风险评估的依据标准【精选文档】.pdf

风险评估的依据标准 在信息安全产业界，风险评估早已不是陌生话题，几年以来，各安全公司完 成的风险评估项目已不在少数，甚至在几乎所有的信息安全服务厂商中，风险评 估都是其核心业务。 风险评估的核心不 是理论，更是实践。风险评估的实践工作是很困难的， 据国外的统计数字显示，只有60％的风险评估是成功的。国内的风险评估工作 面临的挑战更多，需要一定时间的积累和沉淀，就像要成为一个好的中医，要有 个学和练的过程一样。 有人认为风险评估只是一个看病的过程，其实,看病就是在治病。因此，笔 者就看病治病”的风险评估过程的几个方面简单谈谈自己的心得与体会。 1. 定义-—什么是完整意义的风险评估 何为完整意义的风险评估？须从各个角度去观察，既要客观，又要全面。古 语云:横看成岭侧成峰，远近高低各不同。不识庐山真面目，只缘身在此山中。” 故所谓信息系统的安全风险,是指由于系统存在的脆弱性，人为或自然的威胁导 致安全事件发生的可能性及其造成的影响。在风险评估中，最终要根据对安全事 件发生的可能性和负面影响的评估来识别信息系统的安全风险.与信息系统的安 全风险密切相关的因素包括： (1）使命：即一个单位通过信息技术手段实现的工作任务。一个单位的使命 对信息系统和信息的依赖程度越高，风险评估的任务就越重要. （2）资产：通过信息化建设积累起来的信息系统、信息、生产或服务能力、 人员能力和赢得的信誉等。 (3)资产价值:资产的敏感程度、重要程度和关键程度. （4）威胁：一个单位的信息资产的安全可能受到的侵害。威胁由多种属性 来刻画：威胁的主体(威胁源）、能力、资源、动机、途径、可能性和后果。 （5）脆弱性:信息资产及其安全措施在安全方面的不足和弱点。脆弱性也常 常被称为漏洞。 (6)事件：如果威胁主体能够产生威胁，利用资产及其安全措施的脆弱性， 那么实际产生危害的情况称之为事件. （7）风险：由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生 的可能性及其造成的影响。 （8)残余风险:采取了安全措施，提高了信息安全保障能力后，仍然可能存 在的风险。 （9)安全需求：为保证单位的使命能够正常行使，在信息安全保障措施方面 提出的要求. (10)安全措施：对付威胁，减少脆弱性，保护资产，限制意外事件的影响， 检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和 机制的总称。 在这些要素中,尤其需要注意一个概念:残余风险。之所以提出这个概念,原因 在于：1）风险不可能完全消除。信息技术在发展，外部环境在变化，信息系统 本身也要发生变化,信息安全的动态性致使不可能完全消除未来发生安全事件的 风险.2）风险不必要完全消除。资产的价值以及信息安全的投入之间的比例关系 决定了对有些安全风险,采取措施反而比不采取措施成本更高。由于上述原因， 所谓安全的信息系统，并不是指”万无一失”的信息系统，而是指残余风险可以 被接受的信息系统. 造成信息安全事件的源头，可以归为外因和内因。外因为威胁，内因则为脆 弱性。苏轼之《琴诗》曰：若言琴上有琴声，放在匣中何不鸣？若言声在指头上， 何不于君指上听？这首诗所揭示是琴、指头和琴声三者之间的关系。如果把演奏 者包括在内，那么，演奏者的思想感情和技能与琴、指之间的关系，又可以看作 是事物的内因和事物的外因之间的关系。前者是音乐产生的根据，后者则是音乐 产生的条件，两者缺一不可. 因此，在风险评估中，要刻画信息安全事件,就必须 对威胁和脆弱性都有深入了解，这构成了风险评估工作的关键。 风险评估的工作由以下几个步骤组成： 步骤1：描述系统特征 步骤2 ：识别威胁（威胁评估） 步骤3 ：识别脆弱性(脆弱性评估） 步骤4 ：分析安全控制 步骤5：确定可能性 步骤6 ：分析影响 步骤7:确定风险 步骤8 ：对安全控制提出建议 步骤9:记录评估结果 安全风险评估：现代企业安全管理的必备手段 在一个企业中,诱发安全事故的因{素很多，”安全风险评估”能为全.面落实 寄令政箫{旱供基础资料．并评估出不同环境或不同时期的安全危险性的重点， 加强安全管理，采取宣传教育、行政、技术及监督等措施和手段,推动各阶层员 工做好每项安全工作。使企业每位员工都能真正重视安全工作，让其了解及掌握 基本安全知识，这样，绝大多数安全事故均是