信息安全评估的模型和方法研究

0 引言

信息安全是我国信息产业发展中比较重要的一个问题，它影响着我国信息网络的发展前景。要做好信息安全保护，必须要进行信息安全评估。根据信息安全评估发现信息安全风险并采取防范措施，是目前我们研究的重要的信息安全保护手段。而要对信息安全进行评估，必须要先进行信息安全关系模型的构建，然后根据信息安全评估的模型，采取相应的评估方法进行信息安全评估。

随着国家经济的发展，我国信息网络技术也逐渐得到了迅速的发展。到目前为止，我国的信息网络技术已经在各行各业都得到了广泛的应用。而信息网络的安全性也成为了人们关注的重点。虽然我国已经制定了相应的信息安全保护法规，但是在实践中，信息安全仍然是一大难题。要解决这一问题，必须要做好信息安全评估，通过评估了解信息安全的现状，并据此制定信息安全管理制度。因此，信息安全评估的模型和方法便成为了目前的研究重点。

1 信息安全评估概述

信息安全评估，是为了信息系统的安全而进行的风险评估，主要目的是在评估的基础上找出信息安全风险，并进行防范，使信息系统的安全得到保障，并能够尽可能长效的运作。由于我国经济的发展，信息网络技术在各行各业都得到了广泛的应用，比如医疗、卫生、金融、保险、税收、电信、民航、证券等行业，都离不开信息网络。信息网络的安全，关系着这些行业的发展，一旦信息网络的安全性受到威胁，便可能给这些行业带来巨大的损失。而信息安全评估作为信息安全保障的基础，主要对信息中可能存在的风险进行评估，人们根据评估结果，对信息安全系统采取不同层次的保障措施，进而维护信息安全。但是，信息安全的评估并不是一件简单的工作，相反，对于信息安全的评估是一个风险量化的过程，评估的过程极为复杂。对于信息安全的评估，主要是对信息资产的评估，但是对于资产的评估又引出对于资产脆弱性、威胁、现有安全措施等等因素的评估。在这个评估过程中，评估的对象是由很多个组件或者系统组成的，受到各种因素的影响，这些系统中会存在着威胁和风险。只有建立一个信息安全评估模型，才能对信息安全进行系统化评估。

2 信息安全评估的模型

根据国际上的《信息技术安全管理指南》中的规定，我们可知其中规定了信息安全评估模型。其中的信息安全风险的要素包括四种：信息资产评估、信息脆弱性评估、信息系统安全保护措施评估和信息安全威胁评估。而信息安全评估的模型便是根据这四要素建立起来的。信息安全评估是对这些影响要素的内因、外因进行评估，并判断出内外因的影响大小，进而对信息安全进行评估。可以说，信息安全评估的模型是信息安全评估的基础。下面我主要对信息安全评估的模型进行简要的分析。

2.1 资产评估

在信息安全评估中，运用信息网络的企业或者其他单位的资产是评估的第一要素。所谓资产，是指企业或其他单位的固定或不固定的具有价值的需要接受风险评估的并要加以保护的有形的或者无形的东西。在企业或者其他单位的信息系统中，其信息资产有着不同的机密性、安全性、可用性和完整性。而安全性与机密性是我们需要考虑的重点因素。在资产评估中，对于信息资产安全性与机密性的评估是信息安全评估的重要方面。在考虑到信息资产的安全性和机密性后，才能够更好的考虑其他因素，如脆弱性、安全威胁等。

2.2 信息脆弱性评估

信息脆弱性评估，主要是对信息的弱点进行研究和评估。根据信息资产的具体使用情况和资产的价值，分析信息资产的脆弱性。对于信息脆弱性评估，需要工作人员定期更新企业或者其他单位的信息资产的弱点信息库，在此基础上实现对信息的脆弱性的掌握。了解其中的弱点，从而进行风险评估。信息的脆弱性评估，需要将信息的安全与威胁进行分析，并且要对信息库进行专门的维护。

2.3 信息系统安全保护措施评估

信息系统安全保护措施评估，是对企业或其他单位的信息系统的安全保护措施的好坏进行的评估。信息系统安全保护措施，不仅要保护信息的机密性、完整性，也需要保护信息的可用性，保证信息系统的所有信息都能够正常的使用，不受外界恶意破坏和更改，并且要避免信息系统受到外部黑客或者木马病毒的攻击。只有保护了信息系统的机密性、可用性和完整性，信息系统安全保护措施才算达到了信息保护的标准。因此，在对信息系统安全保护措施进行评估时，需要从这三方面来评估。

