鐵路站段信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估

劉玉琦 上海鐵路局蚌埠站

為適應(yīng)國(guó)民經(jīng)濟(jì)的發(fā)展和民航、高速公路的雙重競(jìng)爭(zhēng)壓力，鐵路企業(yè)最終選擇了高速度和快建設(shè)的發(fā)展策略，但是如何真正健康、有效的發(fā)展值得深思。鐵路7.23特別重大交通事故的發(fā)生足以給廣大職工以警醒，深刻的教訓(xùn)讓鐵路企業(yè)認(rèn)識(shí)到鐵路的發(fā)展必須徹底的遵守科學(xué)發(fā)展和安全發(fā)展的要求，才能使鐵路發(fā)展壯大。

隨著鐵路多年來(lái)信息產(chǎn)業(yè)的建設(shè)，各種各樣功能豐富的信息系統(tǒng)遍布在站段的各個(gè)角落，分別執(zhí)行著調(diào)度、制票、統(tǒng)計(jì)、辦公、管理等等任務(wù)，信息系統(tǒng)在鐵路發(fā)揮重大作用的同時(shí)，信息系統(tǒng)的安全對(duì)鐵路運(yùn)輸安全的影響也越來(lái)越大，如果投入使用的信息系統(tǒng)存在缺陷、漏洞等風(fēng)險(xiǎn)將直接導(dǎo)致鐵路資產(chǎn)的損失甚至鐵路運(yùn)輸安全事故的發(fā)生，所以基層站段在關(guān)注鐵路運(yùn)輸安全的同時(shí)，應(yīng)該更加注重信息系統(tǒng)的安全建設(shè)。

鐵路7.23特別重大交通事故發(fā)生后，盛部長(zhǎng)指出“動(dòng)員全路認(rèn)真吸取事故教訓(xùn)，迅速行動(dòng)，振奮精神，采取堅(jiān)決有力措施，認(rèn)真開(kāi)展安全大檢查活動(dòng)，全面排查和消除安全隱患，堅(jiān)決防止發(fā)生新的事故，迅速穩(wěn)定運(yùn)輸安全局面?！保?dāng)前對(duì)于信息系統(tǒng)安全的風(fēng)險(xiǎn)控制和管理最為有效的方式就是信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估，風(fēng)險(xiǎn)評(píng)估方法為基層站段開(kāi)展安全大檢查活動(dòng)，排查和消除信息系統(tǒng)安全隱患提供了依據(jù)和具體方法。國(guó)信辦（2006）5號(hào)文《關(guān)于開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估工作的意見(jiàn)》中提出“信息安全風(fēng)險(xiǎn)評(píng)估就是從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析網(wǎng)絡(luò)與信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施。并為防范和化解信息安全風(fēng)險(xiǎn)，或者將風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地保障網(wǎng)絡(luò)和信息安全提供科學(xué)依據(jù)”，顯然信息系統(tǒng)的風(fēng)險(xiǎn)評(píng)估工作已經(jīng)得到了國(guó)家的認(rèn)可和重視。

信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工作開(kāi)展之前，需要明確鐵路信息系統(tǒng)和風(fēng)險(xiǎn)評(píng)估兩個(gè)概念。鐵路信息系統(tǒng)，泛指所有為鐵路運(yùn)輸、辦公、生產(chǎn)提供服務(wù)，并以計(jì)算機(jī)、小型機(jī)、工控機(jī)或單片機(jī)為主的，安裝有信息化操作系統(tǒng)的平臺(tái)，包括硬件、軟件、通信信道、網(wǎng)絡(luò)設(shè)備、信息系統(tǒng)操作人員。風(fēng)險(xiǎn)評(píng)估，是指對(duì)信息系統(tǒng)內(nèi)部存在的風(fēng)險(xiǎn)進(jìn)行識(shí)別和定性定量分析，并通過(guò)投入一定資源的方式來(lái)消除風(fēng)險(xiǎn)，從而達(dá)到保障信息系統(tǒng)安全穩(wěn)定的目的。

