資產安全評估

前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇資產安全評估范文，相信會為您的寫作帶來幫助，發現更多的寫作思路和靈感。

資產安全評估范文第1篇

 

一、引言

 

信息時代為國家和個人提供了全新的發展機遇和生活空間，但也帶來了新的安全威脅。信息安全的威脅可能來自內部的破壞、外部的攻擊、內外勾結的破壞和信息系統自身的意外事故等，因此我們應按照風險管理的思想，對可能的威脅和需要保護的信息資源進行風險分析，以便采取安全措施，妥善應對可能發生的安全風險。信息安全風險評估是依據國家信息安全風險評估有關管理要求和技術標準，對信息系統及由其存儲、處理和傳輸的信息的機密性、完整性和可用性等安全屬性進行科學、公正的綜合評價的過程。根據ISO27001的管理思想，信息安全風險評估在信息安全管理的PDCA環中是一個很重要的過程，如何處理信息安全風險評估所產生的數據，是每一個信息安全管理者都非常迫切需要解決的一個問題。最好的解決方法是開發出一套實用性強、可操作性高的系統安全風險評估管理工具。

 

二、風險評估過程

 

信息安全風險評估系統的設計是針對組織開展信息安全風險評估的過程。這個過程包括對信息系統中的安全風險識別、信息收集、評估和報告等。風險評估的實施過程如下頁圖1。

 

1.評估前準備。在風險評估實施前，需要對以下工作進行確定：確定風險評估的目標、確定風險評估的范圍、組建風險評估團隊、進行系統調研、確定評估依據和方法、制定評估計劃和評估方案、獲得最高管理者對工作的支持。

 

2.資產識別。資產識別過程分為資產分類和資產評價兩個階段。資產分類是將單位的信息資產分為實物資產、軟件資產、數據資產、人員資產、服務資產和無形資產六類資產進行識別;資產評價是對資產的三個安全屬性保密性、可用性及完整性分別等級評價及賦值，經綜合評定后，得出資產的價值。

 

3.威脅識別。威脅識別主要工作是評估者需要從每項識別出的資產出發，找到可能遭受的威脅。識別威脅之后，還需要確定威脅發生的可能性。

 

4.脆弱性識別。評估者需要從每項識別出的資產和對應的威脅出發，找到可能被利用的脆弱性。識別脆弱性之后，還需要確定弱點可被利用的嚴重性。

 

5.已有安全措施確認。在識別脆弱性的同時，評估人員將對已采取的安全措施的有效性進行確認，評估其是否真正地降低了系統的脆弱性，抵御了威脅。

 

6.風險分析。風險評估中完成資產賦值、威脅評估、脆弱性評估后，在考慮已有安全措施的情況下，利用恰當的方法與工具確定威脅利用資產脆弱性發生安全事件的可能性，并結合資產的安全屬性受到破壞后的影響得出信息資產的風險。

 

三、系統設計

 

1.用角色設計。系統角色分為三種類型，各用戶在登錄后自動轉入各自的操作頁面。A.超級管理員：擁有系統所有權限;B.評估項目管理員：可以對所負責的評估項目進行管理，對評估人員進行分工和權限管理;C.評估人員：負責由項目管理員分配的測評工作，將評估數據導入系統。

 

2.系統模型。根據信息安全風險評估管理的業務需求，我們構建了以安全知識庫為支撐，以風險評估流程為系統主要業務流，以受測業務系統及其相關信息資產的風險評估要素為對象的信息安全風險評估綜合管理系統模型，系統模型如圖2所示。

 

