分析

由于企業(yè)的系統(tǒng)越發(fā)復(fù)雜且互相關(guān)聯(lián)，使得風(fēng)險(xiǎn)越來(lái)越隱蔽。要提高評(píng)估效果，必須進(jìn)行深入關(guān)聯(lián)分析，比如對(duì)一個(gè)老漏洞，不是簡(jiǎn)單地分析它的影響和解決措施，而是要推斷出可能相關(guān)的其他技術(shù)和管理漏洞，找出病“根”，開出有效的“處方”。這需要強(qiáng)大的評(píng)估經(jīng)驗(yàn)知識(shí)庫(kù)支撐，同時(shí)要求評(píng)估者具有敏銳的分析能力。

（五）集中化決策管理

安全風(fēng)險(xiǎn)評(píng)估需要具有多種知識(shí)和能力的人參與，對(duì)這些能力和知識(shí)的管理，有助于提高評(píng)估的效果。集中化決策管理，是評(píng)估項(xiàng)目成功的保障條件之一，它不僅是項(xiàng)目管理問(wèn)題，而且是知識(shí)、能力等“基因”的組合運(yùn)用。必須選用具有特殊技能的人，去執(zhí)行相應(yīng)的關(guān)鍵任務(wù)。如控制臺(tái)審計(jì)和滲透性測(cè)試，由不具備攻防經(jīng)驗(yàn)和知識(shí)的人執(zhí)行，就達(dá)不到任何效果。

（六）評(píng)估結(jié)果管理

安全風(fēng)險(xiǎn)評(píng)估的輸出，不應(yīng)是文檔的堆砌，而是一套能夠進(jìn)行記錄、管理的系統(tǒng)。它可能不是一個(gè)完整的風(fēng)險(xiǎn)管理系統(tǒng)，但至少是一個(gè)非常重要的可管理的風(fēng)險(xiǎn)表述系統(tǒng)。企業(yè)需要這樣的評(píng)估管理系統(tǒng)，使用它來(lái)指導(dǎo)評(píng)估過(guò)程，管理評(píng)估結(jié)果，以便在管理層面提高評(píng)估效果。

四、風(fēng)險(xiǎn)評(píng)估的過(guò)程

（一）前期準(zhǔn)備階段

主要任務(wù)是明確評(píng)估目標(biāo)，確定評(píng)估所涉及的業(yè)務(wù)范圍，簽署相關(guān)合同及協(xié)議，接收被評(píng)估對(duì)象已存在的相關(guān)資料。展開對(duì)被評(píng)估對(duì)象的調(diào)查研究工作。

（二）中期現(xiàn)場(chǎng)階段

編寫測(cè)評(píng)方案，準(zhǔn)備現(xiàn)場(chǎng)測(cè)試表、管理問(wèn)卷，展開現(xiàn)場(chǎng)階段的測(cè)試和調(diào)查研究階段。

（三）后期評(píng)估階段

撰寫系統(tǒng)測(cè)試報(bào)告。進(jìn)行補(bǔ)充調(diào)查研究，評(píng)估組依據(jù)系統(tǒng)測(cè)試報(bào)告和補(bǔ)充調(diào)研結(jié)果形成最終的系統(tǒng)風(fēng)險(xiǎn)評(píng)估報(bào)告。

五、風(fēng)險(xiǎn)評(píng)估的錯(cuò)誤理解

1.不能把最終的系統(tǒng)風(fēng)險(xiǎn)評(píng)估報(bào)告認(rèn)為是結(jié)果唯一。

2.不能認(rèn)為風(fēng)險(xiǎn)評(píng)估可以發(fā)現(xiàn)所有的安全問(wèn)題。

3.不能認(rèn)為風(fēng)險(xiǎn)評(píng)估可以一勞永逸的解決安全問(wèn)題。

4.不能認(rèn)為風(fēng)險(xiǎn)評(píng)估就是漏洞掃描。

5.不能認(rèn)為風(fēng)險(xiǎn)評(píng)估就是 IT部門的工作，與其它部門無(wú)關(guān)。

6.不能認(rèn)為風(fēng)險(xiǎn)評(píng)估是對(duì)所有信息資產(chǎn)都進(jìn)行評(píng)估。

六、結(jié)語(yǔ)

總之，風(fēng)險(xiǎn)評(píng)估可以明確信息系統(tǒng)的安全狀況和主要安全風(fēng)險(xiǎn)。風(fēng)險(xiǎn)評(píng)估是信息系統(tǒng)安全技術(shù)體系與管理體系建設(shè)的基礎(chǔ)。通過(guò)風(fēng)險(xiǎn)評(píng)估及早發(fā)現(xiàn)安全隱患并采取相應(yīng)的加固方案是信息系統(tǒng)安全工程的重要組成部分，是建立信息系統(tǒng)安全體系的基礎(chǔ)和前提。加強(qiáng)信息安全風(fēng)險(xiǎn)評(píng)估工作是當(dāng)前信息安全工作的客觀需要和緊迫需求，但是，信息安全評(píng)估工作的實(shí)施也存在一定的難題，涉及信息安全評(píng)估的行業(yè)或系統(tǒng)各不相同，并不是所有的評(píng)估方法都適用于任何一個(gè)行業(yè)，要選擇合適的評(píng)估方法，或開發(fā)適合于某一特定行業(yè)或系統(tǒng)的特定評(píng)估方法，是當(dāng)前很現(xiàn)實(shí)的問(wèn)題，也會(huì)成為下一步研究的重點(diǎn)。

