信息安全风险评估范文

信息安全风险评估范文第1篇

关键词：信息安全；风险评估；现状问题；对策

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2014）32-7601-02

信息产业的迅猛发展，使得信息化技术成为社会发展的必要组成部分，信息化技术为国民经济的发展注入了新鲜的活力，更加速了国名经济的发展和人民生活水平的提高。当然，人们在享受信息技术带来的巨大便利时，也面临着各种信息安全问题带来的威胁。这种信息安全事件带来的影响是恶劣的，它将造成巨大的财产损失和信息系统的损害。因此，信息系统的安全问题不得不引起社会和民众的关注，完善信息系统的安全性，加强信息安全的风险评估成为亟待解决的问题。

1 信息安全风险评估概述及必要性

1.1 信息安全风险评估概述

首先，信息安全风险，主要是指人为或自然的利用信息系统脆弱性操作威胁信息系统，以导致信息系统发生安全事件或造成一定消极影响的可能。而信息安全风险评估简单的理解，就是以减少信息安全风险为目的通过科学处理信息系统的方法对信息系统的保密性、完整性进行评估。信息安全风险评估工作是一项保证信息系统相对安全的重要工作，必须科学的对信息系统的生命周期进行评估，最大限度的保障网络和信息的安全。

1.2 信息安全风险评估的必要性

信息安全评估是为了更好的保障信息系统的安全，以确保对信息化技术的正常使用。信息安全风险评估是信息系统安全管理的必要和关键的环节，因为信息系统的安全管理必须建立在科学的风险评估基础上，科学的风险评估有利于正确判断信息系统的安全风险问题，提供风险问题的及时解决方案。

2 信息安全风险评估过程及方法

信息安全风险的评估过程极其复杂和规范。为了加强我国信息安全风险评估工作的开展，这里有必要对风险评估的过程和方法给予提示和借鉴。风险评估的过程要求完整而准确。具体有如下步骤：

1）风险评估的准备工作，即要确定信息系统资产，包含范围、价值、评估团队、评估依据和方法等方面。要明确好这些资产信息，做好识别。2）对资产的脆弱性及威胁的识别工作，这是由于信息系统存在脆弱性的特点，所以要周密分析信息系统的脆弱点，统计分析信息系统发生威胁事件的可能性以及可能造成的损失。3）安全风险分析，这是较为重要的环节。主要是采用方法与工具确定威胁利用信息系统脆弱性导致安全事件发生的可能性，便于决策的提出。4）制定安全控制措施，主要有针对性的制定出控制威胁发生的措施，并确认措施的有效性，最大限度的降低安全风险，确保信息系统的安全。5）措施实施的阶段，主要是在有效监督下实施安全措施，并及时发现问题和改正。

对于信息安全风险评估的方法，国内外进行了很多不同的方法尝试。方法一般都遵循风险评估的流程，只是在手段和计算方法上有差异，但是分别都有一定的评估效果。主要采用：定性评估、定量评估、以及定性与定量相结合的评估，最后的方法是一个互补的评估方式，能达到评估的最佳效果。

3 我国信息安全风险评估发展现状

较美国等西方国家关于信息安全系统风险评估的发展历史和技术研究，我国起步比较晚且落后于发达国家。但近年来，随着社会各界对信息系统安全的重视，我国开始在信息系统安全管理工作上加大力度，并把信息系统的安全评估工作放在重要的位置，不断创新研究，取得了高效成果。但是，就我国目前的信息安全风险评估工作看来，还存在诸多问题。

1）我国部分企业、组织和部门对于信息系统安全风险评估没有引起绝对的重视，没有大力普及风险评估工作。由于领导者及员工的信息安全防范意识不强以及自身素质水平的影响，导致对风险评估的流程及必要性都不了解，就不太重视对企业信息系统的安全风险评估工作。

2）我国缺乏信息系统安全风险评估的规范化标准。我国目前的信息系统安全风险评估工作的开展，大部分依靠参考国际标准提供服务，只注重效仿，而缺乏对我国信息系统安全风险的实际状况的研究，没有针对性，得不到应有的效果。

3）我国缺乏行之有效的理论和技术，也缺乏实践的经验。由于科技水平的相对落后，对于信息系统的安全风险评估缺乏合适的理论、方法、技术等。我国仅依靠深化研究IT技术共性风险，而没有针对性的行业信息个性风险评估，这是没有联系实际的举措，是不能真正将信息系统的安全风险评估落实到位的。

4）在对信息系统安全风险的额评估中角色的责任不明确。这应该归咎于领导的和员工的不符责任及素质水平的落后。对风险评估理论缺乏，那么就会导致参与评估工作领导和员工角色不明确，领导对评估工作的指导角色以及责任不明确，员工则对评估工作流程方法不理解，都大大降低了风险评估的工作效率。

以上种种关于信息系统安全风险评估的现状问题反映出我国在对信息系统安全风险评估的工作还缺乏很多理论和实践的指导。我国的信息系统安全风险评估工作的开展力度还远不够，那些在信息系统安全风险评估工作的成果还远远达不到评估工作的标准。

4 强化信息安全风险评估的对策

4.1 加强对信息安全风险评估的重视

信息化技术对于每一个企事业单位都是至关重要的，企业在对工作任务的执行和管理中都必须用到信息化技术，因此，保证信息系统的安全性对于企业的发展至关重要。企业、组织和部门要加强对信息安全风险评估的重视，强化风险意识，将信息安全风险评估作为一项长期的工作来开展。

