时间：2022-05-20 11:23:22
信息产业的迅猛发展，使得信息化技术成为社会发展的必要组成部分，信息化技术为国民经济的发展注入了新鲜的活力，更加速了国名经济的发展和人民生活水平的提高。当然，人们在享受信息技术带来的巨大便利时，也面临着各种信息安全问题带来的威胁。这种信息安全事件带来的影响是恶劣的，它将造成巨大的财产损失和信息系统的损害。因此，信息系统的安全问题不得不引起社会和民众的关注，完善信息系统的安全性，加强信息安全的风险评估成为亟待解决的问题。
1 信息安全风险评估概述及必要性
1.1 信息安全风险评估概述
首先，信息安全风险，主要是指人为或自然的利用信息系统脆弱性操作威胁信息系统，以导致信息系统发生安全事件或造成一定消极影响的可能。而信息安全风险评估简单的理解，就是以减少信息安全风险为目的通过科学处理信息系统的方法对信息系统的保密性、完整性进行评估。信息安全风险评估工作是一项保证信息系统相对安全的重要工作，必须科学的对信息系统的生命周期进行评估，最大限度的保障网络和信息的安全。
1.2 信息安全风险评估的必要性
信息安全评估是为了更好的保障信息系统的安全，以确保对信息化技术的正常使用。信息安全风险评估是信息系统安全管理的必要和关键的环节，因为信息系统的安全管理必须建立在科学的风险评估基础上，科学的风险评估有利于正确判断信息系统的安全风险问题，提供风险问题的及时解决方案。
2 信息安全风险评估过程及方法
信息安全风险的评估过程极其复杂和规范。为了加强我国信息安全风险评估工作的开展，这里有必要对风险评估的过程和方法给予提示和借鉴。风险评估的过程要求完整而准确。具体有如下步骤：
1)风险评估的准备工作，即要确定信息系统资产，包含范围、价值、评估团队、评估依据和方法等方面。要明确好这些资产信息，做好识别。2)对资产的脆弱性及威胁的识别工作，这是由于信息系统存在脆弱性的特点，所以要周密分析信息系统的脆弱点，统计分析信息系统发生威胁事件的可能性以及可能造成的损失。3)安全风险分析，这是较为重要的环节。主要是采用方法与工具确定威胁利用信息系统脆弱性导致安全事件发生的可能性，便于决策的提出。4)制定安全控制措施，主要有针对性的制定出控制威胁发生的措施，并确认措施的有效性，最大限度的降低安全风险，确保信息系统的安全。5)措施实施的阶段，主要是在有效监督下实施安全措施，并及时发现问题和改正。
对于信息安全风险评估的方法，国内外进行了很多不同的方法尝试。方法一般都遵循风险评估的流程，只是在手段和计算方法上有差异，但是分别都有一定的评估效果。主要采用：定性评估、定量评估、以及定性与定量相结合的评估，最后的方法是一个互补的评估方式，能达到评估的最佳效果。
3 我国信息安全风险评估发展现状
较美国等西方国家关于信息安全系统风险评估的发展历史和技术研究，我国起步比较晚且落后于发达国家。但近年来，随着社会各界对信息系统安全的重视，我国开始在信息系统安全管理工作上加大力度，并把信息系统的安全评估工作放在重要的位置，不断创新研究，取得了高效成果。但是，就我国目前的信息安全风险评估工作看来，还存在诸多问题。
1)我国部分企业、组织和部门对于信息系统安全风险评估没有引起绝对的重视，没有大力普及风险评估工作。由于领导者及员工的信息安全防范意识不强以及自身素质水平的影响，导致对风险评估的流程及必要性都不了解，就不太重视对企业信息系统的安全风险评估工作。
2)我国缺乏信息系统安全风险评估的规范化标准。我国目前的信息系统安全风险评估工作的开展，大部分依靠参考国际标准提供服务，只注重效仿，而缺乏对我国信息系统安全风险的实际状况的研究，没有针对性，得不到应有的效果。
3)我国缺乏行之有效的理论和技术，也缺乏实践的经验。由于科技水平的相对落后，对于信息系统的安全风险评估缺乏合适的理论、方法、技术等。我国仅依靠深化研究IT技术共性风险，而没有针对性的行业信息个性风险评估，这是没有联系实际的举措，是不能真正将信息系统的安全风险评估落实到位的。
4)在对信息系统安全风险的额评估中角色的责任不明确。这应该归咎于领导的和员工的不符责任及素质水平的落后。对风险评估理论缺乏，那么就会导致参与评估工作领导和员工角色不明确，领导对评估工作的指导角色以及责任不明确，员工则对评估工作流程方法不理解，都大大降低了风险评估的工作效率。
以上种种关于信息系统安全风险评估的现状问题反映出我国在对信息系统安全风险评估的工作还缺乏很多理论和实践的指导。我国的信息系统安全风险评估工作的开展力度还远不够，那些在信息系统安全风险评估工作的成果还远远达不到评估工作的标准。
4 强化信息安全风险评估的对策
4.1 加强对信息安全风险评估的重视
信息化技术对于每一个企事业单位都是至关重要的，企业在对工作任务的执行和管理中都必须用到信息化技术，因此，保证信息系统的安全性对于企业的发展至关重要。企业、组织和部门要加强对信息安全风险评估的重视，强化风险意识，将信息安全风险评估作为一项长期的工作来开展。
4.2 完善我国信息系统安全风险评估的规范化标准
上文中指出我国目前的信息系统安全风险评估工作大部分依靠国际标准在进行，国内没有一个统一的评估标准。因此，我国应该根据企业各种标准的侧重点，自主创新研究，创造出自己的标准技术体系，而不再一味的去效仿他国。只有这样，我国的信息系统安全风险评估才能得到迅猛的提高与发展，才能保证国家信息化的安全。
4.3 加强对评估专业人才的培养
信息化技术是一项非常专业的技术，只有拥有专业知识和技能的高科技人才才能控制和把握。信息安全风险的评估工作上则更需要拥有专业技能和业务水平的人才，他们必须对信息化技术相当了解和精通，对风险评估的方法、手段、模型、流程必须熟练。因此，企事业单位要加强对专业人才的培养，定期进行业务技能培训，鼓励人才的自主学习，不断提高自身的能力，为确保企业信息安全评估工作的高效发展及信息安全贡献力量。
4.4 加强科技创新，增强评估的可操作性
我国的科技水平较西方国家有很大的差距，因此在对信息安全风险的评估工作中，也存在理论和技术上的差距。我国应该不断的加强科研力度，在理论和技术上加以完善，在评估工具上改进，以确保评估工作的高效开展。信息系统风险评估是一个过程体系，必须抓好每一环节的技术性，在依据实际状况下进行风险评估。
4.5 明确评估工作的职责划分
信息安全风险评估工作是复杂的，每一个流程都需要投入一定的人力、物力和财力。针对人力这一方面，企业单位应该明确划分评估工作人员的职责范围，管理者要发挥好领导监督作用，有效指导评估工作的开展，员工则有效发挥自身的作用和能力。进而在每一环节工作人员共同协作下，完成评估工作的各项流程，并达到预期的成效。
5 结束语
随着我国信息技术水平不断的进步和提高，信息安全工作成为一项必须引起高度重视的工作之一。在当前我国信息安全风险评估还不够全面和科学的情况下，我国应该加强科技创新，依靠科学有效的管理以及综合规范的保障手段，在借鉴西方国家先进理论和技术的同时结合我国企业单位信息安全风险评估的实际现状，有针对性的实施有效方法，确保信息系统的安全性，进而保证我国信息化的安全发展。
周克松
广西百色银海铝业有限责任公司533000
摘 要：信息技术的迅速发展，为人们的生活带来了许多的方便。近年来，信息安全遭受危害的事件时有发生，信息安全成了国内外普遍关注的话题。严峻的形势告诉我们，必须要采取相应的措施来防止信息安全遭到危害。本文详细介绍了信息安全风险评估的工具、方法、过程，以及评估中存在的问题，并对如何预防危害信息安全事件的发生提出了简单的建议。
关键词：信息安全 风险评估 预防 信息安全风险
在人们的日常生活中，信息的作用逐渐凸显。信息产业的发展情况成为新时期国家综合国力的标志。但是，信息安全成为了信息技术发展中需要迫切解决的一个难题。做好信息安全风险评估工作，是维护信息系统安全的基本保证。
一、信息安全风险评估概述
信息安全风险是信息的安全遭受危害的可能性，是利用信息系统本身的弱点和缺陷主动引起的安全性问题，受损的一般是较为的重要信息，这些信息的受损，对相关机构造成了巨大的损害。
信息安全风险评估是按照国家颁布的关于信息安全技术的准则和标准，采取相应的科学办法，对信息的完整性、可用性和保密性做出的全面具体的分析研究，对信息系统将要面对的威胁和存在的弱点进行全面的评价，对可能面临危害安全事件的破坏程度做出的具体评估，并针对性的提出相应的防御措施和改革对策。信息安全风险评估的主要目的就是要预防和解决安全风险，最大限度的降低风险造成的危害，为保证信息和网络的安全提供可靠科学的依据。
对信息安全的风险评估就是将传统的风险理论应用于信息系统中，了解信息系统在哪方面存在风险，做好信息风险的识别工作，科学全面的分析信息系统在各个方面所面临的具体风险，根据实际情况选择具体的控制方法。
完整的信息安全风险评估应该涵盖与之相关的法律规范、技术体系、基本框架、标准体系。
二、信息安全风险评估的主要方法
随着近年来对信息安全风险评估的深入研究，出现了多种多样的风险评估方法，这些方法的出现提高了评估的效率，使得风险评估工作的开展更加便捷、高效。
常用的评估方法主要有德尔斐法、故障树法、层次分析法等等，虽然每种方法的具体实施不尽相同，但是其主要的操作流程大体相似。在此，我们可以按照不同的计算方法将其分为定量风险评估和定性风险评估。
定性风险评估就是针对信息系统中的风险而采取的一系列的判断和分析，主要是依据评估人员的经验和专业知识来进行风险的评估，再对评估的具体结果进行详细的描述。这种风险评估方法较为粗略，适用于数学基础不强的数据分析人员在信息资料不是特别完善的情况下进行风险评估工作。
定量风险评估指的是利用公示对信息系统内存在的风险进行具体评估，并用数据的形式来展现评估结果。相对于定性评估而言，定量评估较为烦杂，需要评估者具有良好的数学基础，评估过程对中人力、物力、财力的消耗较大，因此如今我们更多的是采用定性与定量相结合的风险评估方法进行信息安全风险评估。
不管是定性还是定量，都需要运用数学知识。定性是定量的基础和依据，定量是更加具体化的定性，二者互相补充，只有把二者有效的结合在一起，才能在更好的完成信息安全风险评估。
三、信息安全风险评估工具
风险评估工作十分复杂，庞大的工作量对评估工具提出了较高的要求，评估工具要具有很强的实用性
目前主要的评估工具主要有以下几种： CC tools， Cobra，WebTrends Security Analyzer套件 ，SAFESuite套件等。在此，我们按照各种评估工具的特点将其分为三大类：
1.弱点评估工具
弱点评估工具在评估工作中较为注重对系统硬件和软件中存在漏洞的发现。根据安全漏洞的易受侵害程度，明确信息系统中较为脆弱的部分，并最终制定有效的安全方略。作为如今应用范围最广的风险评估工具，弱点评估工具主要有测试性工具和扫描性工具。
2.综合评估管理工具
综合评估管理工具的较为注重的是安全管理。全面分析系统存在的安全风险，并制定出相应的解决策略和方法。目前应用较多的综合评估管理工具主要有COBRA和CRAMM。
3.风险评估的辅助工具
辅助工具较为注重对评估所需信息的收集。主要的风险评估辅助工具有入侵检测工具、安全审计工具、人员访谈、资产信息调查表等。
四、信息安全风险评估过程
所谓信息安全评估过程就是依据国内外的评估准则，采用相关的评估方法和手段，选用适当的评价工具，进行全面评估工作的整个过程。必须要做到对整个信息系统全面的进行评估，不能漏掉系统中的某个部分。下面对评估的具体工程做简单的介绍：
1.明确资产
首先要清楚地知道整个系统的资产是多少，并准确分析信息资产的价值，其中资产价值是依靠各个利益方对整个信息系统性能的影响来进行度量的。资产就是所有要求被保护的事物，其包含的范围较为广泛，涉及的内容较为丰富。公司的形象、软件硬件资产、信息资产等都属于资产的范畴。对资产进行有效评估要做到抓住关键点，首先解决关键资产的评估。
2.分析资产面临的威胁
在确定资产之后要对资产进行全面的科学分析，找出资产中的薄弱点，以及针对薄弱点可能造成的危害，准确估算危害的发生概率及带来的损失。
3.针对危害制定有效的措施