參考文獻(xiàn)：

[1]剛，吳昌倫.信息安全風(fēng)險(xiǎn)評(píng)估的策劃[J].信息技術(shù)與標(biāo)準(zhǔn)化，2004，09

[2]賈穎禾.信息安全風(fēng)險(xiǎn)評(píng)估[J].中國(guó)計(jì)算機(jī)用戶，2004，24

篇8

2.信息安全風(fēng)險(xiǎn)評(píng)估方法

（1）安全風(fēng)險(xiǎn)評(píng)估。為確定這種可能性，需分析系統(tǒng)的威脅以及由此表現(xiàn)出的脆弱性。影響是按照系統(tǒng)在單位任務(wù)實(shí)施中的重要程度來(lái)確定的。風(fēng)險(xiǎn)評(píng)估以現(xiàn)實(shí)系統(tǒng)安全為目的，按照科學(xué)的程序和方法，對(duì)系統(tǒng)中的危險(xiǎn)要素進(jìn)行充分的定性、定量分析，并作出綜合評(píng)價(jià)，以便針對(duì)存在的問(wèn)題，根據(jù)當(dāng)前科學(xué)技術(shù)和經(jīng)濟(jì)條件，提出有效的安全措施，消除危險(xiǎn)或?qū)⑽ｋU(xiǎn)降到最低程度。即：風(fēng)險(xiǎn)評(píng)估是對(duì)系統(tǒng)存在的固有和潛在危險(xiǎn)及風(fēng)險(xiǎn)性進(jìn)行定性和定量分析，得出系統(tǒng)發(fā)送危險(xiǎn)的可能性和程度評(píng)價(jià)，以尋求最低的事故率、最少的損失和最優(yōu)的安全投資效益。（2）風(fēng)險(xiǎn)評(píng)估的主要內(nèi)容。①技術(shù)層面。評(píng)估和分析網(wǎng)絡(luò)和主機(jī)上存在的安全技術(shù)風(fēng)險(xiǎn)，包括物理環(huán)境、網(wǎng)絡(luò)設(shè)備、主機(jī)系統(tǒng)、操作系統(tǒng)、數(shù)據(jù)庫(kù)、應(yīng)用系統(tǒng)等軟、硬件設(shè)備。②管理層面。從本單位的工作性質(zhì)、人員組成、組織結(jié)構(gòu)、管理制度、網(wǎng)絡(luò)系統(tǒng)運(yùn)行保障措施及其他運(yùn)行管理規(guī)范等角度，分析業(yè)務(wù)運(yùn)作和管理方面存在的安全缺陷。（3）風(fēng)險(xiǎn)評(píng)估方法。①技術(shù)評(píng)估和整體評(píng)估。技術(shù)評(píng)估是指對(duì)組織的技術(shù)基礎(chǔ)結(jié)構(gòu)和程序系統(tǒng)、及時(shí)地檢查，包括對(duì)組織內(nèi)部計(jì)算環(huán)境的安全性及對(duì)內(nèi)外攻擊脆弱性的完整性攻擊。整體風(fēng)險(xiǎn)評(píng)估擴(kuò)展了上述技術(shù)評(píng)估的范圍，著眼于分析組織內(nèi)部與安全相關(guān)的風(fēng)險(xiǎn)，包括內(nèi)部和外部的風(fēng)險(xiǎn)源、技術(shù)基礎(chǔ)和組織結(jié)構(gòu)以及基于電子的和基于人的風(fēng)險(xiǎn)。②定性評(píng)估和定量評(píng)估。定性分析方法是使用最廣泛的風(fēng)險(xiǎn)分析方法。根據(jù)組織本身歷史事件的統(tǒng)計(jì)記錄等方法確定資產(chǎn)的價(jià)值權(quán)重，威脅發(fā)生的可能性以及如將其賦值為“極低、低、中、高、極高”。③基于知識(shí)的評(píng)估和基于模型的評(píng)估。基于知識(shí)的風(fēng)險(xiǎn)評(píng)估方法主要依靠經(jīng)驗(yàn)進(jìn)行。經(jīng)驗(yàn)從安全專家處獲取并憑此來(lái)解決相似場(chǎng)景的風(fēng)險(xiǎn)評(píng)估問(wèn)題。該方法的優(yōu)越性在于能直接提供推薦的保護(hù)措施、結(jié)構(gòu)框架和實(shí)施計(jì)劃。（4）信息安全風(fēng)險(xiǎn)的計(jì)算。①計(jì)算安全事件發(fā)生的可能性。根據(jù)威脅出現(xiàn)頻率及弱點(diǎn)的狀況，計(jì)算威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性。具體評(píng)估中，應(yīng)綜合攻擊者技術(shù)能力、脆弱性被利用的難易程度、資產(chǎn)吸引力等因素判斷安全事件發(fā)生的可能性。②計(jì)算安全事件發(fā)生后的損失。根據(jù)資產(chǎn)價(jià)值及脆弱性的嚴(yán)重程度，計(jì)算安全事件一旦發(fā)生后的損失。部分安全事件損失的發(fā)生不僅針對(duì)該資產(chǎn)本身，還可能影響業(yè)務(wù)的連續(xù)性；不同安全事件的發(fā)生對(duì)組織造成的影響也不一樣。③計(jì)算風(fēng)險(xiǎn)值。根據(jù)計(jì)算出的安全事件發(fā)生的可能性以及安全事件的損失計(jì)算風(fēng)險(xiǎn)值。

3.風(fēng)險(xiǎn)評(píng)估模型選擇

參考多個(gè)國(guó)際風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)，建立了由安全風(fēng)險(xiǎn)管理流程模型、安全風(fēng)險(xiǎn)關(guān)系模型和安全風(fēng)險(xiǎn)計(jì)算模型共同組成的安全風(fēng)險(xiǎn)模型（見圖1）。（1）安全風(fēng)險(xiǎn)管理過(guò)程模型。①風(fēng)險(xiǎn)評(píng)估過(guò)程。信息安全評(píng)估包括技術(shù)評(píng)估和管理評(píng)估。②安全風(fēng)險(xiǎn)報(bào)告。提交安全風(fēng)險(xiǎn)報(bào)告，獲知安全風(fēng)險(xiǎn)狀況是安全評(píng)估的主要目標(biāo)。③風(fēng)險(xiǎn)評(píng)估管理系統(tǒng)。根據(jù)單位安全風(fēng)險(xiǎn)分析與風(fēng)險(xiǎn)評(píng)估的結(jié)果，建立本單位的風(fēng)險(xiǎn)管理系統(tǒng)，將風(fēng)險(xiǎn)評(píng)估結(jié)果入庫(kù)保存，為安全管理和問(wèn)題追蹤提供數(shù)據(jù)基礎(chǔ)。④安全需求分析。根據(jù)本單位安全風(fēng)險(xiǎn)評(píng)估報(bào)告，確定有效安全需求。⑤安全建議。依據(jù)風(fēng)險(xiǎn)評(píng)估結(jié)果，提出相關(guān)建議，協(xié)助構(gòu)建本單位安全體系結(jié)構(gòu)，結(jié)合組織本地、遠(yuǎn)程網(wǎng)絡(luò)架構(gòu)，為制定完整動(dòng)態(tài)的安全解決方案提供參考。⑥風(fēng)險(xiǎn)控制。根據(jù)安全風(fēng)險(xiǎn)報(bào)告，結(jié)合單位特點(diǎn)，針對(duì)面對(duì)的安全風(fēng)險(xiǎn)，分析將面對(duì)的安全影響，提供相應(yīng)的風(fēng)險(xiǎn)控制建議。⑦監(jiān)控審核。風(fēng)險(xiǎn)管理過(guò)程中每一個(gè)步驟都需要進(jìn)行監(jiān)控和審核程序，保證整個(gè)評(píng)估過(guò)程規(guī)范、安全、可信。⑧溝通、咨詢與文檔管理。整個(gè)風(fēng)險(xiǎn)管理過(guò)程的溝通、咨詢是保證風(fēng)險(xiǎn)評(píng)估項(xiàng)目成功實(shí)施的關(guān)鍵因素。（2）安全風(fēng)險(xiǎn)關(guān)系模型。安全風(fēng)險(xiǎn)關(guān)系模型以風(fēng)險(xiǎn)為中心，形象地描述了面臨的風(fēng)險(xiǎn)、弱點(diǎn)、威脅及其相應(yīng)的資產(chǎn)價(jià)值、防護(hù)需求、保護(hù)措施等動(dòng)態(tài)循環(huán)的復(fù)雜關(guān)系。（3）安全風(fēng)險(xiǎn)計(jì)算模型。安全風(fēng)險(xiǎn)計(jì)算模型中詳細(xì)、具體地提供了風(fēng)險(xiǎn)計(jì)算的方法，通過(guò)威脅級(jí)別、威脅發(fā)生的概率及風(fēng)險(xiǎn)評(píng)估矩陣得出安全風(fēng)險(xiǎn)。

篇9

2信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的過(guò)程管理

可以從五個(gè)方面解釋信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的生命周期，即數(shù)據(jù)收集、計(jì)劃準(zhǔn)備、數(shù)據(jù)分析、項(xiàng)目驗(yàn)收、報(bào)告撰寫，其中一三五是風(fēng)險(xiǎn)評(píng)估的主要實(shí)施階段。

2.1計(jì)劃準(zhǔn)備階段

（1）制定項(xiàng)目章程。在信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目中，應(yīng)盡早確認(rèn)并任命項(xiàng)目經(jīng)理，最好在制定項(xiàng)目章程時(shí)就任命。項(xiàng)目經(jīng)理的職責(zé)首先就在于應(yīng)該參與制定項(xiàng)目章程，而該章程則具有授權(quán)的作用，即它能夠使得經(jīng)理能夠運(yùn)用組織資源來(lái)進(jìn)行項(xiàng)目的實(shí)施。顯而易見，項(xiàng)目經(jīng)理是被授權(quán)的一方，必然不能成為授權(quán)項(xiàng)目運(yùn)行有效的一方。授權(quán)項(xiàng)目啟動(dòng)的人一般而言能夠提供實(shí)施項(xiàng)目所需要的資金等資源，他們能夠參與章程的編制。

