时间：2022-05-20 11:23:22
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇信息安全风险评估，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
我国的信息安全标准化制定工作比欧美国家起步晚。全国信息化标准制定委员会及其下属的信息安全技术委员会开展了我国信息安全标准方面工作，完成了许多安全技术标准的制定，如GB／T18336、GB17859等。在信息系统的安全管理方面，我国目前在BS7799和ISO17799及CC标准基础上完成了相关的标准修订，我国信息安全标准体系的框架也正在逐步形成之中[1]。随着信息系统安全问题所产生的损失、危害不断加剧，信息系统的安全问题越来越受到人们的普遍关注，如今国内高校已经加强关于信息安全管理方面的研究与实践。
2高校信息安全风险评估模型
2.1信息安全风险评估流程
[2]在实施信息安全风险评估时，河南牧业经济学院成立了信息安全风险评估小组，由主抓信息安全的副校长担任组长，各个相关单位和部门的代表为成员，各自负责与本系部相关的风险评估事务。评估小组及相关人员在风险评估前接受培训，熟悉运作的流程、理解信息安全管理基本知识，掌握风险评估的方法和技巧。学院的风险评估活动包括以下6方面：建立风险评估准则。建立评估小组，前期调研了解安全需求，确定适用的表格和调查问卷等，制定项目计划，组织人员培训，依据国家标准确定各项安全评估指标，建立风险评估准则。资产识别。学院一卡通管理系统、教务管理系统等关键信息资产的标识。威胁识别。识别网络入侵、网络病毒、人为错误等各种信息威胁，衡量威胁的可发性与来源。脆弱性识别。识别各类信息资产、各控制流程与管理中的弱点。风险识别。进行风险场景描述，依据国家标准划分风险等级评价风险，编写河南牧业经济学院信息安全风险评估报告。风险控制。推荐、评估并确定控制目标和控制，编制风险处理计划。学院信息安全风险评估流程图如图1所示：
2.2基于PDCA循环的信息安全风险评估模型
PDCA（策划—实施—检查—措施）经常被称为“休哈特环”或者“戴明环”，是由休哈特（WalterShewhart）在19世纪30年代构想，随后被戴明（EdwardsDeming）采纳和宣传。此概念的提出是为了有效控制管理过程和工作质量。随着管理理念的深入，该循环在各类管理领域得到广泛使用，取得良好效果。PDCA循环将一个过程定义为策划、实施、检查、措施四个阶段，每个阶段都有阶段任务和目标，如图2所示，四个阶段为一个循环，一个持续的循环使过程的目标业绩持续改进，如图3所示。
3基于PDCA循环模型的信息安全风险评估的实现
[3-5]河南牧业经济学院信息系统安全风险评估的研究经验积累不足，本着边实践边改进，逐步优化的原则，学院决定采用基于PDCA循环的信息安全评估模型。信息安全风险评估模型为信息安全风险评估奠定了理论依据，是有效进行信息安全风险评估的前提。学院拥有3个校区，正在逐步推进数字化校园的建设。校园网一卡通、教务、资产、档案等管理系统是学院网络核心业务系统，同时各院系有自己的各类教学系统平台，由于网络环境的复杂性，经常会监控到信息系统受到内外部的网络攻击，信息安全防范问题已经很突出。信息安全风险评估小组依据自行研发的管理系统对学院各类信息系统进行全面的风险评估（图4），以便下一步对存在的风险进行有效的管理，根据信息系统安全风险评估报告，提出相应的系统安全方案建议，对全院信息系统当前突出的安全问题进行实际解决。
3.1建立信息安全管理体系环境风险评估（P策划）
风险规划是高校开展风险评估管理活动的首要步骤。学院分析内外环境及管理现状，制定包括准确的目标定位、具体的应对实施计划、合理的经费预算、科学的技术手段等风险评估管理规划。风险规划内容包括确定范围和方针、定义风险评估的系统性方法、识别风险、评估风险、识别并评价风险处理的方法。信息安全评估风险评估管理工作获得院领导批准，评估小组开始实施和运作信息安全管理体系。
3.2实施并运行信息安全管理体系（D实施）
该阶段的任务是管理运作适当的优先权，执行选择控制，以管理识别的信息安全风险。学院通过自行研发的信息安全风险管理工具，将常见的风险评估方法集成到软件之中，包括有信息资产和应用系统识别、风险识别与评估、风险处置措施及监测、风险汇总与报告生成等功能。通过使用信息安全风险管理工具，安全风险评估工作都得到了简化，减轻人员的工作量，帮助信息安全管理人员完成复杂的风险评估工作，从而提高学院的信息安全管理水平。
3.3监视并评审信息安全管理体系（C检查）
检查阶段是寻求改进机会的阶段，是PDCA循环的关键阶段。信息安全管理体系分析运行效果，检查到不合理、不充分的控制措施，采取不同的纠正措施。学院在系统实施过程中，规划各院系的信息安全风险评估由本系专门人员上传数据，但在具体项目实施中，发现上传的数据随意甚至杜撰，严重影响学院整体信息系统安全评估的可靠性，为了强化人员责任意识，除了加强风险评估的培训外，还制定相应的惩罚奖励制度，实时进行监督检查，尽最大可能保证风险评估数据的准确性[6]。
3.4改进信息安全管理体系（A措施）
经过以上3个步骤之后，评估小组报告该阶段所策划的方案，确定该循环给管理体系是否带来明显的效果，是继续执行，还是升级改进、放弃重新进行新的策划。学院在项目具体实施后，信息安全状况有了明显的改善，信息管理人员安全责任意识明显提升，遭受到的内外网络攻击、网络病毒等风险因素能及时发现处理。评估小组考虑将成果具体扩大到学院其他的部门或领域，开始了新一轮的PDCA循环持续改进信息安全风险评估。
4结语
关键词：信息安全；风险评估；脆弱性；威胁
1. 引言
随着信息技术的飞速发展，关系国计民生的关键信息资源的规模越来越大，信息系统的复杂程度越来越高，保障信息资源、信息系统的安全是国民经济发展和信息化建设的需要。信息安全的目标主要体现在机密性、完整性、可用性等方面。风险评估是安全建设的出发点，它的重要意义在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案的制定，以成本一效益平衡的原则，通过评估信息系统面临的威胁以及脆弱性被威胁源利用后安全事件发生的可能性，并结合资产的重要程度来识别信息系统的安全风险。信息安全风险评估就是从风险管理角度，运用科学的分析方法和手段，系统地分析信息化业务和信息系统所面临的人为和自然的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，以防范和化解风险，或者将残余风险控制在可接受的水平，从而最大限度地保障网络与信息安全。
2．网络信息安全的内容和主要因素分析
“网络信息的安全”从狭义的字面上来讲就是网络上各种信息的安全，而从广义的角度考虑，还包括整个网络系统的硬件、软件、数据以及数据处理、存储、传输等使用过程的安全。
网络信息安全具有如下6个特征：（1） 保密性。即信息不泄露给非授权的个人或实体。（2）完整性。即信息未经授权不能被修改、破坏。（3）可用性。即能保证合法的用户正常访问相关的信息。（4）可控性。即信息的内容及传播过程能够被有效地合法控制。（5）可审查性。即信息的使用过程都有相关的记录可供事后查询核对。网络信息安全的研究内容非常广泛，根据不同的分类方法可以有多种不同的分类。研究内容的广泛性决定了实现网络信息安全问题的复杂性。
而通过有效的网络信息安全风险因素分析，就能够为此复杂问题的解决找到一个考虑问题的立足点，能够将复杂的问题量化，同时，也为能通过其他方法如人工智能网络方法解决问题提供依据和基础。
网络信息安全的风险因素主要有以下6大类：（1）自然界因素，如地震、火灾、风灾、水灾、雷电等；（2）社会因素，主要是人类社会的各种活动，如暴力、战争、盗窃等；（3）网络硬件的因素，如机房包括交换机、路由器、服务器等受电力、温度、湿度、灰尘、电磁干扰等影响；（4）软件的因素，包括机房设备的管理软件、机房服务器与用户计算机的操作系统、各种服务器的数据库配置的合理性以及其他各种应用软件如杀毒软件、防火墙、工具软件等；（5）人为的因素，主要包括网络信息使用者和参与者的各种行为带来的影响因素，如操作失误、数据泄露、恶意代码、拒绝服务、骗取口令、木马攻击等；（6）其他因素，包括政府职能部门的监管因素、有关部门对相关法律法规立法因素、教育部门对相关知识的培训因素、宣传部门对相关安全内容的宣传因素等。这些因素对于网络信息安全均会产生直接或者间接的影响。
3．安全风险评估方法
3.1 定制个性化的评估方法
虽然已经有许多标准评估方法和流程，但在实践过程中，不应只是这些方法的套用和拷贝，而是以他们作为参考，根据企业的特点及安全风险评估的能力，进行“基因”重组，定制个性化的评估方法，使得评估服务具有可裁剪性和灵活性。评估种类一般有整体评估、IT安全评估、渗透测试、边界评估、网络结构评估、脆弱性扫描、策略评估、应用风险评估等。
3.2 安全整体框架的设计
风险评估的目的，不仅在于明确风险，更重要的是为管理风险提供基础和依据。作为评估直接输出，用于进行风险管理的安全整体框架。但是由于不同企业环境差异、需求差异，加上在操作层面可参考的模板很少，使得整体框架应用较少。但是，企业至少应该完成近期 1～2 年内框架，这样才能做到有律可依。
3.3 多用户决策评估
不同层面的用户能看到不同的问题，要全面了解风险，必须进行多用户沟通评估。将评估过程作为多用户“决策”过程，对于了解风险、理解风险、管理风险、落实行动，具有极大的意义。事实证明，多用户参与的效果非常明显。多用户“决策”评估，也需要一个具体的流程和方法。
3.4 敏感性分析
由于企业的系统越发复杂且互相关联，使得风险越来越隐蔽。要提高评估效果，必须进行深入关联分析，比如对一个老漏洞，不是简单地分析它的影响和解决措施，而是要推断出可能相关的其他技术和管理漏洞，找出病“根”，开出有效的“处方”。这需要强大的评估经验知识库支撑，同时要求评估者具有敏锐的分析能力。
3.5 集中化决策管理
安全风险评估需要具有多种知识和能力的人参与，对这些能力和知识的管理，有助于提高评估的效果。集中化决策管理，是评估项目成功的保障条件之一，它不仅是项目管理问题，而且是知识、能力等“基因”的组合运用。必须选用具有特殊技能的人，去执行相应的关键任务。如控制台审计和渗透性测试，由不具备攻防经验和知识的人执行，就达不到任何效果。
3.6 评估结果管理
安全风险评估的输出，不应是文档的堆砌，而是一套能够进行记录、管理的系统。它可能不是一个完整的风险管理系统，但至少是一个非常重要的可管理的风险表述系统。企业需要这样的评估管理系统，使用它来指导评估过程，管理评估结果，以便在管理层面提高评估效果。
4．风险评估的过程
4.1 前期准备阶段
主要任务是明确评估目标，确定评估所涉及的业务范围，签署相关合同及协议，接收被评估对象已存在的相关资料。展开对被评估对象的调查研究工作。
4.2 中期现场阶段
编写测评方案，准备现场测试表、管理问卷，展开现场阶段的测试和调查研究阶段。
