我國信息安全風險評估工作的現(xiàn)狀與發(fā)展課件

1、SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 我國信息安全風險評估工作的現(xiàn)狀與發(fā)展國家信息中心國家信息

2、中心 信息安全研究與服務中心信息安全研究與服務中心SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 一、信息安全風險評估概述一、信息安全風險評估概述二、為什么要做信息安全風險評估二、為什么要做信息安全風險評估三、我國信息安全風險評估回顧三、我國信息安全風險評估回顧四、信息安全風險評估今后三年的發(fā)展四、信息安全風險評估今后三年的發(fā)展SIC INFOSEC SIC INFOSEC

3、 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估的概念信息安全風險評估的概念 信息系統(tǒng)的安全風險信息系統(tǒng)的安全風險 信息系統(tǒng)的安全風險，是指由于系統(tǒng)存在的信息系統(tǒng)的安全風險，是指由于系統(tǒng)存在的脆弱性，人為或自然的威脅導致安全事件發(fā)生脆弱性，人為或自然的威脅導致安全事件發(fā)生的可能性及其造成的影響。的可能性及其造成的影響。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC IN

4、FOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估信息安全風險評估 是指依據(jù)國家有關(guān)信息技術(shù)標準，對信息系是指依據(jù)國家有關(guān)信息技術(shù)標準，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的保密性、統(tǒng)及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學評價的過完整性和可用性等安全屬性進行科學評價的過程程 它要評估信息系統(tǒng)的脆弱性、信息系統(tǒng)面它要評估信息系統(tǒng)的脆弱性、信息系統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的臨的威脅以及脆弱性被威脅

5、源利用后所產(chǎn)生的實際負面影響，并根據(jù)安全事件發(fā)生的可能性實際負面影響，并根據(jù)安全事件發(fā)生的可能性和負面影響的程度來識別信息系統(tǒng)的安全風險和負面影響的程度來識別信息系統(tǒng)的安全風險。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估信息安全風險評估 人們的認識能力和實踐能力是有局限性的，因人們的認識能力和實踐能力是有局限性的，因此，信息系統(tǒng)存在脆弱性是不可避免的。

6、信息此，信息系統(tǒng)存在脆弱性是不可避免的。信息系統(tǒng)的價值及其存在的脆弱性，使信息系統(tǒng)在系統(tǒng)的價值及其存在的脆弱性，使信息系統(tǒng)在現(xiàn)實環(huán)境中，總要面臨各種人為與自然的威脅現(xiàn)實環(huán)境中，總要面臨各種人為與自然的威脅，存在安全風險也是必然的。，存在安全風險也是必然的。 信息安全建設(shè)的宗旨之一，就是在綜合考慮成信息安全建設(shè)的宗旨之一，就是在綜合考慮成本與效益的前提下，通過安全措施來控制風險本與效益的前提下，通過安全措施來控制風險，使殘余風險降低到可接受的程度。，使殘余風險降低到可接受的程度。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC

7、 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估信息安全風險評估 因為任何信息系統(tǒng)都會有安全風險，所以，人因為任何信息系統(tǒng)都會有安全風險，所以，人們追求的所謂安全的信息系統(tǒng)，實際是指信息們追求的所謂安全的信息系統(tǒng)，實際是指信息系統(tǒng)在實施了風險評估并做出風險控制后，仍系統(tǒng)在實施了風險評估并做出風險控制后，仍然存在的殘余風險可被接受的信息系統(tǒng)。然存在的殘余風險可被接受的信息系統(tǒng)。 因此，要追求信息系統(tǒng)的安全，就不能脫離全因此，要追求信息系統(tǒng)的安全，就不能脫離全面、完整的信息系統(tǒng)

8、的安全評估，就必須運用面、完整的信息系統(tǒng)的安全評估，就必須運用信息系統(tǒng)安全風險評估的思想和規(guī)范，對信息信息系統(tǒng)安全風險評估的思想和規(guī)范，對信息系統(tǒng)開展安全風險評估。系統(tǒng)開展安全風險評估。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風險評估的意義和作用風險評估的意義和作用1.1.風險評估是信息系統(tǒng)安全的基礎(chǔ)性工作風險評估是信息系統(tǒng)安全的基礎(chǔ)性工作 信息安全中的風險評估是傳

9、統(tǒng)的風險理論和方信息安全中的風險評估是傳統(tǒng)的風險理論和方法在信息系統(tǒng)中的運用，是科學地分析和理解法在信息系統(tǒng)中的運用，是科學地分析和理解信息與信息系統(tǒng)在保密性、完整性、可用性等信息與信息系統(tǒng)在保密性、完整性、可用性等方面所面臨的風險，并在風險的減少、轉(zhuǎn)移和方面所面臨的風險，并在風險的減少、轉(zhuǎn)移和規(guī)避等風險控制方法之間做出決策的過程。規(guī)避等風險控制方法之間做出決策的過程。 風險評估將導出信息系統(tǒng)的安全需求，因此，風險評估將導出信息系統(tǒng)的安全需求，因此，所有信息安全建設(shè)都應該以風險評估為起點。所有信息安全建設(shè)都應該以風險評估為起點。信息安全建設(shè)的最終目的是服務于信息化，但信息安全建設(shè)的最終目的是服

