信息安全风险评估范文

引言：寻求写作上的突破？我们特意为您精选了12篇信息安全风险评估范文，希望这些范文能够成为您写作时的参考，帮助您的文章更加丰富和深入。

篇1

随着社会经济快速发展，信息传递无论是速度还是容量均不断创造新的高度。信息传递方式与人们的生活、工作、学习息息相关。信息产业发展蒸蒸日上，建立在信息技术基础上的信息系统存在一定风险，易受到黑客攻击，且信息系统充斥各种病毒，系统运行过程存在一定风险。基于此必须做好信息系统安全建设，进行安全风险评估，奠定安全基础。

1 风险评估概述

互联网快速发展极大提高人们的生活、工作、学习效率，与此同时发来一系列安全隐患。人们通过互联网可实现信息有效获取，信息传递过程中仍旧可能出现信息被第三方截取情况，信息保密性、完整性、可靠性等均收到影响。网络环境虽然方便信息处理方式，但也带来一系列安全隐患。

从信息安全角度而言，风险评估就是对信息系统自身存在的的种种弱点进行分析，判断可能存在的威胁、可能造成的影响等。综合风险可能性，便于更好展开风险管理。风险评估是研究信息安全的重要途径之一，属于组织信息安全管理体系策划过程。

风险评估主要内容包括：识别信息系统可能面对的各种风险、风险出现的概率、风险可能导致的后果、风险消除策略、风险控制策略等。信息系统构成极为复杂，因此信息系统安全风险评估是一项综合性工作，其组织架构较为繁杂，主要包括技术体系、组织结构、法律体系、标准体系、业务体系等。

20世纪八十年代，以美国、加拿大为代表的发达国家已建立起风险评估体系。我国风险评估体系建立较晚，至今只有十几年时间。目前我国安全风险评估已得到相关部门高度重视，为其快速发展奠定坚实基础。

网络环境虽然带来无穷便利，却也带来各种安全隐患。互联网环境下信息系统易被黑客攻击。一切社会因素均与信息系统联系在一起，人们生活在同一信息系统下总是希望自身隐私得到保护，因此在建设信息系统是必须做好信息安全风险评估，规避信息系统存在的各种风险，提高信息系统安全性，让人们生活在安全信息环境中。

2 信息安全风险评估方法

网络的出现对人们的生活和思维方式带来极大变革，信息交流更加方便，资源共享程度无限扩大，但是网络是一个较为开放的系统，对进入网络系统的人并未有一定约束，因此必然导致安全隐患的出现。随着信息系统建设不断深入，信息系统必将对社会经济、政治、文化、教育等造成巨大影响。基于此需要提升信息系统安全风险评估合理性，降低安全隐患，让人们在安全的信息环境下生活和工作。

2.1 定性评估方法

定性评估是信息安全风险评估使用最频繁的方法，此法基于评估者通过特有评估方法，总结经验、历史等无法量化 因素对系统风险进行综合评估，从而得出评估结果。该中方法更注重安全风险可能导致的后果，忽略安全时间可能发生的概率。定性评估中有很多因素无法量化处理，因此其评估结果本身就存在一定不确定性，此种评估方法适用于各项数据收集不充分情况。

定性评估虽然在概率上无法保障，但可挖掘出一些较为深刻的思想，其结论主观性较强，可预判断一些主观性结论。基于此需要评估人员具较高职业素养，不受限与数据及经验的束缚。典型定性评估方法有逻辑评估法、历史比较法、德尔菲法。

德尔菲法是定性评估中较为常见评估方法之一，经过多轮征询，将专家的意见进行归结，总结专家预测趋势，从而做出评估，预测未来市场发展趋势，得出预测结论。从本质上来说，德尔菲法是一种匿名预测函询法，其流程为：征求专家匿名意见――对该项数据进行归纳整理――反馈意见给专家――收集专家意见――…――得出一致意见。德尔菲法是一种循环往复的预测方法可逐渐消除不确定因素，促进预测符合实际。

2.2 定量评估方法

定量评估与定性评估是相互对立的，此种方法需要建立在一切因素均标准化基础上。定量评估首先需要收集相关数据，且需保证数据准确性，之后利用数学方法建立模型，验证各种过程从而得出结论。定量评估需要准备充足资料，是一种利用公式进行结果推到的方法。从本质上来说定量评估客服定性评估存在的不足，更具备客观性。定量评估可将复杂评估过程量化，但该种方法需要建立在准确数据基础上。定量评估方法主观性不足，其结论不够深刻具体。定量评估方法中具有代表性的方法为故障树评估法。

故障树评估法采用逻辑思维进行风险评估，其特点是直观明了，思路清晰。是一种演绎逻辑推理方法，其推理过程由果及因，即在推理中由结果推到原因，主要运用于风险预测阶段，得出风险发生具体概率，并以此为基础得出风险控制方法。

2.3 定性评估与定量评结合综合评价方法

由前文可知定性评估和定量评估各自存在优缺点。定性评估主观性较强，客观性不足。定量评估主观性不足，客观性较强。因此将二者结合起来便可起到互补不足的效果。定性评估需要耗费少量人力、物力、财力成本，建立在评估者资质基础上。定量评估运用数学方法展开工作，预测结果较为准确，逻辑性较强，但成本较高。从本质上来看，定性为定量的依据，定量是对定性的具体化，因此只有将二者结合起来才能实现最佳评估效果。

3 信息安全风险评估过程

信息安全风险评估建立在一定评估标准基础上，评估标准是评估活动开展的基础和前提。信息安全风险评估过程需要评估技术、工具、方法等全面支持，在此基础上展开全面风险评估，结合实际情况选择合适评估方法。正确的评估方法可提高信息安全风险评估结果准确性，这就要求评估过程中需建立正确评估方法，克服评估过程存在的不足，从而取得最佳结果。

4 结束语

当今信息系统不断发展完善，为保证信息系统运行环境的安全性必须对信息系统进行安全风险评估。信息安全风险评估具有多种方法，实际评估中应该结合实际情况选择合适方法，提高信息安全风险评估结果准确性，为建立安全信息环境奠定坚实基础。

参考文献

[1]应力.信息安全风险评估标准与方法综述[J].上海标准化，2014（05）：34-39.

[2]张玉清.信息安全风险评估综述[J].通信学报，2015（02）：45-53.

篇2

信息安全风险评估

在实践中可以发现，凡是和信息有关的人、事、物都有可能成为风险源，因此评估针对的对象也就包含了和信息相关的各种要素，也可以视为广义上的信息系统。信息安全风险评估，则是指依据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程，它要评估信息系统的脆弱性、信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的程度来识别信息系统的安全风险。

风险评估各要素关系

现实世界中影响风险评估的各种要素相互影响、相互作用。关系错综复杂。《信息安全风险评估指南》用图来描述其关系。

图中这些要素之间存在着以下关系：业务战略依赖于资产去完成-资产拥有价值，单位的业务战略越重要，对资产的依赖度越高，资产的价值则就越大；资产的价值越大则风险越大；风险是由威胁发起的，威胁越大则风险越大，并可能演变成安全事件，威胁都要利用脆弱性，脆弱性越大则风险越大，脆弱性使资产暴露，是未被满足的安全需求，威胁要通过利用脆弱性来危害资产，从而形成风险・资产的重要性和对风险的意识会导出安全需求，安全需求要通过安全措施来得以满足，且是有成本的；安全措施可以抗击威胁，降低风险，减弱安全事件的影响。风险不可能也没有必要降为零，在实施了安全措施后还会有残留下来的风险一部分残余风险来自于安全措施可能不当或无效，在以后需要继续控制这部分风险，另一部分残余风险则是在综合考虑了安全的成本与资产价值后，有意未去控制的风险，这部分风险是可以被接受的；残余风险应受到密切监视，因为它可能会在将来诱发新的安全事件。

数字档案馆信息安全风险评估流程

数字档案馆风险评估过程就是在评估标准的指导下，综合利用相关评估技术，评估方法、评估工具，针对数字档案馆展开全方位的评估工作的完整过程。对数字档案馆进行风险评估，首先应确保风险分析的内容与范围应该覆盖数字档案馆的整个体系。应包括：数字档案馆基本情况分析、基本安全状况调查、安全组织、政策情况分析、弱点漏洞分析等。风险评估具体评估过程如下：

1　确定资产。资产是数字档案馆实现组织目标的物质基础，威胁都是针对于资产存在的，确定资产是我们分析威胁、存在脆弱性的必要条件，如果这个问题没有解决好，必然影响分析评估的后续工作。这一步首先要明确信息资产有哪些，并在此基础上确定资产价值，这里研究的价值是强调对数字档案馆完成目标的重要程度，越重要价值越高。资产的范围很广，一切需要加以保护的东西都算作资产，包括：信息资产、纸质文件、软件资产、物理资产、人员、形象和声誉、服务等。资产的评估应当从关键业务开始，最终覆盖所有关键资产。

2　识别威胁和脆弱性。资产面临的风险是由于资产存在脆弱性，而客观上又存在着利用这些脆弱性阻碍数字档案馆目标实现的威胁造成的。所以要分析风险就要辨别清楚有什么可供利用的弱点，什么样的人或事会利用这些弱点。明确了以上问题，进行评估才能有的放矢。能对资产造成威胁的因素包括人、事、物，而脆弱性则可以从管理、技术等方面来检视。

3　识别当前控制措施。当我们建立了数字档案馆之后，或多或少会有一些相应的规章制度或技术手段来维护信息本身。已经采取的措施对于我们评估风险也是必要的，首先需要了解已经采取何种措施，并要进一步分析这些措施是否完备、是否合理、是否得到了充分执行。已采取的措施合理、有力，就可以降低资产面临的风险，如果没有措施或虽有措施却形同虚设则使得资产完全暴露在威胁之前，没有任何屏障。自然风险很高。

4　确定发生安全事件的可能性和损失。存在脆弱性和威胁并不等于就一定会有风险，因为脆弱性是明确的而威胁却是潜在的。潜在的威胁可以转变成为现实安全事件，也可以消亡。损失只有在威胁转变成为安全事件之后才会出现，为此必须以当前的控制措施作为前提分析安全事件发生的可能性，可能性判断的准确与否直接影响着对风险程度大小的判断。

5　确定风险大小。在前面工作的基础上，确定风险就是较为简单的工作了。根据安全事件发生会造成的损失和发生的概率，就可以知道我们面临的风险。

6　决策。明确了风险大小之后管理者需要做出决定，目前的风险水平是否可以接受?如果不能接受，则要仔细分析为了减小风险需要做的投入。加强各种安全防范措施是需要成本的，要在成本和风险程度之间做好权衡。面对前面工作的成果，管理者需要决定下一步采取何种措施。在分析和决策过程中，要尽可能多地让更多的人参与进来，从管理层的代表到业务部门的主管，从技术人员到非技术人员。

7　执行。最后的步骤是安全措施的实施。实施过程要始终在监督下进行，以确保决策能够贯穿于工作之中。在实施的同时，要密切注意和分析新的威胁并对控制措施进行必要的修改。在信息系统的运行过程中，绝对安全的措施是不存在的：攻击者不断有新的方法绕过或扰乱系统中的安全措施；系统的变化会带来新的脆弱点；实施的安全措施会随着时间而过时等等，所有这些表明，信息系统的风险评估过程是一个动态循环的过程，应周期性地对信息系统安全进行重新评估。

