- 相關(guān)推薦
信息安全的風(fēng)險(xiǎn)評(píng)估論文
隨著科技信息化的發(fā)展，信息安全問題成為信息系統(tǒng)最重要的問題之一。信息安全風(fēng)險(xiǎn)評(píng)估是建立信息系統(tǒng)安全體系的基礎(chǔ)，能有力保障信息系統(tǒng)的安全性，促進(jìn)國家信息化的發(fā)展。該文將對(duì)我國信息安全的風(fēng)險(xiǎn)評(píng)估問題進(jìn)行探討，并對(duì)信息安全風(fēng)險(xiǎn)評(píng)估的相關(guān)問題提出相應(yīng)對(duì)策。
信息產(chǎn)業(yè)的迅猛發(fā)展，使得信息化技術(shù)成為社會(huì)發(fā)展的必要組成部分，信息化技術(shù)為國民經(jīng)濟(jì)的發(fā)展注入了新鮮的活力，更加速了國名經(jīng)濟(jì)的發(fā)展和人民生活水平的提高。當(dāng)然，人們?cè)谙硎苄畔⒓夹g(shù)帶來的巨大便利時(shí)，也面臨著各種信息安全問題帶來的威脅。這種信息安全事件帶來的影響是惡劣的，它將造成巨大的財(cái)產(chǎn)損失和信息系統(tǒng)的損害。因此，信息系統(tǒng)的安全問題不得不引起社會(huì)和民眾的關(guān)注，完善信息系統(tǒng)的安全性，加強(qiáng)信息安全的風(fēng)險(xiǎn)評(píng)估成為亟待解決的問題。
1 信息安全風(fēng)險(xiǎn)評(píng)估概述及必要性
1.1 信息安全風(fēng)險(xiǎn)評(píng)估概述
首先，信息安全風(fēng)險(xiǎn)，主要是指人為或自然的利用信息系統(tǒng)脆弱性操作威脅信息系統(tǒng)，以導(dǎo)致信息系統(tǒng)發(fā)生安全事件或造成一定消極影響的可能。而信息安全風(fēng)險(xiǎn)評(píng)估簡單的理解，就是以減少信息安全風(fēng)險(xiǎn)為目的通過科學(xué)處理信息系統(tǒng)的方法對(duì)信息系統(tǒng)的保密性、完整性進(jìn)行評(píng)估。信息安全風(fēng)險(xiǎn)評(píng)估工作是一項(xiàng)保證信息系統(tǒng)相對(duì)安全的重要工作，必須科學(xué)的對(duì)信息系統(tǒng)的生命周期進(jìn)行評(píng)估，最大限度的保障網(wǎng)絡(luò)和信息的安全。
1.2 信息安全風(fēng)險(xiǎn)評(píng)估的必要性
信息安全評(píng)估是為了更好的保障信息系統(tǒng)的安全，以確保對(duì)信息化技術(shù)的正常使用。信息安全風(fēng)險(xiǎn)評(píng)估是信息系統(tǒng)安全管理的必要和關(guān)鍵的環(huán)節(jié)，因?yàn)樾畔⑾到y(tǒng)的安全管理必須建立在科學(xué)的風(fēng)險(xiǎn)評(píng)估基礎(chǔ)上，科學(xué)的風(fēng)險(xiǎn)評(píng)估有利于正確判斷信息系統(tǒng)的安全風(fēng)險(xiǎn)問題，提供風(fēng)險(xiǎn)問題的及時(shí)解決方案。
2 信息安全風(fēng)險(xiǎn)評(píng)估過程及方法
信息安全風(fēng)險(xiǎn)的評(píng)估過程極其復(fù)雜和規(guī)范。為了加強(qiáng)我國信息安全風(fēng)險(xiǎn)評(píng)估工作的開展，這里有必要對(duì)風(fēng)險(xiǎn)評(píng)估的過程和方法給予提示和借鑒。風(fēng)險(xiǎn)評(píng)估的過程要求完整而準(zhǔn)確。具體有如下步驟：
1)風(fēng)險(xiǎn)評(píng)估的準(zhǔn)備工作，即要確定信息系統(tǒng)資產(chǎn)，包含范圍、價(jià)值、評(píng)估團(tuán)隊(duì)、評(píng)估依據(jù)和方法等方面。要明確好這些資產(chǎn)信息，做好識(shí)別。2)對(duì)資產(chǎn)的脆弱性及威脅的識(shí)別工作，這是由于信息系統(tǒng)存在脆弱性的特點(diǎn)，所以要周密分析信息系統(tǒng)的脆弱點(diǎn)，統(tǒng)計(jì)分析信息系統(tǒng)發(fā)生威脅事件的可能性以及可能造成的損失。3)安全風(fēng)險(xiǎn)分析，這是較為重要的環(huán)節(jié)。主要是采用方法與工具確定威脅利用信息系統(tǒng)脆弱性導(dǎo)致安全事件發(fā)生的可能性，便于決策的提出。4)制定安全控制措施，主要有針對(duì)性的制定出控制威脅發(fā)生的措施，并確認(rèn)措施的有效性，最大限度的降低安全風(fēng)險(xiǎn)，確保信息系統(tǒng)的安全。5)措施實(shí)施的階段，主要是在有效監(jiān)督下實(shí)施安全措施，并及時(shí)發(fā)現(xiàn)問題和改正。