3.系統功能設計。信息安全風險評估綜合管理系統的功能模塊包括：①風險評估項目管理：評估項目管理模塊包括評估項目的建立、項目列表、項目設置等功能。主要輸入項：項目名稱、評估時間、評估對象等;主要輸出項：項目計劃書。②信息安全需求調研管理：該模塊用于用戶填寫安全調研問卷，為安全評估提供數據支持。主要輸入項：用戶ID、調查答案;主要輸出項：問卷標題、調查題內容。③資產識別。系統提供的資產識別，包括：硬件、軟件、數據等，根據業務系統對組織戰略的影響程度，對相關資產的重要性進行評價;主要輸入項：評估對象(信息資產)、賦值規則;主要輸出項：資產識別匯總表、資產識別報告。④威脅識別。威脅識別：系統提供多種網絡環境的威脅模板，支持和幫助用戶進行威脅識別和分析，并提供資產、脆弱性、威脅自動關聯功能：主要輸入項：評估對象、賦值規則;主要輸出項：威脅識別匯總表、威脅識別報告。⑤脆弱性識別。脆弱性識別：系統可提供多種系統的脆弱性識別功能，包括：主機、數據庫、網絡設備等對象的脆弱性識別。系統支持常用漏洞掃描軟件掃描結果的導入，目前支持的掃描系統有：Nessus、NMap等，主機系統支持：Windows、Linux、Unix等，數據庫支持：MSSQL、Oracle等：主要輸入項：評估對象、漏洞掃描結果、賦值規則;主要輸出項：漏洞掃描報告、脆弱性識別匯總表、脆弱性識別報告。⑥安全措施識別。安全措施識別：系統提供基于技術、管理等方面的安全措施檢查功能，幫助用戶了解目前的安全狀況，找到安全管理問題，確定安全措施的有效性：主要輸出項：安全措施識別匯總表、安全措施識別報告。⑦風險分析。系統通過資產評價、脆弱性評價、威脅評價、安全措施有效性評價、風險分析等工作，可自動生成安全風險評估分析報告。主要輸入項：評估對象、資產值、脆弱性值、威脅值、安全措施值、計算規則;主要輸出項：風險計算匯總表、風險分析報告。⑧評估結果管理。主要功能是對歷史記錄查詢與分析。匯總所有的安全評估結果進行綜合分析，并生成各階段風險評估工作報告，主要包括如下：《資產識別報告》、《漏洞掃描報告》、《威脅識別報告》、《脆弱性識別報告》、《控制措施識別報告》、《風險分析報告》。并可對當期風險評估結果和原始數據進行轉存或備份。在有需要時能調出評估歷史數據進行查詢及風險趨勢分析。⑨信息安全知識庫更新維護。信息安全知識庫的更新維護主要對象有：系統漏洞庫、安全威脅庫、安全脆弱點庫、控制措施庫。為避免造成數據的冗余，系統將在各評估項目中需要反復使用的數據歸入基礎數據庫進行管理，在進行評估活動時再從基礎庫提取有關數據，這樣也能減少重復的輸入工作。⑩數據接口。導入數據接口：資產庫、脆弱點庫、威脅庫、控制措施庫。支持以下常用的格式：如EXCEL文件等;常用的漏洞掃描工具：如綠盟、啟明星辰、NESSUS、NMAP等。

 

四、結束語

 

該系統設計是以信息安全風險評估工作流程為基礎，進行信息安全評估項目管理、風險要素數據收集與輔助風險分析的系統，在實際風險管理過程中，可引入了質量管理理念——PDCA循環，即通過監控每一階段的信息系統風險情況，及時發現問題，不斷調險控制工作計劃，從而實現信息安全風險管理的工作目標。

資產安全評估范文第2篇

數字校園是以校園網為背景的集教學、管理和服務為一體的一種新型的數字化工作、學習和生活環境。一個典型的數字校園包括各種常用網絡服務、共享數據庫、身份認證平臺、各種業務管理系統和信息門戶網站等[1]。數字校園作為一個龐大復雜的信息系統，構建和維護一個良好的信息安全管理體系是一項非常重要的基礎管理工作。

信息安全風險評估是構建和維護信息安全管理體系的基礎和關鍵環節，它通過識別組織的重要信息資產、資產面臨的威脅以及資產自身的脆弱性，評估外部威脅利用資產的脆弱性導致安全事件發生的可能性，判斷安全事件發生后對組織造成的影響。對數字校園進行信息安全風險評估有助于及時發現和解決存在的信息安全問題，保證數字校園的業務連續性，并為構建一個良好的信息安全管理體系奠定堅實基礎。

二、評估標準

由于信息安全風險評估的基礎性作用，包括我國在內的信息化程度較高的國家以及相關國際組織都非常重視相關標準和方法的研究。目前比較成熟的標準和方法有ISO制定的《IT信息安全管理指南》（ISO/IEC13335）和《信息安全管理體系要求》（ISO/IEC27001：2005）、美國NIST制定的SP800系列標準、美國CMU軟件工程研究所下屬的CERT協調中心開發的OCTAVE2.0以及我國制定的《信息安全技術——信息安全風險評估規范》（GB/T20984-2007）。

ISO/IEC27001系列標準于2005年10月15日正式，作為一種全球性的信息安全管理國際標準適用于任何組織的信息安全管理活動，同時也為評估組織的信息安全管理水平提供依據。但是ISO27001系列標準沒有制定明確的信息安全風險評估流程，組織可以自行選擇適合自身特點的信息安全風險評估方法，如OCTAVE2.0等[2][3]。