准确分析所面临的的威胁之后，就要努力的消弱威胁带来的影响，通过各种有效手段把风险降到最低。不必进行决策工作，只需拟定各种安全措施并估算所需费用。安全措施必须科学全面，能够从根本上解决问题，并且要有很强的针对性。
4.科学决策
应从转移风险、接受风险、避免风险这三个角度科学合理的进行决策。同时要注意对残余风险考虑。决策过程中，要争取更多相关人员的参与，为决策过程提供自己的意见和建议。
5.监督实施
制定科学有效的决策之后，就要按照决策组织实施安全措施，实施的工程中
要进行严格的监督，保证整个实施过程按照据侧开展。在实施的过程中也要做好随时应对新威胁的准备，并且根据新威胁对决策进行改正和完善。此外，由于信息系统始终处在变化之中，要根据具体的变化对信息安全进行准确快速的评估，保证将信息安全风险降到最低。
五、信息安全风险评估中存在的问题分析
虽然目前我国的信息安全风险评估有了一定的进步和发展，但是尚且处于发展的初级阶段，各方面都存在着一些问题。
1.人才的紧缺。目前在我国专业的评估人员较为缺乏，评估工作的开展受到了很大的阻碍。
2.评估方法不具备较强的可操作性，目前还没有形成较为完善、系统的风险评估工具。
3.信息安全风险评估的标准各异，在评估时不知道按照哪个标准开展评估工作，致使评估工作不能得到顺利的开展，风险评估不能达到应有的效果。
4.管理者的风险意识不强。
六、信息安全的预防
针对信息安全所面临的的威胁，主要从“人”和“网”两个方面采取预防措施，防止危害信息安全的事件发生。
首先，要加强对员工的管理。严令禁止员工在工作期间访问一些、色情、病毒网站，防止这些网站中的病毒对企业信息造成危害；不得下载未经安全检测的软件；不能占用较大的宽带。这些措施在财务和管理部门的实施要更为严格。
其次，加强网络安全管理建设。虽然混合网络能大幅度节省企业的开支，但出于安全考虑，企业最好将公共网络与内网进行分离。
总结：信息技术的发展，促进了社会的进步。但是我们要正视信息安全面临的一些问题，并做好信息安全的风险评估和预防工作。信息安全在某种程度上说是不可避免的，因此我们要做好信息安全风险评估工作，将信息安全事件带来的影响降到最低。本文着重介绍了关于信息安全风险评估的一些基本内容，包括风险评估的方法、工具、评估过程和评估工作中存在的问题，让人们更能了解评估工作的重要性。同时简单的提出了对信息安全的预防措施，尽量减少危害信息安全事件的发生。如何保证信息安全、做好信息安全的风险评估和预防工作，还需要更多专业人士的共同努力。
参考文献：
[1]李宗鹏.企业信息安全防御措施[J].城市建设理论研究，2011（32）
关键词：电子商务；信息安全；风险评估；对策
基金项目：郑州科技学院大学生创新创业训练计划项目：电子商务信息安全风险评估关键技术及应用（编号：DCY2019007）
1.引言
电子商务是以互联网为基础，以商城消费者产品物流为构成要素进行的电子商务活动。当电子商务相关部门或人员在进行项目开发时，拥有一套信息安全风险评估系统可以帮助其采用科学合理的方法对潜在威胁进行分析并保证经济系统的安全。所以将信息安全技术与现代化新兴技术结合，将为我们打造一个更加优质的网络环境。
2.电子商务系统中存在的信息安全问题及现状
一般来说，电子商务的信息安全是指在电子商务交易的过程中双方使用各种技术和法律手段等确保交易不会因为意外，恶意或者披露这些不利要求而受到损害的信息安全。在21世纪初叶，我国金融系统中的计算机犯罪率一直在不断地增加，我国金融网络信息安全形势非常严峻，需要加强改善。下面就电子商务网络中的信息安全问题做一个简要介绍，主要涉及以下几个方面：
（1）由于编写的电子商务系统软件可以使用不同的形式，因此在实际应用过程中难以避免的会留下安全漏洞。例如，网络操作系统本身会存在一些安全问题，例如非法访问I/0，这些不完全的调解和混乱的访问控制会造成数据库安全漏洞，而这些漏洞严重影响了电子商务系统的信息安全性.特别是在设开始设计之前就没有考虑TCP/IP通信协议的安全性，这一切都表明当前的电子商务系统网络软件中有一些可以避免或不可避免的安全漏洞。此外信息共享处理带来也存在风险。在信息的传递过程中，需要不断地对信息源进行加工和重现，截取有用信息，不可避免会出现信息转化方面的风险。尤其是在当下“社交+商务”的模式下，一条消息可能瞬间在社交网站上转载数万次或者更多，一旦在信息转载中出现误差，影响非常大，风险应当给予重视。
（2）随着网络技术的广泛应用，计算机病毒带来的问题越来越广泛，压缩文件，电子邮件已经成为计算机病毒传播的主要途径，因为这些病毒的种类非常多样化，破坏性极强，使得计算机病毒的传播速度大大加快了。近年来，新病毒种类的数量迅速增加，互联网为这些病毒的传播提供了良好的媒介。这些病毒可以通过网络大量传播任何粗心大意都会造成无法弥补的经济损失。此外还有信息传递过程所带来的风险。信息是一种重要的资源，良好的流动性能實现信息价值的最大化，但是在信息的传递过程中需要经过许多路径，而在这过程中往往存在一些不安全因素，给信息安全带来一定的风险。
（3）当前的黑客攻击，除了计算机病毒的传播外，黑容的恶意行为也越来越猖狂。特洛伊木马使黑容可以使用计算机病毒从而变得更加有目的性，使得计算机记录的登录信息被特洛伊木马程序恶意篡改，导致很多重要信息、文件，甚至是金钱被盗。
（4）由人为因素造成的电子商务公司的安全问题，大部分保密工作是通过员工的操作来进行的，这就需要员工具有很好的保密性，责任心和责任感等道德素质。如果员工的责任心不强，态度不正确，就容易被别人利用，让无关人员随意进出房间或向他人泄露机密信息，可以让罪犯废除重要信息。如果工作人员缺乏良好的职业道德，可能会非法超出授权范围更改或删除他人的信息，而且还可以利用所学专业知识和工作位置来窃取用户密码和标识符，进行非法出售。
3.电子商务信息安全风险评估存在的问题
经过大量的数据收集与分析不难发现对信息安全风险评估是当前科研工作中噬待解决的问题。目前，国内也有一些关于信息安全风险评估的研究和应用，但是这些研究都只是简单的分析，包括常用的具有风险的风险评估工具。评估矩阵，问卷，风险评估矩阵与问卷方法，专家系统相结合。对于更深层次的探究还需进一步努力。此外，网络信息安全风险评估方法常用定量因子分析方法，时间序列模型，决策树方法和回归模型进行。风险评估方法，定性分析主要包括逻辑分析，Delphi方法，因子分析方法，历史比较方法等。其中，定量和定性评估方法相结合，是由模糊层次分析法，基于D-S证据理论等的评估方法组成。同时网络信息安全风险评估还存在一定问题，例如随着网络的发展，我国从开始的2G迈向4G现在又率先进入5G时代。其中也出现了各种问题，网民数量的增加需要迫切提高他们对信息安全的警惕意识。
3.1欠缺对电子商务信息安全风险评估的认识
当前，许多相关人员对电子商务信息系统面临着巨大的挑战的现状并未有足够的意识，缺少信息安全风险评估经验。因此他们没有重视信息安全风险评估的重要性，其原因如下。第一，公司或单位的风险评估尚未通过标准检验，培训标准，信息安全风险评估工作的研究尚未得到系统的相关理论，方法和技术工具，这是由于一些信息安全评估工作相关领导层和工作人员对信息评估风险评估的重要性的认识不足，因此自然而然不将此类风险评估工作包括在当前的信息安全系统框架中。第二，尽管有许多部门将信息安全工作置于地位重要，但受到人力、物力，财力等方面的限制，社会制度的制约，政策法规的欠缺使得信息安全系统的信息安全风险评估工作无法得到应有的重视。
3.2缺乏信息安全风险评估方面的专业技术人才
首先，信息安全风险评估的技术内容要求非常高，它要求员工具有很高的技术水平，现在很多公司都将通用信息用作风险评估技术人员。其次，信息安全风险评估是一项集综合性，专业性于一体的工作，不仅涉及公司的所有业务信息，也涉及人力，物力和财力的方方面面，因此需要各部门之间相互配合，现在大多数公司仅依靠信息部门，独立的参与信息安全风险评估毫无争议他们要想完成信息安全风险评估工作是非常艰难的。综上所述，培养信息安全风险评估专业技术人员是今后信息技术方面发展的方向。
3.3风险评估工具相对缺乏
当前，除专家系统外，其他分析工具相对来说都比较简易，除此之外还缺乏实用的理论基础。此外，这种信息风险评估工具在应用中的发展呈现的现状。表明国内和外部失衡，在中国相对落后。可见解决信息安全问题的关键在于有成熟的风险评估工具。
4.防范电子商务信息安全及风险的建议
4.1增强电子商务信息安全和风险评估的意识
大多数信息的传输和处理，与人是密不可分的。特别是掌握人员的重要信息和核心业务，人员的个人因素，管理因素和环境存在风险。主要包括人员的技术能力，监控管理，安全性。特别需要做好监督审计公司的工作，确保信息安全风险管理融入实践，充分发挥内部监督作用，促进社会责任认可和实施信息安全风险管理工作。电子商务公司必须对工人进行必要的信息安全知识教育培訓，了解与之相关的法律法规，做好对客户关键信息的隐秘保护。不随意查看和泄露客户购买信息。
企业应该加大力度保障网络通信操作时信息的机密性和完整性，加强密钥管理，提高应对网络攻击能力，采取措施避免越权或滥用，消除用户在交易中的风险。在信息安全风险控制中必须由内到外地保护内部系统环境、网络边界、骨干网安全。为网络信息系统建立完善的管理系统，并提供全面的安全保障。运用端到端策略。对于移动电子商务中用户终端设备种类繁多，安全环境复杂难以控制的问题，必须做好数据传输中的重要环节中的身份鉴定。通过人脸识别、指纹识别等技术有效提高用户访问身份鉴别能力，极大地提高账户的安全性，确保数据传输的安全性，确保交易的真实有效。
4.2提供专业的技术培训，提高专业人员的技能
认真选择第三方合作伙伴，增强信息管理水平，加强绩效监督管理。树立合理的企业内部组织结构和有效资金保障，培养员工信息安全意识，创造良好信息安全工作氛围，加强信息安全专业技术人员对信息安全风险评估的意识和能力，通过大量的实验发现可以通过下列方法培训相关人员：第一，定期开展信息安全风险评估工作，将公司员工集合共同学习相关资料以提升他们对信息安全的意识弥补存在的缺陷。第二，对信息安全部门的员工进行专门的技术培训和指导，可通过模拟分析来提升技术；第三，公司应增加对技术资源的投入，聘请经验丰富的专家学者组成第三方评估机构，引进风险评估设备。以备不时之需；第四，公司应对技术人员进行标准化认证培训，执行职业资格准入制度，提高技术人员的门槛，纳入信息安全风险评估，技术人员的全面质量保证评估。以上这些方法只是单纯就培训方式对于具体的实施以及可能遇到的问题依然需要研究。
4.3提升对信息安全防范技术的研究和应用
为移动数据库存储的数据进行加密以防止泄漏，采用不同的加密方法来保护数据安全，进行身份认证，数据恢复，数据加密存储，物理隔离，防火墙，网络，网络设备，网络入侵检测，网络漏洞扫描，网络设备备份，网络管理，专线，实现网络管理等一系列技术手段，从而提高数据库的安全性。同时提高认识到物理设施的重要性，定期维护物理设施。为了监测信息安全和实施评估系统，我们要保证基本硬件和芯片的独立在建立独立于信息安全的评估体系中，国内外统一组织重要的信息安全技术研究，建立创新的电子商务信息安全与评估体系。
【 关键词 】 信息安全；等级保护；风险评估
Information Security Hierarchy Protection and Risk Assessment
Dai Lian-fen
（China Petroleum & Chemical Corporation Guangzhou Branch GuangdongGuangzhou 510725）
【 Abstract 】 This paper on how to combine the hierarchy protection of information security risk assessment a beneficial exploration, to effectively support the information systems hierarchy protection construction provides the reference.
