等级保护和风险评估范文篇1

【关键词】内蒙古电力公司信息系统；信息安全；风险评估；探索与思考

TheExplorationandInspirationofRiskAssessmentonInformationSystems

inInnerMongoliaPower（Group）Co.，Ltd.

AoWei1ZhuangSu-shuai2

（1.InformationCommunicationBranchoftheInnerMongoliaPower（Group）Co.，LtdInnerMongoliaHohhot010020；

2.BeijingCertificateAuthorityCo.，LtdBeijing100080）

【Abstract】BasedontheconductofinformationsecurityriskassessmentinInnerMongoliaPower（Group）Co.Ltd.，weanalyzedthegeneralmethodsofriskassessmentonpowerinformationsystems.Besides，westudiedthetechniquesandoverallprocessofriskassessmentonpowerinformationsystemsinInnerMongoliaPower（Group）Co.Ltd.，whoseexplorationprovidesvaluableinspirationtoinformationsecurityinelectricpowerindustry.

【Keywords】informationsystemsofInnerMongoliaPower（Group）Co.，Ltd.；informationsecurity；riskassessment；explorationandinspiration

1引言

目前，电力行业信息安全的研究只停留于网络安全防御框架与防御技术的应用层面，缺少安全评估方法与模型研究。文献[1]-[3]只初步分析了信息安全防护体系的构架与策略，文献[4]、[5]研究了由防火墙、VPN、PKI和防病毒等多种技术构建的层次式信息安全防护体系。这些成果都局限于单纯的信息安全保障技术的改进与应用。少数文献对电力信息安全评估模型进行了讨论，但对于安全风险评估模型的研究都不够深入。文献[6]、文献[7]只定性指出了安全风险分析需要考虑的内容；文献[8]讨论了一种基于模糊数学的电力信息安全评估模型，这种模型本质上依赖于专家的经验，带有主观性；文献[9]只提出了一种电力信息系统安全设计的建模语言和定量化评估方法，但是并未对安全风险的评估模型进行具体分析。

本文介绍了内蒙古电力信息系统风险评估的相关工作，并探讨了内蒙古电力信息系统风险评估工作在推动行业信息安全保护方面带给我们的启示。

2内蒙古电力信息安全风险评估工作

随着电网规模的日益扩大，内蒙古电力信息系统日益复杂，电网运行对信息系统的依赖性不断增加，对电力系统信息安全的要求也越来越高。因此，在电力行业开展信息安全风险评估工作，研究电力信息安全问题，显得尤为必要。

根据国家关于信息安全的相关标准与政策，并根据实际业务情况，内蒙古电力公司委托北京数字认证股份有限公司（BJCA）对信息系统进行了有效的信息安全风险评估工作。评估的内容主要包括系统面临的安全威胁与系统脆弱性两个方面，以解决电力信息系统面临的的安全风险。

3电力系统信息安全风险评估的解决方案

通过对内蒙古电力信息系统的风险评估工作，我们可以总结出电力信息系统风险评估的解决方案。

4电力信息系统风险评估的流程

电力信息系统风险评估的一般流程。

（1）前期准备阶段。本阶段为风险评估实施之前的必需准备工作，包括对风险评估进行规划、确定评估团队组成、明确风险评估范围、准备调查资料等。

（2）现场调查阶段：实施人员对评估信息系统进行详细调查，收集数据信息，包括信息系统资产组成、系统资产脆弱点、组织管理脆弱点、威胁因素等。

（3）风险分析阶段：根据现场调查阶段获得的相关数据，选择适当的分析方法对目标信息系统的风险状况进行综合分析。

（4）策略制定阶段：根据风险分析结果，结合目标信息系统的安全需求制定相应的安全策略，包括安全管理策略、安全运行策略和安全体系规划。

5数据采集

在风险评估实践中经常使用的数据采集方式主要有三类。

（1）调查表格。根据一定的采集目的而专门设计的表格，根据调查内容、调查对象、调查方式、工作计划的安排而设计。常用的调查表有资产调查表、安全威胁调查表、安全需求调查表、安全策略调查表等。

