IT系统信息安全风险不容忽视

IT系统信息安全风险不容忽视（精选9篇）

IT系统信息安全风险不容忽视 第1篇

IT系统信息安全风险不容忽视

【编者按】2011年至今，广东银监局共组织实施信息科技现场检查17次，发现辖内机构IT风险点120处，提出整改建议83条，通过督促整改，消除了一批风险隐患，降低了风险水平。辖内16家接受评级的法人机构2011信息科技风险评估结果显示，三级以上的机构增至14家，机构IT风险管理能力已有改观。但从今年的IT风险现场检查情况看，在风险水平总体下降的同时，辖内银行业金融机构信息安全风险管控状况不尽理想，仍需进一步改善。

一、银行业机构信息安全管理力度不足、风险隐患突出 2012年7月份以来，广东银监局组织了9场次信息科技风险现场检查，从检查情况看，辖内机构在信息安全管理方面存在的问题不容忽视：

（一）对核心信息的管控强度不足、控制结构混乱。检查发现：被查机构对应用系统源代码审核基本都不落实，显然“招行成都分行网银案”(代码漏洞)风险警示未被足够重视;多家机构对重要系统备份介质保管未实施双重控制，甚至有机构将电子银行系统关键密钥交由单人保管；网上银行客户端安全性保护未能达到《网上银行系统信息安全通用规范》（国标）要求;核心网络设备、运行管理系统等重要部件由多人共同使用超级用户；部分机构核心系统中，uucp、nfs等敏感闲臵用户未作删除，理论上有被利用于非法入侵可能；在对某机构测试环境检查时发现测试数据库中的海量生产数据未完全脱敏，且客户机可下载数据表，说明机构对敏感信息的控制强度不足。

（二）对银行终端设备管理较为松懈。中资机构对桌面系统、客户机的安全管理较松懈，基本没有效实施简约客户机模式。如工行、农行近年在改造桌面系统、限制移动接口等方面做过一些尝试，但从高层到普通员工的认同度都不高，至今难于推行，而内网客户机功能过强是很明显的风险点；在银行桌面系统中允许使用移动存储介质是普遍现状，而屏幕摄录日志并未覆盖所有内网机器；另外，大部分机构对内外网交叉连接也未实施有效限制。

（三）信息安全管理制度不全或执行不到位。今年7月，我局检查组在对某城商行现场检查中抽查了银行卡制卡机、后台权限管理客户机各一台，发现：（1）制卡机中存放有2000余条完整的客户制卡明码信息，如果外泄，有可能造成该行银行卡被批量克隆的严重后果，而监管部门之前的风险提示与整改建议未被认真对待；（2）后台管理客户机中有约20张账号、户名、印章齐全的高清支票照片，存在客户机中已超过一年，如外流，将直接威胁客户的账户安全。查阅该行数据管理制度未见有对上述类型信息作存期、获取、使用、销毁等限制性规定内容。

（四）信息安全控制措施的有效性存在疑问。某小型银行虽对内网机器作了移动接口监视，但未对移动存储介质带离银行进行严格管束，也未见该行有定期检查移动介质内容的记录或制定相关审核管控制度，管控方式存在漏洞，易于造成涉密信息外流。如：通过更改客户机、移动介质中的信息变动痕迹，即可使内网监视软件对信息流向的追踪失去目标、形同虚设。此外，对多家中小银行的检查显示，机构对客户机系统软件的安全控制一般只做到黑名单管理层面，未发现有采用更有效的白名单管理模式。

（五）外包流程可能产生信息安全风险隐患。小型机构对外包依赖性较强，但对外包的风险控制措施不到位。广东省局对多家中小型机构的现场检查发现，项目建设期间，外包方人员几乎掌握应用项目的所有信息，并被赋予很高的系统权限，外包协议规定外包商拥有项目建设的关键文档、参数、应用代码等核心信息，并可随时利用开发设备等完整带离机构。这种合作方式有形成“韩国农协行式信息科技风险”隐患可能。

