数字校园的信息安全风险评估研究与实践*

吕新荣，钮 俊，陆世伟

（浙江工商职业技术学院，浙江 宁波 315012）

一、引言

数字校园是以校园网为背景的集教学、管理和服务为一体的一种新型的数字化工作、学习和生活环境。一个典型的数字校园包括各种常用网络服务、共享数据库、身份认证平台、各种业务管理系统和信息门户网站等[1]。数字校园作为一个庞大复杂的信息系统，构建和维护一个良好的信息安全管理体系是一项非常重要的基础管理工作。

信息安全风险评估是构建和维护信息安全管理体系的基础和关键环节，它通过识别组织的重要信息资产、资产面临的威胁以及资产自身的脆弱性，评估外部威胁利用资产的脆弱性导致安全事件发生的可能性，判断安全事件发生后对组织造成的影响。对数字校园进行信息安全风险评估有助于及时发现和解决存在的信息安全问题，保证数字校园的业务连续性，并为构建一个良好的信息安全管理体系奠定坚实基础。

二、评估标准

由于信息安全风险评估的基础性作用，包括我国在内的信息化程度较高的国家以及相关国际组织都非常重视相关标准和方法的研究。目前比较成熟的标准和方法有ISO制定的《IT信息安全管理指南》（ISO/IEC13335）和《信息安全管理体系要求》（ISO/IEC27001:2005）、美国NIST制定的SP800系列标准、美国CMU软件工程研究所下属的CERT协调中心开发的OCTAVE2.0以及我国制定的《信息安全技术——信息安全风险评估规范》（GB/T20984-2007）。

ISO/IEC27001系列标准于2005年10月15日正式发布，作为一种全球性的信息安全管理国际标准适用于任何组织的信息安全管理活动，同时也为评估组织的信息安全管理水平提供依据。但是ISO27001系列标准没有制定明确的信息安全风险评估流程，组织可以自行选择适合自身特点的信息安全风险评估方法，如OCTAVE2.0等[2][3]。

为了指导我国信息安全风险评估工作的开展，我国于2007年11月正式颁布了《信息安全技术——信息安全风险评估规范》（GB/T20984-2007），这是我国自主研究和制定的信息安全风险评估标准，该标准与ISO27001系列标准思想一致，但对信息安全风险评估过程进行了细化，使得更加适合我国企业或者组织的信息安全风险评估工作开展。

三、评估流程

《信息安全技术——信息安全风险评估规范》（GB/T20984-2007）等标准为风险评估提供了方法论和流程，为风险评估各个阶段的工作制定了规范，但标准没有规定风险评估实施的具体模型和方法，由风险评估实施者根据业务特点和组织要求自行决定。本文根据数字校园的业务流程和所属资产的特点，参考模糊数学、OCTAVE的构建威胁场景理论和通用弱点评价体系（CVSS）等风险评估技术，提出了数字校园信息安全风险评估的具体流程和整体框架，如图1所示。

据图1可知，数字校园的信息安全风险评估首先在充分识别数字校园的信息资产、资产面临的威胁以及可被威胁利用的资产脆弱性的基础上，确定资产价值、威胁等级和脆弱性等级，然后根据风险矩阵计算得出信息资产的风险值分布表。数字校园信息安全风险评估的详细流程如下：

（1）资产识别：根据数字校园的业务流程，从硬件、软件、电子数据、纸质文档、人员和服务等方面对数字校园的信息资产进行识别，得到资产清单。资产的赋值要考虑资产本身的实际价格，更重要的是要考虑资产对组织的信息安全重要程度，即信息资产的机密性、完整性和可用性在受到损害后对组织造成的损害程度，预计损害程度越高则赋值越高。

在确定了资产的机密性、完整性和可用性的赋值等级后，需要经过综合评定得出资产等级。综合评定方法一般有两种：一种方法是选取资产机密性、完整性和可用性中最为重要的一个属性确定资产等级；还有一种方法是对资产机密性、完整性和可用性三个赋值进行加权计算，通常采用的加权计算公式有相加法和相乘法，由组织根据业务特点确定。

设资产的机密性赋值为，完整性赋值为，可用性赋值为，资产等级值为，则

（2）威胁识别：威胁分为实际威胁和潜在威胁，实际威胁识别需要通过访谈和专业检测工具，并通过分析入侵检测系统日志、服务器日志、防火墙日志等记录对实际发生的威胁进行识别和分类。潜在威胁识别需要查询资料分析当前信息安全总体的威胁分析和统计数据，并结合组织业务特点对潜在可能发生的威胁进行充分识别和分类。