（2）確定風(fēng)險(xiǎn)評(píng)估范圍。確定風(fēng)險(xiǎn)評(píng)估范圍即要了解什么方面或者對(duì)象具有風(fēng)險(xiǎn)爆發(fā)的可能，例如公司的服務(wù)器數(shù)目、電腦操作系統(tǒng)的安全性和穩(wěn)定性、應(yīng)用的防火墻種類和數(shù)目等，甚至一些人為的因素也是重要的參考。

（3）明確風(fēng)險(xiǎn)評(píng)估成果。在信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目中，應(yīng)該在項(xiàng)目開始之前，與客戶將項(xiàng)目提交的成果及要求確定下來(lái)。明確風(fēng)險(xiǎn)評(píng)估成果之后，在項(xiàng)目執(zhí)行過(guò)程中，該目標(biāo)也應(yīng)該作為項(xiàng)目驗(yàn)收的標(biāo)準(zhǔn)。

（4）制定項(xiàng)目實(shí)施方案。項(xiàng)目實(shí)施方案是項(xiàng)目活動(dòng)實(shí)施的具體流程，主要用來(lái)為項(xiàng)目實(shí)施提供技術(shù)指導(dǎo)。

（5）制定項(xiàng)目管理計(jì)劃。如果想要計(jì)劃實(shí)施過(guò)程一切順利，或者說(shuō)對(duì)定義等計(jì)劃行動(dòng)的過(guò)程需要記錄的話，就會(huì)需要制定一個(gè)項(xiàng)目管理計(jì)劃。項(xiàng)目管理計(jì)劃需要通過(guò)不斷更新來(lái)漸進(jìn)明細(xì)。項(xiàng)目管理計(jì)劃不能冗余，相反應(yīng)該極其精煉，但是精煉并不意味著簡(jiǎn)單，相反項(xiàng)目管理計(jì)劃應(yīng)詳細(xì)論述和解釋完成這個(gè)項(xiàng)目所需要的一些條件。

（6）組建項(xiàng)目團(tuán)隊(duì)。一個(gè)優(yōu)秀的項(xiàng)目團(tuán)隊(duì)是完成項(xiàng)目所必不可少的，是一種必須的人力資源。在項(xiàng)目開始時(shí)，一般而言，由項(xiàng)目經(jīng)理來(lái)決定優(yōu)秀團(tuán)隊(duì)的組成，并且在組建團(tuán)隊(duì)時(shí)應(yīng)該注意談判技巧。

（7）召開項(xiàng)目啟動(dòng)會(huì)。項(xiàng)目啟動(dòng)會(huì)代表著一個(gè)項(xiàng)目從此開始了正式的運(yùn)作，是一個(gè)項(xiàng)目的啟動(dòng)階段，在項(xiàng)目啟動(dòng)會(huì)上需要完成的任務(wù)包括分析評(píng)估完成項(xiàng)目所需要的方法和成本等問(wèn)題。

（8）風(fēng)險(xiǎn)評(píng)估培訓(xùn)。風(fēng)險(xiǎn)評(píng)估培訓(xùn)是對(duì)項(xiàng)目團(tuán)隊(duì)成員及客戶的項(xiàng)目參與者就風(fēng)險(xiǎn)評(píng)估方法、評(píng)估過(guò)程的相關(guān)細(xì)節(jié)性進(jìn)行培訓(xùn)，以便項(xiàng)目能順利實(shí)施。

2.2數(shù)據(jù)收集階段

主要包括收集資料、現(xiàn)場(chǎng)技術(shù)評(píng)估、現(xiàn)場(chǎng)管理評(píng)估三項(xiàng)任務(wù)。

（1）收集資料。數(shù)據(jù)收集階段最開始的步驟肯定是收集資料，簡(jiǎn)而言之，收集資料就是采取一切可行的方法，盡可能詳細(xì)地獲得和項(xiàng)目相關(guān)的一些信息，例如客戶的行為習(xí)慣、客戶業(yè)務(wù)相關(guān)的文檔，甚至信息安全系統(tǒng)、信息化流程等信息都要盡量詳細(xì)化。

（2）現(xiàn)場(chǎng)技術(shù)評(píng)估。現(xiàn)場(chǎng)技術(shù)評(píng)估就是通過(guò)漏洞掃描、問(wèn)卷調(diào)查、現(xiàn)場(chǎng)訪談、主機(jī)配置審計(jì)、現(xiàn)場(chǎng)勘查等手段對(duì)評(píng)估對(duì)象進(jìn)行評(píng)估。

（3）現(xiàn)場(chǎng)管理評(píng)估。現(xiàn)場(chǎng)管理評(píng)估是最后一個(gè)步驟，但是卻非常重要，它不僅關(guān)系著此次項(xiàng)目運(yùn)行成功與否，還關(guān)系到以后項(xiàng)目效率的改進(jìn)，現(xiàn)場(chǎng)評(píng)估需要對(duì)項(xiàng)目進(jìn)展的流程進(jìn)行綜合分析，找出不足之處，尋出與優(yōu)秀的項(xiàng)目管理之間的差距，歸納總結(jié)，從而完善管理程序。

2.3數(shù)據(jù)分析階段

收集數(shù)據(jù)階段已經(jīng)收集了很多的數(shù)據(jù)存量，想要發(fā)現(xiàn)數(shù)據(jù)的內(nèi)在規(guī)律，從而發(fā)現(xiàn)有用的東西，就必須對(duì)數(shù)據(jù)進(jìn)行詳細(xì)分析，只有仔細(xì)分析數(shù)據(jù)，才能夠發(fā)現(xiàn)項(xiàng)目的風(fēng)險(xiǎn)所在，從而確定風(fēng)險(xiǎn)的大小，找出其資產(chǎn)、弱點(diǎn)、風(fēng)險(xiǎn)。

2.4報(bào)告撰寫階段

對(duì)收集到的數(shù)據(jù)進(jìn)行了詳細(xì)分析，得到初步的結(jié)論以后，就到了報(bào)告撰寫階段，即在數(shù)據(jù)分析的基礎(chǔ)上，制作一份報(bào)告，論述項(xiàng)目的風(fēng)險(xiǎn)問(wèn)題。

（1）撰寫風(fēng)險(xiǎn)評(píng)估報(bào)告。風(fēng)險(xiǎn)評(píng)估報(bào)告應(yīng)該將風(fēng)險(xiǎn)分析的結(jié)果直觀地、形象地表達(dá)出來(lái)，讓管理層清楚地了解當(dāng)前信息系統(tǒng)存在的風(fēng)險(xiǎn)。

（2）撰寫整改報(bào)告。整改報(bào)告則是根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，提出對(duì)風(fēng)險(xiǎn)進(jìn)行管理與控制的過(guò)程。可分為安全加固建議、安全體系結(jié)構(gòu)建議、安全管理建議三種。

2.5項(xiàng)目驗(yàn)收階段

在完成了以上的步驟以后，理論上就可以對(duì)項(xiàng)目進(jìn)行驗(yàn)收了，項(xiàng)目驗(yàn)收即對(duì)前期風(fēng)險(xiǎn)評(píng)估成果的檢驗(yàn)，一般包括三項(xiàng)內(nèi)容，即報(bào)告的評(píng)審、組織會(huì)議討論驗(yàn)收事宜以及內(nèi)部項(xiàng)目總結(jié)。

（1）報(bào)告評(píng)審報(bào)告評(píng)審就是對(duì)風(fēng)險(xiǎn)評(píng)估報(bào)告及整改報(bào)告進(jìn)行評(píng)審。

