论文部分内容阅读
摘 要 任何信息系统都会有安全风险。所谓安全信息系统，实际上指信息系统在实施了风险评估以后做出了风险控制，仍然存在残余风险是可被接受的信息系统我们就称为安全信息系统。本文对详细介绍了信息工程安全系统风险评估的过程，并总结了一套行之有效的风险控制的流程与方法。
关键词 信息工程安全系统 风险评估 控制
中图分类号：X92 文献标识码：A
对项目风险管理来说，风险评估是对信息工程安全资产所面临的威胁、存在的弱点、造成的影响及三者综合作用所带来风险的可能性的评估。作为项目风险管理的基础，风险评估是确定信息工程安全需求的一个重要途径，属于信息工程安全管理体系策划的过程。
1 风险评估概述
风险评估是在综合考虑成本效益的前提下，通过安全措施控制风险，使残余风险降低到可以控制的程度。因为任何信息系统都会有安全风险，所谓安全信息系统，实际上指信息系统在实施了风险评估以后做出了风险控制，仍然存在残余风险是可被接受的信息系统我们就称为安全信息系统。追求信息系统安全就不能脱离全面完整的信息系统安全评估，就必须运用信息系统安全风险评估的思想和规范对信息系统进行安全评估。
风险评估的主要任务包括：（1）识别面临的各种风险。（2）评估风险概率和可能带来的负面影响。（3）确定承受风险的能力。（4）确定风险消减和控制的优先等级。（5）推荐风险消减对策。
1.1 信息工程安全系统项目风险评估概述
信息工程安全系统项目风险管理是围绕信息工程安全系统项目风险而展开的评估、处理和控制的活动。其中最重要的基本要素是风险评估，因为基于风险评估可以对政府部门信息工程安全系统项目有系统全面的了解，找出潜在问题，分析原因，判断严重性和相关影响，以此确定信息工程安全系统建设的需求。项目是一个过程，从项目的开始到结束，风险评估要求风险评估贯穿到信息系统的整个生命周期提出了三个环节要进行风险评估：一是信息系统规划设计阶段，二是系统验收阶段，三是信息系统运维阶段。管理的不确定性，有限的资源和千变万化的危险和漏洞，使得所有的风险不可能完全缓解。一个信息系统的项目专业人员必须要协同用户、项目经理对信息系统各种潜在的影响进行评估，使其达到一个合理水平。
由于种种原因，信息安全系统存在着很多漏洞及缺陷，如黑客攻击或系统本身的原因，会造成系统安全事件，给系统带来不好的影响。因此，要对项目的信息安全风险进行相应的评估，评估的主要内容包括系统的安全漏洞和系统可能带来的负面影响，根据相应的等级来进行划分，评估出可能发生的安全风险。
1.2 信息工程安全系统项目风险评估过程
一般来说，系统信息工程安全项目风险评估分为四个不同的阶段。
第一个阶段：风险评估准备阶段。
（1）根据相应的风险评估准则，调研项目的实际情况，然后制定风险评估的计划表。按照实际操作来看，计划通常要由三个重要的表格组成，这三个表分别是：《信息工程安全系统的描述报告》、《信息工程安全系统的分析报告》和《信息工程安全系统的安全要求报告》。通过这些表格及具体的计划表，要对项目的风险评价进行计划。计划的内容一般要设计如下范围：目的、范围、目标、组织架构、经费预算、进度安排。制定好计划书后要及时汇报给决策层。如果决策层有异议，应该及时根据意见加以修改。只有获得决策层的审核和同意后，计划书才能获得批准，才能够获得相应的资源加以执行。
（2）结合项目的具体实际，对整个风险评估流程加以确定。不同的项目风险评估流程是不一样的，必须要结合具体的项目实际对评估的流程加以确定，如何工作，如何评估，评估结果如何衡量等。这个步骤，通常应该形成一个书面的《风险评估程序》，便于后面工作人员的具体操作。
（3）根据项目具体实际，选择特定的风险评估方法和工具。风险评估方法和工具千差万别，具体的某个项目，有针对性地 选择成本低，效果好，结合项目实际的具体方法和工具。
第二个阶段：风险因素识别。
（1）对所有需要保护的信息资产加以清点。根据上文确定的三个相关报告，对单位或项目所有的资产加以清点，找出重要的、对安全有重大影响的信息资产并造册，形成书面的《需要保护的资产清单》。（2）结合相关工具，识别出可能面临的威胁。一般来说，目前信息安全行业都有相应的较为全面的威胁或漏洞库，结合这些数据库，对单位的具体资产进行详细的清点和评估，就能找出可能面临的威胁，编制书面的《威胁列表》。（3）根据上面的工作，参照漏洞库，可以对整个单位信息资产面临的脆弱性加以评估，形成书面的《脆弱性列表》。
第三个阶段：风险程度分析。
