８９．什么是信息安全风险评估？
信息安全风险评估是从风险管理角度，运用定性、定量的科学分析方法和手段，依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁，以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。从而有针对性地提出抵御威胁的安全防护对策和整改措施，最大限度地减少经济损失和负面影响。
信息安全风险评估是信息安全管理的基础和关键环节。通过开展信息安全风险评估，对网络与信息系统的资产价值、潜在的安全威胁、薄弱环节、防护措施等进行分析，可以做到心中有数，可以发现信息系统中存在的主要安全问题，并找到解决这些问题的方法，有针对性地进行管理。图９．１是风险评估的实施流程图。
９０．风险评估的要素有哪些？
风险评估的基本要素包括：需保护的信息资产、信息资产的脆弱性、信息资产面临的威胁、存在的可能风险、安全防护措施等。
风险评估围绕着这些基本要素展开，通过分析信息资产的脆弱性来确定威胁可能利用哪些弱点来破坏其安全性。在对这些要素的评估过程中，需要充分考虑业务战略、资产价值、安全需求、安全事公务人员信息安全知识读本件、残余风险等，以及与这些基本要素相关的各类属性。图９．２显示了风险评估各要素之间的关系，其中方框中的内容为风险评估的基本要素，椭圆中的内容是与这些要素相关的属性。风险评估要识别资产相关要素的关系，从而判断资产面临的风险大小。
９１．风险分析的主要内容是什么？
风险分析原理如图９．３所示。风险分析涉及资产、威胁、脆弱性等基本要素，每个要素有各自的属性。资产的属性是资产价值，威胁的属性可以是威胁主体、影响对象、出现频率、动机等，脆弱性的属性是资产弱点的严重程度。
风险分析的主要内容为：
①对资产进行识别并对资产的价值进行赋值。
②对威胁进行识别，描述威胁的属性，并对威胁出现的频率赋值。
③对资产的脆弱性进行识别并对具体资产脆弱性的严重程度赋值。
④根据威胁及威胁利用弱点的难易程度判断安全事件发生的可能性。
⑤根据脆弱性的严重程度及安全事件所作用资产的价值计算安全事件的损失。
⑥根据安全事件发生的可能性以及安全事件的损失，计算安全事件一旦发生对组织的影响，即风险值。
９２．开展信息安全风险评估有哪些方式？
风险评估可分为自评估、检查评估两种方式。自评估是信息安全风险评估的主要形式，是指信息系统拥有、运营或使用单位发起的对本单位信息系统进行的风险评估，以发现信息系统现有弱点、实施安全管理为目的。检查评估是指信息系统上级管理部门或信息安全职能部门组织的信息安全风险评估，检查评估是通过行政手段加强信息安全管理的重要措施。
风险评估应以自评估为主，检查评估是在自评估过程记录与评估结果的基础上，验证和确认系统存在的技术、管理和运行风险，以及用户实施自评估后采取风险控制措施取得的效果。自评估和检查评估应相互结合、互为补充。
自评估和检查评估都可依托自身技术力量进行，也可委托具有相应资质的第三方机构提供技术支持。
９３．信息系统在什么时候要进行风险评估？
风险评估应贯穿于信息系统生命周期的各阶段中。信息系统生命周期各阶段中涉及的风险评估的原则和方法是一致的，但由于各阶段实施的内容、对象、安全需求不同，使得风险评估的对象、目的、要求等各方面也有所不同。具体而言，在规划设计阶段，通过风险评估以确定系统的安全目标；在建设验收阶段，通过风险评估以确定系统的安全目标达到与否；在运行维护阶段，要不断地实施风险评估以识别系统面临的不断变化的风险和脆弱性，从而确定安全措施的有效性，确保安全目标得以实现。因此，每个阶段风险评估的具体实施应根据该阶段的特点有所侧重地进行。
９４．开展风险评估要做哪些准备？
（１）确定目标
根据满足组织业务持续发展在安全方面的需要、法律法规的规定等内容，识别现有信息系统及管理上的不足，以及可能造成的风险大小。
（２）确定范围
风险评估范围可能是组织全部的信息及与信息处理相关的各类资产、管理机构，也可能是某个独立的信息系统、关键业务流程、与客户知识产权相关的系统或部门等。
（３）组建团队
由管理层、相关业务骨干、ＩＴ技术人员等组成风险评估实施小组。必要时，可组建由评估方、被评估方领导和相关部门负责人参加的风险评估领导小组，聘请相关专业的技术专家和技术骨干组成专家小组。
