信息安全風險評估在電力設計的作用

導語：信息安全風險評估在電力設計的作用一文來源于網友上傳，不代表本站觀點，若需要原創文章可咨詢客服老師，歡迎參考。

1.概述

隨著企業信息化的深入，信息安全問題日益嚴峻，雖然入侵檢測、防火墻、殺毒軟件等安全技術手段能不同程度起到防御作用，但信息安全事件時有發生。為保證信息安全，盡可能消除安全隱患，就要定期的開展信息安全風險評估工作，通過分析評估網絡與信息系統安全潛在威脅、薄弱環節、防護措施等，根據評估結果，采取適當安全措施，達到安全建設和管理的目的。本文介紹了一種適合電力設計企業的信息安全風險評估的方法，該方法參照國內外一些信息安全標準，如ISO15408、ISO27001等，結合電力設計企業信息系統及應用的實際情況，制定了一套風險評估的方法和流程，為電力設計企業的信息安全評估工作提供參考。

2.電力設計企業信息化特點

電力設計企業的信息化是以設計工作流程為核心，通過對圖檔信息統計分析的自動化、設計工作流程的標準化，采用高效的協同設計管理思想，實現電子設、校、審，對設計輸入、校對過程、成圖、設計變更、資料互提、版本控制、項目圖檔、進行標準化管理。因此，對電力設計企業最重要的就是保證設計流程的順暢和資料完整，相對應的系統有生產設計流程系統，企業檔案系統、數據備份系統等。

3.安全評估相關標準

對于電力設計企業的信息安全要求，必須站在全球信息化的背景下，以國際標準的角度去重新審視現狀和分析存在的差距，針對電力設計企業信息安全體系的具體內容，需要去選擇合適的標準，我們參考了ISO15408、ISO27001等信息安全的相關標準。ISO27001和ISO15408所涉及范圍都是信息安全領域；ISO27001側重安全管理方面的要求,即對IT系統中非技術內容的檢查。這些內容與人員、流程、物理安全以及一般意義上的安全管理有關。ISO15408則側重于對系統和產品的技術指標，旨在支持設備中IT安全特征的技術性評估，它可以用于描述用戶對安全性的技術需求。ISO15408中雖然對信息安全管理方面提出了一定的要求，但這些管理要求是孤立、相對靜止、不成體系的。同樣，ISO27001也涉及極小部分的技術指標，但僅限于管理上必須的技術指標。電力設計信息安全體系是一個整體，沒有全盤的考慮，沒有高度的重視，任何一個環節出現明顯的短板都將功虧一簣。

4.評估對象和流程

評估的對象為電力設計企業的信息系統、主機、網絡、數據庫系統等。對電力設計企業的安全評估，包括四個大的方面：資產評估、威評估、脆弱性評估、現有安全措施評估，并在此基礎上進行風險計算和分析，從而提出安全處置方案和建議。具體的評估流程如圖1。

4.1資料準備和啟動會

在該階段，評估方必須事先對企業提供的資料進行研究分析，通常有領導會議報告、ISO9000文件，業務流程文檔等。這些資料對了解企業的戰略意圖和業務流程具有非常重要的作用，可以在安全評估初期通過研讀這些材料了解企業的業務重點，對后續的資產評估和風險分析具有事半功倍的效果。除此之外，由評估方和被評估方共同召開啟動會，確定評估目標和范圍，制定評估計劃。主要工作內容如下：1啟動會需要有被評估方高層領導人出席并動員本單位人員做好配合工作。2明確被評估方各部門需要準備的相關資料：如部門業務流程圖、部門工作計劃、資產清單、網絡拓撲圖、信息系統和安全防護措施等。3被評估方項目負責人和各部門協調人確認。4雙方共同確認評估目標和范圍。

4.2資產評估

資產評估是對信息資產分類、標記、賦值的過程。資產評估主要包括兩個過程：資產識別和資產賦值。

4.2.1資產識別

在確定評估抽樣范圍后，需要對抽樣資產進行識別。資產識別是為了了解資產狀況、確定資產價值而進行的風險管理的準備工作。主要針對對象為：網絡設備、應用系統服務器、機房基礎設施(包括物理環境，備份等、系統軟件與應用軟件。由被評估方填寫主機資產統計表、網絡設備統計表、應用系統統計表。評估人員抽樣選取一定數量的資產信息填入到資產匯總表格中。信息包括：參考號、資產、說明、類型、所有者、位置等。

4.2.2資產賦值

資產賦值需要有評估雙方共同確定，根據資產的重要程度，同時參考資產的機密性、完整性、可用性三個安全屬性，對資產進行賦值，分為1-5等級，等級越大，資產越重要。表1是三性賦值中機密性賦值標準。資產的賦值可以根據電力設計企業的應用特點，比如：與設計流程相關的系統，其可用性的取值要高些；與數據資源相關的應用系統和備份系統，其機密性、完整性、可用性的賦值也會高些。企業信息系統的業務特點決定了業務系統的重要性程度。資產最終價值的等級評估是依據資產保密性、完整性、可用性的賦值級別，經過綜合評定得出的。因為不同組織對于安全三性的要求和重視程度有所不同，所以評定的標準也不盡相，最后加權得到資產的等級和賦值。資產賦值的計算公式：。公式中：C、I、A分別為某個資產的三性賦值，wC、wI、wA分別為CIA三性的權重，可根據實際情況進行選取。賦值后的資產清單列表如圖2。

