论文部分内容阅读
摘 要：随着信息化的全面发展，信息对于各单位都是至关重要的。信息在为各单位创造便利及价值的同时，也同样面临着信息安全的风险。信息作为单位的重要资产，必须加以妥善的保护和处理。目前信息安全风险评估是解决信息安全保障体系建设的决策机制和重要评价方法。本文主要探讨了风险评估的基础理论和流程，对风险评估的定义、风险评估要素之间的关系、风险评估方法和风险评估结果进行了介绍。本文可为信息安全风险评估提供借鉴。
关键词：信息安全；风险评估；风险评估要素
前言
随着信息化建设的发展和普及，各种单位的业务效率也得到了很大程度的提升，可以说每个单位都进入了信息化办公时代，这样信息管理的网络化带来的安全问题也逐渐成为各单位在信息化建设时必须要考虑的问题，一旦单位的信息资产受到威胁和遭遇攻击，那么对单位造成的危害和损失将难以想象。目前信息安全风险评估[1]广泛应用于信息安全领域，主要是对信息及信息处理设施所具有的威胁、影响、脆弱性三个特性以及三者发生的可能性的一个评估。
一、信息安全风险评估
信息安全[2]是指信息系统中的硬件、软件及数据受到的保护，不受偶然的、恶意的泄露、破坏、更改；系统连续地可靠的正常运行，信息服务不中断。信息安全风险主要指信息资产的可用性、保密性、完整性受到破坏的可能。风险评估主要通过分析系统以及网络环境所面临的威胁、系统的脆弱性、信息系统资产以及采用的安全控制措施等。风险评估是一项既涉及到技术，又涉及到管理的综合的系统工程。风险评估过程中既需要采用技术的检测手段，又需要进行综合的归纳、总结和分析方法，一个完善的信息安全风险评估架构应该具备相应的标准体系、技术体系、组织架构、业务体系和法律法规。
二、风险评估要素
为了评估规划中或者运行中的信息系统，首先要明确风险评估的关键要素以及各要素之间的内在联系，从资产（价值、脆弱性）、威胁、安全措施等方面考虑，得到残余风险和有残余风险诱发的安全事件。风险评估要素是指在风险评估过程中必须考虑的风险的组成部分、影响因素和相关因素。风险评估要素关系是指各个要素在风险评估过程中相互之间的因果关系。风险评估[3]工作主要围绕基本要素展开，以得到整个系统的风险评估结果和安全措施建议。
资产、威胁和薄弱点是信息安全角度上风险评估的三个要素。每个要素在评估中都有各自的侧重，资产的评估侧重是明确资产的所有者和估值，威胁的评估侧重是发生威胁的可能性，薄弱点的评估侧重是没有特别控制下的客观现状。
资产是风险评估的基础要素之一，是构建信息安全管理体系所涉及的对象。进行资产识别是列出与信息安全管理体系范围内被评估的业务环境、运作和信息相关的资产，是进行风险评估的第一步。资产识别出的信息资產既包括有形资产，也包括无形资产，是最基础的信息安全保护对象。资产对组织的重要程度以及组织对资产的保护要求由保密性、完整性、可用性进行描述，这三种信息资产的特性，组合起来较为具体地描述了信息资产的安全需求。
威胁是一种可能性因素或事件，对组织的资产构成潜在的破坏。威胁是客观存在的，大多数的威胁并不能被完全消除，它是风险评估环节的又一重要因素。产生威胁的来源主要分为人为因素和非人为因素，表现为对信息直接或间接的破坏。
薄弱点是风险评估环节中的第三大要素，也是其中的一项重要内容。薄弱点是资产（包括物理资产、软件资产、数据文档资产、人员、服务）中能被威胁利用的弱点。威胁利用薄弱点进而对资产和组织造成危害。不正确或不起作用的安全控制措施也可能成为薄弱点。薄弱点仅仅只是条件或环境。薄弱点并不对资产直接构成危害，对资产构成危害的是威胁。
三、风险评估方法
风险评估过程中使用何种方法对评估的有效性同样占有举足轻重的地位。评估方法的选择直接影响到评估过程中的每个环节，甚至可以左右最终的评估结果，所有需要根据系统的具体情况，选择合适的风险评估方法[4]。