（1）确认单位目前已经采用的安全防范措施。通过书面形式，对单位目前已经有的具体防范措施加以总结，填写到《已有安全措施分析报告》。（2）对可能面临的威胁的动机加以分析。面临的威胁的动机一般分为：涉及利益者的攻击、对系统好奇、对自己的技术自负等，要形成书面的《威胁动机分析报告》。（3）分析单位可能面临的威胁行为的能力。这一步主要是对可能面临威胁的具体评估，包括强度、广度、深度等。（4）分析信息资产的价值。信息自查的价值主要从以下几个方面来评估：关键性，价格，敏感性等。（5）分析可能面临的影响的程度。具体包括：资产损失，任务妨害，人员伤亡等。
第四个阶段：风险等级评价阶段。
（1）对威胁的动机加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（2）对威胁的行为能力加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（3）对系统脆弱性加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（4）对资产价值加以评估，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（5）对影响程度加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（6）对所有因素加以综合评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。 一般来说，有公认的具体算法。但各单位具体实际情况不一而足。所以，对于公认的算法可以进行修改，或者提出自己认为更符合实际情况的算法。
2 信息工程安全系统项目风险控制
2. 1 风险控制概述
风险评估的目的是进行风险控制，进而最大可能排除系统面临的风险。所以，在信息风险评估之后，就要进行风险控制，其目的是为了尽可能降低系统面临的风险和漏洞。而系统的风险和漏洞，是不可能完全排除的，不论下多么大的成本。只能在一定范围内，尽可能控制在可以接受的范围。一般来说，为了控制可能发生的风险，主要采用以下几种方式：（1）规避风险。规避就是避免使用。例如有一些信息资产面临很大的风险，如果完全消除风险，需要很大的成本，需要更多的经济投入等。那么，一个比较可行的办法就是避免使用这样的资产，或者一些敏感的、需要保密的数据，不在这些资产上使用，从而规避掉可能发生的风险。（2）转移风险。这种方式的思路，就是将已经面临风险的资产转移到风险较低，或者没有风险的资产上。如某单位需要处理技术上足够复杂，没有能力处理的业务时，可以通过寻求外包给第三方专业机构的形式，要求对方做好风险处理，从而达到转移风险的目的。（3）降低风险。降低风险就是在资产面临风险时，通过各种手段和方法来降低其面临的风险。
2.2 信息工程安全系统项目风险控制过程
在信息工程安全项目管理中，风险控制可以划分为四个阶段，分别是：现有风险判断、确定风险控制目标、采取选择和实施具体的风险控制措施。
在不同的阶段，进行不同的工作流程和具体内容，分别如下：
第一阶段：预备阶段。在本阶段，主要是对单位现有的信息资产激进型识别、编号、评估并造册，形成书面报告。
第二阶段：现存风险判断。在本阶段，通过各种工具和方法，对系统信息资产面临的风险加以评级。一般来说，风险的评级主要分为两种：可接受的系统风险和不可接受的系统风险。然后，对系统目前存在的一些风险加以判断，到底是否能够接受。
第三阶段：确定风险控制目标。本阶段主要的工作流程和内容包括：（1）分析风险控制需求。针对上面提出的不可接受的风险，分析其具体需求；并分析哪些是可以做到，哪些不能做到；如果做到，需要具体的成本和措施等。（2）确立风险控制目标。完全搞清楚其具体需求后，就可以确定风险控制的目标。
第四阶段：控制措施选择与实施。
控制措施选择阶段的工作流程和内容如下：（1）选择风险控制方式。确定目标后，就可以采用具体的风险控制方式。选择方式时必须考虑到单位的具体情况，能否实现以及经济投入成本、投入产出比等。（2）选择风险控制措施。控制措施实施阶段的工作流程和内容如下：①制定风险控制实施计划：选择好相应的风险控制方式后，即可制定具体的实施计划。实施计划必须为书面，便于后面的审查以及对照。②实施风险控制措施：采用规避、降低、转移等具体方式来控制。实施过程应该遵循相应的工作流程和标准，并书面记录在案。
3 结语
当前网络信息安全技术发展迅速，任何信息系统都会有安全风险。没有任何一种解决方案可以防御所有危及网络信息安全的攻击。因此我们需要不断跟踪新技术，对所采用的网络信息安全防范技术进行升级完善，以确保相关利益不受侵犯。
参考文献
[1] Stuart McClure 等.黑客大曝光——网络安全机密与解决方案[M].北京：清华大学出版社，2006：140.
[2] 魏仕民等.信息安全概论[M].北京：高等教育出版社，2005：40-41.
[3] 曲平.安全信息管理技术的研发与运用[J].信息通信，2013.