1 站段信息系統(tǒng)安全的現(xiàn)狀

經(jīng)過(guò)在站段職工中進(jìn)行信息系統(tǒng)調(diào)查后發(fā)現(xiàn)，能夠列舉出一些常見(jiàn)的信息系統(tǒng)的職工很多，比如常用的TMIS車(chē)站管理信息系統(tǒng)、調(diào)度系統(tǒng)、OMIS辦公系統(tǒng)、PMIS客票系統(tǒng)、ATIS車(chē)號(hào)識(shí)別系統(tǒng)、貨票信息系統(tǒng)等等，但是幾乎沒(méi)有幾個(gè)職工能夠說(shuō)出這些信息系統(tǒng)存在何種風(fēng)險(xiǎn)和潛在的威脅。

在調(diào)查中還發(fā)現(xiàn)信息系統(tǒng)的操作人員關(guān)心的是系統(tǒng)是否好用，站段領(lǐng)導(dǎo)關(guān)心的是系統(tǒng)是否能用，而信息系統(tǒng)的管理人員所關(guān)心的只是系統(tǒng)是否容易維護(hù)，因此站段進(jìn)行信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的基礎(chǔ)非常薄弱。站段信息系統(tǒng)運(yùn)行、維護(hù)、管理工作也往往形同滅火隊(duì)，哪里出問(wèn)題了解決哪里，設(shè)備狀態(tài)無(wú)法掌握，故障的處置也很隨意，沒(méi)有防范意識(shí)和風(fēng)險(xiǎn)控制的措施。

基層站段甚至整個(gè)鐵路企業(yè)對(duì)于各種信息系統(tǒng)安全事故處置的方法目前還是主要依賴(lài)于經(jīng)驗(yàn)型的方法，就是通過(guò)以往事故的發(fā)生來(lái)總結(jié)經(jīng)驗(yàn)和教訓(xùn)，依靠調(diào)查研究和統(tǒng)計(jì)分析來(lái)找出解決問(wèn)題的方法，從而防止和避免類(lèi)似事故的再次發(fā)生。但是，經(jīng)驗(yàn)型方法不夠積極主動(dòng)，沒(méi)有預(yù)估性和前瞻性。經(jīng)驗(yàn)型方法依據(jù)的是以往事故的發(fā)生，對(duì)于未知事故、低發(fā)性事故或者從來(lái)沒(méi)有發(fā)生過(guò)的事故在經(jīng)驗(yàn)型方法中沒(méi)有得到很好的解決，經(jīng)驗(yàn)型方法也無(wú)法讓管理人員提前預(yù)知可能故障的設(shè)備，故障后的危害范圍、程度和處置預(yù)案。

因此，我們急需一種新的安全控制方法來(lái)改變目前的現(xiàn)狀。

2 站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的方法

經(jīng)驗(yàn)型方法和風(fēng)險(xiǎn)評(píng)估方法就像是兩個(gè)成語(yǔ)“亡羊補(bǔ)牢”和“杞人憂(yōu)天”。傳統(tǒng)的經(jīng)驗(yàn)型方法屬于事后總結(jié)法，制定出來(lái)的規(guī)章、制度有事實(shí)依據(jù)，準(zhǔn)確而且符合實(shí)際，將在以后很長(zhǎng)一段時(shí)間里為鐵路安全繼續(xù)發(fā)揮作用。風(fēng)險(xiǎn)評(píng)估方法屬于事先預(yù)防法，通過(guò)在安全事故發(fā)生之前，對(duì)可能引發(fā)事故的因素進(jìn)行識(shí)別、預(yù)測(cè)、評(píng)估和管理，投入人力、物力、財(cái)力資源來(lái)控制和降低風(fēng)險(xiǎn)，風(fēng)險(xiǎn)是事故的前提，風(fēng)險(xiǎn)評(píng)估方法首先承認(rèn)了風(fēng)險(xiǎn)的存在，定性定量的分析風(fēng)險(xiǎn)，通過(guò)消除和減弱風(fēng)險(xiǎn)的大小來(lái)預(yù)防事故的發(fā)生。盛部長(zhǎng)在講話(huà)中多次強(qiáng)調(diào)“安全責(zé)任大如天，安全工作壓倒一切”，不時(shí)時(shí)刻刻的小心謹(jǐn)慎，事故就在不經(jīng)意間發(fā)生，不總結(jié)經(jīng)驗(yàn)教訓(xùn)，災(zāi)難就來(lái)教訓(xùn)我們。經(jīng)驗(yàn)型方法目前在鐵路基層站段中已經(jīng)非常成熟，因此在站段信息系統(tǒng)安全工作中引入風(fēng)險(xiǎn)評(píng)估的方法作為安全風(fēng)險(xiǎn)控制的輔助措施意義重大。