数字档案馆信息安全风险评估要素识别

风险分析中要涉及资产、威胁、脆弱性三个基本要素。识别出三个要素是进行评估的基本条件。

1　资产识别

资产是以信息为核心与信息利用有关的一切形式的要素集合。通常信息资产的保密性、完整性和可用性是公认的能够反映资产安全特性的三个要素。信息资产安全特性的不同也决定了其信息价值的不同，以及存在的弱点、面临的威胁、需要进行的保护和安全控制都各不相同。数字档案馆中的信息资产可以简要分为以下几类：数据、软件、硬件、服务、文档、设备，人员及其他，其中档案，尤其是某些重要档案是资产中的核心。

2　脆弱性识别

脆弱性是资产本身存在的不足，它一旦被利用就会导致损失。值得注意的是，脆弱性虽然客观存在，但它本身不会造成损失，它只有被威胁利用之后，才会带来损害。所以对那些没有安全威胁的弱点可以不需要实施安全保护措施，但他们必须记录下来以确保当环境、条件有所变化时能随之加以改变。需要注意的是不正确的、起不到应有作用的或没有正确实施的安全保护措施本身就可能是一个安全薄弱环节。

对于数字档案馆来说，存在的脆弱性主要是以下几点：缺乏足够的信息安全技术人才，信息工作管理不规范，相关管理者缺乏进行信息安全风险评估的意识；具体工作人员信息技能不高。

篇3

1.引言

随着信息技术的飞速发展，关系国计民生的关键信息资源的规模越来越大，信息系统的复杂程度越来越高，保障信息资源、信息系统的安全是国民经济发展和信息化建设的需要。信息安全风险评估就是从风险管理角度，运用科学的分析方法和手段，系统地分析信息化业务和信息系统所面临的人为和自然的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，以防范和化解风险，或者将残余风险控制在可接受的水平，从而最大限度地保障网络与信息安全。

2、网络信息安全的内容和主要因素分析

“网络信息的安全”从狭义的字面上来讲就是网络上各种信息的安全，而从广义的角度考虑，还包括整个网络系统的硬件、软件、数据以及数据处理、存储、传输等使用过程的安全。

网络信息安全具有如下6个特征：(1)保密性。即信息不泄露给非授权的个人或实体。(2)完整性。即信息未经授权不能被修改、破坏。(3)可用性。即能保证合法的用户正常访问相关的信息。(4)可控性。即信息的内容及传播过程能够被有效地合法控制。

(5)可审查性。即信息的使用过程都有相关的记录可供事后查询核对。网络信息安全的研究内容非常广泛，根据不同的分类方法可以有多种不同的分类。研究内容的广泛性决定了实现网络信息安全问题的复杂性。

而通过有效的网络信息安全风险因素分析，就能够为此复杂问题的解决找到一个考虑问题的立足点，能够将复杂的问题量化，同时，也为能通过其他方法如人工智能网络方法解决问题提供依据和基础。

网络信息安全的风险因素主要有以下6大类：(1)自然界因素，如地震、火灾、风灾、水灾、雷电等；(2)社会因素，主要是人类社会的各种活动，如暴力、战争、盗窃等；(3)网络硬件的因素，如机房包括交换机、路由器、服务器等受电力、温度、湿度、灰尘、电磁干扰等影响；(4)软件的因素，包括机房设备的管理软件、机房服务器与用户计算机的操作系统、各种服务器的数据库配置的合理性以及其他各种应用软件如杀毒软件、防火墙、工具软件等；(5)人为的因素，主要包括网络信息使用者和参与者的各种行为带来的影响因素，如操作失误、数据泄露、恶意代码、拒绝服务、骗取口令、木马攻击等；(6)其他因素，包括政府职能部门的监管因素、有关部门对相关法律法规立法因素、教育部门对相关知识的培训因素、宣传部门对相关安全内容的宣传因素等。这些因素对于网络信息安全均会产生直接或者间接的影响。

3、安全风险评估方法

3.1定制个性化的评估方法

虽然已经有许多标准评估方法和流程，但在实践过程中，不应只是这些方法的套用和拷贝，而是以他们作为参考，根据企业的特点及安全风险评估的能力，进行“基因”重组，定制个性化的评估方法，使得评估服务具有可裁剪性和灵活性。评估种类一般有整体评估、IT安全评估、渗透测试、边界评估、网络结构评估、脆弱性扫描、策略评估、应用风险评估等。

3.2安全整体框架的设计

风险评估的目的，不仅在于明确风险，更重要的是为管理风险提供基础和依据。作为评估直接输出，用于进行风险管理的安全整体框架。但是由于不同企业环境差异、需求差异，加上在操作层面可参考的模板很少，使得整体框架应用较少。但是，企业至少应该完成近期1～2年内框架，这样才能做到有律可依。

3.3多用户决策评估

不同层面的用户能看到不同的问题，要全面了解风险，必须进行多用户沟通评估。将评估过程作为多用户“决策”过程，对于了解风险、理解风险、管理风险、落实行动，具有极大的意义。事实证明，多用户参与的效果非常明显。多用户“决策”评估，也需要一个具体的流程和方法。

3.4敏感性分析

由于企业的系统越发复杂且互相关联，使得风险越来越隐蔽。要提高评估效果，必须进行深入关联分析，比如对一个老漏洞，不是简单地分析它的影响和解决措施，而是要推断出可能相关的其他技术和管理漏洞，找出病“根”，开出有效的“处方”。这需要强大的评估经验知识库支撑，同时要求评估者具有敏锐的分析能力。

3.5评估结果管理

安全风险评估的输出，不应是文档的堆砌，而是一套能够进行记录、管理的系统。它可能不是一个完整的风险管理系统，但至少是一个非常重要的可管理的风险表述系统。企业需要这样的评估管理系统，使用它来指导评估过程，管理评估结果，以便在管理层面提高评估效果。

4、风险评估的过程

4.1前期准备阶段

主要任务是明确评估目标，确定评估所涉及的业务范围，签署相关合同及协议，接收被评估对象已存在的相关资料。展开对被评估对象的调查研究工作。

4.2中期现场阶段

编写测评方案，准备现场测试表、管理问卷，展开现场阶段的测试和调查研究阶段。

4.3后期评估阶段

撰写系统测试报告。进行补充调查研究，评估组依据系统测试报告和补充调研结果形成最终的系统风险评估报告。

5.风险评估的错误理解

(1)

不能把最终的系统风险评估报告认为是结果唯一。

(2)不能认为风险评估可以发现所有的安全问题。

(3)

不能认为风险评估可以一劳永逸的解决安全问题。

(4)不能认为风险评估就是漏洞扫描。

(5)不能认为风险评估就是IT部门的工作，与其它部门无关。

(6)

篇4

   随着我国经济发展及社会信息化程度不断加快，网络得到了迅速的发展，并且在人们的生活、学习及工作中的作用越来越大，同时伴随而来的网络信息安全问题也越来越多了，这给人们不仅给人们的生活带来了不便，还会造成经济损失，对信息安全进行风险评估还是很有必要的。

1. 信息安全风险评估概述

   信息安全风险评估所指的是信息系统因为自身存在着安全弱点，当在自然或者自然的威胁之下发生安全问题的可能性，安全风险是指安全事件发生可能性及事件会造成的影响来进行综合衡量，在信息安全的管理环节中，每个环节都存在着安全风险。信息安全的风险评估所指的是从风险管理的角度看，采用科学的手段及方法，对网络信息系统存在的脆弱性及面临的威胁进行系统地分析，对安全事件发生可能带来的危害程度进行评估，同时提出有针对的防护对策及整改措施，从而有效地化解及防范信息安全的风险，或把风险控制在能够接受的范围内，这样能够最大限度地为信息安全及网络保障提供相关的科学依据。

2. 信息安全的风险评估原则、风险计算模型及评估方法

2.1 信息安全的风险评估原则

   信息安全的风险评估原则主要包括可控性、保密性、最小影响及完整性四个原则。可控性原则包含人员、项目过程及工具的可控性，人员的可控性是指凡是参与信息的安全评估人员都应该资格的审查及备案，要对职责进行明确的分工，当人员的工作岗位发生变更时，要严格执行审批手续，从而确定人员的可控；项目过程的可控是指要运用项目管理的方法学进行项目管理的评估，并重视项目管理中的沟通管理，从而有效地实现项目过程的可控；工具的可控是指对风险评估工具应运用多方的性能比对及精心挑选，同时要取得相关部门及相关专家的论证及认证。保密原则所指的是要跟相关的评估对象签订非侵害行为协议及保密协议。最小影响原则所指的是通过工具技术及项目管理层面对信息系统进行风险评估，从而将影响正常运行的影响降到最低。完整性原则所指的是严格依照委托单位的制定范围及评估要求进行有效地全面评估服务。

2.2 信息安全风险计算模型

风险计算模型所指的是对风险进行分析及计算风险值过程的抽象，包括脆弱性评估、威胁评估、资产评估及风险分析，如图所示。

           风险计算模型图

风险计算过程为：对资产进行识别，且对资产进行赋值；对威胁分析且对其威胁的可能性给予赋值；对资产的脆弱性进行识别，且对其严重程度给予赋值；依据脆弱及威胁性来计算安全事件会发生的可能性；同时依据资产重要性来评估发生安全事件的风险值；通过指标体系中的指标风险值进行定性及定量的评估方法来综合分析，从而得出信息安全风险的评估值。

3.信息安全风险评估方法

    信息安全的风险评估方法有很多，按照计算方法可以分为三种，定量、定性及定量和定性相结合的风险评估方法。定量风险评估方法是一种较为精确的风险评估法，常用数学形式来进行表达，当风险对信息会带来较大的危险或者资料比较充足时，可运用定量风险进行评估。进行定量评估的优点是能够用较为直观的数据进行表述，这样评估的结果较为客观，研究结果更为科学；其缺点是在量化中，一些较为复杂的事物被模糊及简单化了，一些风险因素可能被曲解或者误解，再加上资产价值及发生概率量化较为困难，这种方法使用起来其难度是比较高的，定量评估法中的分析方法有回归模型、聚类分析法、因子分析法、决策树法、时序模型及等风险图法等。定性风险评估法是指根据研究者的经验、知识、政策走向、特殊变例及历史教训等非量化的资料对系统的风险状况作出相应判断的过程。主要对调查对象进行深入访谈并作出个案记录作为基本的资料，运用理论对分析框架进行推导演绎，并编码整理资料，以作出结论。定性分析法有历史比较法、因素分析法、德尔菲法及逻辑分析法。这种方法的优点是所需要的时间、人力资源及费用比较少，缺点是主观性太强，往往不太准确。在进行风险评估中，一些评估的要素是能够用量化形式进行表达的，有些要素用量化是比较困难的，在信息安全的风险评估中一味地用量化是不准确科学的，定量风险分析是进行定性风险分析的前提和基础，定性分析是灵魂，需要在定量分析之上来揭示客观事物的规律，在进行信息安全的风险评估时，不应该将定量分析及定性分析简单割裂，而是将这两种评估方法有机的结合起来，进行定量与定性的综合评估。按照实施手段可以区分为动态系统技术和基于树的技术，动态系统技术有马尔可夫分析方法、尝试法、动态事件树的分析法及动态事件逻辑分析法等，其中马尔可夫分析法还可以称为马尔可夫转移矩阵法，所指的是在马儿可夫的过程之下，运用随机变量的变化情况对变量的未来变化情况进行预测的一种方法。基于树技术的方法主要有事件树分析法、故障树分析法及因果树分析法等。

