涉密信息系统信息安全风险评估

冯翀

摘 要

对于信息系统正常运行而言，信息安全风险评估是有效方式之一。本文在分析涉密信息系统风险评估基本内容的基础上，对于具体的风险评估过程进行阐述，希望可以确保涉密信息系统的信息安全。

【关键词】涉密信息系统 信息安全 风险评估

针对涉密信息系统来说，安全风险评估必须得到足够的重视。利用风险评估，就可以分析其现状，这样就可以明确系统安全的基本需求；也可以确定主要面临的安全风险，从而帮助相应的机构制定处置措施，指导安全技术体系以及管理体系建设，这样才可以制定相对应的安全策略与解决方法，确保信息系统安全技术体系得以建立。

1 涉密信息系统风险评估

针对涉密信息系统开展风险评估工作时，其内容主要涉及三部分，即自我评估、检查评估以及委托评估三个主要的方面。就一般性保密管理层来说，进行委托评估还无法满足其最基本的要求。因此，在涉密信息系统风险的评估分析的过程中主要是按照国家标准，由能自主开展日常评估工作的涉密信息系统人员进行评估，但是信息系统本身的脆弱性、资产的鉴定以及对威胁的评估，都需要通过资产被威胁利用的实际受损度以及可能存在的安全事件来计算其风险等级。

2 涉密信息系统信息安全风险评估实践

2.1 前期准备

针对涉密信息系统开展风险评估的前期准备工作能为评估的全过程提供安全性保障，具体包括风险评估目标以及范畴的制定，成立专业化的管理团队，以及评估方式等。通过上述一系列的制定之后，还需要获取最高级别人员的支持，最后签订相对应的保密协议。当目标阶段以及评估范畴确定之后，相关的评估人员需要按照规范标准以及分级保护指南，同时和涉密信息系统的负责人进行彼此之间的沟通与协商，这样才可以确定评估范围。在风险范畴划分之后，还需要针对评估系统对象的实际特点，将评估目标进一步落实。

2.2 实践调研

在涉密信息系统信息安全风险评估的实践调研环节，评估风险主要是从涉密信息系统里获取主要信息、组织及其脆弱性、安全管理等状况，为接下来开展分析工作、制定管理规划等打下坚实的基础。在该环节，最核心的工作室人员、资产以及安全威胁三个方面的调查，当然，也离不开安全技术和需求两个方面的安全性分析。而通过搜集文档、进行问卷调查、扫描并分析漏洞等手段就能识别关于涉密信息系统信息安全的关键数据，并确定风险评估的综合化目标。在资产的识别过程中，考虑到资产的信息和价值化资源，再加上其本身的保护性质，所以，利用不同形式资产的识别也可以将资产进一步的细化，如有形资产、无形资产、软硬件、文档、代码和形象服务等。当然，资产的识别，不但要对成本价格问题加以分析，还应对业务的重要性、安全性进行合理的考量，然后按照可用性、完整性以及机密性来对资产价值加以识别。在识别安全的具体环节之中，还需要考虑到不同等级的可用性、完整性以及机密性要求，这样就可以通过计算加权赋值的方式，将最终的资产价值结果识别出来。

在威胁识别阶段，首先就应该明显潜在威胁出现的起因，然后对具体的破坏因素做好科学的识别与处理，其中主要包含了人为因素、威胁因素、蓄意或者是偶发事件、直接或者是间接攻击信息等因素的识别。在搜集威胁方面存在的因素时，就可以利用现场的调查、问卷分析以及访谈访问等诸多形式进行。另外，与系统服务功能相互结合也可以进一步明确可能存在的不良威胁。其脆弱性主要是薄弱的、对资产可能产生威胁的可不靠环节，所以，对于脆弱性的识别，也可以将其看成为弱点的识别。实际上，每一种资产，其本身都存在弱点，只要没有针对性的威胁出现，其资产就不会受到威胁，但是如果拥有足够强健的涉密信息系统，那么无论威胁多种，都不可能出现不安全的事件，也不会引发不必要的威胁。所以，只有资产存在的弱点，才有可能将资产危害事件引导出现。当然，资产弱点实际上是相当隐蔽的，其脆弱性只会出现在固定的环境。如果针对涉密信息系统的信息实施了不正确的、不可靠的安全措施，安全措施就无法发挥出应有的功效，这本身就会演变成弱点，因而识别脆弱性的方法务必要科学、合理，需要认真的核查每一项资产，这样才能够将脆弱性方面的因素找出来，同时也可以对其等级和严重性进行合理的评估。在具体的操作中，通过脆弱性数据的识别可以源自资产的所有者、涉密信息系统的专业软件人员或业务专家等，然后利用人工的核查、问卷调查、渗透性的测试、工具检测等方法就能够有效识别脆弱性。

对于确认安全措施，需针对各类安全管理措施做好预防处理工作，以免发生重复实施的现象，从而及时剔除其中不足或者是不恰当的措施，然后利用更为高匹配度的措施来将其替代。安全措施涵盖两个部门，主要是保护和预防。保护要求的是通过安全事件几率的降低，来确保信息的安全，不会受到任何不利因素的影响，比如说持续性的业务计划等；而预防则是考虑到威胁与脆弱性等一系列的因素来降低发生安全事件的几率，如入侵检测。通过一定的安全措施，就可以控制好涉密信息系统本身的脆弱性，从而确认无需在每一项资产、组件的薄弱环节都实施安全措施。

2.3 风险的全面分析与处置

在分析涉密信息系统信息安全风险的环节，其中对发生安全事件的可能程度进行分析是最关键的，以及在发生安全事件之后计算其带来的损失、具体的风险值。在计算风险值时，可选用相乘法或矩阵法；在处理风险时，要明确实际的安全策略，其中也包含了风险的规避、接受以及降低等多个方面。此外，按照涉密信息系统的特征来对风险处置的内容加以明确，并把它细分成两个部分，即建议、实施。在实践环节，对两个方面进行综合的考虑，或者是针对实际要求，对于某一层面的处理进行单独的分析与实施。

3 结语

涉密信息系统的安全是涉密信息系统效能得以发挥的重要前提。风险评估本身属于一种系统化、有效的手段，可以对信息系统中现有的分及格线进行有效的识别，从而制定合理的处置手段。

参考文献

[1]陈颂，王光伟，刘欣宇，杜娟.信息系统安全风险评估研究[J].通信技术，2012（01）：128-130.

[2]朱信铭.信息安全风险评估风险分析方法浅谈[J].信息安全与技术，2010（08）：87-89.

作者单位

河南思软电子科技有限公司 河南省郑州市 450000