緒論：寫作既是個(gè)人情感的抒發(fā)，也是對學(xué)術(shù)真理的探索，歡迎閱讀由發(fā)表云整理的11篇信息安全風(fēng)險(xiǎn)評估范文，希望它們能為您的寫作提供參考和啟發(fā)。

篇（1）

2高校信息安全風(fēng)險(xiǎn)評估模型

2.1信息安全風(fēng)險(xiǎn)評估流程

[2]在實(shí)施信息安全風(fēng)險(xiǎn)評估時(shí)，河南牧業(yè)經(jīng)濟(jì)學(xué)院成立了信息安全風(fēng)險(xiǎn)評估小組，由主抓信息安全的副校長擔(dān)任組長，各個(gè)相關(guān)單位和部門的代表為成員，各自負(fù)責(zé)與本系部相關(guān)的風(fēng)險(xiǎn)評估事務(wù)。評估小組及相關(guān)人員在風(fēng)險(xiǎn)評估前接受培訓(xùn)，熟悉運(yùn)作的流程、理解信息安全管理基本知識，掌握風(fēng)險(xiǎn)評估的方法和技巧。學(xué)院的風(fēng)險(xiǎn)評估活動包括以下6方面：建立風(fēng)險(xiǎn)評估準(zhǔn)則。建立評估小組，前期調(diào)研了解安全需求，確定適用的表格和調(diào)查問卷等，制定項(xiàng)目計(jì)劃，組織人員培訓(xùn)，依據(jù)國家標(biāo)準(zhǔn)確定各項(xiàng)安全評估指標(biāo)，建立風(fēng)險(xiǎn)評估準(zhǔn)則。資產(chǎn)識別。學(xué)院一卡通管理系統(tǒng)、教務(wù)管理系統(tǒng)等關(guān)鍵信息資產(chǎn)的標(biāo)識。威脅識別。識別網(wǎng)絡(luò)入侵、網(wǎng)絡(luò)病毒、人為錯(cuò)誤等各種信息威脅，衡量威脅的可發(fā)性與來源。脆弱性識別。識別各類信息資產(chǎn)、各控制流程與管理中的弱點(diǎn)。風(fēng)險(xiǎn)識別。進(jìn)行風(fēng)險(xiǎn)場景描述，依據(jù)國家標(biāo)準(zhǔn)劃分風(fēng)險(xiǎn)等級評價(jià)風(fēng)險(xiǎn)，編寫河南牧業(yè)經(jīng)濟(jì)學(xué)院信息安全風(fēng)險(xiǎn)評估報(bào)告。風(fēng)險(xiǎn)控制。推薦、評估并確定控制目標(biāo)和控制，編制風(fēng)險(xiǎn)處理計(jì)劃。學(xué)院信息安全風(fēng)險(xiǎn)評估流程圖如圖1所示：

2.2基于PDCA循環(huán)的信息安全風(fēng)險(xiǎn)評估模型

PDCA（策劃—實(shí)施—檢查—措施）經(jīng)常被稱為“休哈特環(huán)”或者“戴明環(huán)”，是由休哈特（WalterShewhart）在19世紀(jì)30年代構(gòu)想，隨后被戴明（EdwardsDeming）采納和宣傳。此概念的提出是為了有效控制管理過程和工作質(zhì)量。隨著管理理念的深入，該循環(huán)在各類管理領(lǐng)域得到廣泛使用，取得良好效果。PDCA循環(huán)將一個(gè)過程定義為策劃、實(shí)施、檢查、措施四個(gè)階段，每個(gè)階段都有階段任務(wù)和目標(biāo)，如圖2所示，四個(gè)階段為一個(gè)循環(huán)，一個(gè)持續(xù)的循環(huán)使過程的目標(biāo)業(yè)績持續(xù)改進(jìn)，如圖3所示。

3基于PDCA循環(huán)模型的信息安全風(fēng)險(xiǎn)評估的實(shí)現(xiàn)

[3-5]河南牧業(yè)經(jīng)濟(jì)學(xué)院信息系統(tǒng)安全風(fēng)險(xiǎn)評估的研究經(jīng)驗(yàn)積累不足，本著邊實(shí)踐邊改進(jìn)，逐步優(yōu)化的原則，學(xué)院決定采用基于PDCA循環(huán)的信息安全評估模型。信息安全風(fēng)險(xiǎn)評估模型為信息安全風(fēng)險(xiǎn)評估奠定了理論依據(jù)，是有效進(jìn)行信息安全風(fēng)險(xiǎn)評估的前提。學(xué)院擁有3個(gè)校區(qū)，正在逐步推進(jìn)數(shù)字化校園的建設(shè)。校園網(wǎng)一卡通、教務(wù)、資產(chǎn)、檔案等管理系統(tǒng)是學(xué)院網(wǎng)絡(luò)核心業(yè)務(wù)系統(tǒng)，同時(shí)各院系有自己的各類教學(xué)系統(tǒng)平臺，由于網(wǎng)絡(luò)環(huán)境的復(fù)雜性，經(jīng)常會監(jiān)控到信息系統(tǒng)受到內(nèi)外部的網(wǎng)絡(luò)攻擊，信息安全防范問題已經(jīng)很突出。信息安全風(fēng)險(xiǎn)評估小組依據(jù)自行研發(fā)的管理系統(tǒng)對學(xué)院各類信息系統(tǒng)進(jìn)行全面的風(fēng)險(xiǎn)評估（圖4），以便下一步對存在的風(fēng)險(xiǎn)進(jìn)行有效的管理，根據(jù)信息系統(tǒng)安全風(fēng)險(xiǎn)評估報(bào)告，提出相應(yīng)的系統(tǒng)安全方案建議，對全院信息系統(tǒng)當(dāng)前突出的安全問題進(jìn)行實(shí)際解決。

3.1建立信息安全管理體系環(huán)境風(fēng)險(xiǎn)評估（P策劃）

風(fēng)險(xiǎn)規(guī)劃是高校開展風(fēng)險(xiǎn)評估管理活動的首要步驟。學(xué)院分析內(nèi)外環(huán)境及管理現(xiàn)狀，制定包括準(zhǔn)確的目標(biāo)定位、具體的應(yīng)對實(shí)施計(jì)劃、合理的經(jīng)費(fèi)預(yù)算、科學(xué)的技術(shù)手段等風(fēng)險(xiǎn)評估管理規(guī)劃。風(fēng)險(xiǎn)規(guī)劃內(nèi)容包括確定范圍和方針、定義風(fēng)險(xiǎn)評估的系統(tǒng)性方法、識別風(fēng)險(xiǎn)、評估風(fēng)險(xiǎn)、識別并評價(jià)風(fēng)險(xiǎn)處理的方法。信息安全評估風(fēng)險(xiǎn)評估管理工作獲得院領(lǐng)導(dǎo)批準(zhǔn)，評估小組開始實(shí)施和運(yùn)作信息安全管理體系。

3.2實(shí)施并運(yùn)行信息安全管理體系（D實(shí)施）

該階段的任務(wù)是管理運(yùn)作適當(dāng)?shù)膬?yōu)先權(quán)，執(zhí)行選擇控制，以管理識別的信息安全風(fēng)險(xiǎn)。學(xué)院通過自行研發(fā)的信息安全風(fēng)險(xiǎn)管理工具，將常見的風(fēng)險(xiǎn)評估方法集成到軟件之中，包括有信息資產(chǎn)和應(yīng)用系統(tǒng)識別、風(fēng)險(xiǎn)識別與評估、風(fēng)險(xiǎn)處置措施及監(jiān)測、風(fēng)險(xiǎn)匯總與報(bào)告生成等功能。通過使用信息安全風(fēng)險(xiǎn)管理工具，安全風(fēng)險(xiǎn)評估工作都得到了簡化，減輕人員的工作量，幫助信息安全管理人員完成復(fù)雜的風(fēng)險(xiǎn)評估工作，從而提高學(xué)院的信息安全管理水平。

3.3監(jiān)視并評審信息安全管理體系（C檢查）

檢查階段是尋求改進(jìn)機(jī)會的階段，是PDCA循環(huán)的關(guān)鍵階段。信息安全管理體系分析運(yùn)行效果，檢查到不合理、不充分的控制措施，采取不同的糾正措施。學(xué)院在系統(tǒng)實(shí)施過程中，規(guī)劃各院系的信息安全風(fēng)險(xiǎn)評估由本系專門人員上傳數(shù)據(jù)，但在具體項(xiàng)目實(shí)施中，發(fā)現(xiàn)上傳的數(shù)據(jù)隨意甚至杜撰，嚴(yán)重影響學(xué)院整體信息系統(tǒng)安全評估的可靠性，為了強(qiáng)化人員責(zé)任意識，除了加強(qiáng)風(fēng)險(xiǎn)評估的培訓(xùn)外，還制定相應(yīng)的懲罰獎(jiǎng)勵(lì)制度，實(shí)時(shí)進(jìn)行監(jiān)督檢查，盡最大可能保證風(fēng)險(xiǎn)評估數(shù)據(jù)的準(zhǔn)確性[6]。

3.4改進(jìn)信息安全管理體系（A措施）

經(jīng)過以上3個(gè)步驟之后，評估小組報(bào)告該階段所策劃的方案，確定該循環(huán)給管理體系是否帶來明顯的效果，是繼續(xù)執(zhí)行，還是升級改進(jìn)、放棄重新進(jìn)行新的策劃。學(xué)院在項(xiàng)目具體實(shí)施后，信息安全狀況有了明顯的改善，信息管理人員安全責(zé)任意識明顯提升，遭受到的內(nèi)外網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)病毒等風(fēng)險(xiǎn)因素能及時(shí)發(fā)現(xiàn)處理。評估小組考慮將成果具體擴(kuò)大到學(xué)院其他的部門或領(lǐng)域，開始了新一輪的PDCA循環(huán)持續(xù)改進(jìn)信息安全風(fēng)險(xiǎn)評估。

篇（2）

一、引言

 

信息時(shí)代為國家和個(gè)人提供了全新的發(fā)展機(jī)遇和生活空間，但也帶來了新的安全威脅。信息安全的威脅可能來自內(nèi)部的破壞、外部的攻擊、內(nèi)外勾結(jié)的破壞和信息系統(tǒng)自身的意外事故等，因此我們應(yīng)按照風(fēng)險(xiǎn)管理的思想，對可能的威脅和需要保護(hù)的信息資源進(jìn)行風(fēng)險(xiǎn)分析，以便采取安全措施，妥善應(yīng)對可能發(fā)生的安全風(fēng)險(xiǎn)。信息安全風(fēng)險(xiǎn)評估是依據(jù)國家信息安全風(fēng)險(xiǎn)評估有關(guān)管理要求和技術(shù)標(biāo)準(zhǔn)，對信息系統(tǒng)及由其存儲、處理和傳輸?shù)男畔⒌臋C(jī)密性、完整性和可用性等安全屬性進(jìn)行科學(xué)、公正的綜合評價(jià)的過程。根據(jù)ISO27001的管理思想，信息安全風(fēng)險(xiǎn)評估在信息安全管理的PDCA環(huán)中是一個(gè)很重要的過程，如何處理信息安全風(fēng)險(xiǎn)評估所產(chǎn)生的數(shù)據(jù)，是每一個(gè)信息安全管理者都非常迫切需要解決的一個(gè)問題。最好的解決方法是開發(fā)出一套實(shí)用性強(qiáng)、可操作性高的系統(tǒng)安全風(fēng)險(xiǎn)評估管理工具。

 

二、風(fēng)險(xiǎn)評估過程

 

信息安全風(fēng)險(xiǎn)評估系統(tǒng)的設(shè)計(jì)是針對組織開展信息安全風(fēng)險(xiǎn)評估的過程。這個(gè)過程包括對信息系統(tǒng)中的安全風(fēng)險(xiǎn)識別、信息收集、評估和報(bào)告等。風(fēng)險(xiǎn)評估的實(shí)施過程如下頁圖1。

 

1.評估前準(zhǔn)備。在風(fēng)險(xiǎn)評估實(shí)施前，需要對以下工作進(jìn)行確定：確定風(fēng)險(xiǎn)評估的目標(biāo)、確定風(fēng)險(xiǎn)評估的范圍、組建風(fēng)險(xiǎn)評估團(tuán)隊(duì)、進(jìn)行系統(tǒng)調(diào)研、確定評估依據(jù)和方法、制定評估計(jì)劃和評估方案、獲得最高管理者對工作的支持。

 

2.資產(chǎn)識別。資產(chǎn)識別過程分為資產(chǎn)分類和資產(chǎn)評價(jià)兩個(gè)階段。資產(chǎn)分類是將單位的信息資產(chǎn)分為實(shí)物資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)、人員資產(chǎn)、服務(wù)資產(chǎn)和無形資產(chǎn)六類資產(chǎn)進(jìn)行識別;資產(chǎn)評價(jià)是對資產(chǎn)的三個(gè)安全屬性保密性、可用性及完整性分別等級評價(jià)及賦值，經(jīng)綜合評定后，得出資產(chǎn)的價(jià)值。

 

3.威脅識別。威脅識別主要工作是評估者需要從每項(xiàng)識別出的資產(chǎn)出發(fā)，找到可能遭受的威脅。識別威脅之后，還需要確定威脅發(fā)生的可能性。

 

4.脆弱性識別。評估者需要從每項(xiàng)識別出的資產(chǎn)和對應(yīng)的威脅出發(fā)，找到可能被利用的脆弱性。識別脆弱性之后，還需要確定弱點(diǎn)可被利用的嚴(yán)重性。

 

5.已有安全措施確認(rèn)。在識別脆弱性的同時(shí)，評估人員將對已采取的安全措施的有效性進(jìn)行確認(rèn)，評估其是否真正地降低了系統(tǒng)的脆弱性，抵御了威脅。

 

6.風(fēng)險(xiǎn)分析。風(fēng)險(xiǎn)評估中完成資產(chǎn)賦值、威脅評估、脆弱性評估后，在考慮已有安全措施的情況下，利用恰當(dāng)?shù)姆椒ㄅc工具確定威脅利用資產(chǎn)脆弱性發(fā)生安全事件的可能性，并結(jié)合資產(chǎn)的安全屬性受到破壞后的影響得出信息資產(chǎn)的風(fēng)險(xiǎn)。

 

三、系統(tǒng)設(shè)計(jì)

 

1.用角色設(shè)計(jì)。系統(tǒng)角色分為三種類型，各用戶在登錄后自動轉(zhuǎn)入各自的操作頁面。A.超級管理員：擁有系統(tǒng)所有權(quán)限;B.評估項(xiàng)目管理員：可以對所負(fù)責(zé)的評估項(xiàng)目進(jìn)行管理，對評估人員進(jìn)行分工和權(quán)限管理;C.評估人員：負(fù)責(zé)由項(xiàng)目管理員分配的測評工作，將評估數(shù)據(jù)導(dǎo)入系統(tǒng)。

 

2.系統(tǒng)模型。根據(jù)信息安全風(fēng)險(xiǎn)評估管理的業(yè)務(wù)需求，我們構(gòu)建了以安全知識庫為支撐，以風(fēng)險(xiǎn)評估流程為系統(tǒng)主要業(yè)務(wù)流，以受測業(yè)務(wù)系統(tǒng)及其相關(guān)信息資產(chǎn)的風(fēng)險(xiǎn)評估要素為對象的信息安全風(fēng)險(xiǎn)評估綜合管理系統(tǒng)模型，系統(tǒng)模型如圖2所示。

 

3.系統(tǒng)功能設(shè)計(jì)。信息安全風(fēng)險(xiǎn)評估綜合管理系統(tǒng)的功能模塊包括：①風(fēng)險(xiǎn)評估項(xiàng)目管理：評估項(xiàng)目管理模塊包括評估項(xiàng)目的建立、項(xiàng)目列表、項(xiàng)目設(shè)置等功能。主要輸入項(xiàng)：項(xiàng)目名稱、評估時(shí)間、評估對象等;主要輸出項(xiàng)：項(xiàng)目計(jì)劃書。②信息安全需求調(diào)研管理：該模塊用于用戶填寫安全調(diào)研問卷，為安全評估提供數(shù)據(jù)支持。主要輸入項(xiàng)：用戶ID、調(diào)查答案;主要輸出項(xiàng)：問卷標(biāo)題、調(diào)查題內(nèi)容。③資產(chǎn)識別。系統(tǒng)提供的資產(chǎn)識別，包括：硬件、軟件、數(shù)據(jù)等，根據(jù)業(yè)務(wù)系統(tǒng)對組織戰(zhàn)略的影響程度，對相關(guān)資產(chǎn)的重要性進(jìn)行評價(jià);主要輸入項(xiàng)：評估對象(信息資產(chǎn))、賦值規(guī)則;主要輸出項(xiàng)：資產(chǎn)識別匯總表、資產(chǎn)識別報(bào)告。④威脅識別。威脅識別：系統(tǒng)提供多種網(wǎng)絡(luò)環(huán)境的威脅模板，支持和幫助用戶進(jìn)行威脅識別和分析，并提供資產(chǎn)、脆弱性、威脅自動關(guān)聯(lián)功能：主要輸入項(xiàng)：評估對象、賦值規(guī)則;主要輸出項(xiàng)：威脅識別匯總表、威脅識別報(bào)告。⑤脆弱性識別。脆弱性識別：系統(tǒng)可提供多種系統(tǒng)的脆弱性識別功能，包括：主機(jī)、數(shù)據(jù)庫、網(wǎng)絡(luò)設(shè)備等對象的脆弱性識別。系統(tǒng)支持常用漏洞掃描軟件掃描結(jié)果的導(dǎo)入，目前支持的掃描系統(tǒng)有：Nessus、NMap等，主機(jī)系統(tǒng)支持：Windows、Linux、Unix等，數(shù)據(jù)庫支持：MSSQL、Oracle等：主要輸入項(xiàng)：評估對象、漏洞掃描結(jié)果、賦值規(guī)則;主要輸出項(xiàng)：漏洞掃描報(bào)告、脆弱性識別匯總表、脆弱性識別報(bào)告。⑥安全措施識別。安全措施識別：系統(tǒng)提供基于技術(shù)、管理等方面的安全措施檢查功能，幫助用戶了解目前的安全狀況，找到安全管理問題，確定安全措施的有效性：主要輸出項(xiàng)：安全措施識別匯總表、安全措施識別報(bào)告。⑦風(fēng)險(xiǎn)分析。系統(tǒng)通過資產(chǎn)評價(jià)、脆弱性評價(jià)、威脅評價(jià)、安全措施有效性評價(jià)、風(fēng)險(xiǎn)分析等工作，可自動生成安全風(fēng)險(xiǎn)評估分析報(bào)告。主要輸入項(xiàng)：評估對象、資產(chǎn)值、脆弱性值、威脅值、安全措施值、計(jì)算規(guī)則;主要輸出項(xiàng)：風(fēng)險(xiǎn)計(jì)算匯總表、風(fēng)險(xiǎn)分析報(bào)告。⑧評估結(jié)果管理。主要功能是對歷史記錄查詢與分析。匯總所有的安全評估結(jié)果進(jìn)行綜合分析，并生成各階段風(fēng)險(xiǎn)評估工作報(bào)告，主要包括如下：《資產(chǎn)識別報(bào)告》、《漏洞掃描報(bào)告》、《威脅識別報(bào)告》、《脆弱性識別報(bào)告》、《控制措施識別報(bào)告》、《風(fēng)險(xiǎn)分析報(bào)告》。并可對當(dāng)期風(fēng)險(xiǎn)評估結(jié)果和原始數(shù)據(jù)進(jìn)行轉(zhuǎn)存或備份。在有需要時(shí)能調(diào)出評估歷史數(shù)據(jù)進(jìn)行查詢及風(fēng)險(xiǎn)趨勢分析。⑨信息安全知識庫更新維護(hù)。信息安全知識庫的更新維護(hù)主要對象有：系統(tǒng)漏洞庫、安全威脅庫、安全脆弱點(diǎn)庫、控制措施庫。為避免造成數(shù)據(jù)的冗余，系統(tǒng)將在各評估項(xiàng)目中需要反復(fù)使用的數(shù)據(jù)歸入基礎(chǔ)數(shù)據(jù)庫進(jìn)行管理，在進(jìn)行評估活動時(shí)再從基礎(chǔ)庫提取有關(guān)數(shù)據(jù)，這樣也能減少重復(fù)的輸入工作。⑩數(shù)據(jù)接口。導(dǎo)入數(shù)據(jù)接口：資產(chǎn)庫、脆弱點(diǎn)庫、威脅庫、控制措施庫。支持以下常用的格式：如EXCEL文件等;常用的漏洞掃描工具：如綠盟、啟明星辰、NESSUS、NMAP等。