3. 信息安全分风险评估的发展方向

3.1 由单纯技术风险评估向一体风险评估的转变以及基于知识和模型评估的重视

   单纯技术评估所强调的是组织技术中的脆弱性，信息安全的一体化风险评估拓展了技术风险评估的范围，它所强调的是业务风险分析方法，其核心是业务过程层次中的风险识别，能够有效地保证业务组织的持续性，一体化风险评估所着眼的是组织和安全相关的风险，主要包含内外部环境风险源、组织结构及技术基础，并基于信息及人的风险，并按照目标或者组织业务影响的大小来对安全风险排序。基于知识风险评估的方法是指依照安全专家处所获得的经验对相似场景进行解决的风险评估，这种风险评估方法能够更直接地提供所推荐的结构框架、实施计划及保护措施。基于模型风险评估的方法是指能够对信息系统中的内部机制所涉及的危险因素和当系统跟外界交互时产生的不正常有害行为给予建模，从而对信息系统的安全威胁及系统弱点进行定性分析，注重模型评估及知识风险评估是很有必要的分析方法。

3.2 运用信息安全风险评估的辅助工具来加速评估的进程

   在风险评估工具运用之前，所采用的是手工劳动，劳动量大并且 易出现纰漏，而且还不可避免的带有风险评估人员的主观性，风险评估工具的运用有效地解决了手工评估所带来的局限性，像英国的CRAMM评估能够用于商业影响评估及识别、资产的建模、威胁与弱点的评估、安全需求的定义、风险等级的评估等。COBRA风险评估工具，它所依据的是专家系统及知识库问卷系统，能够有效地对脆弱点及威胁点的相对重要性进行评估，且给出相应的解决方案，风险评估工具还有很多，在进行信息安全的风险评估时，要运用多种辅助工具来加速评估的进程。

4. 总结

    对信息安全进行风险评估是对信息安全的有效保障，进行风险评估不仅能够提高相关人员的信息安全的风险意识及防范措施，还能够运用分先评估进行信息系统的等级建设及保护性能的技术支持，对信息安全中的不确定性因素进行风险评估，并采取不同的措施进行处理，从而保证信息系统的安全有效运行。

参考文献：

[1]沈吉锋,张永志,潘军.信息安全风险评估分析方法简述[J].电脑知识与技术,2010(05)

篇5

基金项目：郑州科技学院大学生创新创业训练计划项目：电子商务信息安全风险评估关键技术及应用（编号：DCY2019007）

1.引言

电子商务是以互联网为基础，以商城消费者产品物流为构成要素进行的电子商务活动。当电子商务相关部门或人员在进行项目开发时，拥有一套信息安全风险评估系统可以帮助其采用科学合理的方法对潜在威胁进行分析并保证经济系统的安全。所以将信息安全技术与现代化新兴技术结合，将为我们打造一个更加优质的网络环境。

2.电子商务系统中存在的信息安全问题及现状

一般来说，电子商务的信息安全是指在电子商务交易的过程中双方使用各种技术和法律手段等确保交易不会因为意外，恶意或者披露这些不利要求而受到损害的信息安全。在21世纪初叶，我国金融系统中的计算机犯罪率一直在不断地增加，我国金融网络信息安全形势非常严峻，需要加强改善。下面就电子商务网络中的信息安全问题做一个简要介绍，主要涉及以下几个方面：

（1）由于编写的电子商务系统软件可以使用不同的形式，因此在实际应用过程中难以避免的会留下安全漏洞。例如，网络操作系统本身会存在一些安全问题，例如非法访问I/0，这些不完全的调解和混乱的访问控制会造成数据库安全漏洞，而这些漏洞严重影响了电子商务系统的信息安全性.特别是在设开始设计之前就没有考虑TCP/IP通信协议的安全性，这一切都表明当前的电子商务系统网络软件中有一些可以避免或不可避免的安全漏洞。此外信息共享处理带来也存在风险。在信息的传递过程中，需要不断地对信息源进行加工和重现，截取有用信息，不可避免会出现信息转化方面的风险。尤其是在当下“社交+商务”的模式下，一条消息可能瞬间在社交网站上转载数万次或者更多，一旦在信息转载中出现误差，影响非常大，风险应当给予重视。

（2）随着网络技术的广泛应用，计算机病毒带来的问题越来越广泛，压缩文件，电子邮件已经成为计算机病毒传播的主要途径，因为这些病毒的种类非常多样化，破坏性极强，使得计算机病毒的传播速度大大加快了。近年来，新病毒种类的数量迅速增加，互联网为这些病毒的传播提供了良好的媒介。这些病毒可以通过网络大量传播任何粗心大意都会造成无法弥补的经济损失。此外还有信息传递过程所带来的风险。信息是一种重要的资源，良好的流动性能實现信息价值的最大化，但是在信息的传递过程中需要经过许多路径，而在这过程中往往存在一些不安全因素，给信息安全带来一定的风险。

（3）当前的黑客攻击，除了计算机病毒的传播外，黑容的恶意行为也越来越猖狂。特洛伊木马使黑容可以使用计算机病毒从而变得更加有目的性，使得计算机记录的登录信息被特洛伊木马程序恶意篡改，导致很多重要信息、文件，甚至是金钱被盗。

（4）由人为因素造成的电子商务公司的安全问题，大部分保密工作是通过员工的操作来进行的，这就需要员工具有很好的保密性，责任心和责任感等道德素质。如果员工的责任心不强，态度不正确，就容易被别人利用，让无关人员随意进出房间或向他人泄露机密信息，可以让罪犯废除重要信息。如果工作人员缺乏良好的职业道德，可能会非法超出授权范围更改或删除他人的信息，而且还可以利用所学专业知识和工作位置来窃取用户密码和标识符，进行非法出售。

3.电子商务信息安全风险评估存在的问题

经过大量的数据收集与分析不难发现对信息安全风险评估是当前科研工作中噬待解决的问题。目前，国内也有一些关于信息安全风险评估的研究和应用，但是这些研究都只是简单的分析，包括常用的具有风险的风险评估工具。评估矩阵，问卷，风险评估矩阵与问卷方法，专家系统相结合。对于更深层次的探究还需进一步努力。此外，网络信息安全风险评估方法常用定量因子分析方法，时间序列模型，决策树方法和回归模型进行。风险评估方法，定性分析主要包括逻辑分析，Delphi方法，因子分析方法，历史比较方法等。其中，定量和定性评估方法相结合，是由模糊层次分析法，基于D-S证据理论等的评估方法组成。同时网络信息安全风险评估还存在一定问题，例如随着网络的发展，我国从开始的2G迈向4G现在又率先进入5G时代。其中也出现了各种问题，网民数量的增加需要迫切提高他们对信息安全的警惕意识。

3.1欠缺对电子商务信息安全风险评估的认识

当前，许多相关人员对电子商务信息系统面临着巨大的挑战的现状并未有足够的意识，缺少信息安全风险评估经验。因此他们没有重视信息安全风险评估的重要性，其原因如下。第一，公司或单位的风险评估尚未通过标准检验，培训标准，信息安全风险评估工作的研究尚未得到系统的相关理论，方法和技术工具，这是由于一些信息安全评估工作相关领导层和工作人员对信息评估风险评估的重要性的认识不足，因此自然而然不将此类风险评估工作包括在当前的信息安全系统框架中。第二，尽管有许多部门将信息安全工作置于地位重要，但受到人力、物力，财力等方面的限制，社会制度的制约，政策法规的欠缺使得信息安全系统的信息安全风险评估工作无法得到应有的重视。

3.2缺乏信息安全风险评估方面的专业技术人才

首先，信息安全风险评估的技术内容要求非常高，它要求员工具有很高的技术水平，现在很多公司都将通用信息用作风险评估技术人员。其次，信息安全风险评估是一项集综合性，专业性于一体的工作，不仅涉及公司的所有业务信息，也涉及人力，物力和财力的方方面面，因此需要各部门之间相互配合，现在大多数公司仅依靠信息部门，独立的参与信息安全风险评估毫无争议他们要想完成信息安全风险评估工作是非常艰难的。综上所述，培养信息安全风险评估专业技术人员是今后信息技术方面发展的方向。

3.3风险评估工具相对缺乏

当前，除专家系统外，其他分析工具相对来说都比较简易，除此之外还缺乏实用的理论基础。此外，这种信息风险评估工具在应用中的发展呈现的现状。表明国内和外部失衡，在中国相对落后。可见解决信息安全问题的关键在于有成熟的风险评估工具。

4.防范电子商务信息安全及风险的建议

4.1增强电子商务信息安全和风险评估的意识

大多数信息的传输和处理，与人是密不可分的。特别是掌握人员的重要信息和核心业务，人员的个人因素，管理因素和环境存在风险。主要包括人员的技术能力，监控管理，安全性。特别需要做好监督审计公司的工作，确保信息安全风险管理融入实践，充分发挥内部监督作用，促进社会责任认可和实施信息安全风险管理工作。电子商务公司必须对工人进行必要的信息安全知识教育培訓，了解与之相关的法律法规，做好对客户关键信息的隐秘保护。不随意查看和泄露客户购买信息。

企业应该加大力度保障网络通信操作时信息的机密性和完整性，加强密钥管理，提高应对网络攻击能力，采取措施避免越权或滥用，消除用户在交易中的风险。在信息安全风险控制中必须由内到外地保护内部系统环境、网络边界、骨干网安全。为网络信息系统建立完善的管理系统，并提供全面的安全保障。运用端到端策略。对于移动电子商务中用户终端设备种类繁多，安全环境复杂难以控制的问题，必须做好数据传输中的重要环节中的身份鉴定。通过人脸识别、指纹识别等技术有效提高用户访问身份鉴别能力，极大地提高账户的安全性，确保数据传输的安全性，确保交易的真实有效。

4.2提供专业的技术培训，提高专业人员的技能

认真选择第三方合作伙伴，增强信息管理水平，加强绩效监督管理。树立合理的企业内部组织结构和有效资金保障，培养员工信息安全意识，创造良好信息安全工作氛围，加强信息安全专业技术人员对信息安全风险评估的意识和能力，通过大量的实验发现可以通过下列方法培训相关人员：第一，定期开展信息安全风险评估工作，将公司员工集合共同学习相关资料以提升他们对信息安全的意识弥补存在的缺陷。第二，对信息安全部门的员工进行专门的技术培训和指导，可通过模拟分析来提升技术；第三，公司应增加对技术资源的投入，聘请经验丰富的专家学者组成第三方评估机构，引进风险评估设备。以备不时之需；第四，公司应对技术人员进行标准化认证培训，执行职业资格准入制度，提高技术人员的门槛，纳入信息安全风险评估，技术人员的全面质量保证评估。以上这些方法只是单纯就培训方式对于具体的实施以及可能遇到的问题依然需要研究。

4.3提升对信息安全防范技术的研究和应用

篇6

一、研究的意义

伴随着计算机通信技术的广泛应用，信息化时代迅速到来。社会信息化给政府事务管理提出了新的要求，行政管理的现代化迫在眉睫。电子政务在发达国家取得长足进展，为了提高政府的行政效能和行政管理水平，我国正在加快对电子政务网的建设。在新的时代条件下，开放和互联的发展带来信息流动的极大便利，同时，也带来了新的问题和挑战。电子政务系统上所承载的信息的特殊性，在网络开放的条件下，尤其是公共部门电子政务信息与资产，如果受到不法攻击、利用，则有可能给国家带来损失，也可能危及政府、企业和居民的安全。作为政府信息化工作的基本手段，电子政务网在稳定性、安全性方面，比普通信息网要求更高。对信息安全风险进行评估，是确定与衡量电子政务安全的重要方式。研究确定科学的安全风险评估标准和评估方法及模型，不仅有助于维护政府信息安全，也有助于防止现实与潜在的风险。