在風(fēng)險(xiǎn)評(píng)估的過(guò)程中，首先要承認(rèn)風(fēng)險(xiǎn)的存在，不管是信息系統(tǒng)的使用人還是信息系統(tǒng)設(shè)備都應(yīng)該納入信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估中考慮。信息系統(tǒng)設(shè)備由于采購(gòu)成本的限制或設(shè)計(jì)缺陷的存在，故障率和穩(wěn)定性會(huì)有很大不同，所有的設(shè)備不可能在同一時(shí)間都能有效的運(yùn)轉(zhuǎn)，所有的操作人員不可能實(shí)時(shí)的做到遵章守紀(jì)，這就是信息系統(tǒng)存在的脆弱性，正是由于這種脆弱性，才產(chǎn)生了事故發(fā)生的可能性和風(fēng)險(xiǎn)的存在。

另外，還要對(duì)風(fēng)險(xiǎn)有正確的認(rèn)識(shí)和對(duì)待。風(fēng)險(xiǎn)是無(wú)處不在的，不能聽(tīng)到風(fēng)險(xiǎn)就感到害怕，覺(jué)得風(fēng)險(xiǎn)就等于事故，風(fēng)險(xiǎn)只是事故的前提條件，只有當(dāng)風(fēng)險(xiǎn)不加以控制，遇到一定的誘因時(shí)才會(huì)演變成事故。在實(shí)際的評(píng)估過(guò)程中，要區(qū)分出可以避免的風(fēng)險(xiǎn)和不能避免的風(fēng)險(xiǎn)。根據(jù)鐵路的特殊情況，可以避免的風(fēng)險(xiǎn)要盡量避免，不能避免的風(fēng)險(xiǎn)要加以識(shí)別、管理和控制。

基層站段信息系統(tǒng)風(fēng)險(xiǎn)的評(píng)估，有自評(píng)估、上級(jí)檢查、委托評(píng)估三種方式。在實(shí)際使用中，可以選擇一種方法單獨(dú)評(píng)估，也可以選擇兩到三種方法混合評(píng)估。

自評(píng)估就是在站段內(nèi)部組建一個(gè)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估組，評(píng)估組人員應(yīng)由站段領(lǐng)導(dǎo)、信息技術(shù)管理人員、車(chē)間和科室的負(fù)責(zé)人、車(chē)間技術(shù)骨干組成，并根據(jù)不同的信息系統(tǒng)分成若干個(gè)工作小組。由信息系統(tǒng)評(píng)估組制定站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估基準(zhǔn)，各工作小組成員遵照?qǐng)?zhí)行。風(fēng)險(xiǎn)基準(zhǔn)是站段進(jìn)行信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的標(biāo)準(zhǔn)，站段在制定風(fēng)險(xiǎn)基準(zhǔn)時(shí)可參考國(guó)際上一些比較通用和成熟的標(biāo)準(zhǔn)，例如信息技術(shù)安全性通用評(píng)估準(zhǔn)則CC，可操作的關(guān)鍵威脅、資產(chǎn)和薄弱點(diǎn)評(píng)估方法OCTAVE，信息安全管理體系BS7799等。

上級(jí)檢查和委托評(píng)估方式與自評(píng)估方式過(guò)程相差不大，只是實(shí)施的主體不同。上級(jí)檢查的方式，是由上級(jí)主管部門(mén)（如路局信息技術(shù)所）制定站段信息系統(tǒng)風(fēng)險(xiǎn)基準(zhǔn)，根據(jù)風(fēng)險(xiǎn)基準(zhǔn)對(duì)站段進(jìn)行檢查評(píng)估。委托評(píng)估的方式是將站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工作交由第三方有資質(zhì)的公司進(jìn)行，站段信息部門(mén)負(fù)責(zé)配合。具體使用哪種風(fēng)險(xiǎn)評(píng)估方法，站段可以根據(jù)自己的信息系統(tǒng)規(guī)模進(jìn)行選擇。上級(jí)檢查方式適用于站段信息系統(tǒng)規(guī)模較小的情況，自評(píng)估方式適用于站段信息系統(tǒng)規(guī)模較大，信息系統(tǒng)專(zhuān)業(yè)管理人員較多，能夠組建自己的信息系統(tǒng)評(píng)估組的情況，委托評(píng)估適用于站段信息系統(tǒng)規(guī)模很大，而站段自己內(nèi)部又沒(méi)有能力組建自己的信息系統(tǒng)評(píng)估小組的情況。基層站段也可以采用先自評(píng)估再申請(qǐng)上級(jí)檢查的組合方式進(jìn)行信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估。