 

四、結(jié)束語

 

篇（3）

一、前言

隨著信息技術(shù)的飛速發(fā)展，信息系統(tǒng)依賴程度日益增強(qiáng)，采用風(fēng)險(xiǎn)管理的理念去識別安全風(fēng)險(xiǎn)，解決信息安全問題得到了廣泛的認(rèn)識和應(yīng)用。信息系統(tǒng)主要分析信息化業(yè)務(wù)和信息系統(tǒng)所面臨的人為和自然的威脅及其存在的脆弱性，評估安全事件一旦發(fā)生可能造成的危害程度，提出有針對性的抵御威脅的防護(hù)對策和整改措施，以防范和化解風(fēng)險(xiǎn)。

二、網(wǎng)絡(luò)信息安全的內(nèi)容和主要因素分析

“網(wǎng)絡(luò)信息的安全”從狹義的字面上來講就是網(wǎng)絡(luò)上各種信息的安全，而從廣義的角度考慮，還包括整個(gè)網(wǎng)絡(luò)系統(tǒng)的硬件、軟件、數(shù)據(jù)以及數(shù)據(jù)處理、存儲、傳輸?shù)仁褂眠^程的安全。網(wǎng)絡(luò)信息安全具有如下5個(gè)特征：

1、保密性：即信息不泄露給非授權(quán)的個(gè)人或?qū)嶓w。

2、完整性：即信息未經(jīng)授權(quán)不能被修改、破壞。

3、可用性：即能保證合法的用戶正常訪問相關(guān)的信息。

4、可控性：即信息的內(nèi)容及傳播過程能夠被有效地合法控制。

5、可審查性：即信息的使用過程都有相關(guān)的記錄可供事后查詢核對。

網(wǎng)絡(luò)信息安全的研究內(nèi)容非常廣泛，根據(jù)不同的分類方法可以有多種不同的分類。研究內(nèi)容的廣泛性決定了實(shí)現(xiàn)網(wǎng)絡(luò)信息安全問題的復(fù)雜性。而通過有效的網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)因素分析，就能夠?yàn)榇藦?fù)雜問題的解決找到一個(gè)考慮問題的立足點(diǎn)，能夠?qū)?fù)雜的問題量化，同時(shí)，也為能通過其他方法如人工智能網(wǎng)絡(luò)方法解決問題提供依據(jù)和基礎(chǔ)，網(wǎng)絡(luò)信息安全的風(fēng)險(xiǎn)因素主要有以下6大類：

1、自然界因素，如地震、火災(zāi)、風(fēng)災(zāi)、水災(zāi)、雷電等；

2、社會因素，主要是人類社會的各種活動，如暴力、戰(zhàn)爭、盜竊等；

3、網(wǎng)絡(luò)硬件的因素，如機(jī)房包括交換機(jī)、路由器、服務(wù)器等受電力、溫度、濕度、灰塵、電磁干擾等影響；

4、軟件的因素，包括機(jī)房設(shè)備的管理軟件、機(jī)房服務(wù)器與用戶計(jì)算機(jī)的操作系統(tǒng)、各種服務(wù)器的數(shù)據(jù)庫配置的合理性以及其他各種應(yīng)用軟件如殺毒軟件、防火墻、工具軟件等；

5、人為的因素，主要包括網(wǎng)絡(luò)信息使用者和參與者的各種行為帶來的影響因素，如操作失誤、數(shù)據(jù)泄露、惡意代碼、拒絕服務(wù)、騙取口令、木馬攻擊等；

6、其他因素，包括政府職能部門的監(jiān)管因素、有關(guān)部門對相關(guān)法律法規(guī)立法因素、教育部門對相關(guān)知識的培訓(xùn)因素、宣傳部門對相關(guān)安全內(nèi)容的宣傳因素等。這些因素對于網(wǎng)絡(luò)信息安全均會產(chǎn)生直接或者間接的影響。

三、目前網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評估工作中急需解決的問題

信息系統(tǒng)涉及社會經(jīng)濟(jì)方方面面，在政務(wù)和商務(wù)領(lǐng)域發(fā)揮了重要作用，信息安全問題不單是一個(gè)局部性和技術(shù)性問題，而是一個(gè)跨領(lǐng)域、跨行業(yè)、跨部門的綜合性安全問題。據(jù)統(tǒng)計(jì)，某省會城市各大機(jī)關(guān)、企事業(yè)單位中，有10%的單位出現(xiàn)過信息系統(tǒng)不穩(wěn)定運(yùn)行情況；有30%的單位出現(xiàn)過來自網(wǎng)絡(luò)、非法入侵等方面的攻擊；出現(xiàn)過信息安全問題的單位比例高達(dá)86%！缺少信息安全建設(shè)專項(xiàng)資金，信息安全專業(yè)人才缺乏，應(yīng)急響應(yīng)體系和信息安全測評機(jī)構(gòu)尚未組建，存在著“重建設(shè)、輕管理，重應(yīng)用、輕安全”的現(xiàn)象，已成為亟待解決的問題。

各部門對信息系統(tǒng)風(fēng)險(xiǎn)評估的重視程度與其信息化水平呈現(xiàn)正比，即信息化水平越高，對風(fēng)險(xiǎn)評估越重視。然而，由于地區(qū)差異和行業(yè)發(fā)展不平衡，各部門重視風(fēng)險(xiǎn)評估的一個(gè)重要原因是“安全事件驅(qū)動”，即“不出事不重視”，真正做到“未雨綢繆”的少之又少。目前我國信息安全體系還未健全和完善，真正意義上的信息系統(tǒng)風(fēng)險(xiǎn)評估尚待成熟。有的部門對信息系統(tǒng)風(fēng)險(xiǎn)評估還停留在傳達(dá)一下文件、出具一個(gè)報(bào)告、安排一場測試，由于評估單位在評估資質(zhì)、評估標(biāo)準(zhǔn)、評估方法等方面還不夠規(guī)范和統(tǒng)一，甚至出現(xiàn)對同一個(gè)信息系統(tǒng)，不同評估單位得出不同評估結(jié)論的案例。

四、信息系統(tǒng)風(fēng)險(xiǎn)評估解決措施

1、確診風(fēng)險(xiǎn)，對癥下藥

信息系統(tǒng)風(fēng)險(xiǎn)是客觀存在的，也是可以被感知和認(rèn)識從而進(jìn)行科學(xué)管理的。信息系統(tǒng)面臨的風(fēng)險(xiǎn)是什么、有多大，應(yīng)該采取什么樣的措施去減少、化解和規(guī)避風(fēng)險(xiǎn)？就像人的軀體有健康和疾病，設(shè)備狀況有正常和故障，糧食質(zhì)量有營養(yǎng)和變質(zhì)，如何確認(rèn)信息系統(tǒng)的狀態(tài)和發(fā)現(xiàn)信息系統(tǒng)存在的風(fēng)險(xiǎn)和面臨的威脅，就需要進(jìn)行風(fēng)險(xiǎn)評估。

2、夯實(shí)安全根基，鞏固信息大廈

信息系統(tǒng)建設(shè)之初就存在安全問題，好比高樓大廈建在流沙之上，地基不固，樓建的越高倒塌的風(fēng)險(xiǎn)就越大。風(fēng)險(xiǎn)評估是信息系統(tǒng)這座高樓大廈的安全根基，它可以幫助信息系統(tǒng)管理者了解潛在威脅，合理利用現(xiàn)有資源開展規(guī)劃建設(shè)，讓信息系統(tǒng)安全“贏在起跑線上”。風(fēng)險(xiǎn)評估還可以為信息系統(tǒng)建設(shè)者節(jié)省信息系統(tǒng)建設(shè)總體投資，達(dá)到“以最小成本獲得最大安全保障”的效果。

3、尋求適度安全和建設(shè)成本的最佳平衡點(diǎn)

安全是相對的，成本是有限的。在市場經(jīng)濟(jì)高度發(fā)達(dá)的今天，信息系統(tǒng)建設(shè)要達(dá)到預(yù)期經(jīng)濟(jì)效益和社會效益，就不能脫離實(shí)際地追求“零風(fēng)險(xiǎn)”和絕對安全。風(fēng)險(xiǎn)評估為管理者算了一筆經(jīng)濟(jì)賬，讓我們認(rèn)清信息系統(tǒng)面臨的威脅和風(fēng)險(xiǎn)，在此基礎(chǔ)上決定哪些風(fēng)險(xiǎn)必須規(guī)避，哪些風(fēng)險(xiǎn)可以容忍，以便在潛在風(fēng)險(xiǎn)損失與建設(shè)管理成本之間尋求一個(gè)最佳平衡點(diǎn)，力求達(dá)到預(yù)期效益的最大化。

4、既要借鑒先進(jìn)經(jīng)驗(yàn)，又要重視預(yù)警防范

沒有網(wǎng)絡(luò)安全就沒有國家安全，沒有信息化就沒有現(xiàn)代化。建設(shè)網(wǎng)絡(luò)強(qiáng)國，要有自己的技術(shù)，有過硬的技術(shù)。風(fēng)險(xiǎn)評估是信息化發(fā)達(dá)國家的重要經(jīng)驗(yàn)。目前我們的信息化在某些關(guān)鍵技術(shù)、關(guān)鍵設(shè)備上還受制于人。“他山之石”可為我所用，亦須知其鋒芒與瑕疵，加強(qiáng)預(yù)警防范與借鑒先進(jìn)技術(shù)同樣重要。

五、結(jié)束語

綜上所述，本文主要對信息安全風(fēng)險(xiǎn)評估進(jìn)行了分析和探究，在今天高速的信息化環(huán)境中，信息的安全性越發(fā)顯示出其重要性，風(fēng)險(xiǎn)評估可以明確信息系統(tǒng)的安全狀況和主要安全風(fēng)險(xiǎn)基礎(chǔ)，通過風(fēng)險(xiǎn)評估及早發(fā)現(xiàn)安全隱患并采取相應(yīng)的加固方案。所以要加強(qiáng)信息安全風(fēng)險(xiǎn)評估工作。

參考文獻(xiàn)：

篇（4）

【中圖分類號】C931.6 【文獻(xiàn)標(biāo)識碼】A 【文章編號】1672-5158（2012）09-0025-01

一、信息安全風(fēng)險(xiǎn)評估的評估實(shí)施流程

信息安全風(fēng)險(xiǎn)評估包括：資產(chǎn)評估、威脅評估、脆弱性評估、現(xiàn)有安全措施評估、風(fēng)險(xiǎn)計(jì)算和分析、風(fēng)險(xiǎn)決策和安全建議，在風(fēng)險(xiǎn)評估之后就是要進(jìn)行安全整改。

網(wǎng)省公司信息系統(tǒng)風(fēng)險(xiǎn)評估的主要內(nèi)容包括：資產(chǎn)評估、威脅評估、脆弱性評估和現(xiàn)有安全措施評估，一般采用全面風(fēng)險(xiǎn)評估的方法，以安全顧問訪談、管理問卷調(diào)查、安全文檔分析等方式，并結(jié)合了漏洞掃描、人工安全檢查等手段，對評估范圍內(nèi)的網(wǎng)絡(luò)、主機(jī)以及相應(yīng)的部門的安全狀況進(jìn)行了全面的評估，經(jīng)過充分的分析后，得到了信息系統(tǒng)的安全現(xiàn)狀。

二、信息安全風(fēng)險(xiǎn)評估實(shí)施方法

2.1 資產(chǎn)評估

網(wǎng)省公司資產(chǎn)識別主要針對提供特定業(yè)務(wù)服務(wù)能力的應(yīng)用系統(tǒng)展開，通常一個(gè)應(yīng)用系統(tǒng)都可劃分為數(shù)據(jù)存儲、業(yè)務(wù)處理、業(yè)務(wù)服務(wù)提供和客戶端四個(gè)功能部分，這四個(gè)部分在信息系統(tǒng)的實(shí)例中都顯現(xiàn)為獨(dú)立的資產(chǎn)實(shí)體，例如：典型的協(xié)同辦公系統(tǒng)可分為客戶端、Web服務(wù)器、Domino服務(wù)器、DB2數(shù)據(jù)庫服務(wù)器四部分資產(chǎn)實(shí)體。綜合考慮資產(chǎn)的使命、資產(chǎn)本身的價(jià)值、資產(chǎn)對于應(yīng)用系統(tǒng)的重要程度、業(yè)務(wù)系統(tǒng)對于資產(chǎn)的依賴程度、部署位置及其影響范圍等因素評估信息資產(chǎn)價(jià)值。資產(chǎn)賦值是資產(chǎn)評估由定性化判斷到定量化賦值的關(guān)鍵環(huán)節(jié)。

2.2 威脅評估

威脅評估是通過技術(shù)手段、統(tǒng)計(jì)數(shù)據(jù)和經(jīng)驗(yàn)判斷來確定信息系統(tǒng)面臨的威脅的過程。在實(shí)施過程中，根據(jù)各單位業(yè)務(wù)系統(tǒng)的具體系統(tǒng)情況，結(jié)合系統(tǒng)以往發(fā)生的信息安全事件及對網(wǎng)絡(luò)、系統(tǒng)管理員關(guān)于威脅發(fā)生可能性和發(fā)展趨勢的調(diào)查，下面按照威脅的主體分別對這些威脅及其可能發(fā)生的各種情形進(jìn)行簡單描述：

2.3 脆弱性評估

脆弱性評估內(nèi)容包括管理、運(yùn)維和技術(shù)三方面的內(nèi)容，具體實(shí)施可參照公司相應(yīng)的技術(shù)或管理標(biāo)準(zhǔn)以及評估發(fā)起方的要求，根據(jù)評估選擇的策略和評估目的的不同進(jìn)行調(diào)整。下表是一套脆弱性識別對象的參考：

管理脆弱性：安全方針、信息安全組織機(jī)構(gòu)、人員安全管理、信息安全制度文件管理、信息化建設(shè)中的安全管理、信息安全等級保護(hù)工作、信息安全評估管理、信息安全的宣傳與培訓(xùn)、信息安全監(jiān)督與考核工作、符合性管理。

運(yùn)維脆弱性：信息系統(tǒng)運(yùn)行管理、資產(chǎn)分類管理、配置與變更管理、業(yè)務(wù)連續(xù)性管理、物理環(huán)境安全、設(shè)備與介質(zhì)安全。

技術(shù)脆弱性：網(wǎng)絡(luò)系統(tǒng)、主機(jī)安全、通用系統(tǒng)安全、業(yè)務(wù)系統(tǒng)安全、現(xiàn)有安全措施。

管理、運(yùn)維、技術(shù)三方面脆弱性是相互關(guān)聯(lián)的，管理脆弱性可能會導(dǎo)致運(yùn)維脆弱性和技術(shù)脆弱性的產(chǎn)生，運(yùn)維脆弱性也可能導(dǎo)致技術(shù)脆弱性的產(chǎn)生。技術(shù)的脆弱性識別主要采用工具掃描和人工審計(jì)的方式進(jìn)行，運(yùn)維和管理的脆弱性主要通過訪談和調(diào)查問卷來發(fā)現(xiàn)。此外，對以往的安全事件的統(tǒng)計(jì)和分析也是確定脆弱性的主要方法。

三、現(xiàn)有安全措施評估

通過現(xiàn)有安全措施指評估安全措施的部署、使用和管理情況，確定這些措施所保護(hù)的資產(chǎn)范圍，以及對系統(tǒng)面臨風(fēng)險(xiǎn)的消除程度。

3.1 安全技術(shù)措施評估

通過對各單位安全設(shè)備、防病毒系統(tǒng)的部署、使用和管理情況，對特征庫的更新方式、以及最近更新時(shí)間，設(shè)備自身資源使用率（CPU、MEM、DISK）、自身工作狀況、以及曾經(jīng)出現(xiàn)過的異常現(xiàn)象、告警策略、日志保存情況、系統(tǒng)中管理員的個(gè)數(shù)、管理員所使用的口令的強(qiáng)度、弱口令情況等信息進(jìn)行脆弱性分析，并確定級別。

3.2 安全管理措施評估

訪談被評估單位是否成立了信息安全領(lǐng)導(dǎo)小組，并以文件的形式明確了信息安全領(lǐng)導(dǎo)小組成員和相關(guān)職責(zé)，是否結(jié)合實(shí)際提出符合自身發(fā)展的信息化建設(shè)策略，其中包括是否制定了信息安全工作的總體方針和安全策略，建立健全了各類安全管理制度，對日常管理操作建立了規(guī)范的操作規(guī)程；定期組織全員學(xué)習(xí)國家有關(guān)信息安全政策、法規(guī)等。

3.3 物理與環(huán)境安全

查看被訪談單位信息機(jī)房是否有完善的物理環(huán)境保障措施，是否有健全的漏水監(jiān)測系統(tǒng)，滅火系統(tǒng)是否安全可用，有無溫濕度監(jiān)測及越限報(bào)警功能，是否配備精密空調(diào)嚴(yán)格調(diào)節(jié)控制機(jī)房內(nèi)溫度及濕度，保障機(jī)房設(shè)備的良好運(yùn)行環(huán)境。

3.4 應(yīng)急響應(yīng)與恢復(fù)管理

為正確、有效和快速處理網(wǎng)絡(luò)信息系統(tǒng)突發(fā)事件，最大限度地減少網(wǎng)絡(luò)信息系統(tǒng)突發(fā)事件對單位生產(chǎn)、經(jīng)營、管理造成的損失和對社會的不良影響，需查看被評估單位是否具備完善網(wǎng)絡(luò)信息系統(tǒng)應(yīng)急保證體系和應(yīng)急響應(yīng)機(jī)制，應(yīng)對網(wǎng)絡(luò)信息系統(tǒng)突發(fā)事件的組織指揮能力和應(yīng)急處置能力，是否及時(shí)修訂本單位的網(wǎng)絡(luò)信息系統(tǒng)突發(fā)事件應(yīng)急預(yù)案，并進(jìn)行嚴(yán)格的評審、。

3.5 安全整改

被評估單位根據(jù)信息安全風(fēng)險(xiǎn)評估結(jié)果，對本單位存在的安全風(fēng)險(xiǎn)進(jìn)行整改消除，從安全技術(shù)及安全管理兩方面，落實(shí)信息安全風(fēng)險(xiǎn)控制及管理，確保信息系統(tǒng)安全穩(wěn)定運(yùn)行。