【 Keywords 】 information security;hierarchy protection;risk assessment
1 风险评估是等级保护建设工作的基础
等级保护测评中的差距分析是按照等保的所有要求进行符合性检查，检查信息系统现状与国家等保要求之间的符合程度。风险评估作为信息安全工作的一种重要技术手段，其目标是深入、详细地检查信息系统的安全风险状况，比差距分析结果在技术上更加深入。为此，等级保护与风险评估之间存在互为依托、互为补充的关系，等级保护是国家一项信息安全政策，而风险评估则是贯彻这项制度的方法和手段，在实施信息安全等级保护周期和层次中发挥着重要作用。
风险评估贯穿等级保护工作的整个流程，只是在不同阶段评估的内容和结果不一样。《信息系统安全等级保护实施指南》将等级保护基本流程分为三个阶段：定级，规划与设计，实施、等级评估与改进。在第一阶段中，风险评估的对象内容是资产评估，并在此基础上进行定级。在第二阶段中，主要是对信息系统可能面临的威胁和潜在的脆弱性进行评估，根据评估结果，综合平衡安全风险和成本，以及各系统特定安全需求，选择和调整安全措施，确定出关键业务系统、子系统和各类保护对象的安全措施。在第三个阶段中，则涉及评估系统是否满足相应的安全等级保护要求、评估系统的安全状况等，同时根据结果进行相应的改进。
等级保护所要完成的工作本质就是根据信息系统的特点和风险状况,对信息系统安全需求进行分级, 实施不同级别的保护措施。实施等级保护的一个重要前提就是了解系统的风险状况和安全等级, 所以风险评估是等级保护的重要基础与依据。
2 等级保护建设过程中如何有效地结合风险评估
2.1 以风险评估中资产安全属性的重要度来划分信息系统等级
在公安部等四部局联合下发了《信息安全等级保护的实施意见》公通字2004第66号文中，根据信息和信息系统的重要程度，将信息和信息系统划分为了五个等级自主保护级、指导保护级、监督保护级、强制保护级和专控保护级。实际上对信息系统的定级过程，也就是对信息资产的识别及赋值的过程。在国家的《信息系统安全等级保护定级指南》中，提出了对信息系统的定级依据，而这些依据基本的思想是根据信息资产的机密性、完整性和可用性重要程度来确定信息系统的安全等级，这正是风险评估中对信息资产进行识别并赋值的过程：对信息资产的机密性进行识别并赋值；对信息资产的完整性进行识别并赋值；对信息资产的可用性进行识别并赋值。从某种意义上来说，信息系统(不是信息)的安全等级划分，实际上也是对残余风险的接受和认可。
2.2 以风险评估中威胁程度来确定安全等级的要求
在等级保护中，对系统定级完成后，应按照信息系统的相应等级提出安全要求，安全要求实际上体现在信息系统在对抗威胁的能力与系统在被破坏后，恢复的速度与恢复的程度方面。而这些在风险评估中，则是对威胁的识别与赋值活动；脆弱性识别与赋值活动；安全措施的识别与确认活动。对于一个安全事件来说，是威胁利用了脆弱性所导致的，在没有威胁的情况下，信息系统的脆弱性不会自己导致安全事件的发生。所以对威胁的分析与识别是等级保护安全要求的基本前提，不同安全等级的信息系统应该能够对抗不同强度和时间长度的安全威胁。
2.3 以风险评估的结果作为等级保护建设的安全设计的依据
在确定信息系统的安全等级和进行风险评估后，应该根据安全等级的要求和风险评估的结果进行安全方案设计，而在安全方案设计中，首要的依据是风险评估的结果，特别是对威胁的识别，在一些不存在的威胁的情况下，对相应的脆弱性应该不予考虑，只作为残余风险来监控。对于两个等级相同的信息系统，由于所承载业务的不同，其信息的安全属性也可能不同，对于需要机密性保护的信息系统，和对于一个需要完整性保护的信息系统，保护的策略必须是不同，虽然它们可能有相同的安全等级，但是保护的方法则不应该是一样的。所以，安全设计首先应该以风险评估的结果作为依据，而将设计的结果与安全等级保护的要求相比较，对于需要保护的必须符合安全等级要求，而对于不需要保护的则可以暂不考虑安全等级的要求，而对于一些必须高于安全等级要求的，则必须依据风险评估的结果，进行相应高标准的设计。
3 结束语
风险评估为等级保护工作的开展提供基础数据，是等级保护定级、建设的实际出发点，通过安全风险评估，可以发现信息系统可能存在的安全风险，判断信息系统的安全状况与安全等级保护要求之间的差距，从而不断完善等级保护措施。文章对等级保护工作中如何结合信息安全风险评估进行了有益的探索，为有效地支撑计算机信息系统等级保护建设的顺利进行提供了参考。
参考文献
[1] 吴贤.信息安全等级保护和风险评估的关系研究.信息网络安全，2007.
[2] 冯登国,张阳,张玉清.信息安全风险评估综述.通信学报，2004.
1 信息安全风险评估基本理论
1.1 信息安全风险
信息安全风险具有客观性、多样性、损失性、可变性、不确定性和可测性等多个特点。客观性是因为信息安全风险在信息系统中普遍存在;多样性是指信息系统安全涉及多个方面;损失性是指任何一种信息安全风险，都会对信息系统造成或大或小的损失;可变性是指信息安全风险在系统生命周期的各个阶段动态变化;不确定性是一个安全事件可以有多种风险;可测试性是预测和计算信息安全风险的方法。
1.2 信息安全风险评估
信息安全风险评估，采用科学的方法和技术和脆弱性分析信息系统面临的威胁，利用系统，评估安全事件可能会造成的影响，提出了防御威胁和保护策略，从而防止和解决信息安全风险，或控制在可接受范围内的风险，最大限度地保护系统的信息安全。通过评价过程对信息系统的脆弱性进行评价，面临威胁和漏洞威胁利用的负面影响，并根据信息安全事件的可能性和严重程度，确定信息系统的安全风险。
2 信息安全风险评估原理
2.1 风险评估要素及其关系
一般说来，信息安全风险评估要素有五个，除以上介绍的安全风险外，还有资产、威胁、脆弱性、安全措施等。信息安全风评估工作都是围绕这些基本评估要素展开的。
2.1.1 资产
资产是在系统中有价值的信息或资源，是安全措施的对象。资产价值是资产的财产，也是资产识别的主要内容。它是资产的重要程度或敏感性。
2.1.2 威胁
威胁是导致不期望事件发生的潜在起因，这些不期望事件可能危害系统。
2.1.3 脆弱性
脆弱性是资产存在的弱点，利用这些弱点威胁资产的使用。
2.1.4 安全措施
安全措施是系统实施的各种保护机制，这种机制能有效地保护资产、减少脆弱性、抵御威胁、减少安全事件的发生或降低影响。风险评估围绕上述基本要素。各要素之间存在着这样的关系：
(1)资产是风险评估的对象，资产价值是由资产价值计量的，资产价值越高，证券需求越高，风险越小。
(2)漏洞可能会暴露资产的价值，使其被破坏，资产的脆弱性越大，风险越大;
(3)威胁引发风险事件的发生，威胁越多风险越大;
(4)威胁利用脆弱性来危害资产;
(5)安全措施可以防御威胁，减小安全风险，从而保护资产。
2.2 风险分析模型及算法
在信息安全风险评估标准中，风险分析涉及资产的三个基本要素，威胁和脆弱性。每个元素都有它自己的属性，并由它的属性决定。资产的属性是资产的价值，而财产的威胁可以是主体、客体、频率、动机等。财产的脆弱性是资产脆弱性的严重性。在风险分析模型中，资产的价值、威胁的可能性、脆弱性的严重程度、安全事件的可能性和安全事件造成的损失，两者是整合的，它是风险的价值。
风险分析的主要内容为：
(1)识别资产并分配资产;
(2)确定威胁，并分配潜在的威胁;
(3)确定漏洞，并分配资产的脆弱性的严重程度;
(4)判断安全事件的可能性。根据漏洞的威胁和使用的漏洞来计算安全事件的可能性。
安全事件发生可能性=L(威胁可能性，脆弱性)=L(T，V)
(5)计算安全事件损失。根据脆弱性严重程度和资产价值计算安全事件的损失。
安全事件造成的损失=F(资产价值，脆弱性严重程度)=F(Ia，Va);
(6)确定风险值。根据安全事件发生可能性和安全事件造成的损失，计算安全事件发生对组织的影响。
风险值=R(A，T，V)=R(F(Ia，Va)，L(T，V))
其中，A是资产;T是威胁可能性;V是脆弱性;Ia是资产价值;Va是脆弱性的严重程度;L是威胁利用脆弱性发生安全事件的可能性;F是安全事件造成的损失，R是风险计算函数。
3 信息风险分析方法探析
作为保障信息安全的重要措施，信息安全系统是信息安全的重要组成部分，而信息安全风险评估的算法分析方法，风险评估作为风险分析的重要手段，早已被提出并做了大量的研究工作和一些算法已成为正式信息安全标准的一部分。从定性定量的角度可以将风险分析方法分为三类，也就是定性方法、定量方法和定性定量相结合。
3.1 定性的风险分析方法
定性的方法是凭借分析师的经验和知识的国际和国内的标准或做法，风险管理因素的大小或程度的定性分类，以确定风险概率和风险的后果。定性的方法的优点是，信息系统是不容易得到的具体数据的相对值计算，没有太多的计算负担。它有一定的缺陷，是很主观的，要求分析有一定的经验和能力。比较著名的定性分析方法有历史比较法、因素分析方法、逻辑分析法、Delphi法等，这些方法的成败与执行者的经验有很大的关系。
3.2 定量的风险分析方法
定量方法是用数字来描述风险，通过数学和统计的援助，对一些指标进行处理和处理，来量化安全风险的结果。定量方法的优点是评价结果直观，使用数据表示，使分析结果更加客观、科学、严谨、更有说服力。缺点是，计算过程复杂，数据详细，可靠的数据难以获得。正式且严格的评估方法的数据一般是估计而来的，风险分析达到完全的量化也不太可能。与著名的定时模型定量分析方法、聚类分析法、因子分析法、回归模型、决策树等方法相比较，这些方法都是具有数学或统计工具的风险模型。
3.3 定性定量相结合的风险分析方法
是因为有优点和缺点的定量和定量的方法，只使用定性的方法，太主观，但只有使用定量方法，数据是难以获得的，所以目前常用的是定性和定量的风险分析方法相结合。这样，既能克服定性方法主观性太强的缺点，又能解决数据不好获取的困难。典型的定性定量相结合的风险评估工具有@Risk、CORA等。
查找信息资产存在的漏洞，结合现有控制措施，分析这些威胁被利用的可能性和造成的影响，根据可能性和影响评估风险的大小，提出风险控制措施的过程。《国家信息化领导小组关于加强信息安全保障工作的意见》在2003年9月被提上日程（简称27号文），提出了“信息安全风险评估是信息安全保障的重要基础性工作之一”。为了贯彻27号文的精神，进一步识别信息系统存在的风险，并对其进行控制，很多单位启动了风险评估项目。而风险评估项目又不同于一般的IT项目，有其自身的特点。
