【正文】 等。 ? 信息安全管理中認(rèn)為風(fēng)險(xiǎn)的分析與評估是個(gè)動(dòng)態(tài)的過程，所以相應(yīng)得分析與評估方法、評估工具都要體現(xiàn)動(dòng)態(tài)性。 ? 實(shí)施（ Do）：實(shí)施同意的風(fēng)險(xiǎn)治理活動(dòng)以及適當(dāng)?shù)目刂啤? ? 改進(jìn)（ Action）：在信息安全管理體系過程方面實(shí)行改進(jìn)，并對控制進(jìn)行必要的改進(jìn)，以滿足環(huán)境的變化。目前它主要用于分析大型復(fù)雜系統(tǒng)的可靠性及安全性， 被公認(rèn)為是對復(fù)雜系統(tǒng)可靠性、安全性進(jìn)行分析的一種有效的方法。故障樹分析采用樹形圖的形式，把系統(tǒng)的故障與組成系統(tǒng)的部件的故障有機(jī)地聯(lián)系在一起。 FMECA（ Failure Mode Effects and Criticality Analysis）是一種可靠性、安全性、維修性、保障性分析與設(shè)計(jì)技術(shù)，用來分析、審查系統(tǒng)及其設(shè)備的潛在故障模式，確定其對系統(tǒng)和設(shè)備工作能力的影響，從而發(fā)現(xiàn)設(shè)計(jì)中潛在的薄弱環(huán)節(jié)，提出可能采取的預(yù)防改進(jìn)措施，以消除或減少故障發(fā)生的可能性，提高系統(tǒng)和設(shè)備的可靠性、安全性、維修性、保障性水平。 典型的風(fēng)險(xiǎn)評估方法（ 3） ? HazOp ?HazOp是 Hazard and operability study的簡稱，即危害及可操作性研究。專家們通過腦風(fēng)暴會議方式，確定系統(tǒng)所有可能偏離正常設(shè)計(jì)的異常運(yùn)行問題，并分析這種偏離正常運(yùn)行的原因、可能性和可能造成的后果及后果的嚴(yán)重性等。 ?HazOp分析方法的主要目標(biāo)是識別出存在的問題，而不是解決問題。對每個(gè)危害，需要對可能的原因及后果進(jìn)行進(jìn)一步地評估。 ? Markov鏈?zhǔn)且粋€(gè)隨機(jī)變量的序列，將來的隨機(jī)變量只決定于當(dāng)前的隨機(jī)變量，但與當(dāng)前隨機(jī)變量之前的隨機(jī)變量無關(guān)。 Markov鏈可以是齊次的，也可以是非齊次的。 ? Markov模型根據(jù)系統(tǒng)的初始配置狀態(tài)，估計(jì)從一個(gè)已知狀態(tài)轉(zhuǎn)移到下一邏輯狀態(tài)的概率，直到系統(tǒng)到達(dá)一個(gè)最終或完全失效的狀態(tài)。 Markov過程完全由其轉(zhuǎn)移概率矩陣所確定。 信息安全風(fēng)險(xiǎn)評估基礎(chǔ)環(huán)境的準(zhǔn)備 ?工具 ?風(fēng)險(xiǎn)評估工具 ?風(fēng)險(xiǎn)計(jì)算工具 ?風(fēng)險(xiǎn)評估數(shù)據(jù)收集工具 ?模擬環(huán)境 ?測試平臺 提 綱 一、信息安全形勢需要評估 二、信息化風(fēng)險(xiǎn)及風(fēng)險(xiǎn)管理研究 三、信息安全風(fēng)險(xiǎn)評估技術(shù)導(dǎo)引 四、信息安全風(fēng)險(xiǎn)評估試點(diǎn)經(jīng)驗(yàn)寶貴 風(fēng)險(xiǎn)評估尚需探索、貴在實(shí)踐 ?去年以來我有幸參加了國信辦組織的一些試點(diǎn)工作 ?看到了試點(diǎn)單位的成績和取得的經(jīng)驗(yàn)，獲益良多 ?也發(fā)現(xiàn)了還有不少問題急需探索和研究 試點(diǎn)工作目的 ? 試點(diǎn)工作的目的是 : ? 在現(xiàn)有管理體制下，摸索如何開展信息安全風(fēng)險(xiǎn)評估工作，檢驗(yàn)草擬的風(fēng)險(xiǎn)評估相關(guān)標(biāo)準(zhǔn)規(guī)范的可行性與可用性，為全面推廣信息安全風(fēng)險(xiǎn)評估工作和國家出臺有關(guān)文件做前期準(zhǔn)備。 ? 范圍 ? 信息化程度較高的行業(yè)部門的信息系統(tǒng)，如金融、稅務(wù)、電力； ? 建設(shè)發(fā)展中的電子政務(wù)重要信息系統(tǒng)； ? 部分涉密信息系統(tǒng)； ? 