前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇資產(chǎn)安全評估范文，相信會為您的寫作帶來幫助，發(fā)現(xiàn)更多的寫作思路和靈感。

資產(chǎn)安全評估范文第1篇

 

一、引言

 

信息時代為國家和個人提供了全新的發(fā)展機遇和生活空間，但也帶來了新的安全威脅。信息安全的威脅可能來自內部的破壞、外部的攻擊、內外勾結的破壞和信息系統(tǒng)自身的意外事故等，因此我們應按照風險管理的思想，對可能的威脅和需要保護的信息資源進行風險分析，以便采取安全措施，妥善應對可能發(fā)生的安全風險。信息安全風險評估是依據(jù)國家信息安全風險評估有關管理要求和技術標準，對信息系統(tǒng)及由其存儲、處理和傳輸?shù)男畔⒌臋C密性、完整性和可用性等安全屬性進行科學、公正的綜合評價的過程。根據(jù)ISO27001的管理思想，信息安全風險評估在信息安全管理的PDCA環(huán)中是一個很重要的過程，如何處理信息安全風險評估所產(chǎn)生的數(shù)據(jù)，是每一個信息安全管理者都非常迫切需要解決的一個問題。最好的解決方法是開發(fā)出一套實用性強、可操作性高的系統(tǒng)安全風險評估管理工具。

 

二、風險評估過程

 

信息安全風險評估系統(tǒng)的設計是針對組織開展信息安全風險評估的過程。這個過程包括對信息系統(tǒng)中的安全風險識別、信息收集、評估和報告等。風險評估的實施過程如下頁圖1。

 

1.評估前準備。在風險評估實施前，需要對以下工作進行確定：確定風險評估的目標、確定風險評估的范圍、組建風險評估團隊、進行系統(tǒng)調研、確定評估依據(jù)和方法、制定評估計劃和評估方案、獲得最高管理者對工作的支持。

 

2.資產(chǎn)識別。資產(chǎn)識別過程分為資產(chǎn)分類和資產(chǎn)評價兩個階段。資產(chǎn)分類是將單位的信息資產(chǎn)分為實物資產(chǎn)、軟件資產(chǎn)、數(shù)據(jù)資產(chǎn)、人員資產(chǎn)、服務資產(chǎn)和無形資產(chǎn)六類資產(chǎn)進行識別;資產(chǎn)評價是對資產(chǎn)的三個安全屬性保密性、可用性及完整性分別等級評價及賦值，經(jīng)綜合評定后，得出資產(chǎn)的價值。

 

3.威脅識別。威脅識別主要工作是評估者需要從每項識別出的資產(chǎn)出發(fā)，找到可能遭受的威脅。識別威脅之后，還需要確定威脅發(fā)生的可能性。

 

4.脆弱性識別。評估者需要從每項識別出的資產(chǎn)和對應的威脅出發(fā)，找到可能被利用的脆弱性。識別脆弱性之后，還需要確定弱點可被利用的嚴重性。

 

5.已有安全措施確認。在識別脆弱性的同時，評估人員將對已采取的安全措施的有效性進行確認，評估其是否真正地降低了系統(tǒng)的脆弱性，抵御了威脅。

 

6.風險分析。風險評估中完成資產(chǎn)賦值、威脅評估、脆弱性評估后，在考慮已有安全措施的情況下，利用恰當?shù)姆椒ㄅc工具確定威脅利用資產(chǎn)脆弱性發(fā)生安全事件的可能性，并結合資產(chǎn)的安全屬性受到破壞后的影響得出信息資產(chǎn)的風險。

 

三、系統(tǒng)設計

 

1.用角色設計。系統(tǒng)角色分為三種類型，各用戶在登錄后自動轉入各自的操作頁面。A.超級管理員：擁有系統(tǒng)所有權限;B.評估項目管理員：可以對所負責的評估項目進行管理，對評估人員進行分工和權限管理;C.評估人員：負責由項目管理員分配的測評工作，將評估數(shù)據(jù)導入系統(tǒng)。

 

2.系統(tǒng)模型。根據(jù)信息安全風險評估管理的業(yè)務需求，我們構建了以安全知識庫為支撐，以風險評估流程為系統(tǒng)主要業(yè)務流，以受測業(yè)務系統(tǒng)及其相關信息資產(chǎn)的風險評估要素為對象的信息安全風險評估綜合管理系統(tǒng)模型，系統(tǒng)模型如圖2所示。

 

