系统信息安全风险评估

系统信息安全风险评估（精选8篇）

篇1：系统信息安全风险评估

总结

1.医院信息系统安全风险评估的概念

医院信息系统安全风险评估是指依据有关信息安全技术标准，对医院信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评价的活动过程，它要评价医院信息系统的脆弱性、医院信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的来识别医院信息系统的安全风险。2．国内外信息系统安全风险评估的概况

美国政府就发布了《自动化数据处理风险评估指南》。其后颁布的关于信息安全的基本政策文件《联邦信息资源安全》" 3．我国医院信息系统安全风险评估工作现状及存在的问题 4.医院信息系统安全风险评估工作流程(1)确定医院信息资产列表及信息资产价值(2)识别脆弱性(3)识别脆弱性

它可能存在于网络安全体系理论中网络应用所划分的’个层次，即网络层、系统层、用户层、应用层、数据层，(4)识别威胁

威胁来源应主要考虑这几个方面，即非授权故意行为、人为错误、软件设计错误带来的威胁、设备损坏、线路故障、自然灾害医院信息系统的安全威胁可通过部署入侵检测系统(,-.)，采集入侵者的,/地址及目的,/地址、目的端口、攻击特征、当前用户和进程等攻击信息，通过统计分析，从概率上分析一段时间内攻击的类型、强度和频度来获取，分析现有的安全控管措施

（5）确定可能性

(6)确定风险

(7)建议安全防护措施。

(8)记录结果

5.医院信息系统安全风险评估结果的处置措施

(1)避免：采取措施，完全消除医院信息系统的安全风险

(2)降低：采取措施降代风险造成实际损害的可能性，降低其影响。（3）接受

（4）转嫁：通过责任外包、保险等方式%(’转嫁：通过责任外包、保险等方式（5）回避

（6）威慑：通过报复或者追究责任的方式

篇2：系统信息安全风险评估

当前，信息安全风险管理已成为企业信息化工作的关键，而信息系统安全风险已经成为企业信息化运营风险中最为重要的组成部分。信息系统风险管理是内控框架中的核心内容，并已成为判定企业成熟度的一项重要指标。信息系统安全风险评估是安全风险管理的基础和重要内容，既是企业信息安全体系建设的起点，也将覆盖其全生命周期。如何持续提升信息安全风险评估意识和能力，妥当开展信息系统安全风险评估及风险管控，是企业信息安全工作的重中之重，本文就此进行探讨研究。

一、评估目的、原则及方式

1.1 评估的目的。企业进行信息系统安全风险评估，是为了提高信息安全保障体系的有效性，主要包括：发现现有基础信息网络和重要信息系统的安全问题和隐患，提出针对性改进措施；识别在用系统和在建系统在生命周期各个阶段的安全风险；分析现有与信息安全相关的组织管理机构、管理制度和管理流程的缺陷与不足；评价已有信息安全措施的适当性、合规性等。

1.2 评估的原则。进行信息系统安全风险评估，要遵循以下原则：

（1）整体性。系统安全风险评估应从企业实际需求出发，不局限于网络、主机等单一的安全层面，而是从业务角度进行评估，包括技术、管理和业务运营的安全性。

（2）动态性。风险评估应是动态、阶段性重复的，并非一次评估即可解决所有问题。每次评估应达到有限的目标，并依据评估的动态特性考虑再次评估的时机，形成良性的评估生命周期。

（3）适当性。选择恰当的评估对象、评估范围、评估时机，评估对象要有代表性，确定评估范围的恰当性、可行性等情况。

（4）规范化。应严格规范评估过程和成果文档，便于项目跟踪和控制。

（5）可控性。评估过程和所使用的工具应具有可控性。评估所采用的工具必须经过实践检验，可根据企业实际现状与需求进行定制。

（6）最小影响。评估工作应充分准备，精心筹划，事先预见可能发生的情况并制定应急预案，不能对网络和信息系统的运行及业务的正常运作产生影响。

（7）保密性。参与评估的工作人员应签署保密协议，明确要求在评估过程中对所有的相关数据、信息严格保密，不得将评估中的任何数据用于与评估以外的任何活动。

1.3 评估方式。风险评估的方式可分为自评估、检查评估、委托评估三种。自评估是由企业自身实施，以发现现有信息技术设施和信息系统的弱点、实施安全管理为目的的评估方式。检查评估是由主管部门发起，对下级单位的安全风险管理工作进行检查而实施的评估活动。委托评估是指企业委托具有风险评估能力和资质的专业评估机构实施的评估活动。

企业信息管理部门应定期或在重大、特殊事件发生时组织进行风险评估，识别和分析风险，实施控制措施，确保信息安全和信息系统的稳定安全运行。

1.4 评估时机。企业信息系统风险评估应贯穿于系统的整个生命周期，方可做好风险管控。在系统规划设计阶段，通过风险评估明确系统建设的安全目标；在系统建设阶段，通过风险评估确定系统的安全目标是否达到；在系统运行维护阶段，实施风险评估识别系统面临不断变化的风险和脆弱性，从而确定安全措施的有效性，确保信息系统安全运行；在系统废弃阶段，确保硬件和软件等资产的残留信息得到适当的处置，确保废弃过程在安全的状态下完成。

二、评估方法

企业信息系统的安全风险评估大致可分为三个阶段：计划准备阶段、现场评估阶段、分析报告阶段。三个阶段的工作内容和步骤如图 1 所示。

2.1 计划准备阶段。在进行安全风险评估之前，充分的准备工作是评估工作成功的基础。在计划准备阶段，需要开展以下工作：

（1）制定项目计划。确定评估目标、范围和对象；明确评估人员组织，包括项目领导小组、项目负责人、项目技术顾问组、风险评估小组、被评估单位项目协调人和项目配合人员；制定项目进度计划；明确项目沟通与配合制度。（2）召开项目启动会。进行评估前的项目动员。

（3）收集相关信息。收集所有评估对象资产信息；收集文档信息，包括安全管理文档、技术设施文档、应用系统文档和机房环境文档等。

2.2 现场评估阶段。现场评估阶段包含文档审阅、问卷调查、脆弱性扫描、本地审计、渗透测试、现场观测和人员访谈等工作内容。

（1）文档审阅。通过文档审阅了解评估对象的基本信息（包括安全需求），了解各评估对象已被发现的问题、已实施的安全措施，确定需要通过访谈了解的信息和澄清的`问题，以便尽量缩减人员访谈沟通时间，降低评估工作对相关人员正常业务工作的影响。

（2）问卷调查。由一组相关的封闭式或开放式问题组成，用于在评估过程中获取信息系统在各个层面的安全状况，包括安全策略、组织制度、执行情况等。

（3）脆弱性扫描。利用技术手段对信息系统组件进行脆弱性识别，收集各信息系统组件可能存在的技术脆弱性信息，以便在分析阶段进行详细分析。

（4）本地审计。本地审计与脆弱性扫描互补，收集各信息系统组件可能存在的技术脆弱性信息，以便在分析阶段进行详细分析。

（5）渗透测试。利用模拟XX攻击方式发现网络、系统存在的可利用弱点，目的是检测系统的安全配置情况，发现配置隐患。主要通过后门利用测试、DDos 强度测试、强口令攻击测试等手段实现。需要注意，渗透测试的风险较其它几种手段要大得多，在实际评估中需要慎重使用，未必每次评估都要进行渗透测试。