（2）技术分析工具。常用的是一些系统脆弱性分析工具。通过技术分析工具可以直接了解信息系统目前存在的安全隐患的脆弱性，并确认已有安全技术措施是否发挥作用。

（3）信息系统资料。风险评估还需要通过查阅、分析、整理信息系统相关资料来收集相关资料。如：系统规划资料、建设资料、运行记录、事故处理记录、升级记录、管理制度等。

a）分析方法

风险评估的关键在于根据所收集的资料，采取一定的分析方法，得出信息系统安全风险的结论，因此，分析方法的正确选择是风险评估的核心。

结合内蒙电力信息系统风险评估工作的实践，我们认为电力行业信息安全风险分析的方法可以分为三类。

定量分析方法是指运用数量指标来对风险进行评估，在风险评估与成本效益分析期间收集的各个组成部分计算客观风险值，典型的定量分析方法有因子分析法、聚类分析法、时序模型、回归模型、等风险图法等。

定性分析方法主要依据评估者的知识、经验、历史教训、政策走向及特殊案例等非量化资料对系统风险状况做出判断的过程。在实践中，可以通过调查表和合作讨论会的形式进行风险分析，分析活动会涉及来自信息系统运行和使用相关的各个部门的人员。

综合分析方法中的安全风险管理的定性方法和定量方法都具有各自的优点与缺点。在某些情况下会要求采用定量方法，而在其他情况下定性的评估方法更能满足组织需求。

表1概括介绍了定量和定性方法的优点与缺点。

b）质量保证

鉴于风险评估项目具有一定的复杂性和主观性，只有进行完善的质量控制和严格的流程管理，才能保证风险评估项目的最终质量。风险评估项目的质量保障主要体现在实施流程的透明性以及对整体项目的可控性，质量保障活动需要在评估项目实施中提供足够的可见性，确保项目实施按照规定的标准流程进行。在内蒙古电力风险评估的实践中，设立质量监督员（或聘请独立的项目监理担任）是一个有效的方法。质量监督员依照相应各阶段的实施标准，通过记录审核、流程监理、组织评审、异常报告等方式对项目的进度、质量进行控制。

6内蒙古电力信息安全风险评估的启示

为了更好地开展风险评估工作，可以采取以下安全措施及管理办法。

6.1建立定期风险评估制度

信息安全风险管理是发达国家信息安全保障工作的通行做法。按照风险管理制度，适时开展风险评估工作，或建立风险评估的长效机制，将风险评估工作与信息系统的生命周期和安全建设联系起来，让风险评估成为信息安全保障工作运行机制的基石。

6.2编制电力信息系统风险评估实施细则

由于所有的信息安全风险评估标准给出的都是指导性文件，并没有给出具体实施过程、风险要素识别方法、风险分析方法、风险计算方法、风险定级方法等，因此建议在国标《信息安全风险评估指南》的框架下，编制适合电力公司业务特色的实施细则，根据选用的或自定义的风险计算方法，，制各种模板，以在电力信息系统实现评估过程和方法的统一。

6.3加强风险评估基础设施建设，统一选配风险评估工具

风险评估工具是保障风险评估结果可信度的重要因素。应根据选用的评估标准和评估方法，选择配套的专业风险评估工具，向分支机构配发或推荐。如漏洞扫描、渗透测试等评估辅助工具，及向评估人员提供帮助的资产分类库、威胁参考库、脆弱性参考库、可能性定义库、算法库等评估辅助专家系统。

6.4统一组织实施核心业务系统的评估

由于评估过程本身的风险性，对于重要的实时性强、社会影响大的核心业务系统的评估，由电力公司统一制定评估方案、组织实施、指导加固整改工作。

6.5以自评估为主，自评估和检查评估相结合

自评估和检查评估各有优缺点，要发挥各自优势，配合实施，使评估的过程、方法和风险控制措施更科学合理。自评估时，通过对实施过程、风险要素识别、风险分析、风险计算方法、评估结果、风险控制措施等重要环节的科学性、合理性进行分析，得出风险判断。

6.6风险评估与信息系统等级保护应结合起来

信息系统等级保护若与风险评估结合起来，则可相互促进，相互依托。等级保护的级别是依据系统的重要程度和安全三性来定义，而风险评估中的风险等级则是综合考虑了信息的重要性、安全三性、现有安全控制措施的有效性及运行现状后的综合结果。通过风险评估为信息系统确定安全等级提供依据。确定安全等级后，根据风险评估的结果作为实施等级保护、安全等级建设的出发点和参考，检验网络与信息系统的防护水平是否符合等级保护的要求。

参考文献

[1]魏晓菁，柳英楠，来风刚.国家电力信息网信息安全防护体系框架与策略.计算机安全，2004，6.