4.3 后期评估阶段
撰写系统测试报告。进行补充调查研究，评估组依据系统测试报告和补充调研结果形成最终的系统风险评估报告。
5．风险评估的错误理解
（1） 不能把最终的系统风险评估报告认为是结果唯一。
（2）不能认为风险评估可以发现所有的安全问题。
（3） 不能认为风险评估可以一劳永逸的解决安全问题。
（4）不能认为风险评估就是漏洞扫描。
（5）不能认为风险评估就是 IT部门的工作，与其它部门无关。
（6） 不能认为风险评估是对所有信息资产都进行评估。
6．结语
总之，风险评估可以明确信息系统的安全状况和主要安全风险。风险评估是信息系统安全技术体系与管理体系建设的基础。通过风险评估及早发现安全隐患并采取相应的加固方案是信息系统安全工程的重要组成部分，是建立信息系统安全体系的基础和前提。加强信息安全风险评估工作是当前信息安全工作的客观需要和紧迫需求，但是，信息安全评估工作的实施也存在一定的难题，涉及信息安全评估的行业或系统各不相同，并不是所有的评估方法都适用于任何一个行业，要选择合适的评估方法，或开发适合于某一特定行业或系统的特定评估方法，是当前很现实的问题，也会成为下一步研究的重点。
参考文献：
[1] 刚 , 吴昌伦. 信息安全风险评估的策划[J]. 信息技术与标准化 , 2004,(09)
[2] 贾颖禾. 信息安全风险评估[J]. 中国计算机用户 , 2004,(24)
[3] 杨洁. 层次化的企业信息系统风险分析方法研究[J]. 软件导刊 , 2007,(03)
[4] 杨晨. 建立健全信息安全风险评估工作机制势在必行——信息安全专家赵战生访谈[J]. 当代通信 , 2004,(22)
关键词：网络审计 历史财务报表审计 信息安全管理 风险评估
一、引言
从审计的角度，风险评估是现代风险导向审计的核心理念。无论是在历史财务报表审计还是在网络审计中，现代风险导向审计均要求审计师在执行审计工作过程中应以风险评估为中心，通过对被审计单位及其环境的了解，评估确定被审计单位的高风险领域，从而确定审计的范围和重点，进一步决定如何收集、收集多少和收集何种性质的证据，以便更有效地控制和提高审计效果及审计效率。从企业管理的角度，企业风险管理将风险评估作为其基本的要素之一进行规范，要求企业在识别和评估风险可能对企业产生影响的基础上，采取积极的措施来控制风险，降低风险为企业带来损失的概率或缩小损失程度来达到控制目的。信息安全风险评估作为企业风险管理的一部分，是企业信息安全管理的基础和关键环节。尽管如此，风险评估在网络审计、历史财务报表审计和企业信息安全管理等工作中的运用却不尽相同，本文在分析计算机信息系统环境下所有特定风险和网络审计风险基本要素的基础上，从风险评估中应关注的风险范围、风险评估的目的、内容、程序及实施流程等内容展开，将网络审计与历史财务报表审计和信息安全管理的风险评估进行对比分析，以期深化对网络审计风险评估的理解。
二、网络审计与历史财务报表审计的风险评估比较
(一)审计风险要素根据美国注册会计师协会的第47号审计标准说明中的审计风险模型，审计风险又由固有风险、控制风险和检查风险构成。其中，固有风险是指不考虑被审计单位相关的内部控制政策或程序的情况下，其财务报表某项认定产生重大错报的可能性；控制风险是被审计单位内部控制未能及时防止或发现财务报表上某项错报或漏报的可能性；检查风险是审计人员通过预定的审计程序未能发现被审计单位财务报表上存在重大错报或漏报的可能性。在网络审计中，审计风险仍然包括固有风险、控制风险和检查风险要素，但其具体内容直接受计算机网络环境下信息系统特定风险的影响。计算机及网络技术的应用能提高企业经营活动的效率，为企业的经营管理带来很大的优越性，但同时也为企业带来了一些新的风险。这些新的风险主要表现为：(1)数据与职责过于集中化。由于手工系统中的职责分工、互相牵制等控制措施都被归并到计算机系统自动处理过程中去了，这些集中的数据库技术无疑会增加数据纵和破坏的风险。(2)系统程序易于被非法调用甚至遭到篡改。由于计算机系统有较高的技术要求，非专业人员难以察觉计算机舞弊的线索，这加大了数据被非法使用的可能性。如经过批准的系统使用人员滥用系统，或者说，企业对接近信息缺乏控制使得重要的数据或程序被盗窃等。(3)错误程序的风险，例如程序中的差错反复和差错级联、数据处理不合逻辑、甚至是程序本身存在错误等。(4)信息系统缺乏应用的审计接口，使得审计人员在审计工作中难以有效地采集或获取企业信息系统中的数据，从而无法正常开展审计工作。(5)网络系统在技术和商业上的风险，如计算机信息系统所依赖的硬件设备可能出现一些不可预料的故障，或者信息系统所依赖的物理工作环境可能对整个信息系统的运行效能带来影响等。相对应地，网络审计的固有风险主要是指系统环境风险，即财务电算化系统本身所处的环境引起的风险，它可分为硬件环境风险和软件环境风险。控制风险包括系统控制风险和财务数据风险，其中，系统控制风险是指会计电算化系统的内部控制不严密造成的风险，财务数据风险是指电磁性财务数据被篡改的可能性。检查风险包括审计软件风险和人员操作风险，审计软件风险是指计算机审计软件本身缺陷原因造成的风险，人员操作风险是指计算机审计系统的操作人员、技术人员和开发人员等在工作中由于主观或客观原因造成的风险。
(二)风险评估目的无论在网络审计还是历史财务报表审计中，风险评估只是审计的一项重要程序，贯穿于审计的整个过程。与其他审计程序紧密联系而不是一项独立的活动。尽管如此，两者所关注的风险范围则有所不同。历史财务报表审计的风险评估要求审计人员主要关注的是被审计单位的重大错报风险――财务报表在审计前存在重大错报的可能性。由于网络审计的审计对象包括被审计单位基于网络的财务信息和网络财务信息系统两类，因此审计人员关注的风险应是被审计单位经营过程中与该两类审计对象相关的风险。(1)对于与企业网络财务信息系统相关的风险，审计人员应该从信息系统生命周期的各个阶段和信息系统的各组成部分及运行环境两方面出发进行评估。信息系统生命周期是指该信息系统从产生到完成乃至进入维护的各个阶段及其活动，无论是在早期的线性开发模型中还是在更为复杂的螺旋式等模型中，一个信息系统的生命周期大都包括规划和启动、设计开发或采购、集成实现、运行和维护、废弃等五个基本阶段。由于信息系统在不同阶段的活动内容不同，企业在不同阶段的控制目标和控制行为也会有所不同，因此，审计人员的风险评估应该贯穿于信息系统的整个生命周期。信息系统的组成部分是指构成该信息系统的硬件、软件及数据等，信息系统的运行环境是指信息系统正常运行使用所依托的物理和管理平台。具体可将其分为五个层面：物理层，即信息系统运行所必备的机房、设备、办公场所、系统线路及相关环境；网络层，即信息系统所需的网络架构的安全情况、网络设备的漏洞情况、网络设备配置的缺陷情况等；系统层，即信息系统本身的漏洞情况、配置的缺陷情况；应用层，即信息系统所使用的应用软件的漏洞情况、安全功能缺陷情况；管理层，即被审计单位在该信息系统的运行使用过程中的组织、策略、技术管理等方面的情况。(2)对于与企业基于网络的财务信息相关的风险，审计人员应着重关注财务信息的重大错报风险和信息的安全风险。重大错报风险主要指被审计单位基于网络的相关财务信息存在重大错报的可能性，它是针对企业借助于网络信息系统或网络技术对有关账户、交易或事项进行确认、计量或披露而言。网络审计中关注的重大错报风险与传统审CtT的内涵基本上是一致的，审计人员在审计时应当考虑被审计单位的行业状况、经营性质、法律及监管环境、会计政策和会计方法的选用、财务业绩的衡量和评价等方面的情况对财务信息错报可能的影响。信息安全风险涉及信息的保密性、完整性、可用性及敏感性等方面可能存在的风险，主要针对企业利用信息系统或一定的网络平台来存储、传输、披露相关财务信息而言。在审计过程中，审eta员应当主要关注相关财务信息被盗用、非法攻击或篡改及非法使用的可能性。当然，这两类风险并非完全分离的，评估时审计人员应将两者结合起来考虑。
(三)风险评估内容 广泛意义的风险评估是指考虑潜在事件对目标实现的影响程度。由于网络审计与历史财务报表审计风险评估的目的并不完全相同，因此两者在风险评估的内容上也是存在区别的。总的来说，网络审计的风险评估内容比历史财务报表审计的风险评估内容更广泛和深入。根据《中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风
险》，在历史财务报表审计中，审计人员的风险评估应以了解被审计单位及其环境为内容。为识别和评价重大错报风险，审计人员了解的具体内容包括被审计单位所在行业状况、法律环境与监管环境以及其他外部因素、被审计单位的性质、被审计单位对会计政策的选择和运用、被审计单位的目标、战略以及相关经营风险、被审计单位财务业绩的衡量和评价及被审it@位的内部控制等。在网络审计中。为了识别和评估上文所述的两类风险，审计人员除了从以上方面了解被审计单位及其环境外，还应该关注其他相关的潜在事件及其影响，尤其是企业的财务信息系统及基于网络的财务信息可能面l临的威胁或存在的脆弱点。其中，威胁是指对信息系统及财务信息构成潜在破坏的可能性因素或者事件，它可能是一些如工作人员缺乏责任心、专业技能不足或恶意篡改等人为因素，也可能是一些如灰尘、火灾或通讯线路故障等环境因素。脆弱点是指信息系统及基于网络的财务信息所存在的薄弱环节，它是系统或网络财务信息本身固有的，包括物理环境、组织、过程、人员、管理、配置、硬软件及信息等各方面的弱点。一般来说，脆弱点本身不会带来损失或信息错报，威胁却总是要利用网络、系统的弱点来成功地引起破坏。因此，我们认为网络审计申风险评估的内容应包括以下几方面：(1)识别被审计单位财务信息系统及其基于网络的财务信息可能面临的威胁，并分析威胁发生的可能性；(2)识别被审计单位财务信息系统及其基于网络的财务信息可能存在的脆弱点，并分析脆弱点的严重程度；(3)根据威胁发生的可能性和脆弱点发生的严重程度，判断风险发生的可能性；(4)根据风险发生的可能性，评价风险对财务信息系统和基于网络的财务信息可能带来的影响；(5)若被审计单位存在风险防范或化解措施，审计人员在进行风险评估时还应该考虑相应措施的可行性及有效性。
