電力企業信息安全風險評估的方法探討

電力企業信息安全風險評估的方法探討

信息安全風險評估，是從風險管理角度，運用科學的方法和手段，系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提出有針對性的抵御威脅的防護對策和整改措施。并為防范和化解信息安全風險，或者將風險控制在可接受的水平，從而最大限度地保障網絡和信息安全提供科學依據。

電力企業信息安全的風險分析

基礎設施風險分析

基礎設施安全是信息系統安全的必要前提。目前電力系統在機房基礎設施建設的訪問管理存在缺陷，亟待解決。比如樓層交換機的機柜位置及其不安全，非運維管理人員可以隨時接觸，給內部攻擊和竊密提供方便。

信息網絡安全風險分析

部分電力企業用戶由于工作需要涉及互聯網，這給信息內網帶來安全隱患；局域網及廣域網內部用戶有意或者無意地對信息系統發起攻擊和泄密行為。此外企業內部人員技術水平，信息設備性能等各方面的制約，使得整個電力信息網絡的外部邊界保護能力存在一定差異，均降低整個信息系統安全防護能力。

其他設備的安全風險分析

沒有完整的備份策略，備份不及時或者沒有應急預案；移動介質管理不規范，對備份介質沒有做領取、使用等方面的記錄。災難恢復水平低，沒有有關災難恢復的管理制度等。

管理風險分析

隨著信息技術日新月異的發展，近些年來，電力企業在信息化應用方面的要求也在逐步提高，但其中安全意識薄弱，管理制度不健全以及缺乏可操作性等都可能引起安全管理的風險。

圖1 風險計算流程圖

電力企業信息安全的風險計算

結合電力企業實際情況，從風險管理的角度，運用科學的手段，對信息資產存在的脆弱性、面臨的威脅以及脆弱性被威脅利用會產生的負面影響和危害事件發生的可能性，進行科學評價的過程。力圖通過最優的風險管理策略，把信息系統上客觀存在的風險，逐步降低到一個可以接受的程度。由于電力企業目前受到的威脅涉及環境威脅、內部人員威脅、外部人員威脅以及環境威脅四個方面，脆弱性涵蓋管理脆弱性、運維脆弱性以及技術脆弱性三個環節。根據風險評估的關鍵要素：資產、威脅和脆弱性，風險計算流程如圖1所示：

采用Z=f（x，y）=x*y公式計算風險值，函數f可以采用矩陣法。矩陣法的原理是：x={x1，x2，…，xi，…，xm}，1≦i≦m，xi為正整數，

y={y1，y2，…，yi，…，yn}，1≦y≦n，yj為正整數，

表1 信息系統威脅等級示意圖

圖2 防范措施流程圖

以要素x和要素y的取值構建一個二維矩陣，矩陣行值為要素y的所有取值，矩陣列值為要素x的所有取值。矩陣內m×n個值即為要素z的取值，z={z11，z12，…，zij，…，zmn}，1≤i≤m，1≤j≤n，zij為正整數。

信息安全風險值=安全事件發生可能性*安全事件損失

其中，安全事件發生可能性=威脅發生頻率*脆弱性嚴

重程度；安全事件損失=資產價值*脆弱性嚴重程度；經過計算，將風險等級劃分如下：

通過防范措施實施后如圖2所示，信息系統威脅等級如圖1所示。

通過技術手段加管理手段等有效的防范措施，同時借助信息安全常態防護機制和不定期督查機制，使得信息安全風險得到大幅度的降低。

總結

隨著信息技術的廣泛應用和國際互聯網的不斷發展，信息安全問題也越來越復雜和多樣化，信息系統安全風險評估也日益得到人們的重視，在電力企業內部建立健全信息安全體系的同時，制定相應的安全管理措施，定期對信息系統進行風險評估以及審計，確保信息系統安全穩定運行，為電力企業創造更加美好的未來。

10.3969/j.issn.1001- 8972.2016.20.022