信息安全风险评估服务

信息安全风险评估服务（10篇）

1.信息安全风险评估服务 篇一

服务器安全评估标准

国外标准

国外对于计算机安全问题的评估标准较多，比较著名的是1983年美国国防部提出的《可信计算机评估标准》TCSEC（Trusted Computer System Evaluation Criteria），又称桔皮书。TCSEC根据以下几个方面进行安全性评估：

（1）安全策略：必须有一个明确的、确定的由系统实施的安全策略；

（2）识别：必须惟一而可靠地识别每个主体，以便检查主体/客体的访问请求；

（3）标记：必须给每个客体（目标）作一个“标号”，指明该客体的安全级别。这种结合必须做到对该目标进行访问请求时都能得到该标号以便进行对比；

（4）可检查性：系统对影响安全的活动必须维持完全而安全的记录。这些活动包括系统新用户的引入、主体或客体的安全级别的分配和变化以及拒绝访问的企图；

（5）保障措施：系统必须含实施安全性的机制并能评价其有效性；

（6）连续的保护：实现安全性的机制必须受到保护以防止未经批准的改变。

根据以上六条要求，“可信计算机系统评估准则”将计算机系统的可信程度（安全等级）划分成四大类（D、C、B、A），七个小类（D、C1、C2、B1、B2、B3、A）。具体标准内容如表2.3所示。表2.3 安全评估标准

类 别 名 称 主 要 特 征

A1 可验证的安全设计 形式化的最高级描述和验证，形式化的隐秘通道分析，非形式化的代码一致性证明

B3 安全域机制 安全内核，高抗渗透能力

B2 结构化安全保护 设计系统必须有一个合理的总体设计方案，面向安全的体系结构，遵循最小授权原则，较好的抗渗透能力，访问控制应对所有的主体和客体进行保护，对系统进行隐蔽通道分析

B1 标号安全控制 除了C2级的安全需求外，增加安全策略模型，数据标号（安全和属性），托管访问控制

C2 受控的访问控制 存取控制以用户为单位，广泛的审计。如Unix、Windows NT等

C1 选择的安全保护 有选择的存取控制，用户与数据分离，数据的保护以用户组为单位

D 最小保护 保护措施很少，没有安全功能。如DOS、Windows等

（1）D级。D级是最低的安全保护等级。这个级别的操作系统就像一个门户大开的房子，任何人可以自由进出，是完全不可信的。对于硬件来说，是没有任何保护措施，操作系统容易受到损害，没有系统访问限制和数据访问限制，任何人不需任何账户就可以进入系统，不受任何限制就可以访问他人的数据文件。属于D级的操作系统有：DOS、Windows 3.x、Apple的Macintosh System7.1。

（2）C级。C级有两个安全子级别：C1和C2。

① C1级。又称选择性安全保护系统，这在Unix系统中比较典型。这种级别的系统对硬件有某种程度的保护，即每个用户都有账号和口令，系统通过账号和口令来识别用户是否合法，并决定用户对程序和信息拥有什么样的访问权。但硬件受到损害的可能性仍然存在。

C1级支持对文件进行权限设置，如读（read）、写（write）、执行（execute）等权限。文件的拥有者和超级用户（root）可以改动文件中的访问属性，从而对不同的用户给予不同的访问权，例如，让文件拥有者有读、写和执行的权力，给同组用户读和执行的权力，而给其他用户以读权限。另外，许多日常的管理工作由根用户（root）来完成，如创建新的组和新的用户。根用户（root）拥有很大的权力，如同Windows NT中的Administrator用户。所以它的口令一定要保存好，不要

多人共享。

C1级保护的不足之处在于根用户（root）的设置。如果某个用户以根用户进入系统，他就可以将系统中的数据任意移走，可以控制系统配置，获取比系统管理员允许的更高权限，如改变和控制用户名。因此，从某种意义上来讲，在拥有C1级的操作系统中，硬件受到损害的可能性仍然存在。

② C2级。除了C1包含的特征外，C2级别还包含有访问控制环境。该环境具有进一步限制用户执行某些命令或访问某些文件的权限，而且还加入了身份验证级别。另外，系统对发生的事件加以审计，并写入日志当中，如何时开机，哪个用户在什么时候从哪儿登录等等，这样通过查看日志，就可以发现入侵的痕迹，如多次登录失败，也可以大致推测出可能有人想强行闯入系统。审计可以记录下系统管理员执行的活动，审计还加有身份验证，这样就可以知道谁在执行这些命令。审计的缺点在于它需要额外的处理器时间和磁盘资源。

使用附加身份认证就可以让一个C2系统用户在不是根用户的情况下有权执行系统管理任务。授权分级使系统管理员能够给用户分组，授予他们访问某些程序的权限或访问分级目录。另一方面，用户权限可以以个人为单位授权用户对某一程序所在目录进行访问。如果其他程序和数据也在同一目录下，那么用户也将自动得到访问这些信息的权限。

能够达到C2级的常见操作系统有：Unix系统、XENIX、Novell3.x或更高版本、Windows NT。

（3）B级。B级中有三个子级别：B1级、B2级和B3级。

① B1级。即标志安全保护。它是支持多级安全（比如秘密和绝密）的第一个级别，这个级别说明一个处于强制性访问控制之下的对象，系统不允许文件的拥有者改变其许可权限。

一般而言，政府机构和防御系统承包商们是B1级计算机系统的主要拥有者。

② B2级。又称结构保护，要求计算机系统中所有的对象都加标签，而且给设备（磁盘，磁带和终端）分配单个或多个安全级别。这是较高安全级别的对象与另一个较低安全级别的对象相互通信的第一个级别。

③ B3级。又称安全区域保护。它使用安装硬件的方式来加强安全区域保护。例如，内存管理硬件用于保护安全区域免遭无授权访问或其他安全区域对象的修改。该级别要求用户通过一条可信任途径连接到系统上。

（4）A级。又称验证设计，这是当前的最高级别，包括了严格的设计，控制和验证过程。与前面提到的各级别一样，这一级别包含了较低级别的所有特性。设计必须是从数学角度上经过验证的，而且必须进行秘密通道和可信任分布的分析。这里，可信任分布的含义是，硬件和软件在物理传输过程中已经受到保护，以防止破坏安全系统。

在上述七个级别中，B1级和B2级的级差最大，因为只有B2、B3和A级，才是真正的安全等级，它们至少经得起程度不同的严格测试和攻击。目前，我国普遍应用的计算机，其操作系统大都是引进国外的属于C1级和C2级产品。因此，开发我国自己的高级别的安全操作系统和数据库的任务迫在眉睫，当然其开发工作也是十分艰巨的。

计算机操作系统的评价准则的建立不仅对于评价、监察已经运行的计算机系统的安全具有指导意义，而且对于研究、设计、制造和使用计算机系统，确保其安全性具有十分重要的意义。

国内标准

公安部主持制定、国家技术标准局发布的中华人民共和国国家标准GB17895-1999《计算机信息系统安全保护等级划分准则》已经正式颁布，并于2001年1月1日起实施。该准则将信息系统安全分为5个等级：

l 自主保护级

l 系统审计保护级

l 安全标记保护级

l 结构化保护级

l 访问验证保护级

主要的安全考核指标有身份认证、自主访问控制、数据完整性、审计、隐蔽信道分析、客体重用、强制访问控制、安全标记、可信路径和可信恢复等，这些指标涵盖了不同级别的安全要求。

另外还有《信息处理系统开放系统互联基本参考模型第2部分安全体系结构》（GB/T 9387.2 1995）、《信息处理数据加密实体鉴别机制第I部分：一般模型》（GB 15834.1-1995）、《信息技术设备的安全》（GB 4943-1995）等

2.信息安全风险评估服务 篇二

信息安全保障本质上是风险管理的工作,信息安全风险和事件不可能完全避免,关键在于如何控制、化解和规避风险。信息安全保障是高技术的对抗,有别于传统安全,呈现扩散速度快、难控制等特点,必须采取符合信息安全规律的科学方法和手段来保障信息安全。信息安全风险评估,是从风险管理角度,运用科学的方法和手段,系统地分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件一旦发生可能造成的危害程度,提出有针对性的抵御威胁的防护对策和整改措施。防范和化解信息安全风险,或者将风险控制在可接受的水平,从而为最大限度地保障网络和信息安全提供科学依据。

因此,我们必须重视信息安全风险评估工作。对于信息安全风险评估工作,可以从以下几个方面加以认识和理解。

2. 开展信息安全风险评估的必要性

2.1 信息安全风险评估工作已成为我国推进信息安全保障体系建设的一项重要基础性工作

中办发[2003]27号文件明确提出“要重视信息安全风险评估工作,对网络与信息系统安全的潜在威胁、薄弱环节、防护措施等进行分析评估”。国家信息化领导小组关于印发《国家电子政务总体框架》(国信[2006]2号)提出了要求统筹建设信息安全基础设施,并明确提出要把信息安全基础设施建设与完善信息安全保障体系结合起来,搞好风险评估,推动不同信息安全域的安全互联。《关于开展信息安全风险评估工作的意见》(国信办[2006]5号)对此提出了的具体实施要求,明确了应当其贯穿信息系统全生命周期。在信息系统规划设计阶段,通过信息安全风险评估工作,可以明确信息系统的安全需求及其安全目标,有针对性地制定和部署安全措施,从而避免产生欠保护或过保护的情况。在信息系统建设完成验收时,通过风险评估工作可以检验信息系统是否实现了所设计的安全功能,是否满足了信息系统的安全需求并达到预期的安全目标。在信息系统的运行阶段,应当定期进行信息安全风险评估,以检验安全措施的有效性以及对安全环境的适应性。当安全形势发生重大变化或信息系统使命有重大变更时,应及时进行信息安全风险评估。