3.系統(tǒng)功能設計。信息安全風險評估綜合管理系統(tǒng)的功能模塊包括：①風險評估項目管理：評估項目管理模塊包括評估項目的建立、項目列表、項目設置等功能。主要輸入項：項目名稱、評估時間、評估對象等;主要輸出項：項目計劃書。②信息安全需求調研管理：該模塊用于用戶填寫安全調研問卷，為安全評估提供數(shù)據(jù)支持。主要輸入項：用戶ID、調查答案;主要輸出項：問卷標題、調查題內容。③資產(chǎn)識別。系統(tǒng)提供的資產(chǎn)識別，包括：硬件、軟件、數(shù)據(jù)等，根據(jù)業(yè)務系統(tǒng)對組織戰(zhàn)略的影響程度，對相關資產(chǎn)的重要性進行評價;主要輸入項：評估對象(信息資產(chǎn))、賦值規(guī)則;主要輸出項：資產(chǎn)識別匯總表、資產(chǎn)識別報告。④威脅識別。威脅識別：系統(tǒng)提供多種網(wǎng)絡環(huán)境的威脅模板，支持和幫助用戶進行威脅識別和分析，并提供資產(chǎn)、脆弱性、威脅自動關聯(lián)功能：主要輸入項：評估對象、賦值規(guī)則;主要輸出項：威脅識別匯總表、威脅識別報告。⑤脆弱性識別。脆弱性識別：系統(tǒng)可提供多種系統(tǒng)的脆弱性識別功能，包括：主機、數(shù)據(jù)庫、網(wǎng)絡設備等對象的脆弱性識別。系統(tǒng)支持常用漏洞掃描軟件掃描結果的導入，目前支持的掃描系統(tǒng)有：Nessus、NMap等，主機系統(tǒng)支持：Windows、Linux、Unix等，數(shù)據(jù)庫支持：MSSQL、Oracle等：主要輸入項：評估對象、漏洞掃描結果、賦值規(guī)則;主要輸出項：漏洞掃描報告、脆弱性識別匯總表、脆弱性識別報告。⑥安全措施識別。安全措施識別：系統(tǒng)提供基于技術、管理等方面的安全措施檢查功能，幫助用戶了解目前的安全狀況，找到安全管理問題，確定安全措施的有效性：主要輸出項：安全措施識別匯總表、安全措施識別報告。⑦風險分析。系統(tǒng)通過資產(chǎn)評價、脆弱性評價、威脅評價、安全措施有效性評價、風險分析等工作，可自動生成安全風險評估分析報告。主要輸入項：評估對象、資產(chǎn)值、脆弱性值、威脅值、安全措施值、計算規(guī)則;主要輸出項：風險計算匯總表、風險分析報告。⑧評估結果管理。主要功能是對歷史記錄查詢與分析。匯總所有的安全評估結果進行綜合分析，并生成各階段風險評估工作報告，主要包括如下：《資產(chǎn)識別報告》、《漏洞掃描報告》、《威脅識別報告》、《脆弱性識別報告》、《控制措施識別報告》、《風險分析報告》。并可對當期風險評估結果和原始數(shù)據(jù)進行轉存或備份。在有需要時能調出評估歷史數(shù)據(jù)進行查詢及風險趨勢分析。⑨信息安全知識庫更新維護。信息安全知識庫的更新維護主要對象有：系統(tǒng)漏洞庫、安全威脅庫、安全脆弱點庫、控制措施庫。為避免造成數(shù)據(jù)的冗余，系統(tǒng)將在各評估項目中需要反復使用的數(shù)據(jù)歸入基礎數(shù)據(jù)庫進行管理，在進行評估活動時再從基礎庫提取有關數(shù)據(jù)，這樣也能減少重復的輸入工作。⑩數(shù)據(jù)接口。導入數(shù)據(jù)接口：資產(chǎn)庫、脆弱點庫、威脅庫、控制措施庫。支持以下常用的格式：如EXCEL文件等;常用的漏洞掃描工具：如綠盟、啟明星辰、NESSUS、NMAP等。

 

四、結束語

 

該系統(tǒng)設計是以信息安全風險評估工作流程為基礎，進行信息安全評估項目管理、風險要素數(shù)據(jù)收集與輔助風險分析的系統(tǒng)，在實際風險管理過程中，可引入了質量管理理念——PDCA循環(huán)，即通過監(jiān)控每一階段的信息系統(tǒng)風險情況，及時發(fā)現(xiàn)問題，不斷調險控制工作計劃，從而實現(xiàn)信息安全風險管理的工作目標。

資產(chǎn)安全評估范文第2篇

數(shù)字校園是以校園網(wǎng)為背景的集教學、管理和服務為一體的一種新型的數(shù)字化工作、學習和生活環(huán)境。一個典型的數(shù)字校園包括各種常用網(wǎng)絡服務、共享數(shù)據(jù)庫、身份認證平臺、各種業(yè)務管理系統(tǒng)和信息門戶網(wǎng)站等[1]。數(shù)字校園作為一個龐大復雜的信息系統(tǒng)，構建和維護一個良好的信息安全管理體系是一項非常重要的基礎管理工作。

信息安全風險評估是構建和維護信息安全管理體系的基礎和關鍵環(huán)節(jié)，它通過識別組織的重要信息資產(chǎn)、資產(chǎn)面臨的威脅以及資產(chǎn)自身的脆弱性，評估外部威脅利用資產(chǎn)的脆弱性導致安全事件發(fā)生的可能性，判斷安全事件發(fā)生后對組織造成的影響。對數(shù)字校園進行信息安全風險評估有助于及時發(fā)現(xiàn)和解決存在的信息安全問題，保證數(shù)字校園的業(yè)務連續(xù)性，并為構建一個良好的信息安全管理體系奠定堅實基礎。

二、評估標準

由于信息安全風險評估的基礎性作用，包括我國在內的信息化程度較高的國家以及相關國際組織都非常重視相關標準和方法的研究。目前比較成熟的標準和方法有ISO制定的《IT信息安全管理指南》（ISO/IEC13335）和《信息安全管理體系要求》（ISO/IEC27001：2005）、美國NIST制定的SP800系列標準、美國CMU軟件工程研究所下屬的CERT協(xié)調中心開發(fā)的OCTAVE2.0以及我國制定的《信息安全技術——信息安全風險評估規(guī)范》（GB/T20984-2007）。

ISO/IEC27001系列標準于2005年10月15日正式，作為一種全球性的信息安全管理國際標準適用于任何組織的信息安全管理活動，同時也為評估組織的信息安全管理水平提供依據(jù)。但是ISO27001系列標準沒有制定明確的信息安全風險評估流程，組織可以自行選擇適合自身特點的信息安全風險評估方法，如OCTAVE2.0等[2][3]。