四、結(jié)語

公司近兩年推行了“雙網(wǎng)雙機(jī)、分區(qū)分域、等級保護(hù)、分層防御”的安全防護(hù)策略和一系列安全措施，各單位結(jié)合風(fēng)險(xiǎn)評估實(shí)踐情況，以技術(shù)促安全、以管理保安全，確保公司信息系統(tǒng)穩(wěn)定運(yùn)行，為公司發(fā)展提供有力信息支撐。

篇（5）

信息安全風(fēng)險(xiǎn)評估是從風(fēng)險(xiǎn)管理角度出發(fā)，構(gòu)建風(fēng)險(xiǎn)評估模型，建立風(fēng)險(xiǎn)評估體系，運(yùn)用風(fēng)險(xiǎn)評估方法，系統(tǒng)地分析信息系統(tǒng)所面臨的風(fēng)險(xiǎn)威脅及系統(tǒng)的脆弱性/漏洞，評估風(fēng)險(xiǎn)發(fā)生帶來的危害程度，提出應(yīng)對風(fēng)險(xiǎn)的安全控制措施，規(guī)避和控制信息安全風(fēng)險(xiǎn)，降低風(fēng)險(xiǎn)發(fā)生的概率，將風(fēng)險(xiǎn)控制在可承受的范圍，為信息安全風(fēng)險(xiǎn)評估提供科學(xué)依據(jù)。

1.2信息安全風(fēng)險(xiǎn)評估的方法

隨著信息安全風(fēng)險(xiǎn)評估研究工作的不斷深入，形成了多種不同的信息安全風(fēng)險(xiǎn)評估方法，這些方法的出現(xiàn)大大縮短了信息安全風(fēng)險(xiǎn)評估的時(shí)間，節(jié)省了大量的資源，提高了信息安全風(fēng)險(xiǎn)評估的效率和準(zhǔn)確性，為防范信息安全中出現(xiàn)的風(fēng)險(xiǎn)提供了理論依據(jù)[3]。目前，常用的信息安全風(fēng)險(xiǎn)評估的方法有定量評估方法、定性評估方法和定性與定量相結(jié)合的綜合評估方法。其中，定量評估方法是根據(jù)信息系統(tǒng)中風(fēng)險(xiǎn)相關(guān)數(shù)據(jù)，利用具體的評估算法計(jì)算出評估結(jié)果，并對結(jié)果進(jìn)行分析，它能夠直觀地反應(yīng)評估結(jié)果，更容易被人們接受。但是該方法主要依賴于數(shù)學(xué)模型來描述風(fēng)險(xiǎn)，在量化的過程中將原本復(fù)雜的事物理想化，一般適用于風(fēng)險(xiǎn)評估材料齊全且數(shù)學(xué)理論基礎(chǔ)較好的情況，常見的定量評估方法有Markov分析法、聚類分析方法、決策樹分析方法、風(fēng)險(xiǎn)審計(jì)技術(shù)等。定性評估方法是評估者利用自己擁有的專業(yè)知識和積累的經(jīng)驗(yàn)對信息系統(tǒng)存在的風(fēng)險(xiǎn)進(jìn)行識別和評價(jià)，并提出應(yīng)對風(fēng)險(xiǎn)的安全控制措施。它對評估者知識和經(jīng)驗(yàn)的要求較高，一般適用于風(fēng)險(xiǎn)評估數(shù)據(jù)不全或者數(shù)學(xué)理論基礎(chǔ)較為薄弱的情況，常見的定性評估方法有故障樹分析法（FTA）、故障模式影響及危害性分析方法（RMECA）、德爾菲法（Delphi）等。在風(fēng)險(xiǎn)評估的實(shí)際過程中，采用較多的是定性與定量相結(jié)合的綜合風(fēng)險(xiǎn)評估方法，該方法可以將復(fù)雜問題按照層次化結(jié)構(gòu)分解成多個(gè)簡單的問題進(jìn)行分析，大大節(jié)省了評估時(shí)間、人力和費(fèi)用，提高了風(fēng)險(xiǎn)評估的準(zhǔn)確性和效率，常見的定性與定量相結(jié)合的綜合評估方法有層次分析法。

1.3信息安全風(fēng)險(xiǎn)評估的模型

[4]信息安全風(fēng)險(xiǎn)評估模型是信息安全風(fēng)險(xiǎn)評估的理論基礎(chǔ)，是提高信息安全風(fēng)險(xiǎn)評估準(zhǔn)確性和效率的重要前提。信息安全風(fēng)險(xiǎn)評估模型如圖1所示，造成信息安全風(fēng)險(xiǎn)的主要因素有威脅、信息資產(chǎn)、信息系統(tǒng)的脆弱性及漏洞和未被控制的殘余風(fēng)險(xiǎn)，信息系統(tǒng)的威脅越大、脆弱性越暴露、漏洞越多、信息資產(chǎn)的價(jià)值越大、未被控制的風(fēng)險(xiǎn)越多，則信息系統(tǒng)面臨的風(fēng)險(xiǎn)也越多，風(fēng)險(xiǎn)越多，信息系統(tǒng)的安全性越低。業(yè)務(wù)系統(tǒng)主要依賴于服務(wù)器和軟件等信息資產(chǎn)，業(yè)務(wù)系統(tǒng)越關(guān)鍵，對服務(wù)器等硬件和軟件資源的要求就越高，被攻擊的價(jià)值也就越大，面臨的風(fēng)險(xiǎn)也就越大。資產(chǎn)的價(jià)值和防范風(fēng)險(xiǎn)的意識會導(dǎo)出信息系統(tǒng)的安全需求。當(dāng)信息系統(tǒng)的安全需求被相應(yīng)的安全控制措施滿足時(shí)，就會降低發(fā)生風(fēng)險(xiǎn)的概率。然而有些風(fēng)險(xiǎn)由于成本過高、控制難度較大，往往不進(jìn)行控制，這部分不被控制的風(fēng)險(xiǎn)具有潛在的威脅，應(yīng)該受到密切監(jiān)視，它可能會增加信息系統(tǒng)的風(fēng)險(xiǎn)。

2高校信息安全面臨的風(fēng)險(xiǎn)及應(yīng)對策略分析

隨著高校數(shù)字化校園建設(shè)和信息化建設(shè)的不斷推進(jìn)，高校業(yè)務(wù)處理對信息系統(tǒng)的依賴性越來越強(qiáng)。由于部分高校缺乏危機(jī)意識、防范風(fēng)險(xiǎn)的制度和措施，沒有一套完善的信息系統(tǒng)風(fēng)險(xiǎn)評估體系預(yù)防風(fēng)險(xiǎn)，當(dāng)遇到信息安全的突發(fā)事件時(shí)，只能被動地采用“救火式”的方法處理風(fēng)險(xiǎn)危機(jī)，使得信息系統(tǒng)面臨的風(fēng)險(xiǎn)不斷增加。為了及時(shí)應(yīng)對信息系統(tǒng)面臨的各種風(fēng)險(xiǎn)威脅，各個(gè)部門、各個(gè)環(huán)節(jié)應(yīng)密切配合、協(xié)調(diào)，對高校信息安全面臨的各種風(fēng)險(xiǎn)及應(yīng)對策略應(yīng)進(jìn)行調(diào)研分析，建立信息安全的風(fēng)險(xiǎn)評估體系，實(shí)現(xiàn)風(fēng)險(xiǎn)評估的規(guī)范化和制度化，逐步形成監(jiān)控風(fēng)險(xiǎn)和控制風(fēng)險(xiǎn)的有效機(jī)制[5]。

2.1高校信息安全面臨的風(fēng)險(xiǎn)分析

高校信息安全面臨的風(fēng)險(xiǎn)一般可以分為技術(shù)脆弱性/漏洞風(fēng)險(xiǎn)和非技術(shù)性風(fēng)險(xiǎn)[6]。

2.1.1技術(shù)脆弱性/漏洞風(fēng)險(xiǎn)

高校信息系統(tǒng)面臨的技術(shù)性/漏洞風(fēng)險(xiǎn)主要包括數(shù)據(jù)存儲風(fēng)險(xiǎn)、系統(tǒng)權(quán)限設(shè)置風(fēng)險(xiǎn)、軟件編碼風(fēng)險(xiǎn)、硬件設(shè)備風(fēng)險(xiǎn)和網(wǎng)絡(luò)安全風(fēng)險(xiǎn)等。其中數(shù)據(jù)存儲風(fēng)險(xiǎn)主要體現(xiàn)在數(shù)據(jù)存儲空間不足、數(shù)據(jù)備份策略不健全、數(shù)據(jù)庫安全性低容易導(dǎo)致SQL注入篡改數(shù)據(jù)庫中的數(shù)據(jù)、數(shù)據(jù)不被加密在傳輸過程中容易被篡改或刪除、數(shù)據(jù)庫結(jié)構(gòu)不合理等方面；系統(tǒng)設(shè)置權(quán)限風(fēng)險(xiǎn)主要體現(xiàn)在訪問控制策略失效、系統(tǒng)訪問權(quán)限過大、客戶身份認(rèn)證失敗等；軟件編碼風(fēng)險(xiǎn)主要體現(xiàn)在操作失誤、系統(tǒng)漏洞、系統(tǒng)接口不安全、代碼健壯性差、系統(tǒng)運(yùn)行環(huán)境改變等；硬件設(shè)備風(fēng)險(xiǎn)主要體現(xiàn)在服務(wù)器配置過低、物理設(shè)備損壞、網(wǎng)絡(luò)帶寬不足、網(wǎng)絡(luò)硬件防護(hù)設(shè)備不齊全等；網(wǎng)絡(luò)安全風(fēng)險(xiǎn)主要體現(xiàn)在網(wǎng)絡(luò)惡意攻擊使網(wǎng)絡(luò)癱瘓、服務(wù)劫持、拒絕服務(wù)、利用端口漏洞破壞系統(tǒng)、內(nèi)外網(wǎng)設(shè)置缺陷、網(wǎng)站掛馬、非法訪問系統(tǒng)、竊取和篡改網(wǎng)絡(luò)傳輸數(shù)據(jù)等。

2.1.2非技術(shù)性風(fēng)險(xiǎn)

高校信息系統(tǒng)面臨的非技術(shù)性風(fēng)險(xiǎn)主要包括人為疏忽行為、管理不到位、技術(shù)失效、蓄意行為和不可抗拒風(fēng)險(xiǎn)等。其中人為疏忽行為主要體現(xiàn)在由于人為過失或非法操作導(dǎo)致服務(wù)器硬件損壞，系統(tǒng)和數(shù)據(jù)無法恢復(fù)等；管理不到位主要體現(xiàn)在沒有安裝殺毒軟件、沒有做系統(tǒng)備份策略和系統(tǒng)安全防護(hù)策略等；技術(shù)失效主要體現(xiàn)在硬件壽命設(shè)計(jì)缺陷、軟件服務(wù)到期、軟件后門等；蓄意行為主要體現(xiàn)在惡意軟件、系統(tǒng)設(shè)備帶木馬程序、蓄意泄漏機(jī)密文件、黑客與信息敲詐等；不可抗拒風(fēng)險(xiǎn)主要體現(xiàn)為地震、雷擊等自然災(zāi)害造成的風(fēng)險(xiǎn)。

2.2高校信息安全面臨的風(fēng)險(xiǎn)應(yīng)對策略分析

在對信息安全進(jìn)行風(fēng)險(xiǎn)評估時(shí)，可以根據(jù)風(fēng)險(xiǎn)評估等級、風(fēng)險(xiǎn)發(fā)生概率大小、風(fēng)險(xiǎn)影響大小、控制風(fēng)險(xiǎn)的難易程度和風(fēng)險(xiǎn)管理的成本，給出處理與應(yīng)對風(fēng)險(xiǎn)的相應(yīng)策略，供高校決策部門和相關(guān)技術(shù)部門參考，來降低風(fēng)險(xiǎn)對信息系統(tǒng)的影響。高校應(yīng)對信息安全面臨風(fēng)險(xiǎn)的應(yīng)對策略主要有風(fēng)險(xiǎn)規(guī)避、風(fēng)險(xiǎn)轉(zhuǎn)嫁、風(fēng)險(xiǎn)預(yù)防、風(fēng)險(xiǎn)控制、風(fēng)險(xiǎn)承受和風(fēng)險(xiǎn)追蹤等。其中風(fēng)險(xiǎn)規(guī)避是高校在風(fēng)險(xiǎn)發(fā)生之前，采取相關(guān)技術(shù)措施消除風(fēng)險(xiǎn)因素，避免風(fēng)險(xiǎn)發(fā)生；風(fēng)險(xiǎn)轉(zhuǎn)嫁是高校不能完全避免風(fēng)險(xiǎn)發(fā)生時(shí)，為了降低風(fēng)險(xiǎn)造成的損失，將風(fēng)險(xiǎn)轉(zhuǎn)嫁給其他組織或個(gè)人承擔(dān)，并支付風(fēng)險(xiǎn)承擔(dān)者一定費(fèi)用；風(fēng)險(xiǎn)預(yù)防是高校在風(fēng)險(xiǎn)發(fā)生之前密切監(jiān)視風(fēng)險(xiǎn)的動態(tài)，采取相應(yīng)風(fēng)險(xiǎn)防范措施，以降低風(fēng)險(xiǎn)發(fā)生的概率；風(fēng)險(xiǎn)控制是高校在風(fēng)險(xiǎn)發(fā)生時(shí)采取各種技術(shù)手段降低風(fēng)險(xiǎn)影響后果，縮小風(fēng)險(xiǎn)影響范圍等；風(fēng)險(xiǎn)承受是高校在綜合考慮控制風(fēng)險(xiǎn)難度、控制風(fēng)險(xiǎn)花費(fèi)、風(fēng)險(xiǎn)發(fā)生概率和高校風(fēng)險(xiǎn)承受能力等情況下，選擇自行承擔(dān)風(fēng)險(xiǎn)的方式；風(fēng)險(xiǎn)追蹤是高校在發(fā)現(xiàn)風(fēng)險(xiǎn)時(shí)，對風(fēng)險(xiǎn)的來源及發(fā)起者進(jìn)行跟蹤，查到根源后追究其相應(yīng)責(zé)任，客觀上可以降低風(fēng)險(xiǎn)發(fā)生的頻率。

3高校信息安全的風(fēng)險(xiǎn)評估過程

[7]高校信息安全風(fēng)險(xiǎn)評估過程包括風(fēng)險(xiǎn)評估目標(biāo)確定、風(fēng)險(xiǎn)識別、風(fēng)險(xiǎn)評價(jià)、風(fēng)險(xiǎn)控制策略選擇和風(fēng)險(xiǎn)評估效果分析幾個(gè)環(huán)節(jié)，這些環(huán)節(jié)是相輔相成，缺一不可的。

3.1風(fēng)險(xiǎn)評估目標(biāo)確定

風(fēng)險(xiǎn)評估目標(biāo)是高校開展信息安全風(fēng)險(xiǎn)評估的首要步驟。高校在對信息安全進(jìn)行風(fēng)險(xiǎn)評估時(shí)，應(yīng)當(dāng)制定準(zhǔn)確的風(fēng)險(xiǎn)評估目標(biāo)。風(fēng)險(xiǎn)評估目標(biāo)主要包括風(fēng)險(xiǎn)評價(jià)標(biāo)準(zhǔn)、風(fēng)險(xiǎn)因素標(biāo)準(zhǔn)、風(fēng)險(xiǎn)控制目標(biāo)、風(fēng)險(xiǎn)控制費(fèi)用標(biāo)準(zhǔn)、風(fēng)險(xiǎn)防范措施制定、風(fēng)險(xiǎn)評估效果評價(jià)、風(fēng)險(xiǎn)發(fā)生后果影響等。

3.2風(fēng)險(xiǎn)識別

風(fēng)險(xiǎn)識別是高校信息安全風(fēng)險(xiǎn)評估過程中最重要也最難的環(huán)節(jié)。風(fēng)險(xiǎn)識別直接關(guān)系到風(fēng)險(xiǎn)評價(jià)結(jié)果及風(fēng)險(xiǎn)等級的確定，關(guān)系到風(fēng)險(xiǎn)控制策略的選擇，如果不能正確識別風(fēng)險(xiǎn)，就不能采取正確的風(fēng)險(xiǎn)控制策略去規(guī)避和控制風(fēng)險(xiǎn)，會大大增加風(fēng)險(xiǎn)發(fā)生的可能性。3.3風(fēng)險(xiǎn)評價(jià)風(fēng)險(xiǎn)評價(jià)是高校信息安全風(fēng)險(xiǎn)評估過程中的主要環(huán)節(jié)。它主要包括對風(fēng)險(xiǎn)成因、發(fā)生概率、影響范圍、威脅程度、損失大小等因素進(jìn)行定性和定量分析，通過特定的風(fēng)險(xiǎn)評估方法進(jìn)行測算分析，確定風(fēng)險(xiǎn)的等級及危害程度。

3.險(xiǎn)控制策略選擇

高校在綜合考慮風(fēng)險(xiǎn)承受能力、風(fēng)險(xiǎn)控制費(fèi)用、風(fēng)險(xiǎn)危害程度、風(fēng)險(xiǎn)發(fā)生概率和風(fēng)險(xiǎn)評估目標(biāo)等因素的基礎(chǔ)上，根據(jù)風(fēng)險(xiǎn)評價(jià)結(jié)果，選取相應(yīng)的風(fēng)險(xiǎn)控制策略，來降低風(fēng)險(xiǎn)發(fā)生的概率及帶來的危害。

3.5風(fēng)險(xiǎn)評估效果分析

風(fēng)險(xiǎn)評估效果分析是高校結(jié)合自身的實(shí)際情況對風(fēng)險(xiǎn)評估等級的判斷是否準(zhǔn)確、風(fēng)險(xiǎn)識別的準(zhǔn)確性、風(fēng)險(xiǎn)評估目標(biāo)是否達(dá)標(biāo)、風(fēng)險(xiǎn)控制策略是否得當(dāng)、風(fēng)險(xiǎn)評估過程的科學(xué)性、風(fēng)險(xiǎn)評估數(shù)據(jù)和算法的合理性進(jìn)行綜合分析的過程。它對高校提高信息安全風(fēng)險(xiǎn)評估的準(zhǔn)確性和科學(xué)性有一定的指導(dǎo)作用。

篇（6）

中圖分類號 TP3 文獻(xiàn)標(biāo)識碼 A 文章編號 1674-6708（2017）181-0025-02

信息安全風(fēng)險(xiǎn)評估就是建設(shè)更加完善的信息安全系統(tǒng)的保障，因此本文分析信息安全風(fēng)險(xiǎn)評估關(guān)鍵技術(shù)具有很強(qiáng)烈的現(xiàn)實(shí)意義。

1 信息安全風(fēng)險(xiǎn)評估概念及流程

1.1 風(fēng)險(xiǎn)評估概念

信息安全風(fēng)險(xiǎn)評估主要指的是對網(wǎng)絡(luò)環(huán)境和信息系統(tǒng)中所面臨的威脅以及信息系統(tǒng)資產(chǎn)和系統(tǒng)的脆弱性采取針對性的安全控制措施，對風(fēng)險(xiǎn)的判斷需要從信息系統(tǒng)的管理和技術(shù)兩個(gè)層面入手。