（6）现场观测。主要通过现场巡视和观察等方法，观察与应用系统、机房环境等有关的管理制度、安全运维相关的机制、系统配置现状（如系统现有账号、日志功能等），了解制度实际执行情况，保留检查证据（截图，日志文件等）并填写现场观测结果。

（7）人员访谈。访谈的对象包括：信息系统管理人员、应用系统相关人员、网络及设备负责人和机房管理人员。主要涉及信息系统控制环境评估，包括安全策略、组织安全、人员、资产管理、风险管理、法律法规符合性等；信息系统通用控制评估，包括程序开发设计、变更管理、程序和数据访问控制、投产上线、系统运维等；应用系统的安全性评估，包括身份认证、标识与授权、会话管理、系统配置、日志与审计、用户账户管理、输入控制、异常处理、数据保护和通信等；应用控制评估，包括业务操作、权限管理、职责分离、业务流程、备份等。

2.3 分析报告阶段。分析报告阶段的主要工作是整理现场评估获得的数据、资料，进行综合分析以及生成最终评估报告。

综合分析根据收集到的各种信息，整理出系统 / 资产脆弱性，并对脆弱性进行威胁分析，包括分析威胁发生的可能性、产生的后果，判定风险级别，以及制定风险处理计划。综合分析对分析人员的能力要求较高。主导综合分析和报告生成的人员必须参与过信息系统风险评估的各阶段，对被评估系统有基本的了解，熟悉风险评估的方法、手段、过程，掌握风险计算方法，了解风险评估基本理论，具备较强的文字功底。

最终编写的风险评估报告是风险评估重要的结果文件，是企业实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料。风险评估报告通常应包括以下内容：

（1）概述。简要描述被评估系统的基本情况，包括功能用途、系统体系结构以及风险评估所使用的评估方法、评估过程等。

（2）评估综述。对被评估系统及其支撑平台已经实施的安全措施、评估发现的风险进行综合评价。

（3）评估详述。概要描述评估过程所发现的被评估系统存在的风险、以及不同级别的风险数量和比例；针对被评估系统及其支撑平台的每一个风险点，进行威胁分析、现有或计划实施的安全措施分析、风险评价等。

（4）整改建议。综合以上分析，说明被评估系统及其支撑平台需要采取的安全整改措施。

（5）附件。说明风险评估过程中主要访谈的人员和审阅的文档、脆弱性-风险对应表、控制措施-风险对应表等。

三、风险控制措施

风险评估的目的在于控制和规避风险。风险控制报告包括安全管理策略和风险控制措施，要依据通过审批的风险控制报告，落实控制措施。

控制信息安全风险的重要措施是实施信息系统安全等级保护，而等级保护的基本前提是信息系统等级的划分。企业要根据公安部等四部委联合发布的《关于信息安全等级保护工作的实施意见》，结合企业实际情况和国内相关领域专家的建议，确定信息系统安全保护等级，实施相应的等级保护，有效控制信息安全风险，支撑企业业务的连续运行。

四、风险控制实施的监督与跟踪

风险评估通常还包括一个至关重要的跟踪过程，即对执行与落实整改建议的情况进行监督与跟踪，必要时再次进行评估。

要充分利用风险评估管理信息系统作为基础性必备工具，实现对资产信息、安全威胁信息、脆弱性信息、评估结果的统一管理，以提升评估结果的可用性。

监督与跟踪主要工作包括建立监督与跟踪机制、制定跟踪计划、执行主动监督与报告等三个步骤：

（1）企业各级信息管理部门指定专门人员，建立监督与跟踪机制以跟踪安全整改建议的实施和效果。

（2）对关键的、意义重大而且至关紧要的安全整改措施，制定并实施跟踪计划，包括实施计划、预计实施时间、事项清单、验收方法与过程等。

篇3：系统信息安全风险评估

1 信息系统风险评估

遭受的伤害、损失以及发生毁灭的可能性, 都属于风险。外力对非行为主体可控因素利用酿成的损失就是风险。就信息安全范畴内的风险来说, 具体指信息系统受自身脆弱性的局限, 以及自然或人为因素威胁, 造成发生安全事件的可能性, 及其带来的不良影响。信息系统风险评估主要是对信息系统面临风险的过程进行判断识别。风险评估是与一定的技术手段相结合的系统工程, 服务于管理问题识别、管理策略制定;将威胁作为立足点, 以系统脆弱性为依据进行判断的评估过程;是对安全风险进行周期性了解, 出台有效的安全控制措施的基础条件。风险评估一方面使得网络风险实现了降低, 也使得风险管理与控制的实施具有了可靠的依据。加大力度管理建设信息安全保障体系, 风险评估这一环节非常关键, 对于信息安全问题的识别发现, 具体解决方案的制定来说, 是非常有效且重要的手段。

2 信息系统安全发展现状

信息系统与社会经济很多领域存在关联, 在政务和商务方面显现出了非常重要的作用, 信息安全问题并不是简单的技术性与局部性的问题, 而是一个综合性的安全问题, 即跨行业、跨领域、跨部门。有关统计显示, 某省会城市企事业单位、各大机关信息系统出现稳定运行情况的单位, 所占比例达到了10%;遭遇过网络方面非法入侵、攻击等事故的单位比例达到了30%;有高达86%的单位发生过信息安全问题, 这些单位大多不具有专项的信息安全建设资金, 缺乏充足的信息安全专业人才, 还没有建立信息安全测评机构以及应急响应体系, “轻管理、重建设、轻安全、重应用”的情况十分普遍, 对这一方面问题的解决越来越迫切。

各部门的信息化水平通常同其对信息系统风险评估的重视程度呈正比关系, 也就是说越是高度重视风险评估, 信息化水平就越高。但是, 受行业发展与地区发展都存在一定的差异的影响, “安全事件驱动”成为各部门对风险评估重视的主要原因, 也就是说“事故发生了才重视”, 很少由企业能够提前做好防范。我国信息安全体系在现阶段还不够完善健全, 信息系统风险评估还没有达到完全成熟的水平。

3 企业最关注的信息系统风险

3.1 能够对变化的章程适应

当前机构组织需要应对的挑战日益增加。确保制定的章程可以与变化的需求相适应成为一大关键任务。IT必须对系统加强设计与维护, 为新制定的章程提供保障, 使其可以对变化的需求做到适应。

3.2 企业级的IT管理与治理

IT治理成为提高IT部门管理效率的基本要求, 提高服务的高性能与严密性, 将准确可靠的信息传递给业务系统。IT治理应当保障具有清晰的业务目标, 保障IT操作有序展开。提升IT信息服务质量, 需要提高IT流程设计的完善性, 协调IT成员之间的工作。

3.3 信息安全管理

在遭遇很多严重的损失与破坏、投入较高的成本用于风险防范后, 企业已经深刻认识到最为重要的并非技术上的发展完善, 人员管理与工作流程管理成为信息安全管理的关键。所以, 企业在具体的实践中应当以国际信息安全管理标准为指导。

3.4 业务连续性与灾难恢复

企业业务活动均存在被各种因素影响导致中断的情况, 例如技术故障、破坏、崩溃等。因此, 很多企业出台了业务连续性管理计划, 以尽快使业务从灾难中恢复过来。但是, 采取业务连续性管理计划的企业数量非常有限, 大部分企业均在实施脆弱的业务计划。