(四)风险评估程序《中国注册会计师审计准则第1211-----了解被审计单位及其环境并评估重大错报风险》中要求，审计人员应当实施询问、分析程序、观察和检查等程序，以获取被审计单位的信息，进而评估被审计单位的重大错报风险。这些程序同样适用于网络审计中的风险评估。但在具体运用时网络审计中更加注重了解和分析被审计单位与信息系统及网络技术使用相关的事项。在实施询问程序时，审计人员的询问对象围绕信息系统和基于网络的财务信息可大致分为管理人员、系统开发和维护人员(或信息编制人员)、系统使用人员(或信息的内部使用人员)、系统或网络技术顾问及其他外部相关人员(如律师)等五类，分别从不同角度了解信息系统和基于网络的财务信息可能存在的威胁和脆弱点。在实施分析程序时，除了研究财务数据及与财务信息相关的非财务数据可能的异常趋势外，审计人员应格外关注对信息系统及网络的特性情况，被审计单位对信息系统的使用情况等内容的分析比较。实施观察和检查时，除执行常规程序外，审计人员应注意观察信息系统的操作使用和检查信息系统文档。除此之外，针对特定系统或网络技术风险的评估，审计人员还需要实施一些特定的程序。技术方面如IOS取样分析、渗透测试、工具扫描、安全策略分析等；管理方面如风险问卷调查、风险顾问访谈、风险策略分析、文档审核等。其中，IDS取样分析是指通过在核心网络采样监听通信数据方式，获取网络中存在的攻击和蠕虫行为，并对通信流量进行分析；渗透测试是指在获取用户授权后，通过真实模拟黑客使用的工具、方法来进行实际漏洞发现和利用的安全测试方法；工具扫描是指通过评估工具软件或专用安全评估系统自动获取评估对象的脆弱性信息，包括主机扫描、网络扫描、数据库扫描等，用于分析系统、应用、网络设备存在的常见漏洞。风险问卷调查与风险顾问访谈要求审计人员分别采用问卷和面谈的方式向有关主体了解被审计单位的风险状况，使用时关键是要明确问卷或访谈的对象情况风险策略分析要求审计人员对企业所设定的风险管理和应对策略的有效性进行分析，进而评价企业相关风险发生的概率以及可能带来的损失；文档审核是一种事前评价方法，属于前置软件测试的一部分，主要包括需求文档测试和设计文档测试。这些特定程序主要是针对被审计单位信息系统和基于网络的财务信息在网络安全风险方面进行评价，审计人员在具体使用时应结合被审计单位的业务性质选择合适的程序。
三、网络审计与信息安全管理的风险评估比较
(一)风险评估的目的信息安全管理中的风险评估(即信息安全风险评估)是指根据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程。作为信息安全保障体系建立过程中的重要的评价方法和决策机制，信息安全风险评估是企业管理的组成部分，它具有规划、组织、协调和控制等管理的基本特征，其主要目的在于从企业内部风险管理的角度，在系统分析和评估风险发生的可能性及带来的损失的基础上，提出有针对性的防护和整改措施，将企业面临或遭遇的风险控制在可接受水平，最大限度地保证组织的信息安全。而网络审计是由独立审计人员向企业提供的一项鉴证服务，其风险评估的目的在于识别和评价潜在事件对被审计单位基于网络的财务信息的合法性、公允性以及网络财务信息系统的合规性、可靠性和有效性的影响程度，从而指导进一步审计程序。因此，两者风险评估的目的是不一样。从评估所应关注的风险范围来看，两者具有一致性，即都需要考虑与信息系统和信息相关的风险。但是，具体的关注边界则是不一样的。信息安全风险评估要评估企业资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响，它要求评估人员关注与企业整个信息系统和所有的信息相关的风险，包括实体安全风险、数据安全风险、软件安全风险、运行安全风险等。网络审计中，审计人员是对被审计单位的网络财务信息系统和基于网络的财务信息发表意见，因此，风险评估时审计人员主要关注的是与企业财务信息系统和基于网络的财务信息相关的风险，而不是与企业的整个信息系统和所有的信息相关的风险。根据评估实施者的不同，信息安全风险评估形式包括自评估和他评估。自评估是由组织自身对所拥有的信息系统进行的风险评估活动；他评估通常是由组织的上级主管机关或业务主管机关发起的，旨在依据已经颁布的法规或标准进行的具有强制意味的检查。自评估和他评估都可以通过风险评估服务机构进行咨询、服务、培训以及风险评估有关工具的提供。因此。对审计人员而言，受托执行的信息安全风险评估应当归属于管理咨询类，即属于非鉴证业务，与网络审计严格区分开来。
(二)风险评估的内容在我国国家质量监督检验检疫总局的《信息安全风险评估指南》(征求意见稿)国家标准中，它将信息安全风险评估的内容分为两部分：基本要素和相关属性，提出信息安全风险评估应围绕其基本要素展开，并充分考虑与这些基本要素相关的其他属性。其中，风险评估的基本要素包括资产、脆弱性、威胁、风险和安全措施；相关属性包括业务战略、资产价值、安全需求、安全事件、残余风险等。在此基础上的风险计算过程是：(1)对信息资产进行识别，并对资产赋值；(2)对威胁进行分析，并对威
胁发生的可能性赋值；(3)识别信息资产的脆弱性，并对弱点的严重程度赋值；(4)根据威胁和脆弱性计算安全事件发生的可能性；(5)根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失；(6)根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。结合上文网络审计风险评估五个方面的内容可以看出，网络审计和信息安全风险评估在内容上有相近之处，即都需要针对信息系统和信息可能面临的威胁和存在的脆弱点进行识别。但是，信息安全管理作为企业的一项内部管理，其风险评估工作需要从两个层次展开：一是评估风险发生的可能性及其影响；二是提出防护或整改措施以控制风险。第一个层次的工作实质上是为第二层次工作服务的，其重点在第二层次。《信息安全风险评估指南》(征求意见稿)提出，企业在确定出风险水平后，应对不可接受的风险选择适当的处理方式及控制措施，并形成风险处理计划。其中，风险处理的方式包括回避风险、降低风险、转移风险、接受风险，而控制措施的选择应兼顾管理和技术，考虑企业发展战略、企业文化、人员素质，并特别关注成本与风险的平衡。网络审计的风险评估工作主要集中在第一个层次，即审计人员通过风险评估，为进一步审计中做出合理的职业判断、有效地实施网络审计程序和实现网络审计目标提供重要基础。因此，两者的评估内容是存在区别的。
档案信息安全保障体系的建设取得了一定的成绩，但同时存在许多问题，我们必须及时加以纠正和改进。档案信息安全保障体系的建设不是一蹴而就的，是一个复杂的社会工程。首先要纳入国家信息安全保障体系和电子政务信息安全保障体系的总体格局中，其次学习国内外保障体系建设的经验，结合档案信息资源的自身特点，将档案信息安全保障体系建设落到实处。档案信息安全保障存在的问题
1．对档案信息安全保护和保障概念混淆
信息安全是一个发展的概念，从通信保密、信息保护发展到信息保障，或者说是从保密、保护发展到保障。每个阶段的安全属性也是不断扩展的，保密阶段为保密性：保护阶段为保密性、完整性和可用性；保障阶段为保密性、完整性、可用性、真实性和不可否认性，甚至在国际标准《信息安全管理体系规范》ISO／IEC17799：2005中，又增加了可追溯性和可控性。信息安全属性也是信息安全的目标。保障阶段应采取相应的措施达到“七性”。
信息安全保障的提出最早源自美国。1996年美国国防部(DoD)在国防部令S-3600，1对信息安全保障作了如下定义：“保护和防御信息及信息系统，确保其可用性、完整性、保密性、可认证性、不可否认性等特性。这包括在信息系统中融入保护、检测、反应功能，并提供信息系统的恢复功能。”除安全属性不断丰富外，安全保障与安全保护主要区别是主动防御和动态保护。而与之对应的信息保护是静态保护(安全措施基本不变)和被动保护(发生安全事故后再采取防护措施)。
然而，目前大部分档案信息安全保障仍只达到安全保护水平。将安全保护和安全保障概念混淆，造成保障阶段的能力也停留在保护水平，不能从主动防御和动态保护来保障档案信息安全。在具体操作上。仍以身份认证、数据备份、安装防火墙、杀毒软件和入侵检测等被动保护措施为主。在日益复杂的档案信息系统和网络环境下，档案信息得不到应有的保障。
2．偏重技术，忽视管理
在美国国防部对安全保障的定义中，“保护、检测、反应和恢复”不仅体现动态保护，还体现安全管理，安全保障也是一个管理过程。
然而长期以来，人们对档案信息安全偏重于依靠技术。但事实上仅仅依靠技术和产品保障信息安全的愿望却往往难尽人意，许多复杂、多变的安全威胁和隐患靠产品是无法消除的，尤其是对内网用户的管理。“三分技术，七分管理”这个在其他领域总结出来的实践经验和原则。在档案信息安全领域也同样适用。据有关部门统计。在所有的信息安全事件中，属于管理方面的原因比重高达70％以上，而这些安全问题是可以通过科学的信息安全管理来避免的。因此，安全管理已成为保障档案信息安全的重要措施。
目前，国际上实现信息安全管理的有效手段是在信息安全等级保护制度下，进行信息安全风险评估。“早在20世纪70年代初期美国政府就提出了风险评估的要求。2002年颁布的《2002联邦信息安全管理法》对政务信息安全风险评估提出了更加具体的要求。”欧洲等其他信息化发达国家也非常重视开展信息安全风险评估工作，将开展信息安全风险评估工作作为提高信息安全保障水平的重要手段。国外风险评估标准主要有：BS7799、ISO／1EC 17799、OCTAVE、NIST SP800―30、AS／NZ54360、SSE―CMM等。
3．缺失安全评估体系
目前，我国档案信息安全保障体系的建设处于各自为政状态，没有将基于等级保护制度下的档案信息安全风险评估提到议事日程上来。由此造成档案信息系统建立并采取安全措施后，仍不能明确自己的网络和应用系统是否达到安全要求?还有哪些安全漏洞?可能造成多大危害?应该怎样解决?系统升级或调整后又存在哪些安全风险?如何规划档案信息安全保障体系建设?作为档案信息系统的拥有者、档案信息系统安全构建者和档案信息系统安全的监管者，必须有统一的风险评估标准，才可以做到档案信息安全与否谁也不能说了算，而应该按照统一的风险评估标准来评价是否安全。应采取什么措施。
档案信息安全保障状况需进行风险评估
2006年3月7日，酝酿已久的《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》(简称《意见》)正式对外公布。《意见》要求。各信息化和信息安全主管部门要从抓试点开始，逐步探索组织实施和管理的经验，用三年左右的时间在我国基础信息网络和重要信息系统普遍推行信息安全风险评估工作，全面提升网络和信息系统安全保障能力。
2005年9月，国务院信息化工作办公室专门组织成立了“电子政务信息安全工作组”，并已编制了《电子政务信息安全等级保护实施指南(试行)》，其中提出将风险评估贯穿等级保护工作的整个流程。所以，作为电子政务系统中保存和管理信息的档案信息系统，与电子政务一脉相承，进行风险评估是迟早的事。对档案信息安全保障进行风险评估主要有如下优势。
1．将档案信息安全保障体系纳入国家信息保障体系
国家已制定了风险评估标准GB／T 20948―2007《信息安全风险评估规范》，并将于2007年11月1日正式实施。作为我国信息资源重要组成部分的档案信息，必须积极响应国家信息安全政策和纳入国家信息安全保障体系的总体格局。档案信息安全风险评估可在此标准的基础上，结合档案信息自身特点，先开始在综合档案馆和电信、银行、税务、电力等大型档案信息管理系统中试验，在此基础上再逐步推广，达到国家要求“2006年后三年内在我国基础信息网络和重要信息系统普遍推行信息安全风险评估工作”基本目标。
2．规范档案信息安全保障体系建设