1.2 風(fēng)險(xiǎn)評估流程

風(fēng)險(xiǎn)評估需要經(jīng)v一個(gè)完整的過程：1）準(zhǔn)備階段，此階段需要確定風(fēng)險(xiǎn)評估的范圍、目標(biāo)以及方法等；2）實(shí)施階段，分別對資產(chǎn)、威脅和脆弱性等展開一系列的評估；3）分析階段，包含量化分析和對風(fēng)險(xiǎn)的計(jì)算。在整個(gè)過程中可以看出風(fēng)險(xiǎn)評估的實(shí)施階段和對風(fēng)險(xiǎn)的分析階段所起的作用比較重要，其中包含了幾項(xiàng)比較關(guān)鍵的技術(shù)。

2 信息安全風(fēng)險(xiǎn)評估的關(guān)鍵技術(shù)

風(fēng)險(xiǎn)評估和控制軟件主要包含6個(gè)方面的主要內(nèi)容，而安全風(fēng)險(xiǎn)評估流程則是分為4個(gè)主要的模塊，漏洞管理、風(fēng)險(xiǎn)分析和評估、威脅分析、漏洞管理和檢測等。在信息安全風(fēng)險(xiǎn)評估的過程中包含以下幾方面的關(guān)鍵技術(shù)。

2.1 資產(chǎn)管理技術(shù)分析

資產(chǎn)評估主要是對具有價(jià)值的資源和信息開展的評估，這些資產(chǎn)包含有形的文檔、硬件等也包含悟性的形象和服務(wù)等。風(fēng)險(xiǎn)評估中的第一項(xiàng)任務(wù)就是進(jìn)行資產(chǎn)評估。評估過程中應(yīng)該確保資產(chǎn)的完整性和保密性，兼顧威脅。具體評估方法為：1）對資產(chǎn)進(jìn)行分類，資產(chǎn)往往來源于不同的網(wǎng)絡(luò)和業(yè)務(wù)管理系統(tǒng)。所以需要對資產(chǎn)按照形態(tài)和具體的用途進(jìn)行相應(yīng)的分類；2）對資產(chǎn)進(jìn)行賦值，對所有的資產(chǎn)進(jìn)行分類之后，需要為每一項(xiàng)資產(chǎn)進(jìn)行賦值，將資產(chǎn)的權(quán)重分為5個(gè)不同的級別，從1到5分別代表不同的資產(chǎn)等級。資產(chǎn)評估并不是需要根據(jù)賬面的價(jià)格進(jìn)行衡量而是以相對價(jià)值作為衡量的標(biāo)準(zhǔn)，需要考慮到資產(chǎn)的成本價(jià)值，更應(yīng)該明確資產(chǎn)評估對組織業(yè)務(wù)發(fā)展的重要性。在實(shí)際的資產(chǎn)評估過程中，商業(yè)利益、信譽(yù)影響、系統(tǒng)安全、系統(tǒng)破壞等都會對資產(chǎn)賦值產(chǎn)生影響。

2.2 威脅分析技術(shù)分析

威脅是客觀存在的，可能會對組織或者資產(chǎn)構(gòu)成潛在的破壞，它可以通過途徑、動機(jī)、資源和主體等多種途徑來實(shí)現(xiàn)，威脅可以分為環(huán)境因素和人為因素。環(huán)境因素分為不可抗因素和物理因素，人為因素可以分為非惡意和惡意因素。威脅評估步驟如下：1）威脅識別過程，需要根據(jù)資產(chǎn)所處的實(shí)際環(huán)境，按照自身的實(shí)際經(jīng)驗(yàn)評估資產(chǎn)可能會面對的威脅，威脅的類型十分多樣化，包含篡改、泄密、物理攻擊、網(wǎng)絡(luò)攻擊、惡意代碼、管理問題等。2）威脅評估，在威脅識別完成之后就需要對威脅發(fā)生的可能性進(jìn)行評估。威脅評估句式需要根據(jù)威脅的種類和來源形成一個(gè)類別，在列表中對威脅發(fā)生的可能性進(jìn)行定義，現(xiàn)將威脅的等級分為五級，威脅等級越高，發(fā)生的可能性越大。表1為威脅賦值表格。

2.3 脆弱性識別技術(shù)分析

脆弱性識別包含管理和技術(shù)兩個(gè)層面，涉及到各個(gè)層面中的安全問題，而漏洞掃描則是對主機(jī)和網(wǎng)絡(luò)設(shè)備等開展掃描檢查。針對需要保護(hù)的資產(chǎn)進(jìn)行脆弱性識別，找出所有威脅可以利用的脆弱性，再根據(jù)脆弱性的程度，及可能會被威脅利用的機(jī)會展開相應(yīng)的評估。對于漏洞掃描大都需要依賴掃描軟件，當(dāng)前市場上也出現(xiàn)了不少強(qiáng)大的掃描工具，可以掃描出絕大多數(shù)當(dāng)前已經(jīng)公開的絕大多數(shù)系統(tǒng)漏洞。可以使用Nessus客戶端對系統(tǒng)的漏洞情況進(jìn)行掃描，此種掃描工具包含了比較強(qiáng)大的安全漏洞數(shù)據(jù)庫，可以對系統(tǒng)漏洞進(jìn)行高效、可靠安全的檢測，在結(jié)束掃描之后，Nessus將會對收集到的信息和數(shù)據(jù)進(jìn)行分析，輸出信息。輸出的信息包含存在的漏洞情況，漏洞的詳細(xì)信息和處理漏洞的建立等。

2.4 風(fēng)險(xiǎn)分析和評估技術(shù)分析

信息安全風(fēng)險(xiǎn)評估的過程中除了進(jìn)行資產(chǎn)評估、危險(xiǎn)評估和脆弱性識別之后需要對風(fēng)險(xiǎn)進(jìn)行相應(yīng)的計(jì)算。采用科學(xué)可行的工具和方法評估威脅發(fā)生的可能性，并根據(jù)資產(chǎn)的重要性評估安全事件發(fā)生之后所產(chǎn)生的影響，即安全風(fēng)險(xiǎn)。風(fēng)險(xiǎn)值的計(jì)算需要考慮到資產(chǎn)因素、脆弱性因素和威脅因素等，在進(jìn)行了定量和定性分析之后再計(jì)算最終的風(fēng)險(xiǎn)值。

風(fēng)險(xiǎn)值的計(jì)算公式為R=F（A.T.V）=F=（Ia，G（T，Va）），公式中風(fēng)險(xiǎn)值為R，安全風(fēng)險(xiǎn)計(jì)算函數(shù)為F，資產(chǎn)為A，脆弱性為V，威脅為T，資產(chǎn)的重要程度為Ia，資產(chǎn)的脆弱性程度為Va，脆弱性被威脅利用導(dǎo)致安全事故發(fā)生的可能性為L。將公式中的各項(xiàng)指標(biāo)進(jìn)行模型化轉(zhuǎn)換，可以得到圖1。

2.4.1 評估要素量化方法

本文論述兩種量化評估要素的方法：1）權(quán)重法，根據(jù)評估要素中重要程度的不同設(shè)置不同的權(quán)限值，在經(jīng)過加權(quán)治療后得出最終的量化值。2）最高法，評估要素的量化值就是評估要素的最高等級值，公式為S=Max（Sj）

2.4.2 計(jì)算風(fēng)險(xiǎn)值的方法

根據(jù)計(jì)算風(fēng)險(xiǎn)值的模型，采用矩陣算法來計(jì)算風(fēng)險(xiǎn)值。分別計(jì)算風(fēng)險(xiǎn)事件的發(fā)生值、影響值和最終的風(fēng)險(xiǎn)值。風(fēng)險(xiǎn)事件發(fā)生值=L（資產(chǎn)的脆弱性，威脅值）=L（V，T），風(fēng)險(xiǎn)事件影響值I=（Ia，Va）。

2.4.3 風(fēng)險(xiǎn)評估結(jié)果

在綜合分析完成之后的評估結(jié)果就是風(fēng)險(xiǎn)評估結(jié)果，這項(xiàng)結(jié)果將會成為風(fēng)險(xiǎn)評估機(jī)構(gòu)開展風(fēng)險(xiǎn)管理的主要依據(jù)，風(fēng)險(xiǎn)評估結(jié)果包含：風(fēng)險(xiǎn)計(jì)算和風(fēng)險(xiǎn)分析。風(fēng)險(xiǎn)計(jì)算是對資產(chǎn)的重要程度及風(fēng)險(xiǎn)事件發(fā)生值等進(jìn)行判定；進(jìn)而得出判定結(jié)果；風(fēng)險(xiǎn)分析是總結(jié)系統(tǒng)的風(fēng)險(xiǎn)評估過程，進(jìn)而得出殘余風(fēng)險(xiǎn)和系統(tǒng)的風(fēng)險(xiǎn)狀況。

3 結(jié)論

篇（7）

doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2015 . 21. 043

[中圖分類號] TP309 [文獻(xiàn)標(biāo)識碼] A [文章編號] 1673 - 0194（2015）21- 0090- 02

信息安全風(fēng)險(xiǎn)評估是以風(fēng)險(xiǎn)管理為基礎(chǔ)，通過科學(xué)的方法和手段，對企業(yè)信息系統(tǒng)所面臨的威脅與存在的脆弱性進(jìn)行全面分析，以安全事故對企業(yè)生產(chǎn)經(jīng)營有可能帶來的危害展開評估，進(jìn)而制定出有效的防御及整改措施[1]。信息安全風(fēng)險(xiǎn)評估在企業(yè)信息安全保障體系中占據(jù)著十分重要的地位，其不但是重要的評價(jià)方法，同時(shí)也是利于企業(yè)決策的有效機(jī)制。如果缺乏準(zhǔn)確及時(shí)的風(fēng)險(xiǎn)評估，便不能準(zhǔn)確的判斷出企業(yè)所存在的信息安全問題，因此加強(qiáng)企業(yè)信息安全風(fēng)險(xiǎn)評估，對每一個(gè)中小企業(yè)來說，都意義重大。

1 中小企業(yè)信息安全評估方法

為了進(jìn)一步評估信息系統(tǒng)的安全風(fēng)險(xiǎn)，多種風(fēng)險(xiǎn)評估方法被開發(fā)出來并在企業(yè)中得以運(yùn)用。定性評估法，定量評估法以及半定量評估法是目前較為常用的幾種方法。風(fēng)險(xiǎn)評估中的定量評估方法，主要是結(jié)合企業(yè)特點(diǎn)，根據(jù)評估內(nèi)容和評估流程，從眾多的信息系統(tǒng)、人員和設(shè)備中，利用分類分別計(jì)算比例的方法，對評估對象合理選定，并進(jìn)行數(shù)量采樣[2]。并在此基礎(chǔ)上，分析企業(yè)信息系統(tǒng)中資產(chǎn)價(jià)值、威脅性以及脆弱性三者之間存在的函數(shù)關(guān)系，從而根據(jù)企業(yè)實(shí)際情況選取恰當(dāng)?shù)娘L(fēng)險(xiǎn)計(jì)算方法，合理計(jì)算出企業(yè)信息安全風(fēng)險(xiǎn)評估數(shù)值。本文認(rèn)為定量方法對當(dāng)前的中小企業(yè)來說更具實(shí)用價(jià)值，主要可從風(fēng)險(xiǎn)計(jì)算方法、威脅可能性量化賦值方法著手。

1.1 風(fēng)險(xiǎn)計(jì)算方法

后果（Consequence）及可能性（Likelihood）是風(fēng)險(xiǎn)具有的兩個(gè)基本屬性。風(fēng)險(xiǎn)對信息系統(tǒng)的影響，說到底也是這兩個(gè)因素所造成的。資產(chǎn)的不同自然也使其面臨的主要威脅存在差異。而隨著威脅可以利用的、資產(chǎn)存在的弱點(diǎn)數(shù)量的增加會增加風(fēng)險(xiǎn)的可能性，隨著弱點(diǎn)嚴(yán)重級別的提高會增加一該資產(chǎn)面臨風(fēng)險(xiǎn)的后果。通常來說， 某項(xiàng)資產(chǎn)風(fēng)險(xiǎn)的可能性為資產(chǎn)脆弱性與存在威脅的可能性的函數(shù)，同時(shí)風(fēng)險(xiǎn)后果則為資產(chǎn)價(jià)值（影響）的函數(shù)。本論文采用如下算式來得到資產(chǎn)的風(fēng)險(xiǎn)賦值：

風(fēng)險(xiǎn)值=資產(chǎn)價(jià)值×威脅可能性×資產(chǎn)脆弱性

上述公式主要考慮到各參數(shù)采取的取值并不十分精確，因而加入了以往的經(jīng)驗(yàn)和判斷，在國際中對此類數(shù)據(jù)則通常采用數(shù)學(xué)乘法或矩陣等方法。而采用線性相乘，則主要是為了方便進(jìn)行計(jì)算。企業(yè)實(shí)施風(fēng)險(xiǎn)分析可以從風(fēng)險(xiǎn)信息和數(shù)據(jù)，進(jìn)行不同程度的改進(jìn)。并根據(jù)計(jì)算出的風(fēng)險(xiǎn)值的數(shù)值范圍，確定相應(yīng)的風(fēng)險(xiǎn)等級。風(fēng)險(xiǎn)數(shù)值與風(fēng)險(xiǎn)等級對應(yīng)的關(guān)系見表1。

1.2 脆弱性量化賦值方法

脆弱性和威脅所存在的對應(yīng)關(guān)系，應(yīng)在評估時(shí)充分考慮到，要知道相對應(yīng)的脆弱性是威脅起作用的基本因素，因此脆弱性與威脅基本上是通過一一對應(yīng)的形式呈現(xiàn)出來的。對脆弱性大小的評定需要結(jié)合評估采集的調(diào)研結(jié)果、安全漏洞掃描結(jié)果以及人工安全檢查結(jié)果。參照國際通行做法和專家經(jīng)驗(yàn)，將資產(chǎn)存在的脆弱性分為5個(gè)等級，分別是很高（VH）、高（H）、中（M）、低（L）、可忽略（N），并且從高到低分別賦值5-1，具體參照表2。

威脅可能性屬性非常難以度量.它依賴于具體的資產(chǎn)、弱點(diǎn)。并且這兩個(gè)屬性都和時(shí)間有關(guān)系。在威脅評估過程中，評估者的專家經(jīng)驗(yàn)非常重要。

2 結(jié) 語

目前，信息系統(tǒng)已經(jīng)被廣泛運(yùn)用到中小企業(yè)的日常管理工作中，對其的重視程度也越來越高。對中小企業(yè)來說，定期進(jìn)行信息安全風(fēng)險(xiǎn)評估是信息安全工作得以順利實(shí)施的有效保障，通過有效的信息安全風(fēng)險(xiǎn)評估方法則是科學(xué)合理地開展信息安全風(fēng)險(xiǎn)評估的前提條件。因此，新形勢下中小企業(yè)的信息安全風(fēng)險(xiǎn)評估工作必須要做到與時(shí)俱進(jìn)，不斷創(chuàng)新，從而以適應(yīng)快速發(fā)展的社會需求。

篇（8）

2信息安全風(fēng)險(xiǎn)評估項(xiàng)目的過程管理

可以從五個(gè)方面解釋信息安全風(fēng)險(xiǎn)評估項(xiàng)目的生命周期，即數(shù)據(jù)收集、計(jì)劃準(zhǔn)備、數(shù)據(jù)分析、項(xiàng)目驗(yàn)收、報(bào)告撰寫，其中一三五是風(fēng)險(xiǎn)評估的主要實(shí)施階段。

2.1計(jì)劃準(zhǔn)備階段

（1）制定項(xiàng)目章程。在信息安全風(fēng)險(xiǎn)評估項(xiàng)目中，應(yīng)盡早確認(rèn)并任命項(xiàng)目經(jīng)理，最好在制定項(xiàng)目章程時(shí)就任命。項(xiàng)目經(jīng)理的職責(zé)首先就在于應(yīng)該參與制定項(xiàng)目章程，而該章程則具有授權(quán)的作用，即它能夠使得經(jīng)理能夠運(yùn)用組織資源來進(jìn)行項(xiàng)目的實(shí)施。顯而易見，項(xiàng)目經(jīng)理是被授權(quán)的一方，必然不能成為授權(quán)項(xiàng)目運(yùn)行有效的一方。授權(quán)項(xiàng)目啟動的人一般而言能夠提供實(shí)施項(xiàng)目所需要的資金等資源，他們能夠參與章程的編制。

（2）確定風(fēng)險(xiǎn)評估范圍。確定風(fēng)險(xiǎn)評估范圍即要了解什么方面或者對象具有風(fēng)險(xiǎn)爆發(fā)的可能，例如公司的服務(wù)器數(shù)目、電腦操作系統(tǒng)的安全性和穩(wěn)定性、應(yīng)用的防火墻種類和數(shù)目等，甚至一些人為的因素也是重要的參考。

（3）明確風(fēng)險(xiǎn)評估成果。在信息安全風(fēng)險(xiǎn)評估項(xiàng)目中，應(yīng)該在項(xiàng)目開始之前，與客戶將項(xiàng)目提交的成果及要求確定下來。明確風(fēng)險(xiǎn)評估成果之后，在項(xiàng)目執(zhí)行過程中，該目標(biāo)也應(yīng)該作為項(xiàng)目驗(yàn)收的標(biāo)準(zhǔn)。

（4）制定項(xiàng)目實(shí)施方案。項(xiàng)目實(shí)施方案是項(xiàng)目活動實(shí)施的具體流程，主要用來為項(xiàng)目實(shí)施提供技術(shù)指導(dǎo)。

（5）制定項(xiàng)目管理計(jì)劃。如果想要計(jì)劃實(shí)施過程一切順利，或者說對定義等計(jì)劃行動的過程需要記錄的話，就會需要制定一個(gè)項(xiàng)目管理計(jì)劃。項(xiàng)目管理計(jì)劃需要通過不斷更新來漸進(jìn)明細(xì)。項(xiàng)目管理計(jì)劃不能冗余，相反應(yīng)該極其精煉，但是精煉并不意味著簡單，相反項(xiàng)目管理計(jì)劃應(yīng)詳細(xì)論述和解釋完成這個(gè)項(xiàng)目所需要的一些條件。

（6）組建項(xiàng)目團(tuán)隊(duì)。一個(gè)優(yōu)秀的項(xiàng)目團(tuán)隊(duì)是完成項(xiàng)目所必不可少的，是一種必須的人力資源。在項(xiàng)目開始時(shí)，一般而言，由項(xiàng)目經(jīng)理來決定優(yōu)秀團(tuán)隊(duì)的組成，并且在組建團(tuán)隊(duì)時(shí)應(yīng)該注意談判技巧。

（7）召開項(xiàng)目啟動會。項(xiàng)目啟動會代表著一個(gè)項(xiàng)目從此開始了正式的運(yùn)作，是一個(gè)項(xiàng)目的啟動階段，在項(xiàng)目啟動會上需要完成的任務(wù)包括分析評估完成項(xiàng)目所需要的方法和成本等問題。

（8）風(fēng)險(xiǎn)評估培訓(xùn)。風(fēng)險(xiǎn)評估培訓(xùn)是對項(xiàng)目團(tuán)隊(duì)成員及客戶的項(xiàng)目參與者就風(fēng)險(xiǎn)評估方法、評估過程的相關(guān)細(xì)節(jié)性進(jìn)行培訓(xùn)，以便項(xiàng)目能順利實(shí)施。

2.2數(shù)據(jù)收集階段

主要包括收集資料、現(xiàn)場技術(shù)評估、現(xiàn)場管理評估三項(xiàng)任務(wù)。

（1）收集資料。數(shù)據(jù)收集階段最開始的步驟肯定是收集資料，簡而言之，收集資料就是采取一切可行的方法，盡可能詳細(xì)地獲得和項(xiàng)目相關(guān)的一些信息，例如客戶的行為習(xí)慣、客戶業(yè)務(wù)相關(guān)的文檔，甚至信息安全系統(tǒng)、信息化流程等信息都要盡量詳細(xì)化。