2信息安全风险评估项目的过程管理
可以从五个方面解释信息安全风险评估项目的生命周期，即数据收集、计划准备、数据分析、项目验收、报告撰写，其中一三五是风险评估的主要实施阶段。
2.1计划准备阶段
（1）制定项目章程。在信息安全风险评估项目中，应尽早确认并任命项目经理，最好在制定项目章程时就任命。项目经理的职责首先就在于应该参与制定项目章程，而该章程则具有授权的作用，即它能够使得经理能够运用组织资源来进行项目的实施。显而易见，项目经理是被授权的一方，必然不能成为授权项目运行有效的一方。授权项目启动的人一般而言能够提供实施项目所需要的资金等资源，他们能够参与章程的编制。
（2）确定风险评估范围。确定风险评估范围即要了解什么方面或者对象具有风险爆发的可能，例如公司的服务器数目、电脑操作系统的安全性和稳定性、应用的防火墙种类和数目等，甚至一些人为的因素也是重要的参考。
（3）明确风险评估成果。在信息安全风险评估项目中，应该在项目开始之前，与客户将项目提交的成果及要求确定下来。明确风险评估成果之后，在项目执行过程中，该目标也应该作为项目验收的标准。
（4）制定项目实施方案。项目实施方案是项目活动实施的具体流程，主要用来为项目实施提供技术指导。
（5）制定项目管理计划。如果想要计划实施过程一切顺利，或者说对定义等计划行动的过程需要记录的话，就会需要制定一个项目管理计划。项目管理计划需要通过不断更新来渐进明细。项目管理计划不能冗余，相反应该极其精炼，但是精炼并不意味着简单，相反项目管理计划应详细论述和解释完成这个项目所需要的一些条件。
（6）组建项目团队。一个优秀的项目团队是完成项目所必不可少的，是一种必须的人力资源。在项目开始时，一般而言，由项目经理来决定优秀团队的组成，并且在组建团队时应该注意谈判技巧。
（7）召开项目启动会。项目启动会代表着一个项目从此开始了正式的运作，是一个项目的启动阶段，在项目启动会上需要完成的任务包括分析评估完成项目所需要的方法和成本等问题。
（8）风险评估培训。风险评估培训是对项目团队成员及客户的项目参与者就风险评估方法、评估过程的相关细节性进行培训，以便项目能顺利实施。
2.2数据收集阶段
主要包括收集资料、现场技术评估、现场管理评估三项任务。
（1）收集资料。数据收集阶段最开始的步骤肯定是收集资料，简而言之，收集资料就是采取一切可行的方法，尽可能详细地获得和项目相关的一些信息，例如客户的行为习惯、客户业务相关的文档，甚至信息安全系统、信息化流程等信息都要尽量详细化。
（2）现场技术评估。现场技术评估就是通过漏洞扫描、问卷调查、现场访谈、主机配置审计、现场勘查等手段对评估对象进行评估。
（3）现场管理评估。现场管理评估是最后一个步骤，但是却非常重要，它不仅关系着此次项目运行成功与否，还关系到以后项目效率的改进，现场评估需要对项目进展的流程进行综合分析，找出不足之处，寻出与优秀的项目管理之间的差距，归纳总结，从而完善管理程序。
2.3数据分析阶段
收集数据阶段已经收集了很多的数据存量，想要发现数据的内在规律，从而发现有用的东西，就必须对数据进行详细分析，只有仔细分析数据，才能够发现项目的风险所在，从而确定风险的大小，找出其资产、弱点、风险。
2.4报告撰写阶段
对收集到的数据进行了详细分析，得到初步的结论以后，就到了报告撰写阶段，即在数据分析的基础上，制作一份报告，论述项目的风险问题。
（1）撰写风险评估报告。风险评估报告应该将风险分析的结果直观地、形象地表达出来，让管理层清楚地了解当前信息系统存在的风险。
（2）撰写整改报告。整改报告则是根据风险评估的结果，提出对风险进行管理与控制的过程。可分为安全加固建议、安全体系结构建议、安全管理建议三种。
2.5项目验收阶段
在完成了以上的步骤以后，理论上就可以对项目进行验收了，项目验收即对前期风险评估成果的检验，一般包括三项内容，即报告的评审、组织会议讨论验收事宜以及内部项目总结。
（1）报告评审报告评审就是对风险评估报告及整改报告进行评审。
（2）召开项目验收会即对项目的成果进行汇报。
（3）内部项目总结不仅仅是单纯的对项目实施过程的一次简单的回顾，还是一个经验总结的过程，回顾过去，把握现在，争取在以后的项目中不再犯同样的错误。
3信息安全风险评估项目的重点领域管理
信息安全问题影响深远，其风险评估应根据项目的特点及具体过程，且应在评估中重点加强沟通、范围、时间、成本、风险、人力资源等几个领域的管理。
3.1项目沟通管理
为了达到项目目标，项目经理首先必须通过沟通谈判从本公司获得相应的人力资源等支持；其次，为了获得客户的支持与配合，提高项目满意度，项目经理必须与客户进行有效沟通。项目的最终目标是满足或者超过干系人的需求与期望。要满足或者超过干系人的需求与期望，首先应该识别干系人，识别他们的需求与期望，制定沟通计划，在项目实施过程中管理干系人的需求与期望。
（1）识别干系人。很显然，与项目的相关程度不同，不同的人对项目信息安全风险具有不同的影响，作为客户方与项目实施方，其公司企业的信息安全风险是不一样的，一般而言客户方具有最大的影响力，公司方则次之，干系人对项目的态度也是影响项目信息安全风险的重要因素，态度一般分为无关、支持和反对三个。
（2）了解干系人的需求与期望。应该在充分了解项目背景的基础上，运用一定的方法与技巧了解干系人的需求与期望。①了解项目背景。可以咨询售前顾问、销售人员或者查阅招标时的招标书，甚至可以通过互联网获得相关信息。风险评估项目的项目背景也是复杂的，一般而言会分成很多的情况，比较常见的有项目本身实施过程中出现的信息安全事件、监管机制的不合理等。②了解干系人需求与期望的方法。马期洛需求层次理论可以帮助我们了解干系人需求与期望。通过马期洛需求层次理论可以大致了解干系人的需求，然后通过换位思考、沟通交流等手段，进一步确认干系人的需求与期望。
（3）制定沟通计划。信息安全风险评估项目需要沟通，所以需要制定一个有效的沟通计划。信息安全风险评估项目不能够随意地制定沟通计划，而应该详细地分析相关的影响因素，重点关注利益相关者的沟通情况，从而降低影响，提高效率。
（4）管理干系人的需求与期望。干系人的期望与需求也应该得到恰当的管理，最重要的是要明确期望与需求，进行类别的划分。可分为A、B、C三类：A类：必须做（need），这一类如不做，将难以通过验收；B类：应该做（want），这一类如不做，会影响验收效果；C类：可以做（wish），这一类是可做可不做的，做了客户会更加满意，不做也不会影响验收。其次，在管理干系人的需求与期望时，应该遵循80/20规则，即完成20%的任务实现80%的价值，这部分任务必须作为重点。另外，可能还有20%的任务花费80%的成本，在资源及时间允许的情况下处理此类需求与期望。再次，在管理干系人的需求与期望时也可以根据干系人的职权（权力）进行管理。①在第一象限中的干系人权力高，但对项目关注程度低，采用令其满意的管理策略。②在第二象限中的干系人权力高，且对项目关注程度高，要对其重点管理，优先满足其需要与期望。③第三象限的人员对项目关注程度高，但权力较低，采用随时告知的策略，尽量不要影响其个人利益。④第四象限的人权力低，且对项目不关注，要监督他们对项目的反应，不引起负面影响。最后，为了满足干系人的需求与期望，需要在项目范围、项目时间、项目成本、项目质量之间做好平衡。
3.2项目范围管理
范围是一个空间的范畴，一个项目管理的范围规定了一个项目的权限范围，规定了项目可以做哪些事情，而哪些事情是不能做的，实际上是对必要工作的坚持和对不必要工作的摒弃。
（1）明确风险评估范围。项目计划准备时就要考虑风险评估范围，在这一阶段就应该定义项目范围的广泛性以及纵深等内容，并且考虑客户的需求，从而明确项目管理范围。项目范围的确定不是一方所能够决定的，相反这是一个博弈的过程，应该照顾各方的利益，制定出一个符合各方利益的项目管理范围。
（2）明确风险评估成果。应该在项目开始之前，与客户将项目提交的成果及要求确定下来。一是在项目执行过程中，以此为目标；二是设定一个验收项目的标准。
（3）创建工作分解结构。顾名思义，创建工作分解结构即将解构分解，即把项目的最后结果和其工作流程明细化，从而使得每一步变得简单，更加容易操作。在信息安全风险评估项目中，第一层一般就放置项目成果，而第二层则更加侧重中间成果。显而易见，分解工作结构并不是一件简单的事情，也不是只有一种方法，各层次都是可以相互变化的。
（4）风险评估范围控制。范围是所有计划的基础。对待客户提出范围变更应该遵循以下流程：首先不能明确拒绝，然后要分析客户变更的原因及目的，快速反应变更所需要的人工及预算对时间和质量的影响，然后再做出决定。
（5）风险评估成果核实。风险评估成果核实过程应该严谨而且细心，因为这是一个正式验收项目的过程，需要由客户和项目的执行人一起认真核实项目的最终结果。
（6）取得干系人对项目范围正式认可。它要求审查可交付成果和工作结果，以保证一切均已正确无误且令人满意地完成。
3.3项目时间管理
时间管理至关重要，因为优秀的时间管理保证项目能够不延期交付。
（1）定义活动。定义活动从字面上理解就是一个识别的过程，定义识别的是在项目的实施过程中需要采取的一切实施方法和步骤。它是在工作分解结构的基础上进行细化而完成的。
（2）排列活动顺序。活动顺序涉及到的是一个排列的问题，指的是一种依赖关系，即识别和记录项目活动的依赖关系，是一种逻辑的过程。一般而言，这里所指的依赖关系指的是信息安全风险评估项目中，各个活动之间所具有的特性，如强制性、选择性和外部依赖性。确定完活动之间的依赖关系，就可以对他们进行排序了，可以采用网络图的方法来表达他们之间的顺序，常有三种关系，即完成-开始，开始-开始，结束-结束。
