信息安全危险点评浅析

　　2017年6月1日施行的《中华人民共和国网络安全法》将展开危险点评作为网络运营者的责任写入到法令。

　　第二十九条 国家支撑网络运营者之间在网络安全、剖析、通报和应急处置等方面进行协作，进步网络运营者的安全确保才能。有关工作安排树立健全本工作的网络安全维护标准和协作机制，加强对网络安全危险的剖析点评，定时向会员进行危险警示，支撑、帮忙会员应对网络安全危险。

　　第三十八条 要害信息根底设施的运营者应当自行或许托付网络安全服务安排对其网络的安全性和或许存在的危险每年至少进行一次检测点评，并将检测点评情况和改善办法报送相关担任要害信息根底设施安全维护作业的部分。

　　第五十三条 国家网信部分和谐有关部分树立健全和应急作业机制，拟定事情应急预案，并定时安排演练。

　　国家发改委、公安部、国家保密局联合下发《关于加强国家电子政务工程建造项目信息安全危险点评作业的告诉》（发改高技〔2008〕2071号），在文件中明晰规则如下内容：

　　① 国家的电子政务网络、要点事务信息体系、根底信息库以及相关支撑体系等国家电子政务工程建造项目，应展开信息安全危险点评作业。

　　② 电子政务项目信息安全危险点评的首要内容包含：剖析信息体系财物的重要程度，点评信息体系面对的安全要挟、存在的脆弱性、已有的安全办法和剩余危险的影响等。

　　③ 电子政务项目信息安全危险点评作业依照触及国家秘密的信息体系（以下简称涉密信息体系）和非涉密信息体系两部分安排展开。

　　④ 涉密信息体系的信息安全危险点评应依照《触及国家秘密的信息体系分级维护办理办法》、《触及国家秘密的信息体系批阅办理规则》、《触及国家秘密的信息体系分级维护测评攻略》等国家有关保密规则和标准，进行体系测评并实行批阅手续。

　　⑤ 非涉密信息体系的信息安全危险点评应依照《信息安全等级维护办理办法》、《定级攻略》、《根本要求》、《施行攻略》和《信息安全危险点评标准》等有关要求，可托付同一专业测评安排完结等级测评和危险点评作业，并构成等级测评陈述和危险点评陈述。等级测评陈述参照公安部分拟定的格局编制，危险点评陈述参阅《国家电子政务工程建造项目非涉密信息体系信息安全危险点评陈述格局》编制。

　　⑥ 电子政务项目涉密信息体系的信息安全危险点评，由国家保密局涉密信息体系安全保密测评中心承当。非涉密信息体系的信息安全危险点评，由国家信息技能安全研究中心、我国信息安全测评中心、公安部信息安全等级维护点评中心等三家专业测评安排承当。

　　⑦ 项目建造单位应在项目建造使命完结后试运转期间，安排展开该项意图信息安全危险点评作业，并构成相关文档，该文档应作为项目查验的重要内容。

　　⑧ 项目建造单位向批阅部分提出项目竣工查验请求时，应提交该项目信息安全危险点评相关文档。首要包含：《触及国家秘密的信息体系运用答应证》和《触及国家秘密的信息体系检测点评陈述》，非涉密信息体系安全维护等级存案证明，以及相应的安全等级测评陈述和信息安全危险点评陈述等。

　　⑩ 电子政务项目投入运转后，项目建造单位应定时展开信息安全危险点评，查验信息体系对安全环境改变的习惯性及安全办法的有效性，确保信息体系的安全可靠。

　　⑪ 中心和当地共建电子政务项目中的当地建造部分信息安全危险点评作业参照本告诉履行。

　　在测评陈述第6部分体系安全确保点评和安全问题危险点评中都触及危险点评。安全问题危险点评是指根据标准标准，选用危险剖析的办法进行损害剖析和危险等级断定，即：展开时，要将危险点评作为测评的一部分。

　　在维护法令第四十一条规则：有关部分安排展开要害信息根底设施安全检测点评，应坚持客观公平、高效通明的准则，采纳科学的检测点评办法，标准检测点评流程，操控检测点评危险。运营者应当对有关部分依法施行的检测点评予以合作，对检测点评发现的问题及时进行整改。