（六）高管层对信息安全风险管控的认知不足。从访谈信息看，辖内银行业机构大部分CIO在信息安全风险识别、监测、控制等方面自我感觉良好，认为本机构信息安全不存在较大问题。但将现场检查、巡查、调查发现的信息对照《广东省银行业金融机构信息科技风险管理指导意见》要求的比较结果表明，当前在任CIO在知识背景、战略意识、对IT风险的认识深度、对监管法规的了解、所主持建立的IT风险防范措施有效性以及与监管部门的沟通能力等方面均存在差距，管理层的引领能力不尽理想。

二、信息安全管理风险突出的原因

（一）高层对信息科技风险管理定位不明确，导致资源配备错位。表现为：认为信息安全管理是科技部门的工作，将科技部门视为信息安全风险的主要管理者，既负责制度制定也负责执行、监督，信息安全风险责任由IT部门兜底；在部分设臵了CIO的机构，也因各种原因未能充分体现其作用。被查机构IT人力资源相对缺乏的现象普遍存在，IT员工比例基本都在5%以下，部分机构甚至不能确保基本的岗位配备需要，致使信息安

全岗位、人员的安排被忽视。

（二）内控系统不完善是引发信息安全问题的重要原因。机构高层对信息安全风险认识程度不够，没有采取恰当的风险管理战略，鲜有通过充分宣传、教育引导全员提高信息安全意识，形成健康的信息安全环境的行为，以致员工不清楚、不了解信息安全的含义，息安全意识淡薄，缺乏对信息安全风险的敏感性（客户机长期大量存放涉密信息可能导致其外泄等事实说明这一现象严重）；另外，内部管理制度、控制措施不完善或不适当，不能充分识别信息安全风险或及时发现、消除、有效控制风险点；内部信息交流不充分，监督纠偏制度不落实，信息安全责任不明确等也是较普遍的现象。

（三）过度依赖外包商导致银行机构未能主动控制外包风险。部分机构认为出现设备、系统故障时可由外包商解决，而对外包商是否能及时、恰当解决问题或最大程度避免安全问题的出现认识不足，导致了对外包商选择、设备选型方面出现缺乏充分论证，流程不规范、对信息安全保护考虑不周的行为；此外，中小机构内部人员对核心系统的掌控能力不足，不得不向外包单位开放更高的系统控制权限，这也可能招致信息安全风险问题。当前，外包监管法规主要作粗线条规定，机构不易直接参照，致其内部制度难以清晰界定如何识别外包风险程度、范围是外包流程管理中风险控制被动的另一原因。

（四）法规支撑力度较弱，影响信息科技监管的有效性。首先，因当前信息科技风险监管因素基本不影响其考核、评级，银行业机构往往将IT监管行为视为“免费体检”，消极应付。对监管意见的执行较随意，不利于IT风险管理环境的改善和整

体风险水平的降低，使信息科技风险监管的作用大打折扣；其次，对信息安全设施、控制措施的审查未予以足够重视，深层次的银行核心信息系统安全与风险控制能力审核、评估过程更未出现在准入流程之列。

三、对策建议

（一）督促机构管理层正视信息科技风险管理。一是建议监管部门定期剖析、通报典型案例，必要时要求机构针对案例进行专项对照自查并提交报告；二是由监管部门负责人对发生信息科技风险事件的、在现场检查中被发现存在重大风险隐患的机构进行点名、警示，对机构管理层形成一定压力，促使其正视信息科技风险的防范；三是将信息科技风险管理评级结果作为机构高管履职评价的参考要素，务使管理层负起IT风险管理第一责任；四是对信息安全内部管理多次出现问题的机构，可考虑调降其内部控制评价等级，提高对其IT风险现场检查的频度；五是可考虑提升监管法规层次，加强监管约束，对IT风险相关内部控制结构混乱，制度无效或有章不循的现象以违规论处。

（二）强化内部控制，管控信息安全内部风险。信息系统已成为银行业重要生产平台，IT风险是很明确的新型风险，机构内部控制系统必需能对其充分识别与控制，防范信息安全风险应作为IT风险相关内控制度建设的基础。一是管理层应走出将信息安全管理认为是科技部门工作的误区，厘清信息安全风险管理边界，通过宣传、教育引导全员提高信息安全意识，形成健康的信息安全环境，使所有员工都了解信息安全的重要性，强化信息安全意识，提高对信息安全问题的敏感性；二是健全