為了指導我國信息安全風險評估工作的開展，我國于2007年11月正式頒布了《信息安全技術——信息安全風險評估規范》（GB/T20984-2007），這是我國自主研究和制定的信息安全風險評估標準，該標準與ISO27001系列標準思想一致，但對信息安全風險評估過程進行了細化，使得更加適合我國企業或者組織的信息安全風險評估工作開展。

三、評估流程

《信息安全技術——信息安全風險評估規范》（GB/T20984-2007）等標準為風險評估提供了方法論和流程，為風險評估各個階段的工作制定了規范，但標準沒有規定風險評估實施的具體模型和方法，由風險評估實施者根據業務特點和組織要求自行決定。本文根據數字校園的業務流程和所屬資產的特點，參考模糊數學、OCTAVE的構建威脅場景理論和通用弱點評價體系（CVSS）等風險評估技術，提出了數字校園信息安全風險評估的具體流程和整體框架，如圖1所示。

據圖1可知，數字校園的信息安全風險評估首先在充分識別數字校園的信息資產、資產面臨的威脅以及可被威脅利用的資產脆弱性的基礎上，確定資產價值、威脅等級和脆弱性等級，然后根據風險矩陣計算得出信息資產的風險值分布表。數字校園信息安全風險評估的詳細流程如下：

（1）資產識別：根據數字校園的業務流程，從硬件、軟件、電子數據、紙質文檔、人員和服務等方面對數字校園的信息資產進行識別，得到資產清單。資產的賦值要考慮資產本身的實際價格，更重要的是要考慮資產對組織的信息安全重要程度，即信息資產的機密性、完整性和可用性在受到損害后對組織造成的損害程度，預計損害程度越高則賦值越高。

在確定了資產的機密性、完整性和可用性的賦值等級后，需要經過綜合評定得出資產等級。綜合評定方法一般有兩種：一種方法是選取資產機密性、完整性和可用性中最為重要的一個屬性確定資產等級；還有一種方法是對資產機密性、完整性和可用性三個賦值進行加權計算，通常采用的加權計算公式有相加法和相乘法，由組織根據業務特點確定。

設資產的機密性賦值為，完整性賦值為，可用性賦值為，資產等級值為，則

相加法的計算公式為v=f（x，y，z）=ax+by+cz，其中a+b+c=1（1）

（2）威脅識別：威脅分為實際威脅和潛在威脅，實際威脅識別需要通過訪談和專業檢測工具，并通過分析入侵檢測系統日志、服務器日志、防火墻日志等記錄對實際發生的威脅進行識別和分類。潛在威脅識別需要查詢資料分析當前信息安全總體的威脅分析和統計數據，并結合組織業務特點對潛在可能發生的威脅進行充分識別和分類。

（3）脆弱性識別：脆弱性是資產的固有屬性，既有信息資產本身存在的漏洞也有因為不合理或未正確實施的管理制度造成的隱患。軟件系統的漏洞可以通過專業的漏洞檢測軟件進行檢測，然后通過安裝補丁程序消除。而管理制度造成的隱患需要進行充分識別，包括對已有的控制措施的有效性也一并識別。

（4）威脅—脆弱性關聯：為了避免單獨對威脅和脆弱性進行賦值從而造成風險分析計算結果出現偏差，需要按照OCTAVE中的構建威脅場景方法將“資產-威脅-脆弱性-已有安全控制措施”進行關聯。

（5）風險值計算：在資產、威脅、脆弱性賦值基礎上，利用風險計算方法計算每個“資產-威脅-脆弱性”相關聯的風險值，并最終得到整個數字校園的風險值分布表，并依據風險接受準則，確認可接受和不可接受的風險。

四、評估實例

本文以筆者所在高職院校的數字校園作為研究對象實例，利用前面所述的信息安全風險評估流程對該實例對象進行信息安全風險評估。

1.資產識別與評估

數字校園的資產識別與評估包括資產識別和資產價值計算。

（1）資產識別

信息安全風險評估專家、數字校園管理技術人員和數字校園使用部門代表共同組成數字校園信息資產識別小組，小組通過現場清查、問卷調查、查看記錄和人員訪談等方式，按照數字校園各個業務系統的工作流程，詳細地列出數字校園的信息資產清單。這些信息資產從類別上可以分為硬件（如服務器、存儲設備、網絡設備等）、軟件（OA系統、郵件系統、網站等）、電子數據（各種數據庫、各種電子文檔等）、紙質文檔（系統使用手冊、工作日志等）、人員和服務等。為了對資產進行標準化管理，識別小組對各個資產進行了編碼，便于標準化和精確化管理。