（3）脆弱性识别：脆弱性是资产的固有属性，既有信息资产本身存在的漏洞也有因为不合理或未正确实施的管理制度造成的隐患。软件系统的漏洞可以通过专业的漏洞检测软件进行检测，然后通过安装补丁程序消除。而管理制度造成的隐患需要进行充分识别，包括对已有的控制措施的有效性也一并识别。

（4）威胁—脆弱性关联：为了避免单独对威胁和脆弱性进行赋值从而造成风险分析计算结果出现偏差，需要按照OCTAVE中的构建威胁场景方法将“资产-威胁-脆弱性-已有安全控制措施”进行关联。

（5）风险值计算：在资产、威胁、脆弱性赋值基础上，利用风险计算方法计算每个“资产-威胁-脆弱性”相关联的风险值，并最终得到整个数字校园的风险值分布表，并依据风险接受准则，确认可接受和不可接受的风险。

四、评估实例

本文以笔者所在高职院校的数字校园作为研究对象实例，利用前面所述的信息安全风险评估流程对该实例对象进行信息安全风险评估。

1.资产识别与评估

数字校园的资产识别与评估包括资产识别和资产价值计算。

（1）资产识别

信息安全风险评估专家、数字校园管理技术人员和数字校园使用部门代表共同组成数字校园信息资产识别小组，小组通过现场清查、问卷调查、查看记录和人员访谈等方式，按照数字校园各个业务系统的工作流程，详细地列出数字校园的信息资产清单。这些信息资产从类别上可以分为硬件（如服务器、存储设备、网络设备等）、软件（OA系统、邮件系统、网站等）、电子数据（各种数据库、各种电子文档等）、纸质文档（系统使用手册、工作日志等）、人员和服务等。为了对资产进行标准化管理，识别小组对各个资产进行了编码，便于标准化和精确化管理。

（2）资产价值计算

获得数字校园的信息资产详细列表后，资产识别小组召开座谈会确定每个信息资产的价值，即对资产的机密性、完整性、可用性进行赋值，三性的赋值为1～5的整数，1代表对组织造成的影响或损失最低，5代表对组织造成的影响或损失最高。确定资产的信息安全属性赋值后，结合该数字校园的特点，采用相加法确定资产的价值。该数字校园的软件类资产计算样例表如下表1所示。

由于资产价值的计算结果为1～5之间的实数，为了与资产的机密性、完整性、可用性赋值相对应，需要对资产价值的计算结果归整，归整后的数字校园软件类资产的资产等级结果如表1所示。

因为数字校园的所有信息资产总数庞大，其中有些很重要，有些不重要，重要的需要特别关注重点防范，不重要的可以不用考虑或者减少投入。在识别出所有资产后，还需要列出所有的关键信息资产，在以后的日常管理中重点关注。不同的组织对关键资产的判断标准不完全相同，本文将资产等级值在4以上（包括4）的资产列为关键信息资产，并在资产识别清单中予以注明，如表1所示。

2.威胁和脆弱性识别与评估

数字校园与其他计算机网络信息系统一样面临着各种各样的威胁，同时数字校园作为一种在校园内部运行的网络信息系统面临的威胁的种类和分布有其自身特点。任何威胁总是通过某种具体的途径或方式作用到特定的信息资产之上，通过破坏资产的一个或多个安全属性而产生信息安全风险，即任何威胁都是与资产相关联的，一项资产可能面临多个威胁，一个威胁可能作用于多项资产。威胁的识别方法是在资产识别阶段形成的资产清单基础上，以关键资产为重点，从系统威胁、自然威胁、环境威胁和人员威胁四个方面对资产面临的威胁进行识别。在分析数字校园实际发生的网络威胁时，需要检查入侵检测系统、服务器日志文件等记录的数据。

脆弱性是指资产中可能被威胁所利用的弱点。数字校园的脆弱性是数字校园在开发、部署、运维等过程中由于技术不成熟或管理不完善产生的一种缺陷。它如果被相关威胁利用就有可能对数字校园的资产造成损害，进而对数字校园造成损失。数字校园的脆弱性可以分为技术脆弱性和管理脆弱性两种。技术脆弱性主要包括操作系统漏洞、网络协议漏洞、应用系统漏洞、数据库漏洞、中间件漏洞以及网络中心机房物理环境设计缺陷等等。管理脆弱性主要由技术管理与组织管理措施不完善或执行不到位造成。