（2）現(xiàn)場技術(shù)評估。現(xiàn)場技術(shù)評估就是通過漏洞掃描、問卷調(diào)查、現(xiàn)場訪談、主機(jī)配置審計(jì)、現(xiàn)場勘查等手段對評估對象進(jìn)行評估。

（3）現(xiàn)場管理評估。現(xiàn)場管理評估是最后一個(gè)步驟，但是卻非常重要，它不僅關(guān)系著此次項(xiàng)目運(yùn)行成功與否，還關(guān)系到以后項(xiàng)目效率的改進(jìn)，現(xiàn)場評估需要對項(xiàng)目進(jìn)展的流程進(jìn)行綜合分析，找出不足之處，尋出與優(yōu)秀的項(xiàng)目管理之間的差距，歸納總結(jié)，從而完善管理程序。

2.3數(shù)據(jù)分析階段

收集數(shù)據(jù)階段已經(jīng)收集了很多的數(shù)據(jù)存量，想要發(fā)現(xiàn)數(shù)據(jù)的內(nèi)在規(guī)律，從而發(fā)現(xiàn)有用的東西，就必須對數(shù)據(jù)進(jìn)行詳細(xì)分析，只有仔細(xì)分析數(shù)據(jù)，才能夠發(fā)現(xiàn)項(xiàng)目的風(fēng)險(xiǎn)所在，從而確定風(fēng)險(xiǎn)的大小，找出其資產(chǎn)、弱點(diǎn)、風(fēng)險(xiǎn)。

2.4報(bào)告撰寫階段

對收集到的數(shù)據(jù)進(jìn)行了詳細(xì)分析，得到初步的結(jié)論以后，就到了報(bào)告撰寫階段，即在數(shù)據(jù)分析的基礎(chǔ)上，制作一份報(bào)告，論述項(xiàng)目的風(fēng)險(xiǎn)問題。

（1）撰寫風(fēng)險(xiǎn)評估報(bào)告。風(fēng)險(xiǎn)評估報(bào)告應(yīng)該將風(fēng)險(xiǎn)分析的結(jié)果直觀地、形象地表達(dá)出來，讓管理層清楚地了解當(dāng)前信息系統(tǒng)存在的風(fēng)險(xiǎn)。

（2）撰寫整改報(bào)告。整改報(bào)告則是根據(jù)風(fēng)險(xiǎn)評估的結(jié)果，提出對風(fēng)險(xiǎn)進(jìn)行管理與控制的過程。可分為安全加固建議、安全體系結(jié)構(gòu)建議、安全管理建議三種。

2.5項(xiàng)目驗(yàn)收階段

在完成了以上的步驟以后，理論上就可以對項(xiàng)目進(jìn)行驗(yàn)收了，項(xiàng)目驗(yàn)收即對前期風(fēng)險(xiǎn)評估成果的檢驗(yàn)，一般包括三項(xiàng)內(nèi)容，即報(bào)告的評審、組織會議討論驗(yàn)收事宜以及內(nèi)部項(xiàng)目總結(jié)。

（1）報(bào)告評審報(bào)告評審就是對風(fēng)險(xiǎn)評估報(bào)告及整改報(bào)告進(jìn)行評審。

（2）召開項(xiàng)目驗(yàn)收會即對項(xiàng)目的成果進(jìn)行匯報(bào)。

（3）內(nèi)部項(xiàng)目總結(jié)不僅僅是單純的對項(xiàng)目實(shí)施過程的一次簡單的回顧，還是一個(gè)經(jīng)驗(yàn)總結(jié)的過程，回顧過去，把握現(xiàn)在，爭取在以后的項(xiàng)目中不再犯同樣的錯(cuò)誤。

3信息安全風(fēng)險(xiǎn)評估項(xiàng)目的重點(diǎn)領(lǐng)域管理

信息安全問題影響深遠(yuǎn)，其風(fēng)險(xiǎn)評估應(yīng)根據(jù)項(xiàng)目的特點(diǎn)及具體過程，且應(yīng)在評估中重點(diǎn)加強(qiáng)溝通、范圍、時(shí)間、成本、風(fēng)險(xiǎn)、人力資源等幾個(gè)領(lǐng)域的管理。

3.1項(xiàng)目溝通管理

為了達(dá)到項(xiàng)目目標(biāo)，項(xiàng)目經(jīng)理首先必須通過溝通談判從本公司獲得相應(yīng)的人力資源等支持；其次，為了獲得客戶的支持與配合，提高項(xiàng)目滿意度，項(xiàng)目經(jīng)理必須與客戶進(jìn)行有效溝通。項(xiàng)目的最終目標(biāo)是滿足或者超過干系人的需求與期望。要滿足或者超過干系人的需求與期望，首先應(yīng)該識別干系人，識別他們的需求與期望，制定溝通計(jì)劃，在項(xiàng)目實(shí)施過程中管理干系人的需求與期望。

（1）識別干系人。很顯然，與項(xiàng)目的相關(guān)程度不同，不同的人對項(xiàng)目信息安全風(fēng)險(xiǎn)具有不同的影響，作為客戶方與項(xiàng)目實(shí)施方，其公司企業(yè)的信息安全風(fēng)險(xiǎn)是不一樣的，一般而言客戶方具有最大的影響力，公司方則次之，干系人對項(xiàng)目的態(tài)度也是影響項(xiàng)目信息安全風(fēng)險(xiǎn)的重要因素，態(tài)度一般分為無關(guān)、支持和反對三個(gè)。

（2）了解干系人的需求與期望。應(yīng)該在充分了解項(xiàng)目背景的基礎(chǔ)上，運(yùn)用一定的方法與技巧了解干系人的需求與期望。①了解項(xiàng)目背景。可以咨詢售前顧問、銷售人員或者查閱招標(biāo)時(shí)的招標(biāo)書，甚至可以通過互聯(lián)網(wǎng)獲得相關(guān)信息。風(fēng)險(xiǎn)評估項(xiàng)目的項(xiàng)目背景也是復(fù)雜的，一般而言會分成很多的情況，比較常見的有項(xiàng)目本身實(shí)施過程中出現(xiàn)的信息安全事件、監(jiān)管機(jī)制的不合理等。②了解干系人需求與期望的方法。馬期洛需求層次理論可以幫助我們了解干系人需求與期望。通過馬期洛需求層次理論可以大致了解干系人的需求，然后通過換位思考、溝通交流等手段，進(jìn)一步確認(rèn)干系人的需求與期望。

（3）制定溝通計(jì)劃。信息安全風(fēng)險(xiǎn)評估項(xiàng)目需要溝通，所以需要制定一個(gè)有效的溝通計(jì)劃。信息安全風(fēng)險(xiǎn)評估項(xiàng)目不能夠隨意地制定溝通計(jì)劃，而應(yīng)該詳細(xì)地分析相關(guān)的影響因素，重點(diǎn)關(guān)注利益相關(guān)者的溝通情況，從而降低影響，提高效率。

（4）管理干系人的需求與期望。干系人的期望與需求也應(yīng)該得到恰當(dāng)?shù)墓芾恚钪匾氖且鞔_期望與需求，進(jìn)行類別的劃分。可分為A、B、C三類：A類：必須做（need），這一類如不做，將難以通過驗(yàn)收；B類：應(yīng)該做（want），這一類如不做，會影響驗(yàn)收效果；C類：可以做（wish），這一類是可做可不做的，做了客戶會更加滿意，不做也不會影響驗(yàn)收。其次，在管理干系人的需求與期望時(shí)，應(yīng)該遵循80/20規(guī)則，即完成20%的任務(wù)實(shí)現(xiàn)80%的價(jià)值，這部分任務(wù)必須作為重點(diǎn)。另外，可能還有20%的任務(wù)花費(fèi)80%的成本，在資源及時(shí)間允許的情況下處理此類需求與期望。再次，在管理干系人的需求與期望時(shí)也可以根據(jù)干系人的職權(quán)（權(quán)力）進(jìn)行管理。①在第一象限中的干系人權(quán)力高，但對項(xiàng)目關(guān)注程度低，采用令其滿意的管理策略。②在第二象限中的干系人權(quán)力高，且對項(xiàng)目關(guān)注程度高，要對其重點(diǎn)管理，優(yōu)先滿足其需要與期望。③第三象限的人員對項(xiàng)目關(guān)注程度高，但權(quán)力較低，采用隨時(shí)告知的策略，盡量不要影響其個(gè)人利益。④第四象限的人權(quán)力低，且對項(xiàng)目不關(guān)注，要監(jiān)督他們對項(xiàng)目的反應(yīng)，不引起負(fù)面影響。最后，為了滿足干系人的需求與期望，需要在項(xiàng)目范圍、項(xiàng)目時(shí)間、項(xiàng)目成本、項(xiàng)目質(zhì)量之間做好平衡。

3.2項(xiàng)目范圍管理

范圍是一個(gè)空間的范疇，一個(gè)項(xiàng)目管理的范圍規(guī)定了一個(gè)項(xiàng)目的權(quán)限范圍，規(guī)定了項(xiàng)目可以做哪些事情，而哪些事情是不能做的，實(shí)際上是對必要工作的堅(jiān)持和對不必要工作的摒棄。

（1）明確風(fēng)險(xiǎn)評估范圍。項(xiàng)目計(jì)劃準(zhǔn)備時(shí)就要考慮風(fēng)險(xiǎn)評估范圍，在這一階段就應(yīng)該定義項(xiàng)目范圍的廣泛性以及縱深等內(nèi)容，并且考慮客戶的需求，從而明確項(xiàng)目管理范圍。項(xiàng)目范圍的確定不是一方所能夠決定的，相反這是一個(gè)博弈的過程，應(yīng)該照顧各方的利益，制定出一個(gè)符合各方利益的項(xiàng)目管理范圍。

（2）明確風(fēng)險(xiǎn)評估成果。應(yīng)該在項(xiàng)目開始之前，與客戶將項(xiàng)目提交的成果及要求確定下來。一是在項(xiàng)目執(zhí)行過程中，以此為目標(biāo)；二是設(shè)定一個(gè)驗(yàn)收項(xiàng)目的標(biāo)準(zhǔn)。

（3）創(chuàng)建工作分解結(jié)構(gòu)。顧名思義，創(chuàng)建工作分解結(jié)構(gòu)即將解構(gòu)分解，即把項(xiàng)目的最后結(jié)果和其工作流程明細(xì)化，從而使得每一步變得簡單，更加容易操作。在信息安全風(fēng)險(xiǎn)評估項(xiàng)目中，第一層一般就放置項(xiàng)目成果，而第二層則更加側(cè)重中間成果。顯而易見，分解工作結(jié)構(gòu)并不是一件簡單的事情，也不是只有一種方法，各層次都是可以相互變化的。

（4）風(fēng)險(xiǎn)評估范圍控制。范圍是所有計(jì)劃的基礎(chǔ)。對待客戶提出范圍變更應(yīng)該遵循以下流程：首先不能明確拒絕，然后要分析客戶變更的原因及目的，快速反應(yīng)變更所需要的人工及預(yù)算對時(shí)間和質(zhì)量的影響，然后再做出決定。

（5）風(fēng)險(xiǎn)評估成果核實(shí)。風(fēng)險(xiǎn)評估成果核實(shí)過程應(yīng)該嚴(yán)謹(jǐn)而且細(xì)心，因?yàn)檫@是一個(gè)正式驗(yàn)收項(xiàng)目的過程，需要由客戶和項(xiàng)目的執(zhí)行人一起認(rèn)真核實(shí)項(xiàng)目的最終結(jié)果。

（6）取得干系人對項(xiàng)目范圍正式認(rèn)可。它要求審查可交付成果和工作結(jié)果，以保證一切均已正確無誤且令人滿意地完成。

3.3項(xiàng)目時(shí)間管理

時(shí)間管理至關(guān)重要，因?yàn)閮?yōu)秀的時(shí)間管理保證項(xiàng)目能夠不延期交付。

（1）定義活動。定義活動從字面上理解就是一個(gè)識別的過程，定義識別的是在項(xiàng)目的實(shí)施過程中需要采取的一切實(shí)施方法和步驟。它是在工作分解結(jié)構(gòu)的基礎(chǔ)上進(jìn)行細(xì)化而完成的。

（2）排列活動順序。活動順序涉及到的是一個(gè)排列的問題，指的是一種依賴關(guān)系，即識別和記錄項(xiàng)目活動的依賴關(guān)系，是一種邏輯的過程。一般而言，這里所指的依賴關(guān)系指的是信息安全風(fēng)險(xiǎn)評估項(xiàng)目中，各個(gè)活動之間所具有的特性，如強(qiáng)制性、選擇性和外部依賴性。確定完活動之間的依賴關(guān)系，就可以對他們進(jìn)行排序了，可以采用網(wǎng)絡(luò)圖的方法來表達(dá)他們之間的順序，常有三種關(guān)系，即完成-開始，開始-開始，結(jié)束-結(jié)束。

（3）估算活動持續(xù)時(shí)間。估算活動持續(xù)時(shí)間是一個(gè)時(shí)間上的范疇，指的是估計(jì)資源運(yùn)用和消耗，以及估計(jì)完成一項(xiàng)活動所需工時(shí)的過程。需要根據(jù)活動的具體情況、負(fù)責(zé)活動的人員情況來進(jìn)行估算。估算不能隨意，應(yīng)該具有嚴(yán)格的依據(jù)。工時(shí)估算時(shí)，常采用三點(diǎn)估算法。即估算工時(shí)=（最樂觀時(shí)間+4×最可能時(shí)間+最悲觀時(shí)間）/6。①制定進(jìn)度計(jì)劃。制定進(jìn)度計(jì)劃首先需要對所掌握的信息進(jìn)行深入分析，從而確定活動的順序，并且在時(shí)間和空間上確定一個(gè)相對準(zhǔn)確的點(diǎn)，估算對資源的需求以及項(xiàng)目實(shí)施流程。制定一個(gè)有效的進(jìn)度計(jì)劃并不是件簡單的事情，而是極其復(fù)雜的過程，在這期間需要一遍又一遍分析，從而確定一個(gè)合適的時(shí)間跨度，并且對項(xiàng)目結(jié)果有一個(gè)合適的預(yù)期。即使制訂了進(jìn)度計(jì)劃，也不是一成不變的，而是要根據(jù)相關(guān)審查部門的意見適當(dāng)?shù)匦薷挠?jì)劃，從而使得計(jì)劃在時(shí)間和資源應(yīng)用上更加合理。只有審查通過以后，這個(gè)進(jìn)度計(jì)劃才可以說是確定下來了。信息安全風(fēng)險(xiǎn)評估項(xiàng)目極其復(fù)雜，很多因素?zé)o論是內(nèi)部的還是外部的，都對項(xiàng)目有很大的影響，并且鑒于有限的項(xiàng)目組成員，所以需要采用一個(gè)更加合適的進(jìn)度計(jì)劃形式。②控制進(jìn)度。控制進(jìn)度的同時(shí)也是一個(gè)對項(xiàng)目監(jiān)督管理的過程，這一過程根據(jù)進(jìn)度計(jì)劃的基準(zhǔn)不斷地調(diào)整項(xiàng)目的進(jìn)程。進(jìn)度控制程序：一般分為四個(gè)步驟，即先要分析一個(gè)項(xiàng)目所散發(fā)的狀態(tài)信息；然后如果需要調(diào)整進(jìn)度，就要調(diào)整影響進(jìn)度的相關(guān)參數(shù)；再次分析以后，要確定一個(gè)項(xiàng)目是否在原定的軌道上；如果進(jìn)度脫離了軌道，就要進(jìn)行相應(yīng)的管理。

3.4項(xiàng)目成本管理

成本管理包括估算成本、制定預(yù)算、控制成本三項(xiàng)任務(wù)。

（1）估算成本。對成本的估算需要囊括整個(gè)項(xiàng)目的進(jìn)程，時(shí)間跨度和空間跨度上均要全面。成本估算是在某特定時(shí)點(diǎn)，根據(jù)已知信息所做出的成本預(yù)測。信息安全風(fēng)險(xiǎn)評估項(xiàng)目的主要成本是人工成本及實(shí)施直接成本，因?yàn)槿斯こ杀菊剂怂谐杀镜囊淮蟛糠郑跃_地估算人工成本是成本估算最基礎(chǔ)的一面。估算人工成本有個(gè)前提，即進(jìn)度計(jì)劃是準(zhǔn)確的，從而對團(tuán)隊(duì)成員的人工估算做到精確。項(xiàng)目成本即使估算出來了，也不一定是準(zhǔn)確的，需要時(shí)時(shí)修正，因?yàn)樵降搅隧?xiàng)目的后期，需要估計(jì)的越少，影響估算準(zhǔn)確性的因素也越少，所以成本估算需要不斷進(jìn)行。

（2）制定預(yù)算。制定預(yù)算也是一個(gè)估算的過程，是對一個(gè)項(xiàng)目的所有方面進(jìn)行一個(gè)全面的評估，從而為以后資金的撥付制訂了基礎(chǔ)和基準(zhǔn)。只有制定預(yù)算，才能夠根據(jù)預(yù)算的需求來劃撥資金，并且影響到了項(xiàng)目的實(shí)施全過程和成果評估部分。

（3）控制成本。成本的控制一般而言指的是成本不應(yīng)該超出預(yù)算，控制成本是一個(gè)動態(tài)的過程，是監(jiān)督項(xiàng)目狀態(tài)，從而獲得有用信息以更新項(xiàng)目預(yù)算。項(xiàng)目成本控制包括：找出影響項(xiàng)目成本的因素，并作相應(yīng)的修改；保證修改項(xiàng)目參數(shù)能夠成功；在修改成功以后，要隨時(shí)動態(tài)地監(jiān)督；控制成本，使得成本控制在預(yù)算的范圍之內(nèi)，甚至應(yīng)該精確到每一項(xiàng)開支；分析成本與預(yù)算成本基準(zhǔn)之間的差距；對照資金支出，監(jiān)督工作績效；嚴(yán)格禁止不相關(guān)的支出，使得每一項(xiàng)成本都合情合理；向有關(guān)干系人匯報(bào)項(xiàng)目進(jìn)展和成本控制的工作；即使項(xiàng)目超支了，也要盡量減少成本。

3.5人力資源管理

人力資源管理在一個(gè)項(xiàng)目執(zhí)行時(shí)包括很多方面的內(nèi)容，例如管理組織一個(gè)實(shí)施團(tuán)隊(duì)、人員分工等。

（1）制定人力資源計(jì)劃。制定人力資源計(jì)劃是在項(xiàng)目實(shí)施之前對實(shí)施項(xiàng)目的團(tuán)隊(duì)、人員、職務(wù)、報(bào)酬等方面的規(guī)劃，并且對各個(gè)人和團(tuán)隊(duì)的責(zé)任進(jìn)行詳細(xì)劃分。人力資源計(jì)劃包含項(xiàng)目角色與職責(zé)記錄、分成的各個(gè)部門等。一些信息安全風(fēng)險(xiǎn)評估項(xiàng)目執(zhí)行時(shí)間比較長，因此需要更加有效的團(tuán)隊(duì)，這就需要對人員進(jìn)行培訓(xùn)以及制定團(tuán)隊(duì)建設(shè)策略等。風(fēng)險(xiǎn)評估項(xiàng)目的責(zé)任分配并不復(fù)雜，可采用責(zé)任分配矩陣（RAM），這個(gè)矩陣能夠顯示工作包或活動與項(xiàng)目團(tuán)隊(duì)成員之間的聯(lián)系。并且根據(jù)需求的不同，制定不同層次的矩陣。