[2]魏晓菁，柳英楠，来风刚.国家电力信息网信息安全防护体系框架与策略研究.电力信息化，2004，2（1）.

[3]沈亮.构建电力信息网安全防护框架.电力信息化，2004，2（7）.

[4]梁运华，李明，谈顺涛.电力企业信息网网络安全层次式防护体系探究.电力信息化，2003，2（1）.

[5]周亮，刘开培，李俊娥.一种安全的电力系统计算机网络构建方案.电网技术，2004，28（23）.

[6]陈其，陈铁，姚林等.电力系统信息安全风险评估策略研究.计算机安全，2007，6.

[7]阮文峰.电力企业网络系统的安全风险分析和评估.计算机安全，2003（4）.

[8]丛林，李志民，潘明惠等.基于模糊综合评判法的电力系统信息安全评估.电力系统自动化，2004，28（12）.

[9]胡炎，谢小荣，辛耀中.电力信息系统建模和定量安全评估.电力系统自动化，2005，29（10）.

作者简介：

等级保护和风险评估范文篇2

【关键词】信息安全；等级保护；风险评估；层次分析法

LevelProtectionRiskAssessmentModelforResearch

ZhaoYun

（TheThirdResearchInstituteofMinistryofPublicSecurityShanghai200031）

【Abstract】Thisarticleinviewoftheinformationsystemriskassessmentaresusceptibletotheinfluenceofsubjectivefactors，someproblemssuchasvaguenessanduncertainty，anewriskassessmentmodelisputforward.Byestablishinghierarchicalevaluationsystembasedonthelevelofprotection，andusingtheevaluationmethodbasedonanalytichierarchyprocess（AHP）thatexistintheprocessevaluationfuzzyvalue，finallyquantitativeevaluationresults.Theempiricalresultsshowthatthemodelcanreducethefuzzinessanduncertaintyinriskassessmentcanbettersolvepracticaldifficultiesandproblemsofinformationsystemriskassessment.

【Keywords】informationsecurity；gradeprotection；riskevaluation；analytichierarchyprocess

1引言

随着计算机网络的广泛使用和网络中承载的信息量的加速增长，系统安全重要性正在世界范围内不断地扩大。近些年来，我国改革开放和信息化建设步伐不断加快，各行业都建立了自己的信息系统以支持相关业务的开展，这些系统的运行状况在各个层面不同程度地影响着企业或行业乃至整个社会的发展。因此，对于信息系统的等级保护工作也变得越发重要。信息安全等级保护是指对国家安全、法人和其它组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置等，在系统的建设过程中，我们总是关心系统所面临的安全风险，基于上述原因，如何评价一个信息系统项目就成了非常重要的课题。目前的评价方法，国内不是很成熟。本文通过对信息系统评估方法的理论研究，对已有的评价方法进行了改进，最终得到一个优化的指标体系。

2发展历程

由于计算机信息网络安全的脆弱性和现实网络环境的复杂性，时刻给信息系统的正常运行带来威胁，为此国家公安部、保密局、国家密码管理局、国务院信息化领导小组于2007年联合颁布了861号文件《关于开展全国重要信息系统安全等级保护定级工作的通知》和《信息安全等级保护管理办法》。根据文件精神和等级划分的原则，重要信息系统构筑需要达到三级或以上防护要求，以等级保护三级系统为例，其防护要求分类如图1所示。