（3）估算活动持续时间。估算活动持续时间是一个时间上的范畴，指的是估计资源运用和消耗，以及估计完成一项活动所需工时的过程。需要根据活动的具体情况、负责活动的人员情况来进行估算。估算不能随意，应该具有严格的依据。工时估算时，常采用三点估算法。即估算工时=（最乐观时间+4×最可能时间+最悲观时间）/6。①制定进度计划。制定进度计划首先需要对所掌握的信息进行深入分析，从而确定活动的顺序，并且在时间和空间上确定一个相对准确的点，估算对资源的需求以及项目实施流程。制定一个有效的进度计划并不是件简单的事情，而是极其复杂的过程，在这期间需要一遍又一遍分析，从而确定一个合适的时间跨度，并且对项目结果有一个合适的预期。即使制订了进度计划，也不是一成不变的，而是要根据相关审查部门的意见适当地修改计划，从而使得计划在时间和资源应用上更加合理。只有审查通过以后，这个进度计划才可以说是确定下来了。信息安全风险评估项目极其复杂，很多因素无论是内部的还是外部的，都对项目有很大的影响，并且鉴于有限的项目组成员，所以需要采用一个更加合适的进度计划形式。②控制进度。控制进度的同时也是一个对项目监督管理的过程，这一过程根据进度计划的基准不断地调整项目的进程。进度控制程序：一般分为四个步骤，即先要分析一个项目所散发的状态信息；然后如果需要调整进度，就要调整影响进度的相关参数；再次分析以后，要确定一个项目是否在原定的轨道上；如果进度脱离了轨道，就要进行相应的管理。
3.4项目成本管理
成本管理包括估算成本、制定预算、控制成本三项任务。
（1）估算成本。对成本的估算需要囊括整个项目的进程，时间跨度和空间跨度上均要全面。成本估算是在某特定时点，根据已知信息所做出的成本预测。信息安全风险评估项目的主要成本是人工成本及实施直接成本，因为人工成本占了所有成本的一大部分，所以精确地估算人工成本是成本估算最基础的一面。估算人工成本有个前提，即进度计划是准确的，从而对团队成员的人工估算做到精确。项目成本即使估算出来了，也不一定是准确的，需要时时修正，因为越到了项目的后期，需要估计的越少，影响估算准确性的因素也越少，所以成本估算需要不断进行。
（2）制定预算。制定预算也是一个估算的过程，是对一个项目的所有方面进行一个全面的评估，从而为以后资金的拨付制订了基础和基准。只有制定预算，才能够根据预算的需求来划拨资金，并且影响到了项目的实施全过程和成果评估部分。
（3）控制成本。成本的控制一般而言指的是成本不应该超出预算，控制成本是一个动态的过程，是监督项目状态，从而获得有用信息以更新项目预算。项目成本控制包括：找出影响项目成本的因素，并作相应的修改；保证修改项目参数能够成功；在修改成功以后，要随时动态地监督；控制成本，使得成本控制在预算的范围之内，甚至应该精确到每一项开支；分析成本与预算成本基准之间的差距；对照资金支出，监督工作绩效；严格禁止不相关的支出，使得每一项成本都合情合理；向有关干系人汇报项目进展和成本控制的工作；即使项目超支了，也要尽量减少成本。
3.5人力资源管理
人力资源管理在一个项目执行时包括很多方面的内容，例如管理组织一个实施团队、人员分工等。
（1）制定人力资源计划。制定人力资源计划是在项目实施之前对实施项目的团队、人员、职务、报酬等方面的规划，并且对各个人和团队的责任进行详细划分。人力资源计划包含项目角色与职责记录、分成的各个部门等。一些信息安全风险评估项目执行时间比较长，因此需要更加有效的团队，这就需要对人员进行培训以及制定团队建设策略等。风险评估项目的责任分配并不复杂，可采用责任分配矩阵（RAM），这个矩阵能够显示工作包或活动与项目团队成员之间的联系。并且根据需求的不同，制定不同层次的矩阵。
（2）组建项目团队。组建项目团队实际上是对人力资源使用和分配的过程，需要了解人力资源的各种特性，从而组建最合适的管理团队，在组建团队时需要注意：项目经理所要做的是积极地与人力资源人员进行交流，充分掌握各方面的信息，从而获得最合适和最有效率的人才。但是有时候项目经理并不能总是如愿地获得自己想要的人力资源，而是会受到如经济等其他项目对资源的占用等因素的影响，从而制约了项目的实施，作为替代，项目经理可能不可避免地使用不合适的人力资源。
（3）管理项目团队。管理项目团队是选出来运营项目的人所组成的团队，他们具有多样化的目标，例如继续学习，提高团队成员的专业技能，增强团队的执行能力从而保证项目结果的按时交付；以最低的成本完成最高质量的项目；按时完成项目，团队成员之间相互协作，增加团队效率，丰富团队成员的知识，增强其跨学科运作能力，提高团队的凝聚力，无论整体上还是个人上都有效率的提升等。项目经理在期间应该全权负责项目团队的管理运作，增加项目绩效，在团队出现问题时，分析导致问题的原因，然后解决问题。团队建设一般要经过5个阶段：①形成阶段，这个阶段是团队形成的最初阶段，团队成员只是互相认识，并没有相应的合作。②震荡阶段，指的是团队已经开始运作，但是成员之间需要磨合的阶段。③规范阶段，过了磨合期以后，团队成员彼此之间逐渐适应了彼此的节奏，能够进行初步合作了，团队开始有成为一个有效整体的趋向。④成熟阶段，这一阶段团队成员之间已经能够精诚合作，互补余缺，相互学习，团队效率较高。⑤解散阶段，即当项目完成以后，各成员完成了职责，从而脱离团队。因为各种各样的原因，例如缺乏充足的资金、进度安排不合理、团队成员之间缺乏配合等，会造成项目环境的冲突。如果项目经理能有效管理，则意见分歧能够转变为团队的多样化管理，不仅能够提高团队创造力还有利于做出更好的决策。如果管理不当，团队之间的分歧没有得到解决，就可能会加大团队成员之间的鸿沟，从而对项目的实施产生负面的影响。要建设高效的项目团队，项目经理需要获得高层管理者的支持，获得团队成员的承诺，采用适当的奖励和认可机制，创建团队认同感，有效管理冲突，团队成员间增进信任和开放式沟通，特别是要有良好的团队领导力。项目团队管理的一些工具与技术包括：①人际关系技能。通过了解项目团队成员的感情来预测其行动，了解其后顾之忧，并尽力帮助解决问题，项目管理团队可大大减少麻烦并促进合作。②培训。旨在提高项目团队成员能力的全部活动，培训可以是正式或非正式的。应该按人力资源计划中的安排来实施预定的培训。③制定管理规范，对项目团队成员的可接受行为做出明确规定。尽早制定并遵守明确的规则，可减少误解，提高生产力。规则一旦建立，全体项目团队成员都必须遵守。④认可与奖励。如果想要提高项目团队的效率，使得每个人更加尽心和更加富有责任感，就应在团队建设过程中引进相应的激励机制，在制定项目计划时就应该考虑到团队成员的奖惩问题。在管理项目团队的过程中，团队成员的奖励不是随意而发的，而是通过项目绩效评价，以正式或非正式的方式做出奖励决定。只有优良行为才能得到奖励。
3.6项目风险管理
项目风险管理旨在降低风险，或者把风险控制在可控范围之内。其目标是尽力使得项目运行向着有利的方面转化，对消极负面的一部分则注意防范。信息安全风险评估项目不属于特别大的项目，所以一般分为识别风险、评价风险、规划风险应对、监控风险四个过程。
（1）识别风险。识别风险是风险管理的前提，是一个信息处理的过程，在这个过程中判断分析什么样的风险会影响项目。可采用核对表的方式进行风险识别。
（2）评价风险。对于信息安全风险评估项目，评价风险只需要定性评价即可。实施定性风险分析根据风险发生的相对概率或可能性、风险发生后对项目目标的相应影响以及其他因素来评估已识别风险的优先级。
（3）规划风险应对。规划风险应对是风险管理最重要的步骤，其规划的是项目的目标及降低风险的步骤。对于消极风险，常有回避、转移、减轻、接受四种方式；对于积极风险，常有开拓、分享、提高、接受四种方式。
（4）监控风险。监控风险是风险管理的最后一步，也是第一步，因为它是贯穿在整个项目之中，是一个制定风险应对计划、监控已知风险、加强管理以解决风险以及发现新风险的过程。
4结语
档案信息安全保障体系的建设取得了一定的成绩，但同时存在许多问题，我们必须及时加以纠正和改进。档案信息安全保障体系的建设不是一蹴而就的，是一个复杂的社会工程。首先要纳入国家信息安全保障体系和电子政务信息安全保障体系的总体格局中，其次学习国内外保障体系建设的经验，结合档案信息资源的自身特点，将档案信息安全保障体系建设落到实处。档案信息安全保障存在的问题
1．对档案信息安全保护和保障概念混淆
信息安全是一个发展的概念，从通信保密、信息保护发展到信息保障，或者说是从保密、保护发展到保障。每个阶段的安全属性也是不断扩展的，保密阶段为保密性：保护阶段为保密性、完整性和可用性；保障阶段为保密性、完整性、可用性、真实性和不可否认性，甚至在国际标准《信息安全管理体系规范》ISO／IEC17799：2005中，又增加了可追溯性和可控性。信息安全属性也是信息安全的目标。保障阶段应采取相应的措施达到“七性”。
信息安全保障的提出最早源自美国。1996年美国国防部(DoD)在国防部令S-3600，1对信息安全保障作了如下定义：“保护和防御信息及信息系统，确保其可用性、完整性、保密性、可认证性、不可否认性等特性。这包括在信息系统中融入保护、检测、反应功能，并提供信息系统的恢复功能。”除安全属性不断丰富外，安全保障与安全保护主要区别是主动防御和动态保护。而与之对应的信息保护是静态保护(安全措施基本不变)和被动保护(发生安全事故后再采取防护措施)。
然而，目前大部分档案信息安全保障仍只达到安全保护水平。将安全保护和安全保障概念混淆，造成保障阶段的能力也停留在保护水平，不能从主动防御和动态保护来保障档案信息安全。在具体操作上。仍以身份认证、数据备份、安装防火墙、杀毒软件和入侵检测等被动保护措施为主。在日益复杂的档案信息系统和网络环境下，档案信息得不到应有的保障。
2．偏重技术，忽视管理
在美国国防部对安全保障的定义中，“保护、检测、反应和恢复”不仅体现动态保护，还体现安全管理，安全保障也是一个管理过程。
然而长期以来，人们对档案信息安全偏重于依靠技术。但事实上仅仅依靠技术和产品保障信息安全的愿望却往往难尽人意，许多复杂、多变的安全威胁和隐患靠产品是无法消除的，尤其是对内网用户的管理。“三分技术，七分管理”这个在其他领域总结出来的实践经验和原则。在档案信息安全领域也同样适用。据有关部门统计。在所有的信息安全事件中，属于管理方面的原因比重高达70％以上，而这些安全问题是可以通过科学的信息安全管理来避免的。因此，安全管理已成为保障档案信息安全的重要措施。