内部管理制度与措施，充分识别并控制信息安全风险，明确信息安全管理责任，通过适当的内部控制结构、管理行为及时发现、有效控制、消除信息安全风险点；三是疏通内部信息交流渠道，加强部门交流、上下层级交流、内部审计与纵向、横向监督，确保管理层及时了解信息安全风险状况，落实纠偏制度。

（三）完善外包法规，防范信息安全外部风险。当前外包相关监管法规、文件对核心技术掌控、信息安全控制等关键事项的规定有待进一步细化。一是考虑加大对设备厂商和外包商风险事件的通报力度。由银监会或各监管局对信息系统风险事件涉及的设备厂商、设备型号、外包商进行定期通报，加强风险警示，督促厂商、外包商提高质量，与银行业机构共同缓释、控制风险。二是考虑增加对应用系统外包的安全控制条款。大型银行应用系统建设中，由科技人员分组管理局部模块，内部人员共同控制应用系统集成，不允许外包商掌握整体应用的做法是适当的风险控制方式。可参照这种思路，细化外包管理法规，如规定：系统模块、总集成管理边界；系统权限、关键信息控制方式；对外包软件开发中使用的设备、移动介质，以及数据脱敏、利用、存储、转移，销毁等进行管制；强制性代码审核要求等信息安全保护条款。三是考虑设定监管部门对外包商实行延伸检查的授权程序。外包商财务变化、人员变动、责权利不明确等因素，容易给银行信息系统管理带来风险。目前监管部门缺乏对外包商的延伸检查手段，不利于全面监测和管控信息科技风险，建议以部门规章形式设定信息科技监管部门对银行业IT外包商的延伸检查权，以进一步提高监管的有效性。

IT系统信息安全风险不容忽视 第2篇

息系统审计作为信息社会的安全对策，能有效地管理与信息系统有关的风险，从而确保信息系统的安全性、稳定性和有效性。

一、信息系统审计简介

“审计”一词起源于财务审计，人们比较熟悉的审计是对财务报表或会计账册的监督，好像和信息系统没有必然联系。但随着经济管理和科学技术的不断结合以及日益渗透，现代审计已经远远超出了仅对财务会计进行审查的狭窄范围，不断向管理领域和技术领域渗透。

信息技术的广泛应用使信息系统实际上已经成为企业及社会的中枢，在一定程度上左右着企业的命运。美国、日本等发达国家在信息化过程中率先意识到信息系统审计的必要性并对此进行了研究，目前已得到普及。在我国，虽然也早就提出了“计算机审计”的概念，但这种审计更多的是偏向于“利用计算机进行审计”。实际上我国的信息系统审计工作还处在摸索阶段。

信息系统审计是技术审计的一个典型，它实质上是对计算机软件、硬件及整个信息系统的审计，是指遵照普遍接受的信息系统审计标准和指南对信息系统及其应用的安全性、稳定性和有效性进行监测、评估和控制的过程，以确保预定的业务目标得以实现。

按国际上通行的规范，信息系统审计主要有6个方面的内容：评估信息系统的管理、计划与组织方面的策略、政策、标准、程序和相关实务；评估技术基础设施的管理和运行实践方面的有效性及效率，以确保其充分支持组织的业务目标；评估信息资源在逻辑访问、运行环境与信息技术基础设施的安全性，以确保其满足组织的业务需要，防止信息资产在未经授权的情况下被使用、披露、修改、损坏或丢失；评估系统灾难恢复与保证业务连续性的能力，以确保组织能持续进行业务营运；评估应用系统开发、实施与维护的方式、方法及过程，以确保其满足组织的业务需求；评估业务处理流程的风险管理水平，确保根据组织的业务目标对相应风险实施管理。