3.5 IT资产管理

IT计划与业务目标之间缺乏统一性, 结果对业务的利益认识不清。很多IT计划在业务关联方面存在欠缺, 有的企业的IT服务与业务之间虽然有联系, 但是内容简单。实施IT资产管理过程有效弥补这一方面的不足, 使IT在业务及资产管理方面更好地提供服务。

3.6 对IT风险降低

很少在最短时间内能掌握风险管理实践, 因此没有充分认识到风险管理重要性的情况普遍存在。但是, 在所有的企业均有IT风险存在, 所以对IT风险管理不重视势必会遭受巨大的损失。

4 构建信息系统风险评估

4.1 明确风险, 找出根源, 对症下药

网络信息系统存在的隐性风险是众所周知的, 更是一种客观的存在。因此, 我们必须要对此有充分的认知, 并对其实施科学的管理。信息系统所面临的风险到底是什么?我们要如何规避?要采取怎样的措施来化解?这都是我们目前面临的实际问题。它就像我们人一样, 难免有生病的时候。也如不停运转的设备, 也会有发生故障的一天, 因此, 面对网络信息安全风险, 必须要对其进行认识, 并对其进行正确评估。

4.2 夯实安全基础, 巩固信息大厦

任何一个系统都会存在安全风险, 信息系统亦如此。我们在建设大楼时, 谁也不会将其建立在流沙之上, 这是因为地基不牢会对高楼造成坍塌的危险。因此, 在进行任何事情时, 都要对其进行风险评估, 这里的风险评估就好比我们高楼坚实的根基一样, 通过评估, 使我们了解可能存在的风险及威胁, 以便对现有资源进行合理配置及利用, 进行科学规划。通过风险评估, 还可以降低建设投资及费用, 以最小的投入以获取最大的收益。

4.3 信息安全管理的“利器”

由于网络信息安全的隐蔽性, 使得我们在不自觉中被击中, 比如黑客入侵、病毒感染等, 使得我们关键性机密被窃取, 造成无法挽回的巨大损失。因此, 信息安全一直是高科技之间的较量, 必须要利用科学, 寻求适当的方法, 尽可能发现系统内可能存在的威胁。将风险评估作为一种利器, 一个屏障来保卫信息系统的安全。

4.4 寻求适度安全和建设成本的最佳平衡点

随着经济的发展, 我们对安全的要求也越来越高, 但要使网络信息安全达到理想或者预期, 所付出的成本也是巨大的。为了追求合理的经济及社会效益, 就不能单纯追求绝对的安全。通过风险评估, 我们认识到信息系统所面临的风险, 并以此为基础对可能存在的威胁及风险进行筛选, 对于可以规避的, 能够容忍的都要做到心中有数, 以便在寻求适度安全和建设成本之间找到那个最佳的平衡点, 促成经济效益的最大化。

4.5 借鉴先进经验, 重视预警防范

网络信息安全决定了整个国家的安全。想要实现强国的目标, 就需要技术的支撑。早在1995年, 英国就已经发布了《信息安全管理实施细则》, 并与2000年被纳入国家标准, 获得了ISO认可。2002年, 美国《联邦信息系统安全认证和认可指南》的颁布, 作为一种技术及政策的支持, 使得信息风险评估得到了有效保障。虽然我国在一些关键性技术上还远远落后于发达国家, 但对先进技术的学习与借鉴与风险预防一样重要。

参考文献

[1]吴志博, 杨友良.浅谈电子政务信息安全[J].甘肃科技纵横, 2011 (1) .

[2]陈身洪.电子政务信息安全问题的探析[J].知识窗:教师版, 2011 (1) .

篇4：系统信息安全风险评估

关键词：信息安全风险评估；模糊评价；EOMS流程

1 信息安全风险评估模型

在风险评估的风险分析阶段主要采用定性的分析方法。由于该阶段所需数据往往很难精确统计或统计成本过高，通常采取结合人员经验的方法进行实施。

R=f (A，T，V，P)

式中：A：资产价值T：威胁事件发生的影响V：薄弱点的严重程度P：威胁利用系统薄弱点的可能性。

从风险分析模式公式中可以看出，风险值是一个多因素函数，由资产价值，威胁事件发生的影响，薄弱点的严重程度以及威胁利用系统薄弱点的可能性四个因素决定，并且这四个因素都不能用很确切的数值表示。作者由此联想到利用模糊平价法进行风险值的计算。因为，模糊评价法是对受多个因素影响的事物做出客观，全面的评价。

1.1 资产价值

此时的资产价值不仅仅为自身的价值，而是它在信息系统中的价值，与资产的机密性、完整性和可用性有关。具体计算过程如下：对于现有信息资产A，评判小组人员分别对每个资产对信息机密性，完整性和可用性的影响打分，得到考核集的隶属度：

2 风险评估模型的应用

2.1 资产价值

3 结论

本文是在信息安全风险评估理论基础上，提出了基于模糊评价法的评估模型，并将该模型付诸实践，取的了良好评估效果。不同于矩阵式的定性分析方法，基于模糊评价法的评估模型更加客观，科学，容易操作。另外，整个评估过程都是使用模糊评价法，保证了评估的一致性，完整性。虽然，本文是针对的EOMS流程管理平台系统进行信息安全风险评估的，但是不代表该评估模型只是适用于这种流程系统，由于该评估模型无论从评估流程到风险计算方法都是建立的通用的理论基础上，因此，该评估模型同样适用于其他的信息系统。

参考文献

[1] Hutt，Arthur E，Bosworth，“Computer Security Handbook [M]”.New York：John Wiley & Sons，Inc，1995.

篇5：IT系统信息安全风险不容忽视

【编者按】2011年至今，广东银监局共组织实施信息科技现场检查17次，发现辖内机构IT风险点120处，提出整改建议83条，通过督促整改，消除了一批风险隐患，降低了风险水平。辖内16家接受评级的法人机构2011信息科技风险评估结果显示，三级以上的机构增至14家，机构IT风险管理能力已有改观。但从今年的IT风险现场检查情况看，在风险水平总体下降的同时，辖内银行业金融机构信息安全风险管控状况不尽理想，仍需进一步改善。

一、银行业机构信息安全管理力度不足、风险隐患突出 2012年7月份以来，广东银监局组织了9场次信息科技风险现场检查，从检查情况看，辖内机构在信息安全管理方面存在的问题不容忽视：

（一）对核心信息的管控强度不足、控制结构混乱。检查发现：被查机构对应用系统源代码审核基本都不落实，显然“招行成都分行网银案”(代码漏洞)风险警示未被足够重视;多家机构对重要系统备份介质保管未实施双重控制，甚至有机构将电子银行系统关键密钥交由单人保管；网上银行客户端安全性保护未能达到《网上银行系统信息安全通用规范》（国标）要求;核心网络设备、运行管理系统等重要部件由多人共同使用超级用户；部分机构核心系统中，uucp、nfs等敏感闲臵用户未作删除，理论上有被利用于非法入侵可能；在对某机构测试环境检查时发现测试数据库中的海量生产数据未完全脱敏，且客户机可下载数据表，说明机构对敏感信息的控制强度不足。