10、務于信息化，但其直接目的是為了控制安全風險其直接目的是為了控制安全風險。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風險評估的意義和作用風險評估的意義和作用 只有在正確、全面地了解和理解安全風險后，只有在正確、全面地了解和理解安全風險后，才能決定如何處理安全風險，從而在信息安全才能決定如何處理安全風險，從而在信息安全的投資、信息安全措施的選擇、信息安全保障的投資、信息安

11、全措施的選擇、信息安全保障體系的建設(shè)等問題中做出合理的決策。體系的建設(shè)等問題中做出合理的決策。 進一步，持續(xù)的風險評估工作可以成為檢查信進一步，持續(xù)的風險評估工作可以成為檢查信息系統(tǒng)本身乃至信息系統(tǒng)擁有單位的績效的有息系統(tǒng)本身乃至信息系統(tǒng)擁有單位的績效的有力手段，風險評估的結(jié)果能夠供相關(guān)主管單位力手段，風險評估的結(jié)果能夠供相關(guān)主管單位參考，并使主管單位通過行政手段對信息系統(tǒng)參考，并使主管單位通過行政手段對信息系統(tǒng)的立項、投資、運行產(chǎn)生影響，促進信息系統(tǒng)的立項、投資、運行產(chǎn)生影響，促進信息系統(tǒng)擁有單位加強信息安全建設(shè)。擁有單位加強信息安全建設(shè)。SIC INFOSEC SIC INFOSEC SI

12、C INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風險評估的意義和作用風險評估的意義和作用2 2. .風險評估是分級防護和突出重點的具體體現(xiàn)風險評估是分級防護和突出重點的具體體現(xiàn)信息安全建設(shè)的基本原則包括必須從實際出發(fā)，堅持分級防護、信息安全建設(shè)的基本原則包括必須從實際出發(fā)，堅持分級防護、突出重點。突出重點。風險評估正是這一要求在實際工作中的具體體現(xiàn)。風險評估正是這一要求在實際工作中的具體體現(xiàn)。從理論上講，不存在絕對的安全，實

13、踐中也不可能做到絕對安全從理論上講，不存在絕對的安全，實踐中也不可能做到絕對安全，風險總是客觀存在的。，風險總是客觀存在的。安全是風險與成本的綜合平衡。安全是風險與成本的綜合平衡。盲目追求安全和完全回避風險是不現(xiàn)實的，也不是分級防護原則盲目追求安全和完全回避風險是不現(xiàn)實的，也不是分級防護原則所要求的。所要求的。要從實際出發(fā)，堅持分級防護、突出重點，就必須正確地評估風要從實際出發(fā)，堅持分級防護、突出重點，就必須正確地評估風險，以便采取科學、客觀、經(jīng)濟和有效的措施。險，以便采取科學、客觀、經(jīng)濟和有效的措施。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSE

14、C SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風險評估的意義和作用風險評估的意義和作用3. 3. 加強風險評估工作是當前信息安全工作的客觀需要和緊迫需求加強風險評估工作是當前信息安全工作的客觀需要和緊迫需求由于信息技術(shù)的飛速發(fā)展，關(guān)系國計民生的關(guān)鍵信息基礎(chǔ)設(shè)施的由于信息技術(shù)的飛速發(fā)展，關(guān)系國計民生的關(guān)鍵信息基礎(chǔ)設(shè)施的規(guī)模越來越大，同時也極大地增加了系統(tǒng)的復雜程度。規(guī)模越來越大，同時也極大地增加了系統(tǒng)的復雜程度。發(fā)達國家越來越重視信息安全風險評估工作，提倡風險評估

15、制度發(fā)達國家越來越重視信息安全風險評估工作，提倡風險評估制度化。他們提出，沒有有效的風險評估，便會導致信息安全需求與化。他們提出，沒有有效的風險評估，便會導致信息安全需求與安全解決方案的嚴重脫離。因此，他們強調(diào)安全解決方案的嚴重脫離。因此，他們強調(diào)“沒有任何事情比解沒有任何事情比解決錯誤的問題和建立錯誤的系統(tǒng)更沒有效率的了。決錯誤的問題和建立錯誤的系統(tǒng)更沒有效率的了?！边@些發(fā)達國這些發(fā)達國家近年來大力加強了以風險評估為核心的信息系統(tǒng)安全評估工作家近年來大力加強了以風險評估為核心的信息系統(tǒng)安全評估工作，并通過法規(guī)、標準手段加以保障，逐步以此形成了橫跨立法、，并通過法規(guī)、標準手段加以保障，逐步以此

