完全解密企业信息安全风险评估

当前，无论是政府还是企业，对于自身的信息安全都非常关注。因此，企业信息安全风险评估再一次引起了业界的关注。那么，此类评估有什么标准？对企业的价值又体现在何处呢？

认识存在的风险

长期以来，人们对保障信息安全的手段偏重于依靠技术，从早期的加密技术、数据备份、防病毒到近期网络环境下的防火墙、入侵检测、身份认证等等。厂商在安全技术和产品的研发上不遗余力，新的技术和产品不断涌现；消费者也更加相信安全产品，把仅有的预算也都投入到安全产品的采购上。

但实际情况是，单纯依靠技术和产品保障企业信息安全往往差强人意。复杂多变的安全威胁和隐患靠产品难以消除。“三分技术，七分管理”这个在其他领域总结出来的实践经验和原则，在信息安全领域也同样适用。

根据信息产业部披露的数字，在所有的计算机安全事件中，约有52%是人为因素造成的，25%是由火灾、水灾等自然灾害引起的。其技术错误占10%，组织内部人员作案占10%，仅有3%左右是由外部不法人员的攻击造成。

不难看出，属于内部人员方面的原因超过70%，而这些安全问题中的95%是可以通过科学的信息安全风险评估来避免。

可见，对于一个企业来说，搞清楚信息系统现有以及潜在的风险，充分评估这些风险可能带来的威胁和影响，将是企业实施安全建设必须首先解决的问题，也是制定安全策略的基础与依据。

目前，国内众多部门和行业都开始投入精力进行风险评估或者风险评估规范的制订。据悉，信息产业部、公安部等都推出了各自的风险评估规范，而电信、金融等行业则已经开始进行风险评估工作，将评估推向了实践。

专家指出，风险评估的意义在于对风险的认识，而风险的处理过程，可以在考虑了管理成本后，选择适合企业自身的控制方法，对同类的风险因素采用相同的基线控制，这样有助于在保证效果的前提下降低风险评估的成本。

标准决定过程

Gartner的风险评估报告指出，未来企业信息化的发展关键在于：关键资产数字化、高速无线网络、网络空间获取、生物访问控制、复杂应用系统、分布系统网络互联、全球化生产等方面。为此，Gartner建议企业的信息安全风险评估，重点在于如何评估复杂的分布式系统和如何保障复杂应用系统的安全两个方面。

从国内的实际情况看，复杂应用系统已经初步呈现，许多企业的核心业务系统安全性较弱，且网络建设与安全建设不协调，已经给企业用户带来了极大的挑战。针对这些挑战，主流安全厂商提出了动态安全评估标准。

此标准针对现有安全需求进行评估和分析，定义安全策略，建立安全框架，实施安全方案，得出合规性报告，确定目前的安全基线，并随着业务的发展，进行周期性的再评估，保障信息系统的安全。

针对风险评估的工程实现，SSE-CMM、OCTAVE等标准和方法对评估过程给予了较好的指导。常规的风险评估方法包括以下阶段：项目准备阶段、项目执行阶段、项目维护阶段。

为保障评估的规范性、一致性，降低人工成本，目前国内外普遍开发了一系列的评估工具。其中，网络评估工具主要有Nessus、Retina、天镜、ISS 等漏洞扫描工具，依托这些网络扫描工具，可以对网络设备、主机进行漏洞扫描，给出技术层面存在的安全漏洞、等级和解决方案建议。

管理评估工具主要有以BS7799-1（ISO/IEC 17799）为基础的COBRA、天清等，借助管理评估工具，结合问卷式调查访谈，可以给出不同安全管理域在安全管理方面存在的脆弱性和各领域的安全等级，给出基于标准的策略建议。

六大评估方法

定制个性化的评估方法

虽然已经有许多标准评估方法和流程，但在实践过程中，不应只是这些方法的套用和拷贝，而是以他们作为参考，根据企业的特点及安全风险评估的能力，进行“基因”重组，定制个性化的评估方法，使得评估服务具有可裁剪性和灵活性。评估种类一般有整体评估、IT安全评估、渗透测试、边界评估、网络结构评估、脆弱性扫描、策略评估、应用风险评估等。

安全整体框架的设计

风险评估的目的，不仅在于明确风险，更重要的是为管理风险提供基础和依据。作为评估直接输出，用于进行风险管理的安全整体框架，至少应该明确。但是由于不同企业环境差异、需求差异，加上在操作层面可参考的模板很少，使得整体框架应用较少。但是，企业至少应该完成近期1～2年内框架，这样才能做到有律可依。

多用户决策评估

不同层面的用户能看到不同的问题，要全面了解风险，必须进行多用户沟通评估。将评估过程作为多用户“决策”过程，对于了解风险、理解风险、管理风险、落实行动，具有极大的意义。事实证明，多用户参与的效果非常明显。多用户“决策”评估，也需要一个具体的流程和方法。