（2）召開項(xiàng)目驗(yàn)收會(huì)即對(duì)項(xiàng)目的成果進(jìn)行匯報(bào)。

（3）內(nèi)部項(xiàng)目總結(jié)不僅僅是單純的對(duì)項(xiàng)目實(shí)施過(guò)程的一次簡(jiǎn)單的回顧，還是一個(gè)經(jīng)驗(yàn)總結(jié)的過(guò)程，回顧過(guò)去，把握現(xiàn)在，爭(zhēng)取在以后的項(xiàng)目中不再犯同樣的錯(cuò)誤。

3信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的重點(diǎn)領(lǐng)域管理

信息安全問(wèn)題影響深遠(yuǎn)，其風(fēng)險(xiǎn)評(píng)估應(yīng)根據(jù)項(xiàng)目的特點(diǎn)及具體過(guò)程，且應(yīng)在評(píng)估中重點(diǎn)加強(qiáng)溝通、范圍、時(shí)間、成本、風(fēng)險(xiǎn)、人力資源等幾個(gè)領(lǐng)域的管理。

3.1項(xiàng)目溝通管理

為了達(dá)到項(xiàng)目目標(biāo)，項(xiàng)目經(jīng)理首先必須通過(guò)溝通談判從本公司獲得相應(yīng)的人力資源等支持；其次，為了獲得客戶的支持與配合，提高項(xiàng)目滿意度，項(xiàng)目經(jīng)理必須與客戶進(jìn)行有效溝通。項(xiàng)目的最終目標(biāo)是滿足或者超過(guò)干系人的需求與期望。要滿足或者超過(guò)干系人的需求與期望，首先應(yīng)該識(shí)別干系人，識(shí)別他們的需求與期望，制定溝通計(jì)劃，在項(xiàng)目實(shí)施過(guò)程中管理干系人的需求與期望。

（1）識(shí)別干系人。很顯然，與項(xiàng)目的相關(guān)程度不同，不同的人對(duì)項(xiàng)目信息安全風(fēng)險(xiǎn)具有不同的影響，作為客戶方與項(xiàng)目實(shí)施方，其公司企業(yè)的信息安全風(fēng)險(xiǎn)是不一樣的，一般而言客戶方具有最大的影響力，公司方則次之，干系人對(duì)項(xiàng)目的態(tài)度也是影響項(xiàng)目信息安全風(fēng)險(xiǎn)的重要因素，態(tài)度一般分為無(wú)關(guān)、支持和反對(duì)三個(gè)。

（2）了解干系人的需求與期望。應(yīng)該在充分了解項(xiàng)目背景的基礎(chǔ)上，運(yùn)用一定的方法與技巧了解干系人的需求與期望。①了解項(xiàng)目背景。可以咨詢售前顧問(wèn)、銷售人員或者查閱招標(biāo)時(shí)的招標(biāo)書，甚至可以通過(guò)互聯(lián)網(wǎng)獲得相關(guān)信息。風(fēng)險(xiǎn)評(píng)估項(xiàng)目的項(xiàng)目背景也是復(fù)雜的，一般而言會(huì)分成很多的情況，比較常見的有項(xiàng)目本身實(shí)施過(guò)程中出現(xiàn)的信息安全事件、監(jiān)管機(jī)制的不合理等。②了解干系人需求與期望的方法。馬期洛需求層次理論可以幫助我們了解干系人需求與期望。通過(guò)馬期洛需求層次理論可以大致了解干系人的需求，然后通過(guò)換位思考、溝通交流等手段，進(jìn)一步確認(rèn)干系人的需求與期望。

（3）制定溝通計(jì)劃。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目需要溝通，所以需要制定一個(gè)有效的溝通計(jì)劃。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目不能夠隨意地制定溝通計(jì)劃，而應(yīng)該詳細(xì)地分析相關(guān)的影響因素，重點(diǎn)關(guān)注利益相關(guān)者的溝通情況，從而降低影響，提高效率。

（4）管理干系人的需求與期望。干系人的期望與需求也應(yīng)該得到恰當(dāng)?shù)墓芾恚钪匾氖且鞔_期望與需求，進(jìn)行類別的劃分。可分為A、B、C三類：A類：必須做（need），這一類如不做，將難以通過(guò)驗(yàn)收；B類：應(yīng)該做（want），這一類如不做，會(huì)影響驗(yàn)收效果；C類：可以做（wish），這一類是可做可不做的，做了客戶會(huì)更加滿意，不做也不會(huì)影響驗(yàn)收。其次，在管理干系人的需求與期望時(shí)，應(yīng)該遵循80/20規(guī)則，即完成20%的任務(wù)實(shí)現(xiàn)80%的價(jià)值，這部分任務(wù)必須作為重點(diǎn)。另外，可能還有20%的任務(wù)花費(fèi)80%的成本，在資源及時(shí)間允許的情況下處理此類需求與期望。再次，在管理干系人的需求與期望時(shí)也可以根據(jù)干系人的職權(quán)（權(quán)力）進(jìn)行管理。①在第一象限中的干系人權(quán)力高，但對(duì)項(xiàng)目關(guān)注程度低，采用令其滿意的管理策略。②在第二象限中的干系人權(quán)力高，且對(duì)項(xiàng)目關(guān)注程度高，要對(duì)其重點(diǎn)管理，優(yōu)先滿足其需要與期望。③第三象限的人員對(duì)項(xiàng)目關(guān)注程度高，但權(quán)力較低，采用隨時(shí)告知的策略，盡量不要影響其個(gè)人利益。④第四象限的人權(quán)力低，且對(duì)項(xiàng)目不關(guān)注，要監(jiān)督他們對(duì)項(xiàng)目的反應(yīng)，不引起負(fù)面影響。最后，為了滿足干系人的需求與期望，需要在項(xiàng)目范圍、項(xiàng)目時(shí)間、項(xiàng)目成本、項(xiàng)目質(zhì)量之間做好平衡。

3.2項(xiàng)目范圍管理

范圍是一個(gè)空間的范疇，一個(gè)項(xiàng)目管理的范圍規(guī)定了一個(gè)項(xiàng)目的權(quán)限范圍，規(guī)定了項(xiàng)目可以做哪些事情，而哪些事情是不能做的，實(shí)際上是對(duì)必要工作的堅(jiān)持和對(duì)不必要工作的摒棄。

（1）明確風(fēng)險(xiǎn)評(píng)估范圍。項(xiàng)目計(jì)劃準(zhǔn)備時(shí)就要考慮風(fēng)險(xiǎn)評(píng)估范圍，在這一階段就應(yīng)該定義項(xiàng)目范圍的廣泛性以及縱深等內(nèi)容，并且考慮客戶的需求，從而明確項(xiàng)目管理范圍。項(xiàng)目范圍的確定不是一方所能夠決定的，相反這是一個(gè)博弈的過(guò)程，應(yīng)該照顧各方的利益，制定出一個(gè)符合各方利益的項(xiàng)目管理范圍。

（2）明確風(fēng)險(xiǎn)評(píng)估成果。應(yīng)該在項(xiàng)目開始之前，與客戶將項(xiàng)目提交的成果及要求確定下來(lái)。一是在項(xiàng)目執(zhí)行過(guò)程中，以此為目標(biāo)；二是設(shè)定一個(gè)驗(yàn)收項(xiàng)目的標(biāo)準(zhǔn)。

（3）創(chuàng)建工作分解結(jié)構(gòu)。顧名思義，創(chuàng)建工作分解結(jié)構(gòu)即將解構(gòu)分解，即把項(xiàng)目的最后結(jié)果和其工作流程明細(xì)化，從而使得每一步變得簡(jiǎn)單，更加容易操作。在信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目中，第一層一般就放置項(xiàng)目成果，而第二層則更加側(cè)重中間成果。顯而易見，分解工作結(jié)構(gòu)并不是一件簡(jiǎn)單的事情，也不是只有一種方法，各層次都是可以相互變化的。