（2）資產價值計算

獲得數字校園的信息資產詳細列表后，資產識別小 組召開座談會確定每個信息資產的價值，即對資產的機密性、完整性、可用性進行賦值，三性的賦值為1～5的整數，1代表對組織造成的影響或損失最低，5代表對組織造成的影響或損失最高。確定資產的信息安全屬性賦值后，結合該數字校園的特點，采用相加法確定資產的價值。該數字校園的軟件類資產計算樣例表如下表1所示。

由于資產價值的計算結果為1～5之間的實數，為了與資產的機密性、完整性、可用性賦值相對應，需要對資產價值的計算結果歸整，歸整后的數字校園軟件類資產的資產等級結果如表1所示。

因為數字校園的所有信息資產總數龐大，其中有些很重要，有些不重要，重要的需要特別關注重點防范，不重要的可以不用考慮或者減少投入。在識別出所有資產后，還需要列出所有的關鍵信息資產，在以后的日常管理中重點關注。不同的組織對關鍵資產的判斷標準不完全相同，本文將資產等級值在4以上（包括4）的資產列為關鍵信息資產，并在資產識別清單中予以注明，如表1所示。

2.威脅和脆弱性識別與評估

數字校園與其他計算機網絡信息系統一樣面臨著各種各樣的威脅，同時數字校園作為一種在校園內部運行的網絡信息系統面臨的威脅的種類和分布有其自身特點。任何威脅總是通過某種具體的途徑或方式作用到特定的信息資產之上，通過破壞資產的一個或多個安全屬性而產生信息安全風險，即任何威脅都是與資產相關聯的，一項資產可能面臨多個威脅，一個威脅可能作用于多項資產。威脅的識別方法是在資產識別階段形成的資產清單基礎上，以關鍵資產為重點，從系統威脅、自然威脅、環境威脅和人員威脅四個方面對資產面臨的威脅進行識別。在分析數字校園實際發生的網絡威脅時，需要檢查入侵檢測系統、服務器日志文件等記錄的數據。

脆弱性是指資產中可能被威脅所利用的弱點。數字校園的脆弱性是數字校園在開發、部署、運維等過程中由于技術不成熟或管理不完善產生的一種缺陷。它如果被相關威脅利用就有可能對數字校園的資產造成損害，進而對數字校園造成損失。數字校園的脆弱性可以分為技術脆弱性和管理脆弱性兩種。技術脆弱性主要包括操作系統漏洞、網絡協議漏洞、應用系統漏洞、數據庫漏洞、中間件漏洞以及網絡中心機房物理環境設計缺陷等等。管理脆弱性主要由技術管理與組織管理措施不完善或執行不到位造成。

技術脆弱性的識別主要采用問卷調查、工具檢測、人工檢查、文檔查閱、滲透性測試等方法。因為大部分技術脆弱性與軟件漏洞有關，因此使用漏洞檢測工具檢測脆弱性，可以獲得較高的檢測效率。本文采用啟明星辰公司研發的天鏡脆弱性掃描與管理系統對數字校園進行技術脆弱性識別和評估。

管理脆弱性識別的主要內容就是對數字校園現有的安全控制措施進行識別與確認，有效的安全控制措施可以降低安全事件發生的可能性，無效的安全控制措施會提高安全事件發生的可能性。安全控制措施大致分為技術控制措施、管理和操作控制措施兩大類。技術控制措施隨著數字校園的建立、實施、運行和維護等過程同步建設與完善，具有較強的針對性，識別比較容易。管理和操作控制措施識別需要對照ISO27001標準的《信息安全實用規則指南》或NIST的《最佳安全實踐相關手冊》制訂的表格進行，避免遺漏。

3.風險計算

完成數字校園的資產識別、威脅識別、脆弱性識別和已有控制措施識別任務后，進入風險計算階段。

對于像數字校園這類復雜的網絡信息系統，需要采用OCTAVE標準提供的“構建威脅場景”方法進行風險分析。“構建威脅場景”方法基于“具體問題、具體分析”的原則，理清“資產-威脅-脆弱性-已有控制措施”的內在聯系，避免了孤立地評價威脅導致風險計算結果出現偏差的局面。表2反映了數字校園圖書館管理系統的資產、威脅、脆弱性、已有控制措施的映射示例。

將“資產—威脅—脆弱性—已有控制措施”進行映射后，就可以按照GB/T20984-2007《信息安全風險評估規范》要求進行風險計算。為了便于計算，需要將前面各個階段獲得資產、威脅、脆弱性賦值與表3所示的“資產—威脅—脆弱性—已有控制措施”映射表合并，因為在對脆弱性賦值的時候已經考慮了已有控制措施的有效性，因此可以將已有控制措施去掉。