4.2 完善我国信息系统安全风险评估的规范化标准

上文中指出我国目前的信息系统安全风险评估工作大部分依靠国际标准在进行，国内没有一个统一的评估标准。因此，我国应该根据企业各种标准的侧重点，自主创新研究，创造出自己的标准技术体系，而不再一味的去效仿他国。只有这样，我国的信息系统安全风险评估才能得到迅猛的提高与发展，才能保证国家信息化的安全。

4.3 加强对评估专业人才的培养

信息化技术是一项非常专业的技术，只有拥有专业知识和技能的高科技人才才能控制和把握。信息安全风险的评估工作上则更需要拥有专业技能和业务水平的人才，他们必须对信息化技术相当了解和精通，对风险评估的方法、手段、模型、流程必须熟练。因此，企事业单位要加强对专业人才的培养，定期进行业务技能培训，鼓励人才的自主学习，不断提高自身的能力，为确保企业信息安全评估工作的高效发展及信息安全贡献力量。

4.4 加强科技创新，增强评估的可操作性

我国的科技水平较西方国家有很大的差距，因此在对信息安全风险的评估工作中，也存在理论和技术上的差距。我国应该不断的加强科研力度，在理论和技术上加以完善，在评估工具上改进，以确保评估工作的高效开展。信息系统风险评估是一个过程体系，必须抓好每一环节的技术性，在依据实际状况下进行风险评估。

4.5 明确评估工作的职责划分

信息安全风险评估工作是复杂的，每一个流程都需要投入一定的人力、物力和财力。针对人力这一方面，企业单位应该明确划分评估工作人员的职责范围，管理者要发挥好领导监督作用，有效指导评估工作的开展，员工则有效发挥自身的作用和能力。进而在每一环节工作人员共同协作下，完成评估工作的各项流程，并达到预期的成效。

5 结束语

随着我国信息技术水平不断的进步和提高，信息安全工作成为一项必须引起高度重视的工作之一。在当前我国信息安全风险评估还不够全面和科学的情况下，我国应该加强科技创新，依靠科学有效的管理以及综合规范的保障手段，在借鉴西方国家先进理论和技术的同时结合我国企业单位信息安全风险评估的实际现状，有针对性的实施有效方法，确保信息系统的安全性，进而保证我国信息化的安全发展。

参考文献：

[1] 倪健民.信息化发展与我国信息安全[J].清华大学学报（哲学社会科学版），2000（15）.

[2] 周佑源，张晓梅.信息安全管理在等级保护实施过程中的要点分析[J].信息安全与通信保密，2009（9）.

[3] 张耀疆.信息安全风险管理（三）――风险评估（下）[J].信息网路安全，2004（10）.

[4] 须诚，张玉清，雷震甲.企业信息安全风险的自评估及其流程设计[J].中国金融电脑，2004（25）.

信息安全风险评估范文第2篇

【关键词】信息系统 安全风险评估 定性 定量

随着社会经济快速发展，信息传递无论是速度还是容量均不断创造新的高度。信息传递方式与人们的生活、工作、学习息息相关。信息产业发展蒸蒸日上，建立在信息技术基础上的信息系统存在一定风险，易受到黑客攻击，且信息系统充斥各种病毒，系统运行过程存在一定风险。基于此必须做好信息系统安全建设，进行安全风险评估，奠定安全基础。

1 风险评估概述

互联网快速发展极大提高人们的生活、工作、学习效率，与此同时发来一系列安全隐患。人们通过互联网可实现信息有效获取，信息传递过程中仍旧可能出现信息被第三方截取情况，信息保密性、完整性、可靠性等均收到影响。网络环境虽然方便信息处理方式，但也带来一系列安全隐患。

从信息安全角度而言，风险评估就是对信息系统自身存在的的种种弱点进行分析，判断可能存在的威胁、可能造成的影响等。综合风险可能性，便于更好展开风险管理。风险评估是研究信息安全的重要途径之一，属于组织信息安全管理体系策划过程。

风险评估主要内容包括：识别信息系统可能面对的各种风险、风险出现的概率、风险可能导致的后果、风险消除策略、风险控制策略等。信息系统构成极为复杂，因此信息系统安全风险评估是一项综合性工作，其组织架构较为繁杂，主要包括技术体系、组织结构、法律体系、标准体系、业务体系等。

20世纪八十年代，以美国、加拿大为代表的发达国家已建立起风险评估体系。我国风险评估体系建立较晚，至今只有十几年时间。目前我国安全风险评估已得到相关部门高度重视，为其快速发展奠定坚实基础。

网络环境虽然带来无穷便利，却也带来各种安全隐患。互联网环境下信息系统易被黑客攻击。一切社会因素均与信息系统联系在一起，人们生活在同一信息系统下总是希望自身隐私得到保护，因此在建设信息系统是必须做好信息安全风险评估，规避信息系统存在的各种风险，提高信息系统安全性，让人们生活在安全信息环境中。

2 信息安全风险评估方法

网络的出现对人们的生活和思维方式带来极大变革，信息交流更加方便，资源共享程度无限扩大，但是网络是一个较为开放的系统，对进入网络系统的人并未有一定约束，因此必然导致安全隐患的出现。随着信息系统建设不断深入，信息系统必将对社会经济、政治、文化、教育等造成巨大影响。基于此需要提升信息系统安全风险评估合理性，降低安全隐患，让人们在安全的信息环境下生活和工作。

