北京电视台安全播出风险评估研究

1、北京电视台安全播出风险评估研究 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 摘要 广播电视播出安全是关系到各广电机构能否完成自身使命的关键, 电视中心作为其中重要组成部分, 安全播出是永恒的话题, 随着技术的发展, 当前的电视中心播出系统已经由过去简单的模拟系统演变为一个复杂的数字化、 网络化信 息系统, 对于其安 全 性 的 风 险 管 理 日 趋 复 杂 , 当 前 各 电 视 中 心 也 都 在 积 极 构 建 自 身 安 全 播 出 管 理 体系,而风险评估是构建该体系的基础。本文拟对北京电视台安全播出风险评估 进行研究。 依据国际标准中信息安全风险管理指南和风险评估指

2、南, 以及 广播电视安全播出 管理规定 中电视中心实施细则的规定, 在对风险评估研究的基础上, 对常用风险评估标准、 风险评估工具、 风险分析方法进行了比较分析, 利用问卷调查、 专家访谈、 实地调研等方法进行资产识别及评价, 该研究基于 “资 产-威胁-脆弱性” 分析的风险评估办法完成评估, 最终完成 风险评估报告 为构建北京电视台安全播出管理体系提供依据 。 并拟依此形成一套有效可行的电视中心安全播出风险评估办法,推广应用于各级电视中心播出安全风险评估。关 键词 : 安全播出;风 险评估;威胁-脆弱性II 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 Abstract Rad

3、io and television broadcasting security is of important significance for radio and television institutions to accomplish their missions. TV center is a critical part of it and security broadcasting is an eternal topic. The current TV center broadcasting system has evolved from a simple simulation sy

4、stem to a complicated digital information network system as of technology development, and the risk management of broadcasting security is ever more complex. At present, TV centers are actively building security broadcasting management system, and of which risk assessment is the foundationThis paper

5、 tends to make risk assessment research on Beijing Television Stations security broadcasting. According to international guidelines for information security risk management and assessment, and executive detailed rules for TV center stated in Radio and Television Security Broadcasting Regulation, and

6、 based on risk assessment research, the author makes comparative analysis of common risk assessment standards, risk assessment tools and risk analysis methods, and carries out assets identification & assessment through questionnaire, expert interviewing, and field investigation. The research her

7、eby is accomplished through the risk assessment method of “asset-threat-vulnerability” and serves as a basis for building security broadcasting management system in Beijing Television Station. And according to this research, an effective and feasible assessment method for TV center security broadcas

8、ting is constituted, which can be applied in security broadcasting risk assessment for all levels of TV centersKey word :Safety broadcast; Risk assessment; Threat - VulnerabilityIII 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 目录 研究成果 声明 I 关于学位 论文使 用 权的说明I 摘要 II ABSTRACT III 目录. IV 第 1 章 绪论1 1.1 研 究背 景 1 1.2 国 内外

9、研究现 状 2 1.3 本 文研 究内容. 3 第 2 章 信息安全 风险评 估5 2.1 基 本概 念 5 风险 5 风险管理. 5 信息安全风险5 信息安全风险评估 5 2.2 信 息安 全风险 评估 的目的 与意 义5 2.3 信 息安 全风险 评估 的要素 及关 系6 2.3.1 信息安全风险评估要素 6 2.3.2 信息安全风险评估要素关系. 7 2.4 风 险评 估实施 流程7 2.4.1 风险评估准备. 8 2.4.2 识别并评估资产 9 2.4.3 识别并评估威胁. 10 2.4.4 识别并评估脆弱性 12 2.4.5 识别并确认已有安全措施 14 2.4.6 风险分析. 14

10、 2.4.7 风险评估文件记录 16 2.5 信 息安 全风险 评估 方法. 17 2.5.1 定量分析法 17 2.5.2 定性分析法 18 2.5.3 定量与定性综合分析法. 18 2.6 信 息安 全风险 评估 标准. 19 1、 BS 7799 19 2、 CC 标准19 IV 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 3、 ISO/IEC 27001:2005. 20 4、 GB/T 20984-200720 第 3 章 广播电视 安全播 出 风险评估21 3.1 安 全播 出相关 概念 21 安全播出21 安全播出保障等级. 21 停播事故21 错播事故21 严重

