信息安全風險評估實踐與思考張建軍

1、信息安全風險評估實踐與思考張建軍【摘 要】 本文對作者的風險評估實踐情況進行了總結(jié)和分析。文中描述了風險分析程序和基于“威脅樹”和“威脅路徑”的評估方法，并對它們的適用性和特點進行了分析，最后對風險評估結(jié)論的可比性和風險分析方法的要求兩個方面進行了分析。 【關鍵詞】 信息安全 風險分析 威脅樹 威脅路徑1 引言信息安全的重要性已經(jīng)成為人們的共識，但如何實施信息安全工作卻一直是一個極富挑戰(zhàn)性的工作，尤其是在如何回答“投資與回報”以

2、及“系統(tǒng)是否安全”這兩個問題上。如果從用戶投資的角度來看，投資信息安全，就是投資在避免一個永遠不希望發(fā)生的事件。從直觀上來說，如果不希望發(fā)生的信息安全事件發(fā)生了，會對信息安全設施的投資發(fā)生懷疑，懷疑信息安全設施是否在發(fā)揮作用；如果一直沒有發(fā)生所期望的信息安全事件，則又會懷疑投資是否值得，是否過度。風險評估是回答信息安全“投資與回報”問題的一個好方法，投資信息安全就是降低信息系統(tǒng)安全風險，投資的回報就是信息安全風險的降低程度。對于“信息系

3、統(tǒng)是否安全”這樣的問題，常見的回答就是“沒有絕對”的安全，那么“相對”的安全就是相對“信息安全風險”而言的，即：信息系統(tǒng)的潛在損失——信息安全風險處在信息系統(tǒng)擁有者可以承受的范圍之內(nèi)。通過風險評估確定信息系統(tǒng)可能給擁有者造成的“損失” ，還可以明確信息系統(tǒng)擁有者可以承受的損失，這是判斷信息系統(tǒng)是否安全的基礎。正是基于這樣一個出發(fā)點，我們從 2000 年開始，對風險評估相關的理論、方法進行了研究，并進行了相應的工程實踐。經(jīng)過 5 年多的研

4、究和實踐，已經(jīng)積累了一些成果，本文扼要將這些成果進行介紹。5 年的實踐，也使我們對風險分析的認識進一步深入，因此提出了本文最后一節(jié)的問題，這些問題將使今后風險分析研究的重點。2 風險評估的定義、目的和意義2.1 定義我們將風險評估定義為：按照一定的工作程序，使用嚴格定義的工具和方法，通過分析信息系 按照一定的工作程序，使用嚴格定義的工具和方法，通過分析信息系統(tǒng)的資產(chǎn)、面臨的安全威脅和信息系統(tǒng)的脆弱性，對信息系統(tǒng)可能造成的潛在損失作出定性

5、或定量 統(tǒng)的資產(chǎn)、面臨的安全威脅和信息系統(tǒng)的脆弱性，對信息系統(tǒng)可能造成的潛在損失作出定性或定量的結(jié)論。 的結(jié)論。從定義中可以看出，風險評估主要涉及到兩個方面的內(nèi)容，即：評估程序（在第 3 節(jié)中介紹） 、風險的分析工具與方法（在第 4 節(jié)中會描述） 。風險評估對信息系統(tǒng)生命周期的支持生命周期階段 生命周期階段 階段特征 階段特征 風險評估活動的作用 風險評估活動的作用階段 1——規(guī)劃和啟動提出信息系統(tǒng)的目的、需求、規(guī)模和安全要求。? 確定

6、信息系統(tǒng)安全需求。階段 2——設計開發(fā)或采購信息系統(tǒng)設計、購買、開發(fā)或建造。? 標識出風險，以支持信息系統(tǒng)的安全分析。? 評估結(jié)果會影響到體系結(jié)構(gòu)和設計方案的權(quán)衡。階段 3——集成實現(xiàn)信息系統(tǒng)的安全特性應該被配置、激活、測試并得到驗證。? 風險評估可支持對系統(tǒng)實現(xiàn)效果的評價，考察系統(tǒng)所運行的環(huán)境是否是預期設計的。階段 4——運行和維護信息系統(tǒng)開始執(zhí)行其功能，系統(tǒng)會被不斷修改，改變機構(gòu)的運行規(guī)則、策略或流程等。? 定期的評估，監(jiān)控系統(tǒng)安全

7、風險的變化，為信息安全相關決策提供依據(jù)。階段 5——廢棄 對信息、硬件和軟件的廢棄，包括信息的轉(zhuǎn)移、備份、丟棄、銷毀以及對軟硬件進行的密級處理。? 風險評估可以確保硬件和軟件得到了適當?shù)膹U棄處置，殘留信息也恰當?shù)剡M行了處理。2.3 風險評估的意義風險評估的最終目的是為制定風險控制計劃提供依據(jù)，為實施風險管理服務。風險評估具有如下意義和作用：(1) 明確信息系統(tǒng)的安全現(xiàn)狀。通過風險評估，可以讓信息系統(tǒng)擁有者準確地了解自身的網(wǎng)絡、各種應用

8、系統(tǒng)以及管理制度規(guī)范的安全現(xiàn)狀，從而明晰信息安全需求。(2) 確定信息系統(tǒng)的主要安全風險。在評估并進行風險分級后，可以確定信息系統(tǒng)的主要安全風險，并讓系統(tǒng)擁有者選擇規(guī)避、降低、轉(zhuǎn)移、接受等風險處置措施。(3) 指導信息系統(tǒng)安全技術體系與管理體系的建設。評估后，可以根據(jù)所識別出的風險情況，制定信息系統(tǒng)的安全策略及安全解決方案，從而指導信息系統(tǒng)安全技術體系（如部署防火墻、入侵檢測與漏洞掃描系統(tǒng)、防病毒系統(tǒng)、數(shù)據(jù)備份系統(tǒng)、建立公鑰基礎設施 P