故障树分析方法主要有定性分析和定量分析两种方式，该方法通过计算故障树的最小割集，得到顶事件的全部故障模式，以发现系统结构中的关键部位或薄弱环境。
事件树分析需要先给定系统事件，然后对此事件可能导致的各种结果进行分析，从而定性定量的评估系统风险，并以此作为处理和防范安全事件的依据。事件树虽然列举出了可能导致事故发生的各种事件，但这并不是最终结果，而是一个中间步骤，通过中间步骤来进一步处理系统风险措施和初始事件之间的复杂关系，计算每项事件发生的概率，从而获得定量结果。计算时必须有大量的统计数据。
德尔菲法是一种定性确定风险等级的方法，采用背对背群体决策咨询方法，各个成员独立工作，然后对群体所有人员的判断进行综合。本方法在评估分析过程中要保证群体成员不受他人的影响，且避免群体成员相互见面。这种方法也有缺陷，由于德尔菲法需要占用大量时间，在需要快速做出决策时是不适用的。
模糊分析法是建立在模糊集合上的一种预测和评估方法。它的特点在于其评价方式与人们的正常思维模式有很近，是用程序语言描述对象的。
四、风险评估结果
风险评估结果是综合分析完成之后的评估结果，作为被评估机构实施风险管理的主要依据[5]。根据系统对评估结果的需求，风险评估结果包括以下两个部分。首先是系统风险计算，根据资产的重要程度以及风险事件发生值计算风险值，得出风险判断结果。其次是系统风险分析，对系统的风险评估过程进行总结，得出系统的风险状况以及残余风险状况。
五、结束语
本文主要理清了风险评估的基础理论和关键要素，也为后续的风险评估报告做好了铺垫，下一步的工作是研究威胁发生与业务流程有效运行之间的关系，结合评估单位的具体需求完成信息安全风险评估的设计与实现。
参考文献
[1]刘莹，顾卫东.信息安全风险评估研究综述[J].青岛大学学报.2008，23（2）：37-43
[2]范红，冯登国，吴亚非.信息安全风险评估方法与应用[M].北京：清华大学出版社，2006
[3]陈光，匡兴华.信息系统安全风险评估研究[J].网络安全技术与应用，2004，（7）：62-64
[4]饶玉辉.基于ISO27001的京东方信息安全管理体系建设[D].北京邮电大学，2012
[5]周恺.企业信息安全体系设计与实践[D].南京邮电大学，2013
关键词：信息安全；风险评估；风险评估要素
前言
随着信息化建设的发展和普及，各种单位的业务效率也得到了很大程度的提升，可以说每个单位都进入了信息化办公时代，这样信息管理的网络化带来的安全问题也逐渐成为各单位在信息化建设时必须要考虑的问题，一旦单位的信息资产受到威胁和遭遇攻击，那么对单位造成的危害和损失将难以想象。目前信息安全风险评估[1]广泛应用于信息安全领域，主要是对信息及信息处理设施所具有的威胁、影响、脆弱性三个特性以及三者发生的可能性的一个评估。
一、信息安全风险评估
信息安全[2]是指信息系统中的硬件、软件及数据受到的保护，不受偶然的、恶意的泄露、破坏、更改；系统连续地可靠的正常运行，信息服务不中断。信息安全风险主要指信息资产的可用性、保密性、完整性受到破坏的可能。风险评估主要通过分析系统以及网络环境所面临的威胁、系统的脆弱性、信息系统资产以及采用的安全控制措施等。风险评估是一项既涉及到技术，又涉及到管理的综合的系统工程。风险评估过程中既需要采用技术的检测手段，又需要进行综合的归纳、总结和分析方法，一个完善的信息安全风险评估架构应该具备相应的标准体系、技术体系、组织架构、业务体系和法律法规。
二、风险评估要素
为了评估规划中或者运行中的信息系统，首先要明确风险评估的关键要素以及各要素之间的内在联系，从资产（价值、脆弱性）、威胁、安全措施等方面考虑，得到残余风险和有残余风险诱发的安全事件。风险评估要素是指在风险评估过程中必须考虑的风险的组成部分、影响因素和相关因素。风险评估要素关系是指各个要素在风险评估过程中相互之间的因果关系。风险评估[3]工作主要围绕基本要素展开，以得到整个系统的风险评估结果和安全措施建议。