對(duì)于信息安全風(fēng)險(xiǎn)評(píng)估的方法，國內(nèi)外進(jìn)行了很多不同的方法嘗試。方法一般都遵循風(fēng)險(xiǎn)評(píng)估的流程，只是在手段和計(jì)算方法上有差異，但是分別都有一定的評(píng)估效果。主要采用：定性評(píng)估、定量評(píng)估、以及定性與定量相結(jié)合的評(píng)估，最后的方法是一個(gè)互補(bǔ)的評(píng)估方式，能達(dá)到評(píng)估的最佳效果。
3 我國信息安全風(fēng)險(xiǎn)評(píng)估發(fā)展現(xiàn)狀
較美國等西方國家關(guān)于信息安全系統(tǒng)風(fēng)險(xiǎn)評(píng)估的發(fā)展歷史和技術(shù)研究，我國起步比較晚且落后于發(fā)達(dá)國家。但近年來，隨著社會(huì)各界對(duì)信息系統(tǒng)安全的重視，我國開始在信息系統(tǒng)安全管理工作上加大力度，并把信息系統(tǒng)的安全評(píng)估工作放在重要的位置，不斷創(chuàng)新研究，取得了高效成果。但是，就我國目前的信息安全風(fēng)險(xiǎn)評(píng)估工作看來，還存在諸多問題。
1)我國部分企業(yè)、組織和部門對(duì)于信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估沒有引起絕對(duì)的重視，沒有大力普及風(fēng)險(xiǎn)評(píng)估工作。由于領(lǐng)導(dǎo)者及員工的信息安全防范意識(shí)不強(qiáng)以及自身素質(zhì)水平的影響，導(dǎo)致對(duì)風(fēng)險(xiǎn)評(píng)估的流程及必要性都不了解，就不太重視對(duì)企業(yè)信息系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估工作。
2)我國缺乏信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的規(guī)范化標(biāo)準(zhǔn)。我國目前的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估工作的開展，大部分依靠參考國際標(biāo)準(zhǔn)提供服務(wù)，只注重效仿，而缺乏對(duì)我國信息系統(tǒng)安全風(fēng)險(xiǎn)的實(shí)際狀況的研究，沒有針對(duì)性，得不到應(yīng)有的效果。
3)我國缺乏行之有效的理論和技術(shù)，也缺乏實(shí)踐的經(jīng)驗(yàn)。由于科技水平的相對(duì)落后，對(duì)于信息系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估缺乏合適的理論、方法、技術(shù)等。我國僅依靠深化研究IT技術(shù)共性風(fēng)險(xiǎn)，而沒有針對(duì)性的行業(yè)信息個(gè)性風(fēng)險(xiǎn)評(píng)估，這是沒有聯(lián)系實(shí)際的舉措，是不能真正將信息系統(tǒng)的安全風(fēng)險(xiǎn)評(píng)估落實(shí)到位的。
4)在對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)的額評(píng)估中角色的責(zé)任不明確。這應(yīng)該歸咎于領(lǐng)導(dǎo)的和員工的不符責(zé)任及素質(zhì)水平的落后。對(duì)風(fēng)險(xiǎn)評(píng)估理論缺乏，那么就會(huì)導(dǎo)致參與評(píng)估工作領(lǐng)導(dǎo)和員工角色不明確，領(lǐng)導(dǎo)對(duì)評(píng)估工作的指導(dǎo)角色以及責(zé)任不明確，員工則對(duì)評(píng)估工作流程方法不理解，都大大降低了風(fēng)險(xiǎn)評(píng)估的工作效率。
以上種種關(guān)于信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的現(xiàn)狀問題反映出我國在對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的工作還缺乏很多理論和實(shí)踐的指導(dǎo)。我國的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估工作的開展力度還遠(yuǎn)不夠，那些在信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估工作的成果還遠(yuǎn)遠(yuǎn)達(dá)不到評(píng)估工作的標(biāo)準(zhǔn)。
4 強(qiáng)化信息安全風(fēng)險(xiǎn)評(píng)估的對(duì)策
4.1 加強(qiáng)對(duì)信息安全風(fēng)險(xiǎn)評(píng)估的重視
信息化技術(shù)對(duì)于每一個(gè)企事業(yè)單位都是至關(guān)重要的，企業(yè)在對(duì)工作任務(wù)的執(zhí)行和管理中都必須用到信息化技術(shù)，因此，保證信息系統(tǒng)的安全性對(duì)于企業(yè)的發(fā)展至關(guān)重要。企業(yè)、組織和部門要加強(qiáng)對(duì)信息安全風(fēng)險(xiǎn)評(píng)估的重視，強(qiáng)化風(fēng)險(xiǎn)意識(shí)，將信息安全風(fēng)險(xiǎn)評(píng)估作為一項(xiàng)長期的工作來開展。