2.2 信息安全风险大量存在

各类计算机犯罪及“黑客”攻击网络事件屡有发生,手段也越来越高技术化,各单位被黑客攻击的现象时有发生;病毒、木马肆虐,大量的网络和信息系统中存在一定的木马、病毒;通讯与信息网络上失密、泄密及窃密事件时有发生。网络和信息系统存在的风险漏洞,给一些黑客和不法分子以可乘之机。这些威胁如果不加以消除,将会继续严重影响系统的正常运行。

在信息化建设中,建设与运营的网络与信息系统可能存在的系统设计缺陷、隐含于软硬件设备的缺陷、系统集成时带来的缺陷,以及可能存在的某些管理薄弱环节,尤其当网络与信息系统中拥有极为重要的信息资产时,都将使得面临复杂环境的网络与信息系统潜在着若干不同程度的安全风险。这些风险系统的安全运行带来安全隐患。对正在运行的网络和信息系统,由于缺少对已有信息系统定期进行风险评估,不清楚系统存在那些风险隐患,同样存在大量安全威胁。

2.3 普遍对信息安全的重要性认识不足

信息安全由于其专业性,目前信息安全管理人员在数量和技能的缺乏等给全网的安全管理带来了很大的难度。企业、政府机关等组织的信息安全工作基本由其网络运维管理人员兼顾,信息安全专业技术人员和管理人员严重不足,一些员工自身对信息安全工作的重要性认识不足,认为计算机信息安全是安全管理员的工作,与己无关,各单位的各项安全防范措施基本集中在中心服务器端,个人桌面电脑则因数量多、范围广等原因,系统管理员难以全面管理,且由于使用者大多不是专业人员,存在许多安全隐患和漏洞,信息安全防范水平亟待加强。

3. 风险评估时机选择

在信息系统的生存周期里,有许多种情况必须对信息系统所涉及的人员、技术环境、物理环境进行风险评估:

(1)在设计规划或升级至新的信息系统时;

(2)给目前的信息系统增加新应用时;

(3)在与其它组织(部门)进行网络互联时;

(4)在技术平台进行大规模更新(例如,从Linux系统移植到Solaris系统)时;

(5)在发生计算机安全事件之后,或怀疑可能会发生安全事件时;

(6)关心组织现有的信息安全措施是否充分或是否具有相应的安全效力时;

(7)在组织具有结构变动(例如,组织合并)时;

(8)在需要对信息系统的安全状况进行定期或不定期的评估、以查看是否满足组织持续运营需要时等。

4. 风险评估内容和过程

4.1 风险评估内容

从评估对象这个角度,评估内容要覆盖组织所有节点中的重要信息资产。它包括两个层面的内容:

技术层面:评估和分析在网络和主机上存在的安全技术风险,包括网络设备、主机系统、操作系统、数据库、应用系统等软硬件设备。

管理层面:从组织的人员、组织结构、管理制度、系统运行保障措施,以及其它运行管理规范等角度,分析业务运作和管理方面存在的安全缺陷。

评估内容具体又可分为如下几个方面:

(1)通过网络弱点检测,识别信息系统在技术层面存在的安全弱点。

(2)通过采集本地安全信息,获得目前操作系统安全、网络设备、各种安全管理、安全控制、人员、安全策略、应用系统、业务系统等方面的信息,并进行相应的分析。

(3)通过对组织的人员、制度等相关安全管理措施的分析,了解组织现有的信息安全管理状况。

(4)通过对以上各种安全风险的分析和汇总,形成组织安全风险评估报告。

(5)根据组织安全风险评估报告和安全现状,提出相应的安全建议,指导下一步的信息安全建设。

4.2 风险评估过程

风险评估过程划分为四个大的阶段:制定项目计划与培训、收集资料、风险分析、形成评估报告。图1表示了风险评估的过程和步骤。

其中,风险分析又可细分为如下六个步骤:

步骤一:资产识别与赋值

资产识别和赋值的目的就是要对组织的各类资产做潜在价值分析,了解其资产利用、维护和管理现状;明确各类资产具备的保护价值和需要的保护层次,从而使组织能够更合理地利用现有资产,更有效地进行资产管理,更有针对性地进行资产保护,最具策略性地进行新的资产投入。

风险评估范围内的所有资产必须予以确认,包括数据、服务、声誉、硬件和软件、通讯、程序界面、物理资产、支持设施、人员和访问控制措施等有形和无形资产。考虑到应用系统是组织业务信息化的体现,因此将应用系统定义为组织的关键资产。与应用系统有关的信息或服务、组件(包括与组件相关的软硬件)、人员、物理环境等都是组织关键资产——应用系统的子资产,从而使得子资产与应用系统之间更加具有关联性。

步骤二:弱点分析

弱点分析的目的是给出有可能被潜在威胁源利用的系统缺陷或弱点列表。所谓威胁源是指能够通过系统缺陷和弱点对系统安全策略造成危害的主体。弱点分析强调系统化地衡量这些弱点。弱点分析手段包括针对非技术弱点分析的手段和技术弱点分析的手段。非技术弱点分析主要采取调查表、人员访谈、现场勘查、文档查看等手段进行。技术弱点分析可以采取多种手段,主要包括:网络扫描、主机审计、渗透测试、系统分析。其中,需要注意渗透测试的风险较其它几种手段要大得多,在实际评估中需要斟酌使用。

步骤三:威胁分析

威胁分析主要指在明确组织关键资产、描述关键资产的安全需求的情况下,标识关键资产面临的威胁,并界定发生威胁的可能性及破坏系统或资产的潜力。通过鉴别与各业务系统有关的网络,分析各业务系统可能遭受的内部人员和/或外部人员的无意和/或故意威胁;通过鉴别与各业务系统有关的网络以及可能的威胁源,详细分析各业务系统可能通过网络途径可能遭受的威胁。

步骤四:已有控制措施分析

要产生一个总体可能性评价来说明一个潜在弱点在相关威胁环境下被攻击的可能性,就必须要考虑到当前已经实现或计划实现的安全控制。比如,如果威胁源的兴趣或能力级别很低、或如果有有效的安全控制可以消除或减轻危害后果,那么一个弱点(比如业务系统或流程中的薄弱环节)被攻击的可能性就低。

步骤五:可能性及影响分析

可能性分析是对威胁发生频率的估计,即威胁发生的或然率。可能性分析须观察影响风险发生可能性的环境。一般而言,威胁的可能性会随获授权用户人数的增加而提高。可能性是以发生的频率(例如每天一次、每月一次及每年一次)表达。威胁的可能性越高,风险也越高。

影响分析是估计可能发生的整体破坏或损失的程度。评估的影响包括收入、利润、成本、服务水平和政府声誉。此外还须考虑能够承受的风险水平,以及哪些资产会如何和何时受到这些风险影响。威胁的影响越严重,风险也越高。

步骤六:风险识别

风险评估的策略是首先选定某项业务系统(或者资产)、评估业务系统的资产价值、挖掘并评估业务系统/资产面临的威胁、挖掘并评估业务系统/资产存在的弱点、进而评估该业务系统/资产的风险,得出整个评估目标的风险。

风险级别根据风险的大小划分为不同的等级。具体可分为:极度风险、高风险、中等风险、低风险等。

确定风险程度后,便能够为已确认的各项业务系统/资产考虑技术、操作和管理上的解决方案清单。由于不可能完全杜绝风险,有关清单可成为接受、降低、避免或转移风险决策的依据。下表是可采取的风险处理措施。

5. 风险评估的原则

鉴于信息安全风险评估工作敏感性强,涉及系统的关键资产和核心信息,一旦处理不当,反而可能引入新的风险,因此在安全评估中必须遵循以下一些原则:

(1)标准性原则

评估方案的设计和具体实施都依据国内和国外的相关标准及理论模型进行。

(2)可控性原则

评估过程和所使用的工具具有可控性。可控性主要表现在评估项目所采用的网络漏洞扫描软件都是根据评估的具体要求和企业的具体网络特点定制的,具有完全的自主版权。

(3)整体性原则

分单个IP安全性和IP所在段安全威胁分析列出报表;确保涉及到主机和网络设备的各个层面;由单机和网络相结合分析得出风险值;避免由于遗漏造成未来安全隐患;根据主机风险值和网段风险级别得出综合安全风险值。同时,评估服务还应从组织的实际需求出发,从业务角度进行评估,而不是局限于网络、主机等单个的安全层面,涉及到安全管理和业务运营,保障整体性和全面性。

(4)最小影响原则

评估工作应做到充分的计划性,不对现有网络、系统的运行和业务的正常提供产生显著影响,尽可能小地影响系统和网络的正常运行。

(5)保密性原则

从评估方和被评估方、参与评估人员、评估过程三个方面进行保密控制。

评估方和被评估方双方签署保密协议,不得利用评估中的任何数据进行其他有损被评估方利益的用途;对参与评估的人员进行审核,评估方内部签订保密协议;在评估过程中对评估数据严格保密。

6. 结束语

风险评估是实施风险管理的重要环节,提高信息安全保障能力和水平建设的基本方法。经过多年的探索,有关方面已经在信息安全风险评估方面做了大量工作,积累了一些宝贵经验。今后,还应该更加重视信息化带来的新的信息安全风险。做好信息安全风险评估的各项工作。

摘要：计算机网络和信息系统存在大量的安全隐患,通过风险评估及早发现安全隐患并采取相应的加固方案成为信息安全保障建设必不可少的一部分。本文介绍了开展风险评估的必要性、时机的选择,以及风险评估的内容和开展风险评估应遵循的原则。

关键词：信息安全,安全保障,风险隐患,风险评估

参考文献

[1]范红,冯登国.信息安全风险评估方法与应用[M].北京:清华大学出版社,2007.

