信息安全风险评估在电力设计的作用

导语：信息安全风险评估在电力设计的作用一文来源于网友上传，不代表本站观点，若需要原创文章可咨询客服老师，欢迎参考。

1.概述

随着企业信息化的深入，信息安全问题日益严峻，虽然入侵检测、防火墙、杀毒软件等安全技术手段能不同程度起到防御作用，但信息安全事件时有发生。为保证信息安全，尽可能消除安全隐患，就要定期的开展信息安全风险评估工作，通过分析评估网络与信息系统安全潜在威胁、薄弱环节、防护措施等，根据评估结果，采取适当安全措施，达到安全建设和管理的目的。本文介绍了一种适合电力设计企业的信息安全风险评估的方法，该方法参照国内外一些信息安全标准，如ISO15408、ISO27001等，结合电力设计企业信息系统及应用的实际情况，制定了一套风险评估的方法和流程，为电力设计企业的信息安全评估工作提供参考。

2.电力设计企业信息化特点

电力设计企业的信息化是以设计工作流程为核心，通过对图档信息统计分析的自动化、设计工作流程的标准化，采用高效的协同设计管理思想，实现电子设、校、审，对设计输入、校对过程、成图、设计变更、资料互提、版本控制、项目图档、进行标准化管理。因此，对电力设计企业最重要的就是保证设计流程的顺畅和资料完整，相对应的系统有生产设计流程系统，企业档案系统、数据备份系统等。

3.安全评估相关标准

对于电力设计企业的信息安全要求，必须站在全球信息化的背景下，以国际标准的角度去重新审视现状和分析存在的差距，针对电力设计企业信息安全体系的具体内容，需要去选择合适的标准，我们参考了ISO15408、ISO27001等信息安全的相关标准。ISO27001和ISO15408所涉及范围都是信息安全领域；ISO27001侧重安全管理方面的要求,即对IT系统中非技术内容的检查。这些内容与人员、流程、物理安全以及一般意义上的安全管理有关。ISO15408则侧重于对系统和产品的技术指标，旨在支持设备中IT安全特征的技术性评估，它可以用于描述用户对安全性的技术需求。ISO15408中虽然对信息安全管理方面提出了一定的要求，但这些管理要求是孤立、相对静止、不成体系的。同样，ISO27001也涉及极小部分的技术指标，但仅限于管理上必须的技术指标。电力设计信息安全体系是一个整体，没有全盘的考虑，没有高度的重视，任何一个环节出现明显的短板都将功亏一篑。

4.评估对象和流程

评估的对象为电力设计企业的信息系统、主机、网络、数据库系统等。对电力设计企业的安全评估，包括四个大的方面：资产评估、威评估、脆弱性评估、现有安全措施评估，并在此基础上进行风险计算和分析，从而提出安全处置方案和建议。具体的评估流程如图1。

4.1资料准备和启动会

在该阶段，评估方必须事先对企业提供的资料进行研究分析，通常有领导会议报告、ISO9000文件，业务流程文档等。这些资料对了解企业的战略意图和业务流程具有非常重要的作用，可以在安全评估初期通过研读这些材料了解企业的业务重点，对后续的资产评估和风险分析具有事半功倍的效果。除此之外，由评估方和被评估方共同召开启动会，确定评估目标和范围，制定评估计划。主要工作内容如下：1启动会需要有被评估方高层领导人出席并动员本单位人员做好配合工作。2明确被评估方各部门需要准备的相关资料：如部门业务流程图、部门工作计划、资产清单、网络拓扑图、信息系统和安全防护措施等。3被评估方项目负责人和各部门协调人确认。4双方共同确认评估目标和范围。

4.2资产评估

资产评估是对信息资产分类、标记、赋值的过程。资产评估主要包括两个过程：资产识别和资产赋值。

4.2.1资产识别

在确定评估抽样范围后，需要对抽样资产进行识别。资产识别是为了了解资产状况、确定资产价值而进行的风险管理的准备工作。主要针对对象为：网络设备、应用系统服务器、机房基础设施(包括物理环境，备份等、系统软件与应用软件。由被评估方填写主机资产统计表、网络设备统计表、应用系统统计表。评估人员抽样选取一定数量的资产信息填入到资产汇总表格中。信息包括：参考号、资产、说明、类型、所有者、位置等。

4.2.2资产赋值

资产赋值需要有评估双方共同确定，根据资产的重要程度，同时参考资产的机密性、完整性、可用性三个安全属性，对资产进行赋值，分为1-5等级，等级越大，资产越重要。表1是三性赋值中机密性赋值标准。资产的赋值可以根据电力设计企业的应用特点，比如：与设计流程相关的系统，其可用性的取值要高些；与数据资源相关的应用系统和备份系统，其机密性、完整性、可用性的赋值也会高些。企业信息系统的业务特点决定了业务系统的重要性程度。资产最终价值的等级评估是依据资产保密性、完整性、可用性的赋值级别，经过综合评定得出的。因为不同组织对于安全三性的要求和重视程度有所不同，所以评定的标准也不尽相，最后加权得到资产的等级和赋值。资产赋值的计算公式：。公式中：C、I、A分别为某个资产的三性赋值，wC、wI、wA分别为CIA三性的权重，可根据实际情况进行选取。赋值后的资产清单列表如图2。

