【正文】 NFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC ? 一 、 信息安全風險評估概述 ? 二、為什么要做信息安全風險評估 ? 三、我國信息安全風險評估回顧 ? 四、信息安全風險評估今后三年的發(fā)展 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估的概念 ? 信息系統(tǒng)的安全風險 信息系統(tǒng)的安全風險，是指由于系統(tǒng)存在的脆弱性，人為或自然的威脅導致安全事件發(fā)生的可能性及其造成的影響。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估 是指依據(jù)國家有關信息技術標準，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學評價的過程 它要評估信息系統(tǒng)的脆弱性、信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的實際負面影響，并根據(jù)安全事件發(fā)生的可能性和負面影響的程度來識別信息系統(tǒng)的安全風險。信息系統(tǒng)的價值及其存在的脆弱性，使信息系統(tǒng)在現(xiàn)實環(huán)境中，總要面臨各種人為與自然的威脅，存在安全風險也是必然的。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估 ? 因為任何信息系統(tǒng)都會有安全風險，所以，人們追求的所謂安全的信息系統(tǒng)，實際是指信息系統(tǒng)在實施了風險評估并做出風險控制后，仍然存在的殘余風險可被接受的信息系統(tǒng)。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風險評估的意義和作用 ? 信息安全中的風險評估是傳統(tǒng)的風險理論和方法在信息系統(tǒng)中的運用，是科學地分析和理解信息與信息系統(tǒng)在保密性、完整性、可用性等方面所面臨的風險，并在風險的減少、轉(zhuǎn)移和規(guī)避等風險控制方法之間做出決策的過程。信息安全建設的最終目的是服務于信息化，但其直接目的是為了控制安全風險 。 ? 進一步，持續(xù)的風險評估工作可以成為檢查信息系統(tǒng)本身乃至信息系統(tǒng)擁有單位的績效的有力手段，風險評估的結(jié)果能夠供相關主管單位參考，并使主管單位通過行政手段對信息系統(tǒng)的立項、投資、運行產(chǎn)生影響，促進信息系統(tǒng)擁有單位加強信息安全建設。 ? 風險評估正是這一要求在實際工作中的具體體現(xiàn)。 ? 安全是風險與成本的綜合平衡。 ? 要從實際出發(fā)，堅持分級防護、突出重點，就必須正確地評估風險，以便采取科學、客觀、經(jīng)濟和有效的措施。 ? 發(fā)達國家越來越重視信息安全風險評估工作，提倡風險評估制度化。因此，他們強調(diào)“沒有任何事情比解決錯誤的問題和建立錯誤的系統(tǒng)更沒有效率的了。 ? 在我國目前的國情下，為加強宏觀信息安全管理，促進信息安全保障體系建設，就必須加強風險評估工作，并逐步使風險評估工作朝向制度化的方向發(fā)展。 ? 信息系統(tǒng)安全風險評估的目的是： 認清信息安全環(huán)境、信息安全狀況；有助于達成共識，明確責任；采取或完善安全保障措施，使其更加經(jīng)濟有效，并使信息安全策略保持一致性和持續(xù)性。 ? 依賴度 ：一個單位的使命對信息系統(tǒng)和信息的依靠程度。 ? 價值： 資產(chǎn)的重要程度和敏感程度。威脅由多種屬性來刻畫：威脅的主體（威脅源）、能力、資源、動機、途徑、可能性和后果。脆弱性也常常被稱為漏洞。它由安全事件發(fā)生的可能性及其造成的影響這兩種指標來衡量。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估的基本要素 ? 安全需求： 為保證單位的使命能夠正常行使，在信息安全防護措施方面提出的要求。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風險評估對信息系統(tǒng)生命周期的支持 生命周期階段 階段特征 來自風險管理活動的支持 階段 1—— 規(guī)劃和啟動 提出信息系統(tǒng)的目的、需求、規(guī)模和安全要求。 階段 2—— 設計開發(fā)或采購 信息系統(tǒng)設計、購買、開發(fā)或建造。 階段 3—— 集成實現(xiàn) 信息系統(tǒng)的安全特性應該被配置、激活、測試并得到驗證。有關風險的一系列決策必須在系統(tǒng)運行之前做出。 ?當定期對系統(tǒng)進行重新評估時，或者信息系統(tǒng)在其運行性生產(chǎn)環(huán)境（例如新的系統(tǒng)接口）中做出重大變更時，要對其進行風險評估活動。這些活動可能包括信息的移動、備份、丟棄、破壞以及對硬件和軟件進行的密級處理。并且要確保系統(tǒng)的更新?lián)Q代能以一個安全和系統(tǒng)化的方式完成。 這是一種安全需求提煉的過程 。 ? 上述工作流程應該是一個不斷重復的循環(huán)過程， 從不同階段進入風險評估工作也可能進行簡化其中的某些步驟 。 ? 風險評估的理論和工具也應該針對這些基本的安全要求，提供檢測、判斷、分析。 ? 從計算方法區(qū)分，有定性的方法、定量的方法和部分定量的方法。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 定性的方法包括： ? 初步的風險分析 （ Preliminary Risk Analysis） ? 危險和可操作性研究 （ Hazard and Operability studies (HAZOP)） ? 失效模式及影響分析 （ Failure Mode and Effects Analysis (FMEA/FMECA)） SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 基于樹的技術 （ Tree Based Techniques ）包括： ? 故障樹分析 （ Fault tree analysis） ? 事件樹分析 （ Event tree analysis） ? 因果分析 （ CauseConsequence Analysis） ? 管理失敗風險樹 （ Management Oversight Risk Tree） ? 安全管理組織檢查技術 （ Safety Management Organization Review Technique） SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 動態(tài)系統(tǒng)的技術 （ Techniques for Dynamic system） 包括： ? 嘗試方法 （ Go Method） ? 有向圖 /故障圖 （ Digraph/Fault Graph） ? 馬爾可夫建模 （ Markov Modeling） ? 動態(tài)事件邏輯分析方法學 （ Dynamic Event Logic Analytical Methodology） ? 動態(tài)事件樹分析方法 （ Dynamic Event Tree Analysis Method） SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 評估工具目前存在以下幾類： ? 掃描工具： 包括主機掃描、網(wǎng)絡掃描、數(shù)據(jù)庫掃描，用于分析系統(tǒng)的常見漏洞； ? 入侵檢測系統(tǒng)（ IDS）： 用于收集與統(tǒng)計威脅數(shù)據(jù)； ? 滲透性測試工具： 黑客工具，用于人工滲透，評估系統(tǒng)的深層次漏洞； ? 主機安全性審計工具： 用于分析主機系統(tǒng)配置的安全性； ? 安全管理評價系統(tǒng)： 用于安全訪談，評價安全管理措施； ? 風險綜合分析系