在档案信息化过程中。我们已经制定了GB／T17678.1―1999《CA D电子文件光盘存储、归档与档案管理要求。第一部分：电子文件归档与档案管理》、GB／T18894―2002《电子文件归档与管理规范》、GB/T20163―2006《中国档案机读目录格式》、DA／T 22―2000《归档文件整理规则》和DMT 3l一2005《纸质档案数字化技术规范》等国家标准和行业标准，然而与档案信息安全相关的标准尚未出台，造成目前档案信息安全保障体系的建设处于各自为政状态。档案信息风险评估的开展。虽然可以参照国际和国家标准，但最终还必须有针对性强的行业标准。为了改变目前的现状，档案行政管理部门应重视针对档案信息安全保障政策和标准的建设，抓住国家推广信息安全风险评估的机会。从风险评估作为切入点，制定档案信息风险评估和其他安全相关标准，规范档案信息安全保障的建设。由于对档案信息风险评估是以信息安全保障要求为前提的，所以只要进行风险评估就可以纠正信息保护和保障的混淆，并确认是否达到相应的保障要求。
3．贯彻安全技术和管理并重，保障档案信息安全
等级保护和风险评估是信息安全管理的核心内容，是信息安全管理的具体体现。国家提倡在等级保护制度下进行风险评估，就是在对信息系统划分等级后，采用风险评估测评系统是否达到相应等级的安全要求，这样可以改变以往只建设不测评的现状。同时，风险评估还要求贯穿信息系统的整个生命周期，即在信息系统的分析、设计、实现和运行维护的整个生命周期内，都将进行定期或不定期的风险评估，也体现信息安全保障的动态安全和主动防御。以往在我们档案信息安全保障的建设中也强调信息安全管理机制的构建，而风险评估就是很好的体现。风险评估的进行过程中。有相应的安全策略，按照“谁主管谁负责、谁运行谁负责”的要求，对在岗的每一位员工也有相应的安全职责，这样也提高了员工的安全意识。
4．完善档案信息安奎保障体系
对于已建、在建或将建的档案信息系统，以往没有进行风险评估的，应积极开展这项工作，在没有正式出台专门档案信息风险评估标准前，可参照国内国际标准进行，或者参与到电子政务信息的等级保护和风险评估中去。当然风险评估并不是信息安全保障的唯一手段(还包括等级保护、应急响应和灾难恢复等)，但它是档案信息安全保障不可或缺的一个重要环节。通过风险评估，可完善目前还没有达到保障要求的档案信息系统安全保障。另外，对于新建设的档案信息系统在设计阶段就要融入风险评估，这样可以防患于未然。
5．监督和检查档案信息安全保障建设
关键词：风险评估；FMEA；资产价值；威胁；脆弱性；失效影响；风险值
中图分类号：C93 文献标识码：A
原标题：FMEA信息安全风险评估模型在检验检疫系统内的应用
收录日期：2014年8月26日
一、背景
1998年3月，成立了中华人民共和国出入境检验检疫局（国家进出口商品检验局、原农业部动植物检疫局和原卫生部检疫局合并组建）。出入境检验检疫机构全面推行“一次报验、一次取样、一次检验检疫、一次卫生除害处理、一次收费、一次签证放行”六个一的管理模式，对外简化办事手续，避免政出多门、提高工作效率、方便外贸进出口、降低收费、减轻企业负担、强化依法把关力度、促进外贸经济健康发展具有十分重要的意义。
信息化工作是检验检疫业务中一项重要的基础性工作，信息技术的应用提高了检验检疫把关服务能力，为全面履行检验检疫职能提供了强有力的技术支撑和科技保障。在实际工作中，我们看到大量信息技术被应用在检验检疫业务中，如 “预警信息管理系统助力医学媒介生物监测鉴定”、“体温筛查系统助力旅客通关”、“视频监控系统助力口岸防控”、“射频RAID技术助力进出口货物检验检疫跟踪”成为推动检验检疫服务水平与业务高效、创新的重要手段。而在检验检疫系统的内部管理中，“CIQ2000系统数据大集中”、“视频会议系统全覆盖”、“业务无纸化流转”、“政务网站大整合”等，成为提升检验检疫工作质量和工作效率强有力的助推器。
随着检验检疫业务（以下简称“CIQ”业务）对信息系统依赖程度的日益增强，信息安全问题受到普遍关注。运用风险评估去识别安全风险，解决信息安全问题得到了广泛的认识和应用。
信息安全风险评估就是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施；为防范和化解信息安全风险，将风险控制在可接受的水平，从而最大限度地保障信息安全提供科学依据。
信息安全风险评估作为信息安全保障工作的基础性工作和重要环节，要贯穿于信息系统的规划、设计、实施、运行维护以及废弃各个阶段，是信息安全管理体系与信息安全等级保护制度建设的重要科学方法之一。
二、风险评估介绍
目前最普遍使用的信息安全风险评估方法就是风险评估的国际标准ISO13335：2005，该标准已被等同转化为中国国家标准《GB/T 20984：2007 信息安全技术 信息安全风险评估规范》（简称《国标GB/T 20984》）。其中，关于风险大小的决定性因素的描述如下：1、业务战略的实现对资产具有依赖性，依赖程度越高，要求其风险越小；2、资产是有价值的，组织的业务战略对资产的依赖程度越高，资产价值就越大；3、风险是由威胁引发的，资产面临的威胁越多则风险越大；4、资产的脆弱性可能暴露资产的价值，资产具有的脆弱性越多则风险越大；5、脆弱性是未被满足的安全需求，威胁利用脆弱性危害资产。
对以上内容进行归纳，总结出风险分析的原理如图1所示。（图1）即，风险的大小是由风险的可能性和严重性决定的，威胁频率和脆弱性决定风险的可能性（L），资产价值和脆弱性决定了风险的严重性（F），通过识别资产价值（A）、威胁（T）和资产脆弱性（V）就可以计算出该资产的风险值。
因此，风险分析的主要内容就是：1、对资产进行识别，并对资产的价值进行赋值；2、对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；3、对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；4、根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性；5、根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失；6、根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。
风险值=R（V，P，W）=R（O（P，W），S （V，W））。（为了与后文统一，在公式中用V、P、W、O、S替换了《GB/T 20984》561章节原文中的对应字母符号）
其中，R表示安全风险计算函数；V表示资产价值；P表示威胁频率；W表示脆弱性；O表示威胁利用资产的脆弱性导致安全事件的可能性；S表示安全事件发生后造成的损失。有以下三个关键计算环节：
（一）计算安全事件发生的可能性。根据威胁出现频率及脆弱性的状况，计算威胁利用脆弱性导致安全事件发生的可能性，即：安全事件的可能性=L（威胁出现频率，脆弱性）=O （P，W）。
在具体评估中，应综合攻击者技术能力（专业技术程度、攻击设备等）、脆弱性被利用的难易程度（可访问时间、设计和操作知识公开程度等）、资产吸引力等因素来判断安全事件发生的可能性。
（二）计算安全事件发生后造成的损失。根据资产价值及脆弱性严重程度，计算安全事件一旦发生后所造成的损失，即：安全事件造成的损失=F（资产价值，脆弱性严重程度）=S （V，W）。
部分安全事件的发生造成的损失不仅仅是针对该资产本身，还可能影响业务的连续性；不同安全事件的发生对组织的影响也是不一样的。在计算某个安全事件的损失时，应将对组织的影响也考虑在内。
部分安全事件造成的损失的判断还应参照安全事件发生可能性的结果，对发生可能性极小的安全事件，如处于非地震带的地震威胁、在采取完备供电措施状况下的电力故障威胁等，可以不计算其损失。
（三）计算风险值。根据计算出的安全事件的可能性以及安全事件造成的损失，计算风险值，即：风险值=R（安全事件的可能性，安全事件造成的损失）=R（O （P，W），S （V，W））。
评估者可根据自身情况选择相应的风险计算方法计算风险值，如矩阵法或相乘法。矩阵法通过构造一个二维矩阵，形成安全事件的可能性与安全事件造成的损失之间的二维关系；相乘法通过构造经验函数，将安全事件的可能性与安全事件造成的损失进行运算得到风险值。
三、什么是FMEA风险评估方法
（一）FMEA的起源和背景。国际标准化组织（ISO）于2002年3月公布了一项行业性的质量体系要求，它的全名是“质量管理体系―汽车行业生产件与相关服务件的组织实施ISO9001：2000的特殊要求”，英文为ISO/TS16949。标准中提供了实施必需的五大工具以保障体系的有效落地，它们分别是：产品质量先期策划（APQP）、测量系统分析（MSA）、统计过程控制（SPC）、生产件批准（PPAP）和潜在失效模式与后果分析（FMEA）。
潜在失效模式与后果分析（FMEA），又称为失效模式与影响后果分析、失效模式与效应分析、故障模式与后果分析或故障模式与效应分析等，是一种操作规程，旨在对系统范围内潜在的失效模式加以分析，以便按照严重程度加以分类，或者确定失效对于该系统的影响。FMEA广泛应用于制造行业产品生命周期、质量控制、风险分析等的各个阶段；而且FMEA在服务行业的应用也在日益增多。失效原因是指业务服务、产品加工处理、设计过程中或项目/物品/信息资产项、本身存在的任何错误或缺陷，尤其是那些将会对业务保障（或具体消费者）造成影响的错误或缺陷；失效原因可分为潜在的和实际的。影响分析指的是对于这些失效之处的调查研究。
FMEA是一种过程评价工具，于1950年起源于美国军方和宇航局，它是通过逐一分析过程中的各种组成因素，找出潜在的失效模式，分析可能产生的后果，并评估其风险，从而提前采取措施，以减少失效后的损失，降低发生的几率，所以在本文中引入FMEA的分析方法来解决传统风险评估方法中存在的一些缺陷。
（二）FMEA风险评估的原理。虽然ISO13335是目前全球使用最广泛的信息安全风险评估方法论，但是由于这份标准是2005年制定的，至今已有十余个年头。而这十年是信息技术蓬勃发展的十年，大量新的技术手段涌现并被人们使用。大数据、物联网、云计算等等这些新技术在带来技术革新和应用便利的同时，也带来了新的安全隐患。我们需要关注的风险除了资产本身的风险之外，还需要关注资产失效后的影响衍生出的风险，而传统方法在这一领域又难以有效地准确评价出风险的大小，因此我们需要一种能够更准确反映风险大小的评估方法。
对于风险值大小，我们还是遵循原有的规律，即严重性越高的风险越高；可能性越大的风险越高，即风险与严重性和可能性成正比。如图2所示。（图2）
在测量风险的严重性和可能性方面，相对于ISO13335：2005，我们多引入了一个参数，失效模式的影响（E），这个参数可能会影响到风险的严重性。因此，FMEA的风险评估方法论可以总结为：1、所有资产自身都有一定的脆弱性；2、威胁利用了资产的脆弱性导致了资产的失效；3、由于资产的失效而产生了风险；4、不同失效的程度导致风险的严重程度不同；5、资产价值和资产失效程度影响风险的严重性；6、威胁的频率和弱点被利用的难易程度影响风险的可能性；7、严重性和可能性决定了最终的风险值。