本文采用的風險計算方法為《信息安全風險評估規范》中推薦的矩陣法，風險值計算公式為：R=R（A，T，V）=R（L（T，V）F（Ia，Va））。其中，R表示安全風險計算函數；A表示資產；T表示威脅；V表示脆弱性；Ia表示安全事件所作用的資產重要程度；Va表示脆弱性嚴重程度；L表示威脅利用資產的脆弱性導致安全事件發生的可能性；F表示安全事件發生后產生的損失。

風險計算的具體步驟是：

（a）根據威脅賦值和脆弱性賦值，查詢《安全事件可能性矩陣》計算安全事件可能性值；

（b）對照《安全事件可能性等級劃分矩陣》將安全事件可能性值轉換為安全事件可能性等級值；

（c）根據資產賦值和脆弱性賦值，查詢《安全事件損失矩陣》計算安全事件損失值；

（d）對照《安全事件損失等級劃分矩陣》將安全事件損失值轉換為安全事件損失等級值；

（e）根據安全事件可能性等級值和安全事件損失等級值，查詢《風險矩陣》計算安全事件風險值；

（f）對照《風險等級劃分矩陣》將安全事件風險值轉換為安全事件風險等級值。

所有等級值均采用五級制，1級最低，5級最高。

五、結束語

數字校園是現代高校信息化的重要基礎設施，數字校園的安全穩定直接關系到校園的安全穩定，而風險評估是保證數字校園安全穩定的一項基礎性工作。本文的信息安全風險評估方法依據國家標準，采用定性和定量相結合的方式，保證了信息安全風險評估的有效性和科學性，使得風險評估結果能對后續建立數字校園的信息安全管理體系起到指導作用。

參考文獻：

[1]宋玉賢.高職院校數字化校園建設的策略研究[J].中國教育信息化，2010（4）.

資產安全評估范文第3篇

論文關鍵詞：信息安全　風險評估　風險分析

論文摘要：本文設計的信息安全風險評估輔助系統是一個多專家評估系統，主要模塊分為風險評估管理端、系統評估端、信息庫管理端和知識庫管理端，嚴格按照《指南》的風險評估流程進行評估，使評估結果更全面更客觀。

一、前言

電力系統越來越依賴電力信息網絡來保障其安全、可靠、高效的運行，該數據信息網絡出現的任何信息安全方面的問題都可能波及電力系統的安全、穩定、經濟運行，因此電力信息網絡的安全保障工作刻不容緩[1，2]。風險評估具體的評估方法從早期簡單的純技術操作，逐漸過渡到目前普遍采用BS7799、OCTAVE、ISO13335、NIST SP800-30等相關標準的方法，充分體現以資產為出發點，以威脅為觸發，以技術、管理、運行等方面存在的脆弱性為誘因的信息安全風險評估綜合方法及操作模型[3]。

二、信息安全風險評估

在我國，風險評估工作已經完成了調查研究階段、標準草案編制階段和全國試點工作階段，國信辦制定的標準草案《信息安全風險評估指南》[4]（簡稱《指南》）得到了較好地實踐。本文設計的工具是基于《指南》的，涉及內容包括：

（一）風險要素關系。圍繞著資產、威脅、脆弱性和安全措施這些基本要素展開，在對基本要素的評估過程中，需要充分考慮業務戰略、資產價值、安全需求、安全事件、殘余風險等與基本要素相關的各類屬性。

（二）風險分析原理。資產的屬性是資產價值；威脅的屬性可以是威脅主體、影響對象、出現頻率、動機等；脆弱性的屬性是資產弱點的嚴重程度。

（三）風險評估流程。包括風險評估準備、資產識別、威脅識別、脆弱性識別、已有安全措施確認、風險分析、風險消減[5]。

三、電力信息網風險評估輔助系統設計與實現

本文設計的信息安全風險評估輔助系統是基于《指南》的標準，設計階段參考了Nipc-RiskAssessTool-V2.0，Microsoft Security Risk Self-Assessment Tool等風險評估工具。系統采用C/S結構，是一個多專家共同評估的風險評估工具。分為知識庫管理端、信息庫管理端、系統評估端、評估管理端。其中前兩個工具用于更新知識庫和信息庫。后兩個工具是風險評估的主體。下面對系統各部分的功能模塊進行詳細介紹：

（一）評估管理端。評估管理端控制風險評估的進度，綜合管理系統評估端的評估結果。具體表現在：開啟評估任務；分配風險評估專家；對準備階段、資產識別階段、威脅識別階段、脆弱性識別階段、已有控制措施識別階段、風險分析階段、選擇控制措施階段這七個階段多個專家的評估進行確認，對多個專家的評估數據進行綜合，得到綜合評估結果。