[2]张建军,孟亚平.信息安全风险评估探索与实践[M].北京:中国标准出版社,2005.

3.信息安全风险评估方法浅析 篇三

【关键词】信息系统；信息安全；风险评估；评估方法

【中图分类号】C931.6 【文献标识码】A 【文章编号】1672-5158（2012）09-0025-01

一、信息安全风险评估的评估实施流程

信息安全风险评估包括：资产评估、威胁评估、脆弱性评估、现有安全措施评估、风险计算和分析、风险决策和安全建议，在风险评估之后就是要进行安全整改。

网省公司信息系统风险评估的主要内容包括：资产评估、威胁评估、脆弱性评估和现有安全措施评估，一般采用全面风险评估的方法，以安全顾问访谈、管理问卷调查、安全文档分析等方式，并结合了漏洞扫描、人工安全检查等手段，对评估范围内的网络、主机以及相应的部门的安全状况进行了全面的评估，经过充分的分析后，得到了信息系统的安全现状。

二、信息安全风险评估实施方法

2.1 资产评估

网省公司资产识别主要针对提供特定业务服务能力的应用系统展开，通常一个应用系统都可划分为数据存储、业务处理、业务服务提供和客户端四个功能部分，这四个部分在信息系统的实例中都显现为独立的资产实体，例如：典型的协同办公系统可分为客户端、Web服务器、Domino服务器、DB2数据库服务器四部分资产实体。综合考虑资产的使命、资产本身的价值、资产对于应用系统的重要程度、业务系统对于资产的依赖程度、部署位置及其影响范围等因素评估信息资产价值。资产赋值是资产评估由定性化判断到定量化赋值的关键环节。

2.2 威胁评估

威胁评估是通过技术手段、统计数据和经验判断来确定信息系统面临的威胁的过程。在实施过程中，根据各单位业务系统的具体系统情况，结合系统以往发生的信息安全事件及对网络、系统管理员关于威胁发生可能性和发展趋势的调查，下面按照威胁的主体分别对这些威胁及其可能发生的各种情形进行简单描述：

2.3 脆弱性评估

脆弱性评估内容包括管理、运维和技术三方面的内容，具体实施可参照公司相应的技术或管理标准以及评估发起方的要求，根据评估选择的策略和评估目的的不同进行调整。下表是一套脆弱性识别对象的参考：

管理脆弱性：安全方针、信息安全组织机构、人员安全管理、信息安全制度文件管理、信息化建设中的安全管理、信息安全等级保护工作、信息安全评估管理、信息安全的宣传与培训、信息安全监督与考核工作、符合性管理。

运维脆弱性：信息系统运行管理、资产分类管理、配置与变更管理、业务连续性管理、物理环境安全、设备与介质安全。

技术脆弱性：网络系统、主机安全、通用系统安全、业务系统安全、现有安全措施。

管理、运维、技术三方面脆弱性是相互关联的，管理脆弱性可能会导致运维脆弱性和技术脆弱性的产生，运维脆弱性也可能导致技术脆弱性的产生。技术的脆弱性识别主要采用工具扫描和人工审计的方式进行，运维和管理的脆弱性主要通过访谈和调查问卷来发现。此外，对以往的安全事件的统计和分析也是确定脆弱性的主要方法。

三、现有安全措施评估

通过现有安全措施指评估安全措施的部署、使用和管理情况，确定这些措施所保护的资产范围，以及对系统面临风险的消除程度。

3.1 安全技术措施评估

通过对各单位安全设备、防病毒系统的部署、使用和管理情况，对特征库的更新方式、以及最近更新时间，设备自身资源使用率（CPU、MEM、DISK）、自身工作状况、以及曾经出现过的异常现象、告警策略、日志保存情况、系统中管理员的个数、管理员所使用的口令的强度、弱口令情况等信息进行脆弱性分析，并确定级别。

3.2 安全管理措施评估

访谈被评估单位是否成立了信息安全领导小组，并以文件的形式明确了信息安全领导小组成员和相关职责，是否结合实际提出符合自身发展的信息化建设策略，其中包括是否制定了信息安全工作的总体方针和安全策略，建立健全了各类安全管理制度，对日常管理操作建立了规范的操作规程；定期组织全员学习国家有关信息安全政策、法规等。

3.3 物理与环境安全

查看被访谈单位信息机房是否有完善的物理环境保障措施，是否有健全的漏水监测系统，灭火系统是否安全可用，有无温湿度监测及越限报警功能，是否配备精密空调严格调节控制机房内温度及湿度，保障机房设备的良好运行环境。

3.4 应急响应与恢复管理

为正确、有效和快速处理网络信息系统突发事件，最大限度地减少网络信息系统突发事件对单位生产、经营、管理造成的损失和对社会的不良影響，需查看被评估单位是否具备完善网络信息系统应急保证体系和应急响应机制，应对网络信息系统突发事件的组织指挥能力和应急处置能力，是否及时修订本单位的网络信息系统突发事件应急预案，并进行严格的评审、发布。

3.5 安全整改

被评估单位根据信息安全风险评估结果，对本单位存在的安全风险进行整改消除，从安全技术及安全管理两方面，落实信息安全风险控制及管理，确保信息系统安全稳定运行。

四、结语

公司近两年推行了“双网双机、分区分域、等级保护、分层防御”的安全防护策略和一系列安全措施，各单位结合风险评估实践情况，以技术促安全、以管理保安全，确保公司信息系统稳定运行，为公司发展提供有力信息支撑。

参考文献

[1]中国国家标准化管理委员会，信息安全技术一信息安全风险评估规范，2007年

4.安全风险监控咨询服务工作规范 篇四

一、适用范围

适用公司项目部所进行的城市轨道交通建设工程的安全风险监控咨询服务工作。

二、工作内容

对安全风险监控信息的收集、整合、分析、预测、预报和管理等工作。定期对施工现场进行风险巡查，并提交巡视报告。

协助业主对施工、监理、第三方监测单位、风险评估单位的安全风险技术和管理工作进行监督、检查和指导。

对施工的安全风险状况进行总体评价；进行风险评估和综合风险预警状态判定，提出综合预警级别，并及时进行预警快报。对综合预警状态的风险工程及时进行监督、监控、检查和事务处理；参与现场分析和专家论证。

提供风险控制的咨询意见，定期编制监控管理报告，并上报业主。协助业主做好安全风险消警申请的审核。

按时向业主提供施工、监理单位和各中心主要人员的考勤记录。

协助业主汇总和保存各项相关技术资料；按时向业主提交周、月报告和各工点的总报告；按业主要求将安全风险监控资料进行立卷、归档和移交。

依据勘察设计文件、风险评估报告、第三方监测方案和施工组织设计，在工点开工前按工点提交风险监控实施方案。风险监控实施方案应明确风险工程和风险监控单元，并给出每个风险监控单元活跃期，风险状态技术判定条件等信息。

风险监控实施方案应书面征求业主、风险评估单位、第三方监测单位、设计、施工及监理单位意见，并根据意见修改完善实施方案。

将风险监控方案报送业主审批，并按批准后的方案组织实施。

按合同要求和批准的方案开展风险巡查工作。风险巡查应遵循普查和重点巡查的原则。半个月内完成全线的普查工作，一周内完成重点巡查工作，并向业主提交风险巡查报告。

在施工准备期拟制监控设备安装方案，并交硬件建设单位实施。监督硬件建设单位的准备和实施情况。

开工前完成信息平台的工点基础信息录入工作，录入的基础信息包括：施工地形图和结构平面、剖面图；施工场地地质资料；工点基本信息；监测点位及控制阈值等信息；工点勘察、设计、施工组织等技术资料；有关人员系统登录帐户信息等。

负责监控平台安装、调试和维护，并对监控平台的使用向有关人员进行培训。监督监控设备的安装和改移，每天统计监控设备的运行情况，及时通知监控硬件建设单位到现场服务和维护。

信息汇总：及时对第三方监测单位、施工监测单位、风险评估单位上传的信息和自身巡查信息进行汇总；检查相关单位是否按批准的方案进行工作；研判各类信息的可靠性，预测预报和发布各类风险。

数据比对：通过信息平台对第三方监测和施工监测数据差异进行比对，对差异较大的点形成统计报告报送质安部；第三方监测单位应对数据差异原因进行核查分析，并将结果报送质安部和监控中心。

