基于业务流程的信息资产识别及其价值确定.pdfVIP

图书馆理论与实践 信息管理与信息学 LIBRARYTHEORYANDPRACTlC￡ ●王艳玮，陈 恒 (陕西师范大学国际商学院，西安71~62) 基于业务流程的信息资产识别及其价值确定 [关键词]业务流程；资产识别；资产 目前流行的资产识别方法有两种：一种是吴亚非 价值；位置固定资产；位置变动资产 在 《信息安全风险评估》中提到国外有一种按照经济 [摘 要]对 GB／T20984—2007中定义 价值大小的资产识别方法。I2第二种是傅鹏、刘嘉伟 的 5种资产之 间的关系进行分类分析 ，提 在 基《于业务的信息资产识别方法》中提到的按照业 出数据和服务资产是需要保护的核心资产 。 务的资产识别方法。[3 硬件、软件、人员资产是数据和服务资产的 基于经济价值大小的资产识别在保护组织主观经 支撑资产；通过对支撑组织业务运转的信 济利益方面具有一定的意义 ，但是该方法忽略了资产 息资产所处的位置和流动属性的分析 ，提 对安全的需求。例如有的资产购买经济价值高，但是 出将信息资产划分为位置 固定资产和位置 对业务安全的价值却非常低 ，如果仅仅依据经济价值 变动资产，从而有效识别信息资产。结合组 大小来对资产进行识别 ，将会忽略该项资产的安全需 织业务流程 以及信息流动增值等特点，对 求，因而会给组织业务留下安全隐患。所 以基于经济 信息资产进行重要性 (价值)确定。通过实 价值的信息资产识别方式存在缺陷。 例验证 了本方法的可用性。 基于业务的信息资产识别在资产识别方面不失为 [中图分类号]G20；G254 一 种好方法，但是这种方法过分强调识别核心业务资 [文献标志码]A 产的重要性，而忽视非关键业务资产。[4这种识别方 [文章编号]1005—8214(2011)O8—0o35一o4 法要求我们必须承认一个假设前提 ，那就是只有核心 业务所流经的资产对组织才是有价值的。此方法的不 1 引言 足之处是过分看重核心业务的信息资产对组织的重要 信息技术在给组织带来益处的同时，也面临着各 性 ，这就否认了非关键业务存在关键信息资产的可能 种各样的威胁，在信息安全管理不完善的情况下 ，频 性 ，因此会导致将某项信息资产的3个安全属性中某 繁发生的各种信息安全事件，将给组织和社会带来巨 一 安全属性弱化的可能。例如在国家保密单位 ，对每 大的损失。对于信息安全问题，目前业界已经形成了 项信息资产的保密性要求都很高，但如果按照基于业 一 个共识 ：信息安全问题是一个动态的、整体的、持 务的资产识别方法，就很有可能忽略这一点 ，所 以这 续性的问题。… 因此只有通过周期性持续的信息安全 种资产识别方法并不完善。因此，出于 以上资产识 管理活动才能够有效地降低组织的信息安全风险。 别方法的缺陷，本文提出基于业务流程的信息资产识 信息安全管理的首要工作是信息安全风险评估 ， 别方法。 信息安全风险评估是一个面对复杂系统的综合评估工 2 基于业务流程的信息资产识别及其重要性确定 作，它贯穿于信息系统的整个生命周期。 2．1 信息资产识别 信息安全风险评估的基础是信息资产识别 ，脆弱 基于业务流程的信息资产识别始终坚持业务流 性及威胁识别都是以资产识别为基础的。信息资产识 程一资产分类一资产识别一资产赋值的过程，将业务 别的主要