2.1 定性评估方法

定性评估是信息安全风险评估使用最频繁的方法，此法基于评估者通过特有评估方法，总结经验、历史等无法量化 因素对系统风险进行综合评估，从而得出评估结果。该中方法更注重安全风险可能导致的后果，忽略安全时间可能发生的概率。定性评估中有很多因素无法量化处理，因此其评估结果本身就存在一定不确定性，此种评估方法适用于各项数据收集不充分情况。

定性评估虽然在概率上无法保障，但可挖掘出一些较为深刻的思想，其结论主观性较强，可预判断一些主观性结论。基于此需要评估人员具较高职业素养，不受限与数据及经验的束缚。典型定性评估方法有逻辑评估法、历史比较法、德尔菲法。

德尔菲法是定性评估中较为常见评估方法之一，经过多轮征询，将专家的意见进行归结，总结专家预测趋势，从而做出评估，预测未来市场发展趋势，得出预测结论。从本质上来说，德尔菲法是一种匿名预测函询法，其流程为：征求专家匿名意见――对该项数据进行归纳整理――反馈意见给专家――收集专家意见――…――得出一致意见。德尔菲法是一种循环往复的预测方法可逐渐消除不确定因素，促进预测符合实际。

2.2 定量评估方法

定量评估与定性评估是相互对立的，此种方法需要建立在一切因素均标准化基础上。定量评估首先需要收集相关数据，且需保证数据准确性，之后利用数学方法建立模型，验证各种过程从而得出结论。定量评估需要准备充足资料，是一种利用公式进行结果推到的方法。从本质上来说定量评估客服定性评估存在的不足，更具备客观性。定量评估可将复杂评估过程量化，但该种方法需要建立在准确数据基础上。定量评估方法主观性不足，其结论不够深刻具体。定量评估方法中具有代表性的方法为故障树评估法。

故障树评估法采用逻辑思维进行风险评估，其特点是直观明了，思路清晰。是一种演绎逻辑推理方法，其推理过程由果及因，即在推理中由结果推到原因，主要运用于风险预测阶段，得出风险发生具体概率，并以此为基础得出风险控制方法。

2.3 定性评估与定量评结合综合评价方法

由前文可知定性评估和定量评估各自存在优缺点。定性评估主观性较强，客观性不足。定量评估主观性不足，客观性较强。因此将二者结合起来便可起到互补不足的效果。定性评估需要耗费少量人力、物力、财力成本，建立在评估者资质基础上。定量评估运用数学方法展开工作，预测结果较为准确，逻辑性较强，但成本较高。从本质上来看，定性为定量的依据，定量是对定性的具体化，因此只有将二者结合起来才能实现最佳评估效果。

3 信息安全风险评估过程

信息安全风险评估建立在一定评估标准基础上，评估标准是评估活动开展的基础和前提。信息安全风险评估过程需要评估技术、工具、方法等全面支持，在此基础上展开全面风险评估，结合实际情况选择合适评估方法。正确的评估方法可提高信息安全风险评估结果准确性，这就要求评估过程中需建立正确评估方法，克服评估过程存在的不足，从而取得最佳结果。

4 结束语

当今信息系统不断发展完善，为保证信息系统运行环境的安全性必须对信息系统进行安全风险评估。信息安全风险评估具有多种方法，实际评估中应该结合实际情况选择合适方法，提高信息安全风险评估结果准确性，为建立安全信息环境奠定坚实基础。

参考文献

[1]应力.信息安全风险评估标准与方法综述[J].上海标准化，2014（05）：34-39.

[2]张玉清.信息安全风险评估综述[J].通信学报，2015（02）：45-53.

[3]温大顺.信息安全风险评估综述[J].网络安全技术与应用，2013（01）：16-25.

作者单位

信息安全风险评估范文第3篇

一、如何看待安全预算

安全预算是各类企事业单位为保护信息资产，保证自身可持续发展而投入的资金，是一种预防行为。安全预算多少合适，是不是投入得太多了？虽然安全问题越来越受到重视，但是网络安全事件仍然是呈现递增趋势。从安全预算角度分析原因：一是预算不足；二是预算不到位。

在国外，安全投入占企业基础建设投入的5%～20%，这人比例在中国的企事业中却很少超过2%。从风险的角度看，就是要平衡成本与风险之间的关系，用一百万美金保护三十万的资产，显然是不可接受的，但是如果资产的价值超过了一千万美金，产生的效益就显而易见，目前用一个量化的方法来计算信息化建设对于战略发展的贡献确实比较难。一年下来，并没有发生重大的信息安全事件，年初的安全预算可能就会被质疑投入太多了；如果发生了不可接受的安全事件，那就成了预算部门的责任。安全预算到底够不够？我们可以通过宏观的情况来分析一下风险与成本的关系，每年全球因安全问题导致的网络损失已经可以用万亿美元的数量级来计算，我国也有数百亿美元的经济损失，然而安全方面的投入却不超过几十亿美元。由此可以看出，我国整体信息化建设，安全预算不足。

一个单位在安全方面投入了很多，但是仍然发生“不可接受的”信息安全事故。信息安全理论中有名的木桶理论，很好的解释了这种现象。如很多企业每年在安全产品上投入大量资金，但是却不关注内部人员的考察、安全产品有效性的审核等安全要素，缺乏系统的、科学的管理体系支持，都是导致这种结果产生的原因。