11、劣播事故 22 一般劣播事故 22 停播率 22 3.2 广 播电 视安全 播出 管理规 定22 3.3 广 播电 视安全 播出 管理体 系24 3.3.1 安全播出管理体系方针. 24 3.3.2 安全播出管理体系目标. 24 3.3.3 安全播出管理体系模式. 24 3.3.4 安全播出管理体系的特点 25 3.4 安 全播 出风险 评估 定义及 要求. 26 第 4 章 北京电视 台安全 播 出风险评 估研究28 4.1 北 京电 视台安 全播 出概况 28 4.1.1 北京电视台安全播出现状 28 4.1.2 北京电视台安全播出风险控制体系现状 29 4.2 北 京电 视台安 全播 出

12、风险 评估 准备30 4.3 安 全播 出资产 识别 与评估 31 4.3.1 安全播出资产分类 31 4.3.2 安全播出资产赋值 33 4.4 安 全播 出威胁 识别 与评估 35 4.5 安 全播 出脆弱 性识 别与评 估36 4.6 安 全播 出风险 分析 38 第 5 章 北京电视 台安全 播 出风险处 理. 42 5.1 现 存风 险判断42 5.2 控 制目 标确定42 5.3 控 制措 施选择43 5.4 安 全播 出风险 评估 报告. 44 结论. 45 参考文献46 致谢. 48 V 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 第1 章 绪论安全播出是广播电

13、视行业的命脉, 确保广播电视安全播出是广电技术系统的根本任务和中心工作, 构建 安全播出管理体系是提高管理水平、 确保安全 播出的基本保障,安全播出风险评估是构建安全播出管理 体系的前提和关键。 本章首先介绍了安全播出风险评估 的研究背景 及研究意义, 描述 了该领域的研究现状及发展情况, 最后介绍了本论文的 研究内容 及结构。 1.1 研究背 景 广播电视系统是国家重要的网络与信息系统 之一, 广播电视的播出安全 关系到国家安全、社会稳定及经济发展 ,保障 广播电视信号安全播出是 国家政治安全的保障,是国家信息化建设和发展的必然要求。 国家广播电影电视总局于 2009 年 12 月 16 日

14、颁布实施 了广播电视安全播出管理规定 (以下简称 62 号令) , 旨在 加强广播电视安全播出管理 , 保障广 播电视信号安全优质播出, 维护用户收听收看 广播 电视的权益 。 为落实广电总局 62 号 令,提高北京市广播电视安全播出管理水平,北京市广电局从 2010 年开始在安全播出管理中引入 ISO9000 国际标准的管理理念和模式,在全市广电系统建设安全播出管理体系, 以增强防范风险能力, 实现安全播出的目标。 而对 广 电 系 统 进 行 全 面 准 确 的 安全 播 出 风 险 评 估 是 构建 整 个 安 全 播 出 管 理 体 系 的 基 础和前提 。 本文针对广电系统中的电视中

15、心安全播出风险评估进行研究。 随着技术的飞速发展, 当前电视中心已经基本实现了数字化、 网络化播出, 并继续向高清化发展, 电视中心播出系统已经从过去简单的模拟设备组成的系统 转变为一个整合了多种模拟、 数字、IT 设备的综合网络 信息系统, 同时 还涉及人员、管理、预案等一系列 相关 因素,对其进行风险评估也就变得复杂起来。 当前国内并无针对广播电视安全播出的风险评估体系, 因此 如何根据 广播电视行业技术发展, 对 电视中心 安全播出进行有效可行的风险评估,准确判断自身系统所存在的风险程度,及时发现 安全播出中的薄弱环节,提出有针对性的防护措施和整改办法, 为防范 和化解安全 播出风险,

16、或者将风险控制在可接受的水平, 从而为最大限度地保障播出安全提供科学依据 具有重要意义。 北京电视台在国内较早实现数字化网络化播出 ,目前具备 制作播出 15 套自办节目和高清电视的能力 。随着技术的发展,系统日趋复杂,安全播出也面临新的挑战,自 2009 年 4 月启用新 的北京电视中心至今,累计发生安全播出故障百余次,有的造1 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 成了严重影响。为更好的做好安全播出,落实国家广电总局安全播出管理规定 ,北京电视台于 2010 年 配合市广电总局开展安全播出管理体系的建设工作,作为该项工作的前提和重要基础, 对北京电视台安全播出进行全面

17、有效的风险评估具有重要意义。 1.2 国内外 研究现状 对国外广电安全播出领域的研究发现, 由于数 字化、 网络化播出已经成为广电播出的主流, 各国对 安全 播出的研究重点侧重于安全播出信息系统的安全, 大多应用保障信息安全的方式保障安全播出系统 , 进而应用信息安全风险评估方法对技术系统进行风险评估。 由于西方发达国家较早开始 了对信息技术的研究和应用 , 信息化程度 较高, 比较重视信息安全问题, 较 早开展了信息安全风险评估, 并将其做 为信息安全管理工作的基础。最早发表的信息安全风险评估方法是 由美国标准局于 上个世纪 70 年代发布的自动化数据处理风险评估指南 。其后颁布的关于信息安