3 站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的過(guò)程

站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的過(guò)程大致可以分為風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)預(yù)測(cè)、風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)控制四個(gè)過(guò)程。

3.1 風(fēng)險(xiǎn)識(shí)別

由信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估小組統(tǒng)計(jì)站段內(nèi)信息系統(tǒng)操作人員和設(shè)備情況，按照信息系統(tǒng)服務(wù)對(duì)象進(jìn)行分類(lèi)。風(fēng)險(xiǎn)評(píng)估小組指定人員對(duì)不同的信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)標(biāo)注，標(biāo)注出所有影響信息系統(tǒng)安全的人員和設(shè)備，將選擇出的存在風(fēng)險(xiǎn)的人員和設(shè)備信息報(bào)工作組核準(zhǔn)。

風(fēng)險(xiǎn)識(shí)別工作必須做到詳細(xì)，必須要涵蓋到管內(nèi)所有的信息系統(tǒng)設(shè)備和相關(guān)人員。

3.2 風(fēng)險(xiǎn)預(yù)測(cè)

信息系統(tǒng)評(píng)估工作組將核準(zhǔn)后的信息反饋給各工作小組，工作小組成員進(jìn)行風(fēng)險(xiǎn)預(yù)測(cè)，風(fēng)險(xiǎn)預(yù)測(cè)是工作小組假定操作人員誤操作、故意破壞或者設(shè)備故障的情況下所可能造成的危害，根據(jù)危害的種類(lèi)和大小進(jìn)行分類(lèi)匯總。

3.3 風(fēng)險(xiǎn)評(píng)估

風(fēng)險(xiǎn)評(píng)估是工作小組根據(jù)工作組制定的風(fēng)險(xiǎn)基準(zhǔn)對(duì)風(fēng)險(xiǎn)賦予權(quán)值，并進(jìn)行大小排序。風(fēng)險(xiǎn)賦值采用定性定量的方式，計(jì)算公式如下：

風(fēng)險(xiǎn)優(yōu)先級(jí)數(shù)=嚴(yán)重程度×出現(xiàn)頻率×易發(fā)現(xiàn)性

嚴(yán)重程度是按照故障發(fā)生后對(duì)信息系統(tǒng)安全產(chǎn)生危害的程度劃分等級(jí)，等級(jí)劃分10檔。出現(xiàn)頻率是指信息系統(tǒng)設(shè)備發(fā)生故障或者操作人員誤操作的概率，可以根據(jù)以往的經(jīng)驗(yàn)進(jìn)行統(tǒng)計(jì)分析，等級(jí)劃分10檔。易發(fā)現(xiàn)性是指故障檢查、排除的難易程度，等級(jí)劃分10檔。

3.4 風(fēng)險(xiǎn)控制

風(fēng)險(xiǎn)控制就是風(fēng)險(xiǎn)評(píng)估工作組根據(jù)風(fēng)險(xiǎn)評(píng)估的結(jié)果，安排不同的人力、財(cái)力、物力去降低風(fēng)險(xiǎn)或者排除風(fēng)險(xiǎn)，風(fēng)險(xiǎn)等級(jí)最高危害最大的在資源分配時(shí)應(yīng)該安排最多的人力、財(cái)力和物力。對(duì)于重要的信息系統(tǒng)應(yīng)制定專(zhuān)門(mén)的應(yīng)急預(yù)案和管理辦法，定期開(kāi)展培訓(xùn)和事故演練。

但是在執(zhí)行風(fēng)險(xiǎn)控制的過(guò)程中一定要遵守適度安全和安全有價(jià)的原則，無(wú)論需要消除或者降低何種風(fēng)險(xiǎn)都必須要投入一定的資源，因此在執(zhí)行風(fēng)險(xiǎn)控制之前必須要預(yù)先估計(jì)風(fēng)險(xiǎn)控制所要達(dá)到的程度。