[4] 董洁.网络信息安全面临的问题及对策[J].赤峰学院学报（自然科学版），2011（3）.
[5] 王薪凯，姚衡.计算机网络信息安全与防范[J].硅谷，2011（4）.
关键词 信息工程安全系统 风险评估 控制
中图分类号：X92 文献标识码：A
对项目风险管理来说，风险评估是对信息工程安全资产所面临的威胁、存在的弱点、造成的影响及三者综合作用所带来风险的可能性的评估。作为项目风险管理的基础，风险评估是确定信息工程安全需求的一个重要途径，属于信息工程安全管理体系策划的过程。
1 风险评估概述
风险评估是在综合考虑成本效益的前提下，通过安全措施控制风险，使残余风险降低到可以控制的程度。因为任何信息系统都会有安全风险，所谓安全信息系统，实际上指信息系统在实施了风险评估以后做出了风险控制，仍然存在残余风险是可被接受的信息系统我们就称为安全信息系统。追求信息系统安全就不能脱离全面完整的信息系统安全评估，就必须运用信息系统安全风险评估的思想和规范对信息系统进行安全评估。
风险评估的主要任务包括：（1）识别面临的各种风险。（2）评估风险概率和可能带来的负面影响。（3）确定承受风险的能力。（4）确定风险消减和控制的优先等级。（5）推荐风险消减对策。
1.1 信息工程安全系统项目风险评估概述
信息工程安全系统项目风险管理是围绕信息工程安全系统项目风险而展开的评估、处理和控制的活动。其中最重要的基本要素是风险评估，因为基于风险评估可以对政府部门信息工程安全系统项目有系统全面的了解，找出潜在问题，分析原因，判断严重性和相关影响，以此确定信息工程安全系统建设的需求。项目是一个过程，从项目的开始到结束，风险评估要求风险评估贯穿到信息系统的整个生命周期提出了三个环节要进行风险评估：一是信息系统规划设计阶段，二是系统验收阶段，三是信息系统运维阶段。管理的不确定性，有限的资源和千变万化的危险和漏洞，使得所有的风险不可能完全缓解。一个信息系统的项目专业人员必须要协同用户、项目经理对信息系统各种潜在的影响进行评估，使其达到一个合理水平。
由于种种原因，信息安全系统存在着很多漏洞及缺陷，如黑客攻击或系统本身的原因，会造成系统安全事件，给系统带来不好的影响。因此，要对项目的信息安全风险进行相应的评估，评估的主要内容包括系统的安全漏洞和系统可能带来的负面影响，根据相应的等级来进行划分，评估出可能发生的安全风险。
1.2 信息工程安全系统项目风险评估过程
一般来说，系统信息工程安全项目风险评估分为四个不同的阶段。
第一个阶段：风险评估准备阶段。
（1）根据相应的风险评估准则，调研项目的实际情况，然后制定风险评估的计划表。按照实际操作来看，计划通常要由三个重要的表格组成，这三个表分别是：《信息工程安全系统的描述报告》、《信息工程安全系统的分析报告》和《信息工程安全系统的安全要求报告》。通过这些表格及具体的计划表，要对项目的风险评价进行计划。计划的内容一般要设计如下范围：目的、范围、目标、组织架构、经费预算、进度安排。制定好计划书后要及时汇报给决策层。如果决策层有异议，应该及时根据意见加以修改。只有获得决策层的审核和同意后，计划书才能获得批准，才能够获得相应的资源加以执行。
（2）结合项目的具体实际，对整个风险评估流程加以确定。不同的项目风险评估流程是不一样的，必须要结合具体的项目实际对评估的流程加以确定，如何工作，如何评估，评估结果如何衡量等。这个步骤，通常应该形成一个书面的《风险评估程序》，便于后面工作人员的具体操作。
（3）根据项目具体实际，选择特定的风险评估方法和工具。风险评估方法和工具千差万别，具体的某个项目，有针对性地 选择成本低，效果好，结合项目实际的具体方法和工具。
第二个阶段：风险因素识别。
（1）对所有需要保护的信息资产加以清点。根据上文确定的三个相关报告，对单位或项目所有的资产加以清点，找出重要的、对安全有重大影响的信息资产并造册，形成书面的《需要保护的资产清单》。（2）结合相关工具，识别出可能面临的威胁。一般来说，目前信息安全行业都有相应的较为全面的威胁或漏洞库，结合这些数据库，对单位的具体资产进行详细的清点和评估，就能找出可能面临的威胁，编制书面的《威胁列表》。（3）根据上面的工作，参照漏洞库，可以对整个单位信息资产面临的脆弱性加以评估，形成书面的《脆弱性列表》。
第三个阶段：风险程度分析。
（1）确认单位目前已经采用的安全防范措施。通过书面形式，对单位目前已经有的具体防范措施加以总结，填写到《已有安全措施分析报告》。（2）对可能面临的威胁的动机加以分析。面临的威胁的动机一般分为：涉及利益者的攻击、对系统好奇、对自己的技术自负等，要形成书面的《威胁动机分析报告》。（3）分析单位可能面临的威胁行为的能力。这一步主要是对可能面临威胁的具体评估，包括强度、广度、深度等。（4）分析信息资产的价值。信息自查的价值主要从以下几个方面来评估：关键性，价格，敏感性等。（5）分析可能面临的影响的程度。具体包括：资产损失，任务妨害，人员伤亡等。