二、 科学制定安全预算

信息安全的预算如何制定？其实要解决的就是预算多少和怎么用的问题。说安全预算难做，一是因为信息安全涉及到很多方面的问题，例如：人员安全、物力安全、访问控制、符合法律法规等等。二是很难依据某种科学的量化的输入得出具体的预算费用。安全预算是否合理，应该关注以下几个方面：（1）是否“平衡”了成本与风险的关系；（2）是否真正用于降低或者消除信息安全风险，而不是引入了新的不可接受风险；（3）被关注的风险是否具有较高的优先等级。

信息安全风险评估恰恰解决了以上问题，通过制定科学的风险评估方法、程序，对那些起到关键作用的信息和信息资产进行评估，得出面临的风险，然后针对不同风险制定相应的处理计划，提出所需要的资源，从而利用风险评估辅助安全预算的制定。

三、 风险评估过程

目前国际和国内都有一些比较成熟的风险评估标准及指南，通常包括下述几个过程：（1） 确定评估的范围、目的、评估组、评估方法等；（2）识别评估范围内的信息资产；（3）识别对于这些资产的威胁；（4）识别可能利用这些威胁的薄弱点；（5）识别信息资产的损失给单位带来的影响；（6）识别威胁时间发生的可能性；（7）根据“影响”及“可能性”计算风险；（8）确定风险等级及可接受风险的等级。

风险评估过程中，应该考虑那些应该输出的必要信息、表示方式等问题。例如，风险评估的方法，如果采用简单的评估方法，其输出的结果往往不够细致，进而不能很好的辅助制定预算的决策过程。从整个评估的过程看，应该考虑以下几方面的问题：（1）科学选择风险评估人员。风险评估过程中，通常需要来自业务部门和技术部门及管理层的人员共同组成风险评估小组。考虑到风险评估的结果需要为制定安全预算提供信息输入，那么在整个风险评估的过程中，都应该考虑到对制定预算起到关键作用的管理层人员的加入。（2）准确采取风险评估方法。风险评估通常采用定性和定量的分析方法。需要更多地考虑如何量化一些关键指标，作为风险评估过程中各个因素评价的判定准则。这样的准则更有利于关注风险与控制成本之间的关系，也更利于各部门横向沟通，及与管理层的纵向沟通。（3）查找导致风险的威胁及薄弱点。在进行风险评估时，应该系统地考虑来自各个方面的威胁。目前，仍然有很多人对于风险评估的理解还停留在“技术关注”的层面，这样的风险评估显然是不够的。（4）选择适当的控制措施。针对风险评估所产生的不可接受风险，应该采取一定的控制措施对风险进行处理。风险的处理方式通常包括：降低风险、转移风险、避免风险、接受风险。同一风险的处理方式可能不同，同样的处理方式所采取的控制措施也可能不同。所以就应该考虑来自管理和技术两方面的控制措施。而这样的控制措施并非一定要将风险完全规避，而是要降低到一个可以接受的水平。另外控制措施的选择也要考虑到成本的问题，任何单位不需要部署所有的安全产品，也没有必要追求风险最小化。

信息安全风险评估范文第4篇

关键词:信息安全;信息资产;风险评估;层次分析法

中图分类号:TP309文献标识码:A 文章编号:1009-3044(2010)19-5129-03

The Research for Information Security Risk Assessment Based on AHP Method

ZENG Li-mei, JIANG Wen-hao

(School of Computer Science and Technology , Chongqing University of Posts and Telecommunications, Chongqing 400065, China)

Abstract: The risk assessment of information security evolves four fundamental elements included information capital, the fragility of information capital, the encountering threats and the possible risk in information capital. The key problem for risk assessment relies on the weight among risk factors. This issue takes an enterprise as an example, introduced a method called Analytic Hierarchy Process (AHP) to evaluate the risk of systems. The results show that this method can be applied well to information security risk assessment.

Key words: information security; information capital; risk assessment; Analytic Hierarchy Process (AHP)

计算机网络技术在当今社会迅猛发展并且得到广泛应用,使得各行各业对信息系统的依赖日益加深,信息技术几乎渗透到了社会生活的方方面面。信息系统及其所承载信息的安全问题日益突出,为了在安全风险的预防、减少、转移、补偿和分散等之间做出决策,需要对网络系统进行信息安全风险评估。

信息安全风险评估,是指依据国家有关信息安全技术标准,对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程[1]。风险评估是提高系统安全性的关键环节,通过风险评估,了解系统的安全状况,将信息系统的风险控制在可接受的范围内。

1信息系统安全风险评估要素

1.1 风险评估的各要素

信息系统安全风险评估要素及其各要素间的关系如图l所示。

图1中,整个模型的核心是风险,资产、脆弱性和威胁是风险评估的基本要素。风险评估的工作围绕其基本要素展开 。

1.2 风险评估各要素之间的关系

风险评估基本要素之间存在以下关系:

资产是信息系统中需要保护的对象,资产完成业务战略。单位的业务战略越重要,对资产的依赖度越高,资产的价值就越大,资产的价值越大风险则越大。

风险是由威胁引起的,威胁越大风险就越大,并很有可能演变成安全事件。

脆弱性是资产中的弱点。威胁利用脆弱性,脆弱性越大风险就越大。

安全需求由资产的重要性和对风险的意识导出。安全措施可以抗击威胁,降低风险,减弱安全事件的不良影响。

风险不可能也没有必要降为零,在实施了安全措施后还会有残留下来的风险,称为残余风险。残余风险可以接受,但应受到密切监视,因为它可能会在将来诱发新的安全事件[2]。

2 风险评估方法

目前国内外存在很多风险评估的方法,还没有统一的信息安全风险分析的方法。在风险评估过程中根据系统的实际情况,选择合适的风险评估方法。风险评估的方法概括起来可分为三大类:定性分析方法、定量分析方法、定性和定量相结合的分析方法。[3]