為了指導我國信息安全風險評估工作的開展，我國于2007年11月正式頒布了《信息安全技術——信息安全風險評估規(guī)范》（GB/T20984-2007），這是我國自主研究和制定的信息安全風險評估標準，該標準與ISO27001系列標準思想一致，但對信息安全風險評估過程進行了細化，使得更加適合我國企業(yè)或者組織的信息安全風險評估工作開展。

三、評估流程

《信息安全技術——信息安全風險評估規(guī)范》（GB/T20984-2007）等標準為風險評估提供了方法論和流程，為風險評估各個階段的工作制定了規(guī)范，但標準沒有規(guī)定風險評估實施的具體模型和方法，由風險評估實施者根據(jù)業(yè)務特點和組織要求自行決定。本文根據(jù)數(shù)字校園的業(yè)務流程和所屬資產(chǎn)的特點，參考模糊數(shù)學、OCTAVE的構建威脅場景理論和通用弱點評價體系（CVSS）等風險評估技術，提出了數(shù)字校園信息安全風險評估的具體流程和整體框架，如圖1所示。

據(jù)圖1可知，數(shù)字校園的信息安全風險評估首先在充分識別數(shù)字校園的信息資產(chǎn)、資產(chǎn)面臨的威脅以及可被威脅利用的資產(chǎn)脆弱性的基礎上，確定資產(chǎn)價值、威脅等級和脆弱性等級，然后根據(jù)風險矩陣計算得出信息資產(chǎn)的風險值分布表。數(shù)字校園信息安全風險評估的詳細流程如下：

（1）資產(chǎn)識別：根據(jù)數(shù)字校園的業(yè)務流程，從硬件、軟件、電子數(shù)據(jù)、紙質文檔、人員和服務等方面對數(shù)字校園的信息資產(chǎn)進行識別，得到資產(chǎn)清單。資產(chǎn)的賦值要考慮資產(chǎn)本身的實際價格，更重要的是要考慮資產(chǎn)對組織的信息安全重要程度，即信息資產(chǎn)的機密性、完整性和可用性在受到損害后對組織造成的損害程度，預計損害程度越高則賦值越高。

在確定了資產(chǎn)的機密性、完整性和可用性的賦值等級后，需要經(jīng)過綜合評定得出資產(chǎn)等級。綜合評定方法一般有兩種：一種方法是選取資產(chǎn)機密性、完整性和可用性中最為重要的一個屬性確定資產(chǎn)等級；還有一種方法是對資產(chǎn)機密性、完整性和可用性三個賦值進行加權計算，通常采用的加權計算公式有相加法和相乘法，由組織根據(jù)業(yè)務特點確定。

設資產(chǎn)的機密性賦值為，完整性賦值為，可用性賦值為，資產(chǎn)等級值為，則

相加法的計算公式為v=f（x，y，z）=ax+by+cz，其中a+b+c=1（1）

（2）威脅識別：威脅分為實際威脅和潛在威脅，實際威脅識別需要通過訪談和專業(yè)檢測工具，并通過分析入侵檢測系統(tǒng)日志、服務器日志、防火墻日志等記錄對實際發(fā)生的威脅進行識別和分類。潛在威脅識別需要查詢資料分析當前信息安全總體的威脅分析和統(tǒng)計數(shù)據(jù)，并結合組織業(yè)務特點對潛在可能發(fā)生的威脅進行充分識別和分類。

（3）脆弱性識別：脆弱性是資產(chǎn)的固有屬性，既有信息資產(chǎn)本身存在的漏洞也有因為不合理或未正確實施的管理制度造成的隱患。軟件系統(tǒng)的漏洞可以通過專業(yè)的漏洞檢測軟件進行檢測，然后通過安裝補丁程序消除。而管理制度造成的隱患需要進行充分識別，包括對已有的控制措施的有效性也一并識別。

（4）威脅—脆弱性關聯(lián)：為了避免單獨對威脅和脆弱性進行賦值從而造成風險分析計算結果出現(xiàn)偏差，需要按照OCTAVE中的構建威脅場景方法將“資產(chǎn)-威脅-脆弱性-已有安全控制措施”進行關聯(lián)。

（5）風險值計算：在資產(chǎn)、威脅、脆弱性賦值基礎上，利用風險計算方法計算每個“資產(chǎn)-威脅-脆弱性”相關聯(lián)的風險值，并最終得到整個數(shù)字校園的風險值分布表，并依據(jù)風險接受準則，確認可接受和不可接受的風險。

四、評估實例

本文以筆者所在高職院校的數(shù)字校園作為研究對象實例，利用前面所述的信息安全風險評估流程對該實例對象進行信息安全風險評估。

1.資產(chǎn)識別與評估

數(shù)字校園的資產(chǎn)識別與評估包括資產(chǎn)識別和資產(chǎn)價值計算。

（1）資產(chǎn)識別

信息安全風險評估專家、數(shù)字校園管理技術人員和數(shù)字校園使用部門代表共同組成數(shù)字校園信息資產(chǎn)識別小組，小組通過現(xiàn)場清查、問卷調查、查看記錄和人員訪談等方式，按照數(shù)字校園各個業(yè)務系統(tǒng)的工作流程，詳細地列出數(shù)字校園的信息資產(chǎn)清單。這些信息資產(chǎn)從類別上可以分為硬件（如服務器、存儲設備、網(wǎng)絡設備等）、軟件（OA系統(tǒng)、郵件系統(tǒng)、網(wǎng)站等）、電子數(shù)據(jù)（各種數(shù)據(jù)庫、各種電子文檔等）、紙質文檔（系統(tǒng)使用手冊、工作日志等）、人員和服務等。為了對資產(chǎn)進行標準化管理，識別小組對各個資產(chǎn)進行了編碼，便于標準化和精確化管理。