　　一起第四十二条要求，有关部分安排展开要害信息根底设施安全检测点评，可采纳下列办法：

　　信息体系的安全危险点评，应依照GB/T20984—2007中规则的点评流程进行施行，包含各阶段性的点评作业。

　　信息安全危险点评应以被点评安排的要害事务作为点评作业的中心，把触及这些事务的相关网络与体系包含根底网络、事务网络、运用根底渠道、事务运用渠道等作为点评的要点。

　　① 服务可控性。点评方应事前在点评作业交流会议中向用户介绍点评服务流程，明晰需求得到被点评安排协作的作业内容，确保安全点评服务作业的顺利进行。

　　② 人员与信息可控性。一切参加点评的人员应签署保密协议，以确保项目信息的安全；应对作业进程数据和成果数据严格办理，未经授权不得走漏给任何单位和个人。

　　③ 进程可控性。应依照项目办理要求，树立项目施行团队，项目组长担任制，到达项目进程的可控。

　　④ 东西可控性。安全点评人员所运用的点评东西应该事前布告用户，并在项目施行前取得用户的答应，包含产品自身、测验战略等。

　　关于在线事务体系的危险点评，应选用最小影响准则，即首要确保事务体系的安稳运转，关于需求进行进犯性测验的作业内容，需与用户交流并进行应急备份，一起挑选避开事务的顶峰时刻进行。

　　GB/T20984—2007规则了危险点评的施行流程，根据流程中的各项作业内容，一般将危险点评施行区分为点评预备、危险要素辨认、危险剖析与危险处置4个阶段。其间，点评预备阶段作业是对点评施行有效性的确保，是点评作业的开端；危险要素辨认阶段作业首要是对点评活动中的各类要害要素财物、要挟、脆弱性、安全办法进行辨认与赋值；危险剖析阶段作业首要是对辨认阶段中取得的各类信息进行相关剖析，并核算危险值；危险处置主张作业首要针对点评出的危险，提出相应的处置主张，以及依照处置主张施行安全加固后进行剩余危险处置等内容。

　　GB/T20984—2007明晰了危险点评的根本作业办法是自点评与查看点评。

　　自点评是信息体系具有、运营或运用单位建议的对本单位信息体系进行的危险点评，可由建议方施行或托付信息安全服务安排支撑施行。施行自点评的安排可根据安排自身的实践需求进行点评方针的树立，选用完好或取舍的点评活动。

　　查看点评是信息体系上级办理部分或国家有关职能部分依法展开的危险点评，查看点评也可托付信息安全服务安排支撑施行。查看点评除可对被查看安排的要害环节或要点内容施行抽样点评外，还可施行完好的危险点评。

　　信息体系生命周期一般包含信息体系的规划、规划、施行、运维和抛弃5个阶段，危险点评活动应贯穿于信息体系生命周期的上述各阶段中。

　　信息体系生命周期各阶段的危险点评因为各阶段的点评方针、安全需求不同，点评的意图一般也不同。规划阶段危险点评的意图是辨认体系的事务战略，以支撑体系安全需求及安全战略等；规划阶段危险点评的意图是点评安全规划计划是否满意信息体系安全功用的需求；施行阶段的点评意图是对体系开发、施行进程进行危险辨认，对建成后的体系安全功用进行验证；运转维护阶段的点评意图是了解和操控体系运转进程中的安全危险；抛弃阶段的点评意图是对抛弃财物对安排的影响进行剖析。

　　此外，当信息体系的事务方针和需求或技能和办理环境产生改变时，需求再次进入上述5个阶段的危险点评，使得信息体系的安全习惯自身和环境的改变。

　　危险点评预备是整个危险点评进程有效性的确保。因为危险点评遭到安排的事务战略、事务流程、安全需求、体系规划和结构等方面的影响，因而，在危险点评施行前，应充沛做好点评前的各项预备作业。信息安全危险点评触及安排内部有关重要信息，被点评安排应稳重挑选点评单位、点评人员的资质和资历，并遵照国家或工作相关办理要求。

　　在预备阶段需求做的作业内容如下：① 承认点评方针；② 承认点评规模；③ 组成点评团队；④ 点评作业发起会议；⑤ 体系调研；⑥ 承认点评根据和点评办法；⑦ 挑选相应的点评东西；⑧ 拟定点评计划。

　　财物是对安排具有价值的信息或资源，是安全战略维护的方针。在危险点评作业中，危险的重要要素都以财物为中心，要挟、脆弱性以及危险都是针对财物而客观存在的。要挟使用财物自身脆弱性，使得安全事情的产生成为或许，然后构成了安全危险。这些安全事情一旦产生，对详细财物乃至整个信息体系都将形成必定影响，然后对安排的利益形成影响。因而，财物是危险点评的重要方针。

　　不同价值的财物遭到平等程度损坏时对安排形成的影响程度不同。财物价值是财物重要程度或灵敏程度的表征。辨认财物并点评财物价值是危险点评的一项重要内容。

　　在一个安排中，财物的存在办法多种多样，不同类别财物具有的财物价值、面对的要挟、具有的脆弱性、可采纳的安全办法都不同。对财物进行分类既有助于进步财物辨认的功率，又有利于全体的危险点评。