18、全基本政策文件联邦信息资源安全 明确提出 了信息安全风险评估的要求, 要求联邦政府部门依据信息和信息系统所面临的风险, 根据信息 泄露、 丢失、 滥用、 未授权访问 等行为所造成 的损失大小, 制定 和实施信息安全计划, 保证信息和信息系统的安全。 西方发达国家在对信息安全技术及风险评估理论深入研究的同时, 还投入大量资源进行信息安全风险评估的标准化工作,目前常用的风险评估标准有:ISO1999 年颁布的通 用信息技术安全准则 (ISO015408 , 简 称 CC),2000 年 12 月 由国际标准化组织确定的风险评估国际标准 ISO17799 。 我国的信息安全风险评估工作 开 始于 2

19、0 世纪 90 年代, 各信息安全公司通过学习、借鉴国外标准和经验 , 开始信息安全风险评估方面的研究和应用。 我国政府非常重视信息安全问题, 投入了 大量的人力物力进行 信息安全风险评估 的标准化, 相继颁布了计算机信息系统安全保护等级划分准则 (GB17859) 、 信息技术安 全性评估准则(GB/T18336)、 信息 安全风险评估 指南 等。国内目前在 网络与信 息系统安全指标体系及评价方法研究方面, 主要是国信办组织实施的国家信息安全保障评价体系研究组在进行相关的研究工作。 总体思路是从战略、 管理和技术三大体系入手, 以信息安全保障体系为评价目标, 以对应的评价指标体系为核心, 采

20、用 “综合 集成” 的方 法设计评价指标体系。2006 年 1 月, 国信办确定 移动、 广电、 固网 三个行业为信息安全保障评价指标体系工程的试点行业。 2 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 当前常用的信息安全风险分析办法主要有定量分析、 定性分析、 定性与定量相结合的综合分析方法。 定 量分析是试图从数字上对安全风险进行分析评估的方法, 包括因子分析法、 回归分析法等。 理论上可以通过定量分析对安全风险进行准确分级, 但实际上由于信息网络系统的复杂性, 很多信息都是不精确、 不完整和不准确的, 因此定量分析有很大困难。 定性分析是被广泛采用的方法。 通过利用列出

21、各种威胁的清单,并对威胁的严重程度及资产的敏感 程度进行分级, 计算简单, 估值成本低。 包括德尔斐法、 基线比较方法等。 定性分析技术 主要依据直觉、 判断和经验。 不足之处是 由于分析者直觉和 经验的偏差而 使最终的分析 结果过于主观、 不准确 。 定量和定性结合的风险评估方法是建立在定性方法上的定量评估方法, 客观准确。 常用的有故障树分析方法、灰色系统分析法、 层次分析法、 模糊综合评价法。 在国内, 广播电视安全 播出 具有更加重要的意义。 随着国家多项安全防范措施的落实, 广播电视安全播出已经开始从早期的重点防范非法攻击破坏向保障日常安全运行转变, 广播电视安全 播出管理重要性日益

22、凸显。 面对广电播出系统日益复杂多样化的发展趋势, 安全播出 也将面临新的挑战, 单一的从信息安全角度来解决安全播出并不能满足需要,未来的安全播出研究需要从技术、人员、管理等多个方面进行考虑,而对系统进行全面有效的安全风险评估是做好安全播出管理工作的基础, 单一的定量或者定性方法很难对系统风险进行有效评估, 因此未来播出安全风险评估方法将更多的采取定性与定量相结合的方法, 准确识别系 统脆弱性、 系统面临的威胁以及脆弱性被威胁源利用后所产生的负面影响, 进而根据安全事件产生的可能性和负面影响的程度来有效评估风险,为进一步搭建安全 播出保障体系奠定基础。 1.3 本文研 究内容 本文采用风险管理

23、的理论与方法, 结合北京电视台安全播出现状, 以 广播电视安全播出管理规定 为依据, 运用信息安全风险管理指南和风险评估指南为指导, 对北京电视台安全播出风险评估进行研究 。具体结构如下: 第一章介绍了本文的研究背景, 该领域的国内外研究现状及本文的研究内容与结构框架。 第二章介绍了信息安全风险评估概念、 标准、 方 法、 流程及意义, 将 信息安全风险评估引入电视中心安全播出风险评估。 第三章介绍了安全播出相关概念, 描述了当前 电视中心安全播出管理情况, 阐述了安全播出风险评估的意义 ,明确北京电视台安全风险评估的重要性。 3 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 第