2.1定性分析方法

定性分析方法是一种典型的模糊分析方法,可以快捷的对资源、威胁、脆弱性进行系统评估。典型的定性分析方法有逻辑分析法、因素分析法、德尔斐法、历史比较法[4] 。

定性评估方法的优点是全面、深入,缺点是主观性太强,对评估者要求高。

2.2 定量分析方法

定量分析方法是在定性分析的逻辑基础上,通过对风险评估各要素的分析,为信息系统提供系统的分析手段。典型的定量分析方法有决策树法、回归模型、因子分析法。

定量分析方法的优点是直观、明显、客观、对比性强,缺点是简单化、模糊化、会造成误解和曲解。

2.3 定性和定量结合的综合评估方法

定量分析是定性分析的基础和前提,定性分析应该建立在定量分析的基础上才能揭示客观事物的内在规律。不能将定性分析方法与定量分析方割裂,而是将这两种方法融合起来,发挥各自的优势,采用综合分析评估方法。主要的综合分析方法有模糊综合评价方法、层次分析法、概率风险评估等。[5]

3 AHP方法

3.1 层次分析法简介

层次分析法(AHP)是美国运筹学家萨蒂(T.L.Saaty)于20世纪70年代初提出的一种定性与定量分析相结合的多准则决策分析方法,该方法简便、灵活又实用。

层次分析法的基本思想是在决策目标的要求下,将决策对象相对于决策标准的优劣状况进行两两比较,最终获得各个对象的总体优劣状况,从而为决策者提供定量形式的决策依据 [6] 。

3.2 系统分解,建立层次结构模型

层次模型的构造是运用分解法的思想,进行对象的系统分解。它的基本层次包括目标层、准则层、方案层三类。目的是建立系统的评估指标体系。层次结构如图2所示。

3.3 构造判断矩阵

判断矩阵的作用是同层次的两两元素之间的相对重要性进行比较。层次分析法采用1～9标度方法,对不同情况的评比给出数量标度,如表1所示。[7]

构造判断矩阵,判断矩阵A=(aij)n×n有如下性质:①aij>0;②当i≠j时,aji=1/aij;③当i=j时,aij=1。aij为i与j两因素相对权值的比值。

3.4 层次排序

步骤一:将A的每一列向量归一化。

步骤二:对按列归一化的判断矩阵,再按行求和。

步骤三:将向量归一化。

3.5 一致性检验

步骤一:计算判断矩阵的最大特征根。

式中(AW)i表示AW的第i个元素。

步骤二:计算一致性指标。

式中,λmax 表示比较判断矩阵的最大特征根,n表示比较判断矩阵阶数。

步骤三:计算一致性比率。

当 CR

平均随机一致性标度如表2所示。

4.评估方法实际应用

4.1 建立信息安全风险评估模型

为了突出风险评估的重点,对信息系统风险的评价指标进行适当的简化,建立某企业信息安全风险评估层次结构模型,如图3所示。

4.2 风险评估结果

根据图3各评估因素及其相互关系,建立两两比较判断矩阵,如表3、表4、表5、表6所示,用AHP方法求解一致性比率CR,判断矩阵是否具有满意一致性。

表3G-C的判断矩阵

表4C1-P的判断矩阵 表5C2-P的判断矩阵 表6C3-P的判断矩阵

以上结果CR均小于0.1,表明比较判断矩阵都满足一致性检验标准。由以上结果求的最终的总层次排序结果如表7所示。

5 结束语

在信息系统风险评估中,风险评估方法一直都是研究的关键点。本文采用层次分析法对风险评估的指标进行了分析,通过分析研究可得,层次分析法在风险评估和等级划分的实际应用中是一种行之有效、可操作性强的方法,可以很好的应用于信息安全风险评估。

参考文献:

[1] GB/T 20984-2007,信息安全技术信息安全风险评估规[S].中华人民共和国国家标准,2007.

[2] 向宏,傅鹏,詹榜华.信息安全测评与风险评估[M].北京:电子工业出版社,2009:319.

[3] 王伟,李春平,李建彬.信息系统风险评估方法的研究[J].计算机工程与设计,2007,28(14):3473-3474.

[4] 范红,冯登国,吴亚非.信息安全风险评估方法与应用[M].北京:清华大学出版社,2006:49-50.

[5] 吴亚非,李友新,禄凯.信息安全风险评估[M].北京:清华大学出版社,2007:101-109.

[6] 梁梁,王建平.专家判断矩阵的一致性调整 [J].微电子学与计算机,1994,2:40-41.