（2）資產(chǎn)價值計算

獲得數(shù)字校園的信息資產(chǎn)詳細列表后，資產(chǎn)識別小 組召開座談會確定每個信息資產(chǎn)的價值，即對資產(chǎn)的機密性、完整性、可用性進行賦值，三性的賦值為1～5的整數(shù)，1代表對組織造成的影響或損失最低，5代表對組織造成的影響或損失最高。確定資產(chǎn)的信息安全屬性賦值后，結合該數(shù)字校園的特點，采用相加法確定資產(chǎn)的價值。該數(shù)字校園的軟件類資產(chǎn)計算樣例表如下表1所示。

由于資產(chǎn)價值的計算結果為1～5之間的實數(shù)，為了與資產(chǎn)的機密性、完整性、可用性賦值相對應，需要對資產(chǎn)價值的計算結果歸整，歸整后的數(shù)字校園軟件類資產(chǎn)的資產(chǎn)等級結果如表1所示。

因為數(shù)字校園的所有信息資產(chǎn)總數(shù)龐大，其中有些很重要，有些不重要，重要的需要特別關注重點防范，不重要的可以不用考慮或者減少投入。在識別出所有資產(chǎn)后，還需要列出所有的關鍵信息資產(chǎn)，在以后的日常管理中重點關注。不同的組織對關鍵資產(chǎn)的判斷標準不完全相同，本文將資產(chǎn)等級值在4以上（包括4）的資產(chǎn)列為關鍵信息資產(chǎn)，并在資產(chǎn)識別清單中予以注明，如表1所示。

2.威脅和脆弱性識別與評估

數(shù)字校園與其他計算機網(wǎng)絡信息系統(tǒng)一樣面臨著各種各樣的威脅，同時數(shù)字校園作為一種在校園內部運行的網(wǎng)絡信息系統(tǒng)面臨的威脅的種類和分布有其自身特點。任何威脅總是通過某種具體的途徑或方式作用到特定的信息資產(chǎn)之上，通過破壞資產(chǎn)的一個或多個安全屬性而產(chǎn)生信息安全風險，即任何威脅都是與資產(chǎn)相關聯(lián)的，一項資產(chǎn)可能面臨多個威脅，一個威脅可能作用于多項資產(chǎn)。威脅的識別方法是在資產(chǎn)識別階段形成的資產(chǎn)清單基礎上，以關鍵資產(chǎn)為重點，從系統(tǒng)威脅、自然威脅、環(huán)境威脅和人員威脅四個方面對資產(chǎn)面臨的威脅進行識別。在分析數(shù)字校園實際發(fā)生的網(wǎng)絡威脅時，需要檢查入侵檢測系統(tǒng)、服務器日志文件等記錄的數(shù)據(jù)。

脆弱性是指資產(chǎn)中可能被威脅所利用的弱點。數(shù)字校園的脆弱性是數(shù)字校園在開發(fā)、部署、運維等過程中由于技術不成熟或管理不完善產(chǎn)生的一種缺陷。它如果被相關威脅利用就有可能對數(shù)字校園的資產(chǎn)造成損害，進而對數(shù)字校園造成損失。數(shù)字校園的脆弱性可以分為技術脆弱性和管理脆弱性兩種。技術脆弱性主要包括操作系統(tǒng)漏洞、網(wǎng)絡協(xié)議漏洞、應用系統(tǒng)漏洞、數(shù)據(jù)庫漏洞、中間件漏洞以及網(wǎng)絡中心機房物理環(huán)境設計缺陷等等。管理脆弱性主要由技術管理與組織管理措施不完善或執(zhí)行不到位造成。

技術脆弱性的識別主要采用問卷調查、工具檢測、人工檢查、文檔查閱、滲透性測試等方法。因為大部分技術脆弱性與軟件漏洞有關，因此使用漏洞檢測工具檢測脆弱性，可以獲得較高的檢測效率。本文采用啟明星辰公司研發(fā)的天鏡脆弱性掃描與管理系統(tǒng)對數(shù)字校園進行技術脆弱性識別和評估。

管理脆弱性識別的主要內容就是對數(shù)字校園現(xiàn)有的安全控制措施進行識別與確認，有效的安全控制措施可以降低安全事件發(fā)生的可能性，無效的安全控制措施會提高安全事件發(fā)生的可能性。安全控制措施大致分為技術控制措施、管理和操作控制措施兩大類。技術控制措施隨著數(shù)字校園的建立、實施、運行和維護等過程同步建設與完善，具有較強的針對性，識別比較容易。管理和操作控制措施識別需要對照ISO27001標準的《信息安全實用規(guī)則指南》或NIST的《最佳安全實踐相關手冊》制訂的表格進行，避免遺漏。

3.風險計算

完成數(shù)字校園的資產(chǎn)識別、威脅識別、脆弱性識別和已有控制措施識別任務后，進入風險計算階段。

對于像數(shù)字校園這類復雜的網(wǎng)絡信息系統(tǒng)，需要采用OCTAVE標準提供的“構建威脅場景”方法進行風險分析。“構建威脅場景”方法基于“具體問題、具體分析”的原則，理清“資產(chǎn)-威脅-脆弱性-已有控制措施”的內在聯(lián)系，避免了孤立地評價威脅導致風險計算結果出現(xiàn)偏差的局面。表2反映了數(shù)字校園圖書館管理系統(tǒng)的資產(chǎn)、威脅、脆弱性、已有控制措施的映射示例。

將“資產(chǎn)—威脅—脆弱性—已有控制措施”進行映射后，就可以按照GB/T20984-2007《信息安全風險評估規(guī)范》要求進行風險計算。為了便于計算，需要將前面各個階段獲得資產(chǎn)、威脅、脆弱性賦值與表3所示的“資產(chǎn)—威脅—脆弱性—已有控制措施”映射表合并，因為在對脆弱性賦值的時候已經(jīng)考慮了已有控制措施的有效性，因此可以將已有控制措施去掉。