二、国内外研究状况

当前，国内外尚未形成系统化的电子政务网络信息安全的评估体系与方法。目前主要有风险分析、系统安全工程能力成熟度模型、安全测评和安全审计等四类。

(一)国外研究现状。在风险评估标准方面，1993年，美、英、德等国国家标准技术研究所与各国国家安全局制定并签署了《信息技术安全通用评估准则》。1997年形成了信息安全通用准则2．0版，1999年形成了CC2．1版，并被当作国际标准(150/IEC15408)。CC分为EALI到EAL7共7个评估等级，对相关领域的研究与应用影响深远。之后，风险评估和管理被国际标准组织高度重视，作为防止安全风险的手段，他们更加关注信息安全管理和技术措施，并体现在相继于1996年和2000年的《信息技术安全管理指南》(150/IECTR13335标准)和《信息技术信息安全管理实用规则》(150/IEC177799)中。与此同时，全球在信息技术应用和研究方面较为发达的国家也纷纷研发符合本国实际的风险管理标准。如美国国家标准与技术局自1990年以来，制定了十几个相关的风险管理标准。进入二十一世纪初，美国又制定了《IT系统风险管理指南》，细致入微地提出风险处理的步骤和方法。2002年与2003年，美国防部相继公布了《信息(安全)保障》指示(8500•l)及更加完备的《信息(安全)保障实现))指令(5500•2)，为国家防务系统的安全评估提供了标准和依据。随着信息安全标准的广泛实施，风险评估服务市场应运而生。继政府、社会研究机构之后，市场敏锐的产业界也投入资金出台适应市场需求风险评估评估体系和标准。例如美国卡内基•梅隆大学的OCTAVE方法等。在风险评估方法方面，目前许多国内外的学者运用神经网络、灰色理论、层次分析法、贝叶斯网络、模糊数学、决策树法等多种方法，系统研究并制定与开发了不同类型、不同用途的风险评估模型，这些模型与方法虽然具备一定的科学依据，在不用范围和层面的应用中取得一定成果，但也存在不同程度的不足，比如计算复杂，成本高，难以广泛推广。

(二)国内相关研究现状。我国的研究较之国外起步稍晚，尽管信息化浪潮对各国的挑战程度不同，但都深受影响。20世纪90年代末，我国信息安全标准和风险评估模型的研究已广泛开展。但在电子政务网上的应用却是近几年才开始引发政府、公众及研究机构的关注。任何国家政府都十分重视对信息安全保障体系的宏观管理。但政府依托什么来宏观控制和管理呢?实际上就是信息安全标准。所以在股价战略层面看，用哪个国家的标准，就会带动那个国家的相关产业，关系到该国的经济发展利益。标准的竞争、争夺、保护，也就成为各国信息技术战场的重要领域。但要建立国内通行、国际认可的技术标准，却是一项艰巨而长期的任务。我国从20世纪80年代开始，就组织力量学习、吸收国际标准，并逐步转化了一批国际信息安全基础技术标准，为国家安全技术工作的发展作出了重要贡献。信息安全技术标准的具体研究应用，首先从最直接的公共安全领域开始的。公安部首先根据实际需要组织制定和颁布了信息安全标准。1999年颁布了《计算机信息系统安全保护等级划分准则》(GB17859一1999);2001年援引CC的GB/T18336一2001，作为我国安全产品测评的标准;在此基础上，2003年完成了《风险评估规范第1部分:安全风险评估程序》、《风险评估规范第2部分:安全风险评估操作指南》。同时，公安部以上述国家标准为依据，开展安全产品功能测评工作，以及安全产品的性能评测、安全性评测。在公安部的带动下，我国政府科研计划和各个行业的科技项目中，都列出一些风险评估研究项目，带动行业技术人员和各部门研究人员加入研究行列，并取得一些成果。这些成果又为风险评估标准的制定提供了丰富的材料和实践的依据。同时，国家测评认证机构也扩展自己的工作范围，开展信息系统的安全评测业务。2002年4月15日，全国信息安全标准化技术委员会正式成立。为进一步推进工作，尽快启动一批信息安全关键性标准的研究工作，委员会制定了《全国信息安全标准化技术委员会工作组章程(草案)》，并先后成立了信息安全标准体系与协调工作组(WG1)、内容安全分级及标识工作组(WG2)等10个工作组。经过我国各部门和行业的长期研究和实践，积累了大量的成果和经验，在现实需求下，制定我国自己的风险评估国家标准的条件初步成熟。2004年，国信办启动了我国风险评估国家标准的制定工作。该项工作由信息安全风险评估课题组牵头制定工作计划，将我国风险评估国家标准系列分为三个标准，即《信息安全风险管理指南》、《信息安全风险评估指南》和《信息安全风险评估框架》。每个标准的内容和规定各不相同，共同组成国家标准系列。《信息安全风险管理指南》主要规定了风险管理的基本内容和主要过程，其中对本单位管理层的职责予以特别明确，管理层有权根据本单位风险评估和风险处理的结果，判断信息系统是否运行。《信息安全风险评估指南》规定，风险评估包括的特定技术性内容、评估方法和风险判断准则，适用于信息系统的使用单位进行自我风险评估及机构的评估。《信息安全风险评估框架》则规定，风险评估本身特定的概念与流程。

三、研究的难点及趋势

电子政务网的用户与管理层不一定具备计算机专业的技能与知识，其操作行为与管理方式可能造成安全漏洞，容易构成网络安全风险问题。目前存在的风险评估体系难以适应电子政务安全运行的基本要求，因此结合电子政务网性需求，需要设计一种由内部提出的相应的评估方法和评估准则，制定风险评估模型。当前存在的难点主要有:一是如何建立风险评估模型体系来解决风险评估中因素众多，关系错综复杂，主观性强等诸多问题，是当前电子政务网络信息安全评估研究的重点和难点。二是评估工作存在评估误差，也是目前研究的难点和不足之处。误差的不可避免性，以及其出现的随机性和不确定性，使得风险评估中风险要素的确定更加复杂，评估本身就具有了不确定性。从未来研究趋势看，一是要不断改进风险评估方法和风险评估模型。有研究者认为，要充分借鉴和利用模糊数学的方法，建立OCTAVE电子政务系统风险评估模型。它可以有效顾及评估中的各项因素，较为简易地获得评估结果，并消除其中存在的主观偏差。二是由静态风险评估转向动态风险评估。动态的风险评估能够对电子政务信息安全评估进行较为准确的判断，同时可以及时制止风险进一步发生。在动态模型运用中，研究者主要提出了基于主成分的BP人工神经网络算法，通过对人工神经网络算法的进一步改进，实现定性与定量的有效结合。

作者:郭玮 单位:西安邮电大学

参考文献：

［1］陈涛，冯平，朱多刚．基于威胁分析的电子政务信息安全风险评估模型研究［J］．情报杂志，2011，8:94～98

［2］雷战波，胡安阳．电子政务信息安全风险评估方法研究［J］．中国信息界，2010，6

［3］余洋．电子政务系统风险评估模型设计与研究［D］．成都理工大学，2008

［4］周伟良，朱方洲，电子政务系统安全风险评估研究［J］．电子政务，2007，29:67～68

［5］赵磊．电子政务网络风险评估与安全控制［D］．上海交通大学，2011

篇7

1. 引言

随着信息技术的飞速发展，关系国计民生的关键信息资源的规模越来越大，信息系统的复杂程度越来越高，保障信息资源、信息系统的安全是国民经济发展和信息化建设的需要。信息安全的目标主要体现在机密性、完整性、可用性等方面。风险评估是安全建设的出发点，它的重要意义在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案的制定，以成本一效益平衡的原则，通过评估信息系统面临的威胁以及脆弱性被威胁源利用后安全事件发生的可能性，并结合资产的重要程度来识别信息系统的安全风险。信息安全风险评估就是从风险管理角度，运用科学的分析方法和手段，系统地分析信息化业务和信息系统所面临的人为和自然的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，以防范和化解风险，或者将残余风险控制在可接受的水平，从而最大限度地保障网络与信息安全。

2．网络信息安全的内容和主要因素分析

“网络信息的安全”从狭义的字面上来讲就是网络上各种信息的安全，而从广义的角度考虑，还包括整个网络系统的硬件、软件、数据以及数据处理、存储、传输等使用过程的安全。

网络信息安全具有如下6个特征：（1）　保密性。即信息不泄露给非授权的个人或实体。（2）完整性。即信息未经授权不能被修改、破坏。（3）可用性。即能保证合法的用户正常访问相关的信息。（4）可控性。即信息的内容及传播过程能够被有效地合法控制。（5）可审查性。即信息的使用过程都有相关的记录可供事后查询核对。网络信息安全的研究内容非常广泛，根据不同的分类方法可以有多种不同的分类。研究内容的广泛性决定了实现网络信息安全问题的复杂性。

而通过有效的网络信息安全风险因素分析，就能够为此复杂问题的解决找到一个考虑问题的立足点，能够将复杂的问题量化，同时，也为能通过其他方法如人工智能网络方法解决问题提供依据和基础。

网络信息安全的风险因素主要有以下6大类：（1）自然界因素，如地震、火灾、风灾、水灾、雷电等；（2）社会因素，主要是人类社会的各种活动，如暴力、战争、盗窃等；（3）网络硬件的因素，如机房包括交换机、路由器、服务器等受电力、温度、湿度、灰尘、电磁干扰等影响；（4）软件的因素，包括机房设备的管理软件、机房服务器与用户计算机的操作系统、各种服务器的数据库配置的合理性以及其他各种应用软件如杀毒软件、防火墙、工具软件等；（5）人为的因素，主要包括网络信息使用者和参与者的各种行为带来的影响因素，如操作失误、数据泄露、恶意代码、拒绝服务、骗取口令、木马攻击等；（6）其他因素，包括政府职能部门的监管因素、有关部门对相关法律法规立法因素、教育部门对相关知识的培训因素、宣传部门对相关安全内容的宣传因素等。这些因素对于网络信息安全均会产生直接或者间接的影响。

3．安全风险评估方法

3.1　定制个性化的评估方法

虽然已经有许多标准评估方法和流程，但在实践过程中，不应只是这些方法的套用和拷贝，而是以他们作为参考，根据企业的特点及安全风险评估的能力，进行“基因”重组，定制个性化的评估方法，使得评估服务具有可裁剪性和灵活性。评估种类一般有整体评估、IT安全评估、渗透测试、边界评估、网络结构评估、脆弱性扫描、策略评估、应用风险评估等。

3.2　安全整体框架的设计

风险评估的目的，不仅在于明确风险，更重要的是为管理风险提供基础和依据。作为评估直接输出，用于进行风险管理的安全整体框架。但是由于不同企业环境差异、需求差异，加上在操作层面可参考的模板很少，使得整体框架应用较少。但是，企业至少应该完成近期　1～2　年内框架，这样才能做到有律可依。

3.3　多用户决策评估

不同层面的用户能看到不同的问题，要全面了解风险，必须进行多用户沟通评估。将评估过程作为多用户“决策”过程，对于了解风险、理解风险、管理风险、落实行动，具有极大的意义。事实证明，多用户参与的效果非常明显。多用户“决策”评估，也需要一个具体的流程和方法。