信息比对：对巡视报告差异信息进行比对，对差异较大的情况进行现场巡视核实，对发现瞒报、错报、漏报等信息形成统计报告报业主相关管理部门（质安部等）。

对信息上传情况进行统计，通过信息平台对监测预警及巡视预警信息通过短信提醒有关项目部、施工、监理、风险评估单位、第三方监测单位，必要时应通知建设公司领导。

每周（月）向质安部报送监控工作报告，监控工作报告内容包括：安全风险平台及监控设施运行情况；全线安全工程进度和安全风险情况；综合预警情况及处置情况；各工点下一步主要风险源等。

当工程出现险情后，立即赶赴现场，并配合出险单位做好相关工作。对出险原因进行分析，三天内向建设公司提交分析报告，并举一反三，加强监控。

三、岗位职责

1、项目经理岗位职责

①项目部项目经理直接对隧道中心领导负责，接受隧道中心的领导；负责每月向隧道中心汇报本月的工作概况、进度、难题及下月计划等。

②按周、月制定管理计划及总结，协调内外关系； ③组织起草和制定管理制度主要条款；

④负责项目资金的现场管理和审核，制定资金需求计划和初步审查； ⑤主持项目部例会或项目安全专题会议，参加地铁质量安全部的例会，组织并参加周巡查，参加地铁质量安全部组织的安全大检查或月度安全大检查；

⑥负责对项目部出具的文件进行审定。对重大事项，负责对隧道中心汇报并申请组织本项目专家组进行会商。平时不定期邀请本项目组专家及领导对项目进行检查和指导。

⑦将项目组汇报上来的日报进行审定，并交由资料员送达相关部门，对需要协调的事项进行总体安排，并交由联络员与地铁质量安全部进行协调。

2、项目技术负责岗位职责

①项目负责人负责组织专业工程师分析和审查巡视日报、周报及月报，对技术问题进行汇总审核，并交由项目负责人进行审定。负责提交预警发布申请，经项目负责人审定及地铁建设公司或BT公司同意后，再进行发布。协助项目负责人做好项目的日常管理工作。

②负责本项目相关技术人员的指导和培训或组织专业人士进行培训和指导，日常工作中组织专业工程师进行重点巡查，对重大风险源或重要工序进行重点关注并进行技术分析指导；

③参与起草和制定管理制度中与技术相关的主要条款；

④参加项目部例会及地铁质安部组织的例会，参加项目部开展的周巡查及地铁质量安全部组织的安全大检查或月度安全大检查；

⑤对一般技术难题，负责组织专业工程师进行技术会商，并交由项目负责人审定。

⑥参加地铁公司组织的安全风险管理的技术安全会议，传达重要精神，协助项目负责人解决重要的技术难题。

⑦协助项目负责人与各参建单位的关系协调。负责本项目所需资金的申请。

3、联络员岗位责任制

①联络员直接受项目负责人的领导，负责本项目部与地铁质量安全部的联络工作，资料的传接工作；

②负责地铁质量安全部例会的组织、会议内容的记录和整理。负责与相关参建单位的联络、文件的传送和接收；

③负责与地铁质量安全部相关的资料的传接、相关事务的联络，加强项目部与地铁质量安全部的沟通和服务。

④负责与硬件单位进行沟通协调，保证监控系统的正常工作，日常工作中对监控系统进行管理和维护。

4、项目组专家职责

①项目组专家负责对项目的整体进行把控，日常工作中对项目运行进行指导，对项目部提请的重大技术问题进行会商并作出决议；

②接受项目部的邀请，到项目现场进行检查和指导；

③日常工作中可不定期登陆监控系统，检查项目组工作情况，对项目组的工作进行监督。

5、专业工程师岗位职责

①项目部专业工程师对项目负责人负责，接受隧道中心领导，日常工作期间与项目技术负责人一起接受项目负责人的领导； ②每天登陆监控系统，仔细检查监控内容，对重大工点或有安全风险的工点进行巡查，巡查结束后，编制巡查日报，提交项目技术负责人审核后交由项目负责人审定；对所负责的工段应做到全面了解，把握重点，每周完成重要工点或重要风险源的巡查1~2次，次要工点或无重要风险源工点做到每两周一次；

③负责监控系统基础资料的转换和上传；负责对本工段重要风险源及重要工点进行梳理，做到心里有数。

④参加项目部周例会或由项目负责人或技术负责人组织的专题讨论会并发表建议性提议；对本工段出现的难点或疑点提交会议讨论。

⑤配合项目负责人和技术负责人做好项目的管理和对技术的把控，认真分析，仔细巡查，积极讨论，做好总结；

⑥参加由地铁质量安全部组织的本工段的安全月度大检查或安全专项大检查。

⑦所有日报均应于当日16：30前报至项目技术负责人处，工点较远或由于特殊情况造成不能按时提交的，应于当日18：30前提交至项目技术负责人处；

⑧对审核、审定后的日报，周报及月报，修改完成后上传系统并交由资料员存档；周报、月报还需交给联络员一份送交地铁公司质量安全部。

6、资料员岗位责任制

①负责对项目部内的收发文件进行分类整理和归档；

②负责对项目部使用的资料及规范进行管理，做好借、还工作； ③日常工作中协助项目负责人、项目技术负责人及联络员做好资料汇总、传接和审查工作，负责项目部公章的管理。

7、巡查组岗位职责

①巡查组对本工段负责，接受项目部领导，负责对本工段内安全风险进行管理和巡查；

②熟悉本工段的工点信息、施工工况、监测内容和监测点类型、分布等，熟悉线路走向及工点与项目部之间的道路情况。每天根据周计划对线路进行有针对的巡视，检查监测点的完好情况，用专业的视角去发现问题，配合专业工程师对重大工点或重要风险源进行巡查。对发现的问题进行记录并照相，及时与专业工程师沟通，编制巡查日报。每周完成重要工点或重要风险源的巡查1~2次，次要工点或无重要风险源工点做到每两周一次；

③协同专业工程师对监控系统基础资料的转换和上传；协同专业工程师对本工段重要风险源及重要工点进行梳理，做到心里有数。

④参加项目部组织的周例会或由项目负责人、技术负责人组织的专题讨论会并发表建议性提议；对本工段出现的难点或疑点提交会议讨论。

⑤配合专业工程师做好项目的管理和对技术的把控，认真分析，仔细巡查，积极讨论，做好总结；

⑥参加由地铁质量安全部组织的本工段的安全月度大检查或安全专项大检查。

5.信息安全风险评估服务 篇五

当前，信息安全风险管理已成为企业信息化工作的关键，而信息系统安全风险已经成为企业信息化运营风险中最为重要的组成部分。信息系统风险管理是内控框架中的核心内容，并已成为判定企业成熟度的一项重要指标。信息系统安全风险评估是安全风险管理的基础和重要内容，既是企业信息安全体系建设的起点，也将覆盖其全生命周期。如何持续提升信息安全风险评估意识和能力，妥当开展信息系统安全风险评估及风险管控，是企业信息安全工作的重中之重，本文就此进行探讨研究。

一、评估目的、原则及方式

1.1 评估的目的。企业进行信息系统安全风险评估，是为了提高信息安全保障体系的有效性，主要包括：发现现有基础信息网络和重要信息系统的安全问题和隐患，提出针对性改进措施；识别在用系统和在建系统在生命周期各个阶段的安全风险；分析现有与信息安全相关的组织管理机构、管理制度和管理流程的缺陷与不足；评价已有信息安全措施的适当性、合规性等。

1.2 评估的原则。进行信息系统安全风险评估，要遵循以下原则：

（1）整体性。系统安全风险评估应从企业实际需求出发，不局限于网络、主机等单一的安全层面，而是从业务角度进行评估，包括技术、管理和业务运营的安全性。

（2）动态性。风险评估应是动态、阶段性重复的，并非一次评估即可解决所有问题。每次评估应达到有限的目标，并依据评估的动态特性考虑再次评估的时机，形成良性的评估生命周期。

（3）适当性。选择恰当的评估对象、评估范围、评估时机，评估对象要有代表性，确定评估范围的恰当性、可行性等情况。

（4）规范化。应严格规范评估过程和成果文档，便于项目跟踪和控制。

（5）可控性。评估过程和所使用的工具应具有可控性。评估所采用的工具必须经过实践检验，可根据企业实际现状与需求进行定制。

（6）最小影响。评估工作应充分准备，精心筹划，事先预见可能发生的情况并制定应急预案，不能对网络和信息系统的运行及业务的正常运作产生影响。

（7）保密性。参与评估的工作人员应签署保密协议，明确要求在评估过程中对所有的相关数据、信息严格保密，不得将评估中的任何数据用于与评估以外的任何活动。

1.3 评估方式。风险评估的方式可分为自评估、检查评估、委托评估三种。自评估是由企业自身实施，以发现现有信息技术设施和信息系统的弱点、实施安全管理为目的的评估方式。检查评估是由主管部门发起，对下级单位的安全风险管理工作进行检查而实施的评估活动。委托评估是指企业委托具有风险评估能力和资质的专业评估机构实施的评估活动。