4.2 完善我國信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的規(guī)范化標(biāo)準(zhǔn)
上文中指出我國目前的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估工作大部分依靠國際標(biāo)準(zhǔn)在進(jìn)行，國內(nèi)沒有一個(gè)統(tǒng)一的評(píng)估標(biāo)準(zhǔn)。因此，我國應(yīng)該根據(jù)企業(yè)各種標(biāo)準(zhǔn)的側(cè)重點(diǎn)，自主創(chuàng)新研究，創(chuàng)造出自己的標(biāo)準(zhǔn)技術(shù)體系，而不再一味的去效仿他國。只有這樣，我國的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估才能得到迅猛的提高與發(fā)展，才能保證國家信息化的安全。
4.3 加強(qiáng)對(duì)評(píng)估專業(yè)人才的培養(yǎng)
信息化技術(shù)是一項(xiàng)非常專業(yè)的技術(shù)，只有擁有專業(yè)知識(shí)和技能的高科技人才才能控制和把握。信息安全風(fēng)險(xiǎn)的評(píng)估工作上則更需要擁有專業(yè)技能和業(yè)務(wù)水平的人才，他們必須對(duì)信息化技術(shù)相當(dāng)了解和精通，對(duì)風(fēng)險(xiǎn)評(píng)估的方法、手段、模型、流程必須熟練。因此，企事業(yè)單位要加強(qiáng)對(duì)專業(yè)人才的培養(yǎng)，定期進(jìn)行業(yè)務(wù)技能培訓(xùn)，鼓勵(lì)人才的自主學(xué)習(xí)，不斷提高自身的能力，為確保企業(yè)信息安全評(píng)估工作的高效發(fā)展及信息安全貢獻(xiàn)力量。
4.4 加強(qiáng)科技創(chuàng)新，增強(qiáng)評(píng)估的可操作性
我國的科技水平較西方國家有很大的差距，因此在對(duì)信息安全風(fēng)險(xiǎn)的評(píng)估工作中，也存在理論和技術(shù)上的差距。我國應(yīng)該不斷的加強(qiáng)科研力度，在理論和技術(shù)上加以完善，在評(píng)估工具上改進(jìn)，以確保評(píng)估工作的高效開展。信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估是一個(gè)過程體系，必須抓好每一環(huán)節(jié)的技術(shù)性，在依據(jù)實(shí)際狀況下進(jìn)行風(fēng)險(xiǎn)評(píng)估。
4.5 明確評(píng)估工作的職責(zé)劃分
信息安全風(fēng)險(xiǎn)評(píng)估工作是復(fù)雜的，每一個(gè)流程都需要投入一定的人力、物力和財(cái)力。針對(duì)人力這一方面，企業(yè)單位應(yīng)該明確劃分評(píng)估工作人員的職責(zé)范圍，管理者要發(fā)揮好領(lǐng)導(dǎo)監(jiān)督作用，有效指導(dǎo)評(píng)估工作的開展，員工則有效發(fā)揮自身的作用和能力。進(jìn)而在每一環(huán)節(jié)工作人員共同協(xié)作下，完成評(píng)估工作的各項(xiàng)流程，并達(dá)到預(yù)期的成效。
5 結(jié)束語
隨著我國信息技術(shù)水平不斷的進(jìn)步和提高，信息安全工作成為一項(xiàng)必須引起高度重視的工作之一。在當(dāng)前我國信息安全風(fēng)險(xiǎn)評(píng)估還不夠全面和科學(xué)的情況下，我國應(yīng)該加強(qiáng)科技創(chuàng)新，依靠科學(xué)有效的管理以及綜合規(guī)范的保障手段，在借鑒西方國家先進(jìn)理論和技術(shù)的同時(shí)結(jié)合我國企業(yè)單位信息安全風(fēng)險(xiǎn)評(píng)估的實(shí)際現(xiàn)狀，有針對(duì)性的實(shí)施有效方法，確保信息系統(tǒng)的安全性，進(jìn)而保證我國信息化的安全發(fā)展。
【信息安全的風(fēng)險(xiǎn)評(píng)估論文】相關(guān)文章：
關(guān)于模糊綜合的信息安全風(fēng)險(xiǎn)評(píng)估03-02
相似云下的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)評(píng)估論文11-27
研討壽險(xiǎn)公司的風(fēng)險(xiǎn)評(píng)估03-26
資產(chǎn)評(píng)估風(fēng)險(xiǎn)及其防范12-08
我國壽險(xiǎn)公司風(fēng)險(xiǎn)評(píng)估研究11-25
計(jì)算機(jī)信息安全論文05-21
信息安全管理論文06-21