3.4　敏感性分析

由于企业的系统越发复杂且互相关联，使得风险越来越隐蔽。要提高评估效果，必须进行深入关联分析，比如对一个老漏洞，不是简单地分析它的影响和解决措施，而是要推断出可能相关的其他技术和管理漏洞，找出病“根”，开出有效的“处方”。这需要强大的评估经验知识库支撑，同时要求评估者具有敏锐的分析能力。

3.5　集中化决策管理

安全风险评估需要具有多种知识和能力的人参与，对这些能力和知识的管理，有助于提高评估的效果。集中化决策管理，是评估项目成功的保障条件之一，它不仅是项目管理问题，而且是知识、能力等“基因”的组合运用。必须选用具有特殊技能的人，去执行相应的关键任务。如控制台审计和渗透性测试，由不具备攻防经验和知识的人执行，就达不到任何效果。

3.6　评估结果管理

安全风险评估的输出，不应是文档的堆砌，而是一套能够进行记录、管理的系统。它可能不是一个完整的风险管理系统，但至少是一个非常重要的可管理的风险表述系统。企业需要这样的评估管理系统，使用它来指导评估过程，管理评估结果，以便在管理层面提高评估效果。

4．风险评估的过程

4.1　前期准备阶段

主要任务是明确评估目标，确定评估所涉及的业务范围，签署相关合同及协议，接收被评估对象已存在的相关资料。展开对被评估对象的调查研究工作。

4.2　中期现场阶段

编写测评方案，准备现场测试表、管理问卷，展开现场阶段的测试和调查研究阶段。

4.3　后期评估阶段

撰写系统测试报告。进行补充调查研究，评估组依据系统测试报告和补充调研结果形成最终的系统风险评估报告。

5．风险评估的错误理解

（1）　不能把最终的系统风险评估报告认为是结果唯一。

（2）不能认为风险评估可以发现所有的安全问题。

（3）　不能认为风险评估可以一劳永逸的解决安全问题。

（4）不能认为风险评估就是漏洞扫描。

（5）不能认为风险评估就是　IT部门的工作，与其它部门无关。

（6）　不能认为风险评估是对所有信息资产都进行评估。

6．结语

总之，风险评估可以明确信息系统的安全状况和主要安全风险。风险评估是信息系统安全技术体系与管理体系建设的基础。通过风险评估及早发现安全隐患并采取相应的加固方案是信息系统安全工程的重要组成部分，是建立信息系统安全体系的基础和前提。加强信息安全风险评估工作是当前信息安全工作的客观需要和紧迫需求，但是，信息安全评估工作的实施也存在一定的难题，涉及信息安全评估的行业或系统各不相同，并不是所有的评估方法都适用于任何一个行业，要选择合适的评估方法，或开发适合于某一特定行业或系统的特定评估方法，是当前很现实的问题，也会成为下一步研究的重点。

参考文献：

[1] 刚 , 吴昌伦. 信息安全风险评估的策划[J]. 信息技术与标准化 , 2004,(09)

[2] 贾颖禾. 信息安全风险评估[J]. 中国计算机用户 , 2004,(24)

[3] 杨洁. 层次化的企业信息系统风险分析方法研究[J]. 软件导刊 , 2007,(03)

篇8

一、引言

从审计的角度，风险评估是现代风险导向审计的核心理念。无论是在历史财务报表审计还是在网络审计中，现代风险导向审计均要求审计师在执行审计工作过程中应以风险评估为中心，通过对被审计单位及其环境的了解，评估确定被审计单位的高风险领域，从而确定审计的范围和重点，进一步决定如何收集、收集多少和收集何种性质的证据，以便更有效地控制和提高审计效果及审计效率。从企业管理的角度，企业风险管理将风险评估作为其基本的要素之一进行规范，要求企业在识别和评估风险可能对企业产生影响的基础上，采取积极的措施来控制风险，降低风险为企业带来损失的概率或缩小损失程度来达到控制目的。信息安全风险评估作为企业风险管理的一部分，是企业信息安全管理的基础和关键环节。尽管如此，风险评估在网络审计、历史财务报表审计和企业信息安全管理等工作中的运用却不尽相同，本文在分析计算机信息系统环境下所有特定风险和网络审计风险基本要素的基础上，从风险评估中应关注的风险范围、风险评估的目的、内容、程序及实施流程等内容展开，将网络审计与历史财务报表审计和信息安全管理的风险评估进行对比分析，以期深化对网络审计风险评估的理解。

二、网络审计与历史财务报表审计的风险评估比较

(一)审计风险要素根据美国注册会计师协会的第47号审计标准说明中的审计风险模型，审计风险又由固有风险、控制风险和检查风险构成。其中，固有风险是指不考虑被审计单位相关的内部控制政策或程序的情况下，其财务报表某项认定产生重大错报的可能性；控制风险是被审计单位内部控制未能及时防止或发现财务报表上某项错报或漏报的可能性；检查风险是审计人员通过预定的审计程序未能发现被审计单位财务报表上存在重大错报或漏报的可能性。在网络审计中，审计风险仍然包括固有风险、控制风险和检查风险要素，但其具体内容直接受计算机网络环境下信息系统特定风险的影响。计算机及网络技术的应用能提高企业经营活动的效率，为企业的经营管理带来很大的优越性，但同时也为企业带来了一些新的风险。这些新的风险主要表现为：(1)数据与职责过于集中化。由于手工系统中的职责分工、互相牵制等控制措施都被归并到计算机系统自动处理过程中去了，这些集中的数据库技术无疑会增加数据纵和破坏的风险。(2)系统程序易于被非法调用甚至遭到篡改。由于计算机系统有较高的技术要求，非专业人员难以察觉计算机舞弊的线索，这加大了数据被非法使用的可能性。如经过批准的系统使用人员滥用系统，或者说，企业对接近信息缺乏控制使得重要的数据或程序被盗窃等。(3)错误程序的风险，例如程序中的差错反复和差错级联、数据处理不合逻辑、甚至是程序本身存在错误等。(4)信息系统缺乏应用的审计接口，使得审计人员在审计工作中难以有效地采集或获取企业信息系统中的数据，从而无法正常开展审计工作。(5)网络系统在技术和商业上的风险，如计算机信息系统所依赖的硬件设备可能出现一些不可预料的故障，或者信息系统所依赖的物理工作环境可能对整个信息系统的运行效能带来影响等。相对应地，网络审计的固有风险主要是指系统环境风险，即财务电算化系统本身所处的环境引起的风险，它可分为硬件环境风险和软件环境风险。控制风险包括系统控制风险和财务数据风险，其中，系统控制风险是指会计电算化系统的内部控制不严密造成的风险，财务数据风险是指电磁性财务数据被篡改的可能性。检查风险包括审计软件风险和人员操作风险，审计软件风险是指计算机审计软件本身缺陷原因造成的风险，人员操作风险是指计算机审计系统的操作人员、技术人员和开发人员等在工作中由于主观或客观原因造成的风险。

(二)风险评估目的无论在网络审计还是历史财务报表审计中，风险评估只是审计的一项重要程序，贯穿于审计的整个过程。与其他审计程序紧密联系而不是一项独立的活动。尽管如此，两者所关注的风险范围则有所不同。历史财务报表审计的风险评估要求审计人员主要关注的是被审计单位的重大错报风险――财务报表在审计前存在重大错报的可能性。由于网络审计的审计对象包括被审计单位基于网络的财务信息和网络财务信息系统两类，因此审计人员关注的风险应是被审计单位经营过程中与该两类审计对象相关的风险。(1)对于与企业网络财务信息系统相关的风险，审计人员应该从信息系统生命周期的各个阶段和信息系统的各组成部分及运行环境两方面出发进行评估。信息系统生命周期是指该信息系统从产生到完成乃至进入维护的各个阶段及其活动，无论是在早期的线性开发模型中还是在更为复杂的螺旋式等模型中，一个信息系统的生命周期大都包括规划和启动、设计开发或采购、集成实现、运行和维护、废弃等五个基本阶段。由于信息系统在不同阶段的活动内容不同，企业在不同阶段的控制目标和控制行为也会有所不同，因此，审计人员的风险评估应该贯穿于信息系统的整个生命周期。信息系统的组成部分是指构成该信息系统的硬件、软件及数据等，信息系统的运行环境是指信息系统正常运行使用所依托的物理和管理平台。具体可将其分为五个层面：物理层，即信息系统运行所必备的机房、设备、办公场所、系统线路及相关环境；网络层，即信息系统所需的网络架构的安全情况、网络设备的漏洞情况、网络设备配置的缺陷情况等；系统层，即信息系统本身的漏洞情况、配置的缺陷情况；应用层，即信息系统所使用的应用软件的漏洞情况、安全功能缺陷情况；管理层，即被审计单位在该信息系统的运行使用过程中的组织、策略、技术管理等方面的情况。(2)对于与企业基于网络的财务信息相关的风险，审计人员应着重关注财务信息的重大错报风险和信息的安全风险。重大错报风险主要指被审计单位基于网络的相关财务信息存在重大错报的可能性，它是针对企业借助于网络信息系统或网络技术对有关账户、交易或事项进行确认、计量或披露而言。网络审计中关注的重大错报风险与传统审CtT的内涵基本上是一致的，审计人员在审计时应当考虑被审计单位的行业状况、经营性质、法律及监管环境、会计政策和会计方法的选用、财务业绩的衡量和评价等方面的情况对财务信息错报可能的影响。信息安全风险涉及信息的保密性、完整性、可用性及敏感性等方面可能存在的风险，主要针对企业利用信息系统或一定的网络平台来存储、传输、披露相关财务信息而言。在审计过程中，审eta员应当主要关注相关财务信息被盗用、非法攻击或篡改及非法使用的可能性。当然，这两类风险并非完全分离的，评估时审计人员应将两者结合起来考虑。

(三)风险评估内容　广泛意义的风险评估是指考虑潜在事件对目标实现的影响程度。由于网络审计与历史财务报表审计风险评估的目的并不完全相同，因此两者在风险评估的内容上也是存在区别的。总的来说，网络审计的风险评估内容比历史财务报表审计的风险评估内容更广泛和深入。根据《中国注册会计师审计准则第1211号――了解被审计单位及其环境并评估重大错报风

险》，在历史财务报表审计中，审计人员的风险评估应以了解被审计单位及其环境为内容。为识别和评价重大错报风险，审计人员了解的具体内容包括被审计单位所在行业状况、法律环境与监管环境以及其他外部因素、被审计单位的性质、被审计单位对会计政策的选择和运用、被审计单位的目标、战略以及相关经营风险、被审计单位财务业绩的衡量和评价及被审it@位的内部控制等。在网络审计中。为了识别和评估上文所述的两类风险，审计人员除了从以上方面了解被审计单位及其环境外，还应该关注其他相关的潜在事件及其影响，尤其是企业的财务信息系统及基于网络的财务信息可能面l临的威胁或存在的脆弱点。其中，威胁是指对信息系统及财务信息构成潜在破坏的可能性因素或者事件，它可能是一些如工作人员缺乏责任心、专业技能不足或恶意篡改等人为因素，也可能是一些如灰尘、火灾或通讯线路故障等环境因素。脆弱点是指信息系统及基于网络的财务信息所存在的薄弱环节，它是系统或网络财务信息本身固有的，包括物理环境、组织、过程、人员、管理、配置、硬软件及信息等各方面的弱点。一般来说，脆弱点本身不会带来损失或信息错报，威胁却总是要利用网络、系统的弱点来成功地引起破坏。因此，我们认为网络审计申风险评估的内容应包括以下几方面：(1)识别被审计单位财务信息系统及其基于网络的财务信息可能面临的威胁，并分析威胁发生的可能性；(2)识别被审计单位财务信息系统及其基于网络的财务信息可能存在的脆弱点，并分析脆弱点的严重程度；(3)根据威胁发生的可能性和脆弱点发生的严重程度，判断风险发生的可能性；(4)根据风险发生的可能性，评价风险对财务信息系统和基于网络的财务信息可能带来的影响；(5)若被审计单位存在风险防范或化解措施，审计人员在进行风险评估时还应该考虑相应措施的可行性及有效性。