企业信息管理部门应定期或在重大、特殊事件发生时组织进行风险评估，识别和分析风险，实施控制措施，确保信息安全和信息系统的稳定安全运行。

1.4 评估时机。企业信息系统风险评估应贯穿于系统的整个生命周期，方可做好风险管控。在系统规划设计阶段，通过风险评估明确系统建设的安全目标；在系统建设阶段，通过风险评估确定系统的安全目标是否达到；在系统运行维护阶段，实施风险评估识别系统面临不断变化的风险和脆弱性，从而确定安全措施的有效性，确保信息系统安全运行；在系统废弃阶段，确保硬件和软件等资产的残留信息得到适当的处置，确保废弃过程在安全的状态下完成。

二、评估方法

企业信息系统的安全风险评估大致可分为三个阶段：计划准备阶段、现场评估阶段、分析报告阶段。三个阶段的工作内容和步骤如图 1 所示。

2.1 计划准备阶段。在进行安全风险评估之前，充分的准备工作是评估工作成功的基础。在计划准备阶段，需要开展以下工作：

（1）制定项目计划。确定评估目标、范围和对象；明确评估人员组织，包括项目领导小组、项目负责人、项目技术顾问组、风险评估小组、被评估单位项目协调人和项目配合人员；制定项目进度计划；明确项目沟通与配合制度。（2）召开项目启动会。进行评估前的项目动员。

（3）收集相关信息。收集所有评估对象资产信息；收集文档信息，包括安全管理文档、技术设施文档、应用系统文档和机房环境文档等。

2.2 现场评估阶段。现场评估阶段包含文档审阅、问卷调查、脆弱性扫描、本地审计、渗透测试、现场观测和人员访谈等工作内容。

（1）文档审阅。通过文档审阅了解评估对象的基本信息（包括安全需求），了解各评估对象已被发现的问题、已实施的安全措施，确定需要通过访谈了解的信息和澄清的`问题，以便尽量缩减人员访谈沟通时间，降低评估工作对相关人员正常业务工作的影响。

（2）问卷调查。由一组相关的封闭式或开放式问题组成，用于在评估过程中获取信息系统在各个层面的安全状况，包括安全策略、组织制度、执行情况等。

（3）脆弱性扫描。利用技术手段对信息系统组件进行脆弱性识别，收集各信息系统组件可能存在的技术脆弱性信息，以便在分析阶段进行详细分析。

（4）本地审计。本地审计与脆弱性扫描互补，收集各信息系统组件可能存在的技术脆弱性信息，以便在分析阶段进行详细分析。

（5）渗透测试。利用模拟XX攻击方式发现网络、系统存在的可利用弱点，目的是检测系统的安全配置情况，发现配置隐患。主要通过后门利用测试、DDos 强度测试、强口令攻击测试等手段实现。需要注意，渗透测试的风险较其它几种手段要大得多，在实际评估中需要慎重使用，未必每次评估都要进行渗透测试。

（6）现场观测。主要通过现场巡视和观察等方法，观察与应用系统、机房环境等有关的管理制度、安全运维相关的机制、系统配置现状（如系统现有账号、日志功能等），了解制度实际执行情况，保留检查证据（截图，日志文件等）并填写现场观测结果。

（7）人员访谈。访谈的对象包括：信息系统管理人员、应用系统相关人员、网络及设备负责人和机房管理人员。主要涉及信息系统控制环境评估，包括安全策略、组织安全、人员、资产管理、风险管理、法律法规符合性等；信息系统通用控制评估，包括程序开发设计、变更管理、程序和数据访问控制、投产上线、系统运维等；应用系统的安全性评估，包括身份认证、标识与授权、会话管理、系统配置、日志与审计、用户账户管理、输入控制、异常处理、数据保护和通信等；应用控制评估，包括业务操作、权限管理、职责分离、业务流程、备份等。

2.3 分析报告阶段。分析报告阶段的主要工作是整理现场评估获得的数据、资料，进行综合分析以及生成最终评估报告。

综合分析根据收集到的各种信息，整理出系统 / 资产脆弱性，并对脆弱性进行威胁分析，包括分析威胁发生的可能性、产生的后果，判定风险级别，以及制定风险处理计划。综合分析对分析人员的能力要求较高。主导综合分析和报告生成的人员必须参与过信息系统风险评估的各阶段，对被评估系统有基本的了解，熟悉风险评估的方法、手段、过程，掌握风险计算方法，了解风险评估基本理论，具备较强的文字功底。

最终编写的风险评估报告是风险评估重要的结果文件，是企业实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料。风险评估报告通常应包括以下内容：

（1）概述。简要描述被评估系统的基本情况，包括功能用途、系统体系结构以及风险评估所使用的评估方法、评估过程等。

（2）评估综述。对被评估系统及其支撑平台已经实施的安全措施、评估发现的风险进行综合评价。

（3）评估详述。概要描述评估过程所发现的被评估系统存在的风险、以及不同级别的风险数量和比例；针对被评估系统及其支撑平台的每一个风险点，进行威胁分析、现有或计划实施的安全措施分析、风险评价等。

（4）整改建议。综合以上分析，说明被评估系统及其支撑平台需要采取的安全整改措施。

（5）附件。说明风险评估过程中主要访谈的人员和审阅的文档、脆弱性-风险对应表、控制措施-风险对应表等。

三、风险控制措施

风险评估的目的在于控制和规避风险。风险控制报告包括安全管理策略和风险控制措施，要依据通过审批的风险控制报告，落实控制措施。

控制信息安全风险的重要措施是实施信息系统安全等级保护，而等级保护的基本前提是信息系统等级的划分。企业要根据公安部等四部委联合发布的《关于信息安全等级保护工作的实施意见》，结合企业实际情况和国内相关领域专家的建议，确定信息系统安全保护等级，实施相应的等级保护，有效控制信息安全风险，支撑企业业务的连续运行。

四、风险控制实施的监督与跟踪

风险评估通常还包括一个至关重要的跟踪过程，即对执行与落实整改建议的情况进行监督与跟踪，必要时再次进行评估。

要充分利用风险评估管理信息系统作为基础性必备工具，实现对资产信息、安全威胁信息、脆弱性信息、评估结果的统一管理，以提升评估结果的可用性。

监督与跟踪主要工作包括建立监督与跟踪机制、制定跟踪计划、执行主动监督与报告等三个步骤：

（1）企业各级信息管理部门指定专门人员，建立监督与跟踪机制以跟踪安全整改建议的实施和效果。

（2）对关键的、意义重大而且至关紧要的安全整改措施，制定并实施跟踪计划，包括实施计划、预计实施时间、事项清单、验收方法与过程等。

6.信息安全风险评估服务 篇六

贵州省信息安全风险评估试点工作实践与探索

通过贵州省信息安全风险评估试点工作的实践与探索,推动贵州省的`信息化发展,促进信息安全保障体系的建设,提高信息系统的安全保护能力,使信息系统的安全状态由高风险降为低风险.

作 者：杨建国  作者单位：贵阳生产力促进中心,贵州,贵阳,550002 刊 名：科技创业月刊 英文刊名：PIONEERING WITH SCIENCE & TECHNOLOGY MONTHLY 年，卷(期)： 23(7) 分类号：G202 关键词：信息安全   风险评估   实践与探索  

7.浅谈信息安全风险评估 篇七

信息安全风险评估是对信息资产面临的威胁、存在的弱点、造成的影响以及三者综合作用而带来风险的可能性的评估。整个信息安全风险评估体系经过长时间的积累和发展, 已经有着非常成熟和较为复杂的理论体系支撑, 同时也有大量的实践案例支撑。作为风险管理的基础, 风险评估 (Risk Assessment) 是组织确定信息安全需求的一个重要途径, 属于组织信息安全管理体系策划的过程, 主要包括资产识别与评价、威胁和弱点评估及认定、控制措施评估在内的一系列活动。

信息安全风险评估具有如下作用:

(一) 明确安全现状。进行信息安全评估后, 可以了解自身的网络、各种应用系统以及管理制度规范的安全现状, 从而明晰安全需求。

(二) 确定主要安全风险。在对网络和应用系统进行信息安全评估并进行风险分级后, 可以确定主要安全风险。

(三) 指导信息系统安全技术体系与管理体系的建设。进行信息安全评估后, 可以制定网络和系统的安全策略及安全解决方案, 从而指导安全技术体系与管理体系的建设。

二、信息安全风险评估的主要方法

目前, 安全风险评估的方法有故障树分析法 (Fault Tree Analysis, FTA) 、层次分析法 (Analytic Hierarchy Process, AHP) 、模糊综合评判法 (Fuzzy Comprehensive Evaluation method, CE) 等。下面, 我们就着重介绍一下这三种理论。

(一) 故障树分析法 (FTA)

故障树分析法主要用于分析大型复杂系统的可靠性及安全性, 被公认为是对复杂系统可靠性、安全性进行分析的一种有效的方法。故障树分析是一种top-down方法, 通过对可能造成系统故障的硬件、软件、环境、人为因素进行分析, 列出故障原因的各种可能组合方式和其发生概率, 按树状结构, 逐层细化的一种分析方法。故障树分析采用树形图的形式, 把系统的故障与组成系统的部件的故障有机地联系在一起。首先以系统不希望发生的事件作为顶事件, 然后按照演绎分析的原则, 从顶事件逐级向下分析各自的直接原因事件 (称基本事件) , 根据彼此的逻辑关系, 用逻辑门符号连接上下事件, 直至所要求的分析深度。

