风险评估的依据标准

风险评估的依据标准在信息安全产业界，风险评估早已不是陌生话题，几年以来，各安全公司完成的风险评估项目已不在少数，甚至在几乎所有的信息安全服务厂商中，风险评估都是其核心业务。风险评估的核心不仅仅是理论，更是实践。风险评估的实践工作是很困难的，据国外的统计数字显示，只有60的风险评估是成功的。国内的风险评估工作面临的挑战更多，需要一定时间的积累和沉淀，就像要成为一个好的中医，要有个学和练的过程一样。有人认为风险评估只是一个看病的过程，其实，看病就是在治病。因此，笔者就看病治病的风险评估过程的几个方面简单谈谈自己的心得与体会。1. 定义-什么是完整意义的风险评估何为完整意义的风险评估？须从各个角度去观察，既要客观，又要全面。古语云：横看成岭侧成峰，远近高低各不同。不识庐山真面目，只缘身在此山中。故所谓信息系统的安全风险，是指由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及其造成的影响。在风险评估中，最终要根据对安全事件发生的可能性和负面影响的评估来识别信息系统的安全风险。与信息系统的安全风险密切相关的因素包括：(1)使命：即一个单位通过信息技术手段实现的工作任务。一个单位的使命对信息系统和信息的依赖程度越高，风险评估的任务就越重要。(2)资产：通过信息化建设积累起来的信息系统、信息、生产或服务能力、人员能力和赢得的信誉等。(3)资产价值：资产的敏感程度、重要程度和关键程度。(4)威胁：一个单位的信息资产的安全可能受到的侵害。威胁由多种属性来刻画：威胁的主体（威胁源）、能力、资源、动机、途径、可能性和后果。(5)脆弱性：信息资产及其安全措施在安全方面的不足和弱点。脆弱性也常常被称为漏洞。(6)事件：如果威胁主体能够产生威胁，利用资产及其安全措施的脆弱性，那么实际产生危害的情况称之为事件。(7)风险：由于系统存在的脆弱性，人为或自然的威胁导致安全事件发生的可能性及其造成的影响。(8)残余风险：采取了安全措施，提高了信息安全保障能力后，仍然可能存在的风险。(9)安全需求：为保证单位的使命能够正常行使，在信息安全保障措施方面提出的要求。(10)安全措施：对付威胁，减少脆弱性，保护资产，限制意外事件的影响，检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、规程和机制的总称。在这些要素中，尤其需要注意一个概念：残余风险。之所以提出这个概念，原因在于：1）风险不可能完全消除。信息技术在发展，外部环境在变化，信息系统本身也要发生变化，信息安全的动态性致使不可能完全消除未来发生安全事件的风险。2）风险不必要完全消除。资产的价值以及信息安全的投入之间的比例关系决定了对有些安全风险，采取措施反而比不采取措施成本更高。由于上述原因，所谓安全的信息系统，并不是指万无一失的信息系统，而是指残余风险可以被接受的信息系统。造成信息安全事件的源头，可以归为外因和内因。外因为威胁，内因则为脆弱性。苏轼之琴诗曰：若言琴上有琴声，放在匣中何不鸣？若言声在指头上，何不于君指上听？这首诗所揭示是琴、指头和琴声三者之间的关系。如果把演奏者包括在内，那么，演奏者的思想感情和技能与琴、指之间的关系，又可以看作是事物的内因和事物的外因之间的关系。前者是音乐产生的根据，后者则是音乐产生的条件，两者缺一不可。 因此，在风险评估中，要刻画信息安全事件，就必须对威胁和脆弱性都有深入了解，这构成了风险评估工作的关键。风险评估的工作由以下几个步骤组成：步骤1：描述系统特征步骤2：识别威胁（威胁评估）步骤3：识别脆弱性（脆弱性评估）步骤4：分析安全控制步骤5：确定可能性步骤6：分析影响步骤7：确定风险步骤8：对安全控制提出建议步骤9：记录评估结果安全风险评估：现代企业安全管理的必备手段在一个企业中，诱发安全事故的因素很多，安全风险评估能为全。面落实寄令政箫旱供基础资料并评估出不同环境或不同时期的安全危险性的重点，加强安全管理，采取宣传教育、行政、技术及监督等措施和手段，推动各阶层员工做好每项安全工作。