（4）風(fēng)險(xiǎn)評(píng)估范圍控制。范圍是所有計(jì)劃的基礎(chǔ)。對(duì)待客戶提出范圍變更應(yīng)該遵循以下流程：首先不能明確拒絕，然后要分析客戶變更的原因及目的，快速反應(yīng)變更所需要的人工及預(yù)算對(duì)時(shí)間和質(zhì)量的影響，然后再做出決定。

（5）風(fēng)險(xiǎn)評(píng)估成果核實(shí)。風(fēng)險(xiǎn)評(píng)估成果核實(shí)過(guò)程應(yīng)該嚴(yán)謹(jǐn)而且細(xì)心，因?yàn)檫@是一個(gè)正式驗(yàn)收項(xiàng)目的過(guò)程，需要由客戶和項(xiàng)目的執(zhí)行人一起認(rèn)真核實(shí)項(xiàng)目的最終結(jié)果。

（6）取得干系人對(duì)項(xiàng)目范圍正式認(rèn)可。它要求審查可交付成果和工作結(jié)果，以保證一切均已正確無(wú)誤且令人滿意地完成。

3.3項(xiàng)目時(shí)間管理

時(shí)間管理至關(guān)重要，因?yàn)閮?yōu)秀的時(shí)間管理保證項(xiàng)目能夠不延期交付。

（1）定義活動(dòng)。定義活動(dòng)從字面上理解就是一個(gè)識(shí)別的過(guò)程，定義識(shí)別的是在項(xiàng)目的實(shí)施過(guò)程中需要采取的一切實(shí)施方法和步驟。它是在工作分解結(jié)構(gòu)的基礎(chǔ)上進(jìn)行細(xì)化而完成的。

（2）排列活動(dòng)順序。活動(dòng)順序涉及到的是一個(gè)排列的問(wèn)題，指的是一種依賴關(guān)系，即識(shí)別和記錄項(xiàng)目活動(dòng)的依賴關(guān)系，是一種邏輯的過(guò)程。一般而言，這里所指的依賴關(guān)系指的是信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目中，各個(gè)活動(dòng)之間所具有的特性，如強(qiáng)制性、選擇性和外部依賴性。確定完活動(dòng)之間的依賴關(guān)系，就可以對(duì)他們進(jìn)行排序了，可以采用網(wǎng)絡(luò)圖的方法來(lái)表達(dá)他們之間的順序，常有三種關(guān)系，即完成-開始，開始-開始，結(jié)束-結(jié)束。

（3）估算活動(dòng)持續(xù)時(shí)間。估算活動(dòng)持續(xù)時(shí)間是一個(gè)時(shí)間上的范疇，指的是估計(jì)資源運(yùn)用和消耗，以及估計(jì)完成一項(xiàng)活動(dòng)所需工時(shí)的過(guò)程。需要根據(jù)活動(dòng)的具體情況、負(fù)責(zé)活動(dòng)的人員情況來(lái)進(jìn)行估算。估算不能隨意，應(yīng)該具有嚴(yán)格的依據(jù)。工時(shí)估算時(shí)，常采用三點(diǎn)估算法。即估算工時(shí)=（最樂(lè)觀時(shí)間+4×最可能時(shí)間+最悲觀時(shí)間）/6。①制定進(jìn)度計(jì)劃。制定進(jìn)度計(jì)劃首先需要對(duì)所掌握的信息進(jìn)行深入分析，從而確定活動(dòng)的順序，并且在時(shí)間和空間上確定一個(gè)相對(duì)準(zhǔn)確的點(diǎn)，估算對(duì)資源的需求以及項(xiàng)目實(shí)施流程。制定一個(gè)有效的進(jìn)度計(jì)劃并不是件簡(jiǎn)單的事情，而是極其復(fù)雜的過(guò)程，在這期間需要一遍又一遍分析，從而確定一個(gè)合適的時(shí)間跨度，并且對(duì)項(xiàng)目結(jié)果有一個(gè)合適的預(yù)期。即使制訂了進(jìn)度計(jì)劃，也不是一成不變的，而是要根據(jù)相關(guān)審查部門的意見適當(dāng)?shù)匦薷挠?jì)劃，從而使得計(jì)劃在時(shí)間和資源應(yīng)用上更加合理。只有審查通過(guò)以后，這個(gè)進(jìn)度計(jì)劃才可以說(shuō)是確定下來(lái)了。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目極其復(fù)雜，很多因素?zé)o論是內(nèi)部的還是外部的，都對(duì)項(xiàng)目有很大的影響，并且鑒于有限的項(xiàng)目組成員，所以需要采用一個(gè)更加合適的進(jìn)度計(jì)劃形式。②控制進(jìn)度。控制進(jìn)度的同時(shí)也是一個(gè)對(duì)項(xiàng)目監(jiān)督管理的過(guò)程，這一過(guò)程根據(jù)進(jìn)度計(jì)劃的基準(zhǔn)不斷地調(diào)整項(xiàng)目的進(jìn)程。進(jìn)度控制程序：一般分為四個(gè)步驟，即先要分析一個(gè)項(xiàng)目所散發(fā)的狀態(tài)信息；然后如果需要調(diào)整進(jìn)度，就要調(diào)整影響進(jìn)度的相關(guān)參數(shù)；再次分析以后，要確定一個(gè)項(xiàng)目是否在原定的軌道上；如果進(jìn)度脫離了軌道，就要進(jìn)行相應(yīng)的管理。

3.4項(xiàng)目成本管理

成本管理包括估算成本、制定預(yù)算、控制成本三項(xiàng)任務(wù)。

（1）估算成本。對(duì)成本的估算需要囊括整個(gè)項(xiàng)目的進(jìn)程，時(shí)間跨度和空間跨度上均要全面。成本估算是在某特定時(shí)點(diǎn)，根據(jù)已知信息所做出的成本預(yù)測(cè)。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目的主要成本是人工成本及實(shí)施直接成本，因?yàn)槿斯こ杀菊剂怂谐杀镜囊淮蟛糠郑跃_地估算人工成本是成本估算最基礎(chǔ)的一面。估算人工成本有個(gè)前提，即進(jìn)度計(jì)劃是準(zhǔn)確的，從而對(duì)團(tuán)隊(duì)成員的人工估算做到精確。項(xiàng)目成本即使估算出來(lái)了，也不一定是準(zhǔn)確的，需要時(shí)時(shí)修正，因?yàn)樵降搅隧?xiàng)目的后期，需要估計(jì)的越少，影響估算準(zhǔn)確性的因素也越少，所以成本估算需要不斷進(jìn)行。

（2）制定預(yù)算。制定預(yù)算也是一個(gè)估算的過(guò)程，是對(duì)一個(gè)項(xiàng)目的所有方面進(jìn)行一個(gè)全面的評(píng)估，從而為以后資金的撥付制訂了基礎(chǔ)和基準(zhǔn)。只有制定預(yù)算，才能夠根據(jù)預(yù)算的需求來(lái)劃撥資金，并且影響到了項(xiàng)目的實(shí)施全過(guò)程和成果評(píng)估部分。

