信息安全風險評估綜合管理系統設計

曾志廉 黃丹鳳

摘要：本文分析了信息安全風險評估業務的工作流程，在此基礎上設計了以安全知識庫為支撐，以業務系統及其相關信息資產的信息安全風險評估要素為對象，以風險評估過程為主要業務流程的信息安全風險評估管理系統的模型。

關鍵詞：信息安全；風險評估；系統設計

中圖分類號：G647 文獻標志碼：A 文章編號：1674-9324（2016）23-0249-02

一、引言

信息時代為國家和個人提供了全新的發展機遇和生活空間，但也帶來了新的安全威脅。信息安全的威脅可能來自內部的破壞、外部的攻擊、內外勾結的破壞和信息系統自身的意外事故等，因此我們應按照風險管理的思想，對可能的威脅和需要保護的信息資源進行風險分析，以便采取安全措施，妥善應對可能發生的安全風險。信息安全風險評估是依據國家信息安全風險評估有關管理要求和技術標準，對信息系統及由其存儲、處理和傳輸的信息的機密性、完整性和可用性等安全屬性進行科學、公正的綜合評價的過程。根據ISO27001的管理思想，信息安全風險評估在信息安全管理的PDCA環中是一個很重要的過程，如何處理信息安全風險評估所產生的數據，是每一個信息安全管理者都非常迫切需要解決的一個問題。最好的解決方法是開發出一套實用性強、可操作性高的系統安全風險評估管理工具。

二、風險評估過程

信息安全風險評估系統的設計是針對組織開展信息安全風險評估的過程。這個過程包括對信息系統中的安全風險識別、信息收集、評估和報告等。風險評估的實施過程如下頁圖1。

1.評估前準備。在風險評估實施前，需要對以下工作進行確定：確定風險評估的目標、確定風險評估的范圍、組建風險評估團隊、進行系統調研、確定評估依據和方法、制定評估計劃和評估方案、獲得最高管理者對工作的支持。

2.資產識別。資產識別過程分為資產分類和資產評價兩個階段。資產分類是將單位的信息資產分為實物資產、軟件資產、數據資產、人員資產、服務資產和無形資產六類資產進行識別；資產評價是對資產的三個安全屬性保密性、可用性及完整性分別等級評價及賦值，經綜合評定后，得出資產的價值。

3.威脅識別。威脅識別主要工作是評估者需要從每項識別出的資產出發，找到可能遭受的威脅。識別威脅之后，還需要確定威脅發生的可能性。

4.脆弱性識別。評估者需要從每項識別出的資產和對應的威脅出發，找到可能被利用的脆弱性。識別脆弱性之后，還需要確定弱點可被利用的嚴重性。

5.已有安全措施確認。在識別脆弱性的同時，評估人員將對已采取的安全措施的有效性進行確認，評估其是否真正地降低了系統的脆弱性，抵御了威脅。

6.風險分析。風險評估中完成資產賦值、威脅評估、脆弱性評估后，在考慮已有安全措施的情況下，利用恰當的方法與工具確定威脅利用資產脆弱性發生安全事件的可能性，并結合資產的安全屬性受到破壞后的影響得出信息資產的風險。

三、系統設計

1.用角色設計。系統角色分為三種類型，各用戶在登錄后自動轉入各自的操作頁面。A.超級管理員：擁有系統所有權限；B.評估項目管理員：可以對所負責的評估項目進行管理，對評估人員進行分工和權限管理；C.評估人員：負責由項目管理員分配的測評工作，將評估數據導入系統。

2.系統模型。根據信息安全風險評估管理的業務需求，我們構建了以安全知識庫為支撐，以風險評估流程為系統主要業務流，以受測業務系統及其相關信息資產的風險評估要素為對象的信息安全風險評估綜合管理系統模型，系統模型如圖2所示。

3.系統功能設計。信息安全風險評估綜合管理系統的功能模塊包括：①風險評估項目管理：評估項目管理模塊包括評估項目的建立、項目列表、項目設置等功能。主要輸入項：項目名稱、評估時間、評估對象等；主要輸出項：項目計劃書。②信息安全需求調研管理：該模塊用于用戶填寫安全調研問卷，為安全評估提供數據支持。主要輸入項：用戶ID、調查答案；主要輸出項：問卷標題、調查題內容。③資產識別。系統提供的資產識別，包括：硬件、軟件、數據等，根據業務系統對組織戰略的影響程度，對相關資產的重要性進行評價；主要輸入項：評估對象（信息資產）、賦值規則；主要輸出項：資產識別匯總表、資產識別報告。④威脅識別。威脅識別：系統提供多種網絡環境的威脅模板，支持和幫助用戶進行威脅識別和分析，并提供資產、脆弱性、威脅自動關聯功能：主要輸入項：評估對象、賦值規則；主要輸出項：威脅識別匯總表、威脅識別報告。⑤脆弱性識別。脆弱性識別：系統可提供多種系統的脆弱性識別功能，包括：主機、數據庫、網絡設備等對象的脆弱性識別。系統支持常用漏洞掃描軟件掃描結果的導入，目前支持的掃描系統有：Nessus、NMap等，主機系統支持：Windows、Linux、Unix等，數據庫支持：MSSQL、Oracle等：主要輸入項：評估對象、漏洞掃描結果、賦值規則；主要輸出項：漏洞掃描報告、脆弱性識別匯總表、脆弱性識別報告。⑥安全措施識別。安全措施識別：系統提供基于技術、管理等方面的安全措施檢查功能，幫助用戶了解目前的安全狀況，找到安全管理問題，確定安全措施的有效性：主要輸出項：安全措施識別匯總表、安全措施識別報告。⑦風險分析。系統通過資產評價、脆弱性評價、威脅評價、安全措施有效性評價、風險分析等工作，可自動生成安全風險評估分析報告。主要輸入項：評估對象、資產值、脆弱性值、威脅值、安全措施值、計算規則；主要輸出項：風險計算匯總表、風險分析報告。⑧評估結果管理。主要功能是對歷史記錄查詢與分析。匯總所有的安全評估結果進行綜合分析，并生成各階段風險評估工作報告，主要包括如下：《資產識別報告》、《漏洞掃描報告》、《威脅識別報告》、《脆弱性識別報告》、《控制措施識別報告》、《風險分析報告》。并可對當期風險評估結果和原始數據進行轉存或備份。在有需要時能調出評估歷史數據進行查詢及風險趨勢分析。⑨信息安全知識庫更新維護。信息安全知識庫的更新維護主要對象有：系統漏洞庫、安全威脅庫、安全脆弱點庫、控制措施庫。為避免造成數據的冗余，系統將在各評估項目中需要反復使用的數據歸入基礎數據庫進行管理，在進行評估活動時再從基礎庫提取有關數據，這樣也能減少重復的輸入工作。⑩數據接口。導入數據接口：資產庫、脆弱點庫、威脅庫、控制措施庫。支持以下常用的格式：如EXCEL文件等；常用的漏洞掃描工具：如綠盟、啟明星辰、NESSUS、NMAP等。

四、結束語

該系統設計是以信息安全風險評估工作流程為基礎，進行信息安全評估項目管理、風險要素數據收集與輔助風險分析的系統，在實際風險管理過程中，可引入了質量管理理念——PDCA循環，即通過監控每一階段的信息系統風險情況，及時發現問題，不斷調整風險控制工作計劃，從而實現信息安全風險管理的工作目標。

參考文獻

[1]GB/T 20984-2007，信息安全風險評估規范[S].信息安全技術.

[2]GBZ 24364-2009，信息安全風險管理指南[S].信息安全技術.