信息系统的风险评估过程与评估方法

杨利霞

信息系统的风险评估过程与评估方法
就像做投资一样，信息网络也存在风险，如果不了解信息网络风险并加以控制或解决的话，网络的安全就无法保证，各种的信息也许就会毫无保障，网络世界会紊乱无章。对于信息网络，万方安全认为，我们要对其进行一个风险的评估，然后再找方法去解决，尽最大的力度去减少风险所带来的威胁或损失。

, D. Z+ V; [$ g( Q; L; G信息安全风险评估是进行量化评估一件事情给人们的生活、生命、财产等各个方面造成的影响和损失的可能性的工作，而信息系统的信息安全风险评估是指确定在计算机系统和网络中每一种资源缺失或遭到破坏对整个系统造成的预计损失数量，是对信息资产威胁、脆弱点以及由此带来的风险大小的评估。

- \9 w- M# O4 P" y 一、信息安全风险评估过程

信息安全风险评估的过程是一个动态循环的过程，对信息安全风险评估的结果起着重要的作用。信息安全风险评估过程就是在评估标准的指导下，综合利用相关评估技术、评估方法、评估工具，针对信息系统展开全方位的评估工作的完整历程。
3 S4 A9 ?& j( H0 D
; V5 d6 u  u8 a4 n$ R9 W# Z
& |7 a4 r2 r# n7 _7 A6 F0 v0 I8 k
一、信息安全风险评估过程

7 @0 X! i/ ~9 l信息安全风险评估的过程是一个动态循环的过程，对信息安全风险评估的结果起着重要的作用。信息安全风险评估过程就是在评估标准的指导下，综合利用相关评估技术、评估方法、评估工具，针对信息系统展开全方位的评估工作的完整历程。

! h& O4 \) {0 r3 K/ Z信息安全风险评估具体评估过程如下:

4 N3 z/ l& C9 k- R

图1-1信息安全风险评估的过程
7 j* h" p; r1 y8 y$ r
1.要确定保护的对象(或者资产)是什么，即确定资产
0 b8 ^$ y1 M: M+ c7 D" ~
, h) [% z  m* e% h8 `3 K/ A安全评估的第一步是确定信息系统的资产，并明确资产的价值，资产的价值是由对组织、合作伙伴、供应商、客户和其他利益相关方在安全事件中对完整性、可用性和保密性的影响来衡量的。资产的范围很广，一切需要加以保护的东西都算作资产，包括:软件资产、信息资产、纸庚文件、公司形象和声誉、人员、物理资产、服务等。资产的评估应当从关键业务开始，最终覆盖所有的关键资产。
/ V& Q" {9 G' H( ?2 E2 w; S' {
" |( b0 I: ^6 A% P6 l) B. o2. 脆弱性和威胁分析

对资产进行细致周密的分析，确定要保护的资产存在哪些威胁，导致威胁的问题所在，发现它的脆弱点及由脆弱点所引发的威胁，统计分析发生概率、被利用后所造成的损失等。

2 N8 ^: ~% ^; O! x8 p6 Q4 @3. 制定及评估控制措施

- @6 Z% h' h7 k' x/ ~/ g% S- b在分析各种威胁及它们发生可能性基础上，研究消除、转移、减轻威胁风险的手段。这一阶段不需要做出什么决策，重要是要考虑可以采用的各种安全防范措施和它们的实施成本。

制定出的控制措施应当全面，在有针对性的同时，要考虑、系统地、根本性的解决方法，为下一阶段的决策作充足的准备，同时将风险和措施文档化。

0 }& Q6 R1 ?/ p0 n' I7 K# ~4. 决策
& H& ~; }1 y  C0 G' z$ D/ v( D
7 D2 R- n+ [1 c$ p1 h这一阶段包括评估影响，排列风险，制定决策。应当从3个方面来考虑最终的决策:避免风险、接受风险、转移风险。对安全风险决策后，明确信息系统所要接受的残余风险。在分析和决策过程中，要尽可能多地让更多的人参与进来，从管理罩的代表到业务部门的主管，从技术人员到非技术人员。采取安全措施将风险带来的损失降低到最低程度
; u8 D3 H& n$ q7 p7 R5 L8 ]
5. 沟通与交流
+ T8 A. ~7 f' a4 {% t' z
4 L9 F* K# l' z# W) _由上一阶段所做出的决策，必须经过领导层的签字和批准，并与各方面就决策结论进行沟通。这是很重要的一个过程，沟通能确保所有人员对风险有清醒地认识，并有可能在发现一些以前没有注意到的脆弱点。

( G8 e5 x$ [% \( y9 t7 e6. 监督实施

4 Z7 D& V$ `% U6 ~* f6 M8 B: @最后的步骤是安全措施的实施。实施过程要始终在监督下进行，以确保决策能够贯第穿于工作之中。在实施的同时，要密切注意和分析新的威胁并对控制措施进行必要的修改。
% w$ A" Q0 g- I5 z1 b$ x( s9 ?( ]
; z9 `; X$ k7 Y: y# X二、信息安全风险评估方法