（二）对银行终端设备管理较为松懈。中资机构对桌面系统、客户机的安全管理较松懈，基本没有效实施简约客户机模式。如工行、农行近年在改造桌面系统、限制移动接口等方面做过一些尝试，但从高层到普通员工的认同度都不高，至今难于推行，而内网客户机功能过强是很明显的风险点；在银行桌面系统中允许使用移动存储介质是普遍现状，而屏幕摄录日志并未覆盖所有内网机器；另外，大部分机构对内外网交叉连接也未实施有效限制。

（三）信息安全管理制度不全或执行不到位。今年7月，我局检查组在对某城商行现场检查中抽查了银行卡制卡机、后台权限管理客户机各一台，发现：（1）制卡机中存放有2000余条完整的客户制卡明码信息，如果外泄，有可能造成该行银行卡被批量克隆的严重后果，而监管部门之前的风险提示与整改建议未被认真对待；（2）后台管理客户机中有约20张账号、户名、印章齐全的高清支票照片，存在客户机中已超过一年，如外流，将直接威胁客户的账户安全。查阅该行数据管理制度未见有对上述类型信息作存期、获取、使用、销毁等限制性规定内容。

（四）信息安全控制措施的有效性存在疑问。某小型银行虽对内网机器作了移动接口监视，但未对移动存储介质带离银行进行严格管束，也未见该行有定期检查移动介质内容的记录或制定相关审核管控制度，管控方式存在漏洞，易于造成涉密信息外流。如：通过更改客户机、移动介质中的信息变动痕迹，即可使内网监视软件对信息流向的追踪失去目标、形同虚设。此外，对多家中小银行的检查显示，机构对客户机系统软件的安全控制一般只做到黑名单管理层面，未发现有采用更有效的白名单管理模式。

（五）外包流程可能产生信息安全风险隐患。小型机构对外包依赖性较强，但对外包的风险控制措施不到位。广东省局对多家中小型机构的现场检查发现，项目建设期间，外包方人员几乎掌握应用项目的所有信息，并被赋予很高的系统权限，外包协议规定外包商拥有项目建设的关键文档、参数、应用代码等核心信息，并可随时利用开发设备等完整带离机构。这种合作方式有形成“韩国农协行式信息科技风险”隐患可能。

（六）高管层对信息安全风险管控的认知不足。从访谈信息看，辖内银行业机构大部分CIO在信息安全风险识别、监测、控制等方面自我感觉良好，认为本机构信息安全不存在较大问题。但将现场检查、巡查、调查发现的信息对照《广东省银行业金融机构信息科技风险管理指导意见》要求的比较结果表明，当前在任CIO在知识背景、战略意识、对IT风险的认识深度、对监管法规的了解、所主持建立的IT风险防范措施有效性以及与监管部门的沟通能力等方面均存在差距，管理层的引领能力不尽理想。

二、信息安全管理风险突出的原因

（一）高层对信息科技风险管理定位不明确，导致资源配备错位。表现为：认为信息安全管理是科技部门的工作，将科技部门视为信息安全风险的主要管理者，既负责制度制定也负责执行、监督，信息安全风险责任由IT部门兜底；在部分设臵了CIO的机构，也因各种原因未能充分体现其作用。被查机构IT人力资源相对缺乏的现象普遍存在，IT员工比例基本都在5%以下，部分机构甚至不能确保基本的岗位配备需要，致使信息安

全岗位、人员的安排被忽视。

（二）内控系统不完善是引发信息安全问题的重要原因。机构高层对信息安全风险认识程度不够，没有采取恰当的风险管理战略，鲜有通过充分宣传、教育引导全员提高信息安全意识，形成健康的信息安全环境的行为，以致员工不清楚、不了解信息安全的含义，息安全意识淡薄，缺乏对信息安全风险的敏感性（客户机长期大量存放涉密信息可能导致其外泄等事实说明这一现象严重）；另外，内部管理制度、控制措施不完善或不适当，不能充分识别信息安全风险或及时发现、消除、有效控制风险点；内部信息交流不充分，监督纠偏制度不落实，信息安全责任不明确等也是较普遍的现象。

（三）过度依赖外包商导致银行机构未能主动控制外包风险。部分机构认为出现设备、系统故障时可由外包商解决，而对外包商是否能及时、恰当解决问题或最大程度避免安全问题的出现认识不足，导致了对外包商选择、设备选型方面出现缺乏充分论证，流程不规范、对信息安全保护考虑不周的行为；此外，中小机构内部人员对核心系统的掌控能力不足，不得不向外包单位开放更高的系统控制权限，这也可能招致信息安全风险问题。当前，外包监管法规主要作粗线条规定，机构不易直接参照，致其内部制度难以清晰界定如何识别外包风险程度、范围是外包流程管理中风险控制被动的另一原因。

（四）法规支撑力度较弱，影响信息科技监管的有效性。首先，因当前信息科技风险监管因素基本不影响其考核、评级，银行业机构往往将IT监管行为视为“免费体检”，消极应付。对监管意见的执行较随意，不利于IT风险管理环境的改善和整

体风险水平的降低，使信息科技风险监管的作用大打折扣；其次，对信息安全设施、控制措施的审查未予以足够重视，深层次的银行核心信息系统安全与风险控制能力审核、评估过程更未出现在准入流程之列。

三、对策建议

（一）督促机构管理层正视信息科技风险管理。一是建议监管部门定期剖析、通报典型案例，必要时要求机构针对案例进行专项对照自查并提交报告；二是由监管部门负责人对发生信息科技风险事件的、在现场检查中被发现存在重大风险隐患的机构进行点名、警示，对机构管理层形成一定压力，促使其正视信息科技风险的防范；三是将信息科技风险管理评级结果作为机构高管履职评价的参考要素，务使管理层负起IT风险管理第一责任；四是对信息安全内部管理多次出现问题的机构，可考虑调降其内部控制评价等级，提高对其IT风险现场检查的频度；五是可考虑提升监管法规层次，加强监管约束，对IT风险相关内部控制结构混乱，制度无效或有章不循的现象以违规论处。

（二）强化内部控制，管控信息安全内部风险。信息系统已成为银行业重要生产平台，IT风险是很明确的新型风险，机构内部控制系统必需能对其充分识别与控制，防范信息安全风险应作为IT风险相关内控制度建设的基础。一是管理层应走出将信息安全管理认为是科技部门工作的误区，厘清信息安全风险管理边界，通过宣传、教育引导全员提高信息安全意识，形成健康的信息安全环境，使所有员工都了解信息安全的重要性，强化信息安全意识，提高对信息安全问题的敏感性；二是健全

内部管理制度与措施，充分识别并控制信息安全风险，明确信息安全管理责任，通过适当的内部控制结构、管理行为及时发现、有效控制、消除信息安全风险点；三是疏通内部信息交流渠道，加强部门交流、上下层级交流、内部审计与纵向、横向监督，确保管理层及时了解信息安全风险状况，落实纠偏制度。

篇6：系统信息安全风险评估

(1)嵌入式设备存在严重信息安全隐患。首先该酒店楼宇控制系统采用的是西门子的DDC，该型号的版本由于没有进行操作系统升级，存在编号为CVE－20xx－0207的漏洞，远程攻击者可利用该漏洞，借助IGMP数据包导致拒绝服务。其次，该DDC存在23号端口为默认开启，telent的默认登录为弱口令。