信息安全风险评估范文第5篇

关键词：信息安全；风险评估；脆弱性；威胁

一、前言

随着信息技术的飞速发展，信息系统依赖程度日益增强，采用风险管理的理念去识别安全风险，解决信息安全问题得到了广泛的认识和应用。信息系统主要分析信息化业务和信息系统所面临的人为和自然的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，以防范和化解风险。

二、网络信息安全的内容和主要因素分析

“网络信息的安全”从狭义的字面上来讲就是网络上各种信息的安全，而从广义的角度考虑，还包括整个网络系统的硬件、软件、数据以及数据处理、存储、传输等使用过程的安全。网络信息安全具有如下5个特征：

1、保密性：即信息不泄露给非授权的个人或实体。

2、完整性：即信息未经授权不能被修改、破坏。

3、可用性：即能保证合法的用户正常访问相关的信息。

4、可控性：即信息的内容及传播过程能够被有效地合法控制。

5、可审查性：即信息的使用过程都有相关的记录可供事后查询核对。

网络信息安全的研究内容非常广泛，根据不同的分类方法可以有多种不同的分类。研究内容的广泛性决定了实现网络信息安全问题的复杂性。而通过有效的网络信息安全风险因素分析，就能够为此复杂问题的解决找到一个考虑问题的立足点，能够将复杂的问题量化，同时，也为能通过其他方法如人工智能网络方法解决问题提供依据和基础，网络信息安全的风险因素主要有以下6大类：

1、自然界因素，如地震、火灾、风灾、水灾、雷电等；

2、社会因素，主要是人类社会的各种活动，如暴力、战争、盗窃等；

3、网络硬件的因素，如机房包括交换机、路由器、服务器等受电力、温度、湿度、灰尘、电磁干扰等影响；

4、软件的因素，包括机房设备的管理软件、机房服务器与用户计算机的操作系统、各种服务器的数据库配置的合理性以及其他各种应用软件如杀毒软件、防火墙、工具软件等；

5、人为的因素，主要包括网络信息使用者和参与者的各种行为带来的影响因素，如操作失误、数据泄露、恶意代码、拒绝服务、骗取口令、木马攻击等；

6、其他因素，包括政府职能部门的监管因素、有关部门对相关法律法规立法因素、教育部门对相关知识的培训因素、宣传部门对相关安全内容的宣传因素等。这些因素对于网络信息安全均会产生直接或者间接的影响。

三、目前网络信息安全风险评估工作中急需解决的问题

信息系统涉及社会经济方方面面，在政务和商务领域发挥了重要作用，信息安全问题不单是一个局部性和技术性问题，而是一个跨领域、跨行业、跨部门的综合性安全问题。据统计，某省会城市各大机关、企事业单位中，有10%的单位出现过信息系统不稳定运行情况；有30%的单位出现过来自网络、非法入侵等方面的攻击；出现过信息安全问题的单位比例高达86%！缺少信息安全建设专项资金，信息安全专业人才缺乏，应急响应体系和信息安全测评机构尚未组建，存在着“重建设、轻管理，重应用、轻安全”的现象，已成为亟待解决的问题。

各部门对信息系统风险评估的重视程度与其信息化水平呈现正比，即信息化水平越高，对风险评估越重视。然而，由于地区差异和行业发展不平衡，各部门重视风险评估的一个重要原因是“安全事件驱动”，即“不出事不重视”，真正做到“未雨绸缪”的少之又少。目前我国信息安全体系还未健全和完善，真正意义上的信息系统风险评估尚待成熟。有的部门对信息系统风险评估还停留在传达一下文件、出具一个报告、安排一场测试，由于评估单位在评估资质、评估标准、评估方法等方面还不够规范和统一，甚至出现对同一个信息系统，不同评估单位得出不同评估结论的案例。

四、信息系统风险评估解决措施

1、确诊风险，对症下药

信息系统风险是客观存在的，也是可以被感知和认识从而进行科学管理的。信息系统面临的风险是什么、有多大，应该采取什么样的措施去减少、化解和规避风险？就像人的躯体有健康和疾病，设备状况有正常和故障，粮食质量有营养和变质，如何确认信息系统的状态和发现信息系统存在的风险和面临的威胁，就需要进行风险评估。

2、夯实安全根基，巩固信息大厦

信息系统建设之初就存在安全问题，好比高楼大厦建在流沙之上，地基不固，楼建的越高倒塌的风险就越大。风险评估是信息系统这座高楼大厦的安全根基，它可以帮助信息系统管理者了解潜在威胁，合理利用现有资源开展规划建设，让信息系统安全“赢在起跑线上”。风险评估还可以为信息系统建设者节省信息系统建设总体投资，达到“以最小成本获得最大安全保障”的效果。

3、寻求适度安全和建设成本的最佳平衡点

安全是相对的，成本是有限的。在市场经济高度发达的今天，信息系统建设要达到预期经济效益和社会效益，就不能脱离实际地追求“零风险”和绝对安全。风险评估为管理者算了一笔经济账，让我们认清信息系统面临的威胁和风险，在此基础上决定哪些风险必须规避，哪些风险可以容忍，以便在潜在风险损失与建设管理成本之间寻求一个最佳平衡点，力求达到预期效益的最大化。

4、既要借鉴先进经验，又要重视预警防范

没有网络安全就没有国家安全，没有信息化就没有现代化。建设网络强国，要有自己的技术，有过硬的技术。风险评估是信息化发达国家的重要经验。目前我们的信息化在某些关键技术、关键设备上还受制于人。“他山之石”可为我所用，亦须知其锋芒与瑕疵，加强预警防范与借鉴先进技术同样重要。

五、结束语

综上所述，本文主要对信息安全风险评估进行了分析和探究，在今天高速的信息化环境中，信息的安全性越发显示出其重要性，风险评估可以明确信息系统的安全状况和主要安全风险基础，通过风险评估及早发现安全隐患并采取相应的加固方案。所以要加强信息安全风险评估工作。

参考文献：

[1]中国国家标准化管理委员会，信息安全技术一信息安全风险评估规范，2007年

[2]付沙.加强信息安全风险评估工作的研究[J].微型电脑应用，2010.