从图1可以看出，目前等级保护风险评估主要分为技术要求和管理要求两大部分，技术要求从物理安全、网络安全、主机安全、应用安全和数据安全五个方面来评价；管理要求从安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理五个角度进行分析。通过对目前多个测评机构测评方法的分析研究，发现传统的风险评估方法比较简单，各项指标和分项指标的实际情况仅由符合、部分符合和不符合三种评价结果构成。这种评价方法无法区分各个测评项对整个信息系统影响的重要程度，另外，对整个信息系统的风险评估也仅仅由简单的统计不符合率来体现，无法客观有效地反应系统的真实情况。

3信息系统风险评估

信息安全风险评估规范中明确了信息系统风险评估的基本工作形式是自评估与检查评估。信息系统风险评估是信息系统安全工程的重要组成部分，是建立信息系统安全体系的基础和前提。根据国家有关管理规定，基础性、重要的信息系统采用等级保护标准进行建设和测评。信息系统使用单位应该结合自身单位信息系统的具体情况，依照国家标准，开展风险评估工作。目前，信息系统的复杂性和多样性给风险评估带来了很大困难，评估工作多是由测评单位的测评人员根据定性的评价指标进行评估，在结果的判定上很难量化。因此，最终的评估结果易受主观因素的影响，每个人对结果的评价可能不完全一样；具有模糊性和不确定性。

信息系统风险评估以信息系统的各个方面为对象，建立在对信息系统进行评价的基础上，目前国内外在风险分析领域常用的三种方法：参数统计方法、非参数统计方法和神经网络方法。应用于信息系统风险评估模型中的常用统计模型包括基于判别分析的信用评价模型、Bayes风险分析的信用评价模型、Logistic回归模型的信用评价模型、模糊聚类方法的信用评价模型和神经网络（如径向基函数网络、概率神经网络、自组织神经网络等）的信用评价模型[2]，Fu等运用层次分析法（AHP）和模糊综合评价法（FCE），建立风险评估的量化模式[3]；Huang等以灰色评估模型为基础，在权重的选择过程中引入模糊层次分析法，弱化了评价的主观性[4]；Gao等人应用灰色关联决策算法，给出了评估值缺失的先验估计，能够有效地处理参数评估值的不确定性问题[5]。

信息系统评价指标体系的构建对信息系统安全指数进行客观合理的测度，其基础是建立一个客观科学的指标体系。本文通过对信息系统等级保护测评过程客观科学的分析以及查阅文献，构建出信息系统安全指数体系，如表1所示。

等级保护风险评估模型建立在等级保护体系的基础上，运用综合评价法，建立评价模型，建立如下的评价参数：

假设风险评估目标指数为U，U的取值和U1技术要求和U2管理要求相关：

U={U1，U2}={技术要求，管理要求}

进一步分析后，得到以下关系：

U1={U11，U12，U13，U14，U15}={物理安全、网络安全、主机安全、应用安全、数据安全}

U2={U21，U22，U23，U24，U25}={安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理}

将U11至U22进一步拆解后，得到以下关系：

U11={U111，U112，U113，U114，U115，U116，U117，U118，U119，U1110}={物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护}

U12={U121，U122，U123，U124，U125，U126，U127}={结构安全、访问控制、安全审计、边界完整性检查、入侵防范、恶意代码防范、网络设备防护}

U13={U131，U132，U133，U134，U135，U136}={身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制}

……

由于三级指标的数目过多，在本文中就不一一列举了，可以参照相关材料完成上述关系式。

4等级保护风险评估模型

层次分析法（TheAnalyticHierarchyProcess）简称AHP，20世纪70年代中期由美国运筹学家托马斯·塞蒂（T.L.Saaty）正式提出。它是一种定性和定量相结合的、系统化、层次化的分析方法。层次分析法将决策问题按总目标、各层子目标、评价准则直至具体的备选方案的顺序分解为不同的层次结构，然后用求解判断矩阵特征向量的办法，求得每一层次的各元素对上一层次某元素的优先权重，最后再用加权和的方法递阶归并各备选方案对总目标的最终权重，此最终权重最大者即为最优方案。层次分析法比较适合于具有分层交错评价指标的目标系统且目标值又难于定量描述的决策问题。其用法是构造判断矩阵，求出最大特征值及其所对应的特征向量w，归一化后，即为某一层次指标对于上一层次相关指标的相对重要性权值。

