信息安全风险评价在电力设计的作用

本文格式为本文格式为 WordWord版，下载可任意编辑版，下载可任意编辑信息安全风险评估在电力设计的作用信息安全风险评估在电力设计的作用 1.概述随着企业信息化的深入，信息安全问题日益严峻，虽然入侵检测、防火墙、杀毒软件等安全技术手段能不同程度起到防御作用，但信息安全事件时有发生。为保证信息安全，尽可能消除安全隐患，就要定期的开展信息安全风险评估工作，通过分析评估网络与信息系统安全潜在威胁、薄弱环节、防护措施等，根据评估结果，实行适当安全措施，到达安全建设和管理的目的。本文介绍了一种适合电力设计企业的信息安全风险评估的方法，该方法参照国内外一些信息安全标准，如 ISO15408、 ISO27001 等，结合电力设计企业信息系统及应用的实际状况，制定了一套风险评估的方法和流程，为电力设计企业的信息安全评估工作提供参考。 2.电力设计企业信息化特点电力设计企业的信息化是以设计工作流程为核心，通过对图档信息统计分析的自动化、设计工作流程的标准化，接受高效的协同设计管理思想，实现电子设、校、审，对设计输入、校对过程、成图、设计变更、资料互提、版本把握、项目图档、进行标准化管理。因此，对电力设计企业最重要的就是保证设计流程的顺畅和资料完好，相对应的系统有生产设计流程系统，企业档案系统、数据备份系统等。 3.安全评估相关标准对于电力设计企业的信息安全要求，必需站在全球信息化的背景下，以国际标准的角度去重新审视现状和分析存在的差距，针对电力设计企业信息安全体系的具体内容，需要去选择合适的标准，我们参考了 ISO15408、ISO27001 等信息安全的相关标准。ISO27001 和 ISO15408 所涉及范围都是信息安全领域； ISO27001 侧重安全管理方面的要求,即对 IT 系统中非技术内容的检查。这些内容与人员、流程、物理安全以及一般意义上的安全管理有关。ISO15408 则侧重于对系统和产品的技术指标，旨在支持设备中 IT 安全特征的技术性评估，它可第 1 页共 5 页本文格式为本文格式为 WordWord版，下载可任意编辑版，下载可任意编辑以用于描述用户对安全性的技术需求。ISO15408 中虽然对信息安全管理方面提出了确定的要求，但这些管理要求是孤立、相对静止、不成体系的。同样，ISO27001 也涉及微小部分的技术指标，但仅限于管理上必需的技术指标。电力设计信息安全体系是一个整体，没有全盘的考虑，没有高度的重视，任何一个环节出现明显的短板都将功亏一篑。 4.评估对象和流程评估的对象为电力设计企业的信息系统、主机、网络、数据库系统等。对电力设计企业的安全评估，包括四个大的方面：资产评估、威评估、脆弱性评估、现有安全措施评估，并在此基础上进行风险计算和分析，从而提出安全处置方案和建议。具体的评估流程如图 1。 4.1 资料预备和启动会在该阶段，评估方必需事先对企业提供的资料进行商量分析，通常有领导会议报告、ISO9000 文件，业务流程文档等。这些资料对了解企业的战略意图和业务流程具有特殊重要的作用，可以在安全评估初期通过研读这些材料了解企业的业务重点，对后续的资产评估和风险分析具有事半功倍的效果。除此之外，由评估方和被评估方共同召开启动会，确定评估目标和范围，制定评估准备。主要工作内容如下：1 启动会需要有被评估方高层领导人出席并动员本单位人员做好协作工作。 2 明确被评估方各部门需要预备的相关资料：如部门业务流程图、部门工作准备、资产清单、网络拓扑图、信息系统和安全防护措施等。 3 被评估方项目负责人和各部门协调人确认。4 双方共同确认评估目标和范围。 4.2 资产评估资产评估是对信息资产分类、标记、赋值的过程。资产评估主要包括两个过程：资产识别和资产赋值。 4.2.1 资产识别在确定评估抽样范围后，需要对抽样资产进行识别。资产识别是为了了解资产状况、确定资产价值而进行的风险管理的预备工作。主第 2 页共 5 页本文格式为本文格式为 WordWord版，下载可任意编辑版，下载可任意编辑要针对对象为：网络设备、应用系统服务器、机房基础设施(包括物理环境，备份等、系统软件与应用软件。由被评估方填写主机资产统计表、网络设备统计表、应用系统统计表。评估人员抽样选取确定数量的资产信息填入到资产汇总表格中。信息包括：参考号、资产、说明、类型、全部者、位置等。 4.2.2 资产赋值资产赋值需要有评估双方共同确定，根据资产的重要程度，同时参考资产的机密性、完好性、可用性三个安全属性，对资产进行赋值，分为 1-5 等级，等级越大，资产越重要。表 1 是三性赋值中机密性赋值标准。资产的赋值可以根据电力设计企业的应用特点，比方：与设计流程相关的系统，其可用性的取值要高些；与数据资源相关的应用系统和备份系统，其机密性、完好性、可用性的赋值也会高些。企业信息系统的业务特点确定了业务系统的重要性程度。资产最终价值的等级评估是依据资产保密性、完好性、可用性的赋值级别，经过综合评定得出的。因为不同组织对于安全三性的要求和重视程度有所不同，所以评定的标准也不尽相，最终加权得到资产的等级和赋值。资产赋值的计算公式：。公式中：C、I、A 分别为某个资产的三性赋值，wC、wI、wA 分别为 CIA 三性的权重，可根据实际状况进行选取。赋值后的资产清单列表如图 2。 4.3 威胁评估评估确定威胁发生的可能性是威胁评估阶段的重要工作，评估者应根据阅历和〔或〕有关的统计数据来推断威胁发生的频率或者发生的概率。还需要参考下面三方面的资料和信息来源，综合考虑，形成在特定评估环境中各种威胁发生的可能性。1 通过过去的安全事件报告或记录，统计各种发生过的威胁和其发生频率；2 在评估体实际环境中，通过 IDS、防火墙等系统获取的威胁发生数据的统计和分析，各种日志中威胁发生的数据的统计和分析；3 过去一年或两年来国际机构的对于整个社会或特定行业安全威胁发生频率的统计数据均值。第 3 页共 5 页本文格式为本文格式为 WordWord版，下载可任意编辑版，下载可任意编辑威胁的评估就是综合了威胁来源和种类后得到的威胁列表，并对列表中的威胁发生可能性的评估。最终威胁的赋值接受定性的相对等级的方式。威胁的等级划分为五级，从1到5分别代表五个级别的威胁发生可能性。等级数值越大，威胁发生的可能性越大。威胁评估计算流程见以下图： 4.4 脆弱性评估脆弱性评估针对需要爱惜的信息资产，造成可能被威胁利用的弱点，并对脆弱性的严重程度进行评估。脆弱性评估的方法有问卷调查、工具检测、人工审计、文档查阅等。主机安全性评估是对业务系统范围内的主机进行安全漏洞的觉察的过程，包括如下的内容：1 工具检测是接受漏洞扫描工具对系统技术漏洞的觉察过程，在漏洞扫描的过程中可能会对业务系统的运行产生影响，因此需要得到操作容许，并预备应急预案以避开由风险评估产生的风险。2 主机人工审计根据评估单位的实际状况，对当前的服务端系统进行抽样审计，审计的内