24、四章进行北京电视台安全播出风险评估研究, 介绍了 北京电视台安全播出现状及面临的问题、 北京电 视台安全播出风险控制体系的现状 。 进行安全播出风险评估的准备工作, 包括确定安全播出风险评估目标、 评估范围、 评估组织体系、 评估的依据、评估的主要阶段。 然后通过多种方法, 完成资产、 威胁、 脆弱性、 当前安全措施的识别与评价 ,最终计算出北京电视台安全播出系统风险值。 第 五 章 根 据 评 估 出 的 风 险 情 况 , 对 北 京 电 视 台 安 全 播 出 提 出 风 险 控 制 需 求 与 目标,完成风险评估报告。 本章小结: 本章首先介绍了安全播出风险评 估的研究背景; 论述了北

25、京电视台安全播出风险评估的目的和意义; 进 一步 介绍了国内外风险评估的研究现状; 最后介绍了本文的结构及主要内容。 4 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文第2 章 信息安全 风 险 评估随着信息技术的 迅速发展, 信息系统在 各个部 门与 领域 得到广泛应用, 改变了人们的生产方式、 生活方式、 学习方式甚至思维方式, 整个社会对信息系统的依赖度越来越高, 人们渐渐意识 到社会信息化所蕴含的巨大风险, 信息系统的安全问题已成为关系经济稳定发展和国家安全的社会问题,而 对信息系统进行有效的风险评估 是解决信息系统安全问题的关键所在。 2.1 基本概念 关于信息安全风险评

26、估的主 要概念解释如下: 风险 风险是指在某一特定环境下, 某一特定时间段内, 某种损失发生的可能性。 风险是由风险因素、 风险事故和风险损失组成。 风险的特点是客观性、 不确定性、 偶然性、损害性、 相对性。 风 险管 理 风险管理是指对 组织面临的风险进行风险识别、 风险 评估、 风险控制以减少风险负面影响的决策及行动过程。 通过 风险 管理, 可对风险进行度量和控制, 将风险降低到一个可接受的水平。 信 息安 全风险 信息安全风险是由于资产的重要性, 人或自然的威胁利用信息系统及管理体系的脆弱性,导致安全事件一旦发生所造成的影响。 信 息安 全风险 评估 信息安全风险评估是 从风险管理的

27、角度, 依据 有关信息安全技术与管理标准, 对信息系统及由其处理、 传输和存储的信息的机密性、 完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性,并结 合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的危害程度 ,提出有针对性的防护对策和整改措施, 以防范 和化解信息安全风险, 或者将风险控制在可接受的水平,从而最大限度地保障信息系统安全。 2.2 信息安全 风险评估的目的 与意义 信息安全风险评估可以清楚的了解信息安全环境和 系统 信息安全状况, 在信息 系统 建 设 中 采 取 或 完 善 更 加 有 效 的 安 全 保 障 措

28、 施 , 保 证 信 息 安 全 策 略 的 一 致 性 和 持 续5 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 性, 促进信息安全保障体系的建设, 全面提高信息安全保障能力, 其意义具体体现在以下几个方面: 1 信息安全 风险评 估是科 学分析并 确定风 险的过 程,是风 险评估 理论和 方法在信息系统 中的运 用,是 依照科学 的方法 和标准 ,系统地 分析信 息系统 所存在的风险程度; 2 信息安全 风险评 估是信 息安全建 设的起 点和基 础,只有 正确地 、全面 地识别风险、分 析风险 ,才能 在预防风 险、控 制风险 、减少风 险、转 移风险 之间 做出正确的决策

29、; 3 信息安全风险评估是组织机构实现信息系统安全的重要步骤, 通过风险评估,可全面、 准确地 了解组 织机构的 安全现 状,发 现系统的 安全问 题及其 可能的危害,为 决策者 制定安 全策略、 构建安 全体系 、建立全 面的安 全防护 层次提供严谨的安全理论依据和完整、规范的指导模型; 4 信息安全 风险评 估是需 求主导和 突出重 点原则 的具体体 现。如 果说信 息安全建设必须 从实际 出发, 坚持需求 主导、 突出重 点,则风 险评估 就是这 一原则在实际工 作中的 重要体 现。从理 论上讲 风险总 是客观存 在的。 安全是 安全风险与安全建设管理代价的综合平衡。 2.3 信息安 全