信息化程度不同的地方單位。 試點(diǎn)工作與標(biāo)準(zhǔn)驗(yàn)證 ? 試點(diǎn)工作對去年國信辦組織制定的兩項(xiàng)試行標(biāo)準(zhǔn)進(jìn)行了驗(yàn)證，提出了修訂建議 ? 絕大多數(shù)試點(diǎn)單位大都參照了去年國信辦和國家安標(biāo)委組織編寫的 《 信息安全風(fēng)險(xiǎn)評估指南 》 及《 信息安全風(fēng)險(xiǎn)管理指南 》 。 收獲和體會 ? 提高了對風(fēng)險(xiǎn)評估工作的認(rèn)識和理解 ? — 科學(xué)方法、長效機(jī)制 ? 為國信辦風(fēng)險(xiǎn)評估工作文件起草積累了素材 ? 檢驗(yàn)了標(biāo)準(zhǔn)，兩項(xiàng)試行標(biāo)準(zhǔn)得到了肯定 ? 初步規(guī)范了評估內(nèi)容，演練了評估的實(shí)施流程 ? 試行了部分評估技術(shù)方法，重視了評估的科學(xué)性 ?評估方法的百花齊放和創(chuàng)新性 ? 體現(xiàn)了創(chuàng)新，積累了成果，培訓(xùn)了人才 試點(diǎn)工作技術(shù)上特點(diǎn) ? 計(jì)劃比較周密 ? 注意控制了評估自身的風(fēng)險(xiǎn) ? 注意遵循和驗(yàn)證標(biāo)準(zhǔn)討論稿 ? 及時(shí)總結(jié)經(jīng)驗(yàn)和問題 ? 始終重視人才培養(yǎng) ? 在技術(shù)上通過評估方法的多樣化，進(jìn)行了有益的探索 試點(diǎn)工作出現(xiàn)了一批成果 ? 上海市的風(fēng)險(xiǎn)評估管理軟件 ?評估模型和方法的創(chuàng)新與探索 ? 北京市利用了已有的工具平臺，形成了評估輔助工具平臺 ? 黑龍江提出了基于模糊綜合判定理論的風(fēng)險(xiǎn)評估判定方法 ? 既有量化的探索，也有定性為主的探索 ? 云南提出了增加業(yè)務(wù)流分析和已有控制措施的有效性識別或判定 試點(diǎn)工作出現(xiàn)了一批成果（續(xù)） ? 國家稅務(wù)總局提出了差距分析法，細(xì)化了流程 ? 國電公司提出了符合行業(yè)特點(diǎn)的方法，初步形成了行業(yè)安全評估方法論，涵蓋了安全定義、安全評測和風(fēng)險(xiǎn)分析的全過程 典型方法之一：計(jì)算系統(tǒng)綜合風(fēng)險(xiǎn) ? 規(guī)范的評估過程 ?摸清家底：劃分資產(chǎn)類型，建立重要資產(chǎn)清單，識別資產(chǎn)重要性 ?分析威脅和分析脆弱性兩種途徑 ?按層次分析脆弱性 ?判定安全時(shí)間及其影響 ?計(jì)算威脅風(fēng)險(xiǎn)值 ?制定風(fēng)險(xiǎn)控制措施 典型方法之一：計(jì)算系統(tǒng)綜合風(fēng)險(xiǎn)（續(xù)） ? 資產(chǎn)綜合風(fēng)險(xiǎn)計(jì)算三種做法 ?選擇該資產(chǎn)中分析風(fēng)險(xiǎn)最高的作為風(fēng)險(xiǎn)，乘以資產(chǎn)值，作為該資產(chǎn)風(fēng)險(xiǎn) ?將資產(chǎn)中每一威脅的風(fēng)險(xiǎn)之于資產(chǎn)值相乘，得到多個(gè)資產(chǎn)的風(fēng)險(xiǎn)值 ?構(gòu)建模型，進(jìn)行綜合計(jì)算 ? 綜合風(fēng)險(xiǎn)： ?R=V*[∑ cRti*Qc+∑ ARti*QA+∑ IRti*Qi] ?其中 R:總風(fēng)險(xiǎn)， V:該資產(chǎn)得分， ∑ 為威脅累計(jì) ?C:機(jī)密性， I:完整性， A:可用性 典型方法之二：差距分析 ? 風(fēng)險(xiǎn)評估方法 差距分析法 ? 建立分析模型 ? 在風(fēng)險(xiǎn)評估中通過識別、判斷和分析目標(biāo)系統(tǒng)的安全現(xiàn)狀與安全要求之間的差距確定系統(tǒng)風(fēng)險(xiǎn)的分析方法。 構(gòu)建差距分析法模型 ? 風(fēng)險(xiǎn)分析模型 系 統(tǒng) 安 全 要 求系 統(tǒng) 安 全 現(xiàn) 狀風(fēng) 險(xiǎn)系 統(tǒng) 使 命綜 合 分 析對 比 分 析系 統(tǒng) 所 屬 行 業(yè)安 全 要 求系 統(tǒng) 安 全 要 求系 統(tǒng) 安 全 現(xiàn) 狀系 統(tǒng) 安 全 環(huán) 境對 比 分 析國 家 法 律 法 規(guī)差距分析法的實(shí)施路徑 ? 