对已上内容进行归纳，总结出风险分析的原理如图3所示。（图3）
四、FMEA风险评估在CIQ的应用
FMEA风险评估方法自2008年首次被开发在信息安全管理体系中应用并于2009年通过国际第三方权威审核机构的ISO27001认证，经过多年的修订和持续研发，目前在中国检验检疫系统内已经有常州出入境检验检疫局、苏州出入境检验检疫局、江阴出入境检验检疫局等分支局在使用，跟检验检疫业务有关联性的海关、口岸等相关单位也有部分落地的案例。
（一）失效影响的赋值。FMEA风险评估方法的核心是引入了“失效模式的影响（E）”这一评估参数使得得到的风险值更加准确。如何对“失效模式的影响（E）”进行赋值，就是FMEA风险评估方法用于实际风险值计算的关键。
在《国标GB/T 20984》中将风险评估的所有参数（资产保密性、资产完整性、资产可用性、资产等级、威胁频率、脆弱性）均分为5个级别进行赋值，1级最低，5级最高。因为在计算风险值时也需要用到以上参数，为了保持与《国标GB/T 20984》的兼容性，我们将“失效模式的影响（E）”也同样分为5个级别，如表1所示。（表1）
为了方便应用，我们将这五个级别分别对应为下列五种失效程度，如表2所示。（表2）
（二）FMEA风险计算的原理。FMEA风险计算是通过资产价值（V）、失效影响（E）、威胁频率（P）和脆弱性（W）四个参数通过数学方法计算得到风险值（RPN）。
1、建立FMEA风险计算的数学模型首先要满足参数对风险值影响的方向：
（1）因为资产价值（V）、失效影响（E）、威胁频率（P）和脆弱性（W）对最终的风险值（RPN）为正向影响，所以V、E、P、W的数值与RPN数值成正比。
（2）V、E、P、W四个参数都大的风险值必然大，即：若V1>V2；E1>E2；P1>P2；W1>W2，则RPN（V1、E1、P1、W1）>RPN（V2、E2、P2、W2）。
（3）若任意三个参数相同，第四个参数大的风险值大，即：若V1>V2，则RPN（V1、E1、P1、W1）>RPN（V2、E1、P1、W1）；若E1>E2，则RPN（V1、E1、P1、W1）>RPN（V1、E2、P1、W1）；若P1>P2，则RPN（V1、E1、P1、W1）>RPN（V1、E1、P2、W1）；若W1>W2，则RPN（V1、E1、P1、W1）>RPN（V1、E1、P1、W2）。
2、为了准确评价数学模型的有效性，应将模型计算值的影响因素减至最少，提供一个不受权重等因素影响的纯净模型，以便于及时调整。
（1）风险计算的四个参数，资产价值（V）、失效影响（E）、威胁频率（P）和脆弱性（W）对最终的风险值（RPN）的影响应该是相同的，即：RPN（V、E、P、W）=RPN（2、3、3、2）=RPN（2、2、3、3）=RPN（3、2、2、3）=RPN（3、3、2、2）。
（2）风险计算的四个参数，资产价值（V）、失效影响（E）、威胁频率（P）和脆弱性（W）的增幅对最终的风险值（RPN）的影响应该是相同的，即：RPN（V1、E1、P1、W1）-RPN（V2、E2、P2、W2）=RPN（5、5、5、5）-RPN（4、4、4、4）=RPN（4、4、4、4）-RPN（3、3、3、3）=RPN（3、3、3、3）-RPN（2、2、2、2）=RPN（2、2、2、2）-RPN（1、1、1、1）。
（3）在纯净风险模型计算结果的基础上，通过对比风险计算结果和实际风险差距，对风险分析的各个维度权重进行调整。
（三）FMEA风险计算公式。风险评估中资产的价值不是以资产的经济价值来衡量，而是由资产在保密性、完整性、可用性这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性，以及已采用的安全措施都将对资产安全属性的达成程度产生影响。
风险计算方法：1、保密性、完整性和可用性决定资产价值：（1）保密性越高，资产价值越大；（2）完整性越高，资产价值越大；（3）可用性越高，资产价值越大。2、资产价值、资产失效程度决定风险严重性。3、威胁频率和资产脆弱性决定风险可能性。4、风险严重性与风险可能性决定风险值：（1）资产价值越高，资产失效后风险越大；（2）资产失效越严重则风险越大；（3）风险是由威胁引发的，资产面临的威胁越多则风险越大；（4）资产的脆弱性可能暴露资产的价值，资产具有的脆弱性越多则风险越大。
风险计算公式：
资产价值V=
严重性S=
可能性O=
风险值RPN=
RPN=
其中，C、I、A、E、P、W是风险值RPN的计算参数，x、y、z、m、n、i、j、α、β是以上计算参数的权重。
假设权重系数全部为1的情况下，风险计算公式为：
RPN=
若在风险分析中，我们更侧重于某项参数对风险值的影响，则可以调整该参数的权重值，如我们将权重参数设置为x=1、y=1、z=1、m=1、n=2、i=1、j=1、α=1、β=1，则表示失效影响（E）对风险值的影响更大，我们优先降低失效影响，可以更高效控制风险。
（四）FMEA风险评估在CIQ的应用成果。2012年末，常州出入境检验检疫局顺利通过中国信息安全认证中心（简称ISCCC）的ISO27001信息安全管理体系现场审核，成为国内首家实施信息安全管理体系并通过ISO27001认证的政府机构。2012年中国合格评定国家认可委员会（简称CNAS）信息安全认证专业委员会年会上，该项目被选为推荐案例，并受邀出席会议现场介绍体系建设、推广的成功经验，其中FMEA风险评估法作为该项目的重要创新点，受到与会专家的特别关注，并受到与会专家的一致好评。通过对FMEA风险评估方法论的原理和分析模型的详细介绍，经与会专家论证，均认可该方法的先进性已经超越了ISO13335：2005（国标GB/T 20984：2007），在全球信息安全风险评估方法论的理论研究和实践中处于领先水平。
五、结束语
随着中国加入世贸组织，对外贸易和活动日益频繁，出入境检验检疫业务量激增，对信息系统的依赖程度也越来越大，因此对信息安全的要求也逐年提高，风险评估是信息安全管理的基础，其重要性不言而喻。本文系统地阐述了作者在信息安全风险管理领域的研究成果及在检验检疫系统内单位的实施经验，对检验检疫系统内其他单位在信息安全风险评估方面工作具有很好的参考性。
本文在研究的深度上还有待进一步挖掘。特别是对于如何得到“失效模式的影响（E）”这一参数的精确值，作者设想可以从对“失效时间范围”、“失效空间范围”、“失效方式”、“失效程度”、“失效恢复能力”等方面进行分析，通过一个数学模型计算得到以上失效因素对最终“失效模式的影响（E）”变化的影响，以便于分析结果更精准。
主要参考文献：
[1]嵇国光，王大禹，严庆峰ISO＼TS16949五大核心工具应用手册中国标准出版社，2010111
[2]孙远志，吴文忠检验检疫风险管理研究中国计量出版社，201411
[3]GB7826-87系统可靠性分析技术，失效模式和效应分析（FMEA）程序
[4]GB/T 20984-2007信息安全技术、信息安全风险评估规范中国标准出版社，200781
经过二年多的努力,我国信息安全风险评估国家标准《信息安全风险评估指南》已完成标准文稿编制工作，并由国务院信息办组织, 2005年在北京、上海、黑龙江、云南、人民银行、国家税务总局、国家信息中心与国家电力总公司开展了验证《信息安全风险评估指南》的可行性与可用性的试点工作，如今，《指南》正上报国家标准管理部门批准。
《指南》规定了信息安全风险评估的工作流程、评估内容、评估方法和风险判断准则，适用于信息系统的使用单位进行自我风险评估，以及风险评估机构对信息系统进行独立的风险评估。《信息安全风险评估指南》分为两个部分：第一部分：主体部分。主要介绍风险评估的定义、风险评估的模型以及风险评估的实施过程。第二部分：附录部分。包括信息安全风险评估的方法、工具介绍和实施案例。目的是使用户了解到风险评估方法的多样性和灵活性。
2005年12月16日，国家网络与信息安全协调小组正式通过了《关于开展信息安全风险评估的若干意见》，标志着我国将开始在全国范围内推进信息安全风险评估工作。今年3月，国家计划在重要基础信息网络和重要信息系统开始推行信息安全风险评估工作。
《指南》实施后，开展信息安全风险评估有了依据。另外，可随时掌握系统的安全状态，为及时采取有针对性的应对措施提供依据。《指南》对被评估系统的资产、威胁和脆弱性给出了具体的定级依据,。
最后，可提高信息安全管理工作水平。帮助系统管理者认清信息安全环境、信息安全状况，有助于达成共识，明确责任，采取或完善安全保障措施，使其更加经济有效，并使信息安全策略保持一致性和持续性。
当前，国家关键基础设施对信息系统的依赖性，以及信息系统间的互依赖性越来越强，信息资源越来越复杂，因此，许多重要信息网络和重要信息系统单位对进行信息安全风险评估的需求越来越迫切,一些大的应用行业在考虑信息系统建设的布局时，已经在信息安全评估、咨询和规划方面投入了实质性的资金支持。全国范围内的大规模推广将使市场需求大幅提升。
在信息安全风险评估过程中，要评估的部门会委托一些具有一定资质的信息安全风险评估公司来做除最核心部分以外的信息安全风险评估工作。在这方面专业的信息安全公司都会担当信息安全风险评估的重要角色。
中国软件市场走向和谐
赛迪顾问统计结果显示，2005年，中国软件市场呈现理性发展态势，全年销售额564.65亿元，同比增长17.9%。
2005年的中国软件市场呈现的主要特征有:本地Linux厂商加快整合以应对国际厂商竞争；存储管理需求成为系统管理领域的亮点；中间件平台之争渐入佳境等。
关键词：信息安全；风险评估；风险分析
中图分类号：TP311 文献标识码：A 文章编号：1007-9599 (2011) 22-0000-01
Research and Design of Power Information Network Risk Assessment Auxiliary System
Yang Dawei1,2,Liu Yu2
(1.School of Control and Computer Engineering North China Electric Power University,Baoding 071003,China;2.Panjin Power Supply Company,Panjin 124000,China)
Abstract:This paper designed a multi-expert assessment system,which runs in strict accordance with the"Guide"to assess the risk assessment process,making assessment results more comprehensive and objective.
