信息安全风险评估浅谈
吴 兰
摘 要 ：本文介绍了信息系统安全风险评估的要素、分析原理、实施流程，指出开展信息安全风险评估工作是提高信息安全保障水平的一项重要举措。

关键词：风险评估、资产、威胁、脆弱性
随着我国国民经济和社会信息化进程的加快，网络与信息系统的基础性、全局性作用日益增强，经济社会发展对网络和信息系统的依赖性也越来越大。

但由于网络与信息系统自身存在的缺陷、脆弱性以及面临的威胁，使信息系统
的运行客观上存在着潜在风险。

《国家信息化领导小组关于加强信息安全保障
工作的意见》（中办发[2003]27号）明确提出“要重视信息安全风险评估工作，对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估，综
合考虑网络与信息系统的重要性、涉密程度和面临的信息安全风险等因素，进
行相应等级的安全建设和管理”，将开展信息安全风险评估工作作为提高我国
信息安全保障水平的一项重要举措。

信息安全风险和事件不可能完全避免，关键在于如何控制、化解和规避。

不计成本地追求零风险或试图完全消灭风险、避免风险也是不可行的。

信息安全风险评估就是从风险管理的角度，运用科学的方法和手段，全面检测网络和信息系统存在的脆弱性，系统分析和评估安全防护水平，从而有针对性地提出抵御威胁的防护对策和整改措施，将风险控制在可接受的水平，最大限度地达到保障网络和信息安全的目的。

通过开展信息安全风险评估工作，可以发现信息安全存在的主要问题和矛盾，找到解决问题的办法，寻求一个最佳的平衡点，去化解风险，及早防范。

信息系统安全风险评估，是指依据有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程，它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。

风险评估的基本要素
风险评估的基本要素包括：要保护的信息资产、信息资产的脆弱性、信息资
产面临的威胁、存在的可能风险、安全防护措施等。

图1显示了风险评估各要素之间的关系。

图1：风险评估各要素关系图
图1中方框部分的内容为风险评估的基本要素，椭圆部分的内容是与这些要素相关的属性，也是风险评估要素的一部分。

风险评估的工作是围绕其基本要素展开的，在对这些要素的评估过程中需要充分考虑业务战略、资产价值、安全事件、残余风险等与这些基本要素相关的各类因素。

图1中这些要素之间存在着以下关系：业务战略依赖于资产去完成；资产拥有价值，单位的业务战略越重要，对资产的依赖度越高，资产的价值则就越大；资产的价值越大则风险越大；风险是由威胁发起的，威胁越大则风险越大，并可能演变成安全事件；威胁都要利用脆弱性，脆弱性越大则风险越大；脆弱性使资产暴露，是未被满足的安全需求，威胁要通过利用脆弱性来危害资产，从而形成风险；资产的重要性和对风险的意识会导出安全需求；安全需求要通过安全措施来得以满足，且是有成本的；安全措施可以抗击威胁，降低风险，减弱安全事件
的影响；风险不可能也没有必要降为零，在实施了安全措施后还会有残留下来的风险——一部分残余风险来自于安全措施可能不当或无效,在以后需要继续控制这部分风险，另一部分残余风险则是在综合考虑了安全的成本与资产价值后，有意未去控制的风险，这部分风险是可以被接受的；残余风险应受到密切监视，因为它可能会在将来诱发新的安全事件。

风险分析原理
风险分析中要涉及资产、威胁、脆弱性等基本要素。

每个要素有各自的属性，资产的属性是资产价值；威胁的属性可以是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程度。

风险分析的主要内容为： 对资产进行识别，并对资产的价值进行赋值；
对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值；
对脆弱性进行识别，并对具体资产的脆弱性的严重程度赋值；
根据威胁及威胁利用脆弱性的难易程度判断安全事件发生的可能性；
根据脆弱性的严重程度及安全事件所作用的资产的价值计算安全事件造成的损失；
根据安全事件发生的可能性以及安全事件出现后的损失，计算安全事件一旦发生对组织的影响，即风险值。

风险分析原理如图2所示。

图2 风险分析原理图
风险评估实施流程
我们可以将风险评估活动大致分为以下主要阶段：
评估准备阶段：本阶段主要是前期的准备和计划工作，包括明确评估目标，确定评估范围，组建评估管理与实施团队，对主要业务、组织结构、规章制度和信息系统等进行初步调研，沟通和确认风险分析方法，协商并确定评估项目的实施方案，并得到被评估单位的高层许可。

尽管评估准备阶段的工作比较琐碎，但准备阶段中充分、细致和沟通和合理、精确的计划，是保证评估工作得以顺利实施的关键。

要素识别阶段：在准备阶段完成之后，将依靠已建立起来的评估管理和实施团队，遵照准备阶段中确定的实施方案进行评估。

首先要进行的就是识别信息安全风险的构成要素——资产、威胁和脆弱性，以及识别和验证已有安全控制措施的有效性——为下一阶段的风险分析收集必要的基础数据。

本阶段除了要进行有关要素的识别活动以外，还需要进行要素的分类、赋值以及要素间的关联等活动，这由所选用的具体评估方法而定。

风险分析阶段：经过识别阶段之后，已经得到了影响被评估系统安全风险的基本数据，包括资产、威胁、脆弱性和安全控制措施等。

接下来需要根据被评估单位的实际情况制定出一套合理、清晰的影响及可能性等级判据；然后根据这些判据，对主要威胁场景进行分析，描述和评价各主要威胁场景的潜在影响及其发生的可能性，从而确定信息安全风险。

经过与被评估单位的沟通与协商，风险分析团队应以被评估单位所接受的形式，提交风险分析报告和风险控制建议。

风险评估的流程见图3所示。

图3：风险评估流程框图
以上简要介绍了风险评估的基本要素、分析原理、实施流程，如何将风险评估的工作做好，需要我们探索和学习的东西还很多。