(四)风险评估程序《中国注册会计师审计准则第1211-----了解被审计单位及其环境并评估重大错报风险》中要求，审计人员应当实施询问、分析程序、观察和检查等程序，以获取被审计单位的信息，进而评估被审计单位的重大错报风险。这些程序同样适用于网络审计中的风险评估。但在具体运用时网络审计中更加注重了解和分析被审计单位与信息系统及网络技术使用相关的事项。在实施询问程序时，审计人员的询问对象围绕信息系统和基于网络的财务信息可大致分为管理人员、系统开发和维护人员(或信息编制人员)、系统使用人员(或信息的内部使用人员)、系统或网络技术顾问及其他外部相关人员(如律师)等五类，分别从不同角度了解信息系统和基于网络的财务信息可能存在的威胁和脆弱点。在实施分析程序时，除了研究财务数据及与财务信息相关的非财务数据可能的异常趋势外，审计人员应格外关注对信息系统及网络的特性情况，被审计单位对信息系统的使用情况等内容的分析比较。实施观察和检查时，除执行常规程序外，审计人员应注意观察信息系统的操作使用和检查信息系统文档。除此之外，针对特定系统或网络技术风险的评估，审计人员还需要实施一些特定的程序。技术方面如IOS取样分析、渗透测试、工具扫描、安全策略分析等；管理方面如风险问卷调查、风险顾问访谈、风险策略分析、文档审核等。其中，IDS取样分析是指通过在核心网络采样监听通信数据方式，获取网络中存在的攻击和蠕虫行为，并对通信流量进行分析；渗透测试是指在获取用户授权后，通过真实模拟黑客使用的工具、方法来进行实际漏洞发现和利用的安全测试方法；工具扫描是指通过评估工具软件或专用安全评估系统自动获取评估对象的脆弱性信息，包括主机扫描、网络扫描、数据库扫描等，用于分析系统、应用、网络设备存在的常见漏洞。风险问卷调查与风险顾问访谈要求审计人员分别采用问卷和面谈的方式向有关主体了解被审计单位的风险状况，使用时关键是要明确问卷或访谈的对象情况风险策略分析要求审计人员对企业所设定的风险管理和应对策略的有效性进行分析，进而评价企业相关风险发生的概率以及可能带来的损失；文档审核是一种事前评价方法，属于前置软件测试的一部分，主要包括需求文档测试和设计文档测试。这些特定程序主要是针对被审计单位信息系统和基于网络的财务信息在网络安全风险方面进行评价，审计人员在具体使用时应结合被审计单位的业务性质选择合适的程序。

三、网络审计与信息安全管理的风险评估比较

(一)风险评估的目的信息安全管理中的风险评估(即信息安全风险评估)是指根据国家有关信息安全技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程。作为信息安全保障体系建立过程中的重要的评价方法和决策机制，信息安全风险评估是企业管理的组成部分，它具有规划、组织、协调和控制等管理的基本特征，其主要目的在于从企业内部风险管理的角度，在系统分析和评估风险发生的可能性及带来的损失的基础上，提出有针对性的防护和整改措施，将企业面临或遭遇的风险控制在可接受水平，最大限度地保证组织的信息安全。而网络审计是由独立审计人员向企业提供的一项鉴证服务，其风险评估的目的在于识别和评价潜在事件对被审计单位基于网络的财务信息的合法性、公允性以及网络财务信息系统的合规性、可靠性和有效性的影响程度，从而指导进一步审计程序。因此，两者风险评估的目的是不一样。从评估所应关注的风险范围来看，两者具有一致性，即都需要考虑与信息系统和信息相关的风险。但是，具体的关注边界则是不一样的。信息安全风险评估要评估企业资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响，它要求评估人员关注与企业整个信息系统和所有的信息相关的风险，包括实体安全风险、数据安全风险、软件安全风险、运行安全风险等。网络审计中，审计人员是对被审计单位的网络财务信息系统和基于网络的财务信息发表意见，因此，风险评估时审计人员主要关注的是与企业财务信息系统和基于网络的财务信息相关的风险，而不是与企业的整个信息系统和所有的信息相关的风险。根据评估实施者的不同，信息安全风险评估形式包括自评估和他评估。自评估是由组织自身对所拥有的信息系统进行的风险评估活动；他评估通常是由组织的上级主管机关或业务主管机关发起的，旨在依据已经颁布的法规或标准进行的具有强制意味的检查。自评估和他评估都可以通过风险评估服务机构进行咨询、服务、培训以及风险评估有关工具的提供。因此。对审计人员而言，受托执行的信息安全风险评估应当归属于管理咨询类，即属于非鉴证业务，与网络审计严格区分开来。

(二)风险评估的内容在我国国家质量监督检验检疫总局的《信息安全风险评估指南》(征求意见稿)国家标准中，它将信息安全风险评估的内容分为两部分：基本要素和相关属性，提出信息安全风险评估应围绕其基本要素展开，并充分考虑与这些基本要素相关的其他属性。其中，风险评估的基本要素包括资产、脆弱性、威胁、风险和安全措施；相关属性包括业务战略、资产价值、安全需求、安全事件、残余风险等。在此基础上的风险计算过程是：(1)对信息资产进行识别，并对资产赋值；(2)对威胁进行分析，并对威

篇9

一、引言

当前计算机网络广泛使用的是TCP/IP协议族，此协议设计的前提是网络是可信的，网络服务添加的前提是网络是可达的。在这种情况下开发出来的网络协议本身就没有考虑其安全性，而且协议也是软件，它也不可避免的会有通常软件所固有的漏洞缺陷。因此协议存在脆弱性是必然的。信息的重要性是众所周知的，而信息的传输是依靠协议来实现的，所以对协议的攻击与防范成为信息战中作战双方关注的重点。协议风险评估也就成为网络信息安全风险评估的关键。

二、协议风险分析

协议的不安全及对协议的不正确处理是目前安全漏洞经常出现的问题，此外，在网络攻击中攻击者往往把攻击的重点放在对网络协议的攻击上，因此，网络风险分析的的主要任务是协议风险的分析。进行协议风险分析时我们首先要理顺协议风险要素之间的关系。

网络安全的任务就是要保障网络的基本功能，实现各种安全需求。网络安全需求主要体现在协议安全需求，协议安全服务对协议提出了安全需求。为满足协议安全需求，就必须对协议的攻击采取有效防范措施。协议脆弱性暴露了协议的风险，协议风险的存在导致了协议的安全需求。对网络协议攻击又引发了协议威胁、增加了协议风险，从而导至了新的安全需求。对协议攻击采取有效防范措施能降低协议风险，满足协议安全需求，实现协议安全服务。任何防范措施都是针对某种或某些风险来操作的，它不可能是全方位的，而且在达到防范目的的同时还会引发新的安全风险。因此风险是绝对的，通常所说的没有风险的安全是相对的，这种相对是指风险被控制在其风险可以被接收的范围之内的情形。在进行协议风险分析后，网络安全中与协议安全相关地各项因素之间的关系如图1。

三、网络协议风险综合计算模型――多种方法加权计算

风险计算的结果将直接影响到风险管理策略的制定。因此，在进行网络协议风险分析后，根据网络协议本身特性及风险评估理论，选取恰当的风险计算方法是非常重要的。本文在风险计算方法的选取时，采用多种风险计算方法加权综合的策略。它是多种风险分析方法的组合，每种方法分别设定权值。权值的确定是根据该方法对评估结果影响的重要程度由专家给出，或通过经验获得。基于上述思想，在对网络协议进行风险评估时根据网络协议的特点我们主要采用技术评估方法来实现。基于网络协议的风险评估示计算如图2。

四、协议风险评估流程

按照风险评估原理和方法，在对风险进行详细分析后，选取适当的方法进行风险计算，最后得出风险评估结果。对协议风险评估可以按照图3所示模型进行。

五、总结

为了规避风险，网络安全管理人员必须制定合适的安全策略，风险评估的目的就是为安全策略的制定提供依据。本文所提出的协议风险评估，为网络管理人员更好地制定安全策略提供了强有力的支持。

参考文献:

[1]Bedford T, Cooke R. Probabilistic Risk Analysis[M]． Cambridge University Press, 2001

[2]Peltier T R. Information Security Risk Analysis[M]． Auerbach Publishtions, 2001

篇10

电力系统中信息安全是企业获得经济效益的前提，对于电力系统来说更是如此。电力系统的信息安全，直接关乎到整个企业的前途和命运。近年来，随着我国经济的进一步的发展，对于电力的需求也越来越大，所以在电力的生产过程当中信息安全管理就越来越重要。长期以来，我国的电力系统对于电力系统的安全管理就非常的重视，但是，从目前情况来看，信息安全管理的水平还远远的达不到我国电网所要求的水平。所以加强电力信息安全管理已是势在必行。本文主要从目前我国电力系统的信息安全管理当中存在的风险入手，对症下药，提出切实可行的对策，促进我国电力系统的发展。

1 电力系统生产过程中信息安全存在的风险

信息安全是整个电力系统信息管理的主题，它不仅关系到企业的社会信誉和经济效益，更关系到广大人民群众的生产生活和国民经济的良好健康发展，我国的电力系统对于电力信息安全管理一直较为重视，从目前的情况来看，我国的电力系统当中还存在着很多信息安全的风险，其主要表现在以下几个方面：第一，电力系统当中从领导到员工缺乏基本的信息安全责任意识。在很多的电力系统当中，存在着领导表面上对于生产的信息安全管理工作十分重视，所以必须认识到信息安全风险评估的重要性。但是，这些领导并没有身体力行去电力系统的第一线进行实地的检查、监督，对于生产工作的存在信息安全问题并不了解。同时对于整个信息安全管理工作并没有进行实际的资金投入或是资金投入较少，导致信息安全管理工作困难重重。第二，由于电力系统涉及的范围广、单位多，这就造成了在进行信息安全安全管理工作的过程当中协调难度大，一部分的基层领导对于信息安全风险的认识存在着偏差，对于信息安全管理工作不热心，就造成了信息安全管理的真空地带。第三，在进行信息安全管理的过程当中，监管人员对于信息管理操纵者的习惯性违章行为采取睁一只眼闭一只眼的做法，在出现信息安全事故之后对于事故责任人的处罚不严格，姑息养奸，不能起到有效的警示作用，导致信息安全事故频发。