资产、威胁和薄弱点是信息安全角度上风险评估的三个要素。每个要素在评估中都有各自的侧重，资产的评估侧重是明确资产的所有者和估值，威胁的评估侧重是发生威胁的可能性，薄弱点的评估侧重是没有特别控制下的客观现状。
资产是风险评估的基础要素之一，是构建信息安全管理体系所涉及的对象。进行资产识别是列出与信息安全管理体系范围内被评估的业务环境、运作和信息相关的资产，是进行风险评估的第一步。资产识别出的信息资產既包括有形资产，也包括无形资产，是最基础的信息安全保护对象。资产对组织的重要程度以及组织对资产的保护要求由保密性、完整性、可用性进行描述，这三种信息资产的特性，组合起来较为具体地描述了信息资产的安全需求。
威胁是一种可能性因素或事件，对组织的资产构成潜在的破坏。威胁是客观存在的，大多数的威胁并不能被完全消除，它是风险评估环节的又一重要因素。产生威胁的来源主要分为人为因素和非人为因素，表现为对信息直接或间接的破坏。
薄弱点是风险评估环节中的第三大要素，也是其中的一项重要内容。薄弱点是资产（包括物理资产、软件资产、数据文档资产、人员、服务）中能被威胁利用的弱点。威胁利用薄弱点进而对资产和组织造成危害。不正确或不起作用的安全控制措施也可能成为薄弱点。薄弱点仅仅只是条件或环境。薄弱点并不对资产直接构成危害，对资产构成危害的是威胁。
三、风险评估方法
风险评估过程中使用何种方法对评估的有效性同样占有举足轻重的地位。评估方法的选择直接影响到评估过程中的每个环节，甚至可以左右最终的评估结果，所有需要根据系统的具体情况，选择合适的风险评估方法[4]。
故障树分析方法主要有定性分析和定量分析两种方式，该方法通过计算故障树的最小割集，得到顶事件的全部故障模式，以发现系统结构中的关键部位或薄弱环境。
事件树分析需要先给定系统事件，然后对此事件可能导致的各种结果进行分析，从而定性定量的评估系统风险，并以此作为处理和防范安全事件的依据。事件树虽然列举出了可能导致事故发生的各种事件，但这并不是最终结果，而是一个中间步骤，通过中间步骤来进一步处理系统风险措施和初始事件之间的复杂关系，计算每项事件发生的概率，从而获得定量结果。计算时必须有大量的统计数据。
德尔菲法是一种定性确定风险等级的方法，采用背对背群体决策咨询方法，各个成员独立工作，然后对群体所有人员的判断进行综合。本方法在评估分析过程中要保证群体成员不受他人的影响，且避免群体成员相互见面。这种方法也有缺陷，由于德尔菲法需要占用大量时间，在需要快速做出决策时是不适用的。
模糊分析法是建立在模糊集合上的一种预测和评估方法。它的特点在于其评价方式与人们的正常思维模式有很近，是用程序语言描述对象的。
四、风险评估结果
风险评估结果是综合分析完成之后的评估结果，作为被评估机构实施风险管理的主要依据[5]。根据系统对评估结果的需求，风险评估结果包括以下两个部分。首先是系统风险计算，根据资产的重要程度以及风险事件发生值计算风险值，得出风险判断结果。其次是系统风险分析，对系统的风险评估过程进行总结，得出系统的风险状况以及残余风险状况。
五、结束语
本文主要理清了风险评估的基础理论和关键要素，也为后续的风险评估报告做好了铺垫，下一步的工作是研究威胁发生与业务流程有效运行之间的关系，结合评估单位的具体需求完成信息安全风险评估的设计与实现。
参考文献
[1]刘莹，顾卫东.信息安全风险评估研究综述[J].青岛大学学报.2008，23（2）：37-43
[2]范红，冯登国，吴亚非.信息安全风险评估方法与应用[M].北京：清华大学出版社，2006
[3]陈光，匡兴华.信息系统安全风险评估研究[J].网络安全技术与应用，2004，（7）：62-64
[4]饶玉辉.基于ISO27001的京东方信息安全管理体系建设[D].北京邮电大学，2012
[5]周恺.企业信息安全体系设计与实践[D].南京邮电大学，2013