本文采用的風險計算方法為《信息安全風險評估規(guī)范》中推薦的矩陣法，風險值計算公式為：R=R（A，T，V）=R（L（T，V）F（Ia，Va））。其中，R表示安全風險計算函數(shù)；A表示資產(chǎn)；T表示威脅；V表示脆弱性；Ia表示安全事件所作用的資產(chǎn)重要程度；Va表示脆弱性嚴重程度；L表示威脅利用資產(chǎn)的脆弱性導致安全事件發(fā)生的可能性；F表示安全事件發(fā)生后產(chǎn)生的損失。

風險計算的具體步驟是：

（a）根據(jù)威脅賦值和脆弱性賦值，查詢《安全事件可能性矩陣》計算安全事件可能性值；

（b）對照《安全事件可能性等級劃分矩陣》將安全事件可能性值轉換為安全事件可能性等級值；

（c）根據(jù)資產(chǎn)賦值和脆弱性賦值，查詢《安全事件損失矩陣》計算安全事件損失值；

（d）對照《安全事件損失等級劃分矩陣》將安全事件損失值轉換為安全事件損失等級值；

（e）根據(jù)安全事件可能性等級值和安全事件損失等級值，查詢《風險矩陣》計算安全事件風險值；

（f）對照《風險等級劃分矩陣》將安全事件風險值轉換為安全事件風險等級值。

所有等級值均采用五級制，1級最低，5級最高。

五、結束語

數(shù)字校園是現(xiàn)代高校信息化的重要基礎設施，數(shù)字校園的安全穩(wěn)定直接關系到校園的安全穩(wěn)定，而風險評估是保證數(shù)字校園安全穩(wěn)定的一項基礎性工作。本文的信息安全風險評估方法依據(jù)國家標準，采用定性和定量相結合的方式，保證了信息安全風險評估的有效性和科學性，使得風險評估結果能對后續(xù)建立數(shù)字校園的信息安全管理體系起到指導作用。

參考文獻：

[1]宋玉賢.高職院校數(shù)字化校園建設的策略研究[J].中國教育信息化，2010（4）.

資產(chǎn)安全評估范文第3篇

論文關鍵詞：信息安全　風險評估　風險分析

論文摘要：本文設計的信息安全風險評估輔助系統(tǒng)是一個多專家評估系統(tǒng)，主要模塊分為風險評估管理端、系統(tǒng)評估端、信息庫管理端和知識庫管理端，嚴格按照《指南》的風險評估流程進行評估，使評估結果更全面更客觀。

一、前言

電力系統(tǒng)越來越依賴電力信息網(wǎng)絡來保障其安全、可靠、高效的運行，該數(shù)據(jù)信息網(wǎng)絡出現(xiàn)的任何信息安全方面的問題都可能波及電力系統(tǒng)的安全、穩(wěn)定、經(jīng)濟運行，因此電力信息網(wǎng)絡的安全保障工作刻不容緩[1，2]。風險評估具體的評估方法從早期簡單的純技術操作，逐漸過渡到目前普遍采用BS7799、OCTAVE、ISO13335、NIST SP800-30等相關標準的方法，充分體現(xiàn)以資產(chǎn)為出發(fā)點，以威脅為觸發(fā)，以技術、管理、運行等方面存在的脆弱性為誘因的信息安全風險評估綜合方法及操作模型[3]。

二、信息安全風險評估

在我國，風險評估工作已經(jīng)完成了調查研究階段、標準草案編制階段和全國試點工作階段，國信辦制定的標準草案《信息安全風險評估指南》[4]（簡稱《指南》）得到了較好地實踐。本文設計的工具是基于《指南》的，涉及內容包括：

（一）風險要素關系。圍繞著資產(chǎn)、威脅、脆弱性和安全措施這些基本要素展開，在對基本要素的評估過程中，需要充分考慮業(yè)務戰(zhàn)略、資產(chǎn)價值、安全需求、安全事件、殘余風險等與基本要素相關的各類屬性。

（二）風險分析原理。資產(chǎn)的屬性是資產(chǎn)價值；威脅的屬性可以是威脅主體、影響對象、出現(xiàn)頻率、動機等；脆弱性的屬性是資產(chǎn)弱點的嚴重程度。

（三）風險評估流程。包括風險評估準備、資產(chǎn)識別、威脅識別、脆弱性識別、已有安全措施確認、風險分析、風險消減[5]。

三、電力信息網(wǎng)風險評估輔助系統(tǒng)設計與實現(xiàn)

本文設計的信息安全風險評估輔助系統(tǒng)是基于《指南》的標準，設計階段參考了Nipc-RiskAssessTool-V2.0，Microsoft Security Risk Self-Assessment Tool等風險評估工具。系統(tǒng)采用C/S結構，是一個多專家共同評估的風險評估工具。分為知識庫管理端、信息庫管理端、系統(tǒng)評估端、評估管理端。其中前兩個工具用于更新知識庫和信息庫。后兩個工具是風險評估的主體。下面對系統(tǒng)各部分的功能模塊進行詳細介紹：

（一）評估管理端。評估管理端控制風險評估的進度，綜合管理系統(tǒng)評估端的評估結果。具體表現(xiàn)在：開啟評估任務；分配風險評估專家；對準備階段、資產(chǎn)識別階段、威脅識別階段、脆弱性識別階段、已有控制措施識別階段、風險分析階段、選擇控制措施階段這七個階段多個專家的評估進行確認，對多個專家的評估數(shù)據(jù)進行綜合，得到綜合評估結果。