信息安全风险评估范文第6篇

关键词 信息安全风险评估；关键技术；研究

中图分类号 TP3 文献标识码 A 文章编号 1674-6708（2017）181-0025-02

信息安全风险评估就是建设更加完善的信息安全系统的保障，因此本文分析信息安全风险评估关键技术具有很强烈的现实意义。

1 信息安全风险评估概念及流程

1.1 风险评估概念

信息安全风险评估主要指的是对网络环境和信息系统中所面临的威胁以及信息系统资产和系统的脆弱性采取针对性的安全控制措施，对风险的判断需要从信息系统的管理和技术两个层面入手。

1.2 风险评估流程

风险评估需要经v一个完整的过程：1）准备阶段，此阶段需要确定风险评估的范围、目标以及方法等；2）实施阶段，分别对资产、威胁和脆弱性等展开一系列的评估；3）分析阶段，包含量化分析和对风险的计算。在整个过程中可以看出风险评估的实施阶段和对风险的分析阶段所起的作用比较重要，其中包含了几项比较关键的技术。

2 信息安全风险评估的关键技术

风险评估和控制软件主要包含6个方面的主要内容，而安全风险评估流程则是分为4个主要的模块，漏洞管理、风险分析和评估、威胁分析、漏洞管理和检测等。在信息安全风险评估的过程中包含以下几方面的关键技术。

2.1 资产管理技术分析

资产评估主要是对具有价值的资源和信息开展的评估，这些资产包含有形的文档、硬件等也包含悟性的形象和服务等。风险评估中的第一项任务就是进行资产评估。评估过程中应该确保资产的完整性和保密性，兼顾威胁。具体评估方法为：1）对资产进行分类，资产往往来源于不同的网络和业务管理系统。所以需要对资产按照形态和具体的用途进行相应的分类；2）对资产进行赋值，对所有的资产进行分类之后，需要为每一项资产进行赋值，将资产的权重分为5个不同的级别，从1到5分别代表不同的资产等级。资产评估并不是需要根据账面的价格进行衡量而是以相对价值作为衡量的标准，需要考虑到资产的成本价值，更应该明确资产评估对组织业务发展的重要性。在实际的资产评估过程中，商业利益、信誉影响、系统安全、系统破坏等都会对资产赋值产生影响。

2.2 威胁分析技术分析

威胁是客观存在的，可能会对组织或者资产构成潜在的破坏，它可以通过途径、动机、资源和主体等多种途径来实现，威胁可以分为环境因素和人为因素。环境因素分为不可抗因素和物理因素，人为因素可以分为非恶意和恶意因素。威胁评估步骤如下：1）威胁识别过程，需要根据资产所处的实际环境，按照自身的实际经验评估资产可能会面对的威胁，威胁的类型十分多样化，包含篡改、泄密、物理攻击、网络攻击、恶意代码、管理问题等。2）威胁评估，在威胁识别完成之后就需要对威胁发生的可能性进行评估。威胁评估句式需要根据威胁的种类和来源形成一个类别，在列表中对威胁发生的可能性进行定义，现将威胁的等级分为五级，威胁等级越高，发生的可能性越大。表1为威胁赋值表格。

2.3 脆弱性识别技术分析

脆弱性识别包含管理和技术两个层面，涉及到各个层面中的安全问题，而漏洞扫描则是对主机和网络设备等开展扫描检查。针对需要保护的资产进行脆弱性识别，找出所有威胁可以利用的脆弱性，再根据脆弱性的程度，及可能会被威胁利用的机会展开相应的评估。对于漏洞扫描大都需要依赖扫描软件，当前市场上也出现了不少强大的扫描工具，可以扫描出绝大多数当前已经公开的绝大多数系统漏洞。可以使用Nessus客户端对系统的漏洞情况进行扫描，此种扫描工具包含了比较强大的安全漏洞数据库，可以对系统漏洞进行高效、可靠安全的检测，在结束扫描之后，Nessus将会对收集到的信息和数据进行分析，输出信息。输出的信息包含存在的漏洞情况，漏洞的详细信息和处理漏洞的建立等。

2.4 风险分析和评估技术分析

信息安全风险评估的过程中除了进行资产评估、危险评估和脆弱性识别之后需要对风险进行相应的计算。采用科学可行的工具和方法评估威胁发生的可能性，并根据资产的重要性评估安全事件发生之后所产生的影响，即安全风险。风险值的计算需要考虑到资产因素、脆弱性因素和威胁因素等，在进行了定量和定性分析之后再计算最终的风险值。

风险值的计算公式为R=F（A.T.V）=F=（Ia，G（T，Va）），公式中风险值为R，安全风险计算函数为F，资产为A，脆弱性为V，威胁为T，资产的重要程度为Ia，资产的脆弱性程度为Va，脆弱性被威胁利用导致安全事故发生的可能性为L。将公式中的各项指标进行模型化转换，可以得到图1。

2.4.1 评估要素量化方法

本文论述两种量化评估要素的方法：1）权重法，根据评估要素中重要程度的不同设置不同的权限值，在经过加权治疗后得出最终的量化值。2）最高法，评估要素的量化值就是评估要素的最高等级值，公式为S=Max（Sj）

2.4.2 计算风险值的方法

根据计算风险值的模型，采用矩阵算法来计算风险值。分别计算风险事件的发生值、影响值和最终的风险值。风险事件发生值=L（资产的脆弱性，威胁值）=L（V，T），风险事件影响值I=（Ia，Va）。

