信息安全风险评估试点工作面面观：信息安全风险评估国家标准简述

2005年2月至2005年9月期间，国信办下发通知和《信息安全评估试点工作方案》，要求分别在银行、税务、电力等重要信息系统以及北京市、上海市、黑龙江省、云南省等地方的电子政务系统开展信息安全风险评估试点工作。 几个月来，试点单位积累了哪些经验，又发现了哪些不足，2005年12月16日，作为一次研讨性质的总结会“中国信息安全风险评估现状与展望高峰论坛”在京举行，与会的专家、学者、国家基础信息网络和重要信息系统风险评估试点单位的负责人纷纷表示，开展信息安全风险评估工作是社会发展和科技进步的必然要求，它将为推动我国信息安全保障工作的全面开展，进而为保障我国信息化建设的顺利实施产生深远的影响，但风险评估作为一种新的理念还需要人们去认同，作为一种方法论还需要人们去研究和把握，作为一种管理措施还需要主管部门大力推进。 在交流经验的过程中寻找不足之处，在不同的期待声中谋求一条共同的发展之道，作为此次大会的特别支持媒体。这是我们策划此次特别报道的初衷，同时希望通过刊登这组文章，对我国的信息安全风险评估工作，起到积极的推动作用。[编者按]     

信息安全风险评估在构筑信息安全保障体系中的作用与地位

近年来,我国面临的信息安全形势十分严峻,对信息安全的保障需求日益提高,从而加大了对信息安全保障体系建设的迫切性。其中,作为衍生于信息安全保障体系建设过程中,又指导着信息安全保障工作开展的信息安全风险评估理论和实践,既是一个重要手段和补充,又是一个安全评估在信息技术领域应用的崭新领域。如何利用信息安全风险评估构筑信息安全保障体系,成为当前信息安全保障工作的重要课题。文章主要从信息安全需求、信息安全保障过程中实际存在的困难以及信息安全风险评估的理论等三个方面的论述,并针对信息安全风险评估在构筑信息安全保障体系中的作用与地位的问题展开探讨和研究,最后阐述了信息安全风险评估的实践理论对信息化安全保障工作的启示意义。     

浅谈信息安全风险评估在信息化建设中的作用

现代社会、大型企业对信息系统的强烈依赖已经成为信息化过程中重大问题,信息化过程中已经暴露的和潜在的信息安全问题已经成为制约信息化发展的关键问题,那么如何有效发现、控制、解决信息安全问题就成为信息化建设的重中之重,而信息安全风险评估就是信息安全工作有的放矢的基本保证措施之一,是风险管理的有机组成部分,是企业内控要求的基本内容之一。     

信息安全风险评估:既要勇于探索,又需谨慎前行

从去年开始，国信办组织了8个试点单位在试点单位所主管或运营的部分网络和信息系统中，围绕不同环节，开展了一次信息安全风险评估试点工作。为了做好试点工作，在国信办安全组领导下，组建了由信息安全主管部门代表和一批业界专家组成的信息安全风险评估课题组，课题组秘书处设在国家信息中心，同时委托国家信息中心牵头负责试点的具体工作，同时明确了课题组的三项任务：进一步完善“全国信息安全风险评估工作意见”，开展信息系统安全风险评估试点，做好信息安全风险评估宣传。     

对信息安全风险评估中几个重要问题的认识

《国家信息化领导小组关于加强信息安全保障工作的意见》中,提出了要实行信息安全等级保护,并在其中强调,要重视信息安全风险评估工作。2004年1月召开的全国信息安全保障工作会议则进一步深化了对信息安全风险评估工作的要求,将其列为当前需要务必抓好的五方面工作之一,并作了明确部署,要求“开展信息安全风险评估和检查,抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。”     

国家信息安全风险评估工作历程

国务院信息化工作办公室网络与信息安全组（以下简称国务院信息办安全组）为落实中办发2003[27]号文件的要求，于2003年7月23日决定委托国家信息中心组建成立“信息安全风险评估课题组”，对信息安全风险评估工作的现状进行全面深入了解，提出我国开展信息安全风险评估的对策和办法，为下一步信息安全的建设和管理做准备。     

正确认识和理解信息安全风险评估工作--在信息安全风险评估宣贯会的讲话摘要

国家网络与信息安全协调小组第五次会议研究了信息安全风险评估问题,审议通过了《关于开展信息安全风险评估工作的意见》。这是我国信息安全保障工作中的一件大事,对于提高我国信息安全保障工作水平,建设国家信息安全保障体系具有重要意义。     

信息安全的风险评估及其应用分析

在信息时代的大环境背景下,社会经济科技文化方面都有了飞速发展。但是接踵而来的却是信息安全方面的严峻挑战。据统计,仅仅在互联网领域,每年因信息安全问题造成的损失为数千亿美元。而涉及国防军事领域,信息泄露等信息安全问题所造成的损失更是难以简单用金钱来进行计算的。21世纪是蓝色海洋的时代,海军的发展已经成为军队建设的重中之重。舰船本身属于高度电子化和信息化的武器装备,其装备信息安全的研究是当前的迫切需要。本文将着重介绍舰船装备信息的安全风险评估及其应用。     