16、形成了橫跨立法、行政、司法的完整的信息安全管理體系。行政、司法的完整的信息安全管理體系。在我國目前的國情下，為加強宏觀信息安全管理，促進信息安全在我國目前的國情下，為加強宏觀信息安全管理，促進信息安全保障體系建設(shè)，就必須加強風險評估工作，并逐步使風險評估工保障體系建設(shè)，就必須加強風險評估工作，并逐步使風險評估工作朝向制度化的方向發(fā)展。作朝向制度化的方向發(fā)展。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC

17、SIC INFOSEC SIC 信息安全風險評估的目標和目的信息安全風險評估的目標和目的 信息系統(tǒng)安全風險評估的總體目標是：信息系統(tǒng)安全風險評估的總體目標是： 服務于國家信息化發(fā)展，促進信息安全保障服務于國家信息化發(fā)展，促進信息安全保障體系的建設(shè)，提高信息系統(tǒng)的安全保護能力。體系的建設(shè)，提高信息系統(tǒng)的安全保護能力。 信息系統(tǒng)安全風險評估的目的是：信息系統(tǒng)安全風險評估的目的是： 認清信息安全環(huán)境、信息安全狀況；有助于認清信息安全環(huán)境、信息安全狀況；有助于達成共識，明確責任；采取或完善安全保障措達成共識，明確責任；采取或完善安全保障措施，使其更加經(jīng)濟有效，并使信息安全策略保施，使其更加經(jīng)濟有效，并

18、使信息安全策略保持一致性和持續(xù)性。持一致性和持續(xù)性。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估的基本要素信息安全風險評估的基本要素 使命：使命：一個單位通過信息化實現(xiàn)的工作任務。一個單位通過信息化實現(xiàn)的工作任務。 依賴度依賴度：一個單位的使命對信息系統(tǒng)和信息的依靠程：一個單位的使命對信息系統(tǒng)和信息的依靠程度。度。 資產(chǎn)：資產(chǎn)：通過信息化建設(shè)積累起來的

19、信息系統(tǒng)、信息、通過信息化建設(shè)積累起來的信息系統(tǒng)、信息、生產(chǎn)或服務能力、人員能力和贏得的信譽等。生產(chǎn)或服務能力、人員能力和贏得的信譽等。 價值：價值：資產(chǎn)的重要程度和敏感程度。資產(chǎn)的重要程度和敏感程度。 威脅：威脅：一個單位的信息資產(chǎn)的安全可能受到的侵害。一個單位的信息資產(chǎn)的安全可能受到的侵害。威脅由多種屬性來刻畫：威脅的主體（威脅源）、能威脅由多種屬性來刻畫：威脅的主體（威脅源）、能力、資源、動機、途徑、可能性和后果。力、資源、動機、途徑、可能性和后果。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSE

20、C SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估的基本要素信息安全風險評估的基本要素 脆弱性：脆弱性：信息資產(chǎn)及其防護措施在安全方面的信息資產(chǎn)及其防護措施在安全方面的不足和弱點。脆弱性也常常被稱為漏洞。不足和弱點。脆弱性也常常被稱為漏洞。 風險：風險：由于系統(tǒng)存在的脆弱性，人為或自然的由于系統(tǒng)存在的脆弱性，人為或自然的威脅導致安全事件發(fā)生的可能性及其造成的影威脅導致安全事件發(fā)生的可能性及其造成的影響。它由安全事件發(fā)生的可能性及其造成的影響。它由安全事件發(fā)生的可能性及其造成的影響這兩種指標來衡量。

21、響這兩種指標來衡量。 殘余風險：殘余風險：采取了安全防護措施，提高了防護采取了安全防護措施，提高了防護能力后，仍然可能存在的風險。能力后，仍然可能存在的風險。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估的基本要素信息安全風險評估的基本要素 安全需求：安全需求：為保證單位的使命能夠正常行使，為保證單位的使命能夠正常行使，在信息安全防護措施方面提出的要求。在

22、信息安全防護措施方面提出的要求。 安全防護措施：安全防護措施：對付威脅，減少脆弱性，保護對付威脅，減少脆弱性，保護資產(chǎn)，限制意外事件的影響，檢測、響應意外資產(chǎn)，限制意外事件的影響，檢測、響應意外事件，促進災難恢復和打擊信息犯罪而實施的事件，促進災難恢復和打擊信息犯罪而實施的各種實踐、規(guī)程和機制的總稱。各種實踐、規(guī)程和機制的總稱。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC

23、 風險評估對信息系統(tǒng)生命周期的支持風險評估對信息系統(tǒng)生命周期的支持生命周期階段生命周期階段階段特征階段特征來自風險管理活動的支持來自風險管理活動的支持階段階段1規(guī)劃和啟動規(guī)劃和啟動提出信息系統(tǒng)的目的、需求、規(guī)模提出信息系統(tǒng)的目的、需求、規(guī)模和安全要求。和安全要求。風險評估活動可用于確定信息系統(tǒng)安風險評估活動可用于確定信息系統(tǒng)安全需求。全需求。階段階段2設(shè)計開發(fā)或采購設(shè)計開發(fā)或采購信息系統(tǒng)設(shè)計、購買、開發(fā)或建造信息系統(tǒng)設(shè)計、購買、開發(fā)或建造。在本階段標識的風險可以用來為信息在本階段標識的風險可以用來為信息系統(tǒng)的安全分析提供支持，這可能會系統(tǒng)的安全分析提供支持，這可能會影響到系統(tǒng)在開發(fā)過程中要對體

