信息安全风险评估

本文已收录至《全国计算机等级考试——信息 安全技术》专栏

简介

信息安全风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。

信息安全风险评估相关内容

1）资产，任何对组织有价值的事物。

2）威胁，指可能对资产或组织造成损害的事故的潜在原因。例如，组织的网络系统可能受到来自计算机病毒和黑客攻击的威胁。

3）脆弱点，是指资产或资产组中能背威胁利用的弱点。如员工缺乏信息安全意思，使用简短易被猜测的口令、操作系统本身有安全漏洞等。

4）风险，特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害饿潜在可能性，即特定威胁事件发生的可能性与后果的结合。

5）风险评估，对信息和信息处理设施的威胁、影响和脆弱点及三者发生的可能性评估。

6）风险评估也称为风险分析，就是确认安全风险及其大小的过程，即利用适当的风险评估工具，包括定性和定量的方法，去顶资产风险等级和优先控制顺序。

信息安全风险评估目的

风险评估的目的是全面、准确的了解组织机构的网络安全现状，发现系统的安全问题及其可能的危害，为系统最终安全需求的提出提供依据。准确了解组织的网络和系统安全现状。

信息安全风险评估依据标准及法规

《信息安全风险评估指南》

《信息系统安全等级保护测评准则》

《信息系统安全等级保护基本要求》

《信息系统安全保护等级定级指南》(试用版v3.2)

《计算机机房场地安全要求》（GB9361-88）

《计算机信息系统安全等级保护网络技术要求》（GA/T387-2002） 《计算机信息系统安全等级保护操作系统技术要求》（GA/T388-2002）

《计算机信息系统安全等级保护数据库管理系统技术要求》（GA/T389-2002）

《计算机信息系统安全等级保护通用技术要求》（GA/T390-2002） 《计算机信息系统安全等级保护管理要求》（GA/T391-2002）

《计算机信息系统安全等级保护划分准则》（GB/T17859-1999）

信息安全风险评估综合评价

(一)应用科学的方法，针对确定的对象，进行认真仔细的风险分析，同时进 行合理的风险判断。尽管机房运行风险的基本情况已在附表中罗列，但是在实际工作中必须进行具体的风险分析，才能制定出切合实际的防范对策。

(二)确立风险预先处置理念。通过分析机房运行风险可以发现，对机房运行风险要区别对待，因此笔者提出机房运行风险预先处置的理念，即通过科学的防范措施，尽可能避免一级风险的发生，减少二、三级风险的发生。

防范建议

1）风险转移。将一些可以预见但发生概率较低的风险，通过购买保险、设备维修外包等形式，转移给保险公司和机房设备服务商。如购买财产保险，可将机房风险(机房建筑物风险、火灾风险等)转移给保险公司;通过机房设备外包的方式，可将UPS、精密空调等设备故障风险转移给设备维修服务公司。

2）科学监控。机房保障系统的运行故障大部分有一个从量变到质变的过程，机房设备的使用寿命也有一定的规律可循，而且机房设备的运行故障必定有其特定的原因。因此，通过健全科学的实时监控措施，对发生故障随机性强的机房保障系统进行长期实时检测，通过对采集的运行参数进行有机分析，可以及时采取有效的规避风险的措施。由实时监控系统组成的预警系统，可以对其监控的设备进行运行状态检测、运行异常警告、运行故障原因分析，从而达到防范运行故障和及时处置风险的目的。

3）制订应急方案。应对运行风险的目标，是尽可能避免发生运行风险，一旦发生风险就要做到快速反应、快速恢复。要制订一整套科学有效的机房运行风险应急方案，包括如何启动风险处置的报告体系、组建负责人力资源调动和现场协调指挥的组织机构、安排负责处置风险的各方面专业技术人员等内容。制订应急方案时要特别注意实用性，其基本原则是方案要分门别类、描述要直观明确、处置方法要准确详尽，以确保方案能起到较好应急的效果。

总之，高度重视机房运行保障的重要性，客观地认知机房运行规律，科学地应对机房运行风险，不断探索和掌握机房运行维护技术，有效提高机房保障管理水平，就能最大限度地规避机房运行风险，为各种计算机应用系统提供可靠保证。