（2）組建項(xiàng)目團(tuán)隊(duì)。組建項(xiàng)目團(tuán)隊(duì)實(shí)際上是對人力資源使用和分配的過程，需要了解人力資源的各種特性，從而組建最合適的管理團(tuán)隊(duì)，在組建團(tuán)隊(duì)時(shí)需要注意：項(xiàng)目經(jīng)理所要做的是積極地與人力資源人員進(jìn)行交流，充分掌握各方面的信息，從而獲得最合適和最有效率的人才。但是有時(shí)候項(xiàng)目經(jīng)理并不能總是如愿地獲得自己想要的人力資源，而是會受到如經(jīng)濟(jì)等其他項(xiàng)目對資源的占用等因素的影響，從而制約了項(xiàng)目的實(shí)施，作為替代，項(xiàng)目經(jīng)理可能不可避免地使用不合適的人力資源。

（3）管理項(xiàng)目團(tuán)隊(duì)。管理項(xiàng)目團(tuán)隊(duì)是選出來運(yùn)營項(xiàng)目的人所組成的團(tuán)隊(duì)，他們具有多樣化的目標(biāo)，例如繼續(xù)學(xué)習(xí)，提高團(tuán)隊(duì)成員的專業(yè)技能，增強(qiáng)團(tuán)隊(duì)的執(zhí)行能力從而保證項(xiàng)目結(jié)果的按時(shí)交付；以最低的成本完成最高質(zhì)量的項(xiàng)目；按時(shí)完成項(xiàng)目，團(tuán)隊(duì)成員之間相互協(xié)作，增加團(tuán)隊(duì)效率，豐富團(tuán)隊(duì)成員的知識，增強(qiáng)其跨學(xué)科運(yùn)作能力，提高團(tuán)隊(duì)的凝聚力，無論整體上還是個(gè)人上都有效率的提升等。項(xiàng)目經(jīng)理在期間應(yīng)該全權(quán)負(fù)責(zé)項(xiàng)目團(tuán)隊(duì)的管理運(yùn)作，增加項(xiàng)目績效，在團(tuán)隊(duì)出現(xiàn)問題時(shí)，分析導(dǎo)致問題的原因，然后解決問題。團(tuán)隊(duì)建設(shè)一般要經(jīng)過5個(gè)階段：①形成階段，這個(gè)階段是團(tuán)隊(duì)形成的最初階段，團(tuán)隊(duì)成員只是互相認(rèn)識，并沒有相應(yīng)的合作。②震蕩階段，指的是團(tuán)隊(duì)已經(jīng)開始運(yùn)作，但是成員之間需要磨合的階段。③規(guī)范階段，過了磨合期以后，團(tuán)隊(duì)成員彼此之間逐漸適應(yīng)了彼此的節(jié)奏，能夠進(jìn)行初步合作了，團(tuán)隊(duì)開始有成為一個(gè)有效整體的趨向。④成熟階段，這一階段團(tuán)隊(duì)成員之間已經(jīng)能夠精誠合作，互補(bǔ)余缺，相互學(xué)習(xí)，團(tuán)隊(duì)效率較高。⑤解散階段，即當(dāng)項(xiàng)目完成以后，各成員完成了職責(zé)，從而脫離團(tuán)隊(duì)。因?yàn)楦鞣N各樣的原因，例如缺乏充足的資金、進(jìn)度安排不合理、團(tuán)隊(duì)成員之間缺乏配合等，會造成項(xiàng)目環(huán)境的沖突。如果項(xiàng)目經(jīng)理能有效管理，則意見分歧能夠轉(zhuǎn)變?yōu)閳F(tuán)隊(duì)的多樣化管理，不僅能夠提高團(tuán)隊(duì)創(chuàng)造力還有利于做出更好的決策。如果管理不當(dāng)，團(tuán)隊(duì)之間的分歧沒有得到解決，就可能會加大團(tuán)隊(duì)成員之間的鴻溝，從而對項(xiàng)目的實(shí)施產(chǎn)生負(fù)面的影響。要建設(shè)高效的項(xiàng)目團(tuán)隊(duì)，項(xiàng)目經(jīng)理需要獲得高層管理者的支持，獲得團(tuán)隊(duì)成員的承諾，采用適當(dāng)?shù)莫?jiǎng)勵(lì)和認(rèn)可機(jī)制，創(chuàng)建團(tuán)隊(duì)認(rèn)同感，有效管理沖突，團(tuán)隊(duì)成員間增進(jìn)信任和開放式溝通，特別是要有良好的團(tuán)隊(duì)領(lǐng)導(dǎo)力。項(xiàng)目團(tuán)隊(duì)管理的一些工具與技術(shù)包括：①人際關(guān)系技能。通過了解項(xiàng)目團(tuán)隊(duì)成員的感情來預(yù)測其行動，了解其后顧之憂，并盡力幫助解決問題，項(xiàng)目管理團(tuán)隊(duì)可大大減少麻煩并促進(jìn)合作。②培訓(xùn)。旨在提高項(xiàng)目團(tuán)隊(duì)成員能力的全部活動，培訓(xùn)可以是正式或非正式的。應(yīng)該按人力資源計(jì)劃中的安排來實(shí)施預(yù)定的培訓(xùn)。③制定管理規(guī)范，對項(xiàng)目團(tuán)隊(duì)成員的可接受行為做出明確規(guī)定。盡早制定并遵守明確的規(guī)則，可減少誤解，提高生產(chǎn)力。規(guī)則一旦建立，全體項(xiàng)目團(tuán)隊(duì)成員都必須遵守。④認(rèn)可與獎(jiǎng)勵(lì)。如果想要提高項(xiàng)目團(tuán)隊(duì)的效率，使得每個(gè)人更加盡心和更加富有責(zé)任感，就應(yīng)在團(tuán)隊(duì)建設(shè)過程中引進(jìn)相應(yīng)的激勵(lì)機(jī)制，在制定項(xiàng)目計(jì)劃時(shí)就應(yīng)該考慮到團(tuán)隊(duì)成員的獎(jiǎng)懲問題。在管理項(xiàng)目團(tuán)隊(duì)的過程中，團(tuán)隊(duì)成員的獎(jiǎng)勵(lì)不是隨意而發(fā)的，而是通過項(xiàng)目績效評價(jià)，以正式或非正式的方式做出獎(jiǎng)勵(lì)決定。只有優(yōu)良行為才能得到獎(jiǎng)勵(lì)。

3.6項(xiàng)目風(fēng)險(xiǎn)管理

項(xiàng)目風(fēng)險(xiǎn)管理旨在降低風(fēng)險(xiǎn)，或者把風(fēng)險(xiǎn)控制在可控范圍之內(nèi)。其目標(biāo)是盡力使得項(xiàng)目運(yùn)行向著有利的方面轉(zhuǎn)化，對消極負(fù)面的一部分則注意防范。信息安全風(fēng)險(xiǎn)評估項(xiàng)目不屬于特別大的項(xiàng)目，所以一般分為識別風(fēng)險(xiǎn)、評價(jià)風(fēng)險(xiǎn)、規(guī)劃風(fēng)險(xiǎn)應(yīng)對、監(jiān)控風(fēng)險(xiǎn)四個(gè)過程。

（1）識別風(fēng)險(xiǎn)。識別風(fēng)險(xiǎn)是風(fēng)險(xiǎn)管理的前提，是一個(gè)信息處理的過程，在這個(gè)過程中判斷分析什么樣的風(fēng)險(xiǎn)會影響項(xiàng)目。可采用核對表的方式進(jìn)行風(fēng)險(xiǎn)識別。

（2）評價(jià)風(fēng)險(xiǎn)。對于信息安全風(fēng)險(xiǎn)評估項(xiàng)目，評價(jià)風(fēng)險(xiǎn)只需要定性評價(jià)即可。實(shí)施定性風(fēng)險(xiǎn)分析根據(jù)風(fēng)險(xiǎn)發(fā)生的相對概率或可能性、風(fēng)險(xiǎn)發(fā)生后對項(xiàng)目目標(biāo)的相應(yīng)影響以及其他因素來評估已識別風(fēng)險(xiǎn)的優(yōu)先級。

（3）規(guī)劃風(fēng)險(xiǎn)應(yīng)對。規(guī)劃風(fēng)險(xiǎn)應(yīng)對是風(fēng)險(xiǎn)管理最重要的步驟，其規(guī)劃的是項(xiàng)目的目標(biāo)及降低風(fēng)險(xiǎn)的步驟。對于消極風(fēng)險(xiǎn)，常有回避、轉(zhuǎn)移、減輕、接受四種方式；對于積極風(fēng)險(xiǎn)，常有開拓、分享、提高、接受四種方式。

（4）監(jiān)控風(fēng)險(xiǎn)。監(jiān)控風(fēng)險(xiǎn)是風(fēng)險(xiǎn)管理的最后一步，也是第一步，因?yàn)樗秦灤┰谡麄€(gè)項(xiàng)目之中，是一個(gè)制定風(fēng)險(xiǎn)應(yīng)對計(jì)劃、監(jiān)控已知風(fēng)險(xiǎn)、加強(qiáng)管理以解決風(fēng)險(xiǎn)以及發(fā)現(xiàn)新風(fēng)險(xiǎn)的過程。

篇（9）

1風(fēng)險(xiǎn)評估研究現(xiàn)狀

從當(dāng)前的研究現(xiàn)狀來看，安全風(fēng)險(xiǎn)評估領(lǐng)域的相關(guān)研究成果主要集中在標(biāo)準(zhǔn)制定上。不同的安全評估標(biāo)準(zhǔn)包含不同的評估方法。迄今為止，業(yè)界比較認(rèn)可的風(fēng)險(xiǎn)評估相關(guān)標(biāo)準(zhǔn)主要有國際標(biāo)準(zhǔn)ISO/IECTR13335IT安全管理、美國NIST標(biāo)準(zhǔn)SP800－30IT系統(tǒng)風(fēng)險(xiǎn)管理指南(2012年做了最新修訂)、澳大利亞－新西蘭標(biāo)準(zhǔn)風(fēng)險(xiǎn)管理AS/NZS4360等。我國也根據(jù)國際上這些標(biāo)準(zhǔn)制定了我國的風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)GB/T20984－2007信息安全技術(shù)風(fēng)險(xiǎn)評估規(guī)范以及GB/Z24364－2009信息安全技術(shù)信息安全風(fēng)險(xiǎn)管理指南。

1．1IT安全管理ISO/IECTR13335

IT安全管理ISO/IECTR13335系列標(biāo)準(zhǔn)是最早的清晰描述安全風(fēng)險(xiǎn)評估理論及方法的國際標(biāo)準(zhǔn)，其主要目的是給出如何有效地實(shí)施IT安全管理的建議和指導(dǎo)，是當(dāng)前安全風(fēng)險(xiǎn)評估與風(fēng)險(xiǎn)管理方面最權(quán)威的標(biāo)準(zhǔn)之一。ISO/IECTR13335(以下簡稱為IS013335)包括了五個(gè)部分:第一部分IT安全概念和模型(1996)主要描述了IT安全管理所用的基本概念和模型。IS013335介紹了IT安全管理中的安全要素，重點(diǎn)描述了:資產(chǎn)、威脅、脆弱性、影響、風(fēng)險(xiǎn)、防護(hù)措施、殘留風(fēng)險(xiǎn)等與安全風(fēng)險(xiǎn)評估相關(guān)的要素。它強(qiáng)調(diào)風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)管理是IT安全管理過程的一部分，也是必不可少的一個(gè)關(guān)鍵過程。圖1表示資產(chǎn)怎樣潛在經(jīng)受若干威脅。［2］如圖1所示，某些安全防護(hù)措施在降低與多種威脅和/或多種脆弱性有關(guān)的風(fēng)險(xiǎn)方面可以是有效的。有時(shí)，需要幾種安全防護(hù)措施使殘留風(fēng)險(xiǎn)降低到可接受的級別。某些情況中，當(dāng)認(rèn)為風(fēng)險(xiǎn)是可接受時(shí)，即使存在威脅也不實(shí)施安全防護(hù)措施。在其他一些情況下，要是沒有已知的威脅利用脆弱性，可以存在這種脆弱性。圖2表示與風(fēng)險(xiǎn)管理有關(guān)的安全要素之間的關(guān)系。為清晰起見，僅表示了主要的關(guān)系。任何二個(gè)方塊之間箭頭上的標(biāo)記描述了這些方塊之間的關(guān)系。第二部分管理和規(guī)劃IT安全(1997)主要提出了與IT安全管理和規(guī)劃有關(guān)的各種活動，以及組織中有關(guān)的角色和職責(zé)。［2］第三部分IT安全管理技術(shù)(1998)本部分介紹并推薦用于成功實(shí)施IT安全管理的技術(shù)，重點(diǎn)介紹了風(fēng)險(xiǎn)分析的四種方法:基線方法、非正式方法、詳細(xì)風(fēng)險(xiǎn)分析和綜合方法。［2］第四部分安全防護(hù)措施的選擇(2000)為在考慮商業(yè)需求和安全要素的情況下選擇安全防護(hù)措施的指南。它描述了根據(jù)安全風(fēng)險(xiǎn)和要素及部門的典型環(huán)境，選擇安全防護(hù)措施的過程，并表明如何獲得合適的保護(hù)，如何能被最基礎(chǔ)的安全應(yīng)用支持。［2］第五部分網(wǎng)絡(luò)的安全防護(hù)措施(2001)為關(guān)于網(wǎng)絡(luò)和通信方面的IT安全管理指南，這一指南提供了根據(jù)建立網(wǎng)絡(luò)安全需求來考慮的通信相關(guān)因素的識別和分析。［2］

1．2風(fēng)險(xiǎn)評估實(shí)施指南

SP800－30SP800－30(風(fēng)險(xiǎn)評估實(shí)施指南，2012年9月)是由NIST制定的與風(fēng)險(xiǎn)評估相關(guān)的標(biāo)準(zhǔn)之一，它對安全風(fēng)險(xiǎn)評估的流程及方法進(jìn)行了詳細(xì)的描述，提供了一套與三層風(fēng)險(xiǎn)管理框架結(jié)合的風(fēng)險(xiǎn)評估辦法，用于幫助企業(yè)更好地評價(jià)、管理與IT相關(guān)的業(yè)務(wù)面臨的風(fēng)險(xiǎn)。它包括對IT系統(tǒng)中風(fēng)險(xiǎn)評估模型的定義和實(shí)踐指南，提供用于選擇合適安全控制措施的信息。SP800－30:2012中的風(fēng)險(xiǎn)要素包括威脅、脆弱性、影響、可能性和先決條件。(1)威脅分析威脅源從利用脆弱性的動機(jī)和方法、意外利用脆弱性的位置和方法等方面進(jìn)行分析。(2)脆弱性和先決條件考慮脆弱性時(shí)應(yīng)注意脆弱性不僅僅存在于信息系統(tǒng)中，也可能存在于組織管理架構(gòu)，可能存在于外部關(guān)系、任務(wù)/業(yè)務(wù)過程、企業(yè)/信息安全體系架構(gòu)中。在分析影響或后果時(shí)，應(yīng)描述威脅場景，即威脅源引起安全事件導(dǎo)致或帶來的損害。先決條件是組織、任務(wù)/業(yè)務(wù)過程、企業(yè)體系架構(gòu)、信息系統(tǒng)或運(yùn)行環(huán)境內(nèi)存在的狀況，威脅事件一旦發(fā)起，這種狀況會影響威脅事件導(dǎo)致負(fù)面影響的可能性。(3)可能性風(fēng)險(xiǎn)可能性是威脅事件發(fā)起可能性評價(jià)與威脅事件導(dǎo)致負(fù)面影響可能性評價(jià)的組合。(4)影響分析應(yīng)明確定義如何建立優(yōu)先級和價(jià)值，指導(dǎo)識別高價(jià)值資產(chǎn)和給單位利益相關(guān)者帶來的潛在負(fù)面影響。(5)風(fēng)險(xiǎn)模型標(biāo)準(zhǔn)給出了風(fēng)險(xiǎn)評估各要素之間的關(guān)系的通用模型。［3］

1．3風(fēng)險(xiǎn)評估規(guī)范

GB/T20984－2007GB/T20984－2007是我國的第一個(gè)重要的風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)。該標(biāo)準(zhǔn)定義了風(fēng)險(xiǎn)評估要素關(guān)系模型，并給出了風(fēng)險(xiǎn)分析過程，具體如圖3所示：風(fēng)險(xiǎn)分析中涉及資產(chǎn)、威脅、脆弱性三個(gè)基本要素。首先識別出威脅、脆弱性和資產(chǎn)，然后根據(jù)威脅出現(xiàn)的頻率和脆弱性的嚴(yán)重程度分析得到安全事件發(fā)生的可能性，再根據(jù)脆弱性嚴(yán)重程度和資產(chǎn)價(jià)值分析得到安全事件造成的損失，最后根據(jù)安全事件發(fā)生的可能性及造成的損失分析確定風(fēng)險(xiǎn)值。

2信息安全風(fēng)險(xiǎn)評估模型構(gòu)建

結(jié)合某油田企業(yè)實(shí)際情況，在參考上述標(biāo)準(zhǔn)及風(fēng)險(xiǎn)分析方法風(fēng)險(xiǎn)分析的主要內(nèi)容為:a)識別資產(chǎn)并對資產(chǎn)的價(jià)值進(jìn)行賦值;b)識別威脅，并根據(jù)威脅出現(xiàn)的頻率給威脅賦值;c)識別脆弱性，并將具體資產(chǎn)的脆弱性賦為2個(gè)值，一個(gè)是脆弱性嚴(yán)重程度，一個(gè)是脆弱性暴露程度;d)分析脆弱性被威脅利用可能導(dǎo)致的安全事件;e)分析確定出安全事件發(fā)生后帶來的影響不能被單位所接受的那些安全事件;可以接受的安全事件對應(yīng)的風(fēng)險(xiǎn)等級確定為低;f)針對不可接受安全事件，分析相應(yīng)的威脅和脆弱性，并根據(jù)威脅以及脆弱性暴露程度，以及相關(guān)安全預(yù)防措施的效果計(jì)算安全事件發(fā)生的可能性;g)針對不可接受安全事件，根據(jù)相應(yīng)脆弱性嚴(yán)重程度及資產(chǎn)的價(jià)值，以及相應(yīng)預(yù)防措施的有效性計(jì)算安全事件造成的損失：的基礎(chǔ)上，總結(jié)形成油田企業(yè)風(fēng)險(xiǎn)要素關(guān)系模型如圖4所示，風(fēng)險(xiǎn)計(jì)算模型如圖5所示:h)根據(jù)不可接受安全事件發(fā)生的可能性以及安全事件發(fā)生后的損失，計(jì)算安全事件發(fā)生會對企業(yè)造成的影響，即風(fēng)險(xiǎn)值，并確定風(fēng)險(xiǎn)等級。