24、系結(jié)影響到系統(tǒng)在開發(fā)過程中要對體系結(jié)構(gòu)和設(shè)計方案進行權(quán)衡。構(gòu)和設(shè)計方案進行權(quán)衡。階段階段3集成實現(xiàn)集成實現(xiàn)信息系統(tǒng)的安全特性應該被配置、信息系統(tǒng)的安全特性應該被配置、激活、測試并得到驗證。激活、測試并得到驗證。風險評估可支持對系統(tǒng)實現(xiàn)效果的評風險評估可支持對系統(tǒng)實現(xiàn)效果的評價，考察其是否能滿足要求，并考察價，考察其是否能滿足要求，并考察系統(tǒng)所運行的環(huán)境是否是預期設(shè)計的系統(tǒng)所運行的環(huán)境是否是預期設(shè)計的。有關(guān)風險的一系列決策必須在系統(tǒng)。有關(guān)風險的一系列決策必須在系統(tǒng)運行之前做出。運行之前做出。階段階段4運行和維護運行和維護信息系統(tǒng)開始執(zhí)行其功能，一般情信息系統(tǒng)開始執(zhí)行其功能，一般情況下系統(tǒng)要不斷修

25、改，添加硬件和況下系統(tǒng)要不斷修改，添加硬件和軟件，或改變機構(gòu)的運行規(guī)則、策軟件，或改變機構(gòu)的運行規(guī)則、策略或流程等。略或流程等。當定期對系統(tǒng)進行重新評估時，或者當定期對系統(tǒng)進行重新評估時，或者信息系統(tǒng)在其運行性生產(chǎn)環(huán)境（例如信息系統(tǒng)在其運行性生產(chǎn)環(huán)境（例如新的系統(tǒng)接口）中做出重大變更時，新的系統(tǒng)接口）中做出重大變更時，要對其進行風險評估活動。要對其進行風險評估活動。階段階段5廢棄廢棄本階段涉及到對信息、硬件和軟件本階段涉及到對信息、硬件和軟件的廢棄。這些活動可能包括信息的的廢棄。這些活動可能包括信息的移動、備份、丟棄、破壞以及對硬移動、備份、丟棄、破壞以及對硬件和軟件進行的密級處理。件和軟件進

26、行的密級處理。當要廢棄或替換系統(tǒng)組件時，要對其當要廢棄或替換系統(tǒng)組件時，要對其進行風險評估，以確保硬件和軟件得進行風險評估，以確保硬件和軟件得到了適當?shù)膹U棄處置，且殘留信息也到了適當?shù)膹U棄處置，且殘留信息也恰當?shù)剡M行了處理。并且要確保系統(tǒng)恰當?shù)剡M行了處理。并且要確保系統(tǒng)的更新?lián)Q代能以一個安全和系統(tǒng)化的的更新?lián)Q代能以一個安全和系統(tǒng)化的方式完成。方式完成。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC

27、 INFOSEC SIC 在實施風險評估中，有時首先根據(jù)不同級別的在實施風險評估中，有時首先根據(jù)不同級別的威脅對不同價值的資產(chǎn)可能形成的風險進行分威脅對不同價值的資產(chǎn)可能形成的風險進行分級，進而選擇適合級別的保證措施。這是一種級，進而選擇適合級別的保證措施。這是一種安全需求提煉的過程。安全需求提煉的過程。 對于計劃和已經(jīng)建設(shè)的系統(tǒng)，則應該考慮和分對于計劃和已經(jīng)建設(shè)的系統(tǒng)，則應該考慮和分析測試系統(tǒng)可能存在的脆弱性。析測試系統(tǒng)可能存在的脆弱性。 上述工作流程應該是一個不斷重復的循環(huán)過程上述工作流程應該是一個不斷重復的循環(huán)過程，從不同階段進入風險評估工作也可能進行簡，從不同階段進入風險評估工作也可能

28、進行簡化其中的某些步驟?；渲械哪承┎襟E。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 風險評估理論和工具風險評估理論和工具 通俗的講，信息系統(tǒng)安全追求的是入侵和破壞通俗的講，信息系統(tǒng)安全追求的是入侵和破壞行為，面對信息系統(tǒng)和信息，進不來，看不懂行為，面對信息系統(tǒng)和信息，進不來，看不懂，拿不走，搞不亂。，拿不走，搞不亂。 風險評估的理論和工具也應該針對這些基本的風險評估的

29、理論和工具也應該針對這些基本的安全要求，提供檢測、判斷、分析。安全要求，提供檢測、判斷、分析。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 當前，國際上提出了一些廣義傳統(tǒng)的風險評估當前，國際上提出了一些廣義傳統(tǒng)的風險評估的理論（并非特別針對信息系統(tǒng)安全）。的理論（并非特別針對信息系統(tǒng)安全）。 從計算方法區(qū)分，有定性的方法、定量的方法從計算方法區(qū)分，有定性的方法、定量的方法