Keywords:Information Security;Risk Assessment;Risk Analysis
一、前言
电力系统越来越依赖电力信息网络来保障其安全、可靠、高效的运行，该数据信息网络出现的任何信息安全方面的问题都可能波及电力系统的安全、稳定、经济运行，因此电力信息网络的安全保障工作刻不容缓[1，2]。风险评估具体的评估方法从早期简单的纯技术操作，逐渐过渡到目前普遍采用BS7799、OCTAVE、ISO13335、NIST SP800-30等相关标准的方法，充分体现以资产为出发点，以威胁为触发，以技术、管理、运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型[3]。
二、信息安全风险评估
在我国，风险评估工作已经完成了调查研究阶段、标准草案编制阶段和全国试点工作阶段，国信办制定的标准草案《信息安全风险评估指南》[4]（简称《指南》）得到了较好地实践。本文设计的工具是基于《指南》的，涉及内容包括：
（一）风险要素关系。围绕着资产、威胁、脆弱性和安全措施这些基本要素展开，在对基本要素的评估过程中，需要充分考虑业务战略、资产价值、安全需求、安全事件、残余风险等与基本要素相关的各类属性。
（二）风险分析原理。资产的属性是资产价值；威胁的属性可以是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程度。
（三）风险评估流程。包括风险评估准备、资产识别、威胁识别、脆弱性识别、已有安全措施确认、风险分析、风险消减[5]。
三、电力信息网风险评估辅助系统设计与实现
本文设计的信息安全风险评估辅助系统是基于《指南》的标准，设计阶段参考了Nipc-RiskAssessTool-V2.0，Microsoft Security Risk Self-Assessment Tool等风险评估工具。系统采用C/S结构，是一个多专家共同评估的风险评估工具。分为知识库管理端、信息库管理端、系统评估端、评估管理端。其中前两个工具用于更新知识库和信息库。后两个工具是风险评估的主体。下面对系统各部分的功能模块进行详细介绍：
（一）评估管理端。评估管理端控制风险评估的进度，综合管理系统评估端的评估结果。具体表现在：开启评估任务；分配风险评估专家；对准备阶段、资产识别阶段、威胁识别阶段、脆弱性识别阶段、已有控制措施识别阶段、风险分析阶段、选择控制措施阶段这七个阶段多个专家的评估进行确认，对多个专家的评估数据进行综合，得到综合评估结果。
（二）系统评估端。系统评估端由多个专家操作，同时开展评估。系统评估端要经历如下阶段：a.准备阶段：评估系统中CIA的相对重要性；b.资产识别阶段；c.威胁识别阶段；d.脆弱性识别阶段；e.已有控制措施识别阶段；f.风险分析阶段；g.控制措施选择阶段。在完成了风险评估的所有阶段之后，和评估管理端一样，可以浏览、导出、打印评估的结果―风险评估报表系列。
（三）信息库管理端。信息库管理端由资产管理，威胁管理，脆弱点管理，控制措施管理四部分组成。具体功能是：对资产大类、小类进行管理；对威胁列表进行管理；对脆弱点大类、列表进行管理；对控制措施列表进行管理。
（四）知识库管理端。知识库的管理分为系统CIA问卷管理，脆弱点问卷管理，威胁问卷管理，资产属性问卷管理，控制措施问卷管理，控制措施损益问卷管理六部分。
四、总结
信息安全风险评估是一个新兴的领域，本文在介绍了信息安全风险评估研究意义的基础之上，详细阐述了信息安全风险评估辅助工具的结构设计和系统主要部分的功能描述。测试结果表明系统能对已有的控制措施进行识别，分析出已有控制措施的实施效果，为风险处理计划提供依据。
参考文献：
[1]Huisheng Gao,Yiqun Sun，Research on Indices System of Security Risk Evaluation for Electric Power.Optical Fiber Communication Network,IEEE,2007.
[2]Masami Hasegawa,Toshiki Ogawa,Security Measures for the Manufacture and Control System,SICE Annual Conference 2007.
[3]左晓栋等.对信息安全风险评估中几个重要问题的认识[J].计算机安全,2004,7:64-66
关键词 电子政务 信息安全 风险评估
中图分类号：C931 文献标识码：A
1 课题的研究背景与意义
风险管理是信息系统安全运行的必要保证，是运行维护体系中最重要的环节，而风险评估则是风险管理的基础。首先，风险评估是电子政务系统的安全需求。信息安全风险评估是电子政务系统安全保障体系建立过程中的重要评价和决策依据。信息系统安全是相对的，没有绝对的安全系统。因此，为了实现电子政务系统的安全、稳定运行这一目标，就必须采取一系列的安全制度和技术保障方法，对电子政务系统风险进行事先防患、事中控制、事后监督及纠正，以化解因电子政务系统的脆弱性所造成的风险。其次，电子政务系统的脆弱性需要风险评估。电子政务系统软硬件本身存在着很大的脆弱性，一方面表现在设备的自然损耗、制造缺陷和不可预测的自然环境因素，如火灾、水灾、地震、战争等不可抗拒的自然灾难；另一方面表现在由于技术发展的局限和人类的能力限制，在设计庞大的操作系统、复杂的应用程序之初人们不能认识所有的问题，失误和考虑不周在所难免。再次，安全技术保障手段的欠缺需要风险评估。当前我国电子政务系统信息安全建设，在整体安全系统、内部网络安全监控与防范、智能与主动性安全防范体系、全面集中安全管理策略平台定制等方面，都有很多不足之处，迫切需要进行信息系统风险评估来发现弱点弥补不足。
2 电子政务系统风险评估要素的提取原则和方法
电子政务系统安全的风险评估是一个复杂的过程，它涉及系统中物理环境、管理体系、主机安全、网络安全和应急体系等方面。要在这么广泛的范围内对一个复杂的系统进行全面的风险评估，就需要对系统有一个非常全面的了解，对系统构架和运行模式有一个清醒的认识。可见，要做到这一点就需要进行广泛的调研和实践调查，深入系统内部，运用多种科学手段来获得信息。
2.1评估要素的提取原则
评估要素提取是指通过各种方式获取风险评估所需要的信息。评估要素提取是保证风险评估得以正常运行的基础和前提。评估要素提取成功与否，直接关系到整个风险评估工作和安全信息管理工作的质量。为了保证所获取信息的质量，应坚持以下原则：
一是准确性原则。该原则要求所收集到的信息要真实、可靠，这是信息收集工作的最基本要求；二是全面性原则。该原则要求所搜集到的信息要广泛、全面完整；三是时效性原则。信息的利用价值取决于该信息是否能及时地提供，即具备时性。
2.2 评估要素提取的方法
信息系统风险评估中涉及到的多种因素包括资产、威胁、漏洞和安全措施。信息系统的资产包括数据资产、软件、人员、硬件和服务资产等。资产的价值由固有价值、它所受伤害的近期影响和长期结果所组成。目前使用的风险评估方法大多需要对多种形式资产进行综合评估，所获取的信息范围应包含全部的上述内容，只有这样，其结果才是有效全面的。同时，评估时还要考虑：考虑业务中的关键部分，将其重点考虑起来。第二，哪些关于资产的重要决定取决于信息的准确度、完整性或可用性，以及要对那些资产信息加以重点保护。第三必须要考虑安全时间会对业务或者组织的资产产生哪些影响，如信息资产的购买价值，信息资产的损毁对政府形象的负面影响程度，信息资产的损毁程度对政府长期规划和远景发展的影响等等。
2.3 电子政务系统安全风险评估的流程及实施
2.3.1电子政务系统安全的评估流程
电子政务系统安全的风险评估是组织机构确定信息安全需求的过程，包括环境特性评估、资产识别与评价、威胁和弱点评估、控制措施评估、风险认定等在内的一系列活动。
2.3.2 电子政务系统安全风险评估的实施
电子政务系统安全的风险评估是一项复杂的工程，除了应遵循一定的流程外，选择合理的方法也很重要。为了使风险评估全面、准确、真实地反映系统的安全状态，在实施风险评估过程中需要采用多种方法。评估流程实施过程如信息网络安全技术测评是电子政务系统安全测评的重要手段，许多安全控制项都必须借助于技术手段来实现，但是单独依靠技术测评还不能全面系统的分析电子政务系统的安全。实践经验证明，仅有安全技术防范，而无严格的安全管理体系是难以保障系统的安全的。因此在测评中我们必须对被测评方制订的一系列安全管理制度进行测评。信息安全管理的测评可以单独进行也可以穿插到技术测评当中。随着信息技术的发展，信息安全测评工程师面临越来越多的挑战，为提高测评能力和效率，应充分的发挥主观能动性，利用各种现有的各种安全测试工具，开发安全测试工具、报告生成工具等。信息安全测评机构以及电子政务系统的运行、维护方必须共同努力，为我国的信息化发展保驾护航。