2.4 信息安全威胁评估

信息安全威胁，是外界或者内界存在的可能对信息安全造成一定不良影响的因素。对于信息安全的威胁，可能是重要信息泄露，或者木马病毒导致的计算机病毒，从而导致信息系统瘫痪，数据丢失；也可能是外界黑客的攻击，并窃取重要机密，或者故意破坏信息系统，导致重要信息丢失或者被改变、删除等等。一般来说，信息安全威胁的前提是威胁者找准了信息的脆弱点，并攻击信息系统的脆弱点，从而使信息安全受到威胁。信息安全威胁评估，便是对信息安全可能遭受到的损害进行的评估。它是为了更好的认识信息脆弱性，找准信息安全的弱点，并及时对威胁因素加以防范。

3 信息安全评估的方法

信息安全评估需要对信息安全进行战略上、管理上、工程上、技术上等四个方面的评估。在战略评估上，需要对信息安全的当前策略、过渡策略及发展策略进行评估；在管理评估上，需要对单位的信息安全管理法规、管理制度以及安全制度进行评估；在工程评估上，要对单位信息系统的安全规划、安全生产、安全管理进行评估；在技术评估上，要对信息系统的安全产品的运用情况、安全方法的使用以及信息系统的安全防范措施进行评估。主要的评估内容为资产、信息脆弱性、信息系统安全保护措施以及信息安全威胁。信息安全评估，是要在信息模型的基础上对信息系统的数据、弱点、软件、资产价值、机密性、可用性、完整性等进行系统的四个方面的评估。

在具体的安全评估中，主要将静态评估、动态评估和状态评估三种评估方法结合起来进行信息安全的评估。静态评估包括两种方式，问卷调查和专家评估，问卷调查能够征集广大人民的评价意见，而专家评估使得评估更具有专业性，最后将这两种评估方式所得的结果综合起来，便是最终评分。当然，专家评估是信息安全评估方法中比较专业的一种评估方法，是企业或者其他单位聘请专门的信息安全评估人员对本单位内部的信息安全进行研究，对信息安全可能存在的风险进行识别，然后再将所认识到的信息安全风险进行分类处理；动态评估，包括信息系统运行的数据记录、数据统计和数据处理。对信息系统的动态运行过程进行的安全评估，主要反映信息系统在数据记录、统计及处理的过程中的信息安全状况。就目前的信息安全评估方法来说，在动态评估中，主要包括财务报表分析法、流程图法、环境分析法和分解分析法。财务报表分析法是指对企业或其他单位内部的财务报表信息进行研究，从中找出与企业信息安全相关的内容，进而进行企业的信息安全评估的一种方法。流程图法，指将企业或其他单位的生产经营过程用流程图的形式表现出来，从中找出可能存在的信息安全风险。环境分析法，对企业存在的外部和内部环境进行分析，包括自然环境、经济环境、政府环境、投资者环境、消费者环境，内部工作环境、生产环境等，将这些环境因素进行分析，找出可能存在的信息安全风险。分解分析法，是将企业或其他单位的运行总体分解成各个小部门或者子系统，然后再对分解后的小部门或者子系统进行信息安全评估。状态评估包括漾透测试和专项测试，主要内容是模拟黑客的行为，对计算机信息系统进行安全测试，并且对系统的每一个小点进行专项的信息安全测试，以检测信息系统的安全性能。

4 结束语

总之，信息安全评估是为了发现信息系统中的潜在风险而进行的对信息系统的安全性、机密性进行的评估。面对当下我国的信息安全问题，对信息系统进行安全评估，并根据评估结果提前做好改进和防范措施，对于提高信息系统的安全性有着重要的意义。就目前而言，在信息安全评估的模型中，包括信息资产评估、信息脆弱性评估、信息系统安全保护措施评估以及信息安全威胁评估；而信息安全评估的方法主要有静态评估、动态评估和状态评估三种，并且在评估时要进行战略上、管理上、工程上、技术上这四方面的评估。通过评估，找出信息安全的风险并进行合理防范，从而提高我国的信息安全，对我国的信息安全建设具有重要意义。