信息安全風險的構成要素

鄧志龍

【摘 要】本文在對信息系統安全風險的產生原因進行簡單介紹的基礎上，分別從ISO 15408、ISO13335、SSE-CMM三個方面對信息安全風險要素進行了分析和討論，以便對構成信息安全風險的要素有一個更加全面的了解和認識。

【關鍵詞】信息系統；安全風險；要素

【中圖分類號】E22；G203 【文獻標識碼】A 【文章編號】1672-5158（2013）03-0093-01

由于信息系統長期處于開放的環境中，所以安全風險的發生往往是不同因素相互疊加、共同作用的結果。目前，國內外有關信息安全風險構成要素及其相互關系描述的標準主要包括ISO 15408、ISO13335、SSE-CMM、GB/T 20984等。

1 ISO 15408描述的信息安全風險要素

ISO/IEC 15408（Information technology-Security techniques-

Evaluation criteria for IT security，信息技術-安全技術-IT安全性評估準則）是ISO（International Standard Organization，國際標準化組織）采納CC（Common Criteria，通用準則）演化而來的。1993年，英法等國及美國NIST（National Institute of Standard and Technology，國家標準技術協會） 和NSA（National Securiy Agency，美國國家安全局）共同制定了《信息技術安全評估通用準則》CC（簡稱通用準則），并分別于1996年、1998年先后發布了CC1.0、CC 2.0版。1999年6月，ISO接納CC2.0版為ISO/IEC 15408草案，并定名為“信息技術-安全技術-IT安全性評估準則”，但仍用CC作為其簡稱。1999年12月，在廣泛征求各方意見并進行相應的修改后，正式頒布國際標準ISO/IEC 15408 CC 2.1版。2001年3月，我國國家質量技術監督局將其作為國家標準GB/T 18336正式頒布，并于2001年正式實施。

CC標準主要包括簡介與一般模型，安全功能、安全保證要求三個部分。其中，簡介與一般模型主要對信息安全構成要素的風險、威脅、資產、脆弱性、對策等關鍵概念及其主體進行了定義，并以所有者需要保護的資產為中心點，對不同要素間的關系進行了描述。

①資產

所謂資產，就是指有價值的信息資產。

②對策

所謂對策，就是滿足資產所有者減少脆弱性要求的安全策略。

③威脅

所謂威脅，就是指借助拒絕服務、數據修改、揭露、損壞、未經授權訪問等方法，對系統形成潛在威脅的各類事件與環境。

④脆弱性

所謂脆弱性，就是在物理設計、管理控制、系統安全程序、信息系統、內部控制或實現中可能被攻擊者使用并獲得或破壞未授權信息的弱點。

⑤風險

所謂風險，就是指有威脅以及威脅發生的可能性所產生的不良影響，風險程度主要通過不良影響的程度進行評估。

2 ISO13335描述的信息安全風險要素

ISO/IEC 13335是國際標準組織發布的《IT信息安全管理指南》，在信息安全管理方面具有指導性地位。其中ISO/IEC 13335-1：2002《信息安全管理和計劃的概念和模型》圍繞風險，對包括剩余風險、防護措施、風險、影響、脆弱性、威脅、資產在內的信息安全風險要素進行了確認，并對不同要素間的關系進行了描述。

①資產

資產主要包括人員、服務能力、產品生產、軟件、物理硬件以及其它無形資產，是組織成功的關鍵資源或信息，也是信息安全保護的重要對象。

②威脅

威脅是指那些能夠引起安全風險事件并損害組織與資產的各類潛在活動，它通過IT服務或系統，對信息系統進行直接或間接的作用并造成各類損失。資產原有的脆弱性是威脅完成資產損害行為的前提條件，威脅的產生可以是主觀也可以是無意，可以是人為也可以是非人為。

③脆弱性

脆弱性指的是資產及其相關軟硬件、信息、監控、管理、人員、策略、組織、物理環境所存在的固有弱點，非常容易被威脅所利用，并最終造成業務目標與組織信息系統的損害。

④影響

影響指的是風險事件發生后對資產造成的后果，通常包括信息系統或資產完整性、機密性、可審計性、可用性、可靠性以及真實性等的破壞，一般來說，影響主要分為直接與間接影響兩種類型。

⑤風險

風險指的是威脅借助資產脆弱性引起的組織破壞或損失的潛在程度，風險的高低主要由可能產生的影響以及發生的可能性共同決定。任何與資產、安全防護措施、脆弱性、威脅有關的變化都會對風險產生影響，如果能夠采取有效措施及時確定或檢測信息系統及其環境的變化情況，就可以減少風險。

⑥安全防護措施

安全防護措施是各種安全機制、策略與實踐的總稱，它通過為資產提供不同層面的防護來實現對各類安全事件的監視、檢測、預防、限制、糾正和恢復，而安全防護措施的實施則是保障信息安全的最基本要求。

⑦殘余風險

受安全成本等因素的影響，風險并不能被徹底消除，在組織安全需求得到滿足的情況下依然存在的風險即為殘余風險。

⑧其它要素

除前面已經介紹的各類要素外，組織的文化、法律、時間、人員、金融、業務也屬于風險的影響因素，在選擇安全防護措施時，還需要對其進行綜合考慮。

3 SSE-CMM描述的信息安全風險要素

1996年，美國國家安全局公布了SSE-CMM的第一個版本，1999年4月又公布了新的版本，系統安全工程能力成熟度模型（System Security Engineering-Capability Maturity Model，SSE-CMM）。在SSE-CMM模型框架中，安全工程被應用于信息系統的開發、集成、管理、操作、維護、進化以及產品開發、交付與進化，從而使安全工程能夠在一個服務、產品或系統中得到實現。

SSE-CMM將安全工程劃分為風險域、工程域、保證域三個基本過程域，雖然可以對不同的過程域進行單獨考慮，但也可以通過它們的相互作用來更好的實現安全目標。另外，各過程域還包括一組集成的安全過程區（PA）。

參考文獻：

[1]王鳳鳴；控制論與項目風險管理[J]；技術經濟與管理研究；2008年03期

[2]王大虎，楊維，柳艷紅；移動通信信息系統安全風險評估研究[J]；中國安全科學學報；2005年07期