2 电力系统信息安全风险评估策略

2.1 要制定科学合理的信息安全管理方案

作为供电部门，应该对用户用电情况负责。供电部门应该根据不同的客户的需要，然后制定出满足用户用电需求的方案，通过制定规范的方案，使用户在用电的时候能够合理的进行安排，然而，摆在眼前的问题主要是由于用电用户造成的，供电部门在了解一些用户用电出现问题的时候，他们给予了及时解决的办法，供电部门帮助用户把电路接好，但是接好后的电路被一些用户进行改动了，改动后的线路出现了供电线路互相混淆和交叉的现象，这样给用户用电带来了安全隐患。因此用电监察管理部门应该对用户用电线路进行延伸的问题给予制止，避免不安全的事故发生。字监察的过程要要对电气设备的开关、线路，以及保险丝供电过程中的容量，不能够超过其主要的负荷能力。只有用电监察管理部门做好信息安全管理工作，在日常的生活中要做到严格要求自己，同时还要对用户的用电情况进行了解并且掌握，还要找出出现不安全事故的原因，针对事故出现的原因，对电气信息设备进行及时的维修。

2.2 坚持创新，提高信息管理水平

随着我国经济的不断发展，电力系统的生产安全管理也应该与时俱进，开拓创新，以此来适应市场经济下的电力系统的发展。从目前情况来看，我国的电力系统的安全管理制度，明显处在一个落后的状态，所以对于管理制度的创新已经是势在必行。第一，要对现行的管理制度进行理论上的创新，要树立一个和市场经济体制下的电力系统的发展相适应的管理理念。第二，要进行制度上的创新，制度创新主要是指通过创设新的、更能有效激励人们行为的制度、规范体系来实现社会的持续发展和变革的创新。针对于电力系统的信息安全管理来说就是，重新制定更有利于电力系统发展的规章制度，来确保电力系统的安全进行，从而达到企业的经济和社会效益的最大化。第三，还要加强地理企业内部的机制创新，机制创新主要是体现在深化企业的内部改革，开展多层次的员工培训，提高员工的整体素质，以便于员工能够更好的适应电力系统的信息安全管理。第四，科学技术是第一生产力，所以必须要时刻坚持科技的创新，在管理的过程当中，要大力的发挥高新技术在信息管理过程当中的应用，完善企业的信息化建设，更好的为电力系统的信息安全管理服务。

2.3 加强信息设备管理，建立巡查制度

在电力系统的过程当中由于信息设备的陈旧老化和突发问题引起的安全事故十分普遍，针对于此，就必须要加强信息设备的管理。第一，在产品的选择过程当中，要严格的根据当地的实际情况，选择与之相适应的产品，同时要把好产品质量关。第二，必须要严格的执行报废的制度，就目前来说，我国大部分农村的配电设备使用年限过长而在超期服役现象十分的普遍，这对于整个电力系统的安全来说是一个十分巨大的隐患，所以必须要严格的执行报废制度，对于达到使用年限的设备要及时的进行更换，以免出现问题。同时，对换下的设备，也要严格控制，防止其流出成为其它单位的隐患。第三，要建立定期的巡查制度，建立巡查制度的主要目的是在于更好的保证能够时刻了解设备的现状，以便于在设备出现问题时，能够在最短的时间之内给予检修和更换，尽最大可能的减少损失。

2.4 深入开展反违章活动

在具体的电力系统信息安全管理过程当中，一线的工作人员的习惯性违章，是引发安全事故的最主要的原因。工作人员的习惯性违章主要包括违章操作、违反劳动纪律和违章指挥。习惯性违章具体体现在临时性的作业当中配电工作人员进行无票操作，在操作的过程当中，因为未曾填写修理票而进行修理，导致配电工作人员或群众出现人身触电的事故发生。工作人员的习惯性违章主要是由于管理人员的管理不到位和员工的安全意识较差造成的，所以针对于习惯性违章现象，一是要从领导到基层的安全管理人员严格按照生产管理的规章制度进行操作和管理，对于出现违章的员工一定要按规定进行处理，绝不姑息养奸。二是要树立员工安全意识，彻底杜绝因为一线员工自身原因而引发的信息安全事故。

3 结语

信息管理工作不是一成不变的，而是一项长期的与时俱进的工作。只有在电力系统发展的过程当中，不断对对电力系统的信息安全管理制度进行改革和创新，使之更好的适应社会的发展，最终实现安全管理制度的规范化和标准化。针对于目前我国电力系统当中信息安全存在的风险，必须要把改革创新管理制度和加大监察力度统一进行，严格的执行信息安全的奖惩规定，深入开展反违章工作，确保我国电力信息管理的各项工作能够落到实处。

参考文献：

篇11

通过德尔菲法、访谈法、SWOT分析等风险管理技术，向学院各职能部门和其它渠道收集风险信息，分类总结，然后列出风险系统开发的大功能模块，每个大功能模块有哪些小功能模块；描述实现具体模块所涉及到的主要算法、数据结构、类的层次结构及调用关系，需要说明软件系统各个层次中每个模块或子程序的设计考虑，以便进行编码测试。系统平台可以实现以下功能：自动输出风险评估报告和建议报告，有效监控预防风险；对风险进行定量分析，实现以图表直观形式输出显示，并展示相应的数据指标；用户以个人账户或部门账户，登录到风险评估输入列表，选择相应的职能部门、行业类型、风险级别指标、以问答的形式选择相应的内置风险条目，根据登陆权限，可自拟增加、删除风险条目；可实现日常工作重要环节和重点风险过程的时间提醒功能，通过手机短信或网页提示窗提示等手段，提醒重点工作的正常开展，防范工作疏忽引起的风险；风险级别指标制定，可参考相应的国家或行业标准，也可自拟；系统平台内有评估标准，根据评估标准设计评估模型，利用评估模型对风险评估报告进行评估，得出评估结果供风险决策者参考；校领导和各职能部门负责人可根据管理权限查询相应的风险数据；B/S架构，实现新闻即时，可及时更新各高校风险管理中的经验交流文章、理论知识。

1.2程序编码实现

开始具体的编写程序工作，分别实现各模块的功能，从而实现对目标系统的功能、性能、接口、界面等方面的要求；开发过程中，边开发边测试，系统完工后，通过内部外部测试、模块测试、整体联调等测试方法，验证系统的整体稳定性，不断完善。

1.3具体应用

软件开发完成，做成相关的技术文档，系统上线；在具体应用中发现问题及时登记到问题记录册，反馈到开发人员，为以后的系统平台升级提供依据。

2平台功能模块

信息安全风险评估平台的开发环境为/MSSQL，基于SOA软件系统架构解决学院各信息系统集成，通过PDCA循环模型具体实施。信息安全风险评估系统平台建设主要包括评估公告、用户管理、指标设置、综合评估、综合查询、报表系统，数据导出七大模块。

2.1评估公告模块

评估公告模块实现新闻即时，可及时更新各高校风险管理中的经验交流文章、理论知识；可实现日常工作重要环节和重点风险过程的时间提醒功能，提醒重点工作的正常开展，防范工作疏忽引起的信息系统风险。

2.2用户管理模块

用户管理模块的功能是管理用户信息，主要包括用户的用户名、密码和权限，同时支持显示所有注册用户信息和删除用户功能；模块可以添加系统管理员、评估人和评估单位，评估人员可以设置不同的权限，限制评估范围；用户以个人账户或部门账户，登录到风险评估输入列表，选择相应的职能部门、行业类型、风险级别指标、以问答的形式选择相应的内置风险条目；不同的用户登录系统显示的模块不一样，根据登陆权限，可自拟增加、删除风险条目。

3.3指标设置模块

指标设置模块主要是依据国家有关信息安全风险评估指标，实现信息系统风险评估的指标体系设置，划分两级指标细化评估体系，一级指标划分为信息资产、威胁性、脆弱性，二级指标从硬件、软件、风险识别等细化指标体系；实现指标库的设置，可以分配不同的被评估单位相应的评价指标。

2.4综合评估模块

综合评估模块包括评估列表、评估历史。评估列表显示所有被评估单位，某一单位用户登录以后，系统自动调用相应的指标库，回答相应的信息系统安全问题，系统自动给出指标分数；评估历史是不同的账户登录，显示的列表不同，管理员能查询所有的用户评估历史，单位用户只能查询本系部的评估历史。

2.5综合查询模块

综合查询模块实现不同单位评估次数、评估成绩、各评估对象不同时间段等的评估查询。

2.6报表系统模块

报表模块实现了不同单位评估次数、评估成绩、各评估对象的柱状图的形式直观展示。

2.7数据导出模块

数据导出模块实现了评估单位当前总成绩或历史评估成绩的数据导出功能，支持PDF、Word、Excel文档格式。

3系统评估操作流程

系统管理员首先在系统后台对不同的用户设置相应的评估指标库；用户通过用户名和密码登录系统后台；登录成功后系统会自动调用相应的评价指标，用户回答相应的问题；回答结束后，用户点击提交，系统自动给出相应的评估分值；用户打印或存储评估数据报告。

4平台应用效果

4.1为我国高校的信息系统风险预防和应急处理提供建设性的意见

目前关于我国高校风险评估研究的大多停留在某些具体领域，主要是对宏观风险管理和财务风险状况进行探讨，对信息系统安全的研究较少。信息安全风险评估系统平台对高校信息安全风险进行定量分析评估，为我国高校信息系统风险评估提供了一个重要平台，为高校的信息系统风险预防和应急处理提供一些建设性的意见。

4.2为高校各级信息系统管理者提供了处理信息系统

风险的决策依据系统实现各级信息系统管理者可实时查询部门风险评估，针对高校日常管理中可能面临的各类信息系统安全风险、建议应对措施、突发事件、应急预案、法律法规等相关风险管理文档查询，为科学决策提供依据。

4.3信息系统安全风险处理更迅速

信息系统安全风险评估平台与学院网络安全教育平台、运维网站数据整合，当网络遭受攻击、病毒肆虐时，能第一时间获得相关信息，为快速解决信息系统安全风险创造了条件。

4.4提高了全校师生网络安全防范和参与意识

通过信息系统安全风险评估平台，全院师生提高了网络安全防范和参与意识，为河南牧业经济学院网络信息化建设出谋划策，促进学校领导和有关职能部门制定和完善网络有关管理制度。

4.5规范了全校师生的上网行为，减少了网络攻击

全校师生通过平台了解学校网络管理相关制度和管理方式，认识到自己的上网行为在学校监督管理中，从而自觉规范自身的上网行为。平台为引导师生正确使用网络、规避风险，保障校园网网络良好正常运转起到了积极的作用。通过信息系统风险评估的漏洞查找，各系部加强了网络安全知识普及、全员参与、相关规章制度的约束，一直困扰我院网管人员的网络非法攻击，特别是破坏后果更难预测的内部网络攻击得到了有效的遏制。

篇12

中图分类号：TP393 文献标识码：A 文章编号：1009-3044（2013）26-5965-03

信息安全风险评估课程是大学信息安全专业的专业必修课程。也是大多数高职高专院校信息安全专业的专业必修课程。“随着国家信息化建设的不断深入，信息安全已与政治安全、经济安全、国防安全等一起成为国家安全的重大战略问题。因此，在信息社会中，对信息安全风险进行系统、科学、合理的评估，有着十分重要的现实意义与应用价值。”[1]这也充分说明当今社会学习信息安全风险评估课程的重要性和必要性。

然而，通过对多届信息安全风险评估课程的教学发现，学生普遍对课程学习没有兴趣，特别是数学基础较差的学生学习感到吃力，常常感到无所适从。如何让学生很好地了解和理解课程的地位、内容、作用和应用，以及知识的应用价值和能力培养等要求，提高学生学习课程的积极性。通过对教学设计进行改革并进行实践和实施，收到了好的教学效果。