（二）系統(tǒng)評估端。系統(tǒng)評估端由多個專家操作，同時開展評估。系統(tǒng)評估端要經(jīng)歷如下階段：a.準備階段：評估系統(tǒng)中CIA的相對重要性；b.資產(chǎn)識別階段；c.威脅識別階段；d.脆弱性識別階段；e.已有控制措施識別階段；f.風險分析階段；g.控制措施選擇階段。在完成了風險評估的所有階段之后，和評估管理端一樣，可以瀏覽、導出、打印評估的結果—風險評估報表系列。

（三）信息庫管理端。信息庫管理端由資產(chǎn)管理，威脅管理，脆弱點管理，控制措施管理四部分組成。具體功能是：對資產(chǎn)大類、小類進行管理；對威脅列表進行管理；對脆弱點大類、列表進行管理；對控制措施列表進行管理。

（四）知識庫管理端。知識庫的管理分為系統(tǒng)CIA問卷管理，脆弱點問卷管理，威脅問卷管理，資產(chǎn)屬性問卷管理，控制措施問卷管理，控制措施損益問卷管理六部分。

四、總結

信息安全風險評估是一個新興的領域，本文在介紹了信息安全風險評估研究意義的基礎之上，詳細闡述了信息安全風險評估輔助工具的結構設計和系統(tǒng)主要部分的功能描述。測試結果表明系統(tǒng)能對已有的控制措施進行識別，分析出已有控制措施的實施效果，為風險處理計劃提供依據(jù)。

參考文獻

[1]Huisheng Gao，Yiqun Sun，Research on Indices System of Security Risk Evaluation for Electric Power.Optical Fiber Communication Network，IEEE，2007.

[2]Masami Hasegawa，Toshiki Ogawa，Security Measures for the Manufacture and Control System，SICE Annual Conference 2007.

[3]左曉棟等.對信息安全風險評估中幾個重要問題的認識[J].計算機安全，2004，7:64-66

資產(chǎn)安全評估范文第4篇

風險評估技術常用的工具一般有滲透測試工具和脆弱性掃描工具。滲透測試工具一般常使用人工結合滲透測試工具進行，常用的Web滲透測試工具有IBMAppScan、AWVS、HPWEBinspect，通常需對漏洞進行人工驗證，以確定漏洞準確性。脆弱性掃描工具主要用于評估網(wǎng)絡或主機存在的系統(tǒng)漏洞，常見工具有Nessus，能對主機、網(wǎng)絡設備、安全設備進行掃描并形成脆弱性報告。此外，在風險評估過程中，除了利用上述工具來發(fā)現(xiàn)系統(tǒng)風險外，還需要利用系統(tǒng)現(xiàn)有數(shù)據(jù)來進行現(xiàn)狀分析和趨勢分析，這其中常用的手段有：入侵檢測日志分析、主機日志分析、應用系統(tǒng)日志分析、主機/網(wǎng)絡檢查表等。

風險評估流程

1總體流程

根據(jù)風險評估中包含的各個要求，要分別進行實施，整體的風險評估流程如圖3所示。

2風險評估準備階段

通過做好準備工作，能夠大大提升風險評估的效果，降低項目實施風險，該階段是風險評估整個過程的重要組成部分。風險評估準備階段一般應包含如下工作內容：明確風險評估范圍、確定風險評估目標、組建項目團隊、設定系統(tǒng)性風險評估方法、整體風險評估方案獲得高層批準。

3資產(chǎn)識別階段

資產(chǎn)識別主要針對現(xiàn)有的信息資產(chǎn)進行分類識別和描述，在識別的基礎上從信息安全的角度，機密性、完整性和可用性對其進行賦值，確定信息資產(chǎn)的價值，作為影響分析的基礎，典型資產(chǎn)類別可以分為：網(wǎng)絡設備、服務器、終端、安全設備、物理環(huán)境、業(yè)務系統(tǒng)、數(shù)據(jù)、文檔、組織和人員等。

4脆弱性識別

脆弱性評估常被稱作弱點評估，是風險評估的重要工作，通過脆弱性評估能夠發(fā)現(xiàn)信息資產(chǎn)存在的弱點。弱點是資產(chǎn)本身存在的，它可以被威脅利用、引起資產(chǎn)或商業(yè)目標的損害。弱點包括物理環(huán)境、組織、過程、人員、管理、配置、硬件、軟件和信息等各種資產(chǎn)的脆弱性。脆弱性分類可分為技術脆弱性和管理脆弱性，其中技術脆弱性又可以細分為：物理安全、網(wǎng)絡安全、系統(tǒng)安全、應用安全、數(shù)據(jù)安全5個方面。

5威脅識別

威脅可以通過威脅主體、資源、動機、途徑等多種屬性來描述。造成威脅的因素可分為人為因素和環(huán)境因素。根據(jù)威脅的動機，人為因素又可分為惡意和非惡意兩種。

環(huán)境因素包括自然界不可抗的因素和其他物理因素。威脅作用形式可以是對信息系統(tǒng)直接或間接的攻擊，在機密性、完整性或可用性等方面造成損害，也可能是偶發(fā)的或蓄意的事件。對威脅識別的簡單方法就是對威脅進行分類，針對不同的威脅，可以根據(jù)其表現(xiàn)形式將威脅識別分為以下幾類：軟硬件故障、物理環(huán)境影響、無作為或操作失誤、管理不到位、惡意代碼、越權或濫用、網(wǎng)絡攻擊、物理攻擊、泄密、篡改、抵賴等。威脅分析方法首先需要考慮威脅的來源，然后分析存在哪些威脅種類，最后做出威脅來源和威脅種類的交叉表進行威脅賦值。