（二）系統評估端。系統評估端由多個專家操作，同時開展評估。系統評估端要經歷如下階段：a.準備階段：評估系統中CIA的相對重要性；b.資產識別階段；c.威脅識別階段；d.脆弱性識別階段；e.已有控制措施識別階段；f.風險分析階段；g.控制措施選擇階段。在完成了風險評估的所有階段之后，和評估管理端一樣，可以瀏覽、導出、打印評估的結果—風險評估報表系列。

（三）信息庫管理端。信息庫管理端由資產管理，威脅管理，脆弱點管理，控制措施管理四部分組成。具體功能是：對資產大類、小類進行管理；對威脅列表進行管理；對脆弱點大類、列表進行管理；對控制措施列表進行管理。

（四）知識庫管理端。知識庫的管理分為系統CIA問卷管理，脆弱點問卷管理，威脅問卷管理，資產屬性問卷管理，控制措施問卷管理，控制措施損益問卷管理六部分。

四、總結

信息安全風險評估是一個新興的領域，本文在介紹了信息安全風險評估研究意義的基礎之上，詳細闡述了信息安全風險評估輔助工具的結構設計和系統主要部分的功能描述。測試結果表明系統能對已有的控制措施進行識別，分析出已有控制措施的實施效果，為風險處理計劃提供依據。

參考文獻

[1]Huisheng Gao，Yiqun Sun，Research on Indices System of Security Risk Evaluation for Electric Power.Optical Fiber Communication Network，IEEE，2007.

[2]Masami Hasegawa，Toshiki Ogawa，Security Measures for the Manufacture and Control System，SICE Annual Conference 2007.

[3]左曉棟等.對信息安全風險評估中幾個重要問題的認識[J].計算機安全，2004，7:64-66

資產安全評估范文第4篇

風險評估技術常用的工具一般有滲透測試工具和脆弱性掃描工具。滲透測試工具一般常使用人工結合滲透測試工具進行，常用的Web滲透測試工具有IBMAppScan、AWVS、HPWEBinspect，通常需對漏洞進行人工驗證，以確定漏洞準確性。脆弱性掃描工具主要用于評估網絡或主機存在的系統漏洞，常見工具有Nessus，能對主機、網絡設備、安全設備進行掃描并形成脆弱性報告。此外，在風險評估過程中，除了利用上述工具來發現系統風險外，還需要利用系統現有數據來進行現狀分析和趨勢分析，這其中常用的手段有：入侵檢測日志分析、主機日志分析、應用系統日志分析、主機/網絡檢查表等。

風險評估流程

1總體流程

根據風險評估中包含的各個要求，要分別進行實施，整體的風險評估流程如圖3所示。

2風險評估準備階段

通過做好準備工作，能夠大大提升風險評估的效果，降低項目實施風險，該階段是風險評估整個過程的重要組成部分。風險評估準備階段一般應包含如下工作內容：明確風險評估范圍、確定風險評估目標、組建項目團隊、設定系統性風險評估方法、整體風險評估方案獲得高層批準。

3資產識別階段

資產識別主要針對現有的信息資產進行分類識別和描述，在識別的基礎上從信息安全的角度，機密性、完整性和可用性對其進行賦值，確定信息資產的價值，作為影響分析的基礎，典型資產類別可以分為：網絡設備、服務器、終端、安全設備、物理環境、業務系統、數據、文檔、組織和人員等。

4脆弱性識別

脆弱性評估常被稱作弱點評估，是風險評估的重要工作，通過脆弱性評估能夠發現信息資產存在的弱點。弱點是資產本身存在的，它可以被威脅利用、引起資產或商業目標的損害。弱點包括物理環境、組織、過程、人員、管理、配置、硬件、軟件和信息等各種資產的脆弱性。脆弱性分類可分為技術脆弱性和管理脆弱性，其中技術脆弱性又可以細分為：物理安全、網絡安全、系統安全、應用安全、數據安全5個方面。

5威脅識別

威脅可以通過威脅主體、資源、動機、途徑等多種屬性來描述。造成威脅的因素可分為人為因素和環境因素。根據威脅的動機，人為因素又可分為惡意和非惡意兩種。

環境因素包括自然界不可抗的因素和其他物理因素。威脅作用形式可以是對信息系統直接或間接的攻擊，在機密性、完整性或可用性等方面造成損害，也可能是偶發的或蓄意的事件。對威脅識別的簡單方法就是對威脅進行分類，針對不同的威脅，可以根據其表現形式將威脅識別分為以下幾類：軟硬件故障、物理環境影響、無作為或操作失誤、管理不到位、惡意代碼、越權或濫用、網絡攻擊、物理攻擊、泄密、篡改、抵賴等。威脅分析方法首先需要考慮威脅的來源，然后分析存在哪些威脅種類，最后做出威脅來源和威脅種類的交叉表進行威脅賦值。

