風(fēng)險評估在信息安全中的有效運(yùn)用及關(guān)鍵技術(shù)

摘 要信息化時代在加快人們獲取資源速度的同時，也帶來了極大的弊端，由于現(xiàn)今人們對網(wǎng)絡(luò)的依賴程度越來越高，使網(wǎng)絡(luò)平臺變得越來越復(fù)雜，很多企業(yè)都將自身的機(jī)密保留在網(wǎng)絡(luò)中，一旦受到了惡意侵犯，將直接會為企業(yè)帶來巨大的損失。因此為了避免該問題的發(fā)生，在信息化時代研究出了信息安全風(fēng)險評估，其在極大程度上降低了網(wǎng)絡(luò)遭遇侵襲的幾率?；诖?，本文著重從三個方面講述了信息安全中風(fēng)險評估的應(yīng)用，隨后對其關(guān)鍵技術(shù)進(jìn)行了研究分析，以此來供相關(guān)人士交流參考。

【關(guān)鍵詞】風(fēng)險評估 信息安全 關(guān)鍵技術(shù) 探究應(yīng)用

信息安全風(fēng)險評估是基于信息遭到惡意侵襲而研究出來的一種可以對風(fēng)險發(fā)生可能性進(jìn)行分析的一種評估方法。其最早出現(xiàn)在上世紀(jì)中期，由于評估方法多樣且均存在有一定的局限性，因此在使用評估方法進(jìn)行評估時，就需要結(jié)合實(shí)際的情況對現(xiàn)有的評估方法進(jìn)行改進(jìn)，并對其關(guān)鍵技術(shù)進(jìn)行研究，以保證評估方法可以有效發(fā)揮自身的作用，降低信息安全的風(fēng)險。

1 信息安全中風(fēng)險評估的原則及工具

1.1 保密原則

使用風(fēng)險評估對信息安全進(jìn)行評估時，一定要進(jìn)行嚴(yán)格的保密，可以采取提前簽署保密協(xié)定的方式或是利用保密監(jiān)視的手段對評估進(jìn)行保密。除此之外，還要將該評估直接添加到安全監(jiān)管體系中，避免又有新的風(fēng)險出現(xiàn)在評估過程中。

1.2 標(biāo)準(zhǔn)型原則

進(jìn)行信息安全風(fēng)險評估時，一定要結(jié)合相關(guān)的標(biāo)準(zhǔn)進(jìn)行評估，做到有據(jù)可依。此外，在進(jìn)行風(fēng)險計算時，可以使用科學(xué)合理的數(shù)學(xué)模型來計算，同時還要確保整個工作均有與標(biāo)準(zhǔn)相符的評價指標(biāo)，以使本次評估更具有可信度，增強(qiáng)整個評估過程的有效性以及科學(xué)性。

1.3 主動型評估工具

對于主動型評估工具，其是通過人工編制而成的，在對信息安全風(fēng)險進(jìn)行評估時，采取的是主動評估的方式，直接對計算機(jī)的防火墻進(jìn)行掃描，從而找出系統(tǒng)正常運(yùn)行過程中程序內(nèi)部存在的潛在威脅。

1.4 被動型評估工具

被動型評估工具與主動型評估工具在評估時恰好相反，其在對風(fēng)險評估時，主要是通過守株待兔的方式有效地守住數(shù)據(jù)的關(guān)卡，對所有流入計算機(jī)的數(shù)據(jù)進(jìn)行檢測，如果捕捉到了較為敏感的數(shù)據(jù)，直接就會對其分析。此外，該類型的評估工具有著極為明顯的優(yōu)點(diǎn)，其可以對系統(tǒng)在運(yùn)行階段的安全情況進(jìn)行準(zhǔn)確的監(jiān)控。但是如果流入系統(tǒng)的數(shù)據(jù)存在潛在威脅，該類型的評估工具在評估準(zhǔn)確度上便不如主動型評估工具。

1.5 管理型評估工具

該類型的評估工具主要是管理整個評估的過程，其可以有效與前兩種評估工具相結(jié)合，同時也可以利用研究分析而成的風(fēng)險管理模型對整個安全系統(tǒng)進(jìn)行管理。

2 信息安全風(fēng)險評估關(guān)鍵技術(shù)研究

2.1 威脅分析技術(shù)

信息安全中無時無刻都存在有潛在的威脅，如果不能及時發(fā)現(xiàn)，就會對資產(chǎn)或者組織帶來潛在的損害，其可以通過動機(jī)、途徑、主體以及資源等途徑實(shí)現(xiàn)，就威脅而言，其主要分為人為因素以及環(huán)境因素兩種，就環(huán)境因素來講，分為物理因素以及不可抗因素。人為因素分為惡意因素以及非惡意因素。具體的評估步驟如下所示：

2.1.1 識別威脅

研究人員需要根據(jù)信息資源的實(shí)際情況以及當(dāng)前環(huán)境結(jié)合自身的經(jīng)驗(yàn)對其可能面對的威脅進(jìn)行評估，由于潛在的威脅形式多樣，所以需要結(jié)合具體的威脅采取針對性的方式識別。