(2)智能化系统网络信息安全管理措施薄弱。

第一，客房控制系统主机IP所在的网段可以连接互联网，存在被远程攻击的危险。第二，该主机的3389端口没有关闭，由于其密码简单，存在被爆破的风险。第三，通过该主机的IP地址接入后，扫描到了相邻IP的主机中的2个MYSQL数据库。第四，通过爆破的方式破解了这两个数据库的密码，密码为弱口令，并成功登录数据库。第五，该网段还存在考勤管理系统，具备门禁权限管理功能，系统仍然使用出厂用户名密码。第六，该网段还扫描到诸多打印机，在端口扫描中发现开启了515/printer端口，21/ftp端口，通过简单爆破得到了其出厂的ftp服务密码。第七，Insight软件登录账户/权限与操作系统登录用户名、密码保持一致，且均为弱密码，第八，系统操作员站与工程师站没有分离，操作员可使用工程师权限。

(3)智能化系统网络信息安全防护技术措施薄弱。第一，楼宇控制系统采用的是西门子的DDC和APOGEEInsight软件，组态软件和DDC间的通讯采用的是明文(见图3)，且网络边界没有防护设施，很容易实施中间人攻击。第二，系统中40%的管理主机没有安装基本的防病毒软件，部分管理主机已经受到病毒感染。图3DDC的通讯数据包。

(4)楼宇集成控制系统部分集成软件存在软件漏洞。该酒店采用的是西门子的APOGEEInsight软件，存在DLL劫持漏洞，目前该漏洞已经被西门子证实，由CVE收录(编号为CVE－CVE－20xx－3155)。虽然本次评估中发现的信息安全风险为个案，但通过与系统维护人员及管理人员的交流，我们得知该酒店的智能化系统与他们工作过的酒店相比差不多，管理措施基本一致。由此可以推断，涉及国家安全智能化系统的信息安全问题是普遍存在的。由于此类风险在现阶段没有引起过较大的社会性事故，因此没有被重视。针对发现的问题，我们提出以下建议:

(1)嵌入式设备应及时更新软件版本，并将敏感端口设置为默认关闭状态。

(2)合理划分Vlan和强化核心路由规则。

(3)网络中额设备严禁使用默认密码或弱口令。

(4)控制系统软件应该将系统操作员站和工程师站进行分离，并用分配不同的权限进行管理。(5)组态软件应及时更新，同时对应的电脑应安装基本的防病毒软件。

4结语

随着信息技术和控制技术的融合加速，建筑智能化系统网络信息安全问题正逐步凸显，其风险和脆弱性在实际评估工作中被识别。为了提升建筑智能化系统的信息安全防护能力，降低风险，本文提出以下建议:

(1)制定针对建筑智能化系统的信息安全评估标准。本次评估中借鉴了现有国家工业控制系统信息安全标准和计算机网络地方标准。虽然这些标准具备一定的借鉴意义，但在实际操作中不能完全适用，需要依据实际情况灵活处理。建议从系统架构、构成系统的产品、系统集成、运营管理等方面提出要求和规范，制定一部适用于智能建筑的信息安全评估标准有利于检验工作的开展。

(2)将信息安全评估纳入建筑智能化系统的必检项目。现有建筑智能化系统的检测主要集中在功能和性能方面，缺乏对系统的信息安全评估。在日益严峻的网络信息安全威胁的情况下，涉及国家安全智能建筑中的智能化系统可能随时受到攻击，导致严重的后果。因此将网络信息安全评估纳入智能化系统的必检项目有助于防止危险发生，保护人民生命财产安全。

篇7：系统信息安全风险评估

教案

Ⅰ 本章教学目的和要求

通过本章的学习，使学生了解会计信息系统可能遇到的风险，掌握内部控制的概念、作用、功能和分类，掌握会计信息系统的控制技术，了解网络会计信息系统的安全技术。

II 本章重点

IT环境下信息系统的风险分析；会计信息系统的内部控制重点及其措施；会计信息系统的一般控制基本类型介绍；会计信息系统的应用控制；网络信息时代的内部控制理论。

III 本章难点

会计信息系统的一般控制与应用控制的区别；网络信息时代的内部控制理论；事件驱动会计信息系统的风险识别与控制；会计信息系统的安全策略。

Ⅳ 本章计划使用教学课时：7课时（课堂讲授5课时，实践2课时）

V 教学内容及教学过程的组织

教学方法：采用课堂讲授与实践调查相结合的方式

〖教学内容引入〗信息技术是一把双刃剑，随着企业信息系统的应用和会计信息系统的普及，信息技术帮助企业改善了经营管理、强化了会计的反映和监控职能、整体提高了企业的营运效率和信息质量水平，这些都显现出了信息技术的有利一面；但与此同时，恶意的数据窃取、计算机舞弊、病毒侵袭、黑客的肆意妄为、非法的程序变更等现象屡见不鲜，这又折射出了信息技术的不利一面。严峻的现实告诉我们，信息系统安全问题已经成为企业实施信息化战略时不得不重视的一大问题，如何对信息系统的安全进行评价、如何对信息系统的风险进行科学评估并以此为基础构建高效、合理的风险控制体系已然成为每一个建立信息系统的企业首先要面对的重大问题。

第一节 风险与控制之间的关系

信息系统的使用提高了工作效率和经济效益，充分发挥了信息资源的作用,但信息系统在发挥其作用的同时也导致了众多不安全因素的潜入,具有受到严重侵扰和损坏的风险，所以必须采取相应的策略进行系统控制，保证系统的安全。

一、IT环境下信息系统的风险分析

这里着重要讲清楚三个问题：到底什么是风险；信息系统可以防范手工系统下可能面临的哪些风险；IT环境下信息系统到底面临哪些风险。第一个问题已是老生常谈的问题，因此简单介绍即可，抓住关键两点：风险具有不确定性，风险可能导致损失。第二和第三个问题才是此处讲解的重点。

由于采用了信息系统，它可以防范手工系统下可能面临的以下风险：人工操作错误的风险、所加工的信息不能充分满足管理需求的风险以及数据传递慢容易出现差错的风险。

但与此同时，信息系统也可能带来与手工环境下不同来源不同性质的风险，主要包括：

1、信息安全风险，具体表现4个方面：

（1）在信息系统环境下，如果对信息不加以特别保护，信息比较容易被非法修改、删除、转移和伪造且不留任何痕迹；

（2）通过网络传输的信息比较容易被非法拦截、窃取和窜改；

（3）数据档案往往存储在磁、光介质中，这些设备对环境要求较高，如果环境不能满足要求，比较容易遭受损害，并且如果不经常备份的话，也有可能会面临数据丢失的风险；

（4）容易遭受计算机病毒的侵害与干扰从而导致信息系统中的数据被破坏。

2、信息处理差错反复所带来的风险。

这主要是基于计算机程序控制错误或者根本就不起作用所导致的风险。讲解此点时，有必要提前简单提一下信息系统环境下的信息系统内部控制的主要方式。

3、计算机交易授权风险。

4、IT本身带来的风险。

IT无论多么先进，难免有其自身的局限性或者缺陷，人们在这方面的教训也是深刻的。

〖课堂提问〗如何看待IT的利与弊？既然IT会导致新风险，那我们为何还要热衷于运用IT改造传统会计？

二、内部控制概述

此处主要是回顾以前已经在其他课程上学过的一些基本概念，比如控制概念、内部控制的涵义、内部控制的组成要素。

〖教学建议〗这些概念可以简单介绍一下其要点，比如理解控制概念必须涉及到控制要素（控制标准、偏差识别、纠正差异），理解内部控制概念则必须知道其欲达成的目标（保护公司资产、提高公司营运效率、保证财务报告的准确可靠、保证严格遵循相关法令），而理解内部控制的组成要素则要结合COSO的内部控制要素模型来理解。