4.3威胁评估

评估确定威胁发生的可能性是威胁评估阶段的重要工作，评估者应根据经验和（或）有关的统计数据来判断威胁发生的频率或者发生的概率。还需要参考下面三方面的资料和信息来源，综合考虑，形成在特定评估环境中各种威胁发生的可能性。1通过过去的安全事件报告或记录，统计各种发生过的威胁和其发生频率；2在评估体实际环境中，通过IDS、防火墙等系统获取的威胁发生数据的统计和分析，各种日志中威胁发生的数据的统计和分析；3过去一年或两年来国际机构的对于整个社会或特定行业安全威胁发生频率的统计数据均值。威胁的评估就是综合了威胁来源和种类后得到的威胁列表，并对列表中的威胁发生可能性的评估。最终威胁的赋值采用定性的相对等级的方式。威胁的等级划分为五级，从1到5分别代表五个级别的威胁发生可能性。等级数值越大，威胁发生的可能性越大。威胁评估计算流程见下图：

4.4脆弱性评估

脆弱性评估针对需要保护的信息资产，造成可能被威胁利用的弱点，并对脆弱性的严重程度进行评估。脆弱性评估的方法有问卷调查、工具检测、人工审计、文档查阅等。主机安全性评估是对业务系统范围内的主机进行安全漏洞的发现的过程，包括如下的内容：1工具检测是采用漏洞扫描工具对系统技术漏洞的发现过程，在漏洞扫描的过程中可能会对业务系统的运行产生影响，因此需要得到操作许可，并准备应急预案以避免由风险评估产生的风险。2主机人工审计根据评估单位的实际情况，对当前的服务端系统进行抽样审计，审计的内容包括：密码策略，安全策略，用户组策略，资源使用情况，注册表情况等，为主机的脆弱性计算提供准确依据。3安全管理制度文档分析主要结合问卷反馈与人员访谈进行文档分析，文档分析主要是对信息系统管理中已制定和采用的安全管理制度文档以及制度的执行情况进行分析，通过分析发现现有制度中的缺陷。4脆弱性赋值脆弱性评估将针对每一项需要保护的信息资产，找出每一种威胁可能利用的脆弱性，并对脆弱性的严重程度进行评估。脆弱性的等级划分为五级，从1到5分别代表五个级别的某种资产脆弱程度。等级越大，脆弱程度越高。具体每一级别的脆弱性脆弱程度定义参见下表2。

4.5风险分析

再完成资产识别、威胁识别、脆弱性识别，以及对已有安全措施确认后，将采用适当的方法与工具确定威胁利用脆弱性导致安全事件发生的可能性，考虑安全事件一旦发生其所作用的资产的重要性及脆弱性的严重程度判断安全事件造成的损失对组织的影响，即安全风险。安全风险的计算方法：R=H*V*T。公式中：R表示风险；H表示资产价值；V表示脆弱性；T表示威胁。风险等级建议从1到5划分为五级。等级越大，风险越高。评估者也可以根据被评估系统的实际情况自定义风险的等级。4.6安全建议与加固安全建议与加固应包括以下几个方面：1对网络体系结构、主机、操作系统、信息系统、备份、安全措施等方面存在的薄弱环节，可采取的改进方案的的建议。2对企业加固措施的实施顺序、实施过程、实施影响进行详细的阐述，通常加固措施可由评估方进行实施，如遇到复杂的可申请设备或者系统厂商进行。3对安全建议和加固实施的风险进行详细的评估和分析，针对不同的风险，配合被评估方做好详细的应急预案。4.7安全评估注意事项信息安全评估的过程中，必须注意一下事项：1评估人员通常会接触到一些企业内部信息和资料，所以，在评估之前，双方必须签订保密协议。2做好数据备份工作，在评估的过程中，为防止误操作引起的数据丢失，在评估前需要对系统做好充分的备份。3严格控制工具的使用，有些安全评估工具存在很大的攻击性，对被评估方造成不可预知的危险，通常要严格控制这类工具的使用。4对评估涉及的信息系统制定相应的应急预案。

5.结束语

信息安全风险评估是信息安全保障体系建立过程中的重要的评价方法和决策机制，是信息系统风险管理的重要环节。通过风险评估来确定信息系统的安全现状，提取信息系统安全需求，并在此基础上对信息安全保障体系建设进行有序的规划，是电力设计企业在信息安全工作中避免防护不当，提高防护效果和效益的主要手段。

本文作者:叶文辉工作单位:福建省电力勘测设计院