6風險分析

風險分析中要涉及資產(chǎn)、威脅、脆弱性3個基本要素，每個要素有各自的屬性。資產(chǎn)的屬性是資產(chǎn)價值；威脅的屬性可以是威脅主體、影響對象、出現(xiàn)頻率、動機等；脆弱性的屬性是資產(chǎn)弱點的嚴重程度。

風險評估的主要內容

信息安全風險評估包含的內容涉及信息安全管理和技術，同時包括網(wǎng)絡、系統(tǒng)、應用和數(shù)據(jù)等不同的技術層面，但根據(jù)保險行業(yè)的特定需求，總體定位在網(wǎng)絡設備和網(wǎng)絡架構方面的技術評估。主要內容包括：

1)信息資產(chǎn)的調查，主要針對網(wǎng)絡拓撲，網(wǎng)絡設備和服務器設備等。

2)網(wǎng)絡架構弱點評估，針對目前的網(wǎng)絡拓撲圖進行弱點分析。

3)網(wǎng)絡設備和服務器系統(tǒng)弱點評估，針對設備目前的系統(tǒng)配置進行分析，確認其是否達到應有的安全效果，結合滲透測試的手段。

4)現(xiàn)有安全控制措施，通過分析目前的安全控制措施，綜合總結網(wǎng)絡架構和設備的弱點。

5)整體網(wǎng)絡威脅和風險分析，綜合分析網(wǎng)絡中面臨的威脅和可能的風險，形成總體安全現(xiàn)狀。

6)建議安全措施和規(guī)劃。根據(jù)風險評估的成果和建設目標，形成建議的安全措施和時間進度，建立1-2年的信息安全規(guī)劃。

項目實施成果

根據(jù)以上工作內容，項目的最終成果包括：

1)信息資產(chǎn)清單和分析結果。清晰明確系統(tǒng)和網(wǎng)絡信息資產(chǎn)，明確其機密性、完整性和可用性的安全目標，同時確定資產(chǎn)的重要類別；必要時可以建立內部的信息資產(chǎn)庫。

2)系統(tǒng)和網(wǎng)絡脆弱性報告。明確服務器系統(tǒng)、網(wǎng)絡設備、網(wǎng)絡結構和安全設備可能存在的弱點。

3)系統(tǒng)和網(wǎng)絡威脅報告。根據(jù)已有的弱點分析目前可能面臨的威脅和威脅發(fā)生后對業(yè)務、系統(tǒng)和網(wǎng)絡造成的影響。

4)安全現(xiàn)狀報告?；陲L險的安全現(xiàn)狀總體分析報告，明確目前的網(wǎng)絡安全風險。

5)建議安全措施和規(guī)劃。從技術和管理的角度提出后期進行系統(tǒng)建設的安全控制措施。

結語

資產(chǎn)安全評估范文第5篇

關鍵詞 企業(yè)網(wǎng) 信息系統(tǒng) 風險評估

中圖分類號：TP393.08 文獻標識碼：A

一、引言

信息技術在商業(yè)上的廣泛應用，使得企業(yè)對信息系統(tǒng)的依賴性增大。信息系統(tǒng)風險評估是辨別各種系統(tǒng)的脆弱性及其對系統(tǒng)構成威脅，識別系統(tǒng)中存在的風險，并將這些風險進行定性，定量的分析，最后制定控制和變更措施的過程 。通過安全評估能夠明確企業(yè)信息系統(tǒng)的安全威脅，了解企業(yè)信息系統(tǒng)的脆弱性，并分析可能由此造成的損失或影響，為滿足企業(yè)信息安全需求和降低風險提供必要的依據(jù)。

二、安全風險評估的關鍵要素

信息系統(tǒng)安全風險評估的三個關鍵要素是信息資產(chǎn)、威脅、弱點（即脆弱性）。每個要素都有各自的屬性，信息資產(chǎn)的屬性是資產(chǎn)價值。威脅的屬性是威脅發(fā)生的可能性，弱點的屬性是弱點被威脅利用后對資產(chǎn)帶來的影響的嚴重程度。

對企業(yè)信息系統(tǒng)的本身條件和歷史數(shù)據(jù)進行整理分析，得到威脅，脆弱點分析如下：

實物資產(chǎn)的脆弱性：對電腦等辦公物品的保護措施不力，辦公場所防范災害措施不力，電纜松動，通訊線路保護缺失。

信息資產(chǎn)的脆弱性：相關技術文檔不全，信息傳輸保護缺失，撥號線路網(wǎng)絡訪問受限，單點故障，網(wǎng)絡管理不力，不受控制的拷貝。

軟件資產(chǎn)的脆弱性：未使用正版穩(wěn)定軟件。

人員的脆弱性：對外來人員監(jiān)管不力，安全技術培訓不力，授權使用控制不力，內部員工的道德培訓不力。

三、風險評估過程

風險評估是信息系統(tǒng)安全保障的核心和關鍵。風險評估過程分為風險識別、風險分析和風險管理。

風險識別是分析系統(tǒng)，找出系統(tǒng)的薄弱點和在運行過程中可能存在的風險。為了保證風險分析的的及時性和有效性，管理層面應該有具備豐富風險知識的部門經(jīng)理、IT人員、關鍵用戶、審計人員和專家顧問，他們能夠幫助快速地指出關鍵風險。

風險分析是對已識別的風險進行分析，確定各個風險可能造成的影響和損失，并按照其造成的影響和損失大小進行排序，得到風險的級別。風險分析有助于企業(yè)就安全項目和構成該項目的安全組成部分編制正確的預算，有助于將安全項目的目標與企業(yè)的業(yè)務目標和要求結合起來。