第一，参与系统实践。系统实践是获得信息系统真实可靠信息的最重要手段。系统实践是指深入信息系统内部，亲自参与系统的运行，并运用观察、操作等方法直接从信息系统中了解情况，收集资料和数据的活动。第二，问卷调查。问卷调查表是通过问题表的形式，事先将需要了解的问题列举出来，通过让信息系统相关人员回答相关问题而获取信息的一种有效方式。现在的信息获取经常利用这种方式，它具有实施方便，操作方便，所需费用少，分析简洁、明快等特点，所以得到了广泛的应用。但是它的灵活性较少，得到的信息有时不太清楚，具有一定的模糊性，信息深度不够等；还需要其他的方式来配合和补充。第三，辅助工具的使用，在信息系统中，网络安全状况、主机安全状况等难以用眼睛观察出来，需要借助优秀的网络和系统检测工具来监测。辅助工具能够发现系统的某些内在的弱点，以及在配置上可能存在的威胁系统安全的错误，这些因素很可能就是破坏目标主机安全性的关键性因素。辅助工具能帮助发现系统中的安全隐患，但并不能完全代替人做所有的工作，而且扫描的结果往往是不全面的。
参考文献
[1] 闫强，陈钟，段云所，等.信息安全评估标准、技术及其进展[J].计算机工程，2003
传统信息安全风险主要包括3个要素:①资产，它是信息系统内部需要保护的重要资源或信息;②威胁，它是来自攻击者的恶意攻击，可能造成信息资产重大损失或外流的潜在因素;③脆弱性，它是信息系统内部容易被攻击的薄弱环节。实际的信息安全风险评估建立的模型对这3个要素有所深化和发展，并应用于信息安全的标准化制定中。
(1)国际标准ISO15408。
该标准强调人为因素的作用，将信息系统的“属主”从笼统的“资产”要素中分离出来，将“攻击者”从笼统的“威胁”要素中分离出来。该标准除了上述3个要素以外，还考虑漏洞、风险和措施这3个要素。
(2)国际标准ISO13335。
该标准细化了风险评估指标体系。它除了考虑“资产”要素以外，还考虑“资产价值”要素;除了考虑“防护措施”要素以外，还考虑“防护需求”要素，进一步强调了系统中要素的属性。此外，该标准还考虑到威胁、脆弱性、风险等3个一级指标，7个要素。
(3)国务院信息化工作办公室制定的《信息安全风险评估指南》。
它引入了“使命”要素，从源头上强调了信息风险管理工作的驱动力;引入了“残余风险”要素，强调了安全防范不可能一蹴而就，需要不断改进;同时引入了“事件”要素，强调了对突发事件的预判，比ISO13335扩展了3个要素，建立了适合中国国情的10个要素的信息安全风险评估标准。开展信息安全风险的评估一般分为5个步骤。①评估准备阶段，主要是明确风险评估的目的和意义，制定评估方案，确定评估模型等。②要素识别阶段，主要是按照上级制定的标准，结合被评估对象的实际情况，识别信息安全风险评估的各个要素，同时根据权威标准的一级指标体系合理扩展为可以测度的二级指标体系。③测度汇总阶段，主要是使用二级指标体系进行测度，给出评估分值，并使用合适的数学模型进行汇总评分。④风险分析阶段，主要是根据二级指标体系的评分结果和数学模型计算分析结果，综合进行风险判断，分析外部威胁和内部漏洞的危险程度，计算各指标蕴含的安全风险。⑤落实整改阶段，主要是通过评估工作的汇报验收，找到风险根源，落实整改措施，不断调整完善，提高系统抗风险的能力。
2两类信息安全风险综合评估指标体系
安全风险评估和预警工作中，指标体系的建立既很重要，也有很强的科学性。构建信息安全风险评估指标体系需要掌握以下7项原则:①目的性原则。建立评估指标体系的根本目的是有效防范信息安全风险。②科学性原则。指标体系必须科学有效地反映信息安全风险的所有特点。③系统性原则。建立的评价指标体系必须协调统一，层次合理，最大限度地反映信息安全风险的基本特点。④重要性原则。抓住反映信息安全风险本质特点的主要因素来设计指标，该指标体系必须能突出主要风险因素，建立重点突出，简明实用的指标体系。⑤互斥性原则。要求指标间相互独立，避免太多的涵盖等出现而导致指标内涵的重复。同时指标相互间又有密切联系，需要一些不同角度指标的设置来互相检验、弥补。⑥层次性原则。对评估的目标进行层次分解，使结构清晰，容易分析，逻辑性和科学性强，提高评估结论的可信度。⑦操作性原则。指标体系的各指标必须是可以采集的和可以量化的，数据应通过可靠来源直接或间接的获取，评估指标应尽量避免难以获得的参数。根据上述信息安全风险评估标准和评估原则，结合被评估对象的实际情况，将两类安全风险综合起来，建立综合评估的指标体系。技术风险按照资产/业务、技术脆弱性、威胁3个方面组织指标设计。在一般计算机系统中，其脆弱性方面也可以进行展开。之所以列出两个表格，旨在指出这方面的指标系统设计不是唯一的，可以根据上述原则，结合具体环境和条件进行设计。非传统的信息安全风险的评估，主要是指利用人的弱点产生的风险，一般体现在内部管理上的疏忽与过失，以及外部的蓄意攻击和阴谋策划。一般计算机系统可以进行展开。建立两类信息安全评估二级指标体系是一个方面，运用数学模型进行安全风险分析是更重要的一个方面。李成耀很早就研究了多层协议和多层结构的网络信息安全分层模型;罗帆等运用N－K模型分析了安全耦合风险;杨亚东等使用一般层次分析法(AHP)为安全监管系统建立了风险评价指标体系和综合评估模型。结构方程模型在这些模型中独树一帜，它既可以进行指标体系的汇总与路径影响分析，还可以深入分析某些因素之间的中介效应、调和效应和交互效应。笔者采用结构方程模型(SEM)进行两类信息安全风险综合评估，其数学表达和计算可以参见文献［13］。其提出了一种新的确定性算法，克服了传统的偏最小二乘算法与协方差拟合算法需要反复迭代的弱点，并且可以使用DASC软件实现计算。结构方程模型是针对一般信息系统的非传统信息安全风险评估而设立的，它很容易改写为适应其他二级指标体系的模型，使用DASC软件很容易实现数学计算。
3两类信息安全风险的综合防范
信息安全风险评估的目的在于防范，不同的信息系统在不同的环境下，风险防范措施很不一样。最近制定的信息系统安全风险评估的国内标准(GB/T9387－2)以及国际标准(ISO7498－2)都明确规定，信息安全实现主要以构筑防火墙、建立入侵检测系统、灾难备份和应急响应系统、物理隔离系统、杀毒软件包等方式实现。物理隔离系统是绝对的隔离，效果比较理想。防火墙以及网关主要应用于专用网络与公用网络的互联环节，技术复杂并在不断改进更新。入侵检测系统把系统的安全管理能力扩展到新的范围，引入了模式匹配、实时检测与响应等技术，使得信息系统建设得越来越复杂和庞大。非传统信息安全风险的防范，从宏观管理的角度主要考虑如下几个方面:①健全法规标准，加强高层对于信息安全的统一协调，加快安全标准制定。②建立信任机制，建立服务商之间、服务商与用户之间的信任关系，将是解决信息系统外部交流安全问题的根本。③发展关键技术，建立保证信息安全的技术体系，包括数据安全、可信计算和隐私保护技术等关键技术。④加强监督管理，着眼长效监管，完善应急机制，强化日志审计管理，提高溯源审查能力。非传统信息安全风险的防范，从个体心理的角度主要考虑如下几个方面:①加强心理防范，主要克服攻击者往往利用人的好奇心和虚荣心等弱点。②定期安全培训，让全体员工熟悉了解新的攻击者利用社会工程学的伎俩，学会防范非传统信息安全风险。③区分友谊责任，明确友谊必须有一定的信任基础。④提高安全意识，管理部门要制定更为严格的安全方案，同时落实到每一个员工。⑤实时事故响应，一旦发生信息安全事故，立即启动应急方案，除了检查技术漏洞和损失以外，特别要对利用社会工程学的攻击做出实时反应。
4结论
【 关键词 】 风险评估；风险分析；项目管理
Implementation of Government Information Systems Risk Assessment
Yu Ying-tao 1 Li Xin 1 Xue Jun 2
（1.North China Institute of Computing Technology Beijing 100083；
2. Solid Waste Management Center，Department of Environmental Protection Beijing 100029）
【 Abstract 】 This article describes the main points of the risk assessment of the implementation of the government information system, including risk assessment purpose, scope and risk assessment models, risk assessment project specific work processes and methods, tools, and related items necessary for the completion of the risk assessment projectmanagement requirements. Good reference for guiding the risk assessment of information systems project implementation.