二、国税信息系统面临的风险

国税部门作为行政执法部门，信息系统的安全与否直接关系到为纳税人提供服务的质量和效率，社会的和谐与稳定，因此国税信息系统的安全保护显得越来越重要。近年来，以数据省级集中为标志的新一轮国税信息化建设已成效凸显，为国税系统优化纳税服务，加强科学管理提供了广阔的技术平台，直接带来了税收理念的更新，征管机制的创新、管理手段的提高，但在数据由分散到集中的同时，原来分散的风险也随之集中。在这种模式下，虽然安全性事故、灾难的发生频率可能大大降低，但其潜在的风险不容忽视。

1、运行环境方面的风险。数据集中后，通过采用更高端的设备、技术等措施提高了系统的安全系数，故障概率大大低于分散式数据管理模式。但是应清醒地认识到数据集中后，其安全影响的范围也呈几何级数增长，一旦发生故障，可能影响全局。因此，必须建设、保障一流的运行环境，不仅要考虑供电、温湿度、洁净度、抗电磁干扰、火灾等常规因素，还要考虑到地震、洪水等自然灾害的影响。

2、数据备份中心及应急恢复机制方面的风险。电子化程度越高的行业，其对数据完整性和可用性的要求也越高。据美国的有关调查显示，如果公司在灾难过后两个星期内无法完全恢复信息系统的使用，75％的公司业务将会完全停顿，43％的公司将再也无法开业。对于依赖信息系统进行日常运作的国税部门而言，纳税人对于系统停机的可忍受时间甚至不能超过1天，而税收数据的丢失和破坏可能会导致税收秩序的混乱，影响社会的稳定与和谐。

3、软件开发及应用方面的风险。由于我国税收政策变动比较频繁，加之软件开发者水平参差不齐，软件开发的时间较紧，一些税收征管系统往往没有进行缜密的测试，因此有可能存在一定的缺陷和漏洞，让不法之徒有机可乘。

4、网络安全方面的风险。internet的迅猛发展为电子商务、电子政务提供了运作平台，但也带来了许多不安全隐患。各种迹象表明，网上申报、手机申报等信息系统已成为日益猖獗的网络攻击和计算机犯罪活动的主要目标。

三、国税信息系统审计的重点

国税信息化经过多年的建设，已初具规模，各种系统十分复杂、庞大，如对全部信息系统进行审计的话，工作量巨大，且目前信息系统审计的人员缺乏，因此，应先从部分重点系统、重要环节着手进行审计，审计的重点应该考虑以下内容：

（一）运行管理审计

作为一种人机交互系统，信息系统的服务质量和安全是建立在“三分技术，七分管理”的基础之上的，系统运行中的操作管理是否科学、规范直接影响到信息系统的服务质量和安全性。运行管理审计的重点包括：

1、机房管理审计。包括机房、设备间等重要运行环境选址、布局是否合理；是否设置了门禁、监控、气体灭火、防水、防雷、报警等安全设施；机房内部的温度、湿度、洁净度、电磁干扰等技术指标是否合格；机房的进出是否有切实有

效的管理制度、是否有防止非正常行为的对策等。

2、操作管理审计。包括是否有详尽的操作规范；是否对系统操作人员进行上岗前培训；操作人员是否严格按规范进行操作；系统的登录代码及密码是否具备一定的安全防护对策、是否按规定更新；是否记录操作日志并保存一定期限；操作人员的交接是否按规定进行；是否及时发现、记录、报告事故及故障；是否及时采取措施排除故障，防止再次发生等。

3、硬件管理审计。包括是否制定并遵守硬件管理规范；硬件的运行环境是否达到相应的技术要求；是否定期对硬件进行检修、维护；对硬件故障的维修对策是否合理；是否有硬件维护日志；检查业务设备送出修理时是否对设备所存业务数据进行删除。

4、软件管理审计。包括是否制定并遵守软件管理规范；软件的拷贝是否有严格的控制措施和技术防范对策；软件的保管和废止是否按机密资料予以保护；是否有完善的软件版本管理规范；对软件源程序的控制是否严格，生产环境与测试环境是否严格分开。