（3）控制成本。成本的控制一般而言指的是成本不應(yīng)該超出預(yù)算，控制成本是一個(gè)動(dòng)態(tài)的過(guò)程，是監(jiān)督項(xiàng)目狀態(tài)，從而獲得有用信息以更新項(xiàng)目預(yù)算。項(xiàng)目成本控制包括：找出影響項(xiàng)目成本的因素，并作相應(yīng)的修改；保證修改項(xiàng)目參數(shù)能夠成功；在修改成功以后，要隨時(shí)動(dòng)態(tài)地監(jiān)督；控制成本，使得成本控制在預(yù)算的范圍之內(nèi)，甚至應(yīng)該精確到每一項(xiàng)開支；分析成本與預(yù)算成本基準(zhǔn)之間的差距；對(duì)照資金支出，監(jiān)督工作績(jī)效；嚴(yán)格禁止不相關(guān)的支出，使得每一項(xiàng)成本都合情合理；向有關(guān)干系人匯報(bào)項(xiàng)目進(jìn)展和成本控制的工作；即使項(xiàng)目超支了，也要盡量減少成本。

3.5人力資源管理

人力資源管理在一個(gè)項(xiàng)目執(zhí)行時(shí)包括很多方面的內(nèi)容，例如管理組織一個(gè)實(shí)施團(tuán)隊(duì)、人員分工等。

（1）制定人力資源計(jì)劃。制定人力資源計(jì)劃是在項(xiàng)目實(shí)施之前對(duì)實(shí)施項(xiàng)目的團(tuán)隊(duì)、人員、職務(wù)、報(bào)酬等方面的規(guī)劃，并且對(duì)各個(gè)人和團(tuán)隊(duì)的責(zé)任進(jìn)行詳細(xì)劃分。人力資源計(jì)劃包含項(xiàng)目角色與職責(zé)記錄、分成的各個(gè)部門等。一些信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目執(zhí)行時(shí)間比較長(zhǎng)，因此需要更加有效的團(tuán)隊(duì)，這就需要對(duì)人員進(jìn)行培訓(xùn)以及制定團(tuán)隊(duì)建設(shè)策略等。風(fēng)險(xiǎn)評(píng)估項(xiàng)目的責(zé)任分配并不復(fù)雜，可采用責(zé)任分配矩陣（RAM），這個(gè)矩陣能夠顯示工作包或活動(dòng)與項(xiàng)目團(tuán)隊(duì)成員之間的聯(lián)系。并且根據(jù)需求的不同，制定不同層次的矩陣。

（2）組建項(xiàng)目團(tuán)隊(duì)。組建項(xiàng)目團(tuán)隊(duì)實(shí)際上是對(duì)人力資源使用和分配的過(guò)程，需要了解人力資源的各種特性，從而組建最合適的管理團(tuán)隊(duì)，在組建團(tuán)隊(duì)時(shí)需要注意：項(xiàng)目經(jīng)理所要做的是積極地與人力資源人員進(jìn)行交流，充分掌握各方面的信息，從而獲得最合適和最有效率的人才。但是有時(shí)候項(xiàng)目經(jīng)理并不能總是如愿地獲得自己想要的人力資源，而是會(huì)受到如經(jīng)濟(jì)等其他項(xiàng)目對(duì)資源的占用等因素的影響，從而制約了項(xiàng)目的實(shí)施，作為替代，項(xiàng)目經(jīng)理可能不可避免地使用不合適的人力資源。

（3）管理項(xiàng)目團(tuán)隊(duì)。管理項(xiàng)目團(tuán)隊(duì)是選出來(lái)運(yùn)營(yíng)項(xiàng)目的人所組成的團(tuán)隊(duì)，他們具有多樣化的目標(biāo)，例如繼續(xù)學(xué)習(xí)，提高團(tuán)隊(duì)成員的專業(yè)技能，增強(qiáng)團(tuán)隊(duì)的執(zhí)行能力從而保證項(xiàng)目結(jié)果的按時(shí)交付；以最低的成本完成最高質(zhì)量的項(xiàng)目；按時(shí)完成項(xiàng)目，團(tuán)隊(duì)成員之間相互協(xié)作，增加團(tuán)隊(duì)效率，豐富團(tuán)隊(duì)成員的知識(shí)，增強(qiáng)其跨學(xué)科運(yùn)作能力，提高團(tuán)隊(duì)的凝聚力，無(wú)論整體上還是個(gè)人上都有效率的提升等。項(xiàng)目經(jīng)理在期間應(yīng)該全權(quán)負(fù)責(zé)項(xiàng)目團(tuán)隊(duì)的管理運(yùn)作，增加項(xiàng)目績(jī)效，在團(tuán)隊(duì)出現(xiàn)問(wèn)題時(shí)，分析導(dǎo)致問(wèn)題的原因，然后解決問(wèn)題。團(tuán)隊(duì)建設(shè)一般要經(jīng)過(guò)5個(gè)階段：①形成階段，這個(gè)階段是團(tuán)隊(duì)形成的最初階段，團(tuán)隊(duì)成員只是互相認(rèn)識(shí)，并沒有相應(yīng)的合作。②震蕩階段，指的是團(tuán)隊(duì)已經(jīng)開始運(yùn)作，但是成員之間需要磨合的階段。③規(guī)范階段，過(guò)了磨合期以后，團(tuán)隊(duì)成員彼此之間逐漸適應(yīng)了彼此的節(jié)奏，能夠進(jìn)行初步合作了，團(tuán)隊(duì)開始有成為一個(gè)有效整體的趨向。④成熟階段，這一階段團(tuán)隊(duì)成員之間已經(jīng)能夠精誠(chéng)合作，互補(bǔ)余缺，相互學(xué)習(xí)，團(tuán)隊(duì)效率較高。⑤解散階段，即當(dāng)項(xiàng)目完成以后，各成員完成了職責(zé)，從而脫離團(tuán)隊(duì)。因?yàn)楦鞣N各樣的原因，例如缺乏充足的資金、進(jìn)度安排不合理、團(tuán)隊(duì)成員之間缺乏配合等，會(huì)造成項(xiàng)目環(huán)境的沖突。如果項(xiàng)目經(jīng)理能有效管理，則意見分歧能夠轉(zhuǎn)變?yōu)閳F(tuán)隊(duì)的多樣化管理，不僅能夠提高團(tuán)隊(duì)創(chuàng)造力還有利于做出更好的決策。如果管理不當(dāng)，團(tuán)隊(duì)之間的分歧沒有得到解決，就可能會(huì)加大團(tuán)隊(duì)成員之間的鴻溝，從而對(duì)項(xiàng)目的實(shí)施產(chǎn)生負(fù)面的影響。要建設(shè)高效的項(xiàng)目團(tuán)隊(duì)，項(xiàng)目經(jīng)理需要獲得高層管理者的支持，獲得團(tuán)隊(duì)成員的承諾，采用適當(dāng)?shù)莫?jiǎng)勵(lì)和認(rèn)可機(jī)制，創(chuàng)建團(tuán)隊(duì)認(rèn)同感，有效管理沖突，團(tuán)隊(duì)成員間增進(jìn)信任和開放式溝通，特別是要有良好的團(tuán)隊(duì)領(lǐng)導(dǎo)力。項(xiàng)目團(tuán)隊(duì)管理的一些工具與技術(shù)包括：①人際關(guān)系技能。通過(guò)了解項(xiàng)目團(tuán)隊(duì)成員的感情來(lái)預(yù)測(cè)其行動(dòng)，了解其后顧之憂，并盡力幫助解決問(wèn)題，項(xiàng)目管理團(tuán)隊(duì)可大大減少麻煩并促進(jìn)合作。②培訓(xùn)。旨在提高項(xiàng)目團(tuán)隊(duì)成員能力的全部活動(dòng)，培訓(xùn)可以是正式或非正式的。應(yīng)該按人力資源計(jì)劃中的安排來(lái)實(shí)施預(yù)定的培訓(xùn)。③制定管理規(guī)范，對(duì)項(xiàng)目團(tuán)隊(duì)成員的可接受行為做出明確規(guī)定。盡早制定并遵守明確的規(guī)則，可減少誤解，提高生產(chǎn)力。規(guī)則一旦建立，全體項(xiàng)目團(tuán)隊(duì)成員都必須遵守。④認(rèn)可與獎(jiǎng)勵(lì)。如果想要提高項(xiàng)目團(tuán)隊(duì)的效率，使得每個(gè)人更加盡心和更加富有責(zé)任感，就應(yīng)在團(tuán)隊(duì)建設(shè)過(guò)程中引進(jìn)相應(yīng)的激勵(lì)機(jī)制，在制定項(xiàng)目計(jì)劃時(shí)就應(yīng)該考慮到團(tuán)隊(duì)成員的獎(jiǎng)懲問(wèn)題。在管理項(xiàng)目團(tuán)隊(duì)的過(guò)程中，團(tuán)隊(duì)成員的獎(jiǎng)勵(lì)不是隨意而發(fā)的，而是通過(guò)項(xiàng)目績(jī)效評(píng)價(jià)，以正式或非正式的方式做出獎(jiǎng)勵(lì)決定。只有優(yōu)良行為才能得到獎(jiǎng)勵(lì)。