30、风险评估的要素 及关系 2.3.1 信 息安 全风险 评估 要素 信息安全风险评估涉及资产、 威胁、 脆弱 性三个主要要素及其他相关要素, 清楚了解其含义并理清之间的关系有助于更好的理解信息安全风险评估。 1 资产:对组织有价值的资源,是需要保护的实体 。 2 资产价值 :资产 的重要 程度或敏 感程度 。资产 价值是资 产的属 性,也 是进行资产识别的主要内容。 3 威胁:可 能对资 产或组 织造成损 害的潜 在原因 。威胁可 以通过 威胁主 体、资源、动机、途径等多种属性来描述。 4 脆弱性:可能被威胁利用 而对 受保护的资产造成不期望结果 的薄弱环节。 5 残余风险:采取了安全措施,提高

31、了防护能力后,仍然可能存在的风险。 6 安全需求 :为保 证组织 机构的使 命正常 行使, 在安全保 障 措施 方面提 出的要求。 7 安全措施 :保护 资产、 抵御威胁 、减少 脆弱性 、降低安 全事件 的影响 而实施6 导 致利 用导 出采取北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 的各种实践、归程和机制的总称。 2.3.2 信 息安 全风险 评估 要素关系 业务战 略依赖资产增加导致导 致风险威胁脆弱性减少安全措 施防范威胁图 2.1 风 险评 估要 素关 系图 从图 2.1 中清晰的看出 风险评估各要素及其属性间具有 的几种主要关系: 1 组织的业 务战略 依赖资 产

32、 来实现 ,资产 有其自身价值, 组织的 业务战 略对资产的依赖度越高,资产价值就越大,进 而增加了组织 所面临的风险。 2 风险是由威胁引发的,资产面 临的威胁越多则风险越大。 3 资产的脆弱性暴露资产的价值,资产具有的脆弱性越多则风险越大。 4 威胁利用资产所暴露的脆弱性危害资产,导致 组织 风险。 5 风险的存 在导出 安全需 求 ,并 通 过安全 措施得 意满足, 需要结 合资产 价值考虑实施成本。 6 安全措施 的实施降低了风险,同时 也抵御了威胁。 7 安全措施并不能控制所有风险, 因此没有被控制的残余风险仍增加系统风险。 2.4 风险评 估实施流程 风险评估过程大致以下几个主要阶

33、段: 识别要评估的资产, 确定资产的威胁、 脆弱性 及当前安全措施,评价风险。信息安全风险评估完整过程如图 2.2 所示。 7 增加增加未控制暴露威胁脆弱性安全需 求安全措施资 产脆弱性安 全 措施残余风险北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 风险 评估准 备资 产识 别威胁识 别 脆弱性识别 已有 安全 措施识 别威 胁利 用脆 弱 性在 当前 安全措威胁 利 用 脆 弱 性产生 的影响施 下 发生 的可 能性评估 过程文 档风险计算评估 过程文 档是保持已有 安 全措施 风险 是否接 受否选择 适当安全措 施 并评估残余风险否风险 是否接 受评估 结果文 档是风险 评

34、估文 件记 录实施 风险管 理图 2.2 风 险评 估实 施流 程图 2.4.1 风 险评 估准备 风险评估的准备是整个风险评估过程 能够有效进行的保证。 组织实施风险评估是一种战略性的考虑, 其结果将受到组织业务战略、 业务流程、 安全需 求、 系统规模和结构等方面的影响。 因此, 在风险评估实施前, 应 进行充分的准备和计划, 具体包括: 1 确定风险 评估的 目标 。 在风险评 估准备 阶段应 该明确风 险评估 目标, 为信息安全风险 评估的 过程提 供导向。 根据满 足组织 业务持续 发展在 安全方 面的需要、法律 法规的 规定等 内容,识 别 现有 信息系 统及管理 上的不 足,以

35、及可能造成的风险大小。 2 确定风险 评估的 范围 。 风险评估 范围可 能是组 织全部的 信息 资产及与 信息处8 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 理相关的 各类资 产、管 理机构, 也可能 是某个 独立的信 息系统 、关键 业务流程、与客 户知识 产权相 关的系统 或部门 等 ,范 围的描述 最重要 的是对 于评估边界的确 定, 确 定了清 晰的评估 边界, 就提供 了进行评 估的必 要信息 ,如硬件、软件 、人员 、基础 设施等。 比较好 的方法 是按照物 理边界 和逻辑 边界来描述某次风险评估的范围。 3 组建适当 的评估 管理与 实施团队 。风险 评估实