　　在危险点评施行中，可依照《信息安全技能 信息安全危险点评标准》（GB/T20984—2007）中财物分类办法，把财物分为硬件、软件、数据、服务、人员以及其他六大类。

　　为确保危险点评作业的进展要求和质量要求，有时不或许对一切财物做全面剖析，应选取其间要害财物进行剖析。

　　财物辨认的一般进程如下：① 根据点评方针和规模，承认危险点评方针中包含的信息体系；② 辨认信息体系处理的事务功用，以及处理事务所需的事务流程，特别应辨认出要害事务功用和要害事务流程；③ 根据事务特色和事务流程辨认事务需求处理的数据和供给的服务，特别应辨认出要害数据和要害服务；④ 辨认处理数据和供给服务所需的体系单元和体系组件，特别应辨认出要害体系单元和要害体系组件。

　　财物查询是辨认安排和信息体系中财物的重要途径。财物查询一方面应辨认出有哪些财物，另一方面要辨认出每项财物自身的要害特色。

　　事务是安排存在的必要条件，信息体系承载事务。信息体系的正常运转，确保事务的正常展开，关乎安排的利益。经过财物查询，应承认点评方针中包含哪些信息体系，每个信息体系处理哪些品种事务，每种事务包含哪些详细事务功用，以及相关事务处理的流程。剖析并清楚了解各种事务功用和流程，有利于剖析体系中的数据流向及其安全确保要求。

　　在信息体系中，事务处理表现为数据处理和服务供给，数据和服务都是安排的信息财物。在辨认各种事务后应进行数据处理和服务的辨认，承认各种数据和服务对安排的重要性，以及数据和服务的保密性、完好性、可用性、抗狡赖性等安全特色，然后承认哪些是要害财物。

　　信息体系依靠于数据和服务等信息财物。信息财物又依靠于支撑和确保信息体系运转的硬件和软件资源，即体系渠道，包含物理环境、网络、主机和运用体系等，其根底设施如、、等被称为体系单元，在体系单元上运转的、、运用软件等被称为体系组件。在数据和服务等信息财物辨认的根底上，根据事务处理流程，可辨认出支撑事务体系运转所需的体系渠道，而且辨认出这些软硬件资源在重要性、保密性、完好性、可用性、抗狡赖性等安全特色。

　　财物查询的办法包含阅览文档、访谈相关人员、查看相关财物等。一般情况下，可经过查阅信息体系需求说明书、可行性研究陈述、规划计划、施行计划、装置手册、用户运用手册、测验陈述、运转陈述、安全战略文件、安全办理准则文件、操作流程文件、准则执行的记载文件、财物清单、网络拓扑图等，辨认安排和信息体系的财物。

　　如文档记载信息之间存在互相矛盾，或存在不清楚的当地，以及文档记载信息与实践情况有收支，财物辨认有必要就要害财物和要害问题与被点评安排相关人员进行核实，并挑选在安排和信息体系办理中担任不同人物的人员进行访谈，包含主管领导、事务人员、开发人员、施行人员、运维人员、监督办理人员等。一般情况下，经过阅览文档和现场访谈相关人员，根本可明晰辨认安排和信息体系财物，对要害财物应进行现场实践查看。

　　在财物查询根底上，需剖析财物的保密性、完好性和可用性等安全特色的等级，安全特色等级包含：很高、高、中等、低、很低五种等级，某种安全特色等级越高表明财物该安全特色越重要。保密性、完好性、可用性的五个赋值的意义可参阅《信息安全技能 信息安全危险点评标准》（GB/T20984—2007）。

　　因财物保密性、完好性和可用性等安全特色的量化进程易带有主观性，能够参阅如下要素，使用加权等办法归纳得出财物保密性、完好性和可用性等安全特色的赋值等级：① 财物所承载信息体系的重要性；② 财物所承载信息体系的安全等级；③ 财物对所承载信息安全正常运转的重要程度；④ 财物保密性、完好性、可用性等安全特色对信息体系，以及相关事务的重要程度。

　　财物价值应根据财物保密性、完好性和可用性的赋值等级，经归纳鉴定承认。财物价值等级包含：很高、高、中等、低、很低五种等级，每种等级意义能够参阅《信息安全技能 信息安全危险点评标准》（GB/T20984—2007）。