目前，国际上实现信息安全管理的有效手段是在信息安全等级保护制度下，进行信息安全风险评估。“早在20世纪70年代初期美国政府就提出了风险评估的要求。2002年颁布的《2002联邦信息安全管理法》对政务信息安全风险评估提出了更加具体的要求。”欧洲等其他信息化发达国家也非常重视开展信息安全风险评估工作，将开展信息安全风险评估工作作为提高信息安全保障水平的重要手段。国外风险评估标准主要有：BS7799、ISO／1EC 17799、OCTAVE、NIST SP800―30、AS／NZ54360、SSE―CMM等。
3．缺失安全评估体系
目前，我国档案信息安全保障体系的建设处于各自为政状态，没有将基于等级保护制度下的档案信息安全风险评估提到议事日程上来。由此造成档案信息系统建立并采取安全措施后，仍不能明确自己的网络和应用系统是否达到安全要求?还有哪些安全漏洞?可能造成多大危害?应该怎样解决?系统升级或调整后又存在哪些安全风险?如何规划档案信息安全保障体系建设?作为档案信息系统的拥有者、档案信息系统安全构建者和档案信息系统安全的监管者，必须有统一的风险评估标准，才可以做到档案信息安全与否谁也不能说了算，而应该按照统一的风险评估标准来评价是否安全。应采取什么措施。
档案信息安全保障状况需进行风险评估
2006年3月7日，酝酿已久的《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》(简称《意见》)正式对外公布。《意见》要求。各信息化和信息安全主管部门要从抓试点开始，逐步探索组织实施和管理的经验，用三年左右的时间在我国基础信息网络和重要信息系统普遍推行信息安全风险评估工作，全面提升网络和信息系统安全保障能力。
2005年9月，国务院信息化工作办公室专门组织成立了“电子政务信息安全工作组”，并已编制了《电子政务信息安全等级保护实施指南(试行)》，其中提出将风险评估贯穿等级保护工作的整个流程。所以，作为电子政务系统中保存和管理信息的档案信息系统，与电子政务一脉相承，进行风险评估是迟早的事。对档案信息安全保障进行风险评估主要有如下优势。
1．将档案信息安全保障体系纳入国家信息保障体系
国家已制定了风险评估标准GB／T 20948―2007《信息安全风险评估规范》，并将于2007年11月1日正式实施。作为我国信息资源重要组成部分的档案信息，必须积极响应国家信息安全政策和纳入国家信息安全保障体系的总体格局。档案信息安全风险评估可在此标准的基础上，结合档案信息自身特点，先开始在综合档案馆和电信、银行、税务、电力等大型档案信息管理系统中试验，在此基础上再逐步推广，达到国家要求“2006年后三年内在我国基础信息网络和重要信息系统普遍推行信息安全风险评估工作”基本目标。
2．规范档案信息安全保障体系建设
在档案信息化过程中。我们已经制定了GB／T17678.1―1999《CA D电子文件光盘存储、归档与档案管理要求。第一部分：电子文件归档与档案管理》、GB／T18894―2002《电子文件归档与管理规范》、GB/T20163―2006《中国档案机读目录格式》、DA／T 22―2000《归档文件整理规则》和DMT 3l一2005《纸质档案数字化技术规范》等国家标准和行业标准，然而与档案信息安全相关的标准尚未出台，造成目前档案信息安全保障体系的建设处于各自为政状态。档案信息风险评估的开展。虽然可以参照国际和国家标准，但最终还必须有针对性强的行业标准。为了改变目前的现状，档案行政管理部门应重视针对档案信息安全保障政策和标准的建设，抓住国家推广信息安全风险评估的机会。从风险评估作为切入点，制定档案信息风险评估和其他安全相关标准，规范档案信息安全保障的建设。由于对档案信息风险评估是以信息安全保障要求为前提的，所以只要进行风险评估就可以纠正信息保护和保障的混淆，并确认是否达到相应的保障要求。
3．贯彻安全技术和管理并重，保障档案信息安全
等级保护和风险评估是信息安全管理的核心内容，是信息安全管理的具体体现。国家提倡在等级保护制度下进行风险评估，就是在对信息系统划分等级后，采用风险评估测评系统是否达到相应等级的安全要求，这样可以改变以往只建设不测评的现状。同时，风险评估还要求贯穿信息系统的整个生命周期，即在信息系统的分析、设计、实现和运行维护的整个生命周期内，都将进行定期或不定期的风险评估，也体现信息安全保障的动态安全和主动防御。以往在我们档案信息安全保障的建设中也强调信息安全管理机制的构建，而风险评估就是很好的体现。风险评估的进行过程中。有相应的安全策略，按照“谁主管谁负责、谁运行谁负责”的要求，对在岗的每一位员工也有相应的安全职责，这样也提高了员工的安全意识。
4．完善档案信息安奎保障体系
对于已建、在建或将建的档案信息系统，以往没有进行风险评估的，应积极开展这项工作，在没有正式出台专门档案信息风险评估标准前，可参照国内国际标准进行，或者参与到电子政务信息的等级保护和风险评估中去。当然风险评估并不是信息安全保障的唯一手段(还包括等级保护、应急响应和灾难恢复等)，但它是档案信息安全保障不可或缺的一个重要环节。通过风险评估，可完善目前还没有达到保障要求的档案信息系统安全保障。另外，对于新建设的档案信息系统在设计阶段就要融入风险评估，这样可以防患于未然。
5．监督和检查档案信息安全保障建设
【 关键词 】 第三方支付系统；风险评估；支付流程；威胁树；最小威胁树
【 中图分类号 】 TP393 【 文献标识码 】 A
1 引言
第三方支付行业在近几年迎来了快速发展，特别是2011年对于我国的第三方支付行业来说是具有里程碑意义的一年，央行在2011年开始颁发非金融机构支付业务许可证，支付许可证的颁发反映出国家开始从制度政策层面规范第三方支付行业的发展，同时也对第三方支付行业的安全性提出了要求。因此，如何从信息系统安全角度对诸多第三方支付工具进行全面的评价，这将对网上支付以及网络购物的发展具有十分重要的现实意义。
当前国内外第三方支付行业的发展存在巨大差异，国外专门针对第三方支付安全的研究较少，而国内也只是部分学者在进行研究时内容会涉及到第三方支付的信息安全。赵德志基于项目管理视角对第三方支付进行了风险识别，认为第三方支付系统存在几种风险，分别是外部风险、组织风险、项目管理风险、技术管理风险，并对风险来源进行了细化，但该研究并未深入对第三方支付系统的安全风险进行有效评价。
以上研究对第三方支付市场存在的风险进行了一定的分析，但上述研究仍存在着一定的不足，主要体现在相关研究并未从信息安全的角度深入剖析第三方支付平台自身支付业务流程所可能存在的脆弱性以及防范重点，也没有对第三方支付进行流程再造提出相关建议，因此对于第三方支付安全事件的发生无法起到实质性的遏制，本文将从信息安全风险评估的角度对第三方支付系统进行深入研究。
下文将基于对第三方支付平台的一般支付流程和相关案例的定性分析，运用威胁树方法学，构建针对第三方支付的威胁树分析模型，并基于德尔菲法选择当前主流第三方支付平台进行信息安全评估，从而为用户从安全视角对第三方支付平台进行选择提供参考依据。
2 威胁树模型
2.1 威胁树定义及基本结构
2.2 威胁树的修剪
一个威胁的实现需要威胁即攻击者具有一定级别的能力。攻击者取决于下列因素：攻击成本、专门技术知识或工具、被逮捕和惩罚的概率等。叶子结点的指标值由分析者直接输入，数据来源可以是调研数据，历史事件资料以及方法评估获取，非叶子结点通过指标函数获取，根据并联关系和串联关系的不同而不同。可以根据结点某一指标作为阈值对威胁树进行修剪，“剪去”所有超过或低于某一阈值的路径，修剪过的树的集合（可以认为是图形的覆盖图）代表着所有威胁可能使用的可行的威胁完全集，从攻击的角度来讲是一个可行的攻击集，也就是最小威胁树。从预防的角度讲，是采取安全策略时应重点考虑的。
3 威胁树模型
3.1 基于威胁树的第三方支付系统信息安全评价模型构建
通过第三方支付业务流程以及对收集到的大量安全事件的定性分析，第三方支付系统信息安全事件的典型特征有几点：
1）第三方支付系统面临的最大风险是账户操作过程中的可支付余额；
2）第三方支付系统安全事件的发生一般是该两项密码通过各种手段如钓鱼网站、促销信息、升级提醒等手段被盗取；
3）某些木马病毒如支付宝大盗、浮云木马病毒，在支付环节通过篡改支付协议交换过程中的付款账户和金额等方式实现更具隐蔽性盗取；
4）部分案例显示数字证书可以通过一定手段绕过从而盗取用户资金，此环节可能存在重大安全隐患。
因此，根据威胁树方法学，可得到以下第三方支付的威胁树分析模型。
a） 第三方支付系统威胁树的修剪
根据威胁树方法学，可以通过某种指标比如攻击成本、攻击能力、成功概率等对威胁树进行修剪，本文拟采取德尔菲法的形式，邀请相关业内专家针对威胁攻击系统的可能性进行打分，从而对第三方支付系统的威胁树进行修剪，具体实施将在下文讨论。
4 第三方支付系统信息安全风险评估的实施
根据易观国际的最新数据显示，本文拟选取两个典型的第三方支付工具，支付宝和快钱进行对比分析。
5 第三方支付平台的风险管理
结合上述两个具体的第三方支付工具的最小威胁树，提出若干风险管理建议。
第一，加强用户操作的主体性认证，增加实时性主体认证手段，如手机短信，动态口令等手段。特别改变账户操作仅依靠密码进行的流程，从而增强安全性；目前一些主流的第三方支付工具，仅在安装数字证书，快捷支付等情况下才使用手机验证码，因此建议在转账、更换手机、提现等操作关键操作时，额外增加实时身份验证手段。
第二，针对数字证书用户，应加强对数字证书申请、取消环节的管理，进行必要的身份认证；并且建议增加对账户登录、异地操作的实时提醒，以提高账户的安全性，而此种服务目前多数第三方支付工具尚未提供。
第三，加强对用户的教育，提醒用户识别常用的诈骗手段，如图5中所示的“防冒客服”以及“短信升级”等手段。
6 结束语
本文运用威胁树分析模型对第三方支付系统的安全性进行了全面评估，并选择当前主流的第三方支付平台进行的评估实施，并基于评估提出了针对性的安全建议和对策，从而为用户识别和选择第三方支付工具提供了一定的参考依据。本文的数据采用德尔菲法获取，该方法存在着一定的主观性，是未来研究应当着力改进的地方。
参考文献
[1] 中国互联网络研究中心.中国网络支付安全状况报告[Z].北京，2012.
[2] 金山网络公司.2011-2012中国互联网安全研究报告[Z].
[3] 中国人民银行.《支付机构互联网支付业务管理办法》征求意见稿[R]，2012.
[4] 赵德志.第三方支付公司的发展与风险研究[D].北京：北京邮电大学，2007.