敏感性分析

由于企业的系统越发复杂且互相关联，使得风险越来越隐蔽。要提高评估效果，必须进行深入关联分析，比如对一个老漏洞，不是简单地分析它的影响和解决措施，而是要推断出可能相关的其他技术和管理漏洞，找出病“根”，开出有效的“处方”。这需要强大的评估经验知识库支撑，同时要求评估者具有敏锐的分析能力。

集中化决策管理

安全风险评估需要具有多种知识和能力的人参与，对这些能力和知识的管理，有助于提高评估的效果。集中化决策管理，是评估项目成功的保障条件之一，它不仅是项目管理问题，而且是知识、能力等“基因”的组合运用。必须选用具有特殊技能的人，去执行相应的关键任务。如控制台审计和渗透性测试，由不具备攻防经验和知识的人执行，就达不到任何效果。

评估结果管理

安全风险评估的输出，不应是文档的堆砌，而是一套能够进行记录、管理的系统。它可能不是一个完整的风险管理系统，但至少是一个非常重要的可管理的风险表述系统。企业需要这样的评估管理系统，使用它来指导评估过程，管理评估结果，以便在管理层面提高评估效果。

相关链接：国际主流风险评估标准

关于风险评估理论标准，国际上较为认可的有ISO/IEC 13335IT安全管理指南、AS/NZS 4360风险管理标准、BS7799-1（ISO/IEC 17799）基于风险管理的信息安全管理体系等几种，他们均对风险评估给予了明确的定义和指导。

与风险评估相关的标准还有NIST SP800，其中，NIST SP800-53/60描述了信息系统与安全目标及风险级别对应指南，NIST SP800-26/30分别描述了自评估指南和风险管理指南。

另外，COBIT、ITIL等逐渐引起人们的关注。目前业内使用的评估方法，基本是由这几类标准演化而来。

完全解密企业信息安全风险评估相关推荐

什么是信息安全风险评估？企业如何做？
什么是信息安全风险评估? 信息安全风险评估是参照风险评估标准和管理规范,对信息系统的资产价值.潜在威胁.薄弱环节.已采取的防护措施等进行分析,判断安全事件发生的概率以及可能造成的损失,提出风险管理措施 ...
计算机风险评估管理程序,第5章信息安全风险评估实施流程
<第5章信息安全风险评估实施流程>由会员分享,可在线阅读,更多相关<第5章信息安全风险评估实施流程(25页珍藏版)>请在人人文库网上搜索. 1.第第5章章信息安全风险信息 ...
关于信息安全风险评估，你需要知道的
什么是信息安全风险评估? 信息安全风险评估是参照风险评估标准和管理规范,对信息系统的资产价值.潜在威胁.薄弱环节.已采取的防护措施等进行分析,判断安全事件发生的概率以及可能造成的损失,提出风险管理措施 ...
企业信息安全不能大意，不提早防范容易中招——推荐导入ISO27001系列标准
在当下的商业环境中,企业拥有几个基础的网络安全策略正在变得越来越重要. 无论是初步启动规划网络安全风险管理还是已经非常成熟,企业都应尽可能遵循发展策略,逐步增强网络安全防护体系. 图:知乎荣获ISO2 ...
NSACE|企业信息安全包括哪些方面?
从1994年4月20日,中国正式接入国际互联网到今天,中国互联网的发展历程已经走过24年. 在过去的24年当中,互联网给中国带来了巨大的变化,也极大地改变了我们的生活方式. 随着互联网的普及,我们在享 ...
华为大企业信息安全解决方案简介
from:http://support.huawei.com/ecommunity/bbs/10151893.html 华为大企业信息安全解决方案主要面向大企业客户,立足于企业信息安全的主要痛点,诠释 ...
2023年企业信息安全缺陷和解决方案，防止职员外泄信息
随着网络的发展和普及,信息安全与每个人息息相关,包含方方面.每个人既是独立个体又必须和社会交换资源.这就需要把控一个尺度. 要了解信息安全,首先需要对信息有个大体了解.从拥有者和使用者分类分为,个人, ...
信息安全风险评估是什么？如何进行评估？
信息安全风险评估是一项非常重要的工作,但很多人对它的了解并不是很透彻,甚至有人不知道什么是信息安全风险评估,接下来我们通过这篇文章为大家详细讲解一下. 什么是信息安全风险评估? 信息安全风险评估是参照 ...
从0到1，网上搜不到的企业信息安全搭建全过程，这本书讲透了！
信息安全形势日益严峻.监管环境稳步趋严,越来越多的企业增加了信息安全相关岗位的招聘.而且纵观各类职位,在薪酬范围相似的情况下,与信息安全相关的岗位整体上对工作经验和教育水平的要求会相对宽泛. 安全类 ...

完全解密企业信息安全风险评估

完全解密企业信息安全风险评估相关推荐

最新文章

热门文章