涉密信息系统安全风险评估.pdf

涉密信息系统安全风险评估的探讨

国家保密技术研究所杜虹

引言

2003年9月7日中共中央办公厅、国务院办公厅以中办发[2003]27号文件
转发了《国家信息化领导小组关于加强国家信息安全保障工作的意见》。其中强
调了要重视信息安全风险评估工作。2004年1月9日国家召开了全国信息安全
保障工作会议，黄菊同志在讲话中指出：要开展信息安全风险评估和检查。根据
风险评估的结果，进行相应等级的安全建设和管理，特别是对涉及国家机密的信
息系统，要按照党和国家有关保密规定进行保护。国家高度重视信息安全风险评
估工作，并进一步明确了信息安全风险评估在国家信息安全保障工作中的地位和
作用。本文将对信息安全风险评估的基本概念和涉及国家秘密的信息系统（以下
简称“涉密信息系统”主要风险评估的作用、形式、步骤、方法等进行讨论。

一、信息系统安全风险评估的基本概念

信息系统的安全是一个动态的复杂过程，它贯穿于信息系统的整个生命周
期。信息系统安全的威胁来自内部破坏、外部攻击、内外勾结进行的破坏以及信
息系统本身所产生的意外事故，必须按照风险管理的思想，对可能的威胁和需要
保护的信息资源进行风险分析，选择适当的安全措施，妥善应对可能发生的安全
风险。因此，对信息系统特别是重要的信息系统进行不断的安全风险评估是十分
必要的。
1．信息系统安全风险评估的定义
所谓信息系统安全风险评估是指依据国家有关技术标准，对信息系统的完整
性、保密性、可靠性等安全保障性能进行科学、公正的综合评估活动。风险评估
是识别系统安全风险并决定风险出现的概率、结果的影响，补充的安全措施缓和
这一影响的过程，它是风险管理的一部分。
风险评估是对信息及信息处理设施的威胁、影响、脆弱性及三者发生的可能
性的评估。它是确认安全风险及其大小的过程，即利用适当的风险评估工具，包
括定性和定量的方法，确定信息资产的风险等级和优先风险控制顺序。

1
2．信息安全风险评估的基本要素
信息安全风险评估要关注如下基本要素：
使命：一个组织机构通过信息化形成的能力要来进行的工作任务。
依赖度：一个组织机构的使命对信息系统和信息的依靠程度。
资产：通过信息化建设积累起来的信息系统、信息以及业务流程改造实现的应用
服务的成果、人员能力和赢得的信誉。
价值：资产的重要程度。
威胁：对一个组织机构信息资产安全的侵害。
脆弱性：信息资产及其防护措施在安全方面的不足和弱点。脆弱性也常常被称为
弱点或漏洞。
风险：某种威胁利用暴露的系统对组织机构的资产造成损失的潜在可能性。风险
由意外事件发生的概率及发生后可能产生的影响两种指标来衡量。
残余风险：采取了安全保障措施，提高了防护能力后，仍然可能存在的风险。
安全需求：为保证组织机构的使命正常行使，在信息安全保障措施方面提出的要
求。
安全保障措施：对付威胁，减少脆弱性，保护资产而采取的预防和限制意外事件
的影响，检测、响应意外事件，促进灾难恢复和打击信息犯罪而实施的各种实践、
规程和机制的总称。
这些要素的相互关系如下（图1）所示：使命是资产来支付的。资产都有价
值，信息化的程度越高，组织机构的任务越重要，对资产的依赖度越高，资产的
价值就越大。资产的价值越大风险越大。风险是威胁发起的，威胁越大风险越大。
威胁都要利用脆弱性，脆弱性越大风险越大。脆弱性使资产暴露，威胁利用脆弱
性，危害资产，形成风险。我们对风险的意识，会引出防护需求。防护需求被防
护措施所满足。防护措施抗击威胁，降低风险。

2

图1风险评估各种要素的相互关系
通过防护措施对资产加以保护，对脆弱性加以弥补，从而降低了风险；此时
威胁只能形成残余风险。可能有多个防护措施共同起作用，也可能有多个脆弱性
被同时利用。有些脆弱性可能客观存在，但是可能没有对应的威胁。这可能是由
于这个威胁不在机构考虑的范围内，或者这个威胁的影响极小被忽略不计外部威
胁和系统脆弱性可能造成损失的潜在危险。采取了防护措施能够减低风险，使残
余风险限制在能够承受的程度上。（如图2所示）

图2威胁、资产、脆弱性、风险、保护措施、残余风险的关系

3
3．信息系统安全风险评估的形式
信息系统安全风险评估从信息系统拥有者的角度来看可划分为三种形式，即
自我评估、委托评估和检查评估。
（1）自我评估
自我评估是指信息系统拥有者指定的本机构信息系统安全管理人员在信息
系统运行维护中使用相应的安全风险评估工具按照一定的规范进行的评估活动。
从信息系统拥有者的角度来看是完全主动的行为，其优点是可方便地进行经常性
的评估，及时采取对策降低安全风险，是一种“自查自纠”的方式。这种方式因
为是在一个机构内部进行，因此一般不会引入评估带来的新的风险，缺点是专业
性和客观性稍较差。
（2）委托评估
委托评估是信息系统拥有