36、施团队, 应该是 由管理 层、相关业务骨干、IT 技术人 员等组成 ,具体执行组织的信息安全风险评估。 4 进行系统 调研 。 系统调 研是确定 被评估 对象的 过程,风 险评估 小组应 进行充分的系统 调研, 为风险 评估依据 和方法 的选择 、评估内 容的实 施奠定 基础。系统调研 可以采 取问卷 调查、现 场面谈 相结合 的方式进 行。调 查问卷 是提供一套关于 管理或 操作控 制的问题 表格, 供系统 技术或管 理人员 填写; 现场面谈则是由 评估人 员到现 场观察并 收集系 统在物 理、环境 和操作 方面的 信息。调研内容 至少应 包括 业 务战略及 管理制 度、 主 要的业务 功能

37、和 要求、 网络结构与网络 环境、 系统边 界、主要 软硬件 、数据 和信息、 支持和 使用系 统的人员。 5 确定评估 依据和 方法。 根据上述 调研结 果,确 定评估依 据和评 估方法 。评估依据包括 现有的 国际或 国家标准 ,行业 主管机 关的业务 系统的 要求和 制度、系统互联单位的安全要求、 系统本身的实时性或性能要求等。 根据评估依据,综合考虑 评估目 的、范 围、时间 、效果 、人员 素质等因 素来选 择具体 的风险计算方法。 6 获得高层 管理者 对风险 评估工作 的支持 。信息 安全风险 评估需 要相关 财力和人力的支 持,管 理者必 须明确表 明对评 估工作 的支持, 对

38、信息 安全风 险评估团队赋予足够的权利,调配资源,才能保障风险评估工作顺利进行。 2.4.2 识 别并 评估资产 在信息安全风险评估的过程中, 应清晰地识 别 风险评估范围内 所有的资产。 资产是风险的第一评估要素, 其他要素都是以资产 为前提的, 资产评估的准确性对于后续的各风险要素及其综合评价的导向至关重要, 资产评估的偏差会导致关键资产的误选或遗漏,进而导致风险评估的方向性和片面性错误。 1. 资产分类 在一个组织中, 资产有 多种表现形式; 同样的两个资产也因属于不同的信息系统而重要性不同, 而且对 于提供多种业务的组织, 其支持业务持续运行的系统数量可能9 北京理 工大 学工 商管

39、理硕 士(MBA ) 学位 论文 更多。 这时首先需要将 信息系统及相关的资产进行恰当的分类, 以此为基础进行下一步的风险评估。 在实际 工作中, 具体的资产分 类方法可以根据具 体的评估对象和要求,由评估者灵活把握。根据资产的表现形式,可将资产分为数据、软件、硬件、文档、服务、人员等类型。 2. 资产赋值 通过资产分类识别后得到信息资产清单, 组织 应该对每项资产进行 赋值。 对资产的赋值不仅要考虑资产的经济价值, 更重要的是要考虑资产的安全状况对于系统或组织的重要性。 重要性 可 由安全属性缺失时造成的影响来表示, 这种影响可能造成 某些资产 的损害以至危及信息系统, 还可能 导致经济效益

40、、市场份额 、组织形象的损失。为 确 保 资 产 赋 值 时 的 一 致 性 和 准 确 性 , 组 织 应 建 立 资 产 价 值 的 评 价 尺 度 指 导 资 产 赋值。 资 产 赋 值 的 过 程 也 就 是 对 资产 在 机 密 性 、 完 整 性 和 可 用 性 上 的 达 成 程 度 进 行 分析, 并在此基础上得出综合结果 的过程。 综合评定法可以根据自身的特点, 选择对资产 机 密 性 、 完 整 性 和 可 用 性 最 为 重 要 的 一 个 属 性 的 赋 值 等 级 作 为 资 产 的 最 终 赋 值 结果; 也可以根据资产机 密性、 完整性和可用性的不同等级对其赋值进

41、行加权计算得到资产的最终赋值结果。 加权方法可根据组织的业务特点确定。 最终赋值结果根据组织的实际情况将资产划为若干等级, 级别越高表 示资产越重要, 评估者可根据资产赋值的结果,确 定重要 资产 的范围,并 主要围 绕重 要资产进行 下一步 的风 险评估。表 2.1为资产等级划分表明 了不同等级的重要性的综合描述。 表 2.1 资 产等 级及 含义 描述 等级 标识 描述 5 很高 非常重 要, 其安 全属 性破 坏后可 能对 组织 造成 非常 严重的 损失 。 4 高 重要, 其安 全属 性破 坏后 可能对 组织 造成 比较 严重 的损失 。 3 中 比较重 要, 其安 全属 性破 坏后可