三、会计信息系统内部控制

此处需要讲解4个问题：第一个问题，如何理解会计信息系统内部控制这一概念，其目的和功能到底是什么？第二个问题，会计信息系统的内部控制到底呈现出了哪些新问题，其控制重点在哪里？；第三个问题，会计信息系统内部控制如何分类；第四个问题，会计信息系统内部控制固有的局限性表现在哪些方面。

〖教学建议〗结合实际例子来讲解会计信息系统的内部控制的具体目的以及主要功能，重点讲解第二个问题和第三个问题，适当了解第四个问题。

第二节 会计信息系统的一般控制与应用控制

〖教学内容引入〗计算机信息处理环境下内部控制分类从“控制如何执行”的观点来看，可分为人工控制（即使用者控制）和程序控制；而从“控制执行的范围”来看，则可分为一般控制（general control）与应用控制（application control）。那么，到底什么是一般控制？一般控制又可细分为哪些控制类型？应用控制又是指的什么控制？它又包括哪些细分的控制类型呢？其控制目的与措施又是什么呢？ 一、一般控制

一般控制通常是指各个应用系统均通用的控制，也叫基础控制或者环境控制，而应用控制则专指那些专为某个应用系统设计且执行的控制。

（一）组织控制

组织控制的基本目标是减少发生错误和舞弊的可能性，其基本要求是职责分离，主要内容包括3个方面，即电算部门与用户部门的职责分离、电算部门内部的职责分离以及人事控制。电算部门主要负责业务记录及对数据进行处理和控制，而用户部门主要负责批准执行各种业务交易。电算部门与用户部门的具体职责分离可从5个方面去理解，而电算部门内部职责分离主要是做好两个方面的职责分离（对系统开发职能与数据处理职能进行分离、对数据处理职能进行适当分离）。

组织控制一方面可以规章制度的形式明确每个部门及人员的职责，另一方面可通过会计软件中口令控制和授权管理防止越权行为的发生。

〖教学建议〗教师可引导学生去理解电算部门与用户部门为何要进行职责分离？怎样进行职责分离？电算部门内部又为何要进行一定的职责分离？应如何分离？

（二）操作控制

操作控制实际上是对会计信息系统的使用操作进行规范控制的制度设计，通常，可采取以下一些具体操作控制措施：制定工作计划并严格按章操作；管理人员和操作人员都应严格遵守相关规定（包括上机守则和操作规程等）；作好日志记录的登记；制定应急预案和物理安全规则。

〖教学建议〗这方面实践性很强，授课时只需操作控制的主要目的以及主要控制措施，引起学生今后在实际工作中对此问题加以重视。

（三）硬件及系统软件控制

〖教学建议〗这方面的内容可不作详细讲解。

（四）系统开发控制

〖教学建议〗授课时，要讲清楚系统开发控制主要用于什么场合，可采取哪些具体的控制措施。

（五）系统文档控制

系统文档包括计算机会计信息系统中的证、账、表以及所有系统开发中产生的数据文档，如系统说明书，数据流程图，源程序、系统使用手册及编程说明等。系统文档控制就是指要建立文档管理制度及安全保密制度。系统文档控制的主要规则包括4个方面。

〖教学建议〗这方面内容可着重点讲解。

二、应用控制

应用控制应结合具体的业务，但由于会计数据处理都是由输入、处理和输出三个阶段构成，所以一般将应用控制分为输入控制、处理控制和输出控制。应用控制由手工控制和程序化控制构成，但以程序化控制为主。

（一）输入控制

这里，可适当介绍完整的数据输入过程（包括数据产生阶段、数据传递阶段、数据准备阶段以及数据输入阶段）；重点介绍输入控制可以采取的典型方法（可从数据采集方面和数据输入方面分别讲解）。

〖教学建议〗输入控制是应用控制中的非常重要的一类控制，因此，它是计算机会计处理区别于手工会计处理的一个重要方面，正因为输入控制的重要性，在会计信息系统程序设计时，通常会把基本的输入控制关系考虑进去，这样既方便用户操作，又可提高输入数据的正确性和可靠性。因此，输入控制措施也必要在实践教学中去运用，通过运用加深理解。

（二）处理控制

数据输入计算机后，按照预定的程序进行加工处理，在数据处理过程中极少人工干预，一般控制和输入控制对保证数据处理的正确和可靠起着非常重要的作用。但是针对计算错误、用错文件、用错记录、用错程序、输入数据错误在输入过程中没检查出来等情况，还必须在处理过程中设置处理控制。这些处理控制措施大都为纠正性和检查性控制，而且多是程序控制。

处理控制包括的主要内容（即处理控制包括的具体控制措施或手段）：业务时序控制、数据有效性检验、程序化处理有效性检验、错误更正控制、断点技术、数据合理性检查、平衡及钩稽关系校验等。

〖教学建议〗注意区别输入控制中的某些控制措施与处理控制的某些控制措施之间的不同。

（三）输出控制

适当讲解输出控制的目的，重点讲解输出控制的内容。

输出控制主要包括对输出内容和格式的控制和对输出信息的传送过程的控制。具体可以采取的手段包括：输出授权控制；输入过程的控制总数与输出得到的控制总数相核对；审校输出结果，检查正确性、完整性；将正常业务报告与例外报告中有关数据做分析对比；设置输出报告发送登记簿，记录报告发送份数、时间、接受人等事项；制订输出错误纠正和对重要数据进行处理的规定；在会计报表输出前，由计算机检查报表间应有的钩稽关系是否满足，若不满足，则给出错误信息。

〖教学建议〗输出控制作适当介绍即可。

不同的单位和不同的计算机会计信息系统内部控制的技术方法会有很大差异。应用控制大部分通过程序实现，所以选用的会计软件不同，应用控制的实现方式也不同。但是，不管系统的应用控制采用哪种技术方法，都必须保留审计线索。

第三节 网络信息时代的内部控制理论 〖教学内容引入〗对传统内部控制进行回顾。

传统的会计和审计控制观点是基于以下的概念和实践：

1.大量使用硬拷贝文档来收集会计交易的信息,频繁打印会计过程中会计交易的中间结果。大量使用纸张来记录、处理和维护历史信息。这种做法符合大多数人的习惯,因为他们可以看到处理过程。

2.职责分离,使一个人检查另一个人的工作。只要业务活动和信息处理都由人来执行,这种方法就是可行的。

3.会计数据的重复记录和重复数据的大量调整工作。现行的信息系统中充满着重复数据。同样的销售事件信息记录在销售发票、销售日志中,并在总账中汇集,若该销售涉及信用,则分类账中也记录了该销售信息。而且,销售部门常常在自己的系统中按产品和地区保留销售记录。另外,人事部门也保留了同样的销售数据,以便于准确支付销售人员的佣金。

4.注册会计师认为其角色是独立的、反映性的和检查性的。独立的概念正日益深入到会计的各个领域,这对会计师的验证职能非常重要。会计师的反映性要多于主动性,检查性要多于预防性。

