风险评估方法

　　一、风险评估的准备

　　风险评估的准备过程是组织进行风险评估的基础，是整个风险评估过程有效性的保证。组织对自身信息及信息系统进行风险评估是一种战略性的考虑，其结果将受组织的商业需求及战略目标、文化、业务流程、安全要求、规模和结构所影响。不同组织对于风险评估过程中的各种子过程可能存在不同的要求，因此在风险评估实施前，组织应：

　　1.确定风险评估的范围; 2.确定风险评估的目的，为风险评估的实施提供导向; 3.建立适当的组织结构; 4.建立系统性的风险评估方法;5.获得最高管理者对风险评估策划的批准。

　　二、风险评估的实施

　　组织应根据策划的结果，由评估的人员按照相应的职责和程序进行资产评估、威胁评估、脆弱性评估。在考虑已有安全措施的情况下，利用适当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响来得出资产的安全风险。

　　风险计算

　　我们以下述函数进行表示：

　　R= f(A,V,T)=f(Ia,L(Va,T))

　　其中：R表示风险;A表示资产;V表示脆弱性;T表示威胁; Ia表示资产发生安全事件后对组织业务的影响(也称为资产的重要程度); Va表示某一资产本身的脆弱性，L表示威胁利用资产的脆弱性造成安全事件发生的可能性。

　　具体而言分为以下几个步骤：

　　1.首先对资产的弱点进行排序;

　　2.针对每一个弱点，确定可能利用此弱点造成安全事件的威胁的类型;

　　3.给确定的威胁赋值;

　　4.将威胁值与脆弱点值相乘，得出安全事件发生的可能性;即：安全事件发生可能性=L(威胁可能性，脆弱点严重性);

　　5.根据资产的重要程度以及安全事件发生的可能性计算风险值，即：风险值=R(资产重要程度，安全事件发生的可能性)。

　　三、风险识别

　　风险识别包括三个部分：分析风险来源;识别区域风险;风险关联分析。

　　1.分析风险来源

　　经过资产、威胁、脆弱性的计算后形成一个风险列表，需要对该列表的风险进行分类，并在分类的基础上进行风险合并。在对风险进行分类合并时，首先需要考虑风险所发生的位置，然后考虑风险的来源。风险的来源可以从威胁、脆弱性和安全管理三个方面进行。

　　风险发生的位置可以从资产所在的安全域或从信息安全发生的层次进行划分。资产所在的安全域指具有相同安全属性的某一物理区域或逻辑区域，该区域和其他安全区域具有明显的边界;信息安全发生的层次指物理层安全、网络层安全、操作系统层安全、应用层安全、数据层安全。风险的来源从威胁角度进行合并，可以从威胁的来源，发生的途经，影响的大小角度进行划分整理。风险的来源从脆弱性角度进行合并，从大的方面有两类，一类是IT技术类脆弱性，另一类是管理类脆弱性。安全管理类脆弱性可以从设计、开发、验收、运行、维护、人员、业务持续性管理等方面进行分析。

　　2.识别区域风险

　　分类合并后的风险需要再次进行人工判断，通过这种判断可以发现被分析的安全域的主要威胁、主要影响和发生的可能性。这种经过判断的风险需要进行单独说明，使最后形成的风险具有更明确的意义。

　　1.风险评估的角色

　　信息安全风险评估(以下简称风险评估)在具体实施过程中将涉及多个参与方，参与方在评估中扮演不同的角色。在一个完整的信息安全风险评估当中，一般包括主管机关、信息系统拥有者、信息系统承建者、信息安全评估机构以及信息系统的相关机构。

　　2.风险评估的职责

　　其各自的职责为：

　　行政审批

　　主管机关具有风险评估的行政审批权力，主要负责提出、制定并批准本部门的信息安全风险管理策略，领导和组织本部门内的信息安全评估工作。基于本部门内信息系统的特征以及风险评估的结果，判断信息系统残余风险是否可接受，并确定是否批准信息系统投入运行。检查信息系统运行中产生的安全状态报告;定期或不定期地开展新的信息安全风险评估工作。

　　(2)组织协调

　　信息系统拥有者具有风险评估的组织协调权力，将负责制定安全计划，报主管机关审批;组织实施信息系统自评估工作;配合强制性检查评估或委托评估工作，并提供必要的文档等资源;向主管机关提出新一轮风险评估的建议;改善信息安全防护措施，控制信息安全风险。

　　(3)措施整改

　　信息系统承建者应根据对信息系统建设方案的风险评估结果修正安全方案，使安全方案成本合理、积极有效，在方案中有效地控制风险;规范建设，减少在建设阶段引入的新风险;确保安全组件产品得到了相关机构的认证。

　　(4)具体实施

　　信息安全评估机构提供独立的信息安全风险评估;对信息系统中的安全防护措施进行评估，以判断这些安全防护措施在特定运行环境中的有效性以及实现了这些措施后系统中存在的残余风险;提出调整建议，以减少或根除信息系统中的脆弱性，有效对抗安全威胁，控制风险;保护风险评估中获得的敏感信息，防止被无关人员和单位获得。

　　(5)辅助支持

　　信息系统的相关机构为风险评估提供辅助支持，遵守安全策略、法规、合同等涉及信息系统交互行为的安全要求，减少信息安全风险;协助风险评估机构确定评估边界;在风险评估中提供必要的资源和资料。

　　风险评估形式

　　根据评估的目的、评估方与被评估方的关系，以及评估方和被评估信息资产的关系、评估的深浅程度等不同的划分原则，国内外现存的风险评估也有多种形式，本指南所指风险评估形式主要以评估的发起方为划分依据。大体可分为自评估和他评估两大类，自评估是由被评估信息系统的拥有者发起的，并依*自身的力量，对其自身的信息系统进行的风险评估活动。他评估则相反，通常是被评估信息系统的拥有者的上级主管机关或业务主管机关发起的，依据已经颁布的法规或标准进行的，具有强制意味的检查活动，是通过行政手段加强信息安全的重要措施

　　万方安全专注与网络信息安全领域10余年以上，具备国家网络信息安全主管部门颁发的最权威认证资质及国际权威认证资质，安全博士领衔数十位获得国际和国内顶级安全资质的专家团队为您服务。