42、 能对 组织 造成 中等 程度的 损失 。 2 低 不太重 要, 其安 全属 性破 坏后可 能对 组织 造成 较低 的损失 。 1 很低 不重要 ,其 安全 属性 破坏 后对组 织造 成导 很小 的损 失,甚 至忽 略 不 计 。 2.4.3 识 别并 评估威胁 识别并评价资产后, 组织应该识别每项资产可能面临的威胁 。 识别威胁时, 应该10 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 根据资产目前所处环境条件和以前的记录情况来判断。一项资产可能面临多个威胁,一个威胁也可能对不同的资产造成影响。 1. 威胁分类 威胁可以通过威胁主体、 资源、 动机、 途径等 多种属性来描述。

43、 造成威胁的因素可分为人为因素和环境因素。 根据威胁的动机 , 人为因素又可分为恶 意和非恶意两种。环境因素包括自然界不可抗的因素和其它物理因素。 表 2.2 提供了基于来源的威胁分类方法。 表2.2 威胁 来源 列表 来源 描述 由于断 电、 静电 、 灰 尘 、 潮湿 、 温度 、 鼠 蚁虫 害、 电磁干 扰 、 洪灾 、环境因 素 火灾 、 地 震等 环境 条件 或 自然灾 害 , 意 外事 故或 软 件、 硬件 、 数 据、 通讯线路 方面 的故 障 。不满的 或有 预谋 的内 部人 员对信 息系 统进 行恶 意破 坏; 采用 自主 或内外勾 结的 方式 盗窃 机密 信息或 进行 篡改

44、 ,获 取利 益。恶意人 员 外部人 员利 用信 息系 统的 脆弱性 , 对 网络 或系 统的 机密性 、 完 整性和可用 性进 行破 坏, 以获 取利益 或炫 耀能 力。 人为因内部人 员 由 于缺 乏责 任心 , 或者 由于 不关 心和 不专 注 , 或 者没 有遵素 非恶意 人员 循 规 章 制 度 和 操 作 流 程 而 导 致 故 障 或 信 息 损 坏 ; 内 部 人 员 由 于 缺 乏 培训、 专 业技 能不 足 、 不 具备 岗位技 能要 求而 导致 信息 系统 故 障或 被攻 击 。2. 威胁赋值 在依照选定的威胁分类方法识别出资产面临的 威胁之后, 需要对其赋 值, 威胁出

45、现的频率是衡量威胁严重程度的重要因素。 评估者应根据经验和 (或) 有关的统计数据来 进行判断。 在评估中, 需要综合考虑以下三个方面, 以形成在某种评估环境中各种威胁出现的频率: 1 以往安全事件报告中出现过的威胁及其频率的统计; 2 实际环境中通过检测工具以及各种日志发现的威胁及其频率的统计; 3 近一两年来国际组织发布的对于整个社会或特定行业的威胁及其频率统计, 以及发布的威胁预警。 可以对威胁出现的频率进行等级化处理, 不同等级分别代表威胁出现的频率的高11 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 低。 等级数值越大, 威 胁出现的频率越高。 表 2.3 提供了一种

46、对威胁进行赋值的方法。 表 2.3 威 胁赋 值表 等级 标识 定义 出现的 频率 很高 ( 或 1 次/周) ; 或在 大多 数情 况 下几乎 不可 避免 ; 或可5 很高 以证实 经常 发生 过。 出现的频率较高( 或 1 次/月) ; 或在大多数情 况 下很有可能会发生 ;4 高 或可以 证实 多次 发生 过。 出现的 频率 中等 (或 1 次/半 年) ; 或在 某种 情况 下可能 会发 生; 或被 证3 中 实曾经 发生 过。 2 低 出现的 频率 较 小 ;或 一般 不太可 能发 生; 或没 有被 证实发 生过 。 1 很低 威胁几 乎不 可能 发生 ,仅 可能在 非常 罕见 和例