6風險分析

風險分析中要涉及資產、威脅、脆弱性3個基本要素，每個要素有各自的屬性。資產的屬性是資產價值；威脅的屬性可以是威脅主體、影響對象、出現頻率、動機等；脆弱性的屬性是資產弱點的嚴重程度。

風險評估的主要內容

信息安全風險評估包含的內容涉及信息安全管理和技術，同時包括網絡、系統、應用和數據等不同的技術層面，但根據保險行業的特定需求，總體定位在網絡設備和網絡架構方面的技術評估。主要內容包括：

1)信息資產的調查，主要針對網絡拓撲，網絡設備和服務器設備等。

2)網絡架構弱點評估，針對目前的網絡拓撲圖進行弱點分析。

3)網絡設備和服務器系統弱點評估，針對設備目前的系統配置進行分析，確認其是否達到應有的安全效果，結合滲透測試的手段。

4)現有安全控制措施，通過分析目前的安全控制措施，綜合總結網絡架構和設備的弱點。

5)整體網絡威脅和風險分析，綜合分析網絡中面臨的威脅和可能的風險，形成總體安全現狀。

6)建議安全措施和規劃。根據風險評估的成果和建設目標，形成建議的安全措施和時間進度，建立1-2年的信息安全規劃。

項目實施成果

根據以上工作內容，項目的最終成果包括：

1)信息資產清單和分析結果。清晰明確系統和網絡信息資產，明確其機密性、完整性和可用性的安全目標，同時確定資產的重要類別；必要時可以建立內部的信息資產庫。

2)系統和網絡脆弱性報告。明確服務器系統、網絡設備、網絡結構和安全設備可能存在的弱點。

3)系統和網絡威脅報告。根據已有的弱點分析目前可能面臨的威脅和威脅發生后對業務、系統和網絡造成的影響。

4)安全現狀報告。基于風險的安全現狀總體分析報告，明確目前的網絡安全風險。

5)建議安全措施和規劃。從技術和管理的角度提出后期進行系統建設的安全控制措施。

結語

資產安全評估范文第5篇

關鍵詞 企業網 信息系統 風險評估

中圖分類號：TP393.08 文獻標識碼：A

一、引言

信息技術在商業上的廣泛應用，使得企業對信息系統的依賴性增大。信息系統風險評估是辨別各種系統的脆弱性及其對系統構成威脅，識別系統中存在的風險，并將這些風險進行定性，定量的分析，最后制定控制和變更措施的過程 。通過安全評估能夠明確企業信息系統的安全威脅，了解企業信息系統的脆弱性，并分析可能由此造成的損失或影響，為滿足企業信息安全需求和降低風險提供必要的依據。

二、安全風險評估的關鍵要素

信息系統安全風險評估的三個關鍵要素是信息資產、威脅、弱點（即脆弱性）。每個要素都有各自的屬性，信息資產的屬性是資產價值。威脅的屬性是威脅發生的可能性，弱點的屬性是弱點被威脅利用后對資產帶來的影響的嚴重程度。

對企業信息系統的本身條件和歷史數據進行整理分析，得到威脅，脆弱點分析如下：

實物資產的脆弱性：對電腦等辦公物品的保護措施不力，辦公場所防范災害措施不力，電纜松動，通訊線路保護缺失。

信息資產的脆弱性：相關技術文檔不全，信息傳輸保護缺失，撥號線路網絡訪問受限，單點故障，網絡管理不力，不受控制的拷貝。

軟件資產的脆弱性：未使用正版穩定軟件。

人員的脆弱性：對外來人員監管不力，安全技術培訓不力，授權使用控制不力，內部員工的道德培訓不力。

三、風險評估過程

風險評估是信息系統安全保障的核心和關鍵。風險評估過程分為風險識別、風險分析和風險管理。

風險識別是分析系統，找出系統的薄弱點和在運行過程中可能存在的風險。為了保證風險分析的的及時性和有效性，管理層面應該有具備豐富風險知識的部門經理、IT人員、關鍵用戶、審計人員和專家顧問，他們能夠幫助快速地指出關鍵風險。

風險分析是對已識別的風險進行分析，確定各個風險可能造成的影響和損失，并按照其造成的影響和損失大小進行排序，得到風險的級別。風險分析有助于企業就安全項目和構成該項目的安全組成部分編制正確的預算，有助于將安全項目的目標與企業的業務目標和要求結合起來。