5.严重依赖年末对财务报表的检查,所需控制较多。

6.相对于运行效率而言，更加注重内部控制。这主要是由于外部财务报表审计的要求，促使会计师们主要考虑影响财务报表准确性的财务控制。

7.避开信息技术的进步。尽管会计首先大量使用计算机,使会计处理自动化,会计师们在开发IT的应用能力方面仍落在了后面。

传统的控制观点没有考虑IT对与业务运行、对规则的复合程度和信息过程相关的风险的影响。在网络信息时代，需要建立起一种新的控制观念，将IT有效的集成到业务和信息过程中，把保护组织和促进组织有机结合起来。为此，可从以下几方面加以落实。

一、明确预防商业风险是会计师的首要职责

二、正确对待风险和特定控制程序之间的关系

三、内部控制程序的设计应达到保护与高效并重的效果

四、IT可能带来风险，但它更是控制风险的工具

五、信息的可见性与风险水平无关

六、小型组织同样也可充分运用信息技术强化内部控制

七、网络信息时代内部控制观点总结

八、事件驱动会计信息系统的风险识别与控制

〖教学建议〗此八点是本章的学习重点，也是学习难点，授课时，需要进行较为深入的讲解分析。

第四节

一、信息系统安全的含义

此处关键是理解信息系统安全的具体含义，适当与信息安全这个概念加以区分。从系统过程与控制角度看，信息系统安全就是信息在存取、处理、集散和传输中保持其机密性、完整性、可用性、可审计性和抗抵赖性的系统识别、控制、策略和过程。

信息系统安全是一个多维、多层次、多因素、多目标的体系，虽然信息系统安全的唯一和最终目标是保障信息内容在系统内的任何地方、任何时间和任何状态下的机密性，完整性和可用性，但是离开了信息系统安全的体系，孤立的和单纯的寻求直接保护信息内容的方法，显然是舍本逐末。

二、影响信息系统安全性的主要因素

信息系统本身由于系统主体和客体的原因可能存在不同程度的脆弱性，这就为各种动机的攻击提供了入侵、骚扰和破坏信息系统可利用的途径和方法。影响信息系统安全的因素要有以下几个方面：硬件组织、软件组织、网络和通信协议以及管理者。

信息系统的安全影响因素分析

〖教学建议〗授课时，需要分别讲清楚上述四个方面的影响因素是如何影响信息系统的安全性的。

第五节 会计信息系统的安全问题及保障技术

一、会计信息系统安全问题的具体表现 会计信息系统是一种特殊的信息系统，它除了一般信息系统的安全特征外，还具有自身的一些安全特点。会计信息系统的安全风险是指由于人为的或非人为的因素使会计信息系统保护安全的能力的减弱，从而产生系统的信息失真、失窃，使单位的财产遭受损失，或系统的硬件、软件无法正常运行等结果发生的可能性。会计信息系统的安全风险主要表现在以下几个方面：会计信息的真实性、可靠性得不到保证；企业重要的数据泄密；会计信息存在被窜改的可能性。

〖教学建议〗实际上，会计信息系统的安全风险表现在许多方面，这里只是择其重要方面进行介绍，教师可引导学生思考是否有其他方面的表现。

二、会计信息系统的安全策略 所谓对症下药，会计信息系统的安全策略当然要针对其所面临的主要安全问题以及安全风险的具体表现来采取相应策略，概括起来就是从内部控制制度和技术控制手段两方面着手解决影响会计信息系统的安全问题，具体来说，就是一方面要健全内部控制制度，另一方面加强实施技术控制手段。技术控制手段主要包括防火墙、密匙技术、数字签名等。

〖教学建议〗授课时，健全内部控制制度只需简单介绍一下，对实施技术控制手段中的防火墙和数字签名技术可详细讲解，以便学生真正明白这些技术的用途和工作原理，今后在实际工作中能够主动运用这些技术确保会计信息系统的安全可靠。

三、网络会计信息系统的安全性评估指标

此处的网络会计信息系统是指建立在互联网环境基础上的会计信息系统，是电子商务的重要组成部分；它将帮助企业实现财务与业务的协同远程报表、报账、查账、审计等远程处理，事中动态会计核算与在线财务管理，支持电子单据与电子货币，改变财务信息的获取与利用方式。

影响网络会计信息系统安全性的因素很多，对其惊醒评价时，主要考虑以下10个指标： 安全方针；安全组织；人员安全；物理与环境安全；计算机与网络管理；系统访问控制；系统开发与维护；业务持续管理；合规性。

〖教学建议〗网络会计信息系统所面临的安全问题显然与普通的会计信息系统是不一样的，教师在授课时，可引导学生思考网络会计信息系统的环境与一般会计信息系统的环境有何不同，从信息系统所处环境出发来理解上述10个指标的评价作用和影响程度。

VI 本章小结

参见本章教学课件

VII 复习思考题

参见本章教学大纲

VIII 阅读资料

篇8：系统信息安全风险评估

近年来，由于信息技术的快速发展和网络在全世界范围内的普遍应用，网络与信息系统的稳定运行被更多领域的业务实施所依赖，信息技术几乎渗透到了社会生活的各方面。信息系统与它所承载的信息和服务在安全性方面是非常重要的，当信息与服务的保密性、完整性和可用性发生问题时，会让组织机构产生不利的影响，因此对信息系统安全的需求逐渐受到广大信息安全人员的特别重视。在2007年公布的国家标准《信息安全技术信息安全风险评估规范》[1]GB/T20984-2007中定义信息安全风险评估是根据有关信息安全技术与管理标准，对信息系统和由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评估的过程。信息系统面临的风险因素不但多而且很复杂，同时对信息和信息系统的危害程度也存在很大的不同。因此，为了给我国信息化的建设与信息安全的发展战略带来深远影响，钻研一套先进的、可行的、科学的信息系统安全风险分析与评价方法是很有必要的。

根据信息系统安全风险的评估可以知道信息安全所处的环境和状况，进而采取相关措施来提高信息系统安全的保证能力。本研究在对相关文献进行查阅的基础上，提出了信息系统安全风险评估的指标体系，并采用层次分析法和模糊综合评判，构建信息系统安全风险评估层次结构模型，以提高对风险评估的有效性。

1 信息系统安全风险的影响因素分析

在对信息系统进行风险评估时，首先要对信息系统的风险进行分析[1]。在对信息安全风险进行分析时，需要考虑资产、威胁、脆弱性和已有安全措施4个根本因素。

1.1 信息资产评估

信息资产的评估由两部分组成，即识别信息资产和对资产的价值进行估算。识别信息资产是在对信息系统和所涉及的物理资产、软件资产和数据资产等进行识别的基础上，并给出清单。对资产价值的估算，即对所涉及的信息资产的价值进行估计，这里主要的是考虑资产的重要性，而资产的账面价值并不是显得那么重要。在信息资产的评估中，要特别关注关键资产。关键资产是资产中对系统影响最大的资产。信息系统的关键资产拥有统一的信息平台、综合决策指挥系统、信息、数据库、网络基础设施及网络安全设施、人等。在资产中，主要集中在保密性、完整性和可用性三部分。