47、 外的 情况下 发生 。2.4.4 识 别并 评估脆 弱性 脆弱性是资产本身存在的, 如果没有被相应的 威胁利用, 单纯的脆弱性本身不会对资产造成损害。 而且 如果 系统足够强健, 严重的威胁也不会导致安全事件发生并造成损失, 即 威胁总是要 利用资产的脆弱性才可能造成危害。 组织应对每一项需要保护的信息资产找出可被威胁利用的脆弱性。 资产的脆 弱性具有 隐蔽 性,有些 脆弱性只 有在 一定条件 和环境下 才能 显现,这是脆弱性识别中最为困难的部分。 脆弱性识别的 依据可以 是国际或国家安全标准, 也可以是行业规范、 应用流程的安全要求。 对应用在不同环境中的相同的弱点, 其脆弱性严重程度是不

48、同的, 评 估者应从组织安全策略的角度考虑、 判断资产的脆弱性及其严重程度。 信息系统所采用的协议、 应用流程的完备与否、 与其他网络的互联等也应考虑在内。 1. 脆弱性分类 脆弱性识 别主要从 技术 和管理两 个方面进 行, 技术脆弱 性涉及物 理层 、网络层、系统层、 应用层等各个 层面的安全问题。 管理脆弱性又可分为技术管理脆弱性和组织管理脆弱性两方面, 前者与具体技术活动相关, 后者与管理环境相关。 脆弱性 识别时的数据应来自于资产的 所有者、 使用者 , 以及 相关业务领域 和软硬件方面的专业人员12 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 等。 对不同的识别对象

49、 , 其脆弱性识别的具体 要求应参照相应的技术或管理标准实施。例如, 对物理环境的脆弱性识别可以参照 GB/T 9361-2000 计算 机场地安全要求中的技 术指 标实施 ;对 操作系 统、 数据库 可以 参照GB 17859-1999 计算 机信 息系统安全保护等级划分准则 中的技术指标实施。 管理脆弱性 识别方面可以参照 GB/T 19716-2005 信息技术 信息安全管理实用规则 的要求对安全管理制 度及其执行情况进行检查,发现管理漏洞和不足。 表 2.4 提供了一种脆弱性识别内容的参考。 表 2.4 脆 弱性 识别 内容 表 类型 识别对象 识别内容 从机房 场地 、 机 房防 火

50、、 机房供 配电 、 机 房防 静电 、 机房 接地物理环 境 与防雷 、 电 磁防 护、 通 信 线路的 保护 、 机 房区 域防 护、 机 房设备管理 等方 面进 行识 别。 从网络 结构 设计 、 边界 保 护、 外部 访问 控制 策略 、 内部访 问控网络结 构 制策略 、网 络设 备安 全配 置等方 面进 行识 别。 从补丁 安装 、 物理 保护 、 用户账 号 、 口 令策 略、 资 源共享 、 事系统软 件 (含 操作件 审 计 、 访 问 控制 、 新 系统 配 置 ( 初 始 化) 、 注 册 表加 固 、 网技术脆 弱性 系统及 系统 服务 ) 络安全 、系 统管 理等 方

51、 面 进行识 别。 从补丁 安装 、 鉴 别机 制、 口令机 制、 访问 控制、 网 络和服 务设数据库 软件 置、备 份恢 复机 制、 审计 机制等 方面 进行 识别 。 应用中 间件 从协议 安全 、交 易完 整性 、数据 完整 性等 方面 进行 识别。 从审计 机制 、审 计存 储、 访问控 制策 略、 数据 完整 性、通 信 、应用系 统 鉴别机 制、 密码 保护 等方 面进行 识别 。 从物理 和环 境安 全 、 通 信 与操作 管理 、 访问 控制 、 系统开 发与技术管 理 维护、 业务 连续 性等 方面 进行识 别。 管理脆 弱性 从安全 策略 、 组 织安 全、 资产分 类与

52、 控制 、 人 员安 全、 符 合性组织管 理 等方面 进行 识别 。2. 脆弱性赋值 13 北京理 工大 学工 商管 理硕 士(MBA ) 学位 论文 可以根据对资产的损害程度、 技术实现的难易程度、 弱点的流行程度, 采用等级方式对已识别的脆弱性的严重程度进行赋值 , 不同的等级分别代表资产脆弱性严重程度的高低。 等级数值越大, 脆弱性严重程度越高。 对某个资产, 其技 术脆弱性的严重程度还受到组织管理脆弱性的影响。 因此, 资产的脆弱性赋值还应参考技术管理和组织管理脆弱性的严重程度。 表 2.5 提供了脆弱性严重程度的一种赋值方法。 表2.5 脆 弱性 严重 程度 赋值表 等级 标识 定义 5 很高 如果被 威胁 利用 ,将 对资 产造成 完全 损害 。 4 高 如果被 威胁 利用 ,将 对资 产造成 重大 损