/ p+ j, U: W, J: N( S6 a  Q当发现一件事情可能带有的风险之后，我们就要去运用一些方法去找出以及评估这些风险了，在评估过程中使用何种方法对评估的有效性同样占有举足轻重的地位。信息安全风险评估的方法有很多种但无论是何种方法，共同的目标都是找出组织信息资产面临的风险及其影响，以及目前安全水平与组织安全需求之间的差距。
* O7 K2 D+ v3 a0 O* K  k- c
首先，先说一下可分为三大类的信息安全风险评估方法：定性的信息安全风险评估方法、定量的信息安全风险评估方法、定性与定量相结合的评估方法。
' u" m/ y3 }: f9 l5 v7 _


1 P# ?' y9 m9 o8 C* y图1-2信息安全风险评估的方法

5 N+ ]8 Y$ y0 d% g# B
% J$ e: K  @- {) d( Y9 E1.定性评估方法

5 T" A. q! P8 X( o) i/ Z6 _" y定性评估方法的优点是避免了定量方法的缺点，可以挖掘出一些蕴藏很深的思想，使评估的结论更全面、更深刻;但它的主观性很强，对评估者本身的要求很高。

定性的评估方法主要根据研究者的经验、知识、政策走向、历史教训及特殊变例等非量化资料对系统风险状况做出判断的过程。它主要以与调查对象的深入访谈做出个案记录为基本资料，之后通过一个理论推导演绎的分析框架，对资料进行编码整理，在此基础上做出调查结论。
- z1 B5 @. s8 [
定性分析方法主要有逻辑分析法、德尔斐法、因素分析法、历史比较法。
, |4 g5 p# A" A" U
2.定量评估方法

定量的评估方法是指运用数量指标来对风险进行评估。
6 I, y* G* c" g
/ q6 s/ P9 u5 Z  o8 r& u4 _% F定量的评估方法的优点是用直观的数据来表述评估的结果，看起来比较客观，而且一目了然，定量分析方法的采用，可以使研究结果更严密，更科学，更深刻。有时，一个数据所能够说明的问题可能是用一大段文字也不能够阐述清楚的;但常常为了量化，使本来比较复杂的事物简单化、模糊化了，有的风险因素被量化以后还可能被误解和曲解。
+ \2 J: V# Z6 E, L$ G
% l2 O$ `- N3 J( B9 _8 z定量分析方法主要有等风险图法、决策树法、因子分析法、时序模墅、回归模型、聚类分析法等。
* n# u" g) \. h7 D
3. 定性与定量相结合的综合评估方法
' G' J; ]9 X# T7 `4 ?
系统信息安全风险评估是一个复杂的过程，需要考虑的因素很多，有些评估要素是可以用量化的形式来表达，而对有些要素的量化又是很因难甚至是不可能的，所以不主张在信息安全风险评估过程中一昧地追求量化，也不认为一切都是量化的信息安全风险评估过程是科学、准确的。
2 R4 A) \, ]. O! w* k
0 D5 e: @- e4 o$ @. e2 E2 Y4 g# x定量分析是定性分析的基础和前提，定性分析应建立在定量分析的基础上才能揭示客观事物的内在规律。定性分析则是灵魂，是彤成概念、观点，做出判断，得出结论所必须依靠的，在复杂的信息系统信息安全风险评估过程中，不能将定性分析和定量分析两种方法简单的割裂开来。而是应该将这两种方法融合起来，采用综合的评估方法。
4 U& S3 \7 a6 V3 d+ }
其次，再来说说典型的信息安全风险评估方法
+ E; a; c! {% @5 {
( W/ E. z0 |, L6 H; ~* w# Q5 R在信息系统信息安全风险评估过程中，层次分析法经常被用到，它是一种综合的评佑方法，这是一种定性与定量相结合的多目标决策分析方法，其核心是将决策者的经验判断给予量化，从而为决策者提供定量形式的决策依据。该方法对系统进行分层次、拟定量、规范化处理，在评估过程中经历系统分解、安全性判断和综合判断三个阶段。

% U. X3 K- r0 i. P  P基本步骤为：
8 ^. w0 t$ k; O  S! \4 p: V& L
(1)系统分解，建立层次结构模型；
* t  n, m3 M) e% _; S0 P! j3 s. G
. E/ M4 b) M! M: E% e1 j(2)构造判断矩阵，通过单层次计算进行安全性判断；
. Y6 y0 i& L; R/ o" v, ]8 R
(3)层次总排序，完成综合判。
, L: ^. q. c: s* m8 u: z' E  |
在信息安全风险评估过程中选择合适的信息安全风险评估方法可以得到最好的评估结果使得整个信息安全风险评估得到最好的解决方案是我们所追求的的目标，因此要对每一种的评估方法都要去了解去熟悉然后拿去应用，这才是我们学习的一个目标。

5 A  P  g: l' K5 K1 s, A$ I3 ~; i