人民银行信息安全风险评估.pdfVIP

热点探究 风险管理 人民银行信息安全风险评估 中国人民银行许昌市中心支行 安峰 张晓锋 2003年至今，我国信息安全风险评估历经了调研、 风险评估服务。 标准编写、试点和落地四个阶段。近年来，在我国政府 所谓信息安全风险评估是依据有关信息安全技术与 有关部门的推动下，并由于企事业机构信息化建设的战 管理标准，运用科学的方法和手段，对信息系统及其处 略需求，信息安全风险评估逐步深入。首先，国务院原 理、传输和存储的信息的机密性、完整性和可用性（以 信息化工作办公室强力推动这项工作。2003年9月，中办 下简称“安全三性”）等安全属性进行评价的过程。首 发27号文强调“要重视信息安全风险评估工作”；2004 先，信息安全风险评估的目标是评估资产面临的威胁以 年，制定了风险评估研究报告与标准草案（《信息安全 及威胁利用脆弱性导致安全事件的可能性。结合安全事 风险评估指南》和《信息安全风险管理指南》）；2005 件所涉及的资产价值来判断安全事件一旦发生对机构造 年，开展风险评估试点工作；2006年1月，出台《关于开 成的影响，并提出有针对性的防护措施，为防范和化解 展信息安全风险评估工作的意见》，提出 开展信息安全风险评估工作的意见；2006 年8月，开展对国有企业风险评估检查工 作；从2007年起，对信息系统开始实行制 度化的风险评估。其次，各部委各司其 职，积极配合。公安部大力推动“信息系 统等级保护”工作；国家保密局对涉密网 络和信息系统提出相应风险管控要求；国 家发改委、科技部、工业和信息化部等将 在科研和产业化投入方面予以支持；金融 监管部门在积极开展风险评估和管理方面 的政策制定、技术研究和评估实践。一些 信息安全厂商也及时跟进，为金融、石 油、电信等行业用户提供高端、商业性的 FINANCIAL COMPUTER OF CHINA 2009·1 29 热点探究 风险管理 信息安全风险，将风险控制在可接受的水平，最大限度 发现的弱点反推利用该弱点的威胁在当前安全控制措施 地保障网络和信息系统安全正常运行提供科学依据。通 下是否存在。从地市中心支行的自评估报告上看，大部 过风险评估确切掌握网络和信息系统的安全程度，分析 分中心支行只采取了第三种途径。如果只根据弱点反推 安全威胁来自何方、安全风险有多大，加强信息安全保 威胁，可能造成威胁的遗漏。如果采用的评估方法单 障工作应采取哪些措施，所要投入的人、财、物资源， 一，也说明对评估方法还不够熟练。 确认已采取的信息安全措施是否有效，以及提出按照相 2.脆弱性深度检测能力不足 应信息安全等级进行安全建设和管理的依据等一系列具 我们在脆弱性检测评估方案中选用了“M+N”检测 体问题。其次，信息安全风险评估的过程是在网络与信 模式。其中，M表示常规检测，主要采用物理、网络、 息系统的设计、验收及维护阶段均应当进行信息安全风 系统、应用、管理等常规检测手段，相当于健康检查中 险评估。在规划设计阶段，通过风险评估明确安全需求 的普查；N表示深度检测，主要采用木马检测、渗透测 和安全目标；在验收阶段，通过信息安全风险评估验证 试、密码安全性分析与检测等特殊手段，分析安全事件 已实施的安全措施能否实现安全目标；在运行维护阶 的严重程度，相当于健康检查中的特殊检查。目前的木 段，通过定期风险评估工作，检验安全措施的有效性及 马程序一般采用反向穿透技术，使防火墙、入侵检测系 对安全环境变化的适应性，以保障安全目标的实现。 统等网络安全设备形同虚设，给网络中的服务器和工作 当安全形势发生重大变化或网络与信息系统有重