風(fēng)險(xiǎn)評(píng)估工作組將風(fēng)險(xiǎn)控制的措施、安排和預(yù)算情況報(bào)站段領(lǐng)導(dǎo)批準(zhǔn)，經(jīng)領(lǐng)導(dǎo)批準(zhǔn)后分發(fā)給各相關(guān)車(chē)間、科室執(zhí)行。風(fēng)險(xiǎn)評(píng)估工作組還應(yīng)對(duì)各科室執(zhí)行的結(jié)果進(jìn)行監(jiān)測(cè)。

3.5 循環(huán)風(fēng)險(xiǎn)評(píng)估

通常風(fēng)險(xiǎn)評(píng)估工作只是執(zhí)行風(fēng)險(xiǎn)識(shí)別、風(fēng)險(xiǎn)預(yù)測(cè)、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)控制四個(gè)流程，從風(fēng)險(xiǎn)識(shí)別開(kāi)始到風(fēng)險(xiǎn)控制結(jié)束。但是，鐵路站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工作在實(shí)際操作中并不同于其它行業(yè)的風(fēng)險(xiǎn)評(píng)估，站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工作有其特殊性、復(fù)雜性和隱蔽性，特殊性是指信息系統(tǒng)設(shè)備分布在站段的各個(gè)角落甚至其它城市，擔(dān)任著各種各樣的任務(wù)，在風(fēng)險(xiǎn)識(shí)別的時(shí)候不可能把所有存在風(fēng)險(xiǎn)的設(shè)備統(tǒng)計(jì)全面，如果疏漏了那些潛在的不易察覺(jué)的風(fēng)險(xiǎn)就不能保證風(fēng)險(xiǎn)識(shí)別階段的準(zhǔn)確性。復(fù)雜性是指信息系統(tǒng)設(shè)備不同于其它行車(chē)設(shè)備，信息系統(tǒng)設(shè)備包括軟件和硬件系統(tǒng)，硬件系統(tǒng)故障容易排查、修復(fù)，即使無(wú)法修復(fù)也可以通過(guò)替換備用設(shè)備解決，但是軟件系統(tǒng)風(fēng)險(xiǎn)往往難以預(yù)測(cè)，故障以后的危害也難以估計(jì)，排查和修復(fù)比較困難，也沒(méi)有備用程序進(jìn)行替換。另外，鐵路信息系統(tǒng)安全往往受到內(nèi)部和外部共同威脅的影響，風(fēng)險(xiǎn)難以定量，處理時(shí)間難以掌握。隱蔽性是指信息系統(tǒng)設(shè)備故障往往沒(méi)有明顯的預(yù)警，在故障早期一般沒(méi)有任何特征，不易察覺(jué)。所以，站段信息系統(tǒng)評(píng)估工作在執(zhí)行完風(fēng)險(xiǎn)控制過(guò)程后，風(fēng)險(xiǎn)評(píng)估工作不應(yīng)該就此結(jié)束，信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估組需要根據(jù)站段管內(nèi)信息系統(tǒng)的復(fù)雜程度，重復(fù)2-3次的風(fēng)險(xiǎn)評(píng)估流程，并將每次風(fēng)險(xiǎn)評(píng)估的結(jié)果進(jìn)行比對(duì)，進(jìn)行記錄。

4 站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工作的目標(biāo)

站段信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工作的目標(biāo)是為了讓站段信息系統(tǒng)能夠滿(mǎn)足鐵路安全發(fā)展的需要，達(dá)到國(guó)家相關(guān)信息系統(tǒng)安全的標(biāo)準(zhǔn)，消除因信息系統(tǒng)安全導(dǎo)致影響鐵路生產(chǎn)，甚至鐵路事故發(fā)生的可能。

5 結(jié)束語(yǔ)

鐵路運(yùn)輸安全工作無(wú)小事，信息系統(tǒng)安全更應(yīng)謹(jǐn)小慎微。風(fēng)險(xiǎn)評(píng)估方法可以作為傳統(tǒng)經(jīng)驗(yàn)型方法的有效補(bǔ)充，通過(guò)在基層站段中進(jìn)行信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估，能夠讓站段信息系統(tǒng)達(dá)到安全、高效、穩(wěn)定，從而為鐵路運(yùn)輸安全提供強(qiáng)有力的保障。