3.6項(xiàng)目風(fēng)險(xiǎn)管理

項(xiàng)目風(fēng)險(xiǎn)管理旨在降低風(fēng)險(xiǎn)，或者把風(fēng)險(xiǎn)控制在可控范圍之內(nèi)。其目標(biāo)是盡力使得項(xiàng)目運(yùn)行向著有利的方面轉(zhuǎn)化，對(duì)消極負(fù)面的一部分則注意防范。信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目不屬于特別大的項(xiàng)目，所以一般分為識(shí)別風(fēng)險(xiǎn)、評(píng)價(jià)風(fēng)險(xiǎn)、規(guī)劃風(fēng)險(xiǎn)應(yīng)對(duì)、監(jiān)控風(fēng)險(xiǎn)四個(gè)過(guò)程。

（1）識(shí)別風(fēng)險(xiǎn)。識(shí)別風(fēng)險(xiǎn)是風(fēng)險(xiǎn)管理的前提，是一個(gè)信息處理的過(guò)程，在這個(gè)過(guò)程中判斷分析什么樣的風(fēng)險(xiǎn)會(huì)影響項(xiàng)目。可采用核對(duì)表的方式進(jìn)行風(fēng)險(xiǎn)識(shí)別。

（2）評(píng)價(jià)風(fēng)險(xiǎn)。對(duì)于信息安全風(fēng)險(xiǎn)評(píng)估項(xiàng)目，評(píng)價(jià)風(fēng)險(xiǎn)只需要定性評(píng)價(jià)即可。實(shí)施定性風(fēng)險(xiǎn)分析根據(jù)風(fēng)險(xiǎn)發(fā)生的相對(duì)概率或可能性、風(fēng)險(xiǎn)發(fā)生后對(duì)項(xiàng)目目標(biāo)的相應(yīng)影響以及其他因素來(lái)評(píng)估已識(shí)別風(fēng)險(xiǎn)的優(yōu)先級(jí)。

（3）規(guī)劃風(fēng)險(xiǎn)應(yīng)對(duì)。規(guī)劃風(fēng)險(xiǎn)應(yīng)對(duì)是風(fēng)險(xiǎn)管理最重要的步驟，其規(guī)劃的是項(xiàng)目的目標(biāo)及降低風(fēng)險(xiǎn)的步驟。對(duì)于消極風(fēng)險(xiǎn)，常有回避、轉(zhuǎn)移、減輕、接受四種方式；對(duì)于積極風(fēng)險(xiǎn)，常有開拓、分享、提高、接受四種方式。

（4）監(jiān)控風(fēng)險(xiǎn)。監(jiān)控風(fēng)險(xiǎn)是風(fēng)險(xiǎn)管理的最后一步，也是第一步，因?yàn)樗秦灤┰谡麄€(gè)項(xiàng)目之中，是一個(gè)制定風(fēng)險(xiǎn)應(yīng)對(duì)計(jì)劃、監(jiān)控已知風(fēng)險(xiǎn)、加強(qiáng)管理以解決風(fēng)險(xiǎn)以及發(fā)現(xiàn)新風(fēng)險(xiǎn)的過(guò)程。

篇10

中圖分類號(hào):TP309文獻(xiàn)標(biāo)識(shí)碼:A 文章編號(hào):1009-3044(2010)19-5129-03

The Research for Information Security Risk Assessment Based on AHP Method

ZENG Li-mei, JIANG Wen-hao

(School of Computer Science and Technology , Chongqing University of Posts and Telecommunications, Chongqing 400065, China)

Abstract: The risk assessment of information security evolves four fundamental elements included information capital, the fragility of information capital, the encountering threats and the possible risk in information capital. The key problem for risk assessment relies on the weight among risk factors. This issue takes an enterprise as an example, introduced a method called Analytic Hierarchy Process (AHP) to evaluate the risk of systems. The results show that this method can be applied well to information security risk assessment.

Key words: information security; information capital; risk assessment; Analytic Hierarchy Process (AHP)

計(jì)算機(jī)網(wǎng)絡(luò)技術(shù)在當(dāng)今社會(huì)迅猛發(fā)展并且得到廣泛應(yīng)用,使得各行各業(yè)對(duì)信息系統(tǒng)的依賴日益加深,信息技術(shù)幾乎滲透到了社會(huì)生活的方方面面。信息系統(tǒng)及其所承載信息的安全問(wèn)題日益突出,為了在安全風(fēng)險(xiǎn)的預(yù)防、減少、轉(zhuǎn)移、補(bǔ)償和分散等之間做出決策,需要對(duì)網(wǎng)絡(luò)系統(tǒng)進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。

信息安全風(fēng)險(xiǎn)評(píng)估,是指依據(jù)國(guó)家有關(guān)信息安全技術(shù)標(biāo)準(zhǔn),對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的保密性、完整性和可用性等安全屬性進(jìn)行科學(xué)評(píng)價(jià)的過(guò)程[1]。風(fēng)險(xiǎn)評(píng)估是提高系統(tǒng)安全性的關(guān)鍵環(huán)節(jié),通過(guò)風(fēng)險(xiǎn)評(píng)估,了解系統(tǒng)的安全狀況,將信息系統(tǒng)的風(fēng)險(xiǎn)控制在可接受的范圍內(nèi)。

1信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估要素

1.1 風(fēng)險(xiǎn)評(píng)估的各要素

信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估要素及其各要素間的關(guān)系如圖l所示。

圖1中,整個(gè)模型的核心是風(fēng)險(xiǎn),資產(chǎn)、脆弱性和威脅是風(fēng)險(xiǎn)評(píng)估的基本要素。風(fēng)險(xiǎn)評(píng)估的工作圍繞其基本要素展開 。

1.2 風(fēng)險(xiǎn)評(píng)估各要素之間的關(guān)系

風(fēng)險(xiǎn)評(píng)估基本要素之間存在以下關(guān)系:

資產(chǎn)是信息系統(tǒng)中需要保護(hù)的對(duì)象,資產(chǎn)完成業(yè)務(wù)戰(zhàn)略。單位的業(yè)務(wù)戰(zhàn)略越重要,對(duì)資產(chǎn)的依賴度越高,資產(chǎn)的價(jià)值就越大,資產(chǎn)的價(jià)值越大風(fēng)險(xiǎn)則越大。

風(fēng)險(xiǎn)是由威脅引起的,威脅越大風(fēng)險(xiǎn)就越大,并很有可能演變成安全事件。

脆弱性是資產(chǎn)中的弱點(diǎn)。威脅利用脆弱性,脆弱性越大風(fēng)險(xiǎn)就越大。

安全需求由資產(chǎn)的重要性和對(duì)風(fēng)險(xiǎn)的意識(shí)導(dǎo)出。安全措施可以抗擊威脅,降低風(fēng)險(xiǎn),減弱安全事件的不良影響。