第四个阶段：风险等级评价阶段。
（1）对威胁的动机加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（2）对威胁的行为能力加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（3）对系统脆弱性加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（4）对资产价值加以评估，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（5）对影响程度加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（6）对所有因素加以综合评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。 一般来说，有公认的具体算法。但各单位具体实际情况不一而足。所以，对于公认的算法可以进行修改，或者提出自己认为更符合实际情况的算法。
2 信息工程安全系统项目风险控制
2. 1 风险控制概述
风险评估的目的是进行风险控制，进而最大可能排除系统面临的风险。所以，在信息风险评估之后，就要进行风险控制，其目的是为了尽可能降低系统面临的风险和漏洞。而系统的风险和漏洞，是不可能完全排除的，不论下多么大的成本。只能在一定范围内，尽可能控制在可以接受的范围。一般来说，为了控制可能发生的风险，主要采用以下几种方式：（1）规避风险。规避就是避免使用。例如有一些信息资产面临很大的风险，如果完全消除风险，需要很大的成本，需要更多的经济投入等。那么，一个比较可行的办法就是避免使用这样的资产，或者一些敏感的、需要保密的数据，不在这些资产上使用，从而规避掉可能发生的风险。（2）转移风险。这种方式的思路，就是将已经面临风险的资产转移到风险较低，或者没有风险的资产上。如某单位需要处理技术上足够复杂，没有能力处理的业务时，可以通过寻求外包给第三方专业机构的形式，要求对方做好风险处理，从而达到转移风险的目的。（3）降低风险。降低风险就是在资产面临风险时，通过各种手段和方法来降低其面临的风险。
2.2 信息工程安全系统项目风险控制过程
在信息工程安全项目管理中，风险控制可以划分为四个阶段，分别是：现有风险判断、确定风险控制目标、采取选择和实施具体的风险控制措施。
在不同的阶段，进行不同的工作流程和具体内容，分别如下：
第一阶段：预备阶段。在本阶段，主要是对单位现有的信息资产激进型识别、编号、评估并造册，形成书面报告。
第二阶段：现存风险判断。在本阶段，通过各种工具和方法，对系统信息资产面临的风险加以评级。一般来说，风险的评级主要分为两种：可接受的系统风险和不可接受的系统风险。然后，对系统目前存在的一些风险加以判断，到底是否能够接受。
第三阶段：确定风险控制目标。本阶段主要的工作流程和内容包括：（1）分析风险控制需求。针对上面提出的不可接受的风险，分析其具体需求；并分析哪些是可以做到，哪些不能做到；如果做到，需要具体的成本和措施等。（2）确立风险控制目标。完全搞清楚其具体需求后，就可以确定风险控制的目标。
第四阶段：控制措施选择与实施。
控制措施选择阶段的工作流程和内容如下：（1）选择风险控制方式。确定目标后，就可以采用具体的风险控制方式。选择方式时必须考虑到单位的具体情况，能否实现以及经济投入成本、投入产出比等。（2）选择风险控制措施。控制措施实施阶段的工作流程和内容如下：①制定风险控制实施计划：选择好相应的风险控制方式后，即可制定具体的实施计划。实施计划必须为书面，便于后面的审查以及对照。②实施风险控制措施：采用规避、降低、转移等具体方式来控制。实施过程应该遵循相应的工作流程和标准，并书面记录在案。
3 结语
当前网络信息安全技术发展迅速，任何信息系统都会有安全风险。没有任何一种解决方案可以防御所有危及网络信息安全的攻击。因此我们需要不断跟踪新技术，对所采用的网络信息安全防范技术进行升级完善，以确保相关利益不受侵犯。
参考文献
[1] Stuart McClure 等.黑客大曝光——网络安全机密与解决方案[M].北京：清华大学出版社，2006：140.
[2] 魏仕民等.信息安全概论[M].北京：高等教育出版社，2005：40-41.
[3] 曲平.安全信息管理技术的研发与运用[J].信息通信，2013.
[4] 董洁.网络信息安全面临的问题及对策[J].赤峰学院学报（自然科学版），2011（3）.
[5] 王薪凯，姚衡.计算机网络信息安全与防范[J].硅谷，2011（4）.