您的位置: 铁岭资讯网 > 科技

网络信息系统风险评估四步走

发布时间:2019-10-09 13:22:12

今日,信息化得到了充分的发展,社会的运作也越来越依赖于信息技术和信息系统,信息资产也成为了每个企业的核心,网络信息系统在企业中的作用愈加重要。然而,众所周知的是,系统的一些固有缺陷和技术不足,使得攻击、泄密、破坏等等安全事件时有发生,给企业带来损失。

可惜的是,大多数企业的系统管理人员以及决策者,对于这样的安全风险甚少有意识,往往只能在事件发生后,捶胸顿足、哀声长叹。即使,有部分具有前瞻眼光的决策者,察觉到了风险的可怕,却也缺少一种科学的分析方法,对于核心业务流程的风险更缺乏严格的评估、量化和分析。

正因为如此,对于网络信息系统的风险评估是大势所趋。所谓风险评估,就是参照风险评估标准和管理规范,对资产、威胁、薄弱环节和已采取的防护措施等进行分析,判断安全事件发生的概率、可能造成的损失以及预防需要花费的成本,最终得到一个量化的数据报表,指导企业去合理地投入资源,有效地规避风险。

最近,上海冰峰网络技术有限公司帮助几个行业的10多个大客户作了一次风险评估,采用动态的四步走方式,前后总计2个多月的时间,取得了良好的效果。

第一步,深刻理解风险

风险是由于系统存在的脆弱性、人为或自然的威胁导致安全事件发生的可能性及其造成的影响,这是标准的解释,也是企业直观的认知。

但,我们应该知道,“认知”和“理解”之间有着很大的差距。认知停留于表面,理解才是深入。对于风险,仅仅做到认知是不够的,彻底的理解才能找到问题的关键。

比如,管理员都知道,数据库服务器、网关设备、核心交换机等等的宕机,会引起整个网络系统的瘫痪,给企业造成重大损失。于是,不少管理员实施了备份机制,防范于未然。但大多数企业,限于预算,是不会采取任何措施的。也因为他们存在侥幸心理,认为这种宕机机率是微乎其微的。

这就是依然停留在了认知阶段,知道什么是风险以及后果,也会采取一定的措施。可是,并没有深入的去理解,不了解风险发生的概率值,不明白事件带来损失的具体数量级,也就无从谈起采取合适成本的控制手段。

准确的说,理解风险,就是要对风险的方方面面都很清楚。风险是潜在的,也可能是显性的;风险会转移,也可能会消失;发现风险,并不一定要去控制或者去消除它,因为投入有时会远远超过潜在的损失,这就不值得去做了;小概率的风险,也必须要重视甚至大投入地去控制它,因为一旦发生安全事件带来的损失可能是致命的。

在实际的项目过程中,对于如何理解风险,冰峰网络的咨询顾问主要采用了培训的方式。针对一线的系统使用人员,强调风险意识以及对规章制度的遵守;对于管理人员,强调发现风险的意识和量化风险的能力;而对于决策者,更多的是告诉他们该如何控制预算和成本。

第二步,识别分析风险

识别分析风险,使用最多的还是定量和定性分析的方法。

定量分析,是一种量化的分析方法,它对构成风险的各个要素和潜在损失赋值,要素包括资产价值、威胁频率、弱点利用程度、安全措施的效率和成本等。当这些风险相关特性都被赋值了,风险评估的整个过程和结果也就被量化了。事实上,定量分析就是试图从数字上对安全风险进行分析评估的一种方法。

如冰峰咨询顾问在项目中发现,某公司的网络系统的一个重大威胁是断电。一旦断电发生,业务损失程度估算是10%。根据以往经验,每月意外或有意的断电总体时间会在0.5个小时左右,其中发生在上班时间的概率是80%(ARO,年度发生率)。该公司全年业务总额为6000万人民币。基于以上数据,我们可以估算出的ALE(年度损失期望)。

即ALE={6000/(235*8)}*(0.5*12)*80%*10%=1.53万,其中,235为每年实际工作天数,8为每天工作时间,12指一年总共有的月份。

可以看出,因为断电引起的损失每年会在1.5万左右。而假设一个UPS系统的使用寿命是5年,那么为了避免损失,至少可以拿出5*1.5=7.5万的费用投资。一般而言,这样的投入可以建立一个很好的后备电源系统,不但能符合该公司的需求,也能为其规避风险。

