企业办公自动化信息安全风险评估研究

(1)准备阶段

准备阶段主要进行是前期的准备工作。它包括明确风险评估的目标，确定评估的范围，建立适当的组织结构，确立适当的评估方法以及获得企业领导对风险评估策划的批准等。准备阶段的工作较为琐碎，但它是风险评估实施的基础。细致、充分的准备，合理、精确的计划是风险评估能够顺利实施的关键所在。

作为企业办公自动化，对信息系统的安全性要求比较高，应确保各种涉密资料的安全;评估的范围应包括系统网络、系统设备、管理制度、同信息系统相关的人员以及系统的文档、数据维护等。在制定风险评估方案时应当重点考虑以上需求特点。

(2)风险识别阶段

风险识别阶段主要是根据准备阶段所确立的实施方案，识别资产、威胁、脆弱性等构成信息安全风险的要素，以及对已有安全性的确认，为下一阶段的风险分析收集必要的基础数据。

识别阶段主要对资产、威胁、脆弱性三个根本的风险要素的各个分类进行筛选、赋值，以得到量化了的风险评估、分析的依据。

分类后还要将三个根本要素的子层因素按照《信息安全风险评估指南》中所制定的国内标准进行赋值。其中资产赋值是通过资产机密性、资产完整性、资产可用性三种不同的安全属性的分别赋值而得到的综合考虑，每种属性的赋值都从1 至5 依次对应可忽略、低、中等、高、极高五种标识;威胁赋值是评估者通过经验或统计数据来判断威胁发生的概率。等级也是1 至5，依次对应很低、低、中、高、很高五种威胁发生的可能性;脆弱性赋值采用定性的相对等级方式，找到每种威胁可能利用的脆弱性，并对其严重程度进行评估。同样划分了1 至5 五个等级，依次对应很低、低、中、高、很高五个级别的某种资产脆弱程度。

此外，对已有安全措施的确认也是识别阶段的一项内容。它可以对已采取的风险控制措施进行识别并对控制措施的有效性进行验证，继续保持有效的风险控制措施，以避免不必要的工作和浪费，防止控制措施的重复实施。

(3)风险分析阶段

风险分析阶段主要是将经过风险识别阶段，得到影响被评估信息系统安全风险的基本数据进行分析计算。这些数据主要来自资产、威胁、脆弱性和安全控制措施等。之后应在考虑已有安全措施的情况下，从潜在安全事件的影响和可能性两个方面分析和计算信息安全风险。

风险计算是利用适当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响计算得出资产的安全风险。风险计算的原理形式化可描述为：

R=f(A,V,T)=f(Ia,L(Va,T))

上式中，R表示风险，A表示资产，V表示脆弱性，T表示威胁，Ia 表示资产的重要程度;Va 表示某一资产本身的脆弱性，L表示威胁利用资产的脆弱性造成安全事件发生的可能性。模型示意图如图2 所示。

在确定了信息安全风险之后，还应在风险分析阶段提交出风险分析报告以及风险控制管理建议等书面报告。应从接受风险、避免风险、转移风险三个方面来考虑风险控制管理的建议。对安全风险决策后，应明确企业办公自动化的信息系统所要接受的残余风险。

(4)汇报验收阶段

本阶段主要是按照评估方案所确定的流程，完成最后评估项目的总结和验收工作。将上一步骤所提出的风险分析报告以及风险控制管理建议，送企业领导审批，通过后按决策的意见实施各项安全措施。由于企业办公自动化在安全性上的特殊要求，实施过程要始终在监督下进行，以确保决策的完全执行。

(五)结束语

随着企业信息化建设的不断发展、计算机网络和数据库技术的成熟，企业OA 系统的功能将不断扩展，OA 系统将更加完善。信息安全风险评估作为信息系统安全工程的重要组成部分，也是企业办公自动化信息系统安全的可靠保证。我们不应把它理解成为一个产品、工具，而应该是一个体系，一个过程。完善的风险评估体系应当包括相应的组织架构、标准体系和技术体系。随着信息安全风险评估逐渐被重视，国家的各种配套的安全标准将会更加健全，各种评估模型、评估方法、评估工具也会更加完善。我们要充分利用信息安全风险评估为企业办公自动化的信息安全保驾护航。

微信扫一扫实时了解行业动态

微信扫一扫分享本文给好友