【正文】 連接入目標網(wǎng)絡的所需的線纜，以及其它與此次風險評估相關的所有工具和文檔，并將它們統(tǒng)一管理。一個風險評估策略不僅可以包括上面已經(jīng)列出的這四個方面，還可以在其中添加與評估任務實際需求相關的內(nèi)容，例如加入說明此次評估任務的具體流程和細節(jié)，各種注意事項等等。并要求所有的評估人員，嚴格按照這個風險評估策略中的內(nèi)容來進行具體的評估工作。一個風險評估策略是一個需要技術和經(jīng)驗并重的工作，而且需要考慮的內(nèi)容很多，一個人不可能將風險評估項目相關的所有方面考慮周到。因此，在制定風險評估策略時，應當發(fā)動所有評估人員，以及評估對象的使用人員和設備供應商代表等一起來分析制定。對于信息系統(tǒng)風險評估來說，如果準備工作越充分，后續(xù)的風險評估過程就越有效率，評估過程中出現(xiàn)的錯誤就越少，評估的最終給果就越真實有效。如果在準備過程中疏忽了某些內(nèi)容，特別是制定的安全風險評估策略出現(xiàn)考慮不周的情況，要是沒能在執(zhí)行風險評估前檢查出來，就會使最終的風險評估結果偏離實際，這樣就會讓我們空擔心一場，或空歡喜一場。二、安全風險檢測階段當所有風險評估工作的事前準備工作全部妥善完成后，就可以按風險評估策略中確定的日期和時間，開始對指定的評估對象的評估項目做相應的安全風險評估。安全風險的評估過程就是使用具體的方法，來解答在準備階段制定的評估項目表單中所有列出的評估任務的過程。要完成風險評估表單列出的評估任務，需要使用一些針對某個評估任務的具體解決方法。解決評估任務的方法有很多種，包括問卷調(diào)查、訪談、模擬社會工程攻擊、使用風險評估工具（包括軟硬件方式的工具）、審查各種日志、審查各種設備和安全設備的配置文檔，以及使用實際的模擬或真實的攻擊來檢驗等方法，都可以用來解答評估項目中所需要完成的評估任務。其中的某些方法只對某個評估任務有效，而一些工具可能一次自動完成多個項目。為了能減少使用工具產(chǎn)生的誤報和漏洞，可以使用二種以上的工具來檢測同一個評估任務，或者使用手工測試的方式來確認檢測結果的真實性。同時，在進行某些評估任務的評估工作時，例如系統(tǒng)弱點掃描，應當從由外向內(nèi)看和由內(nèi)向外看的兩個方式分別進行。進行由外向內(nèi)看的測試時，是試圖從組織網(wǎng)絡邊界的外部檢測系統(tǒng)，它能為我們提供一個從外部攻擊相同的方式來審視系統(tǒng)的安全性。而進行由里向外看測試時，我們就應該從內(nèi)部人員對系統(tǒng)使用權限的角度，去審查系統(tǒng)的安全性，此時，我們會得到比由外向內(nèi)看更多的安全信息。恰當?shù)厥褂眠@兩種方式，能將目前大部分的安全威脅都考慮進來。每個風險評估項目中的所有評估任務，如沒有特殊要求，就必需按照風險評估表單中排列的順序來進行。這是因為在評估過程中，當前的評估任務完成后產(chǎn)生的結果，可能會用來作為下一個任務的檢測條件。如果此時評估的順序相互置換，那么就會造成錯誤的最終評估結果。在本文中的網(wǎng)絡操作痕跡信息檢測評估項目中，所有的評估任務都是由內(nèi)向外看的方式來進行的。這些評估任務可以通過機構員工檔案審查，檢查員工使用的計算機中的瀏覽器COOKIE，檢查機構WEB服務器緩存，審查機構邊界位置網(wǎng)絡操作行為管理設備的各種日志，通過網(wǎng)絡搜索引擎，通過搜索一些獨特的位置（如新聞組、博客及論壇）來完成。同時，還可以通過模擬發(fā)送機密信息的方式，審查已有的網(wǎng)絡操作行為監(jiān)控設備是否能攔截它發(fā)送到互聯(lián)網(wǎng)中，是否能夠限制員工使用即時通信軟件和P2P軟件，員工是否可以突破封鎖等任務。并且檢驗網(wǎng)絡操作行為監(jiān)控設備是否能將違規(guī)行為記錄到相應的日志當中，能否提供有效的警報，收到警報能否產(chǎn)生有效的攔截等等。