【正文】 建成后對(duì)現(xiàn)有業(yè)務(wù)模式的作用，包括技術(shù)、管理等方面，并根據(jù)其作用確定系統(tǒng)建設(shè)應(yīng)達(dá)到的安全目標(biāo)。評(píng)估內(nèi)容包括對(duì)真實(shí)運(yùn)行的信息系統(tǒng)、資產(chǎn)、威脅、脆弱性等各方面。 廢棄階段風(fēng)險(xiǎn)評(píng)估著重在以下幾方面： 確保硬件和軟件等資產(chǎn)及殘留信息得到了適當(dāng)?shù)奶幹?，并確保系 統(tǒng)組件被合理地丟棄或更換； 如果被廢棄的系統(tǒng)是某個(gè)系統(tǒng)的一部分，或與其他系統(tǒng)存在物理 或邏輯上的連接，還應(yīng)考慮系統(tǒng)廢棄后與其他系統(tǒng)的連接是否被 關(guān)閉； 如果在系統(tǒng)變更中廢棄，除對(duì)廢棄部分外，還應(yīng)對(duì)變更的部分進(jìn) 行評(píng)估，以確定是否會(huì)增加風(fēng)險(xiǎn)或引入新的風(fēng)險(xiǎn)； 是否建立了流程，確保更新過(guò)程在一個(gè)安全、系統(tǒng)化的狀態(tài)下完 成。 三、下一步工作的幾點(diǎn)思考 58 總之，將繼續(xù)跟蹤國(guó)內(nèi)外相關(guān)領(lǐng)域的最新技術(shù)發(fā)展動(dòng)態(tài)，進(jìn)一步研究完善信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)體系，進(jìn)行相關(guān)標(biāo)準(zhǔn)的編制工作。包括實(shí)施階段采購(gòu)的軟硬件資產(chǎn)、系統(tǒng)運(yùn)行過(guò)程中生成的信息資產(chǎn)、相關(guān)的人員與服務(wù)等，本階段資產(chǎn)識(shí)別是前期資產(chǎn)識(shí)別的補(bǔ)充與增加； 威脅評(píng)估：應(yīng)全面地分析威脅的可能性和影響程度。設(shè)計(jì)階段的風(fēng)險(xiǎn)評(píng)估結(jié)果應(yīng)對(duì)設(shè)計(jì)方案中所提供的安全功能符合性進(jìn)行判斷，作為采購(gòu)過(guò)程風(fēng)險(xiǎn)控制的依據(jù)。 基于以上原因，委托評(píng)估技術(shù)支持比委托評(píng)估的提法更為切合實(shí)際。 44 自評(píng)估中的 “ 自 ” 不僅僅是指自已做評(píng)估的 “ 自 ” ， 也不僅僅是指自愿做評(píng)估的 “ 自 ” 。并為防范和化解信息安全風(fēng)險(xiǎn)，或者將風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)。橢圓部分的內(nèi)容是與這些要素相關(guān)的屬性。 與會(huì)的三十幾位專家聽(tīng)取了標(biāo)準(zhǔn)起 草組對(duì) 《 指南 》 的編制過(guò)程以及主要內(nèi)容的介紹 ， 經(jīng)投票一 致通過(guò)了標(biāo)準(zhǔn)的評(píng)審 。 20 2023年 12月 14日，由安標(biāo)委第五工作組主持召開(kāi)了由沈昌祥院士為專家組組長(zhǎng)的信息安全風(fēng)險(xiǎn)評(píng)估國(guó)家標(biāo)準(zhǔn)送審稿的專家評(píng)審會(huì)。 13 整 個(gè)試點(diǎn)工作歷時(shí) 7個(gè)月， 各試點(diǎn)單位對(duì)標(biāo)準(zhǔn)草案先后提出 40 多條補(bǔ)充修改意見(jiàn)，標(biāo)準(zhǔn)起草組 根據(jù)試點(diǎn)結(jié)果先后進(jìn)行了三次較大規(guī)模的修改。 為此，國(guó)信辦領(lǐng)導(dǎo)根據(jù)專家們的建議，決定著手開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估國(guó)家標(biāo)準(zhǔn)的編制工作及相關(guān)實(shí)踐活動(dòng)。國(guó)信辦委托國(guó)家信息中心牽頭 ， 成立了國(guó)家信息安全風(fēng)險(xiǎn)評(píng)估課題組，對(duì)信息安全風(fēng)險(xiǎn)評(píng)估相關(guān)工作展開(kāi)調(diào)查研究。