謹(jǐn)防風(fēng)險評估的風(fēng)險

風(fēng)險評估的風(fēng)險

電力系統(tǒng)在開展信息系統(tǒng)安全評估的初期階段,出現(xiàn)過一些問題。有的用戶單位沒有與評估廠家簽定保密協(xié)議,評估廠家拿著評估報告到處進(jìn)行宣傳,甚至有的地址還在上面,安全風(fēng)險評估反而造成新的風(fēng)險,即所謂“評估的風(fēng)險”。

有的單位在進(jìn)行安全風(fēng)險評估過程中,造成應(yīng)用系統(tǒng)停機(jī),影響正常業(yè)務(wù)。主要是對在線系統(tǒng)進(jìn)行漏洞掃描引起的。

有的單位沒有進(jìn)行日常的自我安全評估,完全依賴外部的安全風(fēng)險評估,評估追求形式、走過場,評估后沒有進(jìn)行修改完善。也有的單位自我感覺良好,害怕安全評估給自己找麻煩,或諱疾忌醫(yī),拒絕進(jìn)行正規(guī)的安全評估。

針對這些問題,國家電力公司組織制定了電力二次系統(tǒng)即由電網(wǎng)和電廠的計算機(jī)監(jiān)控系統(tǒng)及調(diào)度數(shù)據(jù)網(wǎng)絡(luò)構(gòu)成的一個綜合負(fù)責(zé)的系統(tǒng)安全評估規(guī)范,建立了以日常自評估為主、周期性專業(yè)評估為輔的制度,逐步培養(yǎng)起一批既熟悉電力系統(tǒng)應(yīng)用,又有安全評估經(jīng)驗的可靠的專業(yè)評估隊伍,形成了良好的安全評估秩序。

風(fēng)險評估的原則

電力信息系統(tǒng)的風(fēng)險評估需按如下原則進(jìn)行:標(biāo)準(zhǔn)的遵從、評估的完整性、評估過程的低風(fēng)險、以及評估的實用性。

參照ISO/IECTR13335標(biāo)準(zhǔn)系列和BS7799的要求，制定網(wǎng)絡(luò)系統(tǒng)安全評估方案，方案包括了評估的主要步驟、技術(shù)內(nèi)容和實施管理。

按階段評估分為:評估啟動階段、安全風(fēng)險評估階段、風(fēng)險分析階段和提出安全建議階段.評估的每個階段又由不同的工作活動組成。

評估工作的主要內(nèi)容為現(xiàn)場風(fēng)險評估，包括資產(chǎn)統(tǒng)計、A脅分析、漏洞發(fā)現(xiàn)、人工評估等，安全風(fēng)險評估工作的所有內(nèi)容圍繞現(xiàn)場風(fēng)險評估展開。

圖：風(fēng)險評估實施流程圖

電力系統(tǒng)信息資產(chǎn)統(tǒng)計包括對評估范圍內(nèi)的所有有形和無形資產(chǎn)的統(tǒng)計，以及對這些資產(chǎn)的標(biāo)識和其具有的價值和影響的半定量化的估算。

漏洞掃描通過一系列的掃描工具對信息系統(tǒng)中的漏洞進(jìn)行發(fā)現(xiàn),確認(rèn)系統(tǒng)中的脆弱點(diǎn)數(shù)量和嚴(yán)重性。

威脅分析通過對網(wǎng)絡(luò)系統(tǒng)歷史上受到的攻擊和危害的統(tǒng)計和判斷，結(jié)合國際公認(rèn)的威脅列表，以及系統(tǒng)環(huán)境分析，確定對當(dāng)前系統(tǒng)最大的威脅來源。

策略文檔分析主要是對網(wǎng)絡(luò)系統(tǒng)中已制定和先采用的策略文檔進(jìn)行安全性分析、完整性分析和有效性分析，通過分析發(fā)現(xiàn)現(xiàn)有策略中的漏洞和確定策略體系的完整性。本部分的工作可以先期展開。

審計和策略訪談主要是按照BS7799中對信息安全管理的要求分級別、分角色、分類對調(diào)度系統(tǒng)管理人員進(jìn)行信息安全的調(diào)查，以確定網(wǎng)絡(luò)系統(tǒng)中涉及到的管理漏洞、人員安全意識等問題。其中，包括了對業(yè)務(wù)系統(tǒng)的跟蹤分析和對現(xiàn)有策略執(zhí)行情況的調(diào)查。

評估總結(jié)是對現(xiàn)場工作的匯報和情況總結(jié)，包括數(shù)據(jù)的初步整理、審核和確認(rèn)。