30、和部分定量的方法。和部分定量的方法。 從實施手段區(qū)分，有基于樹的技術(shù)、動態(tài)系統(tǒng)從實施手段區(qū)分，有基于樹的技術(shù)、動態(tài)系統(tǒng)的技術(shù)等。的技術(shù)等。 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 定性的方法包括：定性的方法包括： 初步的風險分析初步的風險分析 （Preliminary Risk Analysis） 危險和可操作性研究危險和可操作性研究 （Hazard and Ope

31、rability studies (HAZOP)） 失效模式及影響分析失效模式及影響分析 （Failure Mode and Effects Analysis (FMEA/FMECA)） SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 基于樹的技術(shù)基于樹的技術(shù) （Tree Based Techniques ）包括：）包括： 故障樹分析故障樹分析 （Fault tree an

32、alysis） 事件樹分析事件樹分析 （Event tree analysis） 因果分析因果分析 （Cause-Consequence Analysis） 管理失敗風險樹管理失敗風險樹 （ Management Oversight Risk Tree） 安全管理組織檢查技術(shù)安全管理組織檢查技術(shù) （Safety Management Organization Review Technique） SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC I

33、NFOSEC SIC INFOSEC SIC INFOSEC SIC 動態(tài)系統(tǒng)的技術(shù)動態(tài)系統(tǒng)的技術(shù) （Techniques for Dynamic system）包括：包括： 嘗試方法嘗試方法 （ Go Method） 有向圖有向圖/故障圖故障圖 （Digraph/Fault Graph） 馬爾可夫建模馬爾可夫建模 （Markov Modeling） 動態(tài)事件邏輯分析方法學動態(tài)事件邏輯分析方法學 （Dynamic Event Logic Analytical Methodology） 動態(tài)事件樹分析方法動態(tài)事件樹分析方法 （Dynamic Event Tree Analysis Method）

34、 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 評估工具目前存在以下幾類：評估工具目前存在以下幾類：掃描工具：掃描工具：包括主機掃描、網(wǎng)絡掃描、數(shù)據(jù)庫掃描，用于分析系統(tǒng)包括主機掃描、網(wǎng)絡掃描、數(shù)據(jù)庫掃描，用于分析系統(tǒng)的常見漏洞；的常見漏洞；入侵檢測系統(tǒng)（入侵檢測系統(tǒng)（IDSIDS）：）：用于收集與統(tǒng)計威脅數(shù)據(jù)；用于收集與統(tǒng)計威脅數(shù)據(jù)；滲透性測試工具：滲透性測試工具：黑客工

35、具，用于人工滲透，評估系統(tǒng)的深層次漏黑客工具，用于人工滲透，評估系統(tǒng)的深層次漏洞；洞；主機安全性審計工具：主機安全性審計工具：用于分析主機系統(tǒng)配置的安全性；用于分析主機系統(tǒng)配置的安全性；安全管理評價系統(tǒng)：安全管理評價系統(tǒng)：用于安全訪談，評價安全管理措施；用于安全訪談，評價安全管理措施； 風險綜合分析系統(tǒng)：風險綜合分析系統(tǒng)：在基礎(chǔ)數(shù)據(jù)基礎(chǔ)上，定量、綜合分析系統(tǒng)的風在基礎(chǔ)數(shù)據(jù)基礎(chǔ)上，定量、綜合分析系統(tǒng)的風險，并且提供分類統(tǒng)計、查詢、險，并且提供分類統(tǒng)計、查詢、TOP N查詢以及報表輸出功能；查詢以及報表輸出功能；評估支撐環(huán)境工具評估支撐環(huán)境工具: : 評估指標庫、知識庫、漏洞庫、算法庫、模型庫評估

36、指標庫、知識庫、漏洞庫、算法庫、模型庫。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 綜觀這些理論和工具的現(xiàn)狀，存在的問題是：綜觀這些理論和工具的現(xiàn)狀，存在的問題是： 尚缺乏模型化和形式化描述及證明的科學深度；尚缺乏模型化和形式化描述及證明的科學深度； 需要解決一般化的廣義的理論如何用于信息系統(tǒng)的需要解決一般化的廣義的理論如何用于信息系統(tǒng)的安全風險評估；安全風險評估； 定

37、性，定量的理論方法如何更加有效；定性，定量的理論方法如何更加有效； 工具運用的結(jié)果如何能夠反映實質(zhì)，有效測度，準工具運用的結(jié)果如何能夠反映實質(zhì)，有效測度，準確無誤；確無誤； 工具的使用如何能夠綜合協(xié)調(diào)。工具的使用如何能夠綜合協(xié)調(diào)。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 二、為什么要做信息安全風險評估二、為什么要做信息安全風險評估SIC INFOSEC SIC INF