通过定量分析可以对安全风险进行准确的分级,但必须是有非常准确的可供参考的数据为前提的。这样的数据是需要长期的统计,所以定量分析所依据的数据的可靠性是很难保证的,这就带来了一定困难。因此,最普遍的做法是定量和定性的配合。

定性分析与定量分析的区别在于,不再向资产分配难以确定的财务价值、预期损失和控制成本,取而代之的是计算相对值,如“高”、“中”、“低”等。通过调查表和合作研讨会的组合形式进行风险分析,涉及来自企业内各个部门的人员。操作方法可以多种多样,包括小组讨论、调查问卷、检查列表、人员访谈等。

评估人员通常准备好控制措施方案,参与到各个环境,以便各部门考虑成本,最后结果统一分析。定性分析带有很强的主观性,往往需要凭借分析者的经验和直觉,或者业界的标准和惯例。

如,某公司的业务不断扩展,分支机构越来越多。原先使用拨号方式接入公司内部网络系统,是他们主要的方式。这种方式,数据被窃密的可能性处于“低”的相对值,然而对于其业务而言,一旦失密的后果是整体的崩溃,损失会在数千万。那么,此种情况下,投入一个合适的VPN设备值得的。因为,前期该公司已经购入了冰峰的VPN,考虑到引入其他厂商的产品可能存在的风险,他们是乐意在以后的项目中继续和冰峰网络合作。

总的来说,分析风险,就是要评估人员凭项目经验,结合两种不同的分析方法,非常精确给出详细的报告。

第三步,控制防范风险

在进行风险分析并计算出大致成本,同时对投入产出已经有了明确的认识后,控制防范风险就是最重要的行动。相对而言,这一步是比较轻松的了。前面的分析得已经明确的计算出了损失和成本,到此只是需要决策者的支持和决心。

控制风险,最重要的就是选择合适的供应商,选择合适自己的解决方案。

另外,不可否认的是,新的系统的引入,会带来新的风险,这是无法避免的。在控制防范过程中,一定要注意分析评估新系统的风险,同样的也是使用定量和定性结合的方式。

第三步中的评估,是要参照前一步中一些相关数据,有时我们甚至会改变前一步分析时的一些赋值。这样做往往引起全局分析结果的变化,我们常会无奈的发现,原先成本可以接受的措施,已经变得不值得投入。或者,一些措施带来的风险更重于引入该措施之前。

于是,不得不在两份或多份报告中选择,找到一个最优化的结果。这也证明,风险是不可能完全规避的,明确的目标就是控制风险在一个可接受的范围内。

第四步,持续管理风险

持续管理风险,是一个企业面向未来的策略。风险的存在是会随着时间的推移、环境的变化而不断变化,持续管理就是要紧随这种变化。与其他的项目不同,网络信息系统的风险,自从网络部属于企业那天起,就伴随着企业的一生。除非企业不再使用网络,否则风险一直存在且变化万千。

建立持续管理策略,就是在企业网络信息系统中,不间断地进行评估。持续管理的步骤是一种基于PDCA循环的系统化问题解决方法,即计划(Plan)、实施(Do)、检查(Check)、改进(Action)这样四个进程。通常,按阶段进行,观察每个阶段的整体情况。

结语

作为网络信息安全的重要组成,风险评估的重要性毋容置疑,只有准确地进行了评估,才能对症下药、有的放矢。在评估过程中,这种四步走的方式,体现了一种动态。这也从另一方面证明了,信息安全是长期的、艰难的,企业必须要有打“持久战”的准备。

那对企业而言,必须寻找那种值得信任的长期合作伙伴来帮助他们。在这方面,冰峰网络一直在努力做的更好。相信未来,会有越来越多的企业接受这种动态评估的概念。

张掖治疗睾丸炎费用
浙江好的妇科医院
三明治疗阴道炎费用
张掖治疗睾丸炎医院
浙江治疗白带异常方法
猜你会喜欢的
猜你会喜欢的