2.4.3 风险评估结果

在综合分析完成之后的评估结果就是风险评估结果，这项结果将会成为风险评估机构开展风险管理的主要依据，风险评估结果包含：风险计算和风险分析。风险计算是对资产的重要程度及风险事件发生值等进行判定；进而得出判定结果；风险分析是总结系统的风险评估过程，进而得出残余风险和系统的风险状况。

3 结论

随着互联网技术的普及应用，信息化管理已经成功应用到绝大部分企业管理中。但是随之而来的是一系列的信息安全问题，如果出现安全问题将会给企业带来严重的经济损失。信息安全风险评估技术是对信息安全风险程度进行分析计算的基础上展开评估，为提高企业信息安全性奠定基础，提高企业信息安全管理水平。

参考文献

信息安全风险评估范文第7篇

风险评估是一项周期性工作，是进行风险管理。由于风险评估的结果将直接影响到信息系统防护措施的选择，从而在一定程度上决定了风险管理的成效。风险评估可以概括为：①风险评估是一个技术与管理的过程。②风险评估是根据威胁、脆弱性判断系统风险的过程。③风险评估贯穿于系统建设生命周期的各阶段。

2.信息安全风险评估方法

（1）安全风险评估。为确定这种可能性，需分析系统的威胁以及由此表现出的脆弱性。影响是按照系统在单位任务实施中的重要程度来确定的。风险评估以现实系统安全为目的，按照科学的程序和方法，对系统中的危险要素进行充分的定性、定量分析，并作出综合评价，以便针对存在的问题，根据当前科学技术和经济条件，提出有效的安全措施，消除危险或将危险降到最低程度。即：风险评估是对系统存在的固有和潜在危险及风险性进行定性和定量分析，得出系统发送危险的可能性和程度评价，以寻求最低的事故率、最少的损失和最优的安全投资效益。（2）风险评估的主要内容。①技术层面。评估和分析网络和主机上存在的安全技术风险，包括物理环境、网络设备、主机系统、操作系统、数据库、应用系统等软、硬件设备。②管理层面。从本单位的工作性质、人员组成、组织结构、管理制度、网络系统运行保障措施及其他运行管理规范等角度，分析业务运作和管理方面存在的安全缺陷。（3）风险评估方法。①技术评估和整体评估。技术评估是指对组织的技术基础结构和程序系统、及时地检查，包括对组织内部计算环境的安全性及对内外攻击脆弱性的完整性攻击。整体风险评估扩展了上述技术评估的范围，着眼于分析组织内部与安全相关的风险，包括内部和外部的风险源、技术基础和组织结构以及基于电子的和基于人的风险。②定性评估和定量评估。定性分析方法是使用最广泛的风险分析方法。根据组织本身历史事件的统计记录等方法确定资产的价值权重，威胁发生的可能性以及如将其赋值为“极低、低、中、高、极高”。③基于知识的评估和基于模型的评估。基于知识的风险评估方法主要依靠经验进行。经验从安全专家处获取并凭此来解决相似场景的风险评估问题。该方法的优越性在于能直接提供推荐的保护措施、结构框架和实施计划。（4）信息安全风险的计算。①计算安全事件发生的可能性。根据威胁出现频率及弱点的状况，计算威胁利用脆弱性导致安全事件发生的可能性。具体评估中，应综合攻击者技术能力、脆弱性被利用的难易程度、资产吸引力等因素判断安全事件发生的可能性。②计算安全事件发生后的损失。根据资产价值及脆弱性的严重程度，计算安全事件一旦发生后的损失。部分安全事件损失的发生不仅针对该资产本身，还可能影响业务的连续性；不同安全事件的发生对组织造成的影响也不一样。③计算风险值。根据计算出的安全事件发生的可能性以及安全事件的损失计算风险值。

3.风险评估模型选择

参考多个国际风险评估标准，建立了由安全风险管理流程模型、安全风险关系模型和安全风险计算模型共同组成的安全风险模型（见图1）。（1）安全风险管理过程模型。①风险评估过程。信息安全评估包括技术评估和管理评估。②安全风险报告。提交安全风险报告，获知安全风险状况是安全评估的主要目标。③风险评估管理系统。根据单位安全风险分析与风险评估的结果，建立本单位的风险管理系统，将风险评估结果入库保存，为安全管理和问题追踪提供数据基础。④安全需求分析。根据本单位安全风险评估报告，确定有效安全需求。⑤安全建议。依据风险评估结果，提出相关建议，协助构建本单位安全体系结构，结合组织本地、远程网络架构，为制定完整动态的安全解决方案提供参考。⑥风险控制。根据安全风险报告，结合单位特点，针对面对的安全风险，分析将面对的安全影响，提供相应的风险控制建议。⑦监控审核。风险管理过程中每一个步骤都需要进行监控和审核程序，保证整个评估过程规范、安全、可信。⑧沟通、咨询与文档管理。整个风险管理过程的沟通、咨询是保证风险评估项目成功实施的关键因素。（2）安全风险关系模型。安全风险关系模型以风险为中心，形象地描述了面临的风险、弱点、威胁及其相应的资产价值、防护需求、保护措施等动态循环的复杂关系。（3）安全风险计算模型。安全风险计算模型中详细、具体地提供了风险计算的方法，通过威胁级别、威胁发生的概率及风险评估矩阵得出安全风险。

4.结语

本文在综合风险和比较多种评估标准和方法的基础上，针对现行网络的安全现状和安全需求，提出了网络风险评估的模型和风险计算方法，以及时发现、弥补和减少信息安全漏洞，为提高信息系统的安全性，降低网络失泄密风险提供一定的帮助。