　　归纳鉴定的办法可根据信息体系所承载的事务对不同安全特色的依靠程度，挑选财物保密性、完好性和可用性最为重要的一个特色的赋值等级作为财物的终究赋值成果；也能够根据财物保密性、完好性和可用性的不平等级，对其赋值和加权，核算得到财物的终究赋值成果，加权办法可根据安排的事务特色承认。点评小组可根据财物赋值成果，承认要害财物规模，并环绕要害财物进行后续的危险点评作业。

　　要挟是指或许导致损害体系或安排的不期望事端的潜在原因。要挟是一个客观存在的，不管关于多么安全的信息体系，它都存在。要挟的存在，安排和信息体系才会存在危险。因而，危险点评作业中需全面、精确地了解安排和信息体系所面对的各种要挟。

　　依照《信息安全技能 信息安全危险点评标准》（GB/T20984—2007）要挟分类办法，可要挟分为软硬件毛病、物理环境影响、无作为或操作失误、办理不到位、恶意代码、越权或乱用、网络进犯、物理进犯、泄密、篡改、狡赖11类。

　　要挟是客观存在的，任何一个安排和信息体系都面对要挟。但在不同安排和信息体系中，要挟产生的或许性和形成的影响或许不同。不仅如此，同一个安排或信息体系中不同财物所面对的要挟产生的或许性和形成的影响也或许不同。要挟查询便是要辨认安排和信息体系中或许产生并形成影响的要挟，从而剖析哪些产生或许性较大、或许形成严峻影响的要挟。

　　要挟源是产生要挟主体。在进行要挟查询时，首要应辨认存在哪些要挟源，一起剖析这些要挟源的动机和才能。根据要挟源的不同，能够将要挟分为非人为的和人为的。

　　不同的危险源具有不同的进犯才能，进犯者的才能越强，进犯成功的或许性就越大。衡量进犯要包含：发挥进犯的常识、技能、经历和必要的资金、人力和技能资源等。表1剖析了典型的进犯者类型、动机和特色。

　　在辨认要挟源时，一方面要查询存在哪些要挟源，特别要了解安排的客户、同伴或竞争对手以及体系用户等情况；另一方面要查询不同要挟源的动机、特色、发起要挟的才能等。经过要挟源的剖析，辨认出要挟源称号、类型（包含天然环境、体系缺点、政府、安排、工作个人等）、动机（非人为、人为非成心、人为成心等）。

　　要挟途径是指要挟源对安排或信息体系形成损坏的手法和途径。非人为的要挟途径表现为产生天然灾祸、呈现恶劣的物理环境、呈现软硬件毛病或功能降低一级；人为的要挟手法包含：主动进犯、被迫进犯、附近进犯、分发进犯、误操作等。

　　要挟是客观存在的，但关于不同的安排和信息体系，要挟产生的或许性不尽相同。要挟产生的影响与脆弱性是密切相关的。脆弱性越多、越严峻，要挟产生影响的或许性越大。例如，在雨水较多的区域，呈现水灾的或许性较大，因而关于存在严峻缝隙的体系，被要挟进犯的成功性或许较大。

　　要挟客体是要挟产生时遭到影响的方针，要挟影响与要挟客体密切相关。当一个要挟产生时，会影响到多个方针。这些要挟客体有层次之分，一般要挟直接影响的方针是财物，直接影响到信息体系和安排。在辨认要挟客体时，先辨认那些直承受影响的客体，再逐层剖析直承受影响的客体。

　　要挟客体的价值越重要，要挟产生的影响越大；要挟损坏的客体规模越广泛，要挟产生的影响越大。剖析并承认要挟产生时受影响客体的规模和客体的价值，有利于剖析安排和信息体系存在危险的巨细。

　　遭到要挟损坏的客体，有的能够弥补且弥补价值能够承受，有的不能弥补或弥补价值难以承受。受影响客体的可弥补性也是要挟影响的一个重要方面。

　　不同安排和信息体系因为所在天然环境、事务类型等不尽相同，面对的要挟也具有不同的特色。例如，处于天然环境恶劣的信息体系，产生天然灾祸的或许性较大，事务价值高或灵敏的体系遭受进犯的或许性较大。要挟查询的办法多种多样，能够根据安排和信息体系自身的特色，产生的前史安全事情记载，面对要挟剖析等办法进行查询。