[5] GB/T 20984-2007 信息安全技术信息安全风险评估规范[S].2007.
[6] 王孝良，崔保红，李思其.关于工控系统信息安全的思考与建议[J].信息网络安全，2012，（08）： 36-37..
[7] 许春，李涛，陈兴蜀，刘念，杨进.危险信号在实时网络安全风险评估中的应用[J].电子科技大学学报，2007， （S3）：74-77.
[8] 李良.中国电子银行风险评估研究[D].大连：大连理工大学，2010.
[9] 曹子建，赵宇峰，容晓峰.网络入侵检测与防火墙联动平台设计[J].信息网络安全，2012，（09）：12-14.
[10] Schneier B."Attack Trees"，Secrets and Lies[M].New York：John Wiley and Sons，2000：318-333.
基金项目：
河南省教育厅人文社会科学青年项目（2012-QN-063）。
关键词 信息安全；风险评估；电子政务；实施；研探
中图分类号TP39 文献标识码A 文章编号 1674-6708（2014）114-0236-02
随着经济发展和社会信息化推进，网络和信息系统在电子政务领域的基础性作用日益凸显。网络和信息系统自身存在的风险和面临的威胁，给电子政务的持续健康发展埋下了安全隐患。2013年，美国中情局（CIA）前职员爱德华・斯诺登披露了美国绝密监控项目“棱镜计划”，全世界因此陷入一场“网络窃听风暴”。严峻的网络和信息安全威胁让电子政务面临前所未有的考验。
1 信息安全风险评估
信息系统风险评估是识别并判断信息系统面临风险的过程。风险评估是一个结合技术手段，为识别管理问题、制定管理策略服务的系统工程；是以威胁为出发点，结合系统脆弱性判断的评估过程；是周期性了解安全风险，采取相应安全控制措施的前提。它为降低网络风险、实施风险管理和控制提供了重要依据。风险评估是加强信息安全保障体系建设和管理的关键环节，是发现信息安全存在问题，找到解决方案的有效手段。
2 开展工作的重要意义
2006年，国家网络与信息安全协调小组审议通过了《关于开展信息安全风险评估工作的意见》。2014年，中央网络安全和信息化领导小组成立，体现了党中央全面深化改革的意志和保障网络安全、维护国家利益的决心。在3月份召开的全国“两会”上，人大代表和政协委员纷纷为网络和信息安全建言献策，网络和信息安全再一次提升到国家安全和社会稳定的政治高度。信息安全风险评估是信息系统安全建设的起点和基础，为防范和化解信息安全风险从而最大限度地保障网络和信息安全提供了科学依据。
3 应用和实施研探
围绕国家网络信息化建设和开展信息安全风险评估工作部署要求，以某副省级省会城市为例，对该市开展信息安全风险评估工作进行研究和探讨。
3.1 工作思路
该市风险评估工作宜采用“试点先行、逐步展开”的工作思路。首先选择1-3家系统建设完善、涉及社会安定的重要单位作为试点，如劳动保障、民政、商业银行等部门，摸清工作规律，建立工作机制，锻炼风险评估队伍。根据试点经验，逐步在全市建立定期开展风险评估的日常工作机制。
3.2 工作方式
宜采用自评估为主，检查评估督促为辅的工作方式。自评估即网络和信息系统的拥有、运营、使用单位按照发起的的风险评估。检查评估是指信息安全职能部门依法开展的信息安全风险评估。检查评估是对自评估结果进行的验证性评估，也是更专业更深入的信息安全风险评估。
3.3 工作机制
1）“市信息安全风险评估领导小组”，组织协调风险评估工作的部署和实施。组长由分管信息安全工作的市领导同志担任，成员由相关单位领导同志组成；
2）“市信息安全风险评估工作小组”，对风险评估工作进行统一安排和具体实施。组长由市信息化主管部门分管领导同志担任，成员由试点单位业务系统负责同志和技术支撑单位有关领导同志组成；
3）“市信息安全风险评估专家小组”，聘请信息安全领域专家负责对风险评估进行技术咨询和评审工作。
3.4 进度安排
该市信息安全风险评估工作可分为试点准备阶段、组织实施阶段、总结阶段和全面开展阶段。
3.4.1 试点准备阶段（约2个月）
深入调查研究并确定试点单位和评估形式，可联合第三方评估机构作为技术支撑单位。领导小组召集各成员单位宣传中央网络安全和信息化领导小组指示精神。工作小组指导试点单位建立业务信息系统风险评估实施方案，并邀请专家小组对方案进行评审。
3.4.2 组织实施阶段（约4个月）
各成员单位在全面准备的基础上进入具体评估，分别进行试点实施方案编写、信息资产分析、现场实施方案编写、现场核查测试等工作，以获取风险评估所必需的各项数据信息，完成系统脆弱性分析、系统资产分析、系统威胁和风险分析。
3.4.3 总结阶段（约2个月）
由相关各方以及专家小组对所有分析报告进行审核并提出相关建议，保证风险评估的科学性和合理性。同时对试点工作取得的经验、成果、认识、教训和风险评估过程中存在的问题进行深入总结。
3.4.4 全面开展阶段（长期）
根据试点的经验和教训，形成规范的评估指南和管理办法，建立健全信息安全风险评估长效机制，在全市开展信息安全评估工作。
4 思考和建议
4.1 信息安全是“一把手工程”
信息安全风险评估工作需要相关单位领导给予足够的重视，切实落实各部门的责任，加强资金、设备、人力等投入支持。信息安全无小事，不能片面地认为“信息安全是技术部门的事”，信息安全工作应该由“一把手”亲自抓，在风险评估中信息系统主管单位、建设单位、运行单位、使用单位应统筹协调，共同推进。
4.2 谁主管、谁负责，谁运营、谁负责
信息安全风险评估工作敏感性强，涉及系统的关键资产和核心信息，一旦处理不当，反而可能引入新的风险，因此必须高度重视信息安全风险评估的组织管理工作，要求信息系统拥有、运营或使用单位和有关管理部门明确责任，规避风险，在信息安全风险评估工作中切实负起组织领导的责任。
4.3 培养人才，锻炼队伍
面对信息安全专业人才缺乏、信息安全从业人员素质参差不齐的现状，信息化主管部门应该以风险评估工作为契机，促进信息安全人才培养和信息安全保障队伍建设。加强对各有关单位信息安全从业人员的政策宣贯、业务锻炼和专业技术培训，为信息安全保障体系建设和信息化发展提供政治合格、业务过硬的人才队伍。
4.4 投入有产出，安全即效益
在市场经济环境下，对经济活动应该进行理性的投入产出分析。风险评估的投入产出分析是以网络和信息系统的潜在风险为前提的，资金投入规避了可能产生的损失和不良影响，达到了预期安全目标，即是见到了效益。信息化主管部门应合理安排资金投入，争取政府支持一块、试点单位出一块、技术支撑单位减免一块，以确保信息安全风险评估工作顺利开展。
参考文献
[1]ISO/IEC 17799：2005信息安全管理实施指南.
安全无小事。随着国民经济的发展，信息化程度愈高，信息安全保障工作就愈重要。信息安全风险评估(以下简称“风险评估”)是信息安全保障工作的基础性工作。但是，现在我国在信息系统的风险评估还处于起步阶段，亟待规范和提高。
目前，我国很多政府部门和企业的风险评估工作由于没有与信息系统的生命周期和安全建设联系起来，仅仅是为评估而评估。在风险评估后，没有针对风险评估的结果采取对策，安全状况最终并未取得实质性的增强和改善，这些风险评估工作仅仅起到了应付上级检查的作用，存在的隐患又有可能会导致新的风险。
风险评估是一项全新的工作，涉及信息安全管理部门、信息系统主管部门、建设单位和运营或应用部门，科学的风险评估需要理论、方法、技术来支撑，那么我国应该如何建立起良好的风险评估机制呢？
建立和完善各项制度
风险评估敏感性很强，如果引导不当，管理不到位，有可能给国家、社会和企业带来新的安全隐患，当前最重要就是建立和完善风险评估的各项基本制度。
首先，建立和完善风险评估制度，包括信息系统在设计阶段要确定系统的安全目标；在建设验收阶段要确定系统的安全目标达到与否；在运行维护阶段要针对安全形势和问题定期或不定期地进行风险评估以确定安全措施的有效性，确保安全保障目标始终如一得以实现。
其次，建立起信息安全检查制度与自我评估制度。信息安全检查由信息安全主管机关或信息系统上级主管机关发起，依据国家风险评估的管理规范和技术标准进行检查评估,通过行政手段加强信息安全。同时，各信息系统运营或应用单位依靠自身力量或委托有资质的评估机构，也要对自身信息系统进行风险评估。
同时，按照谁主管谁负责、谁运营谁负责的要求，信息系统上级主管机关依据自评估或信息安全检查的结果，决定是否批准信息系统投入建设或运行。信息系统安全认可和批准工作应纳入基础信息网络和重要信息系统安全管理体系。
最后，建立风险评估机构管理制度。对国家基础信息网络和重要信息系统的风险评估，实行资质准入制度，只允许经国家批准的风险评估机构实施风险评估。国家必须加强风险评估工作的管理，建立服务标准、资质认可与资质核查评估制度。
标准规范也是推广和实施风险评估工作的法律依据和技术保障，要加快风险评估管理与技术标准的制定和完善，尽快出台国家标准的《信息安全风险评估指南》、《信息系统安全批准规范》和《信息安全风险管理指南》。
加大人才培养与基础建设
加强风险评估工作队伍的建设是做好风险评估工作的前提。我国要形成国家基础信息网络和重要信息系统的风险评估的骨干力量，负责实施本系统风险评估工作。同时，积极宣传风险管理的基本知识，增强风险意识，组织开展相关培训，提高对风险管理与评估工作的认识和重视。
在基础建设上，要统筹建设国家基础信息网络和重要信息系统风险评估的基础设施和基础环境，将风险评估国家重点实验室的建设纳入国家信息安全保障基础设施的建设规划，构建风险分析试验环境，组织研制开发科学实用的检查评估工具，开展风险评估技术、理论、标准的研究；建立国家风险评估数据库，积累资料，全面提高国家风险评估水平。
改革开放以来，我国社会经济得到了长足的发展，人民物质文化生活水平不断提高，用电量亦直线增涨，电力行业获得了前所未有的发展机遇。随着电力行业的不断发展壮大和信息网络技术日新月异的发展，电力行业和电力企业也面临着一系列的挑战，电力信息网络风险管理和防御显得日益重要，信息网络风险量化评估成为重中之重。由于我国电力信息化技术起步较晚，发展也比较滞后，电力信息网络风险管理与风险防御是一个新的课题，电力信息网络风险量化评估在最近几年才被重视，所以存在不少的问题急待完善。
1电力信息网络风险量化评估的必要性
随着信息技术的不断发展,电力信息网络存在的风险越来越大,电力企业不得不提高信息网络风险防控意识,重视电力信息网络的风险评估工作。进行电力系统信息网络风险量化评估意义体现在许多方面，可以提高电力企业管理层和全体员工的信息网络安全意识,促进电力企业不断完善电力信息网络技术的研发与提升,防范广大电力用户个人信息泄露，为电力企业今后的良好发展保驾护航。近年来，电力企业迎来了黄金发展时期，电力网络覆盖面不断扩大，电力企业管理理念也不断提升，电力系统也随之步入了数字化时代，信息网络安全防范成为当务之急。目前电力系统信息网络安全防范一般为安装防病毒软件、部署防火墙、进行入侵检测等基础性的安全防御，缺乏完整有效的信息安全保障体系。风险量化评估技术能够准确预测出电力信息网络可能面临的各种威胁，及时发现系统安全问题，进行风险分析和评估，尽最大可能地协助防御电力系统安全威胁。