3模型創(chuàng)新點(diǎn)及優(yōu)勢分析

信息安全風(fēng)險(xiǎn)評估方式和方法很多，如何建立適合油田企業(yè)當(dāng)前安全需求的風(fēng)險(xiǎn)評估模型、評估要素賦值方法以及風(fēng)險(xiǎn)計(jì)算方法是本文要解決的技術(shù)難點(diǎn)和創(chuàng)新點(diǎn)。1)對于資產(chǎn)的賦值，從資產(chǎn)所支撐的業(yè)務(wù)出發(fā)，結(jié)合信息系統(tǒng)安全保護(hù)等級及其構(gòu)成情況，提出了根據(jù)業(yè)務(wù)數(shù)據(jù)重要性等級和業(yè)務(wù)服務(wù)重要性等級確定資產(chǎn)的重要性，使得風(fēng)險(xiǎn)評估與業(yè)務(wù)及等級保護(hù)結(jié)合更加緊密。2)對于脆弱性賦值，將脆弱性細(xì)分為暴露程度及嚴(yán)重程度兩個(gè)權(quán)重。其中暴露程度與威脅賦值確定安全事件發(fā)生可能性，嚴(yán)重程度與資產(chǎn)價(jià)值確定安全事件造成的影響。3)將現(xiàn)有安全措施進(jìn)一步細(xì)化，分解為預(yù)防措施和恢復(fù)措施，并研究得到預(yù)防措施有效性會影響到安全事件發(fā)生可能性，而恢復(fù)措施有效性會影響到安全事件造成的損失。4)結(jié)合被評估單位的實(shí)際業(yè)務(wù)需求，提出了僅針對被評估單位的不可接受安全事件進(jìn)行數(shù)值計(jì)算，減少了計(jì)算工作量，有助于提升風(fēng)險(xiǎn)評估工作效率。5)根據(jù)油田企業(yè)實(shí)際需求，將安全事件發(fā)生可能性和安全事件造成的損失賦予不同的權(quán)重，從而使得風(fēng)險(xiǎn)計(jì)算結(jié)果中安全事件損失所占比重更大，更重視后果;并通過實(shí)例驗(yàn)證等方式歸納總結(jié)出二者權(quán)重比例分配。

險(xiǎn)評估模型應(yīng)用分析

4．1資產(chǎn)識別

資產(chǎn)識別主要通過現(xiàn)場訪談的方式了解風(fēng)險(xiǎn)評估范圍涉及到的數(shù)據(jù)、軟件、硬件、服務(wù)、人員和其他六類資產(chǎn)相關(guān)的業(yè)務(wù)處理的數(shù)據(jù)及提供的服務(wù)和支撐業(yè)務(wù)處理的硬件設(shè)備和軟件情況。4．1．1資產(chǎn)重要性分析資產(chǎn)重要性分析以信息系統(tǒng)的業(yè)務(wù)為出發(fā)點(diǎn)，通過對業(yè)務(wù)處理的數(shù)據(jù)以及提供的服務(wù)重要性賦值的方法確定信息系統(tǒng)資產(chǎn)價(jià)值。業(yè)務(wù)處理的數(shù)據(jù)以及業(yè)務(wù)提供的服務(wù)的重要性分析及賦值方法具體如下。4．1．1．1業(yè)務(wù)數(shù)據(jù)重要性分析業(yè)務(wù)數(shù)據(jù)資產(chǎn)的重要性主要根據(jù)業(yè)務(wù)數(shù)據(jù)的安全屬性(即三性:保密性、完整性和可用性)被破壞對本單位造成的損失程度確定。油田企業(yè)各業(yè)務(wù)系統(tǒng)所處理的數(shù)據(jù)信息根據(jù)數(shù)據(jù)安全屬性被破壞后可能對油田企業(yè)造成的損失嚴(yán)重程度進(jìn)行賦值。一般賦值為1—5。4．1．1．2業(yè)務(wù)服務(wù)重要性分析服務(wù)資產(chǎn)的重要性根據(jù)其完整性和可用性被破壞對本單位造成的損失程度確定。通過與相關(guān)人員進(jìn)行訪談，調(diào)查了解每種業(yè)務(wù)提供的服務(wù)和支撐業(yè)務(wù)處理的硬件設(shè)備和軟件情況，根據(jù)服務(wù)安全屬性被破壞后可能對油田企業(yè)造成損失的嚴(yán)重程度，為各種業(yè)務(wù)服務(wù)重要性賦值。一般賦值為1—5。4．1．2資產(chǎn)賦值通過分析可以看出，六類資產(chǎn)中數(shù)據(jù)資產(chǎn)和業(yè)務(wù)服務(wù)資產(chǎn)的重要性是決定其他資產(chǎn)重要性的關(guān)鍵要素，因此，六類資產(chǎn)的賦值原則如下:1)數(shù)據(jù)資產(chǎn)重要性根據(jù)業(yè)務(wù)數(shù)據(jù)重要性賦值結(jié)果確定。2)服務(wù)資產(chǎn)重要性根據(jù)業(yè)務(wù)服務(wù)重要性賦值結(jié)果確定。3)軟件和硬件資產(chǎn)的重要性由其所處理的各類數(shù)據(jù)或所支撐的各種業(yè)務(wù)服務(wù)的重要性賦值結(jié)果中的較高者決定。4)人員的重要性根據(jù)其在信息系統(tǒng)中所承擔(dān)角色的可信度、能力等被破壞對本單位造成的損失程度確定。5)其他資產(chǎn)重要性根據(jù)其對油田企業(yè)的影響程度確定。

4．2威脅識別

4．2．1威脅分類對威脅進(jìn)行分類的方式有多種，針對環(huán)境因素和人為因素兩類威脅來源，可以根據(jù)其表現(xiàn)形式將威脅進(jìn)行分類［4］。本論文采用GB/Z24364－2009信息安全技術(shù)信息安全風(fēng)險(xiǎn)管理指南中基于表現(xiàn)形式的威脅分類方法。4．2．2威脅賦值根據(jù)威脅出現(xiàn)的頻率確定威脅賦值，威脅賦值一般為1～5。對威脅出現(xiàn)頻率的判斷根據(jù)風(fēng)險(xiǎn)評估常規(guī)做法獲得，比如安全事件報(bào)告、IDS、IPS報(bào)告以及其他機(jī)構(gòu)的威脅頻率報(bào)告等。

4．3脆弱性識別

4．2．1脆弱性分類脆弱性識別所采用的方法主要有:問卷調(diào)查、配置核查、文檔查閱、漏洞掃描、滲透性測試等。油田企業(yè)脆弱性識別依據(jù)包括:GB/T22239信息安全技術(shù)信息系統(tǒng)安全等級保護(hù)基本要求的三級要求以及石油行業(yè)相關(guān)要求。4．2．2脆弱性賦值原則脆弱性賦值時(shí)分為脆弱性暴露程度和脆弱性嚴(yán)重程度。暴露程度根據(jù)其被利用的技術(shù)實(shí)現(xiàn)難易程度、流行程度進(jìn)行賦值。對脆弱性的暴露程度給出如下5個(gè)等級的賦值原則:脆弱性的嚴(yán)重程度根據(jù)脆弱性被利用可能對資產(chǎn)造成的損害程度進(jìn)行賦值。脆弱性的嚴(yán)重程度分為5個(gè)等級，賦值為1～5。

4．4現(xiàn)有安全措施識別

4．4．1現(xiàn)有安全措施識別方法信息系統(tǒng)環(huán)境中的現(xiàn)有安全措施根據(jù)其所起的安全作用分為預(yù)防措施和恢復(fù)措施。預(yù)防措施用于預(yù)防安全事件的發(fā)生(例如入侵檢測、網(wǎng)絡(luò)訪問控制、網(wǎng)絡(luò)防病毒等)，可以降低安全事件發(fā)生的概率。因此針對每一個(gè)安全事件，分析現(xiàn)有預(yù)防措施是否能夠降低事件發(fā)生的概率，其降低發(fā)生概率的效果有多大。恢復(fù)措施可以在安全事件發(fā)生之后幫助盡快恢復(fù)系統(tǒng)正常運(yùn)行，可能降低安全事件的損失(例如應(yīng)急計(jì)劃、設(shè)備冗余、數(shù)據(jù)備份等)，因此針對每一個(gè)安全事件，分析現(xiàn)有恢復(fù)措施是否能夠降低事件損失，其降低事件損失的效果有多大。4．4．2現(xiàn)有安全預(yù)防措施有效性賦值原則通過識別信息系統(tǒng)現(xiàn)有安全措施及其有效性驗(yàn)證，針對每一個(gè)安全事件，分析現(xiàn)有預(yù)防措施中可能降低事件發(fā)生概率的情況，并對預(yù)防措施的有效性分別給出賦值結(jié)果。評估者通過分析安全預(yù)防措施的效果，對預(yù)防措施賦予有效性因子，有效性因子可以賦值為0．1～1。4．4．3現(xiàn)有安全恢復(fù)措施有效性賦值原則通過識別信息系統(tǒng)現(xiàn)有安全措施及其有效性驗(yàn)證，針對每一個(gè)安全事件，分析現(xiàn)有恢復(fù)性安全措施中可能降低事件損失的情況。評估者通過分析安全恢復(fù)措施的有效性作用，對安全恢復(fù)措施賦予有效性因子，有效性因子可以賦值為0．1～1。

4．5安全事件分析

4．5．1安全事件關(guān)聯(lián)綜合識別出的脆弱性及現(xiàn)有安全措施識別出的缺陷，結(jié)合油田企業(yè)信息系統(tǒng)面臨的各種威脅，將各資產(chǎn)的脆弱性與威脅相對應(yīng)形成安全事件。分析這些安全事件一旦發(fā)生會對國家、單位、部門及評估對象自身造成的影響，分析發(fā)生這些安全事件可能造成影響的嚴(yán)重程度，從中找出部門(或單位)對發(fā)生安全事件造成影響無法容忍的那些安全事件，即確定不可接受安全事件。4．5．2安全事件發(fā)生可能性分析(1)計(jì)算威脅利用脆弱性的可能性針對4．5．1中分析得出的不可接受安全事件，綜合威脅賦值結(jié)果及脆弱性的暴露程度賦值結(jié)果，計(jì)算威脅利用脆弱性導(dǎo)致不可接受安全事件的可能性，采用乘積形式表明其關(guān)系，即安全事件發(fā)生的可能性的初始結(jié)果計(jì)算公式如下:L1(T，V)1=T×V1其中，L1(T，V1)代表不可接受事件發(fā)生的可能性的初始結(jié)果;T代表威脅賦值結(jié)果;V1代表脆弱性的暴露程度賦值結(jié)果。(2)分析現(xiàn)有預(yù)防措施的效果通過對企業(yè)信息系統(tǒng)的現(xiàn)有安全措施的識別和有效性驗(yàn)證，針對4．5．1分析得到的不可接受安全事件，分析描述現(xiàn)有預(yù)防措施中可能降低事件發(fā)生概率的情況，并給出有效性因子賦值結(jié)果。(3)計(jì)算安全事件發(fā)生的可能性考慮到現(xiàn)有安全措施可能降低安全事件發(fā)生的可能性，因此安全事件發(fā)生的可能性的最終計(jì)算公式為:L2(T，V)1=L1(T，V1)×P1其中，L2(T，V1)為最終安全事件發(fā)生的可能性結(jié)果;L1(T，V1)為安全事件發(fā)生的可能性初始結(jié)果;P1代表安全預(yù)防措施有效性賦值結(jié)果。然后，形成調(diào)節(jié)后的安全事件可能性列表。4．5．3安全事件影響分析(1)計(jì)算脆弱性導(dǎo)致資產(chǎn)的損失將各資產(chǎn)的脆弱性(管理類脆弱性除外，管理類脆弱性采用定性方式進(jìn)行主觀分析)與威脅相對應(yīng)形成安全事件(4．5．1不可接受安全事件列表)，根據(jù)資產(chǎn)的重要性及脆弱性的嚴(yán)重程度，計(jì)算脆弱性可能導(dǎo)致資產(chǎn)的損失，即:F1(A，V2)=A×V2其中，F(xiàn)1(A，V2)代表安全事件可能導(dǎo)致資產(chǎn)的損失的初始計(jì)算結(jié)果;A代表資產(chǎn)價(jià)值，即資產(chǎn)賦值結(jié)果;V2代表脆弱性嚴(yán)重程度，即脆弱性嚴(yán)重程度賦值結(jié)果。(2)分析現(xiàn)有安全恢復(fù)措施的有效性通過對油田企業(yè)信息系統(tǒng)的現(xiàn)有安全措施的識別和有效性驗(yàn)證，針對4．5．1分析得到的不可接受安全事件，分析描述現(xiàn)有恢復(fù)措施中可能降低事件發(fā)生的概率的情況，并根據(jù)表9的賦值原則分別給出安全恢復(fù)措施的有效性賦值結(jié)果。(3)計(jì)算安全事件的損失考慮到恢復(fù)措施可能降低安全事件帶來的損失，因此安全事件損失可以根據(jù)安全恢復(fù)措施的有效性予以調(diào)整。采用乘積形式表明關(guān)系，即:F2(A，V2)=F1(A，V2)×P2其中，F(xiàn)2(A，V2)為安全事件可能造成的損失的最終計(jì)算結(jié)果;F1(A，V2)為安全事件可能造成損失的初始計(jì)算結(jié)果;P2代表安全恢復(fù)措施有效性賦值結(jié)果。然后，形成調(diào)節(jié)后的安全事件損失計(jì)算結(jié)果列表。

4．6綜合風(fēng)險(xiǎn)計(jì)算及分析

4．6．1計(jì)算風(fēng)險(xiǎn)值結(jié)合油田企業(yè)關(guān)注低可能性重性的安全事件的需求，參照美國關(guān)鍵信息基礎(chǔ)設(shè)施風(fēng)險(xiǎn)評估計(jì)算方法，采用安全事件發(fā)生的可能性以及安全事件可能帶來的損失的加權(quán)之和方式計(jì)算風(fēng)險(xiǎn)值。這種方法更加重視安全事件帶來的損失，使得損失在對風(fēng)險(xiǎn)值的貢獻(xiàn)中權(quán)重更大。在使用油田企業(yè)以往測評結(jié)果試用的基礎(chǔ)上，將安全事件可能帶來的損失的權(quán)重定為80%。具體計(jì)算公式為:R(L2，F(xiàn))2=L2(T，V)1×20%+F2(A，V)2×80%其中，R(L2，F(xiàn)2)代表風(fēng)險(xiǎn)值，L2(T，V1)為安全事件發(fā)生可能性的最終結(jié)果，F(xiàn)2(A，V2)為安全事件可能造成的損失的最終計(jì)算結(jié)果。4．6．2風(fēng)險(xiǎn)結(jié)果判斷計(jì)算出風(fēng)險(xiǎn)值后，應(yīng)對風(fēng)險(xiǎn)值進(jìn)行分級處理，將風(fēng)險(xiǎn)級別劃分為五級。4．6．3綜合分析根據(jù)風(fēng)險(xiǎn)計(jì)算結(jié)果，從多個(gè)不同方面綜合匯總分析被評估信息系統(tǒng)存在的安全風(fēng)險(xiǎn)情況。例如可從以下幾方面匯總分析:1)風(fēng)險(xiǎn)較高的資產(chǎn)統(tǒng)計(jì):匯總存在多個(gè)脆弱性可能導(dǎo)致多個(gè)中等以上風(fēng)險(xiǎn)等級安全事件發(fā)生的資產(chǎn)，從資產(chǎn)角度綜合分析被評估信息系統(tǒng)存在的安全風(fēng)險(xiǎn)情況;2)引起較高風(fēng)險(xiǎn)的脆弱性統(tǒng)計(jì):匯總會給被評估信息系統(tǒng)帶來中等以上安全風(fēng)險(xiǎn)的脆弱性及其影響的資產(chǎn)及嚴(yán)重程度，分析可能帶來的危害后果;3)出現(xiàn)頻率較高的脆弱性統(tǒng)計(jì):匯總中等以上脆弱性在資產(chǎn)中的出現(xiàn)頻率，從而反映脆弱性在被評估系統(tǒng)中的普遍程度，出現(xiàn)頻率越高，整改獲取的收益越好。4)按層面劃分的風(fēng)險(xiǎn)點(diǎn)分布情況匯總:匯總網(wǎng)絡(luò)、主機(jī)、應(yīng)用、數(shù)據(jù)、物理、管理等各層面存在的脆弱性及其嚴(yán)重程度，對比分析風(fēng)險(xiǎn)在不同層面的分布情況。

篇（10）

引言

某云服務(wù)平臺是以云分布式計(jì)算系統(tǒng)為基礎(chǔ)，面向全省打造的云服務(wù)平臺，實(shí)現(xiàn)大數(shù)據(jù)資源開放、互通、共享。該平臺的建設(shè)和應(yīng)用將為實(shí)現(xiàn)數(shù)據(jù)應(yīng)用、衍生產(chǎn)業(yè)提供強(qiáng)有力的支撐。該平臺將搭建電子政務(wù)云、工業(yè)云、電子商務(wù)云、智能交通云、智慧旅游云、食品安全云、環(huán)保云等，稱為“N朵云工程”。從該云平臺的總體規(guī)劃化上看，包括了公有云、私有云、混合云以及社區(qū)云，應(yīng)用場景和應(yīng)用結(jié)構(gòu)較為復(fù)雜。另一方面，隨著信息化建設(shè)的進(jìn)一步深入，將有更多業(yè)務(wù)納入該云平臺中，故而信息安全保障工作是一項(xiàng)至關(guān)重要的工作。如果一旦形成數(shù)據(jù)竊取、非法入侵、數(shù)據(jù)丟失等問題，將必將產(chǎn)生重大后果，并釀成重大事故。

1云安全保障工作重點(diǎn)