風險管理是由以上步驟得到的結果，制定相應的保護措施。通過實施在評估階段創建的各種計劃，并用這些計劃來創建新的安全策略，在完成補救措施策略的開發和相關系統管理的更改，并且確定其有效性的策略和過程已經寫好之后，即進行安全風險補救措施測試。在測試過程中，將按照安全風險的控制效果來評估對策的有效性。

四、評估系統的設計

（一）評估系統的體系結構和運行環境。

該評估系統主要采用B/S/S三層體系結構，即包括客戶端、應用服務器、數據庫服務器三部分。其結構示意圖如圖1所示：其中，客戶端通過Web瀏覽器訪問應用服務器，在Web頁面的引導下指導用戶與評估人員進行風險識別、數據收集，并顯示最后的評估結果。同時豐富的在線幫助信息又為用戶及評估人員參與風險評估以及管理員進行系統維護提供了很好的在線支持，系統管理員也可以利用任意一臺客戶端登錄管理帳號對系統數據庫進行權限范圍內的維護。管理者需了解部門、員工及資產總體情況，明確風險種類及大小，并以知識庫的形式，為如何處置風險提供了一些解決方案。面向評估人員的功能模塊，展示了本部門目前面臨的威脅和薄弱點情況，幫助評估人員明確風險。相比而言，該模塊更主要的功能，是協助上報本部門的人員及資產信息，以滿足評估需要。

圖1 評估系統體系結構

應用服務器處理收集到的風險信息，并采取多種手段，利用綜合評估算法 ，完成信息系統安全風險評估，并實時將執行結果返回給客戶端Web瀏覽器。應用服務器配置了系統運行所需要的Web服務器程序以及Web站點頁面文件，我們選擇動態網頁編程技術對系統的Web站點頁面文件進行編碼和開發。數據庫服務器上配置了系統運行所需要的SQL Server數據庫管理程序以及系統數據庫資源，通過Web服務器與客戶端實現實時數據交互。

（二）工作流程設計

首先，對信息系統進行風險數據采集，用戶填寫由評估單位制定的評估申請，將信息系統按具體情況進行分類，同時利用漏洞掃描器、正反向工具從技術角度了解系統的安全配置和運行的應用服務，使得評估人員從整體上了解該信息系統及其評估重點，并針對系統業務特點進行裁剪；接下來，在前面所做的工作的基礎上，圍繞著系統所承載的業務對數據進行資產、威脅、脆弱性分析；最后，依據發生的可能性及對系統業務造成的影響對識別的風險進行分類，利用定性和定量的評估算法以及消除主觀性的各種算法，對風險識別中獲得的風險信息進行風險綜合評估，并在整體和局部、管理和技術風險評估的基礎上，生成評估報告。

（三）數據庫設計

該系統的數據庫由企業信息庫、知識庫、評估標準庫和評估方法庫組成，采用SQL Server數據庫管理系統作為該數據庫的開發和運行平臺，其中：企業信息庫存儲的是有關企業信息系統的基本信息；評估方法庫存儲了針對所設計的評估結構所采用的評估方法集合；知識庫存儲的是以往已評估系統的完整評估資料，可以為當前的風險評估提供可借鑒的經驗；在數據庫設計中評估標準庫是幾個庫中最重要也是工作量最大的部分，該庫涵蓋了各評估標準的評估要素，即遵從標準，又針對各行業的業務特點，提供了靈活的數據結構。

（四）網站內容風險算法。

對風險進行計算，需要確定影響的風險要素、要素之間的組合方式、以及具體的計算方法。將風險要素按照組合方式使用具體的計算方法進行計算，得到風險值。目前通用的風險評估中風險值計算涉及的風險要素一般為資產、威脅、和脆弱性。由威脅和脆弱性確定安全事件發生的可能性，由資產和脆弱性確定安全事件的損失；由安全事件發生的可能性和安全事件的損失確定風險值。目前，常用的計算方法是矩陣法和相乘法。

五、總結

網絡技術的發展在加速信息交流與共享的同時，也加大了網絡信息安全事故發生的可能性。對企業信息系統進行風險評估，可以了解其安全風險，評估這些風險可能帶來的安全威脅與影響程度，為安全策略的確定、信息系統的建立及安全運行提供依據，給用戶提供信息技術產品和系統可靠性的信心，增強產品、企業的競爭力。

（作者：武漢職業技術學院計算機系教師，碩士，研究方向：計算機網絡及其應用、信息安全）

注釋：