故障树分析方法可以分为定性和定量两种方式。定性分析的目的在于寻找导致顶事件发生的原因和原因组合, 识别导致顶事件发生的所有故障模式。它可以帮助判明潜在的风险, 以便改进设计和运行维护方案。定量计算的任务就是要计算或估计顶事件发生的概率、各个底事件的重要度等。

故障树分析法具有灵活性高、表达直观等优点, 但是在定量计算中, 它需要有大量的准确数据做为支撑。

(二) 层次分析法 (AHP)

层次分析法 (Analytical Hierarchy Process, AHP) 是美国运筹学家萨蒂 (T.L.Saaty) 于20世纪70年代初提出的一种定性与定量分析相结合的多准则决策分析方法。其基本原理是首先将决策的问题看作是受多种因素影响的大系统, 这些相互关联、相互制约的因素可以按照它们之间的隶属关系排成从高到低的若干层次;然后利用数学方法对各因素层层排序;最后对排序结果进行分析, 辅助进行决策。

层次分析法主要有以下步骤:

第一步, 明确问题。明确问题就是要明确决策目的、决策准则、备选方案及它们之间的相互关系。

第二步, 建立层次结构。根据对问题的分析和明确, 将所涉及的要素按各自的性质进行分层排列, 构造一个便于问题解决的各因素之间相互连接的层次结构模型, 使问题的结构特征明朗化。

第三步, 逐层进行成对比较, 建立判断矩阵。在每个层次之中进行要素间的两两比较, 依据一定的决策准则, 确定要素之间的优劣差异。

但是, AHP在进行决策时存在以下问题:专家对信息安全风险因素的定性评价打分采用确定的数值点, 从而不能够准确地反映各因素间比较的模糊性和不确定性;构造比较判断矩阵时, 由一个专家来给出比较判断矩阵容易带有片面性, 从而导致结论的可信度不足。

(三) 模糊综合评判法 (CE)

综合评判是用于决策者综合决策的数学工具, 它通过建立评判函数、评判矩阵, 结合决策者的权重, 运用矩阵运算得出综合评判值, 并且依据最大隶属度原则, 得出决策者最有可能的决策, 应用范围十分广泛。

综合评判主要有以下步骤:

第一步, 建立因素集U={u1, u2, …un}, 也就是被评判对象的各因素组成的集合;

第二步, 建立判断集V={v1, v2, …, vm}, 某类专家或决策者给的评语集合;

第三步, 为对因素集U中的ui (i=1, 2, …, n) 作单因素评判, 从因素ui着眼确定该事物对判断等级vj (j=1, 2, …, m) 的隶属度rij, 并由此得出ui的单因素评判集ri={ri1, ri2, …, rim}, 它是抉择评语集合V上的模糊子集。由n个因素的评价集可构造出模糊关系矩阵R:

第四步, 确定各评价因素对评价对象的权重, 对于被评判的事物, 由于从不同的因素可能会得出截然不同的结论。而且在诸多着眼因素ui中, 对总评价的影响程度不一, 存在着模糊择优因素。因此, 评价的着眼点可看成着眼因素集U上的一个模糊子集A。在模型中, A称为输入模糊向量, 记成A={a1a2…an}。式中ai (0≤ai≤1) 为ui对A的隶属度且规定之和为1。

第五步, 综合评价。在确定了模糊矩阵R和模糊向量A后, 可作如下模糊变换来进行综合评判:B=A×R={b1, b2, …, bn}。其中B称为输出模糊向量, 它是评价集V的模糊子集, 其分向量的数值大小将相对地反映了有关因素的风险程度。

三、信息安全风险评估流程

风险评估是组织确定信息安全需求的过程, 包括资产识别与评价、威胁和弱点评估、控制措施评估、风险认定等一系列的流程。

(一) 进行资产识别和评价, 列出一份与信息安全相关的资产清单。目前一般采用定性的方法, 根据资产的重要性或敏感度, 对已识别的资产进行赋值。在确定资产重要性或敏感度时, 要同时考虑资产在保密性、完整性和可用性这三个方面受损可能引发的后果。

(二) 识别并评价资产之后, 应根据资产目前所处的环境条件和以前的记录情况识别每项 (类) 资产可能面临的威胁。识别资产面临的威胁后, 还应该根据经验或者相关的统计数据来判断威胁发生的频率或概率。

(三) 针对每一项需要保护的信息资产和相应的威胁, 找出可以被利用的弱点。常见的弱点有技术性弱点、操作性弱点和管理性弱点。弱点来源有各种审计报告、事件报告、安全复查报告、系统测试及评估报告等。技术性和操作性弱点可以借助自动化的漏洞扫描工具和渗透测试等方法来识别和评估。

(四) 对已有的 (或已计划的) 安全控制措施进行评估, 分析安全措施的效力, 确定威胁利用弱点的实际可能性。

(五) 根据资产、威胁、弱点和安全措施的识别和评估, 对风险进行评估, 确定风险的等级, 度量并评价信息安全管理范围内每一项信息资产遭受泄漏、修改、破坏所造成影响的风险水平。

(六) 根据风险评估结果, 选定消减风险的安全措施, 制定安全计划, 实施安全整改策略。

四、自动化风险评估工具

风险评估过程最常用的还是一些专用的自动化的风险评估工具, 此类工具都可以有效地通过输入数据来分析风险, 最终给出对风险的评价并推荐相应的安全措施。目前常见的自动化风险评估工具包括:

COBRA———COBRA (Consultative, Objectiveand Bi-functional Risk Analysis) 是英国的C&A系统安全公司推出的一套风险分析工具软件, 它通过问卷的方式来采集和分析数据, 并对组织的风险进行定性分析, 最终的评估报告中包含已识别风险的水平和推荐措施。

CRAMM———CRAMM (CCTA Risk Analysis and Management Method) 是由英国政府的中央计算机与电信局 (Central Computer and Telecommunications Agency, CCTA) 于1985年开发的一种定量风险分析工具, 同时支持定性分析。CRAMM是一种可以评估信息系统风险并确定恰当对策的结构化方法, 适用于各种类型的信息系统和网络, 也可以在信息系统生命周期的各个阶段使用。

ASSET———ASSET (Automated Security Self-Evaluation Tool) 是美国国家标准技术协会 (National Institute of Standard and Technology, NIST) 发布的一个可用来进行安全风险自我评估的自动化工具, 它采用典型的基于知识的分析方法, 利用问卷方式来评估系统安全现状与NIST SP 800-26指南之间的差距。

CORA———CORA (Cost-of-Risk Analysis) 是由国际安全技术公司 (International Security Technology) 开发的一种风险管理决策支持系统, 它采用典型的定量分析方法, 可以方便地采集、组织、分析并存储风险数据, 为组织的风险管理决策支持提供准确的依据。

五、结束语

8.信息安全风险评估服务 篇八

【关键词】外汇  信息安全  风险  保障措施

近年来，国家外汇管理局加大了信息化建设步伐，信息系统已基本替代了手工操作用于处理外汇管理日常工作，在外汇监管与服务的过程中发挥着越来越重要的作用，外汇业务信息系统的安全正常运行已成为外汇局开展业务开展的前提，任何一个环节的信息系安全管理缺失，都可能给外汇管理工作带来严重的后果。

一、外汇信息系统和数据所面临的风险

信息安全就是保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的保密性、完整性、可用性.可控性和平可否认性。

外汇管理信息系统和数据在采集、保存和使用等过程中存在诸多安全风险，例如硬盘损坏等物理环境风险，操作系统和网络协议漏洞导致外汇信息数据被非法访问、修改或恶意删除，最终导致外汇信息丧失上述安全特性，从而影响了外汇业务的正常开展。本节仅结合外汇信息系统和数据实际情况，简要介绍外汇信息常见的风险。

（一）电子设备存在软件和硬件故障风险

外汇信息系统在运行过程往往会面临硬件设备发生故障，软件系统出现运行错误的风险，例如服务器电源设备老化、硬盘出现坏道无法读写、软件崩溃、通讯网络故障等问题。上述问题是外汇信息系统实际运维过程中最为常见风险源。

（二）人为操作风险

因人为操作外汇信息系统产生的未授权的数据访问和数据修改、信息错误或虚假信息输入、授权的终端用户滥用、不完整处理等。产生该类风险的原因是用户安全意识淡薄，未授权访问数据造成外汇信息泄漏，数据手工处理导致的错误或虚假信息，未授权用户操作等行为都会造成信息系统安全性风险。实际外汇信息系统运行中，人为事件造成损失的概率远远大于其他威胁造成损失的。

（三）系统风险

一般所用的计算机操作系统以及大量的应用软件在组织业务交流的过程中使用，来自这些系统和应用软件的问题和缺陷会对一系列系统造成影响，特别是在多个应用系统互联时，影响会涉及整个组织的多个系统。例如，部分系统具有维护困难、结构不完善、缺乏文档和设计有漏洞等多个隐患，有时就会在系统升级和安装补丁的时候引入较高的风险。

