政务信息系统风险评估实施要点

《政务信息系统风险评估实施要点》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、政务信息系统风险评估实施要点【摘要】文章介绍了政务信息系统风险评估实施的要点，包括风险评估的目的、范围及风险评估模型，风险评估项目的具体工作流程及相关方法、工具，以及为完成好风险评估项目所必备的相关项目管理要求。文章对于指导信息系统风险评估项目实施工作有很好的借鉴作用。【关键词】风险评估；风险分析；项目管理【abstract】thisarticledescribesthemainpointsoftheriskassessmentoftheimplementationofthegovernmentinformations

2、ystem,includingriskassessmentpurpose,scopeandriskassessmentmodels,riskassessmentprojectspecificworkprocessesandmethods,tools,andrelateditemsnecessaryforthecompletionoftheriskassessmentprojectmanagementrequirements.goodreferenceforguidingtheriskassessmentofinform

3、ationsystemsprojectimplementation.【keywords】riskassessment;riskanalysis;projectmanagement0引言政务信息系统关系到国计民生，因此保障电子政务系统的信息安全是我国经济与社会信息化的先决条件之一，是国家信息化建设的重要内容。如何保证政务信息系统的安全性，风险评估是一项很基础的工作。通过对政务信息系统进行风险评估，可以了解信息与网络系统目前与未来的风险所在，充分评估这些风险可能带来的威胁与影响的程度，依据系统的风险和威胁，进行针对性的防范

4、，做到“对症下药”，可以有效解决政务信息系统的安全问题。1政务系统风险评估概述1.1风险评估的概念政务系统的信息安全关心的是保护政务信息资产免受威胁。风险评估是有效保证信息安全的前提条件，也是建立在网络入侵防护系统、实施风险管理程序所开展的一项基础性工作。其工作原理是对系统所采用的安全策略和管理制度进行评审，发现不合理的地方，采用模拟化攻击的方式对系统可能存在的安全漏洞进行逐项检查，确定存在的安全问题与风险级别。并根据检查结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平提供重要依据。风险评估的目的是

5、全面、准确地了解政务信息系统的安全现状，发现系统的安全问题及其可能的危害，为后期进一步安全防护技术的实施提供了严谨的安全理论依据，为决策者制定网络安全策略、构架安全体系以及确定有效的安全措施、选择可靠的安全产品、建立全面的安全防护层次提供了一套完整、规范的指导模型。1.2风险评估的范围政务信息系统风险评估的内容与范围需要涵盖整个系统，包括系统安全管理的状况、网络及安全防护技术架构、通信链路、系统数据及业务系统加密情况、系统访问控制状况等。在政务信息系统的安全防护工作中，“人”是关键要素，无论系统所采用的安全技术、安全策

6、略和安全手段多么现代化与智能化，都需要“人”去操作、运行和管理。如果信息系统的安全管理水平落后，人员素质不高，那么政务信息系统的安全性就会减弱，安全漏洞就会增加。1.3风险评估的原则和依据1.3.1指导原则由于政务信息系统风险评估涉及的内容较多，因此在进行评估时就需要本着多角度、多层面的原则，从软件到硬件，从理论到实际，从技术到管理，从设备到人员，来具体制定详细的评估计划和分析步骤，避免遗漏。在评估时一般需遵循的如下几个原则：标准性、可靠性、可控性、保密性、技术先进和成熟性、全面性、高效性、持续性。1.3.2相关法规和

7、政策《中华人民共和国计算机信息系统安全保护条例》（国务院令147号）；《商用密码管理条例》（国务院令273号）；《计算机信息系统安全保护等级划分准则》；《计算机机房场地安全要求》（gb9361-88）；《信息安全技术-信息安全风险评估规范》（gb/t20984—2007）。2政务信息风险评估工作流程2.1系统调查开展政务信息系统风险评估的第一步就是进行系统调查。通过调查政务信息系统上运行的所有应用，了解系统主要业务的流程，清楚的掌握支持业务运行的硬件基础设施的结构及安全系统现状，收集风险评估所需的系统全部信息。在进行系

8、统调查的同时，还需对系统风险评估的评估范围进行分析、界定。对系统边界进行明确定义，有助于防止不必要的工作，并对改进风险评估的质量都是很重要的。2.2资产分析政务信息系统风险评估的对象是该信息系统范围内的所有资产。首先在划定的评估范围内，根据系统拓扑图及业务系统流程图，列出政务系统中全部的物理资产、软件资产及数据资产。在识别出所有信