2电力系统信息网络安全风险评估中存
在的问题我国电力信息网络安全风险评估是近几年才开始的，发展相对滞后，目前针对电力信息网络安全风险评估的相关研究特别少。2008年电力行业信息标准化技术委员会才讨论通过了《电力行业信息化标准体系》，因此电力信息网络安全风险评估中存在不少的问题和难题有待解决。
2.1电力信息网络系统的得杂性
电力行业，电力企业，各电网单位因为工作性质不同，对电力信息网络安全风险的认识各不相同，加上相关标准体系的不健全，信息识别缺乏参考，电力信息网络安全风险识别存在较大的困难。此外电力信息网络安全风险评估对象难以确定，也给评估工作带来了很大的困难。2.2电力信息网络安全风险量化评估方法缺乏科学性我国部分电力企业的信息网络安全风险评估方法比较落后简单，其主要方式是组织专家、管理人员、用户代表根据一些相关的信息数据开会研讨，再在研讨的基础上进行人为打分，形成书面的文字说明和统计表格来评定电力信息网络系统可能面临的各种风险，这种评估方法十分模糊，缺乏科学的分析，给风险防范决策带来了极大风险，实在不可取。
2.3传统的电力信息网络安全风险评估方法过于主观
目前用于电力信息网络安全风险分析计算的传统方法很多，如层次分析、模糊理论等方法。可是因为电力网络安全信息的复杂性、不确定性和人为干扰等原因，传统分析评估方法比较主观，影响评估结果。在评估的实际工作中存在很多干扰因素，如何排除干扰因素亦是一大难点。电力信息网络安全风险量化评估要面对海量的信息数据，如何采用科学方法进行数据筛选，简约数据简化评估流程是当前的又一重大课题。
3电力信息网络所面临的风险分析
电力信息网络系统面临的风险五花八门，影响电力信息网络系统的因素错综复杂，需要根据实际情况建立一个立体的安全防御体系。要搞好电力信息网络系统安全防护工作首先要分析电力信息网络系统面临的风险类别，然后才能各个突破，有效防范。电力信息网络系统面临的安全风险主要有两面大类别：安全技术风险和安全管理风险。
3.1电力信息网络安全技术风险
3.1.1物理性安全风险是指信息网络外界环境因素和物理因素，导致设备及线路故障使电力信息网络处于瘫痪状态，电力信息系统不能正常动作。如地震海啸、水患火灾，雷劈电击等自然灾害；人为的破坏和人为信息泄露；电磁及静电干扰等，都能够使电力信息网络系统不能正常工作。3.1.2网络安全风险是指电力信息系统内网与外网之间的防火墙不能有效隔离，网络安全设置的结构出现问题，关键设备处理业务的硬件空间不够用，通信线缆和信息处理硬件等级太低，电力信息网络速度跟不上等等。3.1.3主机系统本身存在的安全风险是指系统本身安全防御不够完善，存在系统漏洞，电力企业内部人员和外部人员都可以利用一定的信息技术盗取用户所有的权限，窃走或破坏电力信息网络相关数据。电力信息网络安全风险有两种：一是因操作不当，安装了一些不良插件，使电力信息网络系统门户大开，被他人轻而易举地进行网络入侵和攻击；二是因为主机硬件出故障使数据丢失无法恢复，以及数据库本身存在不可修复的漏洞导致数据的丢失。
3.2电力信息网络安全管理中存在的风险
电力信息网络是一个庞大复杂的网络，必须要重视安全管理。电力信息网络安全管理风险来源于电力企业的内部，可见其风险威胁性之大。电力信息网络安全管理中存在风险的原因主要是企业内部管理混乱，权责划分不清晰，操作人员业务技能不过关，工作人员责任心缺乏，最主要还是管理层对电力信息网络安全管理中存在的风险意识薄弱，风险管理不到位所致。
4电力信息网络风险评估的量化分析
4.1电力信息网络风险评估标准
目前我国一般运用的电力信息网络风险评估标准是：GB/T20984-2007《信息安全技术：信息安全风险评估规范》，该标准定义了信息安全风险评估的相关专业术语，规范了信息安全风险评估流程，对信息网络系统各个使用寿命周期的风险评估实施细节做出了详细的说明和规定。
4.2电力信息网络安全风险计算模型
学界认为电力信息网络的安全风险与风险事件发生概率与风险事件发生后造成的可能损失存在较高的相关性。所以电力信息系统总体风险值的计算公式如下：R(x)=f(p,c)其中R(x)为系统风险总值，p代表概率，c为风险事件产生的后果。由此可知，利用科学的计算模式来量化风险事件发生的概率，和风险事件发生后可能产生的后果，即可演算出电力信息网络安全的风险总值。
4.3电力信息网络安全风险量化评估的方法
4.3.1模糊综合评判法模糊综合评判法采用模糊数学进行电力信息网络安全风险量化评估的一种方法，利用模糊数学的隶属度理论，把对风险的定性评估转化成定量评估，一般运用于复杂庞大的电力信息网络安全防御系统的综全性评估。利用模糊综合评判法时，要确定好因数集、评判集、权重系数，解出综合评估矩阵值。模糊综合评判法是一种线性分析数学方法，多用于化解风险量化评估中的不确定因素。4.3.2层次分析法电力信息网络风险量化评估层次分析法起源于美国，是将定性与定量相结合的一种风险量化评估分析方法。层次分析法是把信息网络风险分成不同的层次等级，从最底层开始进行分析、比较和计算各评估要素所占的权重，层层向上计算求解，直到计算出最终矩阵值，从而判断出信息网络风险终值。4.3.3变精度粗糙集法电力信息网络风险量化评估变精度粗糙集法是一种处理模糊和不精确性问题的数学方法，其核心理念是利用问题的描述集合，用可辨关系与不可辨关系确定该问题的近似域，在数据中寻找出问题的内在规律，从而获得风险量化评估所需要的相关数据。在实际工作中，电力信息网络风险量化评估分析会受到诸多因素的影响和干扰，变精度粗糙集法可以把这些干扰因素模糊化，具有强大的定性分析功能。电力信息网络风险量化评估是运用数学工具把评估对象进行量化处理的一种过程。在现实工作中，无论采用哪种信息网络风险评估的量化分析方法，其目的都是为了更好地进行风险防控，为电力企业的发展保驾护航。
5总结
电力信息网络安全对保证人民财产安全和电力企业的日常营运都具有非常重要的意义，电力企业领导层必须要加以重视，加大科研投入，定向培养相关的专业人才，强化电力信息网络安全风险评估工作，为电力企业的良好发展打下坚实的基础。
参考文献
[1]庞霞,谢清宇.浅议电力信息安全运行维护与管理[J].科技与企业,2012(07):28.
[2]王申华,蒋健.电力信息安全运行维护及管理探讨[J].信息与电脑(理论版),2014(11):45.
关键词：商业银行；信息系统风险；控制
为了有效防范银行信息系统风险监管，银监会正式颁布了《银行业金融机构信息系统风险管理指引》，以促进我国银行业信息系统安全、持续、稳健运行。作为基层银行，就要认真学习商业银行信息系统的特点，建立适合商业银行风险特征的评估模型，运用先进的风险评估方法，逐步完善信息系统风险评估的流程，并通过信息系统风险评估的手段，保障企业信息资产的安全，确保系统数据的完整，使商业银行适应复杂的运行环境，满足日益强化的风险管理需要。
一、商业银行信息系统风险模型
商业银行信息系统风险评估模型基本上可以划分为基于业务风险控制的风险评估模型和基于信息技术控制的风险评估模型。商业银行信息系统按业务划分，主要业务模块包括柜面业务系统， ATM、POS、网上银行、电子商务支付和客服中心等，其中柜面业务子系统包括：存取款、贷款、信用卡、中间业务、国际业务、结算、代收代付等。其商业银行的业务功能结构如图1。
以上可以看出，基于业务风险控制的风险评估模型是针对业务流程的控制和业务的风险管理，是信息系统在规划、研发、建设、运行、维护、监控及退出过程中由于管理缺陷产生的操作、法律和声誉等风险[1]。
另一类是关于技术控制的风险评估模型。这类模型建立在相关的信息安全标准之上，主要考虑的是安全技术的实现架构和实现方式，并以此来评估系统的技术风险。银行的安全架构是由物理设备安全、网络安全、交易安全和数据完整性安全等，其中交易安全包括：密码技术、身份认证和安全交易技术。其层次结构如图2。
随着信息技术应用的普及，网上银行、手机银行飞速发展，随着银行业务的拓展，各种中间业务等银行新型业务和金融产品的出现，银行信息系统开始不同程度向外界开放，对银行开放信息系统的依赖越来越强。加上各商业银行实行数据大集中，将过去保存在基层的存贷款等业务数据集中到高层数据库存放，导致单笔交易所跨越的网络环节越来越多，银行信息系统对通信网络依赖程度越来越高。
电子金融服务的发展，使商业银行信息系统开放运行，与公共网络连接，暴露在公共网络具有各种威胁底下，网上银行、手机银行、电子商务支付等银行新业务，在成为商业银行利润增长点的同时，导致银行信息系统的风险剧增。商业银行对信息系统的安全性要求进一步提高。
二、商业银行信息系统风险评估方法
商业银行在面对实际的信息风险时，需要建立定位于信息全面管理的风险评估模型。信息系统风险管理的目标是通过建立有效的机制，实现对信息系统风险的识别、计量、评价、预警和控制，推动银行业金融机构业务创新，提高信息化水平，增强核心竞争力和可持续发展能力[1]。因此，必须兼顾业务风险模型和技术风险模型的相关方法，建立一种银行信息系统风险识别模式，用于发现系统自身内部控制机制中存在的薄弱环节和危险因素，发现系统与外界环境交互中不正常和有害的行为，找出系统的弱点和安全威胁的定性分析；必须建立一种银行信息系统风险评价模型，用于在银行信息系统风险各要素之间建立风险评估，计量风险的定量评价方法。
根据商业银行信息系统风险模型，其中基于业务风险控制的风险评估模型主要针对银行业务具体处理，其风险识别是观察每一笔具体的业务数据，也可以转化为银行资产的差错；其中基于信息技术控制的风险评估模型主要针对安全保障技术，其风险识别是找出系统可能存在的不安全因素。据此，可以推理出系统风险评估模型为：
商业银行信息系统风险评估模型由四个模块组成：业务差错识别模块负责找出每一笔已经发生的差错业务，其方法是通过业务差错发现和资产调查寻找每一笔差错业务，修正商业银行信息系统运行错误；威胁分析模块负责寻找技术安全威胁，用安全扫描来找出安全漏洞，用入侵检测来发现受到的侵犯；安全分析模块负责对系统设置的安全策略进行分析，对系统内部运行的软件进行分析；系统安全评价模块在前面三个模块分析结论的基础上由银行风险因素诊断指标体系[2]得出系统安全评价量化指标。
该商业银行信息系统风险评估模型的特点主要是：1.业务风险评估和技术风险评估同一量化构成信息系统的风险，便于系统的横向比较；2.采用自动化的检测评价为主的方法，对于硬件的风险和人为的风险，可以加入人工评价修正，有利于实时监控；3.系统简洁，事前预防和事后发现相结合，可行适用。