运用层次分析法建模，按四个步骤进行。

1）建立递阶层次结构模型。应用AHP分析决策问题时，首先要把问题条理化、层次化，构造出一个有层次的结构模型。在这个模型下，复杂问题被分解为元素的组成部分。这些元素又按其属性及关系形成若干层次。上一层次的元素作为准则对下一层次有关元素起支配作用。

2）构造出各层次中的所有判断矩阵。层次结构反映了因素之间的关系，但准则层中的各准则在目标衡量中所占的比重并不一定相同，在决策者的心目中，它们各占有一定的比例。在确定影响某些因素的诸因子在该因素中所占的比重时，遇到的主要困难是这些比重常常不易定量化。此外，当影响某些因素的因子较多时，直接考虑各因子对该因素有多大程度的影响时，常常会因考虑不周全、顾此失彼而使决策者提出与其实际重要性程度不相一致的数据，甚至有可能提出一组隐含矛盾的数据。层次分析法通过各指标相对于上级指标重要性的两两比较，构造判断矩阵，可以有效避免上述问题。

3）指标体系建立及权重计算

在对信息系统建设及使用效果进行评估时，底层相对于上一层指标可能有很多个。此时运用层次分析法对底层指标构建的判断矩阵会比较复杂，很难满足一致性。所以，本文对一般的信息系统构建了一个三层的指标体系。其中一级指标2个，二级指标10个，三级指标74个。在进行权重计算时，考虑到三级指标数量过多，如果逐一的讨论其权重指标会显得比较繁琐，并且其相互之间重要关系不易比较，故只计算一、二级指标在整个指标体系中的权重，三级指标权重取他们对二级指标的平均值。也正是因为三级指标数量繁多，并且其重要性可通过二级指标的权重所体现，所以并不会对评估结果有较大的影响。

对信息系统权重评分，主要通过三类人员评分，包括信息系统使用人员、测评人员及专家，接下来分析权重确定方法及过程，本文采用发放调查表的方式，通过三种人员对信息系统的指标权重进行分项打分，然后进行分类汇总计算权重，具体的办法如下：

信息系统使用人员评分步骤如下：首先制作调查表。信息系统使用人员评分主要通过发放调查表的方式。调查表的内容应该包括指标体系中所有的三级指标。接下来填报调查表。为了保证信息收集的全面客观性，应由系统的多类用户填写，例如业务人员、系统管理人员、部门领导等。并且每一类人员也应当由多人填写多份，这样才可保证搜集的信息全面而真实。然后确定三级指标权重得分。通过调查表的填写及调查表中每个选项对应的分值，可以得到信息系统使用人员、测评人员及专家对信息系统每个三级指标的权重得分。最后计算二级指标得分。对每个二级指标下的三级指标得分求平均分，即得到日常使用人员对信息系统每个二级指标的得分。

信息系统测评人员打分方式：测评人员可以从许多技术角度考虑整个信息系统建设及使用效果。测评人员虽然并不一定能很熟练地操作整个信息系统，并且对业务工作也不一定完全了解，但其可以从许多技术角度考虑整个信息系统建设及使用效果。所以测评人员只需对信息系统的三级指标进行直接评分。测评人员主要通过查阅原始文档、座谈、实地调研并结合自身的操作使用，对信息系统的三级指标直接打分。为了使评估结果更具有代表性，本文建议由多名测评人员参与评分，最后取多名测评人员的平均分为各三级指标的最终得分。

专家评分方式：专家往往不会过多地考虑信息系统具体的细节问题，而能够宏观考虑整个信息系统的建设及使用情况。所以专家只需对信息系统的二级指标进行直接评分，一方面避免了其对许多细节问题的填报困难，另一方面也可以包含指标体系中无法体现的主观因素对信息系统的影响。专家主要通过查阅原始文档、座谈，并结合自身的使用情况，对信息系统的二级指标直接打分。为了使评估结果更具有代表性，本文建议由多名专家参与评分，最后取多名专家的平均分为各二级指标的得分。