此后，中國(guó)信息安全產(chǎn)品測(cè)評(píng)認(rèn)證中心、解放軍信息技術(shù)安全研究中心、航天部二院七O六所等單位也參與了標(biāo)準(zhǔn)的編制與起草。 14 一、標(biāo)準(zhǔn)的制定過(guò)程 前期研究準(zhǔn)備 標(biāo)準(zhǔn)草案編制 試點(diǎn)實(shí)踐檢驗(yàn) 專家評(píng)審論證 15 2023年 9月 16日 ， 國(guó)家信息中心在北京組織召開(kāi) 了由周仲義院士主持的 《 信息安全風(fēng)險(xiǎn)評(píng)估指南 （ 征求意 見(jiàn)稿 ） 》 第一次專家評(píng)審會(huì) 。 三、文本的編制符合國(guó)家標(biāo)準(zhǔn) 。 26 2023年 7月 19日 ， 全國(guó)信息安全標(biāo)準(zhǔn)化委員會(huì)主任辦公會(huì)上討論通過(guò)了 《 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范 》 (報(bào)批稿 ),目前已進(jìn)入報(bào)批程序 。有些是安全措施不當(dāng)或無(wú)效 ,需要加強(qiáng)才可控制的風(fēng)險(xiǎn)；而有些則是在綜合考慮了安全成本與效益后未去控制的風(fēng)險(xiǎn)； （ 10）殘余風(fēng)險(xiǎn)應(yīng)受到密切監(jiān)視，它可能會(huì)在將來(lái)誘發(fā)新的安全事件。自評(píng)估和檢查評(píng)估可依托自身技術(shù)力量進(jìn)行，也可委托第三方機(jī)構(gòu)提供技術(shù)支持。 包括自已負(fù)責(zé)系統(tǒng)的安全 、 自己發(fā)起對(duì)信息系統(tǒng)的風(fēng)險(xiǎn)評(píng)估以及自己負(fù)責(zé)為保障系統(tǒng)安全所做的風(fēng)險(xiǎn)評(píng)估的安全等 。在網(wǎng)絡(luò)與信息系統(tǒng)的設(shè)計(jì)、驗(yàn)收及運(yùn)行維護(hù)階段均應(yīng)當(dāng)進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。 基于設(shè)計(jì)階段的資產(chǎn)列表、安全措施，實(shí)施階段應(yīng)對(duì)規(guī)劃階段的安全威脅進(jìn)行進(jìn)一步細(xì)分，同時(shí)評(píng)估安全措施的實(shí)現(xiàn)程度，從而確定安全措施能否抵御現(xiàn)有威脅、脆弱性的影響。技術(shù)脆弱性評(píng)估可以采取核查、掃描、案例驗(yàn)證、滲透性測(cè)試的方式實(shí)施；安全保障設(shè)備的脆弱性評(píng)估，應(yīng)考慮安全功能的實(shí)現(xiàn)情況和安全保障設(shè)備本身的脆弱性；管理脆弱性評(píng)估可以采取文檔、記錄核查等方式進(jìn)行驗(yàn)證； 風(fēng)險(xiǎn)計(jì)算：根據(jù)本標(biāo)準(zhǔn)的相關(guān)方法，對(duì)重要資產(chǎn)的風(fēng)險(xiǎn)進(jìn)行定性或定量的風(fēng)險(xiǎn)分析，描述不同資產(chǎn)的風(fēng)險(xiǎn)高低狀況。 構(gòu)建風(fēng)險(xiǎn)評(píng)估的模擬仿真實(shí)驗(yàn)環(huán)境 （ 1）方案風(fēng)險(xiǎn)評(píng)估模擬驗(yàn)證平臺(tái)建設(shè) （ 2）風(fēng)險(xiǎn)評(píng)估工具仿真測(cè)試平臺(tái)建設(shè) （ 3）在平臺(tái)上建設(shè)國(guó)家風(fēng)險(xiǎn)評(píng)估基礎(chǔ)數(shù)據(jù)庫(kù) 構(gòu)建風(fēng)險(xiǎn)評(píng)估前沿問(wèn)題的實(shí)驗(yàn)環(huán)境 （ 1）網(wǎng)絡(luò)攻防實(shí)驗(yàn)環(huán)境 （ 2）構(gòu)建滲透測(cè)試實(shí)驗(yàn)環(huán)境 （ 3）風(fēng)險(xiǎn)評(píng)估的理論研究環(huán)境 構(gòu)建風(fēng)險(xiǎn)評(píng)估成果普及與推廣環(huán)境 三、下一步工作的幾點(diǎn)思考 60 謝謝 ! 61 演講完畢，謝謝觀看！