1 存在的主要问题

笔者在教学中，通过对课程教学的全过程进行跟踪调查与了解，从几个方面问卷调查结果分析显示，学生在专业选择、课程实践、前导课程学习的内容与基础知识掌握等方面普遍存在问题，而教学设计采用的手段基本是满堂讲述，围绕理论讲授的内容占到总课时的99%，学生理解困难，缺乏基本的实验实训环节等问题。

1.1 专业选择的盲目性导致学习课程没有兴趣

从问卷调查结果看，学生高考后选择填报专业时，对所选择的专业真正了解的只有约占7%左右。也就是说，学生选择学习信息安全专业带有很大的盲目性。问及为什么选择信息安全专业学习时，回答如下：觉着能够有好的就业的占59%，个人志向和兴趣占7%，父母亲让选择的占28%，讲不出原因或出于好奇的占6%。从调查结果来看，导致学生在真正进入专业课程学习时无所适从，没有明确的学习目标，甚至少数学生学习处于茫然和困惑的状态，学习处于应付课堂考勤和考试也就不言而喻了。如图1所示。

1.2 课程实践环节非常少

从目前情况看，学习信息安全风险评估课程，理论讲授内容占到了课程讲授的主体。课程实验和实训内容非常少，有些甚至因为各种原因没而有进行实验和实训的训练，实验和实训的训练只是停留在人才培养方案、实验和实训大纲阶段。从实验和实训的训练对课程学习效果影响的调查显示，学生对开设实验实训课程的期望值几乎是百分之百。其中认为，实验和实训的训练，对课程的理解和能力培养非常重要的占到91%，实验实训可有可无占2%，实验实训的练习只是走过场而已占4%，实验和实训的练习对课程的帮助不大的占的3%。见图2。

1.3 前导课程学习不够和自学能力较差

对于高职高专的大学生来说，学习信息安全风险评估课程是有一定难度的，有些前导课程如模糊数学、灰色系统理论和物元分析方法等，及有关信息安全专业数学基础方面的课程。主要因为时间不够而没有列入或非常少的列入人才培养方案开设学习。同时学生缺乏自主学习意识，自学能力跟不上，稍微难一点的知识就无法理解和学习，再加上没有实验和实训环节帮助理解知识点，学生几乎只是应付到课率考勤和课程考试，学习效果差，一个学期下来收获不大。

2 教学设计改革与对策

信息安全风险评估课程本身的理论性与实践性都很强，发展十分迅速，涉及的学科范围也较广，传统的教学模式不能使该课程的特点很好地展示出来，无法适应社会经济发展对信息安全从业人员的要求，教学改革实在必行。[2]通过调查上述学生在专业选择和课程学习过程中存在的各种问题，笔者认为教学改革首先应从教学设计进行，在教学过程中采用不同的策略，并有效地加以实施。

2.1 加强专业教育激发学习兴趣

专业教育不止是大学新生入学后必须进行的项目，它可以向前延伸到高中第三年级阶段，让有志学习计算机专业的学生能够在较早阶段，对学习计算机专业所涉及的内容和专业方向，有一个较为详细的了解。进入大学后，专业教育不能只是在新生入学时，例行公事似的进行一次就告结束。因为就算学生对自己所学专业有些了解，但由于专业学习才刚刚开始，学生对未来专业学习的内容和地位、作用和应用、各个知识点掌握难易程度、个人能力培养等每一个项目，常处在一个想要迫切了解、模糊与好奇和期待解决、不断询问希望得到答复的阶段。因此，专业教育应该贯穿在整个专业学习的每一个阶段。至少，在学生学习的初期和中期是不能缺少的。针对学生在专业学习的每一个阶段答疑解惑。帮助学生建立专业学习的概念，建立专业学习的信心和如何有效的学习专业。专业教育应结合各个阶段课程学习的内容，结合未来在工作中的应用和对个人专业能力的要求进行。除了请有丰富教学经验的在校教师讲解外，更重要的是请有丰富工作经验的行业专家进行专业教育，或不定期地进行专业教育讲座。

当学生对所学专业课程有了较详细的了解后，用工作中的典型案例激发学生学习的积极性。比如讲解硬件设施安全风险涉及到的网络设备，如路由器、交换机、调制解调器等由设计缺陷引起的安全风险，软件设施安全风险涉及到的计算机操作系统、网络操作系统、网络通信协议、网络管理软件通用应用平台等方面产生的诸多风险因素，如缺陷、后门、口令获取、病毒、地址欺骗、路由攻击、逻辑炸弹、恶意代码等等出现的状况，如何运用信息系统安全风险评估手段进行全面系统分析，并学会运用技术手段解决信息安全风险中遇到的问题。通过向学生提出问题，用案例演示启发思维，激发学生学习的兴趣，从而使学生热爱专业学习，激发出学习专业课程的积极性。

2.2 把课程实践环节放在必须的地位

实验和实训的技能训练，对于高职高专学生学好专业课程非常重要，对于学生理解枯燥的概念、定义及数字的出现和产生等内容帮助很大，同时对未来学生从事相关职业工作，在感性认识和能力培养上也非常必要。“首先，学校应创造良好的硬件环境，保障实践教学的顺利进行。其次，学校应积极创造条件为学生提供更多的机会参与项目开发。高校要加强与社会各界，尤其是企业的联系，双方共建实验室和实习基地，突破实战项目匮乏，实训基地短缺的瓶颈。”[3]

在实践教学环节中，教师应认真准备课程的实验和实训大纲、实验和实训和指导书及教学辅助资料。并将实验和实训大纲、实验和实训和指导书等教学相关资料提早一些时间发给学生，让学生能够较早地对实验和实训内容有所了解，撰写的实验和实训指导书内容，尽量做到与当前企业生产和社会需求相结合，让学生能够“心中有数”，即带着想法，带着问题，带着拟解决的方案来课堂。对每堂课的训练任务，完成项目和当堂检查考核内容提出具体要求，并认真做到检查执行。根据实验和实训内容的不同，完成实验和实训的项目时可以以个人或小组完成。对于难度较大的实验或实训内容，教师可以先演示和讲解。对学生的提问，应给予认真解答和辅导。对于动手能力弱的学生，可以敦促其重复地进行实验或实训的项目训练，教师给予耐心指点和辅导。或者，让动手能力较强的学生，开展互帮互助活动，进行团队间的考评和评比，团队和老师给予点评，充分调动学生动手的积极性，进而提高学生学习专业课的积极性，达到培养学生动手能力的目的，真正理解和掌握实验和实训内容。

教师利用各个假期参加企业顶岗培训后，可以作为辅助人员带领学生到企业参加顶岗实习，有组织有计划地参与企业项目建设，聘请企业专业技术人员或专家，结合学生所学专业课程，指导顶岗实习工作，让学生充分了解和体验实际工作中整个生产环节，技术实现要求。此外，也可以在校园内模拟企业开办专业工作室，把企业项目部分引到学校中来，把专家和技术人员聘请到学校来进行专业指导和教学，师生共同完成参与的企业项目内容。同时，让师生也了解到企业和社会最需要什么，对人才培养目标和内容不断调整，对课程和实验实训内容不断更新，尽量避免学生所学知识与不断快速发展的科学技术和社会需求相脱节。与此同时，鼓励学生参加市级、省级和国家级技能竞赛，在参赛时间上和技术指导质量上有所保障，对获奖的学生给予精神和物质上的奖励。这也是提高学生专业动手能力，激发学习专业课程积极性的有效方法。此外，这种形式的实践活动，对未来学生毕业后求职也有很多的帮助。

实验室工作人员对实验和实训的设备定期维护与保养，对软件的升级与更新，学生在使用实验和实训设备时应有的责任心，也都是正常开展实验和实训的项目练习不可缺少的。

2.3 培养学生自主学习和自学能力

为了弥补高职类院校课时数量的不足，而导致有些专业前导课程不能完全开出的情况，对于专业课程中涉及到的知识点和基本概念，可以指导学生结合自己所学的专业，在选择学习专业选修课后加以补上。学校还可以专分业，定期或不定期的举办专业方面的学术讲座。当然，这需要在开学时就已经做好计划，并且能够完全实施，同时也和其它教学资料一起开课时发给学生。

自主学习和学习能力的培养与动手能力的培养一样重要，同样贯穿在整个教学过程和学生整个学习的学习过程中。

虽然学生进入了大学学习，但是在小学和中学长达十二年的学习过程中，学生已经习惯了填鸭式的教育模式。老师讲什么学生听什么，老师提什么问题学生回答什么问题，老师布置什么作业学生做什么作业，学生以一种被动的方式接受学习，基本上习惯了跟着老师的指挥棒转。能够有自己的独立思考，有自己的想法和看法，甚至于有些创新想法的学生几乎是凤毛麟角。

要改变学生的这种惯性思维和被动学习，从等待到主动发起自主学习，根本上是要学生弄清楚被动与主动的表象，产生的根源，如何解决。如何培养自己要求学习的意识。我们除了上述培养学生的学习积极性以外，老师在课堂及实验和实训的教学过程中不断强调，大学学习与中学学习在学习意识上的不同和思考，学习方法上的不同和比较，学习手段的不同和采用，用一种积极向上的态度对待学习，教会学生什么是真正意义上的自主学习，在学习信息安全风险评估课程时，我们不断引导和鼓励学生提出自己的问题，发表自己的建议和意见，让学生打消提出问题时，他人或老师觉着幼稚或是不着边际等各种担心的想法，让学生充分建立自主学习的信心。

自学能力在这里主要是指专业学习能力。有了强烈的自主学习意识，自学能力的培养也将是愿意接受学习的过程。我们指导学生从了解专业课程内容的每一个阶段，制定专业学习计划和目标开始，检查每一个学习阶段，自己是否已经达到目标要求和需要继续努力去做的。学会观察与交流是提高自学能力的重要方法。所谓观察就是学生自己，对同学对老师和一切可以对自己专业学习有所帮助的人行为能力的观察。所谓交流就是学生自己，对同学对老师和一切可以对自己专业学习有所帮助的人的交流。从观察与交流中，比较差异，不断思考，开启思想，获得帮助。同时，我们经常提醒学生，充分利用网络资源、图书馆资源和一切可以利用的教学资源为自己的学习服务。

3 教学效果比较

通过对教学设计进行改革，我们对三个班级126位学生调查比较，看到学生在学习信息安全风险评估课程时，在积极性和兴趣、自主学习和自学能力，实验和实训动手能力、考试成绩等方面，有了明显地提高，也为其它专业课程的学习提供了经验。见图3。

4 结束语

本文通过对学习信息安全风险评估课程中发现的问题，探讨课程教学设计改革，不仅让学生学习信息安全风险评估收获较大，也对其它专业课程的学习提供借鉴。信息安全风险评估涉及的领域已经相当广泛。信息安全风险评估，对计算机、通信、电子政务、电子商务、电子金融等，各个领域的信息安全防范至关重要。学习信息安全风险评估专业课程，已经不是单纯的解决技术问题，信息安全风险评估集合了综合性学科的知识。因此，通过激发学生学习的积极性，保障实验和实训的能力练习与提高，培养学生自主学习和学习能力。为了让学生能够学以致用，在未来职业工作中能够很快地与社会接轨，我们要求学生不断关注信息安全领域发生的新闻事件，不断思考如何通过信息安全风险评估，预防信息安全事件的发生，不断创新信息安全风险评估的技术手段，管理手段和提出法律手段来保护信息安全。

参考文献：