風(fēng)險(xiǎn)不可能也沒有必要降為零,在實(shí)施了安全措施后還會(huì)有殘留下來(lái)的風(fēng)險(xiǎn),稱為殘余風(fēng)險(xiǎn)。殘余風(fēng)險(xiǎn)可以接受,但應(yīng)受到密切監(jiān)視,因?yàn)樗赡軙?huì)在將來(lái)誘發(fā)新的安全事件[2]。

2 風(fēng)險(xiǎn)評(píng)估方法

目前國(guó)內(nèi)外存在很多風(fēng)險(xiǎn)評(píng)估的方法,還沒有統(tǒng)一的信息安全風(fēng)險(xiǎn)分析的方法。在風(fēng)險(xiǎn)評(píng)估過(guò)程中根據(jù)系統(tǒng)的實(shí)際情況,選擇合適的風(fēng)險(xiǎn)評(píng)估方法。風(fēng)險(xiǎn)評(píng)估的方法概括起來(lái)可分為三大類:定性分析方法、定量分析方法、定性和定量相結(jié)合的分析方法。[3]

2.1定性分析方法

定性分析方法是一種典型的模糊分析方法,可以快捷的對(duì)資源、威脅、脆弱性進(jìn)行系統(tǒng)評(píng)估。典型的定性分析方法有邏輯分析法、因素分析法、德爾斐法、歷史比較法[4] 。

定性評(píng)估方法的優(yōu)點(diǎn)是全面、深入,缺點(diǎn)是主觀性太強(qiáng),對(duì)評(píng)估者要求高。

2.2 定量分析方法

定量分析方法是在定性分析的邏輯基礎(chǔ)上,通過(guò)對(duì)風(fēng)險(xiǎn)評(píng)估各要素的分析,為信息系統(tǒng)提供系統(tǒng)的分析手段。典型的定量分析方法有決策樹法、回歸模型、因子分析法。

定量分析方法的優(yōu)點(diǎn)是直觀、明顯、客觀、對(duì)比性強(qiáng),缺點(diǎn)是簡(jiǎn)單化、模糊化、會(huì)造成誤解和曲解。

2.3 定性和定量結(jié)合的綜合評(píng)估方法

定量分析是定性分析的基礎(chǔ)和前提,定性分析應(yīng)該建立在定量分析的基礎(chǔ)上才能揭示客觀事物的內(nèi)在規(guī)律。不能將定性分析方法與定量分析方割裂,而是將這兩種方法融合起來(lái),發(fā)揮各自的優(yōu)勢(shì),采用綜合分析評(píng)估方法。主要的綜合分析方法有模糊綜合評(píng)價(jià)方法、層次分析法、概率風(fēng)險(xiǎn)評(píng)估等。[5]

3 AHP方法

3.1 層次分析法簡(jiǎn)介

層次分析法(AHP)是美國(guó)運(yùn)籌學(xué)家薩蒂(T.L.Saaty)于20世紀(jì)70年代初提出的一種定性與定量分析相結(jié)合的多準(zhǔn)則決策分析方法,該方法簡(jiǎn)便、靈活又實(shí)用。

層次分析法的基本思想是在決策目標(biāo)的要求下,將決策對(duì)象相對(duì)于決策標(biāo)準(zhǔn)的優(yōu)劣狀況進(jìn)行兩兩比較,最終獲得各個(gè)對(duì)象的總體優(yōu)劣狀況,從而為決策者提供定量形式的決策依據(jù) [6] 。

3.2 系統(tǒng)分解,建立層次結(jié)構(gòu)模型

層次模型的構(gòu)造是運(yùn)用分解法的思想,進(jìn)行對(duì)象的系統(tǒng)分解。它的基本層次包括目標(biāo)層、準(zhǔn)則層、方案層三類。目的是建立系統(tǒng)的評(píng)估指標(biāo)體系。層次結(jié)構(gòu)如圖2所示。

3.3 構(gòu)造判斷矩陣

判斷矩陣的作用是同層次的兩兩元素之間的相對(duì)重要性進(jìn)行比較。層次分析法采用1～9標(biāo)度方法,對(duì)不同情況的評(píng)比給出數(shù)量標(biāo)度,如表1所示。[7]

構(gòu)造判斷矩陣,判斷矩陣A=(aij)n×n有如下性質(zhì):①aij>0;②當(dāng)i≠j時(shí),aji=1/aij;③當(dāng)i=j時(shí),aij=1。aij為i與j兩因素相對(duì)權(quán)值的比值。

3.4 層次排序

步驟一:將A的每一列向量歸一化。

步驟二:對(duì)按列歸一化的判斷矩陣,再按行求和。

步驟三:將向量歸一化。

3.5 一致性檢驗(yàn)

步驟一:計(jì)算判斷矩陣的最大特征根。

式中(AW)i表示AW的第i個(gè)元素。

步驟二:計(jì)算一致性指標(biāo)。

式中,λmax 表示比較判斷矩陣的最大特征根,n表示比較判斷矩陣階數(shù)。

步驟三:計(jì)算一致性比率。

當(dāng) CR

平均隨機(jī)一致性標(biāo)度如表2所示。

4.評(píng)估方法實(shí)際應(yīng)用

4.1 建立信息安全風(fēng)險(xiǎn)評(píng)估模型

為了突出風(fēng)險(xiǎn)評(píng)估的重點(diǎn),對(duì)信息系統(tǒng)風(fēng)險(xiǎn)的評(píng)價(jià)指標(biāo)進(jìn)行適當(dāng)?shù)暮?jiǎn)化,建立某企業(yè)信息安全風(fēng)險(xiǎn)評(píng)估層次結(jié)構(gòu)模型,如圖3所示。

4.2 風(fēng)險(xiǎn)評(píng)估結(jié)果

根據(jù)圖3各評(píng)估因素及其相互關(guān)系,建立兩兩比較判斷矩陣,如表3、表4、表5、表6所示,用AHP方法求解一致性比率CR,判斷矩陣是否具有滿意一致性。

表3G-C的判斷矩陣

表4C1-P的判斷矩陣 表5C2-P的判斷矩陣 表6C3-P的判斷矩陣

以上結(jié)果CR均小于0.1,表明比較判斷矩陣都滿足一致性檢驗(yàn)標(biāo)準(zhǔn)。由以上結(jié)果求的最終的總層次排序結(jié)果如表7所示。

5 結(jié)束語(yǔ)

在信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估中,風(fēng)險(xiǎn)評(píng)估方法一直都是研究的關(guān)鍵點(diǎn)。本文采用層次分析法對(duì)風(fēng)險(xiǎn)評(píng)估的指標(biāo)進(jìn)行了分析,通過(guò)分析研究可得,層次分析法在風(fēng)險(xiǎn)評(píng)估和等級(jí)劃分的實(shí)際應(yīng)用中是一種行之有效、可操作性強(qiáng)的方法,可以很好的應(yīng)用于信息安全風(fēng)險(xiǎn)評(píng)估。

參考文獻(xiàn):

[1] GB/T 20984-2007,信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)[S].中華人民共和國(guó)國(guó)家標(biāo)準(zhǔn),2007.

[2] 向宏,傅鵬,詹榜華.信息安全測(cè)評(píng)與風(fēng)險(xiǎn)評(píng)估[M].北京:電子工業(yè)出版社,2009:319.

[3] 王偉,李春平,李建彬.信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法的研究[J].計(jì)算機(jī)工程與設(shè)計(jì),2007,28(14):3473-3474.

[4] 范紅,馮登國(guó),吳亞非.信息安全風(fēng)險(xiǎn)評(píng)估方法與應(yīng)用[M].北京:清華大學(xué)出版社,2006:49-50.