　　经过要挟查询，可辨认存在的要挟源称号、类型、进犯才能和进犯动机，要挟途径，要挟产生或许性，要挟影响的客体的价值、掩盖规模、损坏严峻程度和可弥补性。在要挟查询根底上，可作如下要挟剖析：① 经过剖析要挟途径，结合要挟自身特色、财物存在的脆弱性以及所采纳的安全办法，辨认出要挟产生的或许性，也便是要挟产生的概率；② 经过剖析要挟客体的价值和要挟掩盖规模、损坏严峻程度和可弥补性等，辨认要挟影响；③ 剖析并承认由要挟源进犯才能、进犯动机，要挟产生概率、影响程度核算要挟值的办法；④ 要挟赋值。归纳剖析上述要素，对要挟的或许性进行赋值，要挟赋值分为很高、高、中等、低、很低5个等级，等级越高表胁产生的或许性越高。

　　脆弱性是财物自身存在的，如没有被要挟使用，脆弱性自身不会对财物形成损害。如信息体系满足强健，要挟难以导致安全事情的产生。也便是说，要挟是经过使用财物的脆弱性才或许形成损害。因而，安排一般经过尽或许消减财物的脆弱性，来阻挠或消减要挟形成的影响，所以脆弱性辨认是危险点评中最重要的一个环节。

　　脆弱性可从技能和办理两方面进行辨认。技能方面，可从物理环境、网络、主机体系、运用体系、数据等方面辨认财物的脆弱性；办理方面，可从技能办理脆弱性和安排办理脆弱性两方面辨认财物的脆弱性，技能办理脆弱性与详细技能活动相关，安排办理脆弱性与办理环境相关。

　　脆弱性辨认包含：脆弱性的根本特征，时刻特征和环境特征的辨认。脆弱性辨认所选用的办法首要有：文档查阅、问卷查询、人工核对、东西检测、渗透性测验等。

　　脆弱性查看包含安全技能脆弱性查看和安全办理脆弱性查看，详细查看目标和办法可参阅网络安全等级维护技能要求。

　　危险点评是以环绕被点评安排中心事务展开为准则的，点评事务所面对的安全危险。危险剖析的首要办法是对事务相关的财物、要挟、脆弱性及其各项特色的相关剖析，归纳进行危险剖析和核算。

　　根据《信息安全技能 信息安全危险点评标准》（GB/T20984—2007）所承认的危险剖析办法，如图1所示，一般构建危险剖析模型是将财物、要挟、脆弱性三个根本要素及每个要素相关特色，进行相关，并树立各要素之间的相互作用机制联系。

　　树立危险点评剖析模型，首要经过要挟与脆弱性进行相关，哪些要挟能够使用哪些脆弱性，可引发安全事情，并剖析安全事情产生的或许性；其次，经过财物与脆弱性进行相关，哪些财物存在脆弱性，一旦安全事情产生，形成的丢失有多大。

　　信息安全危险各辨认要素的联系，R=F（A，T，V）。其间，R表明安全危险核算函数，A表明财物，T表胁，V表明脆弱性。

　　安排或信息体系安全危险需求经过详细的核算办法完成危险值的核算。危险核算办法一般分为定性核算办法和定量核算办法两大类。

　　定性核算办法是将危险的各要素财物、要挟、脆弱性等的相关特色进行量化（或等级化）赋值，然后选用详细的核算办法（如相乘法或矩阵法）进行危险核算。

　　定量核算办法是经过将财物价值和危险等量化为财政价值的办法来进行核算的一种办法。因为定量核算法需求等量化财政价值，在实践操作中往往难以完成。

　　因为定量核算办法在实践作业中可操作性较差，一般危险核算多选用定性核算办法。危险的定性核算办法本质反响的是安排或信息体系面对危险巨细的精确排序，承认危险的性质（无关紧要、可承受、待调查、不行承受等），而不是危险核算值自身的精确性。

　　经过危险核算，应对危险情况进行归纳剖析与点评。危险剖析是根据核算出的危险值承认危险等级。危险点评则是对安排或信息体系整体信息安全危险的点评。

　　危险剖析首要对危险核算值进行等级化处理。危险等级化处理意图是对危险的辨认直观化，便于对危险进行点评。等级化处理的办法是依照危险值的凹凸进行等级区分，危险值越高，危险等级越高。危险等级一般可区分为五级：很高、高、中等、低、很低，也可根据项目实践情况承认危险的等级数，如区分为高、中、低三级。

　　危险点评办法是根据安排或信息体系面对的各种危险等级，经过对不平等级的安全危险进行计算、剖析，并根据各等级危险所占悉数危险的百分比，承认整体危险情况，见表2。

　　危险点评包含点评预备、财物辨认与剖析、要挟剖析与辨认、脆弱性辨认与剖析、危险剖析和查验阶段，每个阶段需求的文档材料如表3所示。这些材料是危险点评所需的技能材料，需求在展开点评进程中触及。

上一篇:【深度】聊聊职业信息技能危险办理
下一篇:董亮：信息安全“三分技能、七分办理”