（四）物理环境风险

由于组织缺乏对组织场所的安全保卫，或者缺乏防水、防火、防雷等防护措施，在面临自然灾难时，可能会造成极大的损失。

二、外汇信息安全基本准则和特性

外汇信息系统是一个以保障外汇业务系统正常运行的专用的信息系统，近年来在不断加大信息科技方面投入、加快信息化建设的过程中得到了有效整合和完善。为有效应对外汇信息系统安全风险，科技部门应同步提升科技管理制度的完整性和执行力度、管理精细化程度。制定外汇信息系统安全的具体保障措施之前，首先需要我们认清信息安全的基本准则和一些特性：

（一）信息安全短板效应

对信息系统安全所涉及的领域进行安全保护即全面构筑外汇管理信息安全保障工作，重点加强对安全洼地、薄弱环节的安全防护。

（二）信息安全系统化

信息系统安全其实是一项系统工程，要从管理、技术、工程等层面总体考量，全面保障外汇管理局信息系统安全。

（三）信息安全动态化

信息安全保障措施所防范的对象是一个动态变化的过程，所以信息系统也应该随着内外部安全形势的变化不断改进。

（四）信息安全常态化

信息安全从时间角度看是一个长期存在的问题，只有在信息安全技术方面严格把握重点，综合信息安全体系的可持续构建，才能保障外汇管理局信息系统安全。

（五）系统操作权责明确

信息系统安全的前提是要严格内部授权，划分各岗位职责，如加大内控风险防范和控制。使各系统角色操作者权限形成相互制约的控制机制。

三、外汇信息安全保障应对措施

外汇信息安全工作应以信息系统所面临的安全威胁依据，遵循基本准则，以信息基础设施建设和安全管理制度为我切入点制定相应的防护措施。

（一）建立系统性的安全管理制度

安全管理制度要包括人员管理、资产管理、数据管理、网络管理、运维管理、应急管理、事后审查等方面内容

（二）建立良好的网络信息安全防护体系

从物理环境安全、网络边界安全、设备安全、应用系统安全以及数据安全等方面部署相关的安全防护设备和措施。

（三）定期进行信息安全教育培训

因信息技术行业快速发展，信息安全形势也在不断变化，外汇管理局科技部门可定期对辖内外汇信息系统维护和操作人员进行信息系统安全培训，更新安全知识。为了有效防范未知威胁和隐患，外汇管理局科技部门可对辖内定期开展信息系统安全检查，确保外汇信息系统安全有效运行，保障外汇信息的可控、可用和完整性。

（四）开展信息系统安全风险评估，进一步做好系统等保工作

首先对外汇信息系统安全进行风险评估，根据评估识别威胁外汇信息系统安全的风险，作为制定、实施安全策略、措施的基础，风险评估同时也是外汇信息系统安全等级保护的重要前提与依据。其次确定信息系统安全级别，根据级别的不同，实施对应的保护措施，启动对应级别的安全事件应急响应程序。

（五）运用入侵检测等技术，预防恶意攻击

随着技术发展，当前恶意攻击手段呈现越来越隐蔽的趋势，需要科技部门采用具有预警功能的技术手段来应对，如入侵检测、数据挖掘等技术，通过分析历史数据，发现当前安全措施的缺陷，及时纠正和预防内外部风险再次发生。

（六）完善监督管理，实施信息安全自查与检查相结合

查找现有信息化建设工作中的薄弱环节，井切实进行整改，建立良性的信息安全管理机制。开展信息安全检查与自查是完善信息安全监督管理工作的有效方式之一，其中信息安全检查方案的设计是安全检查的核心，科技部门需要根据外汇业务实际情况，将外汇管理局有关要求进行梳理完善，对相应风险点进行总结和归纳，科学设计了信息安全检查方案。

参考文献

[1]林国恩.信息系统安全[M].北京：电子工业出版社.2010

[2]《信息系统安全等级保护基本要求》GB/T 22239-2008

9.食品安全风险信息收集制度24 篇九

为规范公司食品安全风险信息收集工作，及时、准确地发现食品安全问题，为食品安全决策提供科学依据，根据《中华人民共和国食品安全法》、《中华人民共和国农产品质量安全法》、《中华人民共和国食品安全法实施条例》、《保健食品管理办法》的规定，结合我公司实际制定本制度。

一、食品安全风险信息收集应本着代表性、客观性、准确性和及时性的原则进行。

二、食品安全风险信息收集范围包括对本单位产品、食品添加剂、食品相关产品中生物性、化学性和物理性危害信息。

三、总经理负责公司食品安全风险信息收集的组织领导及综合协调工作，及时将监测和评估结果报公司董事长。负责公司食品安全风险信息收集日常管理工作，并向董事长提出工作建议，执行相关决议；制定、组织实施食品安全风险信息收集方案；负责对结果进行分析，及时向上级报告。

四、食品风险信息收集所获得的数据、结果、结论等相关信息实行保密制度，在批准公布前，任何个人不得以任何方式擅自引用或对外公布。

五、食品安全风险信息收集分日常收集、专项收集和应急收集。日常收集是各相关部门根据有关法律法规和规定而开展的常规性信息收集活动。专项收集是各相关部门结合我公司实际情况或根据需要及主管部门的规定而开展的专项信息收集活动。应急信息收集是针对突发性食源性疾病信息、食品安全热点问题、突发食品安全事故和新发现的食品安全问题等而开展和实施的应急信息收集活动。

六、食品安全风信息收集分为：

1、易健康危害较大、风险程度较高的；

2、易于对婴幼儿、孕产妇、老年人、病人造成健康影响的；

3、使用范围广、流通过程长、消费量大的；

4、以往导致食品安全事故或者受到消费者关注的。

10.信息安全服务资质一级申请指南 篇十

信息安全服务资质申请指南

（安全工程类一级）

©版权2008—中国信息安全测评中心

2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

目录

一、认定依据................................................................................................................................4

二、级别划分................................................................................................................................4三、一级资质要求........................................................................................................................4

3.1 基本资格要求...................................................................................................................5 3.2 基本能力要求...................................................................................................................5

3.2.1 组织与管理要求.....................................................................................................5 3.2.2 技术能力要求.........................................................................................................5 3.2.3 人员构成与素质要求.............................................................................................6 3.2.4 设备、设施与环境要求.........................................................................................6 3.2.5 规模与资产要求.....................................................................................................6 3.2.6 业绩要求.................................................................................................................6 3.3 安全工程过程能力要求...................................................................................................7 3.4 项目和组织过程能力要求...............................................................................................7

四、资质认定................................................................................................................................8

4.1认定流程图........................................................................................................................8 4.2申请阶段.............................................................................................................................9 4.3资格审查阶段.....................................................................................................................9 4.4能力测评阶段.....................................................................................................................9

4.4.1静态评估..................................................................................................................9 4.4.2现场审核................................................................................................................10 4.4.3综合评定................................................................................................................10 4.4.4资质审定................................................................................................................10 4.5证书发放阶段...................................................................................................................10

五、监督、维持和升级..............................................................................................................11

六、处置......................................................................................................................................11

七、争议、投诉与申诉..............................................................................................................11

八、获证组织档案......................................................................................................................12

九、费用及周期..........................................................................................................................12

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

引言

中国信息安全测评中心是经中央批准成立的国家信息安全权威测评机构，职能是开展信息安全漏洞分析和风险评估工作，对信息技术产品、信息系统和工程的安全性进行测试与评估。对信息安全服务和人员的资质进行审核与评价。

中国信息安全测评中心的主要职能是：

1.为信息技术安全性提供测评服务； 2.信息安全漏洞分析； 3.信息安全风险评估；

4.信息技术产品、信息系统和工程安全测试与评估； 5.信息安全服务和信息安全人员资质测评； 6.信息安全技术咨询、工程监理与开发服务。

“信息安全服务资质认定”是对信息安全服务的提供者的技术、资源、法律、管理等方面的资质、能力和稳定性、可靠性进行评估，依据公开的标准和程序，对其安全服务保障能力进行评定和确认。为我国信息安全服务行业的发展和政府主管部门的信息安全管理以及全社会选择信息安全服务提供一种独立、公正的评判依据。

本指南适用于所有向CNITSEC提出信息安全工程服务一级资质申请的境内外组织。

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

一、认定依据

信息安全工程服务资质认定是对信息安全工程服务提供者的资格状况、技术实力和安全工程实施过程质量保证能力等方面的具体衡量和评价。

信息安全工程服务资质级别的评定，是依据《信息安全服务资质评估准则》和不同级别的信息安全工程服务资质具体要求，在对申请组织的基本资格、技术实力、信息安全工程服务能力以及安全工程项目的组织管理水平等方面的评估结果基础上的综合评定后，由中国信息安全测评中心给予相应的资质级别。

二、级别划分

信息安全工程服务资质认定是对信息安全工程服务提供者的综合实力的客观评价和确认，信息安全工程服务资质级别反映了信息安全工程服务提供者从事信息安全工程服务保障能力的成熟程度。资质级别划分的主要依据包括：基本资格与基本能力要求、安全工程过程能力要求、项目与组织管理能力要求和其他补充要求等。

