政务信息系统风险评估实施要点

政务信息系统风险评估实施要点

【摘要】文章介绍了政务信息系统风险评估实施的要点，包括风险评估的目的、范围及风险评估模型，风险评估项目的具体工作流程及相关方法、工具，以及为完成好风险评估项目所必备的相关项目管理要求。文章对于指导信息系统风险评估项目实施工作有很好的借鉴作用。

【关键词】风险评估；风险分析；项目管理

【 abstract 】 this article describes the main points of the risk assessment of the implementation of the government information system, including risk assessment purpose, scope and risk assessment models, risk assessment project specific work processes and methods, tools, and related items necessary for the completion of the risk assessment projectmanagement requirements. good reference for guiding the risk assessment of information systems project implementation.

【 keywords 】 risk assessment; risk analysis; project management

0 引言

政务信息系统关系到国计民生，因此保障电子政务系统的信息安全是我国经济与社会信息化的先决条件之一，是国家信息化建设的

重要内容。如何保证政务信息系统的安全性，风险评估是一项很基础的工作。通过对政务信息系统进行风险评估，可以了解信息与网络系统目前与未来的风险所在，充分评估这些风险可能带来的威胁与影响的程度，依据系统的风险和威胁，进行针对性的防范，做到“对症下药”，可以有效解决政务信息系统的安全问题。

1 政务系统风险评估概述

1.1 风险评估的概念

政务系统的信息安全关心的是保护政务信息资产免受威胁。风险评估是有效保证信息安全的前提条件，也是建立在网络入侵防护系统、实施风险管理程序所开展的一项基础性工作。其工作原理是对系统所采用的安全策略和管理制度进行评审，发现不合理的地方，采用模拟化攻击的方式对系统可能存在的安全漏洞进行逐项检查，确定存在的安全问题与风险级别。并根据检查结果向系统管理员提供周密可靠的安全性分析报告，为提高网络安全整体水平提供重要依据。

风险评估的目的是全面、准确地了解政务信息系统的安全现状，发现系统的安全问题及其可能的危害，为后期进一步安全防护技术的实施提供了严谨的安全理论依据，为决策者制定网络安全策略、构架安全体系以及确定有效的安全措施、选择可靠的安全产品、建立全面的安全防护层次提供了一套完整、规范的指导模型。

1.2 风险评估的范围

政务信息系统风险评估的内容与范围需要涵盖整个系统，包括系统安全管理的状况、网络及安全防护技术架构、通信链路、系统数据及业务系统加密情况、系统访问控制状况等。在政务信息系统的安全防护工作中，“人”是关键要素，无论系统所采用的安全技术、安全策略和安全手段多么现代化与智能化，都需要“人”去操作、运行和管理。如果信息系统的安全管理水平落后，人员素质不高，那么政务信息系统的安全性就会减弱，安全漏洞就会增加。

1.3 风险评估的原则和依据

1.3.1指导原则

由于政务信息系统风险评估涉及的内容较多，因此在进行评估时就需要本着多角度、多层面的原则，从软件到硬件，从理论到实际，从技术到管理，从设备到人员，来具体制定详细的评估计划和分析步骤，避免遗漏。在评估时一般需遵循的如下几个原则：标准性、可靠性、可控性、保密性、技术先进和成熟性、全面性、高效性、持续性。

1.3.2相关法规和政策

《中华人民共和国计算机信息系统安全保护条例》（国务院令147号）；

《商用密码管理条例》（国务院令 273号）；

《计算机信息系统安全保护等级划分准则》；

《计算机机房场地安全要求》（gb9361-88）；

《信息安全技术-信息安全风险评估规范》（ gb/t 20984—2007）。

2 政务信息风险评估工作流程

2.1 系统调查

开展政务信息系统风险评估的第一步就是进行系统调查。通过调查政务信息系统上运行的所有应用，了解系统主要业务的流程，清楚的掌握支持业务运行的硬件基础设施的结构及安全系统现状，收集风险评估所需的系统全部信息。在进行系统调查的同时，还需对系统风险评估的评估范围进行分析、界定。对系统边界进行明确定义，有助于防止不必要的工作，并对改进风险评估的质量都是很重要的。

2.2 资产分析

政务信息系统风险评估的对象是该信息系统范围内的所有资产。首先在划定的评估范围内，根据系统拓扑图及业务系统流程图，列出政务系统中全部的物理资产、软件资产及数据资产。在识别出所有信息资产后，接着是为每项资产赋予价值。在进行资产估价时，不仅需要考虑资产的自身价值，更重要的是要考虑资产对于组织的重要性，即根据资产损失所引发的潜在的影响来决定具体资产的赋值。

2.3 威胁分析

威胁是指可能对资产或组织造成危害或破坏事故的潜在原因。作为风险评估的重要因素之一，威胁是一个客观存在的事物，无论对

于多么安全的信息系统，它都存在。威胁分析首先要对组织需要保护的每一项关键资产进行威胁识别。识别出威胁由谁或什么事物引发以及威胁影响的资产是什么，即确认威胁的主体和客体。接着要做的是对每种威胁的严重性和发生的可能性进行分析，最终为其赋一相对等级值（0-5）。分析威胁发生的可能性是这一阶段的重要工作，评估者一般需要根据经验和行业统计数据来判断威胁发生的频率或者发生的概率。

2.4 脆弱性测试

脆弱性测试主要是对关键主机操作系统进行网络扫描，以发现系统安全漏洞。对服务器进行应用层扫描，以发现应用系统的安全漏洞。脆弱性测试所采用的方法主要为工具扫描、渗透测试等。

2.5 安全功能测试

安全功能测试的主要对象是系统中的网络设备、安全设备等。由于这些设备的作用是保障信息系统的稳定与安全，因此其自身的安全性也必然关系到真个系统的安全性是否可用、可控和可信。安全功能测试的主要内容包括：网络与安全设备的管理是否安全，安全系统所提供的防护措施是否正常和正确，网络及安全设备的配置是否最优，网络及安全设备是否存在漏洞或后门，网络与安全设备自身的保护机制是否实现，网络及安全设备是否定期升级或更新。

2.6 安全管理检查

安全管理检查主要是检查政务信息系统的安全管理制度及相关记