1.2 威胁评估

互联网的全球性、开放性等的优点，在为人们提供很多方便的同时，也给信息系统的安全带来很大威胁。威胁可能是人们故意的，或者可能是偶然的事件，也有可能是对系统进行的攻击。威胁，通过组织的资产引起不希望发生的事件进而给信息安全造成损害的一种潜在的可能性。对信息资产可能受到的危害进行的评估称为威胁评估。因为每一项资产很有可能同时面临多种威胁，并且每种威胁利用了资产自身的脆弱性从而发挥不利的影响。而造成信息安全威胁的，不但有环境因素，还有人为因素。因此，需要对于每项资产都要做威胁识别，特别是针对关键资产。

1.3 脆弱性评估

脆弱性评估就是通过各种测试方法最终得到信息资产中的弱点和不足，是信息系统风险评估中最重要的部分。资产的脆弱性由技术脆弱性和管理脆弱性两个部分组成[2]。即使在建设信息系统时，采取了相当好的安全功能和保证措施，也不能说明信息系统中的信息安全不存脆弱点。这些弱点和不足的存在很有可能导致信息资产的泄密、非法访问、不能使用或失控的现象。只有当进行脆弱性评估时，可以有效地降低脆弱性和提高抗攻击能力。通过脆弱性评价主要是为了识别和分析信息系统的脆弱性，从而发现信息系统中比较弱的环节，以便为制定安全策略和采取控制措施提供理论依据。

1.4 安全措施

信息系统的安全建立在对风险的规避上，需要采取一定的安全措施来保证信息的安全。安全措施是用来减少风险的控制或对策，这些风险和特定的威胁或者一组威胁相关。只有在全面、正确认识风险后，才能做出正确的判断，以便在控制风险和降低风险之间进行权衡。同时通过安全措施对资产进行保护和对脆弱性进行弥补，从而达到降低风险的效果。安全措施由预防性的安全措施与保护性的措施两个方面组成。预防性措施，可以用来减少漏洞与可能发生的威胁。保护性安全措施能够降低因为威胁从而所造成的影响[3]。

2 信息系统安全风险评估指标体系的构建及权重的确定

采用层次分析法（AHP）构建信息安全的评价指标体系，从而对其风险进行综合评价。运用AHP评价信息安全风险最主要的是评价在信息安全风险中所涉及要素之间的相对重要性权数，并对各因素权重排序，做横向比较，为信息安全风险采取相关措施提供有效的依据。在信息系统安全风险评价中，运用层次分析法和模糊综合评判进行评估拥有很强的有效性。

下面以具体实例对信息系统安全风险进行评价。信息安全风险分析包括对4个要素的识别，并且每个要素又有多个子要素。为了显示信息风险评估的重要方面，对指标体系进行了适当的简化。包括资产、威胁、脆弱性、安全措施4个评价指标体系，该指标体系主要包括目标层，准则层，指标层。

对江苏某大学的一个网站系统进行信息安全风险评估。该网站服务器的IP地址为192.168.2.200，应用所构建的指标系对系统的信息安全进行评估。邀请了数位相关专家依据因素间的相互重要程度的大小进行打分，并通过几何平均法进行整理，得出某一层对上一层相对影响排序的成对的比较矩阵。用1～9比例标度法构造判断矩阵，如下：

在正互反矩阵中，如果出现aik⋅akj=aij，那么该矩阵为一致阵。在上面的判断矩阵A中，a21⋅a13≠a23，所以该矩阵不是一致阵。在非一致阵上，通常采用矩阵最大特征根所对应的归一化特征向量作为权向量W。通过计算对比矩阵A的最大特征值λ=4.000 9，该特征值所对应的归一化向量W=[0.414 2,0.132 3,0.258 7,0.194 8]T。接下来通过计算一致性指标CI值的大小，来判别矩阵的一致性，它的公式为：CI=(λmax-n)(n-1)。此时的特征值为最大值，n是矩阵的阶数。根据矩阵A计算可得CI=(4.000 9-4)(4-1)=0.000 3。一致性比率与矩阵随机平均一致性指标RI的值有关，它的值与矩阵阶数有关。当阶数n=4时，RI=0.9。通常来说，当一致性比率：CR=CI RI<0.1时，就能够判断矩阵的不一致度在可允许范围以内，同时它的最大特征值所对应的归一化特征向量作为权向量，不然就要对矩阵A进行调整，重新构造成对比较矩阵。依据以上数据可得矩阵A对应的CR=0.000 3 0.9=0.000 33<0.1，所以，最大特征值对应的归一化向量W可以作为准则层对目标层的权重。

用同样方法计算出各指标层对相应准则层的权重，并通过了各指标层对准则层的一致性比率的验证。综合准则层及指标层的权值，信息安全风险综合评价指标的总排序权值见表1。

通过计算得到准则层指标的相对权重和其排序，并通过调查问卷，请25位专家对各指标的权重进行评判和对某等级评价的次数。通过整理如表2所示。

综合权重Wi目标层

根据表2，对各准则层对应的指标层进行归一化，得到模糊关系矩阵如下所示：

由准则层所对应指标权重组成的行矩阵称为Wi。依据Bi=Wi⋅Ri，能够计算单层次的评价结果：

将上述结果综合起来，得到总的模糊关系矩阵R:

准则层各指标所对应权重构成的矩阵W=[0.414 2 0.132 3 0.258 7 0.194 8]，因此最后总的模糊综合评价结果为B=W⋅R=[0.11,0.14,0.31,0.41,0.17]。按照所计算的结果，五个数值中最大的值是0.41，根据判断等级来看，是“中”。因此，按照最大隶属度的原则，可以认为江苏某高校网站的信息安全风险的评估等级属于“中”。

3 结语

在对信息系统安全风险评估中，采用层次分析法与模糊综合评判，很好地解决了对于在定性指标定量评估中所遇到的困难。该方法在信息系统安全风险评估与等级划分的实际应用中很有效，操作性也很强。不仅能够计算出要素之间的相对风险程度和信息网络系统所处的风险等级，而且还可以提高对其风险的认识，以便可以在风险方面做出正确的判断，达到控制并降低风险的效果。同时通过对因素的重要性进行排序，不仅能找到信息系统安全的薄弱部分，还可以根据这点对安全性措施进行改善，使其在保护信息系统的安全性方面更有效。

参考文献

[1]全国信息安全标准化技术委员会.GB/T 20984-2007信息安全技术信息安全风险评估规范[S].北京:中华人民共和国国家质量监督检验检疫总局,2007.

[2]张立涛,应力,钱省三.信息安全风险评估中若干操作问题的研究[J].山东理工大学学报:自然科学版,2006,20(1):79-83.

[3]王标,胡勇,戴宗坤.风险评估要素关系模型的改进[J].四川大学学报:工程科学版,2005,37(3):110-114.

[4]王伟,李春平,李建彬.信息系统风险评估方法的研究[J].计算机工程与设计,2007,28(14):3473-3474.

[5]JONES J A.An introduction to factor analysis of information risk(FAIR)[R].[S.l.]:[s.n.],2005.

[6]张泽虹,赵冬梅.信息安全管理与风险评估[M].北京:电子工业出版社,2010.

[7]韩利,梅强,陆玉梅,等.AHP-模糊综合评价方法的分析与研究[J].中国安全科学学报,2004,14(7):86-89.

[8]吴亚非,李新友,禄凯,等.信息安全风险评估[M].北京:清华大学出版社,2007.

[9]GLEASON J M.Fuzzy set compudetational processes in risk analysis[J].IEEE Transactions on Engineering Management,1991,38(2):177-178.