步驟一 :調(diào)研目標(biāo)系統(tǒng)狀況 ? 步驟二：確定信息系統(tǒng)安全要求 ? 任務(wù) 1：確定信息系統(tǒng)安全等級 ? 任務(wù) 2：確定和規(guī)范化描述信息系統(tǒng)的安全要求 ? 步驟三：評估信息系統(tǒng)安全現(xiàn)狀 ? 任務(wù) 1：信息系統(tǒng)安全現(xiàn)狀評估報(bào)告 ? 步驟四：對信息安全風(fēng)險(xiǎn)進(jìn)行差距分析和風(fēng)險(xiǎn)計(jì)算 ? 任務(wù) 1：評估信息系統(tǒng)安全現(xiàn)狀對信息系統(tǒng)安全要求的符合程度，即信息系統(tǒng)現(xiàn)有安全措施在當(dāng)前系統(tǒng)運(yùn)行環(huán)境下是否滿足其安全要求 ? 任務(wù) 2：對信息系統(tǒng)安全執(zhí)行能力進(jìn)行評估，評估信息系統(tǒng)安全級（包括技術(shù)架構(gòu)能力級、工程能力級和管理能力級的評定） ,與要達(dá)到目標(biāo)的安全等級 ? 步驟五：用戶根據(jù)安全風(fēng)險(xiǎn)評估的結(jié)果進(jìn)行風(fēng)險(xiǎn)控制，形成滿足其信息系統(tǒng)安全要求的信息系統(tǒng)安全保障能力 。 典型方法之三：量化風(fēng)險(xiǎn)（續(xù)） ? 在本次試點(diǎn)中，結(jié)合試點(diǎn)單位評估實(shí)踐經(jīng)驗(yàn)、以及行業(yè)管理特性，有的試點(diǎn)單位對風(fēng)險(xiǎn)計(jì)算方法進(jìn)行了如下的擴(kuò)展： ?其中： c代表 “ 機(jī)密性方面的 ” 、 i代表 “ 完整性方面的 ” 、 a代表 “ 可用性方面的 ” ， t代表“ 技術(shù)方面的 ” 、 m代表 “ 管理方面的 ” 、 o代表 “ 運(yùn)維方面的 ” 、 W為技術(shù)、運(yùn)維和管理脆弱性之間的相關(guān)性， Wt 、 Wm 、 Wo 之和等于 1。 ?建設(shè)國家基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)風(fēng)險(xiǎn)評估的基礎(chǔ)設(shè)施和基礎(chǔ)環(huán)境； ?落實(shí)開發(fā)相關(guān)技術(shù)和產(chǎn)品的攻關(guān)項(xiàng)目。制定國家基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)的風(fēng)險(xiǎn)評估總體規(guī)劃以及“十一五”期間的工作計(jì)劃。標(biāo)準(zhǔn)規(guī)范是推廣實(shí)施風(fēng)險(xiǎn)評估工作的法律依據(jù)和技術(shù)保障，要加快風(fēng)險(xiǎn)評估管理與技術(shù)標(biāo)準(zhǔn)的制定和完善，研究評估機(jī)構(gòu)服務(wù)標(biāo)準(zhǔn)、資質(zhì)認(rèn)可與資質(zhì)的核查評估的管理辦法；盡快出臺國家標(biāo)準(zhǔn)。建設(shè)風(fēng)險(xiǎn)評估技術(shù)支撐體系。 ? 加強(qiáng)風(fēng)險(xiǎn)評估工作隊(duì)伍的建設(shè)，重視培訓(xùn)、建立風(fēng)險(xiǎn)評估機(jī)構(gòu)管理制度 ? 在已有基礎(chǔ)上，整合資源，分類指導(dǎo)，組建不同等級的風(fēng)險(xiǎn)評估機(jī)構(gòu)，分別承擔(dān)國家和地方基礎(chǔ)信息網(wǎng)絡(luò)和重要信息系統(tǒng)以及本行業(yè)信息系統(tǒng)風(fēng)險(xiǎn)評估工作，形成風(fēng)險(xiǎn)評估的骨干力量。對國家基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)的風(fēng)險(xiǎn)評估，實(shí)行資質(zhì)準(zhǔn)入制度，只充許經(jīng)國家批準(zhǔn)的風(fēng)險(xiǎn)評估機(jī)構(gòu)實(shí)施風(fēng)險(xiǎn)評估。 限于水平，可能還有許多不妥之處，歡迎批評指正 ! 謝 謝!