评估实施团队应做好评估前的表格、文档、检测工具等各项准备工作，进行风险评估技术培训和保密教育，制定风险评估过程管理的相关规定。此外，还可根据被评估方要求，双方签署保密合同，依据情况签署个人保密协议。
（４）系统调研
系统调研是确定被评估对象的过程，风险评估小组应进行充分的系统调研，为风险评估依据和方法的选择、评估内容的实施奠定基础。调研内容至少应包括业务战略及管理制度、主要的业务功能和要求、网络结构与网络环境（包括内部连接和外部连接）、系统边界、主要的硬件和软件、数据和信息、系统和数据的敏感性、支持和使用系统的人员等。
系统调研可以采取问卷调查与现场面谈相结合的方式进行。
调查问卷是提供一套关于管理或操作控制的问题表格，供系统技术人员或管理人员填写；现场面谈则是由评估人员到现场观察并收集系统在物理、环境和操作方面的信息。
（５）确定依据
根据系统调研结果，确定评估依据和评估方法。评估依据包括（但不限于）现有国际标准、国家标准、行业标准，行业主管机关业务系统的要求和制度，系统安全保护等级要求，系统互联单位的安全要求，系统本身的实时性或性能要求等。
根据评估依据，应考虑评估的目的、范围、时间、效果、人员素质等因素来选择具体的风险计算方法，并依据业务实施对系统安全运行的需求，确定相关的判断依据，使之能够与组织环境和安全要求相适应。
（６）制定方案
制定风险评估方案的目的是为后面的风险评估实施活动提供一个总体计划，用于指导实施方开展后续工作。风险评估方案的内容一般包括（但不限于）团队组织（包括评估团队成员、组织结构、角色、责任等）、工作计划（风险评估各阶段的工作计划，包括工作内容、工作形式、工作成果等）和时间进度安排。
（７）获得支持
上述所有内容确定后，应形成较为完整的风险评估实施方案，得到组织最高管理者的支持和批准；对管理层和技术人员进行传达，在组织范围就风险评估相关内容进行培训，以明确有关人员在风险评估中的任务。
９５．如何进行资产识别？
信息资产是具有价值的信息或资源，以多种形式存在，有无形的、有形的，有硬件、软件，有文档、代码，也有服务、形象等。保密性、完整性和可用性是评价信息资产的三个安全属性。风险评估中资产的价值不仅以资产的经济价值来衡量，而且由资产在这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度决定。安全属性达成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性以及已采用的安全措施都将对资产安全属性的达成程度产生影响。
信息资产作为信息系统的构成元素分布十分广泛，不同信息资产的功能、重要程度也互不相同。因此，需要对信息资产进行合理分类，分析安全需求，确定资产的重要程度。资产识别的主要工作是在评估实施方案确定的范围内，按照评估方案约定的方式进行如下四项工作。
（１）回顾评估范围内的业务
回顾这些信息的主要目的是帮助资产识别小组对其所评估的业务和应用系统有一个大致了解，为后续的资产识别活动作准备。如果在准备阶段已就这部分信息进行过交流并生成了相应的描述性文档，这部分工作不必重复进行，直接阅读上述文档即可。
（２）识别信息资产，进行合理分类
针对前一个活动中识别出来的每个主要业务或系统，识别完成业务或保证系统正常运转所必需的资产，并注明资产的类别。
资产分类的目的是降低后续分析和赋值活动的工作量。
（３）确定每类信息资产的安全需求
在对资产进行合理分类之后，便可从保密性、完整性和可用性三个方面对每个资产类别进行安全需求分析，而不是对每个资产进行安全需求分析。
（４）为每类信息资产的重要性赋值
在上述安全需求分析的基础上，按照一定方法确定资产的价值或重要程度等级。
９６．如何进行威胁识别？
威胁是一种对组织及其资产构成潜在破坏的可能性因素，是客观存在的。
威胁是构成信息安全风险不可缺少的要素之一。在信息资产及其相关资产存在脆弱性和相应的安全控制措施缺失或薄弱的条件下，威胁总是通过某种具体的途径或方式作用到特定的信息资产上，并破坏该资产一个或多个安全属性，从而产生信息安全风险。
威胁识别主要是识别被评估组织关键资产直接或间接面临的威胁，以及相应的分类和赋值等活动。威胁识别活动的主要目的是建立风险分析需要的威胁场景。威胁识别主要包括以下具体活动：
（１）威胁识别
威胁识别包括实际威胁识别和潜在威胁识别。实际威胁识别即通过访谈和检测工具识别并记录被评估组织近期实际出现过的威胁；潜在威胁识别即根据被评估组织的特点，结合当前信息安全总体的威胁统计和趋势，分析被评估组织面临的潜在威胁。
