安全管理评估中调查表设计实现.pdfVIP

________________________________________________________—— 2013年增-N＼ 安全管理评估中调查表的设计与实现 蒋辉柏，赵志强，郭卫兵 (联动优势科技有限公司，北京100082) 摘要：在信息安全领域，对信息系统进行风险评估十分重要。以往的评估针对资产、威胁、脆弱 性进行赋值和计算，更多的偏向技术层面，对信息安全管理关注较少。文章对信息安全管理评估以及安 全管理评估的方法进行了介绍，并对安全管理评估中调查表的重要性进行了阐述，对调查表的内容作了 分析，最后从信息系统、关注范围、安全需求以及已有防护措施四个维度对调查表进行了设计与实现。 关键词：信．g-安全；安全管理；风险评估；调查表 中图分类号：TPS09文献标识码：A 0引言 信息安全风险评估是从风险管理角度，运用科学的方法和手段，系统地分析组织中的信息资产、资产所面临的威胁及资产 的脆弱性，评估安全事件发生的可能性以及一旦发生安全事件可能造成的危害的过程。风险评估对于后续的信息安全建设，对 于提出有针对性的防护对策和整改措施，为防范和化解信息安全风险，将风险控制在可接受的水平，最大限度地保障信息安全 提供科学依据等都具有十分重要的意义。 实际操作过程中，风险评估涉及资产、威胁、脆弱性三个基本要素的评估…。通常的过程为： 1)对资产进行识别，并对资产的价值进行赋值； 2)对威胁进行识别，描述威胁的屙陛，并对威胁出现的频率赋值； 3)对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值； 4)根据资产、威胁、脆弱性计算安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响， 以此得出每一资产最终风险值。 实际操作中会遇到许多问题，比如： 1)资产一般从数据、软件、硬件、服务、人员等方面落实，缺乏信息系统整体概念； 2)稍大一些的组织，因为每种资产的数量很多，每一个具体资产又存在较多威胁和脆弱性，每一个资产都面临许多不同程 度的风险，导致实际评估过程繁杂，往往迷失在琐碎的赋值与计算工作中，难于发现真正的风险； 3)对于具体资产，风险确定出来后，解决方案往往针对技术层面，企业需要花费较大成本，增加了企业负担； 4)目前缺乏对信息系统安全管理的有效评估。 基于此，本文讨论了信息系统安全管理评估以及具体进行安全管理评估的方法，对安全管理评估中调查表的设计和实现进 行了阐述。 1信息安全管理评估及方法 信息系统安全管理评估是指对组织的信息系统在规划立项阶段、设计实施阶段、运行维护、终止处置等整个生存周期的安 全管理，进行分析和评价的过程口～。它以信息安全管理体系为主线进行评估，必要时采集信息安全技术测评结果进行综合分析。 信息系统安全管理评估应结合国家等级保护相关规定，不同等级信息系统在安全管理评估上的要求需存在差异。通过信息安全 管理评估，—方面可以使组织对目前的信息安全状况有比较清晰的了解，另—方面，操作上又不至于太复杂。 在进行信息安全管理评估时，具体采取的方法包括问卷调查、访谈调查、符合性检查、有效性验证以及技术检测等辟。71。 问卷调查是将针对信息系统的调查设计成若干具体问题，按一定规则进行组合排列，编制成书面的表格，交由调查对象填写， ● 收稿日期：2013—10—10 研究方向：风险管理；郭卫兵(1974一)，男，山西，副总监，本科，主要研究方向：风险管理。 ______________________________________________—— ／2013年增刊 ／ 然后收回整理分析，从而得出结论的一种方法。 2．3问卷调查表类型 访谈调查法又称访谈法、谈话法或访问法。该方法借助