涉密信息系统信息安全风险评估研究 |
| 2012-07-02 15:28 作者：张鹏 来源：硅谷网-《硅谷》杂志 HV： 编辑： 【搜索试试】
|
|
摘要：基于信息安全风险评估内涵探讨相关评估风险形式及具体的涉密信息系统信息安全风险评估实践，对提升风险分析水平，强化涉密信息系统综合安全性能有重要的实践意义。
关键词：涉密信息系统；信息安全；风险评估
中图分类号：TP309文献标识码：A文章编号：1671—7597（2012）0120
【《硅谷》杂志2012年1月刊文】
1信息安全评估风险内涵
信息安全评估风险是主体依据相关安全信息技术及管理标准面向信息处理系统、存储、传输信息的完整性、保密性与可用性等各类安全属性实施综合评价的具体过程。其主体任务在于对各类资产可能面临的多重威胁进行评估，探究各类威胁因素有可能利用某些脆弱性环节引发安全事件的发生，同时结合安全事件资产价值进行一旦发生安全事件有可能造成的组织影响进行判断分析。我们以评估风险在实际阶段开展具体过程为依据，可划分风险处置为评估的子阶段，其评估过程具体包括评估风险准备阶段、调研阶段、分析阶段、处置阶段等，可有效保障风险评估效果以及信息系统综合安全性能。
2涉密信息系统评估安全风险形式
涉密信息系统评估安全风险形式包含三类，即自评估、检查评估与委托评估。从传统意义保密管理层面来讲委托评估并不适宜应用于涉密系统之中，因此涉密系统信息安全评估风险主体形式则包含检查评估与自评估两类。其中自评估形式即是拥有涉密信息系统人员自主实施的日常评估，是合理保障其系统日常运行安全可靠的重要方式手段。同时基于各相关保密单位的标准要求指导，各单位拥有的各类涉密信息系统实施自我评估则是评估安全风险的主体方式。检查评估是国家相关保密单位授权并由中央批准创建的涉密信息系统保密安全测评中心主体实施的综合评估手段。
3涉密信息系统信息安全风险评估实践过程
3.1评估风险前期准备
实施评估风险的完善前期准备是整体评估风险进程安全有效性的保障，具体工作包含确定评估风险范畴及目标、组建成立优秀实施评估管理团队、适应性合理组织及选择评估流程与方式、有效获取管理最高级别人员对整体评估风险过程的有效支持，最终签署相应保密协议。在确定评估范畴及目标阶段，相关评估人员应科学依据保护分级指南与相关评估风险规范标准要求，同被评估对象系统相关负责人员进行紧密交流协商，进而科学明确具体评估范畴。在划定评估风险范畴后，我们还应依据评估系统对象特征明确具体的评估目标。
3.2评估风险实践调研
评估风险实践调研阶段主体任务在于全面综合获取现行信息系统信息、组织、安全管理、组织脆弱性与系统脆弱性状况，进而为后续分析风险阶段工作及完善规划管理打下坚实的基础。评估风险实践调研阶段主体工作包含调查资产、调查人员、调查安全威胁、调查安全需求、调查技术安全水平等，基于问卷调查、收集文档、分析扫描漏洞、检查配置等丰富手段实现识别关键数据与收集信息综合目标。识别资产阶段，资产为一类价值化资源或信息，因而是安全策略综合保护对象，我们可通过识别将不同形式资产进行细化分类，例如有形、无形资产、软件、硬件、代码、文档与形象服务等。识别资产环节我们不应仅考量其成本价格问题，对资产业务重要安全性也要重点考量，应依据综合完整性、机密性及可用性资产安全属性进行其价值识别。在识别涉密信息系统资产安全阶段我们还可依据其可用性、完整性与机密性不同等级基于加权赋值计算方式获取资产价值的最终结果。