4.3威脅評估

評估確定威脅發生的可能性是威脅評估階段的重要工作，評估者應根據經驗和（或）有關的統計數據來判斷威脅發生的頻率或者發生的概率。還需要參考下面三方面的資料和信息來源，綜合考慮，形成在特定評估環境中各種威脅發生的可能性。1通過過去的安全事件報告或記錄，統計各種發生過的威脅和其發生頻率；2在評估體實際環境中，通過IDS、防火墻等系統獲取的威脅發生數據的統計和分析，各種日志中威脅發生的數據的統計和分析；3過去一年或兩年來國際機構的對于整個社會或特定行業安全威脅發生頻率的統計數據均值。威脅的評估就是綜合了威脅來源和種類后得到的威脅列表，并對列表中的威脅發生可能性的評估。最終威脅的賦值采用定性的相對等級的方式。威脅的等級劃分為五級，從1到5分別代表五個級別的威脅發生可能性。等級數值越大，威脅發生的可能性越大。威脅評估計算流程見下圖：

4.4脆弱性評估

脆弱性評估針對需要保護的信息資產，造成可能被威脅利用的弱點，并對脆弱性的嚴重程度進行評估。脆弱性評估的方法有問卷調查、工具檢測、人工審計、文檔查閱等。主機安全性評估是對業務系統范圍內的主機進行安全漏洞的發現的過程，包括如下的內容：1工具檢測是采用漏洞掃描工具對系統技術漏洞的發現過程，在漏洞掃描的過程中可能會對業務系統的運行產生影響，因此需要得到操作許可，并準備應急預案以避免由風險評估產生的風險。2主機人工審計根據評估單位的實際情況，對當前的服務端系統進行抽樣審計，審計的內容包括：密碼策略，安全策略，用戶組策略，資源使用情況，注冊表情況等，為主機的脆弱性計算提供準確依據。3安全管理制度文檔分析主要結合問卷反饋與人員訪談進行文檔分析，文檔分析主要是對信息系統管理中已制定和采用的安全管理制度文檔以及制度的執行情況進行分析，通過分析發現現有制度中的缺陷。4脆弱性賦值脆弱性評估將針對每一項需要保護的信息資產，找出每一種威脅可能利用的脆弱性，并對脆弱性的嚴重程度進行評估。脆弱性的等級劃分為五級，從1到5分別代表五個級別的某種資產脆弱程度。等級越大，脆弱程度越高。具體每一級別的脆弱性脆弱程度定義參見下表2。

4.5風險分析

再完成資產識別、威脅識別、脆弱性識別，以及對已有安全措施確認后，將采用適當的方法與工具確定威脅利用脆弱性導致安全事件發生的可能性，考慮安全事件一旦發生其所作用的資產的重要性及脆弱性的嚴重程度判斷安全事件造成的損失對組織的影響，即安全風險。安全風險的計算方法：R=H*V*T。公式中：R表示風險；H表示資產價值；V表示脆弱性；T表示威脅。風險等級建議從1到5劃分為五級。等級越大，風險越高。評估者也可以根據被評估系統的實際情況自定義風險的等級。4.6安全建議與加固安全建議與加固應包括以下幾個方面：1對網絡體系結構、主機、操作系統、信息系統、備份、安全措施等方面存在的薄弱環節，可采取的改進方案的的建議。2對企業加固措施的實施順序、實施過程、實施影響進行詳細的闡述，通常加固措施可由評估方進行實施，如遇到復雜的可申請設備或者系統廠商進行。3對安全建議和加固實施的風險進行詳細的評估和分析，針對不同的風險，配合被評估方做好詳細的應急預案。4.7安全評估注意事項信息安全評估的過程中，必須注意一下事項：1評估人員通常會接觸到一些企業內部信息和資料，所以，在評估之前，雙方必須簽訂保密協議。2做好數據備份工作，在評估的過程中，為防止誤操作引起的數據丟失，在評估前需要對系統做好充分的備份。3嚴格控制工具的使用，有些安全評估工具存在很大的攻擊性，對被評估方造成不可預知的危險，通常要嚴格控制這類工具的使用。4對評估涉及的信息系統制定相應的應急預案。

5.結束語

信息安全風險評估是信息安全保障體系建立過程中的重要的評價方法和決策機制，是信息系統風險管理的重要環節。通過風險評估來確定信息系統的安全現狀，提取信息系統安全需求，并在此基礎上對信息安全保障體系建設進行有序的規劃，是電力設計企業在信息安全工作中避免防護不當，提高防護效果和效益的主要手段。

本文作者:葉文輝工作單位:福建省電力勘測設計院