风险评估 网络安全风险评估

16004488

安全风险是指利用信息系统及其管理系统中的漏洞及其对组织的影响，由人为或自然威胁引起的安全事件的发生。

风险评估是指根据相关网络安全技术和管理标准，对信息系统及其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评估的过程。它应该评估资产面临的威胁和威胁利用漏洞导致安全事件的可能性，并通过结合安全事件中涉及的资产价值来判断安全事件对组织的影响。

一、风险评估原则

网络安全风险评估是运用科学手段，从风险管理的角度，系统分析网络和信息系统面临的威胁和漏洞，评估安全事件可能造成的危害程度，为防范和化解信息安全风险，或将风险控制在可接受的水平，制定有针对性的防范措施和纠正措施，抵御威胁，最大限度地提高网络和信息安全提供科学依据。

安全事件的发生是概率性的，不能只根据安全事件的后果来确定网络安全的投入和安全措施的力度。对于概率极低的安全事件，即使后果非常严重，也不能为了避免此类安全事件而不惜任何代价盲目投入安全措施。在进行风险评估时，必须综合考虑安全事件的后果及其发生的可能性。风险评估的原理如下图所示。

风险评估原则

风险评估涉及资产、威胁和漏洞等基本要素。每个要素都有自己的属性，资产的属性是资产价值(重要性)；威胁的属性是威胁的频率。脆弱性的属性是脆弱性的严重程度。风险评估的主要内容有:

1.识别资产并赋予其重要性价值；

2.识别威胁，描述威胁的属性，并为威胁的频率赋值；

3.识别资产的脆弱性，并为特定资产脆弱性的严重性赋值；

4.根据威胁和漏洞的识别结果，判断安全事件发生的可能性；

5.根据漏洞的严重程度和受安全事件影响的资产的重要性，计算安全事件的损失；

6.根据安全事件发生的可能性和损失，计算安全事件对组织的影响，即风险值。

二.风险评估的实施过程

风险评估的实施过程如下图所示。

风险评估实施流程

(5)根据整个被评估系统风险值的总体情况，确定风险分类的参考区间，如下表所示。

风险价值-风险等级关联

(6)被评估系统的总风险是所有资产风险值的加权和。

资产a的加权值为h(a)，表示资产a的风险对整个被评估系统风险的影响。评估系统的总风险为:

(7)参照上表确定被评估系统的风险等级。

通常在综合风险分析过程中，我们会参考木桶原理，即系统的实际安全情况往往取决于防护措施的最薄弱环节。因此，通过上述计算方法得出安全风险值后，需要进行综合风险分析，找到风险值最高的“短板”。

综合风险分析方法一般有以下两种方式。

(1)基于威胁关联的风险分析。在已识别的安全风险中，一些风险事件来自相同或相似的威胁源。事实上，这种安全事件的可能性会增加。因此，有必要对这部分风险进行相关性分析，在安全事件发生的可能性增大时，得出相关性分析的风险值。

(2)基于关键项目关联的风险分析。在已识别的安全风险中，一些风险事件是用户的主要关注点。事实上，这些安全事件对资产造成的损害也会同时增加。因此，有必要对这部分风险进行相关性分析，在安全事件的危害增加时，得出相关性分析的风险值。

如果关联分析的风险值增加，风险评估中的风险等级会变高，关联后的安全风险会成为整个信息系统的安全“短板”，对整体安全产生很大影响。

四.结论

由于信息资产的脆弱性，有可能发生安全事件，从而形成不同的风险。在风险评估过程中，资产的价值、资产被破坏造成的影响、威胁的严重程度、威胁的可能性、资产的脆弱性及其严重程度是风险评估的关键因素。风险评估的价值在于了解风险并准确评估，从而采取相应措施将风险降低到可接受的水平，实现组织的业务目标。