有時，會將所有的評估任務分配給幾個人來進行，因此，當某個評估人員完成屬于他（她）的評估任務后，就應當在評估任務答案后評估人一欄中簽上他的名字。當所有評估任務完成后，將已經(jīng)填入評測答案和評估人簽名的風險評估表單上報給評估負責人，經(jīng)評估負責人確認并簽字后，這個風險評估表單中的內(nèi)容才能算真正有效，并在風險評估表單中填入評估結束時間。然后就可以進入下一個風險評估環(huán)節(jié)。三、信息系統(tǒng)安全風險評估對象風險檢測結果分析及給出評估報告階段當評估項目的所有評估任務完成后，就應當組織整個評估人員，將風險評估表單中每個評估任務的評測結果分析并匯總，給出一個具體安全和風險等級。然后，通過分析目前可以使用的安全防范技術，從機構可以接受的安全風險防范投入成本出發(fā)，同時給出一個相應的安全風險解決方案，并在解決方案中說明方案實施后能解決的風險，達到的具體安全等級，以及仍然存在的風險狀況等內(nèi)容。所有的這些信息都可以一個報告文件的方式記錄下來。每個信息系統(tǒng)安全風險評估報告都是針對某個具體的評估對象而言的。在本文的實例中，應當給出一個包括下列內(nèi)容的風險評估報告，其它評估對象的風險評估報告給出的內(nèi)容至少也應當包括下列所示的內(nèi)容：列出完成的評估任務清單。列出評估對象目前存在的威脅和弱點，給出具體的安全和風險等級。列出防范這些檢測到的威脅和弱點的保障措施。說明這些安全建議是屬于物理、管理、還是技術控制。說明實施這些給出的安全建議后會帶來的效果。說明每一個具體的安全建議，能將風險減少到什么程度。安全修補后，評估對象能達到什么樣的安全等級。安全修補后，還有什么風險沒能完全控制，應當如何進一步控制。說明實施這些安全修補措施具體應當花費的安全成本。有些時候，風險評估報告中不一定要求給出具體的安全修補建議。但是，當檢測到的弱點可能給機構信息系統(tǒng)帶來中等或高等安全風險時，就應當按要求給出針對性的安全解決方案安全風險評估報告的內(nèi)容可以作為安全策略的一個強有力的補充，你甚至可以將它們的處理建議加入到已有的安全策略當中，以保證安全策略的強壯性。安全風險評估報告同時也可以作為上報給機構領導或評估小組領導的書面報告，你可以在報告中標出哪些方面是必需要修補的，以便能讓上級領導贊同你的建議。這樣，你要確保你的安全風險評估報告的有效性和權威性。有效性說明這份報告是在真實檢測和分析的基礎上形成的，而且時間與報告的時間相吻合。權威性是指這份報告應當出自整個評估小組在檢測分析之上，并不是某個人憑空想象造出來的。并且有整個參與人員的所有手工簽名，以及標出所有評估都是參照某個國家或國際標準來評定具體安全和風險級別的。四、后期安全維護階段后期安全維護其實只是信息系統(tǒng)安全風險評估過程中的一個附加階段。對于專門的風險評估機構或安全公司來說，當給出具體的安全風險評估報告后，就表明此次風險評估任務全部結束。但是，對于評估對象所在的機構來說，安全風險評估工作的結束，只是表示另一個重要的任務，安全修補任務的開始。后期安全維護就是按照風險評估報告中給出的安全修補建議，決定實施額外的管理和安全防范措施，以便能修正現(xiàn)有的安全策略，降低目前存在的弱點可能被威脅利用后帶來的風險水平。在安全修補實施的過程中，如果有些安全弱點不能按要求進行修補，你應當將它們記錄下來，并上報給機構技術負責人。另外，非常重要的一點就是：在所有的安全修補工作按要求全部完成后，一定要按本文所描述的風險評估過程重新對修補后的評估對象進行一次復查評估，以便確認修補后評估對象是否真正達到了期望的安全水平。同時，也能給出仍然不能防范的安全弱點，以及這些弱點目前應當如何應對才能降低發(fā)生的可能。從這里我們就可以看出，信息系統(tǒng)安全風險評估是一個風險評估準備、風險評測、給出風險報告與后期維護四者之間不斷循環(huán)往復的處理過程。29 / 29