信息系统安全风险评估应用基础知识.doc

在开始进行实际的信息系统安全风险评估操作前，先来了解一些有关信息系统安全风险评估的基础知识，明白一些与安全风险评估相关的术语，将有助于让你明了要如何才能完成一次信息系统安全风险评估。　　一、我们为什么需要信息系统安全风险评估　　很显然，当要我们很欣然地接受和使用某一种新技术来协助我们进行安全防范工作时，这种技术就必需有能够驱使我们去使用它的理由。这此理由也就是这种技术在某 个安全防范方面的主要作用，而我们也就是冲它的这些主要作用才去使用它的。　　对于信息系统安全风险评估来说，我们在本文的开头中已经大概了解了他的定义，从它的定义当中，我们可以了解到风险评估可以在信息系统的生命周期的各个阶段使用。由于信息系统生命周期的各个阶段的安全防范目的不同，致使使用风险评估的目的也各不相同，因此，信息系统生命周期每个阶段进行的风险评估产生的作用也各不相同。　　信息系统的生命周期分为设计、实施、运行维护和最终销毁这四个主要阶段，每个阶段进行相应的信息系统安全风险评估的主要作用如下所示：　　1、在信息系统生命周期的设计和实施阶段，使用信息系统安全风险评估可以起到了解目前系统到底需要什么样的安全防范措施，帮助制定有效的安全防范策略，确定安全防范的投入最佳成本，说服机构领导同意安全策略的完全实施等作用。　　2、在信息系统生命周期的运行维护阶段，使用信息系统安全风险评估可以起到如下的作用：　　（1）了解防火墙、IDS及其它安全设备是否真的按原先配置的意图在运行，它们实际的安全防范效果是否有满足安全目标的要求；　　（2）了解安全防范策略是否切合实际，是否被全面执行；　　（3）检验机构内部员工的安全意识，网络操作行为及数据使用方式是否正常；　　（4）当信息系统因某种原因做出硬件或软件调整后，使用信息系统安全风险评估来确定原本的安全　　措施是否依然有效，如果不行，应当在哪些方面做出相应的修改等等。　　3、在信息系统生命周期的最终销毁阶段，可以使用信息系统安全风险评估来检验应当完全销毁的　　数据或设备，确实已经不能被任何方式所恢复；淘汰的信息系统中的设备确实已经被妥善保管，没有被流失出去的危险等作用。　　二、信息系统安全风险评估的通用处理流程　　信息系统安全风险评估不是一个可以随意就能完成的任务，为了能保证风险评估按一定的方式有序、正确地执行，以及评估结果的真实有效；也为了能减少在风险评估过程中有可能产生的有意或无意错误；同时还为了提高风险评估的效率，缩短评估的时间，以减少对正常业务的影响。为信息系统安全风险的评估工作制定一个有效的处理流程是很有必要的。　　在现在出现了的一些信息系统风险评估标准中（例如我国，在2006年3月7日，由国务院信息化办公室印发的《信息安全风险评估指南》），已经提出了处理风险评估的通用流程。但是，这些通用的风险评估流程并不包括具体细节，你和你的风险评估团队应当根据需要评估的对象来自行决定。同时，我们在风险评估过程中，还要以这些风险评估标准作为评估结果的参考标准，以便给出具体的风险评估值。　　在这里，我同样只给出这个通用信息系统安全风险评估流程的主框架，具体的处理细节会在第二节中详细说明。这个通彻的风险评估处理流程如下所示：　　1、信息系统安全风险评估准备阶段　　2、信息系统安全风险评估对象风险检测阶段　　3、信息系统安全风险评估对象风险检测结果分析及给出评估报告阶段　　4、后期安全维护阶段　　三、了解信息系统安全风险评估中的三个重要术语　　1、评估对象　　在信息系统安全风险评估过程中，我们首先要做的就是指定评估的具体对象，也就是限制评估的具体物理和技术范围。在信息系统当中，评估对象是与信息系统中的软硬件组成部分相对应的。例如，信息系统中包括各种服务器、服务器上运行的操作系统及各种服务程序、各种网络连接设备、各种安全防范设备或应用程序、物理安全保障设备，这些都可以是构成独立的评估对象，甚至连使用这些信息系统的人也可以作为一个评估对象。总的来说，目前可以将整个计算机信息系统分为六个主要的评估对象：　　（1）、信息安全风险评估　　（2）、业务流程安全风险评估　　（3）、网络安全风险评估　　（4）、通信安全风险评估　　（5）、无线安全风险评估　　（6）、物理安全风险评估　　2、评估项目　　信息系统安全风险评估的评估项目是针对某个具体的评估对象来定的，用来决定评估对象具体要评估的某个方面，例如，对于物理安全风险评估，就需要对评估对象所在的周边环境进行安全风险评估，以及对评估对象已经完成的物理安全措施进行风险评估等，这些就是信息系统安全的风险评估项目。　　每一个评估对象都有属于自己独特的评估项目，这是每个评估对象独特的属性所决定的。下面是六个主要的安全风险评估对象的主要评估项目的简