涉密信息系統信息安全風險評估

馮翀

摘 要

對于信息系統正常運行而言，信息安全風險評估是有效方式之一。本文在分析涉密信息系統風險評估基本內容的基礎上，對于具體的風險評估過程進行闡述，希望可以確保涉密信息系統的信息安全。

【關鍵詞】涉密信息系統 信息安全 風險評估

針對涉密信息系統來說，安全風險評估必須得到足夠的重視。利用風險評估，就可以分析其現狀，這樣就可以明確系統安全的基本需求；也可以確定主要面臨的安全風險，從而幫助相應的機構制定處置措施，指導安全技術體系以及管理體系建設，這樣才可以制定相對應的安全策略與解決方法，確保信息系統安全技術體系得以建立。

1 涉密信息系統風險評估

針對涉密信息系統開展風險評估工作時，其內容主要涉及三部分，即自我評估、檢查評估以及委托評估三個主要的方面。就一般性保密管理層來說，進行委托評估還無法滿足其最基本的要求。因此，在涉密信息系統風險的評估分析的過程中主要是按照國家標準，由能自主開展日常評估工作的涉密信息系統人員進行評估，但是信息系統本身的脆弱性、資產的鑒定以及對威脅的評估，都需要通過資產被威脅利用的實際受損度以及可能存在的安全事件來計算其風險等級。

2 涉密信息系統信息安全風險評估實踐

2.1 前期準備

針對涉密信息系統開展風險評估的前期準備工作能為評估的全過程提供安全性保障，具體包括風險評估目標以及范疇的制定，成立專業化的管理團隊，以及評估方式等。通過上述一系列的制定之后，還需要獲取最高級別人員的支持，最后簽訂相對應的保密協議。當目標階段以及評估范疇確定之后，相關的評估人員需要按照規范標準以及分級保護指南，同時和涉密信息系統的負責人進行彼此之間的溝通與協商，這樣才可以確定評估范圍。在風險范疇劃分之后，還需要針對評估系統對象的實際特點，將評估目標進一步落實。

2.2 實踐調研

在涉密信息系統信息安全風險評估的實踐調研環節，評估風險主要是從涉密信息系統里獲取主要信息、組織及其脆弱性、安全管理等狀況，為接下來開展分析工作、制定管理規劃等打下堅實的基礎。在該環節，最核心的工作室人員、資產以及安全威脅三個方面的調查，當然，也離不開安全技術和需求兩個方面的安全性分析。而通過搜集文檔、進行問卷調查、掃描并分析漏洞等手段就能識別關于涉密信息系統信息安全的關鍵數據，并確定風險評估的綜合化目標。在資產的識別過程中，考慮到資產的信息和價值化資源，再加上其本身的保護性質，所以，利用不同形式資產的識別也可以將資產進一步的細化，如有形資產、無形資產、軟硬件、文檔、代碼和形象服務等。當然，資產的識別，不但要對成本價格問題加以分析，還應對業務的重要性、安全性進行合理的考量，然后按照可用性、完整性以及機密性來對資產價值加以識別。在識別安全的具體環節之中，還需要考慮到不同等級的可用性、完整性以及機密性要求，這樣就可以通過計算加權賦值的方式，將最終的資產價值結果識別出來。

在威脅識別階段，首先就應該明顯潛在威脅出現的起因，然后對具體的破壞因素做好科學的識別與處理，其中主要包含了人為因素、威脅因素、蓄意或者是偶發事件、直接或者是間接攻擊信息等因素的識別。在搜集威脅方面存在的因素時，就可以利用現場的調查、問卷分析以及訪談訪問等諸多形式進行。另外，與系統服務功能相互結合也可以進一步明確可能存在的不良威脅。其脆弱性主要是薄弱的、對資產可能產生威脅的可不靠環節，所以，對于脆弱性的識別，也可以將其看成為弱點的識別。實際上，每一種資產，其本身都存在弱點，只要沒有針對性的威脅出現，其資產就不會受到威脅，但是如果擁有足夠強健的涉密信息系統，那么無論威脅多種，都不可能出現不安全的事件，也不會引發不必要的威脅。所以，只有資產存在的弱點，才有可能將資產危害事件引導出現。當然，資產弱點實際上是相當隱蔽的，其脆弱性只會出現在固定的環境。如果針對涉密信息系統的信息實施了不正確的、不可靠的安全措施，安全措施就無法發揮出應有的功效，這本身就會演變成弱點，因而識別脆弱性的方法務必要科學、合理，需要認真的核查每一項資產，這樣才能夠將脆弱性方面的因素找出來，同時也可以對其等級和嚴重性進行合理的評估。在具體的操作中，通過脆弱性數據的識別可以源自資產的所有者、涉密信息系統的專業軟件人員或業務專家等，然后利用人工的核查、問卷調查、滲透性的測試、工具檢測等方法就能夠有效識別脆弱性。

對于確認安全措施，需針對各類安全管理措施做好預防處理工作，以免發生重復實施的現象，從而及時剔除其中不足或者是不恰當的措施，然后利用更為高匹配度的措施來將其替代。安全措施涵蓋兩個部門，主要是保護和預防。保護要求的是通過安全事件幾率的降低，來確保信息的安全，不會受到任何不利因素的影響，比如說持續性的業務計劃等；而預防則是考慮到威脅與脆弱性等一系列的因素來降低發生安全事件的幾率，如入侵檢測。通過一定的安全措施，就可以控制好涉密信息系統本身的脆弱性，從而確認無需在每一項資產、組件的薄弱環節都實施安全措施。

2.3 風險的全面分析與處置

在分析涉密信息系統信息安全風險的環節，其中對發生安全事件的可能程度進行分析是最關鍵的，以及在發生安全事件之后計算其帶來的損失、具體的風險值。在計算風險值時，可選用相乘法或矩陣法；在處理風險時，要明確實際的安全策略，其中也包含了風險的規避、接受以及降低等多個方面。此外，按照涉密信息系統的特征來對風險處置的內容加以明確，并把它細分成兩個部分，即建議、實施。在實踐環節，對兩個方面進行綜合的考慮，或者是針對實際要求，對于某一層面的處理進行單獨的分析與實施。

3 結語

涉密信息系統的安全是涉密信息系統效能得以發揮的重要前提。風險評估本身屬于一種系統化、有效的手段，可以對信息系統中現有的分及格線進行有效的識別，從而制定合理的處置手段。

參考文獻

[1]陳頌，王光偉，劉欣宇，杜娟.信息系統安全風險評估研究[J].通信技術，2012（01）：128-130.

[2]朱信銘.信息安全風險評估風險分析方法淺談[J].信息安全與技術，2010（08）：87-89.

作者單位

河南思軟電子科技有限公司 河南省鄭州市 450000