（二）系统开发审计

信息系统的开发审计通常应该包括系统规划审计、系统分析审计、系统设计审计、系统编码审计、系统测试审计和系统试运行审计等部分。当前国税信息系统开发审计的重点包括：

1、预期效益审计。主要包括是否提供了新的服务；是否实现了新的功能；是否提高了纳税服务的质量；是否提高了本单位的工作效率等社会效益方面的评估；是否通过流程整合减少了人员、降低了税收成本。

2、编码及文档管理审计。编码审计主要包括编程语言、编程工具的选择是否合理；是否制定了统一的编程规则；是否对数据的类型、结构、长度作统一的说明；程序逻辑是否清晰、易懂；是否按照结构化的方法进行编程等。文档管理审计主要包括是否制定、遵守文档管理规范并按规范编制文档；文档的数量是否齐全；文档的编制内容是否完整、齐全；文档的质量是否符合要求；文档的版本管理是否严格；是否有文档的保密管理对策等。

3、控制措施审计。包括将业务流程进行整合后，新系统是否重新设置了与之相适应的内部控制措施；是否遵循“职责分离”的原则，对人员的职责权限和变动进行合理的控制；信息系统是否具备一定的识别和防御攻击的能力（如登录控制、加密、拒绝访问等手段）；是否具备一定的自适应能力（如根据攻击方的意图调整控制措施，隔离破坏范围的能力）和恢复能力；是否专门设计了系统审计功能或预留了系统审计接口等。

4、系统测试审计。包括有无完整的系统测试计划；测试案例的编写是否合理、全面；参与测试人员的选择是否符合公正、客观的要求；测试方法是否合理；测试结果是否得到参与人员的认可；测试文档是否齐备等。

5、试运行审计。包括有无切实可行的试运行方案；针对新系统的人员培训是否落实；新系统的运行环境（包括软件、硬件、网络等）是否符合实际运行要求；新系统的实际运行效率、功能是否达到预期设想等。

（三）网络安全审计

网络安全审计的根本目的就是防止通过计算机网络传输的信息被非法占用。网络安全审计应重点针对网络安全管理、网络安全技术、网络安全策略等内容。

1、网络安全管理审计。包括是否建立有效的网络安全防御体系；安全及密码产品是否具有合法性、是否经过国家有关管理部门的认可或认证；是否建立了有关网络安全的规章制度、在实际工作中是否严格执行；是否进行了网络安全教育、安全培训；对网络安全工作是否进行动态管理等。

2、网络安全技术审计。包括是否使用了严格的身份验证技术控制系统用户；是否使用了访问控制技术并配置访问控制策略；是否利用密码技术对数据进行安全加密；与外部单位连接时是否安装了防火墙进行有效隔离以确保安全；是否使用了系统漏洞扫描技术来检测系统的脆弱性；是否使用入侵检测技术对网络系统进行实时监测；是否制定了有效的防病毒策略，如不使用不明来历的软盘、光盘；是否安装了有效的防、杀病毒软件；是否及时更新最新的病毒码以保证防病毒软件的有效性；是否采用网络安全审计措施等。

（四）灾难对策审计

为保证信息系统的正常运行，开发人员在系统设计上已经采取了各种措施来防止信息系统被破坏，但这并不能完全杜绝系统的各种故障和一些不可抗力的灾难，而灾难一旦发生，往往导致信息系统完全瘫痪，造成巨大损失。所以，必须对信息系统的灾难对策进行审计。国税信息系统的灾难对策审计应抓住以下重点：

1、灾难应急对策审计。包括是否事先制定了灾难应急对策；灾难应急对策是否切实可行；灾难应急对策是否定期进行演练；灾难应急对策是否根据实际情况及时调整。

2、数据备份审计。包括是否制定信息系统及数据的备份策略；数据备份策略是否切实可行；数据备份的强度是否足够；数据备份的范围是否全面；数据备份的恢复方法及恢复效果是否经过验证；使用备份数据进行恢复的时间是否可以控制在可以忍受的范围之内；数据备份的存储介质管理是否按要求执行等。

3、设备冗余审计。包括是否为信息系统提供冗余运行环境（灾难备份中心，包括电力、通讯线路等设施）；是否为信息系统的核心设备（生产机）提供冗余设备（备机）；生产机和备机上的信息系统和数据是否同步；生产机和备机之间的切换方案是否可靠并经过验证等。