38、OSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風險評估為什么要做信息安全風險評估 第一，風險評估是分析確定風險的過程。風險是客觀存在的，在日常生活和工作中隨處可見。為了了解系統(tǒng)究竟面臨什么風險、有多大風險，以及應該采取什么樣的措施去減少、化解或規(guī)避風險，人們經(jīng)常會提出這樣一些問題：什么地方、什么時間可能出問題？會出什么性質(zhì)的問題？出問題的可能性有多大？這些問題可能產(chǎn)生的后果是什么？應該采取什

39、么樣的措施加以避免和彌補？并總是試圖找出最合理的答案。這個過程實際就是風險評估SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風險評估為什么要做信息安全風險評估 第二，信息安全風險評估是信息安全建設(shè)的起點和基礎(chǔ)，對于信息系統(tǒng)也是如此。所有信息安全建設(shè)和管理都應該基于信息安全風險評估，只有這樣，信息安全建設(shè)才能做到從實際出發(fā)，才能堅持需求主導、突出重點，才能

40、以最小的代價去最大程度地保障信息安全。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風險評估為什么要做信息安全風險評估 第三，信息安全風險評估是信息安全建設(shè)和管理的科學方法。風險評估提供了這么一種方法，它是我們傳統(tǒng)經(jīng)驗方法的總結(jié)和提升，是風險理論和技術(shù)的具體應用。 信息安全的一個最大特點就是看不見摸不著。在不知不覺中就已經(jīng)中了招，在不知不覺中就已經(jīng)遭受了

41、重大損失。 信息安全要講加強領(lǐng)導，要講責任制，但如果沒有科學的方法和手段，即使領(lǐng)導現(xiàn)場坐鎮(zhèn)，即使人盯死守，也仍然可能發(fā)現(xiàn)不了問題，也仍然可能出問題。這就是27號文件強調(diào)管理與技術(shù)并重的根本原因。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風險評估為什么要做信息安全風險評估 第四，風險評估實際上是在倡導一種適度安全。從理論上講，不存在絕對的安全，風險總是

42、客觀存在的。風險評估并不追求零風險、不計成本的絕對安全，或者試圖完全消滅風險或避免風險。 信息安全風險評估要求在認清風險的基礎(chǔ)上，決定哪些風險是必須要避免的，哪些風險是可以容忍的。也就是說，信息安全風險評估要求我們算賬，要求我們在風險與建設(shè)和管理成本之間尋求一個最佳平衡點。 這體現(xiàn)了信息安全的一個基本原則，就是堅持從實際出發(fā)，堅持有針對性地進行信息安全建設(shè)和管理。這也就是適度安全。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC

43、SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風險評估為什么要做信息安全風險評估 第五，重視風險評估是信息化發(fā)達國家的重要經(jīng)驗。早在上個世紀70年代初期美國政府就提出了風險評估的要求，2002年頒布的2002聯(lián)邦信息安全管理法對信息安全風險評估提出了更加具體的要求。歐洲等其他信息化發(fā)達國家也非常重視開展信息安全風險評估工作，將開展信息安全風險評估工作作為提高信息安全保障水平的重要手段。發(fā)達國家的這些經(jīng)驗值得我們學習和借鑒。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC S

44、IC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為什么要做信息安全風險評估為什么要做信息安全風險評估 20052005年年2 2月，美國總統(tǒng)信息技術(shù)顧問委員會（月，美國總統(tǒng)信息技術(shù)顧問委員會（PITACPITAC）向美國總統(tǒng)）向美國總統(tǒng)提交了一份研究報告提交了一份研究報告網(wǎng)絡空間安全：迫在眉睫的危機網(wǎng)絡空間安全：迫在眉睫的危機，提出美，提出美國目前網(wǎng)絡空間安全所面臨的重大問題包括：國目前網(wǎng)絡空間安全所面臨的重大問題包括： 1 1、ITIT基礎(chǔ)設(shè)施在恐怖和敵對攻擊面前非常脆弱基礎(chǔ)設(shè)施在恐怖和敵對攻擊面前非常脆弱 2 2

45、、網(wǎng)絡漏洞和網(wǎng)絡攻擊增長速度非?？欤ā⒕W(wǎng)絡漏洞和網(wǎng)絡攻擊增長速度非?？欤?0204040） 3 3、無所不在的互聯(lián)意味著處處可能存在安全漏洞、無所不在的互聯(lián)意味著處處可能存在安全漏洞 4 4、軟件是主要漏洞的所在、軟件是主要漏洞的所在 5 5、無窮無盡的打補丁并不是好的解決辦法、無窮無盡的打補丁并不是好的解決辦法 6 6、需要新的基礎(chǔ)性安全模型和方法、需要新的基礎(chǔ)性安全模型和方法 7 7、聯(lián)邦政府在研發(fā)工作中的核心地位、聯(lián)邦政府在研發(fā)工作中的核心地位 8 8、網(wǎng)絡空間安全的非技術(shù)因素、網(wǎng)絡空間安全的非技術(shù)因素SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INF