信息安全风险评估在信息安全体系建设中的应用分析

计算机网络和信息系统存在大量的安全隐患,通过风险评估及早发现安全隐患并采取相应的加固方案成为信息安全保障建设必不可少的一部分。本文介绍了开展风险评估的必要性、时机的选择,以及风险评估的内容和开展风险评估应遵循的原则。     

浅谈信息安全风险评估中明确安全目标的重要性

当前,对大型能源企业而言,由于信息化的不断深化,IT系统的应用规模和应用水平不断提高,企业日常的生产、经营、管理已经开始大规模深度依赖信息系统,因此信息系统的安全稳定运行就变得异常重要：作为安全保障体系的基础性工作,     

强化信息安全风险评估工作--当前信息安全工作的客观需要和紧迫需求

信息安全风险评估是指依据国家有关政策法规及信息技术标准，对信息系统及由其处理、传输和存储信息的保密性、完整性和可用性等安全属性进行科学，公正的综合评估的活动过程。它要评估信息系统的脆弱性，信息系统面临的威胁以及脆弱性被威胁源利用后所产生的负面影响，并根据安全事件发生的可能性和负面影响程度来识别信息系统的安全风险。     

关于推进我国信息安全风险评估的思考

信息安全风险评估是信息安全保障体系中的重要环节,本文列举了信息安全风险评估中的主要问题,并针对开展此项工作提出了对策和建议。     

关于信息安全风险评估的研究

文章从信息安全风险评估的概念入手，点出了开展信息安全风险评估的意义，着重论述了信息安全风险评估的模型、方法和手段。     

黑龙江:启动信息安全风险评估工作的几点建议

信息安全风险评估是信息安全保障的基础性工作和重要环节。开展风险评估工作，是贯彻落实《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）的重要举措。     

煤矿工业互联网信息安全风险评估

针对煤矿工业互联网信息安全防护手段多应用于较小区域、难以对整体信息安全风险进行评估的问题,提出了一种基于静态和动态2个维度的煤矿工业互联网信息安全风险评估方法。该方法根据《信息安全技术网络安全等级保护基本要求》及GB/T 34679—2017《智慧矿山信息系统通用技术规范》,对煤矿信息系统已实施的安全防护条例进行特征化转换,建立各系统中安全防护要求的关联系数矩阵,进而计算出系统实际实施的安全防护条例数量;再结合威胁发生数和发生更高级风险的概率,建立安全风险评估模型,进而对煤矿工业互联网进行信息安全风险评估。测试结果表明,该方法能有效评估煤矿工业互联网信息安全状况,指导煤矿企业进行信息安全风险分析、安全防护规划设计及实施,从而降低煤矿工业互联网信息安全风险。     

信息安全等级保护和风险评估的关系研究

等级保护和风险评估的宏观联系信息安全等级保护制度作为我国信息安全保障体系建设的一项基本制度,它的总体目标是为了统一信息安全保护工作,提高我国信息安全建设的整体水平;通过充分调动国家、法人和其他组织及公民的积极性,发挥各方面的作用,达到对信息和信息系统重点保护和有效保护的目的。等级保护工作的核心是对信息安全分等级,按标准进行建设、管理和监督。     

信息安全风险评估的问题及对策

信息系统的安全风险，是指由来自人为的与自然的威胁，利用系统存在的脆弱性造成的安全事件发生的可能性及其可能造成的影响?而信息安全风险评估则是指依据国家有关信息技术标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评估的活动过程。它要评估信息系统的脆弱     

基于云计算模式的信息安全风险评估研究

该文介绍了云计算的概况和面临的安全威胁,结合传统信息安全风险评估工作,分析了云计算信息安全风险评估中需要考虑的评估指标,重点论述了信息资产评估识别过程,给出了基于云计算的信息安全风险定量计算方法。     

信息安全风险评估工具的设计与实现

文章基于典型的风险评估流程给出了一个有效的风险评估辅助工具的设计方案。该方案中,根据风险评估涉及要素多、过程复杂、不易实施等特点设计了内容丰富的信息库,包括了资产、威胁和脆弱点的分类及分级等重要信息,使用户可有效地对要素进行识别和赋值。同时,方案的设计能够为识别出的威胁提供控制措施,并在评估的最后,按照矩阵法对系统风险值进行计算,使用户清晰地了解信息系统安全状况,并采取有效的控制措施。     

信息安全风险评估的定量与定性分析方法

在信息安全领域，时信息系统进行风险评估十分重要．其最终目的就是要指导决策者在“投资成本”和“安全级别”这两者之间找到平衡，从而为等级优化的资产风险制定保护策略和缓和计划。本文基于BS7799的结构特点阐述了定性与定量的分析方法在风险评估过程中的应用。