在得到信息系统使用人员、测评人员及专家对信息系统各指标的权重打分之后，需要对该三类人员的评分结果进行汇总。

首先，计算最终的三级指标得分。由于不同的信息系统，系统使用人员、测评人员及专家三类评分人员的评分结果重要性不同，所以需要对其赋予一定权重。由于系统使用人员是系统的真实使用者，具有最直接、最真实的使用体验，其评价结果也最为可靠，因此，本文推荐系统使用人员评分权重为0.5；测评人员对系统的使用频率一般没有用户的使用频率高，且只关心部分功能，但由于测评人员更具有全局观，往往能得到比较广泛的、多方面的该系统的建设效果的信息，因此，本文推荐测评人员评分权重为0.15；专家是信息技术领域的专业人员，一般为外请，虽然不是直接使用者，但具有丰富的专业知识，因此，本文推荐专家评分权重为0.15。

接下来，计算各指标最终权重得分=该系统使用人员评分×0.5+测评人员评分×0.35+专家评分×0.15。

然后，计算权重得分：该级指标下各下一级指标得分相加求和，再对结果进行归一化。

最后，计算系统的风险评估得分：该系统各级指标得分分别与该指标的权重相乘，再将结果相加，即得到该系统的风险评估得分。

为了简化评分结果，将三级权重的评价结果值省略，仅列出一、二级权重的得分结果如表2所示。

4）权重调整

建立了风险指标权重表后，我们通过实际的系统为例，验证以上权重的准确性。我们选取8个系统的风险等级测评结果，使用上述的指标权重对风险评估结果进行验证，将8个系统按照上述测评方法分项计算其得分，得到8个系统的风险评估得分，如表3所示。

我们将以上结果与我们使用传统方法对系统的测评结果做出比照，发现其中序号8系统的风险评估得分比实际情况有偏差，由此分析原因。对以上的权重分配进行调整，调整后的结果如表4所示。

按照调整后的权重结果从新计算序号8系统的风险评估得分，发现与实际情况较为吻合，因此确定该指标权重分配结果较之前的结果更加准确。在具体的测评过程中，需要根据系统的具体情况调整以上的权重，根据具体的业务需要，对上述权重进行多轮的讨论研究，最终确定各权重取值。系统的测评结果会更加客观，更能真实的反应出系统的实际情况。

5）评估过程

按照以上的方法，我们总结等级保护系统评估过程如图2所示。

5结束语

本文主要提供了一套完整的信息系统建设及使用效果评估方法。通过运用层次分析法构建指标体系及计算权重，结合日常使用人员、领导及专家三类人员评分，可以很好地对单个或者多个信息系统的建设及使用效果进行评分。目前通过对3家企业的信息系统评估，证明采用该指标体系和评分办法，收到了良好的效果。不仅如此，本指标体系和评估方法也为今后信息系统评估类软件的开发提供了良好的理论基础。

参考文献

[1]公安部.信息安全等级保护管理办法（试行）.2006.

[2]庞素琳.信用评价与股市预测模型研究及应用：统计学、神经网络与支持向量机方法[M].北京：科学出版社，2O05.

[3]FUS，ZHOUHJ.TheinformationsecurityriskassessmentbasedonAHPandfuzzycomprehensiveevaluation[c]//InternationalConferenceOnRiskManagement&EngineeringManagement.Beijing.IEEE，2008：404—409.

[4]黄剑雄，丁建立.基于模糊分析的信息系统风险灰色评估模型[J].计算机工程与设计，2012，33（4）：1285—1289.

[5]高阳，罗军舟.基于灰色关联决策算法的信息安全风险评估方法[J].东南大学学报（自然科学版），2009，39（2）：225—229.

[6]刘向升，王刚.信息系统的风险评估方法研究[J].网络安全与技术，2006（11）.

[7]KANGHai—gui，ZHAIGeng-jun，LIUXiang-bin.Structurefuzzyoptimumdesignofoffshorejacketplatforms[C]//ISPOE一2001.Stavaiger，Nonway：[s.n.].2001：114—118.

[8]朱继锋，赵英杰，杨贺，张升波.等级保护思想的演化[J].学术研究，2O11，7O-73.

基金项目：

由适用于重要信息系统的产品安全性检验平台项目（编号：C13383）支持。

作者简介；