信息安全风险评估综合管理系统设计

《信息安全风险评估综合管理系统设计》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、信息安全风险评估综合管理系统设计本文分析了信息安全风险评估业务的工作流程，在此基础上设计了以安全知识库为支撑，以业务系统及其相关信息资产的信息安全风险评估要素为对象，以风险评估过程为主要业务流程的信息安全风险评估管理系统的模型。一、引言信息时代为国家和个人提供了全新的发展机遇和生活空间，但也带来了新的安全威胁。信息安全的威胁可能来自内部的破坏、外部的攻击、内外勾结的破坏和信息系统自身的意外事故等，因此我们应按照风险管理的思想，对可能的威胁和需要保护的信息资源进行风险分析，以便采取安全措施，妥善应对可能发生的安全风险。信息安全风险评估是依据国家信息安全风险

2、评估有关管理要求和技术标准，对信息系统及由其存储、处理和传输的信息的机密性、完整性和可用性等安全属性进行科学、公正的综合评价的过程。根据ISO27001的管理思想，信息安全风险评估在信息安全管理的PDCA环中是一个很重要的过程，如何处理信息安全风险评估所产生的数据，是每一个信息安全管理者都非常迫切需要解决的一个问题。最好的解决方法是开发出一套实用性强、可操作性高的系统安全风险评估管理工具。二、风险评估过程信息安全风险评估系统的设计是针对组织开展信息安全风险评估的过程。这个过程包括对信息系统中的安全风险识别、信息收集、评估和报告等。风险评估的实施过程如下页

3、图1。1.评估前准备。在风险评估实施前，需要对以下工作进行确定：确定风险评估的目标、确定风险评估的范围、组建风险评估团队、进行系统调研、确定评估依据和方法、制定评估计划和评估方案、获得最高管理者对工作的支持。2.资产识别。资产识别过程分为资产分类和资产评价两个阶段。资产分类是将单位的信息资产分为实物资产、软件资产、数据资产、人员资产、服务资产和无形资产六类资产进行识别;资产评价是对资产的三个安全属性保密性、可用性及完整性分别等级评价及赋值，经综合评定后，得出资产的价值。3.威胁识别。威胁识别主要工作是评估者需要从每项识别出的资产出发，找到可能遭受的威胁。

4、识别威胁之后，还需要确定威胁发生的可能性。4.脆弱性识别。评估者需要从每项识别出的资产和对应的威胁出发，找到可能被利用的脆弱性。识别脆弱性之后，还需要确定弱点可被利用的严重性。5.已有安全措施确认。在识别脆弱性的同时，评估人员将对已采取的安全措施的有效性进行确认，评估其是否真正地降低了系统的脆弱性，抵御了威胁。6.风险分析。风险评估中完成资产赋值、威胁评估、脆弱性评估后，在考虑已有安全措施的情况下，利用恰当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响得出信息资产的风险。三、系统设计1.用角色设计。系统角色分

5、为三种类型，各用户在登录后自动转入各自的操作页面。A.超级管理员：拥有系统所有权限;B.评估项目管理员：可以对所负责的评估项目进行管理，对评估人员进行分工和权限管理;C.评估人员：负责由项目管理员分配的测评工作，将评估数据导入系统。2.系统模型。根据信息安全风险评估管理的业务需求，我们构建了以安全知识库为支撑，以风险评估流程为系统主要业务流，以受测业务系统及其相关信息资产的风险评估要素为对象的信息安全风险评估综合管理系统模型，系统模型如图2所示。3.系统功能设计。信息安全风险评估综合管理系统的功能模块包括：①风险评估项目管理：评估项目管理模块包括评估项目

6、的建立、项目列表、项目设置等功能。主要输入项：项目名称、评估时间、评估对象等;主要输出项：项目计划书。②信息安全需求调研管理：该模块用于用户填写安全调研问卷，为安全评估提供数据支持。主要输入项：用户ID、调查答案;主要输出项：问卷标题、调查题内容。③资产识别。系统提供的资产识别，包括：硬件、软件、数据等，根据业务系统对组织战略的影响程度，对相关资产的重要性进行评价;主要输入项：评估对象(信息资产)、赋值规则;主要输出项：资产识别汇总表、资产识别报告。④威胁识别。威胁识别：系统提供多种X络环境的威胁模板，支持和帮助用户进行威胁识别和分析，并提供资产、脆弱性

7、、威胁自动关联功能：主要输入项：评估对象、赋值规则;主要输出项：威胁识别汇总表、威胁识别报告。⑤脆弱性识别。脆弱性识别：系统可提供多种系统的脆弱性识别功能，包括：主机、数据库、X络设备等对象的脆弱性识别。系统支持常用漏洞扫描软件扫描结果的导入，目前支持的扫描系统有：Nessus、NMap等，主机系统支持：AP等。四、结束语该系统设计是以信息安全风险评估工作流程为基础，进行信息安全评估项目管理、风险要素数据收集与辅助风险分析的系统，在实际风险管理过程中，可引入了质量管理理念——PDCA循环，即通过监控每一阶段的信息系统风险情况，及时发现问题，不断调整风险控

8、制工作计划，从而实现信息安全风险管理的工作目标。：曾志廉黄丹凤：教育教学论坛20