（２）威胁分类
对上述实际发生过的和潜在的威胁进行分类。与资产分类的目的类似，对威胁进行分类可以简化后续分析、赋值和计算等活动的工作量。
（３）构建威胁的场景
在前面威胁识别和威胁分类的基础上，为每个或每类关键资产构建威胁场景图。
（４）威胁赋值
某些具体的风险需要在这个阶段对威胁进行赋值。因此，需要对具体威胁或威胁类别进行赋值，作为后续计算的输入。
９７．如何进行脆弱性识别？
资产识别和威胁识别完成之后，就是脆弱性识别。脆弱性识别是风险评估的关键环节，包括物理、系统、网络、应用和管理五个方面。
脆弱性识别主要包括以下具体活动：
（１）脆弱性识别
通过扫描工具或手工等不同方式，识别当前系统中存在的脆弱性。
（２）识别结果整理与展示
实际评估项目中，被评估组织往往要求评估单位提交脆弱性识别活动的阶段成果，所以在脆弱性识别阶段，还应将脆弱性识别结果以合理的方式展现给被评估组织。
公务人员信息安全知识读本１２７（３）脆弱性赋值
某些具体的风险分析、计算方法，需要对脆弱性赋值，方能完成后续的风险计算活动。如果评估活动选用了上述类型的风险分析、计算方法，应根据一定的赋值准则，对被识别的脆弱性进行赋值。
９８．如何识别与确认安全措施？
有效的安全控制措施既可降低安全事件发生的可能性，也可减轻安全事件造成的不良影响。因此，在进行风险分析计算之前，有必要识别被评估组织目前已有的安全控制措施，并对措施的有效性进行分析，为后续的风险分析提供参考依据。安全控制措施大致可分为技术控制措施、管理和操作控制措施两大类。
（１）技术控制措施的识别与确认
识别已有的技术控制措施，并对其有效性进行分析和确认。
（２）管理和操作控制措施的识别与确认
识别已有的管理和操作控制措施，并对其有效性进行分析和确认。
９９．如何进行风险分析？
在完成了资产识别、威胁识别、脆弱性识别，以及对已有安全措施的识别与确认后，应进入风险分析阶段。风险分析阶段的主要工作就是完成风险的分析和计算。综合安全事件所作用的资产价值及脆弱性的严重程度，判断安全事件造成的损失对组织的影响，即安全风险。
（１）风险计算原理
风险值＝Ｒ（Ａ，Ｔ，Ｖ）＝Ｒ［Ｌ（Ｔ，Ｖ），Ｆ（Ｉａ，Ｖａ）］。
其中，Ｒ表示安全风险计算函数；Ａ表示资产；Ｔ表示威胁；Ｖ表示脆弱性；Ｉａ表示安全事件所作用的资产价值；Ｖａ表示脆弱性严重程度；Ｌ表示威胁利用资产的脆弱性导致安全事件的可能性；Ｆ表示安全事件发生后造成的损失。
（２）风险结果判定
为实现对风险的控制与管理，可以对风险评估的结果进行等级化处理，将风险划分为若干级，等级越高，风险越高。
评估者应根据所采用的风险计算方法，计算每种资产面临的风险值，根据风险值的分布状况为每个等级设定风险值范围，并对所有风险计算结果进行等级处理。每个等级代表了相应风险的严重程度。
风险等级处理的目的是在风险管理过程中对不同风险的直观比较，以确定组织安全策略。组织应当综合考虑风险控制成本与风险造成的影响，提出一个可接受的风险范围。对某些资产的风险，如果风险计算值在可接受的范围内，则该风险是可接受的，应保持已有的安全措施；如果风险评估值在可接受的范围外，即风险计算值高于可接受范围的上限值，则该风险是不可接受的，需要采取安全措施以降低、控制风险。另一种确定不可接受风险的办法是根据等级化处理的结果，不设定可接受风险值的基准，对达到相应等级的风险都进行处理。
（３）风险处理计划
对不可接受的风险应根据导致该风险的脆弱性制定风险处理计划，风险处理计划中应明确采取的弥补脆弱性的安全措施、预期效果、实施条件、进度安排、责任部门等。安全措施的选择应从管理与技术两个方面考虑，安全措施的选择与实施应参照信息安全的相关标准进行。
（４）残余风险评估
在对不可接受的风险选择适当安全措施后，为确保安全措施的有效性，可进行再评估，以判断实施安全措施后的残余风险是否已降低到可接受的水平。残余风险的评估可依据所采用标准提出的风险评估流程实施，也可做适当裁减。一般来说，安全措施的实施是以减少脆弱性或降低安全事件发生可能性为目标的，因此，残余风险的评估可以从脆弱性评估开始，在对照安全措施实施前后的脆弱性状况后，再次计算风险值的大小。
某些风险可能在选择了适当的安全措施后，残余风险的结果仍处于不可接受的风险范围内，应考虑是否接受此风险或进一步增加相应的安全措施。
１００．什么是信息安全等级保护？