風險管理是由以上步驟得到的結果，制定相應的保護措施。通過實施在評估階段創(chuàng)建的各種計劃，并用這些計劃來創(chuàng)建新的安全策略，在完成補救措施策略的開發(fā)和相關系統(tǒng)管理的更改，并且確定其有效性的策略和過程已經(jīng)寫好之后，即進行安全風險補救措施測試。在測試過程中，將按照安全風險的控制效果來評估對策的有效性。

四、評估系統(tǒng)的設計

（一）評估系統(tǒng)的體系結構和運行環(huán)境。

該評估系統(tǒng)主要采用B/S/S三層體系結構，即包括客戶端、應用服務器、數(shù)據(jù)庫服務器三部分。其結構示意圖如圖1所示：其中，客戶端通過Web瀏覽器訪問應用服務器，在Web頁面的引導下指導用戶與評估人員進行風險識別、數(shù)據(jù)收集，并顯示最后的評估結果。同時豐富的在線幫助信息又為用戶及評估人員參與風險評估以及管理員進行系統(tǒng)維護提供了很好的在線支持，系統(tǒng)管理員也可以利用任意一臺客戶端登錄管理帳號對系統(tǒng)數(shù)據(jù)庫進行權限范圍內的維護。管理者需了解部門、員工及資產(chǎn)總體情況，明確風險種類及大小，并以知識庫的形式，為如何處置風險提供了一些解決方案。面向評估人員的功能模塊，展示了本部門目前面臨的威脅和薄弱點情況，幫助評估人員明確風險。相比而言，該模塊更主要的功能，是協(xié)助上報本部門的人員及資產(chǎn)信息，以滿足評估需要。

圖1 評估系統(tǒng)體系結構

應用服務器處理收集到的風險信息，并采取多種手段，利用綜合評估算法 ，完成信息系統(tǒng)安全風險評估，并實時將執(zhí)行結果返回給客戶端Web瀏覽器。應用服務器配置了系統(tǒng)運行所需要的Web服務器程序以及Web站點頁面文件，我們選擇動態(tài)網(wǎng)頁編程技術對系統(tǒng)的Web站點頁面文件進行編碼和開發(fā)。數(shù)據(jù)庫服務器上配置了系統(tǒng)運行所需要的SQL Server數(shù)據(jù)庫管理程序以及系統(tǒng)數(shù)據(jù)庫資源，通過Web服務器與客戶端實現(xiàn)實時數(shù)據(jù)交互。

（二）工作流程設計

首先，對信息系統(tǒng)進行風險數(shù)據(jù)采集，用戶填寫由評估單位制定的評估申請，將信息系統(tǒng)按具體情況進行分類，同時利用漏洞掃描器、正反向工具從技術角度了解系統(tǒng)的安全配置和運行的應用服務，使得評估人員從整體上了解該信息系統(tǒng)及其評估重點，并針對系統(tǒng)業(yè)務特點進行裁剪；接下來，在前面所做的工作的基礎上，圍繞著系統(tǒng)所承載的業(yè)務對數(shù)據(jù)進行資產(chǎn)、威脅、脆弱性分析；最后，依據(jù)發(fā)生的可能性及對系統(tǒng)業(yè)務造成的影響對識別的風險進行分類，利用定性和定量的評估算法以及消除主觀性的各種算法，對風險識別中獲得的風險信息進行風險綜合評估，并在整體和局部、管理和技術風險評估的基礎上，生成評估報告。

（三）數(shù)據(jù)庫設計

該系統(tǒng)的數(shù)據(jù)庫由企業(yè)信息庫、知識庫、評估標準庫和評估方法庫組成，采用SQL Server數(shù)據(jù)庫管理系統(tǒng)作為該數(shù)據(jù)庫的開發(fā)和運行平臺，其中：企業(yè)信息庫存儲的是有關企業(yè)信息系統(tǒng)的基本信息；評估方法庫存儲了針對所設計的評估結構所采用的評估方法集合；知識庫存儲的是以往已評估系統(tǒng)的完整評估資料，可以為當前的風險評估提供可借鑒的經(jīng)驗；在數(shù)據(jù)庫設計中評估標準庫是幾個庫中最重要也是工作量最大的部分，該庫涵蓋了各評估標準的評估要素，即遵從標準，又針對各行業(yè)的業(yè)務特點，提供了靈活的數(shù)據(jù)結構。

（四）網(wǎng)站內容風險算法。

對風險進行計算，需要確定影響的風險要素、要素之間的組合方式、以及具體的計算方法。將風險要素按照組合方式使用具體的計算方法進行計算，得到風險值。目前通用的風險評估中風險值計算涉及的風險要素一般為資產(chǎn)、威脅、和脆弱性。由威脅和脆弱性確定安全事件發(fā)生的可能性，由資產(chǎn)和脆弱性確定安全事件的損失；由安全事件發(fā)生的可能性和安全事件的損失確定風險值。目前，常用的計算方法是矩陣法和相乘法。

五、總結

網(wǎng)絡技術的發(fā)展在加速信息交流與共享的同時，也加大了網(wǎng)絡信息安全事故發(fā)生的可能性。對企業(yè)信息系統(tǒng)進行風險評估，可以了解其安全風險，評估這些風險可能帶來的安全威脅與影響程度，為安全策略的確定、信息系統(tǒng)的建立及安全運行提供依據(jù)，給用戶提供信息技術產(chǎn)品和系統(tǒng)可靠性的信心，增強產(chǎn)品、企業(yè)的競爭力。

（作者：武漢職業(yè)技術學院計算機系教師，碩士，研究方向：計算機網(wǎng)絡及其應用、信息安全）

注釋：