【 Keywords 】 risk assessment; risk analysis; project management
0 引言
政务信息系统关系到国计民生，因此保障电子政务系统的信息安全是我国经济与社会信息化的先决条件之一，是国家信息化建设的重要内容。如何保证政务信息系统的安全性，风险评估是一项很基础的工作。通过对政务信息系统进行风险评估，可以了解信息与网络系统目前与未来的风险所在，充分评估这些风险可能带来的威胁与影响的程度，依据系统的风险和威胁，进行针对性的防范，做到“对症下药”，可以有效解决政务信息系统的安全问题。
1 政务系统风险评估概述
1.1 风险评估的概念
政务系统的信息安全关心的是保护政务信息资产免受威胁。风险评估是有效保证信息安全的前提条件，也是建立在网络入侵防护系统、实施风险管理程序所开展的一项基础性工作。其工作原理是对系统所采用的安全策略和管理制度进行评审，发现不合理的地方，采用模拟化攻击的方式对系统可能存在的安全漏洞进行逐项检查，确定存在的安全问题与风险级别。并根据检查结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平提供重要依据。
风险评估的目的是全面、准确地了解政务信息系统的安全现状，发现系统的安全问题及其可能的危害，为后期进一步安全防护技术的实施提供了严谨的安全理论依据，为决策者制定网络安全策略、构架安全体系以及确定有效的安全措施、选择可靠的安全产品、建立全面的安全防护层次提供了一套完整、规范的指导模型。
1.2 风险评估的范围
政务信息系统风险评估的内容与范围需要涵盖整个系统，包括系统安全管理的状况、网络及安全防护技术架构、通信链路、系统数据及业务系统加密情况、系统访问控制状况等。在政务信息系统的安全防护工作中，“人”是关键要素，无论系统所采用的安全技术、安全策略和安全手段多么现代化与智能化，都需要“人”去操作、运行和管理。如果信息系统的安全管理水平落后，人员素质不高，那么政务信息系统的安全性就会减弱，安全漏洞就会增加。
1.3 风险评估的原则和依据
1.3.1指导原则
由于政务信息系统风险评估涉及的内容较多，因此在进行评估时就需要本着多角度、多层面的原则，从软件到硬件，从理论到实际，从技术到管理，从设备到人员，来具体制定详细的评估计划和分析步骤，避免遗漏。在评估时一般需遵循的如下几个原则：标准性、可靠性、可控性、保密性、技术先进和成熟性、全面性、高效性、持续性。
1.3.2相关法规和政策
《中华人民共和国计算机信息系统安全保护条例》（国务院令147号）；
《商用密码管理条例》（国务院令 273号）；
《计算机信息系统安全保护等级划分准则》；
《计算机机房场地安全要求》（GB9361-88）；
《信息安全技术-信息安全风险评估规范》（ GB/T 20984—2007）。
2 政务信息风险评估工作流程
2.1 系统调查
开展政务信息系统风险评估的第一步就是进行系统调查。通过调查政务信息系统上运行的所有应用，了解系统主要业务的流程，清楚的掌握支持业务运行的硬件基础设施的结构及安全系统现状，收集风险评估所需的系统全部信息。在进行系统调查的同时，还需对系统风险评估的评估范围进行分析、界定。对系统边界进行明确定义，有助于防止不必要的工作，并对改进风险评估的质量都是很重要的。
（一）采用系统的思想
网络安全的建设是一个系统工程，它需要对影响信息系统安全的各种因素进行综合考虑，同时需要对信息系统运行的全过程进行综合分析，实现预警、防护、恢复等网络安全的全过程环节的无缝衔接；另一方面要充分考虑技术、管理、人员等影响网络安全的主要因素，实现技术、管理、人员的协同作战。
（二）强调风险管理
基于风险管理，体现预防控制为主的思想，强调全过程和动态控制，确保信息的保密性、完整性和可用性，保持系统运作的持续性。
（三）动态的安全管理
公安信息网络安全模型中的“动态”网络安全有两个含义：一是整个网络的安全目标是动态的，而不再是传统的、一旦部署完毕就固定不变的，从而支持部分或者全网范围内安全级别的动态调整；二是达到安全目标的手段、途径必须能够根据周边/内部环境的变化进行动态调整。
二、基于策略的动态安全管理模型的定义
基于上述指导思想，建立基于策略的动态安全管理模型，主要包括四类要素：人员、管理、策略、流程（技术产品）。安全策略确定后，需要根据组织切实的安全需要，以上述定义的安全策略为基础，将安全周期内各个阶段的、反映不同安全需求的防护手段和实施方法以一种利于连动的、协同的方式组织起来，提高系统的安全性。总的指导原则是：第一，防护是基础，是基本条件，它包含了对系统的静态保护措施，是保护信息系统必须实现的部分。第二，检测和预测是手段，是扩展条件，提供对系统的动态监测措施，是保护信息系统须扩展实现的部分。第三，响应是目标，是进行安全控制和缓解入侵威胁的期望结果，反应了系统的安全控制力度，是保护信息系统须优先实现的部分。这些不同的安全技术和产品按照统一的策略集成在一起，保持防护、监测、预警、恢复的动态过程的无缝衔接，并随着环境的变化而进行适当的调整，这样就能够针对系统的薄弱环节有的放矢，有效防范，从而完善信息安全防护系统。
三、基于策略的动态安全管理模型的实施过程
在公安信息安全管理体系的建立、实施和改进的过程中引用PDCA（Plan-Do-Check-Act）模型，按照PDCA模型将信息安全管理体系分解成风险评估、安全设计与执行、安全管理和再评估四个子过程。组织通过持续的执行这些过程而使自身的信息安全水平得到不断的提高。PDCA模型的主要过程如下：
（一）计划（Plan）
计划就是根据组织的业务目标与安全要求，在风险评估的基础上，建立信息安全框架。包括下面三项主要工作：
1.明确安全目标，制定安全方针根据公安专用网络信息安全需求及有关法律法规要求，制定信息安全方针、策略，通过风险评估建立控制目标与控制方式，包括公安系统工程必要的过程与持续性计划。
2.定义信息安全管理的范围信息安全管理范围的确定需要重点确定信息安全管理的领域，公安信息安全管理部门需要根据公安系统工程的实际情况，在整个金盾工程规划中或者各业务部门构架信息安全管理框架。
3.明确管理职责成立相应的安全管理职能部门，明确管理职责，同时要对所有相关人员进行信息安全策略的培训，对信息安全负有特殊责任的人员要进行特殊的培训，以使信息安全方针真正植根于所有公安干警的脑海并落实到实际工作中。
（二）实施（Do）
实施过程就是按照所选定的控制目标与方式进行信息安全控制，即安全管理职能部门按照公安信息安全管理策略、程序、规章等规定的要求进行信息安全管理实施。在实施过程中，以公安信息安全管理策略为核心，监测、安全保护措施、风险评估、补救组成一个循环链，其中信息安全管理策略是保证整个安全系统能够动态、自适应运行的核心。
1.选择安全策略根据公安业务目标、公安信息安全管理目标、公安信息安全管理指导方针选择或制定信息安全策略。
2.部署安全策略对于高层策略，在此阶段，首先应将各种全局的高层策略规范编译成低级（基本）策略。根据底层的服务或是应用的要求将策略编译成执行组件可以理解的形式，针对特定类型的策略实施封装具体实施策略所需的行为，封装执行策略所必需的实现代码，这些代码与底层实现有关。将策略分发并载入到相应的策略实施中，继而可以对策略对象执行启用、禁用、卸载等策略操作。
3.执行安全策略（1）监测。对公安信息系统进行安全保护以后并不能完全消除信息安全风险，所以要定期地监控整个信息系统以发现不正常的活动。（2）进行信息安全风险评估。风险评估主要对公安信息安全管理范围内的数据信息进行鉴定和估价，然后对数据信息面对的各种威胁进行评估，同时对已存在的或规划的安全管理措施进行鉴定。（3）公安信息安全风险处置。根据风险评估的结果进行相应的风险处置，公安信息安全风险处置措施主要包括降低风险、避免风险、转嫁风险、接受风险等，使得公安业务可以正常进行，并重新进行风险分析与评估，增加或更改原有的信息安全保护措施。在公安信息系统正常运行时，要定期地对系统进行备份。（4）根据公安信息安全策略调整控制安全措施。由于信息安全是一个动态的系统工程，安全管理职能部门应实时对选择的管理目标和管理措施加以校验和调整，以适应变化了的情况，使公安系统数据资源得到有效、经济、合理的保护。
（三）检查（Check）
检查就是根据安全目标、安全标准，审查变化中环境的风险水平，执行内部信息安全管理体系审计，报告安全管理的有效性，在实践中检查制定的安全目标是否合适、安全策略和控制手段是否能够保证安全目标的实现，系统还有哪些漏洞。
（四）改进（Action）
改进就是对信息安全管理体系实行改进，以适应环境的变化。改进内容包括三部分：一是系统的安全目标、安全指导思想、安全管理制度、安全策略。二是安全技术手段的改进。随着安全技术和安全产品的改进，系统的安全技术手段也要不定期地更换。但更换后的安全技术手段仍然要遵循相应的信息安全策略。三是对人员的改进。安全管理措施和手段改进后，要对民警要进行安全教育与培训，并根据民警的不同角色为其制定不同的安全职责和年度信息安全计划，并按照计划进行工作，年底时要对安全计划的执行情况进行检查。
四、结束语
建立完善管控体系
随着信息化的发展，管理者的职能也在不断变化。对于如何加快信息化的进程来说，传统工业时代下的管理控制模式已经不能适应发展的需求，因此，需要建立更加有效的信息化管理体制，确保信息化建设有序推进，最终实现组织信息化发展的战略目标。
在信息化时代下，完善的体制架构被划分为机构协调、职能分工和运作规则等几个部分。就机构协调而言，不再是传统的金字塔模式，即信息自下而上层层传递，决策由上而下层层布置；而是采用更加扁平的组织流模式，管理趋向于文化，而不在是制度，组织的信息化水平越高，即信息传递速度越快，内容描述得越精准，管理就变得越简单，国家或企业的安全就更加可控。
实施科学风险评估
风险评估作为保障信息安全的重要措施之一，其在信息化发展方面起着至关重要的作用。随着信息化的不断发展，各种社会组织都越来越多地依赖于信息技术和信息系统来处理其信息和管理业务，从而提高自身竞争力，风险管理也随之在信息化的推进和管理中扮演越来越重要的角色。信息化作为两化融合的重要组成部分，所涉及的众多信息都具有保密性，即使安全功能再强大的网络系统，也有被非法攻击的可能性，因此，对基于两化融合思路的信息安全风险评估服务也显得更为重要。寻求完善有效的基于两化融合思路信息安全风险评估模式，是保障信息安全的有效措施，也已成为世界各国两化融合工作的新方向。
信息安全风险管理是一个包括识别风险、评估风险以及采取措施降低风险至可以接受的程度在内的全过程，其目标是要保护重要的信息系统和信息安全，帮助管理层更好地做出与管理风险相关的各种决策，帮助管理层更好地审批和建设信息系统，掌握其可能面临的风险。它从风险管理角度，运用科学的方法和手段，系统分析网络与信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，为防范和化解信息安全风险，将风险控制在可接受的水平。这样综合评估的结果可以帮助风险管理进行决策，即需要采取什么样的风险管理措施，优先次序是什么，以及如何落实这些风险控制措施。
进行整体安全防范
对信息网络的整体安全防范应该在风险评估的基础上进行相应的信息安全等级保护和重要信息安全保护。信息安全等级保护是指国家通过制定统一的信息安全等级保护管理规范和技术标准，组织公民、法人和其他组织对信息系统分等级实行安全保护，对等级保护工作的实施进行监督、管理。信息安全等级保护制度是国家在国民经济和社会信息化的发展过程中，提高信息安全保障能力和水平，维护国家安全、社会稳定和公共利益，保障和促进信息化建设健康发展的一项基本制度。实行信息安全等级保护制度，能够充分调动国家、法人和其他组织及公民的积极性，发挥各方面的作用，达到有效保护的目的，增强安全保护的整体性、针对性和实效性，使信息系统安全建设更加突出重点、统一规范、科学合理，对促进我国信息安全的发展将起到重要推动作用，进而保障两化融合的顺利实施。
分析关键管理过程