46、OSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 為了應對這些威脅，在為了應對這些威脅，在網(wǎng)絡空間安全：迫在眉睫的危機網(wǎng)絡空間安全：迫在眉睫的危機報告報告中，中，PITACPITAC提出了提出了1010大優(yōu)先研究項目，其中信息安全風險評估位列其大優(yōu)先研究項目，其中信息安全風險評估位列其中。其主要研究內(nèi)容包括：中。其主要研究內(nèi)容包括： （1 1）開發(fā)網(wǎng)絡空間安全測試方法、評估標準）開發(fā)網(wǎng)絡空間安全測試方法、評估標準 （2 2）風險分析方法和基于不同領(lǐng)域的評估方法

47、（政治、軍事、經(jīng)）風險分析方法和基于不同領(lǐng)域的評估方法（政治、軍事、經(jīng)濟等）濟等） （3 3）安全風險以及一致性檢查的自動評估工具的研發(fā)）安全風險以及一致性檢查的自動評估工具的研發(fā) （4 4）對易受到攻擊對象的評估研究工作，如源代碼掃描工具）對易受到攻擊對象的評估研究工作，如源代碼掃描工具 （5 5）通過研究過程管理、配置管理和補丁管理的最佳策略方案，）通過研究過程管理、配置管理和補丁管理的最佳策略方案，來發(fā)現(xiàn)并提供有效的安全管理實施方案來發(fā)現(xiàn)并提供有效的安全管理實施方案 為什么要做信息安全風險評估為什么要做信息安全風險評估SIC INFOSEC SIC INFOSEC SIC INFOSEC

48、 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 三、我國信息安全風險評估回顧三、我國信息安全風險評估回顧 調(diào)查與研究 標準編制與試點 政策文件起草SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 我國信息安全風險評估回顧我國

49、信息安全風險評估回顧 2003年年7月月國家信息化領(lǐng)導小組關(guān)于加強信息安全保障國家信息化領(lǐng)導小組關(guān)于加強信息安全保障工作的意見工作的意見（中辦發(fā)（中辦發(fā)200327號）中專門提出開展風號）中專門提出開展風險評估的要求險評估的要求 ： 對網(wǎng)絡與信息系統(tǒng)安全的潛在威脅、薄弱環(huán)節(jié)對網(wǎng)絡與信息系統(tǒng)安全的潛在威脅、薄弱環(huán)節(jié)、防護措施等進行分析評估，綜合考慮網(wǎng)絡與信息、防護措施等進行分析評估，綜合考慮網(wǎng)絡與信息系統(tǒng)的重要性、涉密程度和面臨的風險等因素，進系統(tǒng)的重要性、涉密程度和面臨的風險等因素，進行相應等級的安全建設(shè)和管理行相應等級的安全建設(shè)和管理SIC INFOSEC SIC INFOSEC SIC I

50、NFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 調(diào)查研究工作n國信辦安全組為落實中辦發(fā)國信辦安全組為落實中辦發(fā)200327號文件的要求，于號文件的要求，于2003年年7月決定委托國家信息中心組建月決定委托國家信息中心組建“信息安全風險評估課題組信息安全風險評估課題組”，對我國信息安全風險評估工作的現(xiàn)狀進行調(diào)查，提出我國開展對我國信息安全風險評估工作的現(xiàn)狀進行調(diào)查，提出我國開展風險評估的對策和辦法風險評估的對策和辦法n成員單位：國家

51、信息中心、公安部、安全部、信息產(chǎn)業(yè)部、國成員單位：國家信息中心、公安部、安全部、信息產(chǎn)業(yè)部、國家認監(jiān)委、國家標準化委、國家密碼管理局、國家保密局、國家認監(jiān)委、國家標準化委、國家密碼管理局、國家保密局、國家計算機網(wǎng)絡與信息安全中心、中國信息安全產(chǎn)品測評認證中家計算機網(wǎng)絡與信息安全中心、中國信息安全產(chǎn)品測評認證中心、北京市信息辦、解放軍測評認證中心心、北京市信息辦、解放軍測評認證中心SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC S

52、IC INFOSEC SIC INFOSEC SIC 調(diào)查研究工作n 課題組先后對四個地區(qū)課題組先后對四個地區(qū)(北京、廣州、深圳和北京、廣州、深圳和上海上海)，十幾個行業(yè)的，十幾個行業(yè)的50多家單位進行了調(diào)查多家單位進行了調(diào)查n 完成了完成了信息安全風險評估調(diào)查報告信息安全風險評估調(diào)查報告、信信息安全風險評估研究報告息安全風險評估研究報告和和關(guān)于加強信息關(guān)于加強信息安全風險評估工作的建議安全風險評估工作的建議稿稿SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFO

53、SEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 調(diào)查報告反映的主要情況及問題 n 被調(diào)查單位信息化程度各有不同被調(diào)查單位信息化程度各有不同n 對風險評估的重視程度與信息化程度成正比對風險評估的重視程度與信息化程度成正比關(guān)系關(guān)系n 國內(nèi)現(xiàn)階段風險評估狀況國內(nèi)現(xiàn)階段風險評估狀況n 風險評估已逐漸成為信息安全的一個新的點風險評估已逐漸成為信息安全的一個新的點n 發(fā)現(xiàn)的八個問題，其中評估流程不規(guī)范是一發(fā)現(xiàn)的八個問題，其中評估流程不規(guī)范是一大問題大問題SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOS

54、EC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 研究報告的主要內(nèi)容n信息系統(tǒng)安全風險評估的概念 n風險評估的意義和作用 n信息安全風險評估的目標和目的 n信息安全風險評估的基本要素 n風險評估對信息系統(tǒng)生命周期的支持 n風險評估的一般工作流程 n當前存在的風險評估理論和工具 n我國信息系統(tǒng)安全風險評估的現(xiàn)狀和問題 n信息安全風險評估工作的原則n等級保護、認證認可、風險管理、風險評估的關(guān)系 n自評估、強制性檢查評估與委托評估n信息系統(tǒng)安全風險評估的角色和責任 n信息安全風險評估的任務和措

55、施 SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 對風險評估工作的建議內(nèi)容n積極貫徹落實積極貫徹落實27號文件號文件n建立健全和完善信息系統(tǒng)安全風險評估的工作機制建立健全和完善信息系統(tǒng)安全風險評估的工作機制n統(tǒng)籌建設(shè)信息安全風險評估的基礎(chǔ)設(shè)施和基礎(chǔ)環(huán)境統(tǒng)籌建設(shè)信息安全風險評估的基礎(chǔ)設(shè)施和基礎(chǔ)環(huán)境n啟動評估工作流程、工作規(guī)范標準的研究與制定啟動評估工作流程、工作規(guī)范標準的研

56、究與制定n推進基礎(chǔ)信息網(wǎng)絡和重要信息系統(tǒng)的信息安全風險評推進基礎(chǔ)信息網(wǎng)絡和重要信息系統(tǒng)的信息安全風險評估試點示范工作估試點示范工作n加強宣傳教育，提高風險意識加強宣傳教育，提高風險意識SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 標準制定工作 根據(jù)根據(jù)信息安全風險評估研究報告信息安全風險評估研究報告的建議的建議, 2004年三月下旬課題年三月下旬課題組專家經(jīng)過充分的討論與

57、分析，報國務院信息辦安全組批準組專家經(jīng)過充分的討論與分析，報國務院信息辦安全組批準,開展開展了了信息安全風險評估指南信息安全風險評估指南和和信息安全風險管理指南信息安全風險管理指南二個二個規(guī)范草案的制定。規(guī)范草案的制定。 國家信息中心信息安全研究與服務中心組織了近二十家有實際工國家信息中心信息安全研究與服務中心組織了近二十家有實際工作經(jīng)驗的企事業(yè)單位約四十多人，開了二十多次工作會議，進行作經(jīng)驗的企事業(yè)單位約四十多人，開了二十多次工作會議，進行了信息安全風險評估標準規(guī)范草案的制定工作；到九月下旬了信息安全風險評估標準規(guī)范草案的制定工作；到九月下旬, 完成完成信息安全風險評估指南信息安全風險評估指

58、南和和信息安全風險管理指南信息安全風險管理指南二個規(guī)二個規(guī)范草案的初稿。范草案的初稿。SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 標準制定工作 2004年全國信息安全標準化技術(shù)委員會將年全國信息安全標準化技術(shù)委員會將信息安全信息安全風險評估指南風險評估指南列入列入2005年度國家信息安全標準制定年度國家信息安全標準制定工作計劃中工作計劃中, 將將信息安全風險管理指南信息

59、安全風險管理指南列入國家信列入國家信息安全標準研究工作規(guī)劃中。息安全標準研究工作規(guī)劃中。目前目前信息安全風險評估指南信息安全風險評估指南已完成評審已完成評審, 報國家標報國家標準管理委員會頒布準管理委員會頒布 國信辦已以國信【國信辦已以國信【2006】9號文的形式發(fā)各部委和省市號文的形式發(fā)各部委和省市SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC INFOSEC SIC 信息安全風險評估指南主要內(nèi)

60、容n規(guī)定了信息安全風險評估的工作流程、評估內(nèi)容、評規(guī)定了信息安全風險評估的工作流程、評估內(nèi)容、評估方法和風險判斷準則。估方法和風險判斷準則。n介紹了風險評估的定義、風險評估的模型以及風險評介紹了風險評估的定義、風險評估的模型以及風險評估的實施過程估的實施過程n詳細描述了對資產(chǎn)、威脅和脆弱性的識別方法詳細描述了對資產(chǎn)、威脅和脆弱性的識別方法n描述了風險評估在信息系統(tǒng)生命周期中的作用描述了風險評估在信息系統(tǒng)生命周期中的作用n描述了風險評估的不同形式描述了風險評估的不同形式n在附件中介紹了信息安全風險評估的方法、工具和實在附件中介紹了信息安全風險評估的方法、工具和實施案例施案例SIC INFOSEC