使企业每位员工都能真正重视安全工作，让其了解及掌握基本安全知识，这样，绝大多数安全事故均是可以避免的。这也是安全风险评估的价值所在。当任何生产经营活动被鉴定为有安全事故危险性时，便应考虑怎样进行评估工作，以简化及减少风险评估的次数来提高效率。安全风险评估主要由以下3个步骤所组成：识别安全事故的危害、评估危害的风险和控制风险的措施及管理。第一个步骤：识别安全事故的危害识别危害是安全风险评估的重要部分。若不能完全找出安全事故危害的所在，就没法对每个危害的风险作出评估，并对安全事故危害作出有效的控制。这里简单介绍如何识别安全事故的危害。(1)危险材料识别一识别哪些东西是容易引发安全事故的材料，如易燃或爆炸性材料等，找出它们的所在位置和数量，处理的方法是否适当。(2)危险工序识别一找出所有涉及高空或高温作业、使用或产生易燃材料等容易引发安全事故的工序，了解企业是否已经制定有关安全施工程序以控制这些存在安全危险的工序，并评估其成效。(3)用电安全检查一电气安全事故是当今企业的一个带有普遍性的安全隐患，对电气的检查是每一个企业安全风险评估必不可少的一项内容。用电安全检查包括检查电气设备安装是否符合安全要求、插座插头是否严重超负荷、电线是否老化腐蚀、易燃工作场所是否有防静电措施、电器设备有无定期维修保养以避免散热不良产生热源等。(4)工作场地整理一检查工场是否存在安全隐患，如是否堆积大量的可燃杂物(如纸张、布碎、垃圾等)，材料有否摆放错误，脚手架是否牢固等等。(5)工作场所环境安全隐患识别一工作场所由设施、工具和人三者组成一个特定的互相衔接的有机组合的环境，往往因为三者之间的联系而可能将安全事故的危害性无限扩展。识别环境中的安全危险性十分重要，如一旦发生安全事故，人员是否能立即撤离，电源是否能立即切断等等。(6)安全事故警报一找出工作场所是否有安全事故警报装置或安排，并查究它们能否操作正常。(7)其它一留意工作场所是否有其他机构的员工在施工，例如：当装修工程进行，装修工人所使用的工具或材料均可增加安全隐患。第三步骤：控制风险的措施风险控制就是使风险降低到企业可以接受的程度，当风险发生时，不至于影响企业的正常业务运作。1选择安全控制措施为了降低或消除安全体系范围内所涉及到的被评估的风险，企业应该识别和选择合适的安全控制措施。选择安全控制措施应该以风险评估的结果作为依据，判断与威胁相关的薄弱点，决定什么地方需要保护，采取何种保护手段。安全控制选择的另外一个重要方面是费用因素。如果实施和维持这些控制措施的费用比资产遭受威胁所造成的损失预期值还要高，那么所建议的控制措施就是不合适的。如果控制措施的费用比企业的安全预算还要高，则也是不合适的。但是，如果预算不足以提供足够数量和质量的控制措施，从而导致不必要的风险，则应该对其进行关注。通常，一个控制措施能够实现多个功能，功能越多越好。当考虑总体安全性时，应该考虑尽可能地保持各个功能之间地平衡，这有助于总体安全有效性和效率。2风险控制根据控制措施的费用应当与风险相平衡的原则，企业应该对所选择的安全控制措施严格实施以及应用。达到降低风险的途径有很多种，下面是常用的几种手段：1)免风险：比如：改善施工程序及工作环境等。2)转移风险：比如：进行投保等。3)减少威胁：比如：组织具有恶意的软件的执行，避免遭到攻击。4)减少薄弱点：比如：对员工进行安全教育，提高员工的安全意识。5)进行安全监控：比如：及时对发现的可能存在的安全隐患进行整改，及时做出响应。3可接受风险任何生产在一定程度上都存在风险，绝对的安全是不存在的。当企业根据风险评估的结果，完成实施所选择的控制措施后，会有残余的风险。为确保企业的安全，残余风险也应该控制在企业可以接受的范围内。风险接受是对残余风险进行确认和评价的过程。在实施了安全控制措施后，企业应该对安全措施的实施情况进行评审，即对所选择的控制措施在多大程度上降低了风险做出判断。对于残留的仍然无法容忍的风险，应该考虑增加投资。风险是随时间而变化的，风险管理是一个动态的管理过程，这就要求企业实施动态的风险评估与风险控