2.1.2 評估威脅

待對威脅識別完成之后，緊接著研究人員就需要對威脅可能發(fā)生的幾率進(jìn)行評估，其需要結(jié)合威脅來源以及種類將威脅劃分成不同的級別，然后依照類別的不同對可能性進(jìn)行定義，即威脅的等級越高，就說明威脅發(fā)生的可能性越大。

2.2 資產(chǎn)管理技術(shù)

資管管理技術(shù)主要應(yīng)用于對價值較高的信息資源的風(fēng)險評估，具體的形式包括有硬件、文檔以及部分服務(wù)、形象等。在進(jìn)行信息安全風(fēng)險評估時，首先要進(jìn)行的就是資產(chǎn)評估，此外，在評估的過程中還要遵循風(fēng)險評估的保密原則，具體的評估方法如下：

2.2.1 劃分資產(chǎn)類別

由于資產(chǎn)的來源多樣，包括業(yè)務(wù)管理系統(tǒng)以及網(wǎng)絡(luò)等，因此在評估時不能采用統(tǒng)一評估的方式，應(yīng)按照其不同的用途以及形態(tài)先對其進(jìn)行劃分。

2.2.2 資產(chǎn)賦值

待對資產(chǎn)類別劃分結(jié)束以后，就需要結(jié)合不同的資產(chǎn)類別對其進(jìn)行賦值，總共級別有五級，其在衡量時并不需要結(jié)合賬面的價格來衡量，僅需要在考慮到資產(chǎn)的投入成本的基礎(chǔ)上，選取相對價值作為衡量標(biāo)準(zhǔn)。此外，評估人員還需要明確資產(chǎn)評估對網(wǎng)絡(luò)信息業(yè)務(wù)的重要性，同時也要明確影響資產(chǎn)賦值的因素，即包括信譽(yù)影響、商業(yè)利益、系統(tǒng)破壞以及系統(tǒng)安全等。

2.3 脆弱性識別技術(shù)

脆弱性識別主要包括技術(shù)層面以及管理方面，其在對不安全數(shù)據(jù)以及因素進(jìn)行識別時，可以直接使用漏洞掃描的方式對網(wǎng)絡(luò)設(shè)備以及主機(jī)進(jìn)行掃描，尤其是對于一些需要保護(hù)的資產(chǎn)，在掃描過程中如果發(fā)現(xiàn)了潛在的威脅，就要結(jié)合其脆弱性的強(qiáng)度以及威脅可能發(fā)生的機(jī)會展開風(fēng)險評估。由于掃描軟件是漏洞掃描的必要設(shè)備，所以當(dāng)前市場上也涌入了大批功能強(qiáng)大的掃描軟件，可以用于對大多數(shù)系統(tǒng)漏洞的掃描。待掃描結(jié)束以后，掃描軟件會自行對掃描到的數(shù)據(jù)進(jìn)行研究分析，從而輸出可以反映出系統(tǒng)是否存在風(fēng)險漏洞的信息。

3 結(jié)束語

信息化時代有效地推動了社會的發(fā)展，但是由于網(wǎng)絡(luò)數(shù)據(jù)的透明，也帶來了眾多安全風(fēng)險，尤其是對于一些存儲在計算機(jī)內(nèi)部的機(jī)密文件，一旦受到惡意的盜竊或者侵襲，直接就會為一方帶來極大的損失。尤其是在信息資源就是核心競爭力的市場，安全風(fēng)險評估更是有著不可忽視的作用。但是由于評估方法眾多，因此為了有效降低信息資源被盜取的風(fēng)險，在對安全管理系統(tǒng)裝備時，還要結(jié)合實(shí)際的情況對其進(jìn)行目的性的創(chuàng)新，有效規(guī)避新的風(fēng)險，進(jìn)而提升網(wǎng)絡(luò)信息的安全度。

參考文獻(xiàn)

[1]宋文軍，韓懌冰，尚展壘.大數(shù)據(jù)時代背景下網(wǎng)絡(luò)安全風(fēng)險評估關(guān)鍵技術(shù)研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2016（03）：59-60.

[2]鄭成容.信息安全風(fēng)險評估在構(gòu)筑信息安全保障體系中的作用與地位[J].信息安全與技術(shù)，2015（04）：12-14.

[3]徐慧瓊.有關(guān)大數(shù)據(jù)時代背景下網(wǎng)絡(luò)安全風(fēng)險評估關(guān)鍵技術(shù)研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2017（07）：72-72.

[4]王榮斌，吳茵，周黎輝.基于云平臺的信息安全保障及安全風(fēng)險評估方法的研究[J].網(wǎng)絡(luò)安全技術(shù)與應(yīng)用，2017（05）：80-81.

作者簡介

王潔民（1999-），男，湖北省荊門市人。大學(xué)本科學(xué)歷。研究方向?yàn)樾畔踩?。

作者單位

廣東省廣州市中山大學(xué) 廣東省廣州市 448000