信息安全服务资质分为五个级别，由一级到五级依次递增，一级是最基本级别，五级为最高级别。

一级：基本执行级 二级：计划跟踪级 三级：充分定义级 四级：量化控制级 五级：持续改进级三、一级资质要求

申请信息安全工程服务一级资质的组织需要在基本资格和基本能力、安全工程过程能力和项目与组织过程能力等几个方面符合《信息安全工程服务一级资质具体要求》的规定。

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

3.1 基本资格要求

申请信息安全工程服务资质的组织必须是一个独立的实体，具有工商行政管理部门颁发的营业执照，并遵守国家现行法律法规。

3.2 基本能力要求 3.2.1 组织与管理要求

1.必须拥有健全的组织和管理体系，为持续的信息安全工程服务提供保障；

2.必须具有专业从事信息安全工程服务的队伍和相应的质量保证； 3.与安全工程服务相关的所有成员要签订保密合同，并遵守有关法律法规。

3.2.2 技术能力要求

1.了解信息系统技术的最新动向，有能力掌握信息系统的最新技术； 2.具有不断的技术更新能力；

3.具有对信息系统面临的安全威胁、存在的安全隐患进行信息收集、识别、分析和提供防范措施的能力；

4.能根据对用户信息系统风险的分析，向用户建议有效的安全保护策略及建立完善的安全管理制度；

5.具有对发生的突发性安全事件进行分析和解决的能力；

6.具有对市场上的信息系统产品进行功能分析，提出安全策略和安全解决方案及安全产品的系统集成能力；

7.具有根据服务业务的需求开发信息系统应用、产品或支持性工具的能力；

8.具有对集成的信息系统进行检测和验证的能力； 9.有能力对信息系统系统进行有效的维护；

10.有跟踪、了解、掌握、应用国际、国家和行业标准的能力。

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

3.2.3 人员构成与素质要求

1.具有充足的人力资源和合理的人员结构；

2.所有与信息安全服务有关的管理和销售人员应具有基本的信息安全知识；

3.有相对稳定的从事信息安全服务的技术队伍；

4.技术骨干人员应系统地掌握信息系统安全基础理论和核心技术，并有足够的专业工作经验；

5.必须有2名以上(含2名)专职的注册信息安全专业人员(CISP)。

3.2.4 设备、设施与环境要求

1.具有固定的工作场所和良好的工作环境； 2.具有先进的开发、测试或模拟环境； 3.具有先进的开发、生产和测试设备；

4.具有实施相关服务必需的开发、生产和测试工具。

3.2.5 规模与资产要求

1.有足够的注册资金和充足的流动资金；

2.具有与所申请安全服务业务范围、承担的安全工程规模相适应的服务体系；

3.有足够的人员从事直接与信息安全服务相关的活动。

3.2.6 业绩要求

1.从事信息安全服务1年以上； 2.至少承接过2个以上的安全工程项目；

3.近3年完成的信息安全服务的项目总值应在100万以上；

4.近3年内在信息安全工程服务方面，没有出现验收未通过的项目。

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

3.3 安全工程过程能力要求

安全工程过程能力是评价信息安全工程服务专业水平高低的标志。申请组织应能实施以下11个安全工程过程域： 1.评估系统面临的安全威胁； 2.评估系统的脆弱性； 3.评估安全对系统的影响； 4.评估系统的安全风险； 5.确定系统的安全需求； 6.为系统提供必要的安全输入； 7.管理系统的安全控制； 8.监测系统的安全状况； 9.安全协调；

10.检验并证实系统的安全性； 11.建立并提供安全性保证论据。

3.4 项目和组织过程能力要求

项目和组织过程能力是评价信息安全工程服务规范性和质量保证成熟度标志。

申请组织应能实施以下8个项目和组织过程域： 1.质量保证； 2.管理配置； 3.管理项目风险； 4.监控技术活动； 5.规划技术活动； 6.管理系统工程支持环境； 7.提供不断发展的技能和知识； 8.与供应商协调。

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

四、资质认定

4.1认定流程图

申请委托人申请不受理形式化审查申请阶段资格审查阶段受理决定受理静态评估现场审核限期整改综合评定不通过综合评定通过资质审定不通过发证决定抽样检查通过证书发放不予发证能力测评阶段证书发放阶段公告证后监督证后监督阶段

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

4.2申请阶段

申请组织应首先到CNITSEC网站（http://ITSEC，同时提交申请费。在向CNITSEC递交申请书前，须逐项检查所填报的材料的完整性和正确性。

4.3资格审查阶段

CNITSEC接到正式申请书及相关资料以及申请费后，根据所提交的资料进行资格审查，以确认申请单位是否满足资质的基本资格要求，提交资料是否完整。

资格审查包括对申请单位所提交资料进行的形式化审查以及对申请单位的进一步调查和沟通。如果资格审查阶段发现有不符合要求的内容，CNITSEC将要求申请组织补充资料等。

当通过资格审查阶段后，CNITSEC将向申请组织发出受理通知书，正式受理该申请，并通知相关费用的缴纳事宜等。

4.4能力测评阶段

当申请组织通过资格审查并缴纳了相关费用后，资质申请进入能力测评阶段。

能力测评阶段包括静态评估、现场审核、综合评定和资质审定四个步骤。

4.4.1静态评估

静态评估是对申请组织资料进行符合性审查，是对申请组织的信息安全工程服务能力做出基本判断，初步确定申请组织的信息安全工程服务能力水平状况，发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

为现场审核做准备。如果静态评估阶段发现有不符合要求的内容，CNITSEC将要求申请组织进一步补充资料，以便反映申请组织的客观情况。

4.4.2现场审核

现场审核是对申请组织从事信息安全工程服务的综合能力（包括技术能力、管理能力、质量保证、设施设备、工作环境、人员构成及素质、经营业绩、资产状况等方面）进行核实和确认。

通过静态评估后，CNITSEC将与申请组织沟通现场审核事宜，安排审核组进行现场审核。

现场审核若发现需整改的不符合项，审核组将对申请组织提出限期整改的要求，并对整改效果进行验证。

4.4.3综合评定

在综合评定阶段，将依据静态评估和现场审核结果，对申请组织的基本资格、基本能力、信息安全工程服务能力以及资质所要求的其他内容进行综合评定，出具综合评定报告。

对评定结果不符合的，CNITSEC将要求申请组织限期整改。申请组织完成整改并向CNITSEC提交整改报告后，CNITSEC将对整改结果进行验证，整改仍不符合的，将不能通过能力测评。逾期未整改的，视作整改不符合。

4.4.4资质审定

根据综合评定的报告，CNITSEC技术委员会将组织技术专家对申请组织的信息安全工程服务资质进行审查，并最终做出是否通过的决定。

4.5证书发放阶段

资质审定通过后，CNITSEC将进行资质证书的制作、审批和发放，并在网站、报刊杂志等媒体上公布获证组织的相关信息。

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

五、监督、维持和升级

获得资质的组织需通过持续发展自身信息安全服务体系以保持基本能力及安全工程过程能力。CNITSEC将通过申诉系统、现场见证以及对信息安全服务项目进行抽样检查来验证每个获得资质组织的能力。

证书在三年有效期内实行年确认制度，每三年进行一次维持换证。获证后，每年在证书签发之日前30天内，获证组织要向CNITSEC提交调查表，并到CNITSEC办理年检。CNITSEC年检中发现获证组织不符合资质认定要求的，将要求其限期整改，整改后仍不合格，CNITSEC将暂停或取消证书。

在证书有效期届满前90天内，由获证组织提出维持换证申请。根据申请组织的变化情况，CNITSEC将进行换证维持的资质审查或进一步要求进行现场审核，以确定获证组织符合信息安全工程服务能力一级资质要求的持续性。

若获证组织相关资料变动时，须及时通知CNITSEC，并申请更改。若获证组织实体发生变化，需要进行资质证书的转移，可到CNITSEC网站（http://ITSEC申请二级资质。

六、处置

获证组织存在违规行为时，CNITSEC有权视组织违规情节轻重予以以下处置：警告、限期整改、暂停证书、取消证书。

七、争议、投诉与申诉

对CNITSEC所作的评审、复查、处置等决定有异议时，可向CNITSEC提出书面申诉。CNITSEC将会责成与所申诉、投诉事项无利益相关的人员进行调查，CNITSEC在调查基础上做出结论。

发布日期：2008年8月1日

中国信息安全测评中心(CNITSEC)

信息安全服务资质申请指南（安全工程类一级）

获证组织应妥善处理因自身行为而发生的投诉，保留记录并采取措施防止问题的再发生。CNITSEC将在必要时查阅获证企业的申诉/投诉记录。

八、获证组织档案

CNITSEC将对每个获证组织建立专项档案，所有资料将保存10年以上，升级，确认或者复核换证时，只需补交所要求的相应材料，CNITSEC实行记录累加制度。

九、费用及周期

信息安全服务资质认定收费划分为如下四个部分：

（一）申请费：2000元

（二）测评费：3000元/人日

（三）审定与注册费（含证书费）：3000元

（四）年金（含标志使用费）：5000元/年

获得一级资质证书总体费用：

2000（申请费）＋3000×3×2(三人二日测评费)+3000（审定与注册费）+5000（一年年金）＝28000元。

申请组织还应承担因现场审核活动审核组成员所发生的交通和食宿费用。

从受理到颁发证书的周期为三个月，但由于申请方原因（如，资料补充需要的时间等）造成的时间不计算在内。