识别威胁阶段，我们应明确威胁有可能引发的组织系统潜在危害起因，对其可能破坏因素进行科学识别，涵盖环境因素与人为因素、间接或直接攻击信息系统因素、蓄意或偶发事件识别等。搜集威胁因素我们可通过访谈、问卷调查、现场调查等实践方式。同时我们还可结合系统服务功能明确其可能面临的不良威胁。脆弱性是有可能为威胁因素利用的若干资产不可靠薄弱环节。因此我们可将识别脆弱性称为识别弱点，就任何资产来讲，其弱点是本来存在的，倘若不发生相应威胁，则纯粹的弱点不会危害资产，且倘若系统具有足够的强健性，即使是威胁再严重也不至于引发安全事件并造成不良损失。由此可见威胁因素只有基于资产弱点才会引发危害事件发生。资产弱点包含一定隐蔽性，一些脆弱性只有固有环境条件下方能显现。不发挥应有作用、非正确性安全措施的实施其本身便容易成为弱点之一。因此我们应通过科学的识别脆弱性面向所需保护的每一项资产核查其可能为威胁因素所利用的脆弱性，并展开其严重程度等级的评估，其识别脆弱性数据可来自使用、所有资产者及业务领域相关专家、软件专业人员等。我们可采用问卷调查、人工核查、工具检测、渗透性测试与文档查阅等方式进行脆弱性有效识别。
确认安全措施阶段我们应预防各类安全管理措施的冗余重复实施，取消不适当、有失综合安全性的不良措施，或应用更适合的措施予以代替。安全措施包含保护性与预防性两类，前者可有效降低发生安全事件对信息系统引发的不良影响，例如持续性业务计划，后者可有效降低利用脆弱性威胁因素导致引发安全事件的可能性，例如入侵检测技术系统等。使用安全措施将有效降低系统脆弱性，确认安全措施无需具体到组件、资产的每一个弱点环节，只是具体的一类措施集合。
3.3全面分析风险与处置风险
分析风险阶段主体基于多重方式明确涉密信息系统涵盖风险中各类因素等级与重要性，而后评估其有可能对系统带来的不良后果，在完成必要的识别及确认安全措施后，我们应考量一旦发生安全事件其最坏的程度如何，可对组织形成的损失影响与安全风险等级等。其关键的具体环节为安全事件可能发生程度的分析、进行发生安全事件后引发不良损失的计算以及风险值分析等。计算风险值方式可采用相乘法或矩阵法等。在处置风险环节我们应明确具体的解决安全策略及措施，处置选项包含降低风险、规避风险、转嫁风险、接受风险等。我们可依据涉密信息系统特征进行具体处置内容的合理确定，可将处置分为建议与实施两部分，实践中我们可综合开展两方面，或依据实际需求单独开展某一层面处置。
4结语
基于涉密信息系统综合信息安全内涵重要性，我们只有合理实施信息安全风险识别评估，科学实施处置风险手段，才能令不良风险因素引发的系统损失降到最低，进而提升综合保密性能，确保涉密信息系统的可靠安全性能。
参考文献：
[1]范红，信息安全风险评估规范国家标准理解与实施[M].中国标准出版社，2007.
[2]李玉林，涉密信息系统风险评估与测评[J].信息安全，2009（1）.（注：本文版权归作者本人和硅谷杂志所有，禁止他人未经授权转载）
|
|
|
|
【对“涉密信息系统信息安全风险评估研究”发布评论】 |
版权及免责声明：
① 本网站部分投稿来源于“网友”，涉及投资、理财、消费等内容，请亲们反复甄别，切勿轻信。本网站部分由赞助商提供的内容属于【广告】性质，仅供阅读，不构成具体实施建议，请谨慎对待。据此操作，风险自担。
② 内容来源注明“硅谷网”及其相关称谓的文字、图片和音视频，版权均属本网站所有，任何媒体、网站或个人需经本网站许可方可复制或转载，并在使用时必须注明来源【硅谷网】或对应来源，违者本网站将依法追究责任。
③ 注明来源为各大报纸、杂志、网站及其他媒体的文章，文章原作者享有著作权，本网站转载其他媒体稿件是为传播更多的信息，并不代表赞同其观点和对其真实性负责，本网站不承担此类稿件侵权行为的连带责任。
④ 本网站不对非自身发布内容的真实性、合法性、准确性作担保。若硅谷网因为自身和转载内容，涉及到侵权、违法等问题，请有关单位或个人速与本网站取得联系（联系电话：01057255600），我们将第一时间核实处理。
|
|
|
|