首先，我們基于云分布式計(jì)算系統(tǒng)的體系結(jié)構(gòu)分析該云平臺的邏輯結(jié)構(gòu)。我們可以將云分布式計(jì)算系統(tǒng)及其管理的云基礎(chǔ)計(jì)算資源及云基礎(chǔ)存儲資源看成該云平臺的基礎(chǔ)層，“N朵云工程”的云應(yīng)用及云服務(wù)、云平臺門戶是構(gòu)建在基礎(chǔ)層之上的應(yīng)用層。同時(shí)還有云資源權(quán)限控制體系及云管理保障服務(wù)體系作為十分重要的保障體系。根據(jù)以上分析，可以看出，從信息安全的角度上講，信息安全保障工作應(yīng)從云基礎(chǔ)安全、云平臺的云應(yīng)用及云服務(wù)安全、云應(yīng)用及云服務(wù)建設(shè)的標(biāo)準(zhǔn)化和規(guī)范化、云資源權(quán)限控制體系的安全保障、管理保障服務(wù)體系可靠有效等方面進(jìn)行分析。（1）針對云基礎(chǔ)安全方面，依據(jù)相關(guān)云分布式計(jì)算系統(tǒng)的安全白皮書的相關(guān)內(nèi)容，安全保障重點(diǎn)在于基礎(chǔ)資源的可用性檢查及故障修復(fù)、云操作系統(tǒng)的補(bǔ)丁安裝及版本升級、云平臺的邊界安全、接入安全、云基礎(chǔ)平臺建設(shè)過程監(jiān)理、云分布式計(jì)算系統(tǒng)運(yùn)維服務(wù)支持等方面。（2）針對該云平臺云應(yīng)用及云服務(wù)安全方面，需對基于云基礎(chǔ)平臺開發(fā)的應(yīng)用的權(quán)限管理、應(yīng)用漏洞掃描、公有云、私有云、混合云以及社區(qū)云的合理使用等內(nèi)容進(jìn)行評估分析。（3）針對云資源權(quán)限控制體系的安全保障方面，基于相關(guān)云分布式計(jì)算系統(tǒng)的安全白皮書的相關(guān)內(nèi)容進(jìn)行分析，可看出系統(tǒng)安全性主要通過其復(fù)雜的云資源權(quán)限控制模塊完成，因此針對云資源權(quán)限控制模塊的用戶及其權(quán)限管理是至關(guān)重要的，重中之重是對其配置的云資源權(quán)限規(guī)則的審計(jì)和檢查。（4）針對云應(yīng)用及云服務(wù)建設(shè)的標(biāo)準(zhǔn)化和規(guī)范化方面，需在應(yīng)用設(shè)計(jì)開發(fā)過程中，嚴(yán)格審計(jì)開發(fā)單位的設(shè)計(jì)思路、開發(fā)過程、開發(fā)規(guī)范性檢查，并在應(yīng)用及服務(wù)上線前，引入第三方測試，確保開發(fā)過程中嚴(yán)格按照云分布式計(jì)算系統(tǒng)的開發(fā)作業(yè)標(biāo)準(zhǔn)進(jìn)行，無嚴(yán)重性漏洞，特別是權(quán)限控制和數(shù)據(jù)管理。（5）針對系統(tǒng)可用性方面，應(yīng)嚴(yán)格監(jiān)控出口帶寬及流量消耗問題、系統(tǒng)故障影響范圍分析、系統(tǒng)故障排除周期分析等內(nèi)容。（6）針對信息安全保障制度建設(shè)方面，應(yīng)以云分布式計(jì)算系統(tǒng)的基本保障要求及云平臺自身的信息安全保障要求，構(gòu)建包括人員管理制度、開發(fā)團(tuán)隊(duì)管理制度、運(yùn)維管理制度、基礎(chǔ)配套管理制度、機(jī)房管理制度、云服務(wù)及應(yīng)用開發(fā)規(guī)范、數(shù)據(jù)應(yīng)用及交換申請?jiān)u估制度、云服務(wù)及應(yīng)用完備性測試管理制度、安全事件應(yīng)急指揮制度等在內(nèi)的多項(xiàng)規(guī)章制度建設(shè)制度。并針對每項(xiàng)制度的執(zhí)行情況做定期監(jiān)督檢查。綜上所述，云基礎(chǔ)平臺安全檢查及審計(jì)、云平臺應(yīng)用及服務(wù)、云應(yīng)用及云服務(wù)上線前審查及測試、云資源權(quán)限控制體系的管理、信息安全保障制度建設(shè)及監(jiān)督檢查是該云平臺信息安全保障工作的重點(diǎn)。

2云安全風(fēng)險(xiǎn)評估方法

依據(jù)以上分析，可得出云平臺的信息安全評估方法。依據(jù)IT基礎(chǔ)資源管理軟件、云操作系統(tǒng)的實(shí)時(shí)監(jiān)控工具等手段對云基礎(chǔ)設(shè)施進(jìn)行實(shí)時(shí)監(jiān)控，并建立應(yīng)急指揮體系，發(fā)現(xiàn)問題及時(shí)排除。由于該云平臺的“N朵云工程”的云應(yīng)用及云服務(wù)均是基于云分布式計(jì)算系統(tǒng)完成的，首先定期對云基礎(chǔ)操作系統(tǒng)進(jìn)行全面檢查及防護(hù)，這也是評估工作的重點(diǎn)內(nèi)容。按照地方政府對該云平臺的基本要求，對各類數(shù)據(jù)資源及計(jì)算資源的分配權(quán)限及配置規(guī)則進(jìn)行評估檢查，確保最小化授權(quán)機(jī)制，嚴(yán)防因權(quán)限控制規(guī)則設(shè)置不當(dāng)而產(chǎn)生的數(shù)據(jù)泄露、亂用、非正常改變等問題。針對基于云分布式計(jì)算系統(tǒng)開發(fā)的相關(guān)云應(yīng)用及云服務(wù)的程序漏洞、管理口令、運(yùn)維窗口、系統(tǒng)升級流程、數(shù)據(jù)修改及銷毀過程等進(jìn)行全面的審計(jì)和安全評估。對新開發(fā)上線的云應(yīng)用及云服務(wù)進(jìn)行系統(tǒng)測評評估，確保通過評估的系統(tǒng)可上線，未過評估的應(yīng)用及服務(wù)杜絕其部署到正式環(huán)境中，特別是權(quán)限控制不嚴(yán)格的、有故有可被黑客利用的漏洞的程序。簡單可視的自動化配置方法，降低虛擬化網(wǎng)絡(luò)安全管理的技術(shù)復(fù)雜度，屏蔽虛擬化網(wǎng)絡(luò)內(nèi)部技術(shù)細(xì)節(jié)；軟件定義的安全檢測邊界，提供靈活、高效的網(wǎng)絡(luò)安全管理方法；無間斷的安全服務(wù)，無需人工干預(yù)的自主安全策略跟隨遷移，適應(yīng)虛擬化動態(tài)擴(kuò)展、自主遷移等拓?fù)涠嘧兊奶匦浴?/p>

3云應(yīng)用上線測試

云應(yīng)用上線前需要基于云分布式計(jì)算系統(tǒng)進(jìn)行性能與安全測試。服務(wù)商提供多種平臺和多種瀏覽器的平臺，一般的用戶在本地用Selenium把自動化測試腳本編寫好，然后上傳到云平臺，然后就可以在他們的平臺上運(yùn)行測試腳本。云測試提供一整套測試環(huán)境，測試人員利用虛擬桌面等手段登錄到該測試環(huán)境，就可以立即展開測試。以現(xiàn)在的虛擬化技術(shù)，在測試人員指定硬件配置、軟件棧（操作系統(tǒng)、中間件、工具軟件）、網(wǎng)絡(luò)拓?fù)浜螅瑒?chuàng)建一套新的測試環(huán)境只需幾個(gè)小時(shí)。如果測試人員可以接受已創(chuàng)建好的標(biāo)準(zhǔn)測試環(huán)境，那么他可以立即登錄。提供專業(yè)知識的服務(wù)。這些知識可以通過測試用例、測試數(shù)據(jù)、自動測試服務(wù)等形式提供。例如，許多應(yīng)用需要讀取文件，云測試可以提供針對文件讀取的模糊測試。測試人員將被測試的應(yīng)用程序提交給云，云將其部署到多臺測試機(jī)上。在每一臺測試上，應(yīng)用程序要讀取海量的文件，每一個(gè)文件都是特意構(gòu)造的攻擊文件。一旦棧溢出、堆溢出等問題被發(fā)現(xiàn)，將立即保存應(yīng)用程序的內(nèi)存映像。一段時(shí)間后，測試人員將獲得云測試返回的測試結(jié)果，暨一份詳細(xì)的分析報(bào)告和一大堆內(nèi)存映像文件。測試類型包括了：兼容測試、性能測試、功能測試、安全測試。

4結(jié)束語

本文通過以上各方面，以某云平臺為例闡述了云平臺信息安全保障及評估方法的基本研究思路和工作內(nèi)容。要提升云平臺的安全保障能力，需從組織安全管理、合規(guī)安全管理、數(shù)據(jù)安全管理、訪問控制管理、人員安全管理、物理安全管理、基礎(chǔ)安全管理、系統(tǒng)開發(fā)及維護(hù)管理、災(zāi)難恢復(fù)及業(yè)務(wù)連續(xù)性管理等方面綜合考慮，以云平臺及其應(yīng)用安全為我們研究的最終目標(biāo)。

參考文獻(xiàn)：

[1]桑子華，喻愛惠.基于XenApp技術(shù)的區(qū)域性教育資源云平臺安全布署.湖南師范大學(xué)自然科學(xué)學(xué)報(bào)，2016.

篇（11）

1．對檔案信息安全保護(hù)和保障概念混淆

信息安全是一個(gè)發(fā)展的概念，從通信保密、信息保護(hù)發(fā)展到信息保障，或者說是從保密、保護(hù)發(fā)展到保障。每個(gè)階段的安全屬性也是不斷擴(kuò)展的，保密階段為保密性：保護(hù)階段為保密性、完整性和可用性；保障階段為保密性、完整性、可用性、真實(shí)性和不可否認(rèn)性，甚至在國際標(biāo)準(zhǔn)《信息安全管理體系規(guī)范》ISO／IEC17799：2005中，又增加了可追溯性和可控性。信息安全屬性也是信息安全的目標(biāo)。保障階段應(yīng)采取相應(yīng)的措施達(dá)到“七性”。

信息安全保障的提出最早源自美國。1996年美國國防部(DoD)在國防部令S-3600，1對信息安全保障作了如下定義：“保護(hù)和防御信息及信息系統(tǒng)，確保其可用性、完整性、保密性、可認(rèn)證性、不可否認(rèn)性等特性。這包括在信息系統(tǒng)中融入保護(hù)、檢測、反應(yīng)功能，并提供信息系統(tǒng)的恢復(fù)功能。”除安全屬性不斷豐富外，安全保障與安全保護(hù)主要區(qū)別是主動防御和動態(tài)保護(hù)。而與之對應(yīng)的信息保護(hù)是靜態(tài)保護(hù)(安全措施基本不變)和被動保護(hù)(發(fā)生安全事故后再采取防護(hù)措施)。

然而，目前大部分檔案信息安全保障仍只達(dá)到安全保護(hù)水平。將安全保護(hù)和安全保障概念混淆，造成保障階段的能力也停留在保護(hù)水平，不能從主動防御和動態(tài)保護(hù)來保障檔案信息安全。在具體操作上。仍以身份認(rèn)證、數(shù)據(jù)備份、安裝防火墻、殺毒軟件和入侵檢測等被動保護(hù)措施為主。在日益復(fù)雜的檔案信息系統(tǒng)和網(wǎng)絡(luò)環(huán)境下，檔案信息得不到應(yīng)有的保障。

2．偏重技術(shù)，忽視管理

在美國國防部對安全保障的定義中，“保護(hù)、檢測、反應(yīng)和恢復(fù)”不僅體現(xiàn)動態(tài)保護(hù)，還體現(xiàn)安全管理，安全保障也是一個(gè)管理過程。

然而長期以來，人們對檔案信息安全偏重于依靠技術(shù)。但事實(shí)上僅僅依靠技術(shù)和產(chǎn)品保障信息安全的愿望卻往往難盡人意，許多復(fù)雜、多變的安全威脅和隱患靠產(chǎn)品是無法消除的，尤其是對內(nèi)網(wǎng)用戶的管理。“三分技術(shù)，七分管理”這個(gè)在其他領(lǐng)域總結(jié)出來的實(shí)踐經(jīng)驗(yàn)和原則。在檔案信息安全領(lǐng)域也同樣適用。據(jù)有關(guān)部門統(tǒng)計(jì)。在所有的信息安全事件中，屬于管理方面的原因比重高達(dá)70％以上，而這些安全問題是可以通過科學(xué)的信息安全管理來避免的。因此，安全管理已成為保障檔案信息安全的重要措施。

目前，國際上實(shí)現(xiàn)信息安全管理的有效手段是在信息安全等級保護(hù)制度下，進(jìn)行信息安全風(fēng)險(xiǎn)評估。“早在20世紀(jì)70年代初期美國政府就提出了風(fēng)險(xiǎn)評估的要求。2002年頒布的《2002聯(lián)邦信息安全管理法》對政務(wù)信息安全風(fēng)險(xiǎn)評估提出了更加具體的要求。”歐洲等其他信息化發(fā)達(dá)國家也非常重視開展信息安全風(fēng)險(xiǎn)評估工作，將開展信息安全風(fēng)險(xiǎn)評估工作作為提高信息安全保障水平的重要手段。國外風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)主要有：BS7799、ISO／1EC 17799、OCTAVE、NIST SP800―30、AS／NZ54360、SSE―CMM等。

3．缺失安全評估體系

目前，我國檔案信息安全保障體系的建設(shè)處于各自為政狀態(tài)，沒有將基于等級保護(hù)制度下的檔案信息安全風(fēng)險(xiǎn)評估提到議事日程上來。由此造成檔案信息系統(tǒng)建立并采取安全措施后，仍不能明確自己的網(wǎng)絡(luò)和應(yīng)用系統(tǒng)是否達(dá)到安全要求?還有哪些安全漏洞?可能造成多大危害?應(yīng)該怎樣解決?系統(tǒng)升級或調(diào)整后又存在哪些安全風(fēng)險(xiǎn)?如何規(guī)劃檔案信息安全保障體系建設(shè)?作為檔案信息系統(tǒng)的擁有者、檔案信息系統(tǒng)安全構(gòu)建者和檔案信息系統(tǒng)安全的監(jiān)管者，必須有統(tǒng)一的風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)，才可以做到檔案信息安全與否誰也不能說了算，而應(yīng)該按照統(tǒng)一的風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)來評價(jià)是否安全。應(yīng)采取什么措施。

檔案信息安全保障狀況需進(jìn)行風(fēng)險(xiǎn)評估

2006年3月7日，醞釀已久的《國家網(wǎng)絡(luò)與信息安全協(xié)調(diào)小組關(guān)于開展信息安全風(fēng)險(xiǎn)評估工作的意見》(簡稱《意見》)正式對外公布。《意見》要求。各信息化和信息安全主管部門要從抓試點(diǎn)開始，逐步探索組織實(shí)施和管理的經(jīng)驗(yàn)，用三年左右的時(shí)間在我國基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)普遍推行信息安全風(fēng)險(xiǎn)評估工作，全面提升網(wǎng)絡(luò)和信息系統(tǒng)安全保障能力。

2005年9月，國務(wù)院信息化工作辦公室專門組織成立了“電子政務(wù)信息安全工作組”，并已編制了《電子政務(wù)信息安全等級保護(hù)實(shí)施指南(試行)》，其中提出將風(fēng)險(xiǎn)評估貫穿等級保護(hù)工作的整個(gè)流程。所以，作為電子政務(wù)系統(tǒng)中保存和管理信息的檔案信息系統(tǒng)，與電子政務(wù)一脈相承，進(jìn)行風(fēng)險(xiǎn)評估是遲早的事。對檔案信息安全保障進(jìn)行風(fēng)險(xiǎn)評估主要有如下優(yōu)勢。

1．將檔案信息安全保障體系納入國家信息保障體系

國家已制定了風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)GB／T 20948―2007《信息安全風(fēng)險(xiǎn)評估規(guī)范》，并將于2007年11月1日正式實(shí)施。作為我國信息資源重要組成部分的檔案信息，必須積極響應(yīng)國家信息安全政策和納入國家信息安全保障體系的總體格局。檔案信息安全風(fēng)險(xiǎn)評估可在此標(biāo)準(zhǔn)的基礎(chǔ)上，結(jié)合檔案信息自身特點(diǎn)，先開始在綜合檔案館和電信、銀行、稅務(wù)、電力等大型檔案信息管理系統(tǒng)中試驗(yàn)，在此基礎(chǔ)上再逐步推廣，達(dá)到國家要求“2006年后三年內(nèi)在我國基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)普遍推行信息安全風(fēng)險(xiǎn)評估工作”基本目標(biāo)。

2．規(guī)范檔案信息安全保障體系建設(shè)

在檔案信息化過程中。我們已經(jīng)制定了GB／T17678.1―1999《CA D電子文件光盤存儲、歸檔與檔案管理要求。第一部分：電子文件歸檔與檔案管理》、GB／T18894―2002《電子文件歸檔與管理規(guī)范》、GB/T20163―2006《中國檔案機(jī)讀目錄格式》、DA／T 22―2000《歸檔文件整理規(guī)則》和DMT 3l一2005《紙質(zhì)檔案數(shù)字化技術(shù)規(guī)范》等國家標(biāo)準(zhǔn)和行業(yè)標(biāo)準(zhǔn)，然而與檔案信息安全相關(guān)的標(biāo)準(zhǔn)尚未出臺，造成目前檔案信息安全保障體系的建設(shè)處于各自為政狀態(tài)。檔案信息風(fēng)險(xiǎn)評估的開展。雖然可以參照國際和國家標(biāo)準(zhǔn)，但最終還必須有針對性強(qiáng)的行業(yè)標(biāo)準(zhǔn)。為了改變目前的現(xiàn)狀，檔案行政管理部門應(yīng)重視針對檔案信息安全保障政策和標(biāo)準(zhǔn)的建設(shè)，抓住國家推廣信息安全風(fēng)險(xiǎn)評估的機(jī)會。從風(fēng)險(xiǎn)評估作為切入點(diǎn)，制定檔案信息風(fēng)險(xiǎn)評估和其他安全相關(guān)標(biāo)準(zhǔn)，規(guī)范檔案信息安全保障的建設(shè)。由于對檔案信息風(fēng)險(xiǎn)評估是以信息安全保障要求為前提的，所以只要進(jìn)行風(fēng)險(xiǎn)評估就可以糾正信息保護(hù)和保障的混淆，并確認(rèn)是否達(dá)到相應(yīng)的保障要求。

3．貫徹安全技術(shù)和管理并重，保障檔案信息安全

等級保護(hù)和風(fēng)險(xiǎn)評估是信息安全管理的核心內(nèi)容，是信息安全管理的具體體現(xiàn)。國家提倡在等級保護(hù)制度下進(jìn)行風(fēng)險(xiǎn)評估，就是在對信息系統(tǒng)劃分等級后，采用風(fēng)險(xiǎn)評估測評系統(tǒng)是否達(dá)到相應(yīng)等級的安全要求，這樣可以改變以往只建設(shè)不測評的現(xiàn)狀。同時(shí)，風(fēng)險(xiǎn)評估還要求貫穿信息系統(tǒng)的整個(gè)生命周期，即在信息系統(tǒng)的分析、設(shè)計(jì)、實(shí)現(xiàn)和運(yùn)行維護(hù)的整個(gè)生命周期內(nèi)，都將進(jìn)行定期或不定期的風(fēng)險(xiǎn)評估，也體現(xiàn)信息安全保障的動態(tài)安全和主動防御。以往在我們檔案信息安全保障的建設(shè)中也強(qiáng)調(diào)信息安全管理機(jī)制的構(gòu)建，而風(fēng)險(xiǎn)評估就是很好的體現(xiàn)。風(fēng)險(xiǎn)評估的進(jìn)行過程中。有相應(yīng)的安全策略，按照“誰主管誰負(fù)責(zé)、誰運(yùn)行誰負(fù)責(zé)”的要求，對在崗的每一位員工也有相應(yīng)的安全職責(zé)，這樣也提高了員工的安全意識。

4．完善檔案信息安奎保障體系

對于已建、在建或?qū)⒔ǖ臋n案信息系統(tǒng)，以往沒有進(jìn)行風(fēng)險(xiǎn)評估的，應(yīng)積極開展這項(xiàng)工作，在沒有正式出臺專門檔案信息風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)前，可參照國內(nèi)國際標(biāo)準(zhǔn)進(jìn)行，或者參與到電子政務(wù)信息的等級保護(hù)和風(fēng)險(xiǎn)評估中去。當(dāng)然風(fēng)險(xiǎn)評估并不是信息安全保障的唯一手段(還包括等級保護(hù)、應(yīng)急響應(yīng)和災(zāi)難恢復(fù)等)，但它是檔案信息安全保障不可或缺的一個(gè)重要環(huán)節(jié)。通過風(fēng)險(xiǎn)評估，可完善目前還沒有達(dá)到保障要求的檔案信息系統(tǒng)安全保障。另外，對于新建設(shè)的檔案信息系統(tǒng)在設(shè)計(jì)階段就要融入風(fēng)險(xiǎn)評估，這樣可以防患于未然。