技术脆弱性的识别主要采用问卷调查、工具检测、人工检查、文档查阅、渗透性测试等方法。因为大部分技术脆弱性与软件漏洞有关，因此使用漏洞检测工具检测脆弱性，可以获得较高的检测效率。本文采用启明星辰公司研发的天镜脆弱性扫描与管理系统对数字校园进行技术脆弱性识别和评估。

管理脆弱性识别的主要内容就是对数字校园现有的安全控制措施进行识别与确认，有效的安全控制措施可以降低安全事件发生的可能性，无效的安全控制措施会提高安全事件发生的可能性。安全控制措施大致分为技术控制措施、管理和操作控制措施两大类。技术控制措施随着数字校园的建立、实施、运行和维护等过程同步建设与完善，具有较强的针对性，识别比较容易。管理和操作控制措施识别需要对照ISO27001标准的《信息安全实用规则指南》或NIST的《最佳安全实践相关手册》制订的表格进行，避免遗漏。

表1 软件类资产价值识别清单示例

3.风险计算

完成数字校园的资产识别、威胁识别、脆弱性识别和已有控制措施识别任务后，进入风险计算阶段。

对于像数字校园这类复杂的网络信息系统，需要采用OCTAVE标准提供的“构建威胁场景”方法进行风险分析。“构建威胁场景”方法基于“具体问题、具体分析”的原则，理清“资产-威胁-脆弱性-已有控制措施”的内在联系，避免了孤立地评价威胁导致风险计算结果出现偏差的局面。表2反映了数字校园图书馆管理系统的资产、威胁、脆弱性、已有控制措施的映射示例。

表2 资产-威胁-脆弱性-已有控制措施映射示例

将“资产—威胁—脆弱性—已有控制措施”进行映射后，就可以按照GB/T20984-2007《信息安全风险评估规范》要求进行风险计算。为了便于计算，需要将前面各个阶段获得资产、威胁、脆弱性赋值与表3所示的“资产—威胁—脆弱性—已有控制措施”映射表合并，因为在对脆弱性赋值的时候已经考虑了已有控制措施的有效性，因此可以将已有控制措施去掉。

表3 图书馆管理系统风险分析结果示例

本文采用的风险计算方法为《信息安全风险评估规范》中推荐的矩阵法，风险值计算公式为：R=R（A，T，V）=R（L（T，V）F（Ia，Va））。其中，R 表示安全风险计算函数；A 表示资产；T表示威胁；V表示脆弱性；Ia表示安全事件所作用的资产重要程度；Va表示脆弱性严重程度；L表示威胁利用资产的脆弱性导致安全事件发生的可能性；F表示安全事件发生后产生的损失。

风险计算的具体步骤是：

（a）根据威胁赋值和脆弱性赋值，查询《安全事件可能性矩阵》计算安全事件可能性值；

（b）对照《安全事件可能性等级划分矩阵》将安全事件可能性值转换为安全事件可能性等级值；

（c）根据资产赋值和脆弱性赋值，查询《安全事件损失矩阵》计算安全事件损失值；

（d）对照《安全事件损失等级划分矩阵》将安全事件损失值转换为安全事件损失等级值；

（e）根据安全事件可能性等级值和安全事件损失等级值，查询《风险矩阵》计算安全事件风险值；

（f）对照《风险等级划分矩阵》将安全事件风险值转换为安全事件风险等级值。

所有等级值均采用五级制，1级最低，5级最高。

五、结束语

数字校园是现代高校信息化的重要基础设施，数字校园的安全稳定直接关系到校园的安全稳定，而风险评估是保证数字校园安全稳定的一项基础性工作。本文的信息安全风险评估方法依据国家标准，采用定性和定量相结合的方式，保证了信息安全风险评估的有效性和科学性，使得风险评估结果能对后续建立数字校园的信息安全管理体系起到指导作用。

[1]宋玉贤.高职院校数字化校园建设的策略研究[J].中国教育信息化,2010(4).

[2]黄水清,陈双喜,任妮.基于ISO27001的数字图书馆信息安全风险评估模型研究[J].现代图书情报技术,2009(6):44-49.

[3]汤志伟,高天鹏.采用OCTAVE模型的电子政务信息系统风险评估[J].电子科技大学学报,2009,38(1).