四、开展信息系统审计需要解决的几个问题

（一）组织问题

虽然，目前部分国内企业已经意识到利用信息系统审计可以有效地管理信息及与信息相关的技术，保障企业信息系统可靠运行，并开始关注信息系统审计，但整个社会对信息系统审计的认识还不够，信息系统审计远未达到普及的程度。国内还没有专门的信息系统（技术）审计机构，在各单位内部目前也没有设置相关的信息系统（技术）审计部门。国税系统目前主要采取各级信息中心进行自查、互查的方式来解决信息系统的安全性问题，往往是就某一专项内容进行检查，带有一定的局限性，且一般情况下检查的深度不够，因此迫切需要具有专门知识和技术的、与系统没有直接关系的信息系统审计专业机构和专职人员介入。

（二）标准化问题

目前，国内开展信息系统审计主要是参考信息系统审计与控制协会isaca（information system audit and control association）这个国际上唯一的信息系统审计师专业组织制定和颁布的信息系统审计标准。该标准是一套以管理为核心、以法律法规为保障、以技术为支撑的框架体系，为实施信息系统审计提供了一套执业规范和操作指南。但由于国内系统集成业发展的不成熟以及客观应用环境的差异、法律法规上不完善等原因，处在起步阶段的国内信息系统审计工作不能完全照搬此标准，必须尽快形成适合国税系统的信息系统审计标准体系。

（三）人才问题

IT系统信息安全风险不容忽视 第3篇

随着信息化应用的不断深入, 越来越多的IT安全风险来源于互联网及各专网网络中的终端, 终端的安全运维和管理成为众多企业所面临的突出问题。一方面, 针对终端的木马、病毒、钓鱼网站、浏览器漏洞、恶意脚本等层出不穷;另一方面, 终端本身固有的安全漏洞和用户不良日常行为习惯给计算机也带来了很大的安全风险。为了保护终端计算机的安全, 管理人员在终端计算机上安装了防病毒软件、终端安全管理软件、身份认证软件、防木马软件、系统清理助手等工具。同时, 对于服务器、关键应用主机等重要终端, 需要使用专门管理软件来实现对系统及业务程序运行的实时监控管理。

针对上述存在的终端安全风险和终端安全软件的管理, 有必要建立一套统一的风险控制预警系统, 以确保信息系统中终端计算机和业务应用的实时稳定运行。该系统基于终端安全框架的整体运行监控及管理技术体系, 其核心理念在于实现对终端计算机的IT运维安全监控和风险预警, 对信息系统中终端层次的IT安全因素进行统一监控管理和风险预警。

终端IT运维安全监控与风险预警对常规安全防御缺陷提供弥补措施, 在综合终端桌面安全之上, 提供了精确而全面的安全信息。传统上的信息安全预警系统多从网络攻击源角度对网络安全情况进行预警监测, 采用方式包括网络数据包嗅探 (NIDS) 、主机状态侦测 (HIDS) 、蜜罐 (Honeypot) 诱骗、安全设备日志分析等方式, 实现对网络攻击源/病毒源的侦测和预知。上述方式具有一定的局限性, 在预警对象方面缺少全面性, 不能对网络中没有侦测代理的区域进行疫情监测, 同时对网络安全事件、状态等监测元素缺少精细的关联分析和智能决策支持, 只是部分地反映网络安全态势。

大型网络终端IT运维安全监控与风险预警系统, 能够依据网络元素变化需要, 建立自适应的警情采集、警情分析、警情决策流程, 不断满足新的网络安全环境和网络新技术发展形势下安全管理的需要。

1 系统功能设计

终端IT运维安全监控与风险预警系统融合了信息系统中的网络、主机、业务应用系统运行安全监测和预警, 丰富了终端安全运维管理的产品和理论体系, 突破了传统预警概念限制, 实现了“大、一、统”的网络信息安全预警管理。“大”体现在信息源全面, 从网络元素到终端元素的信息采集;“一”体现在一个预警平台之下, 实现多种功能的综合;“统”体现在统一的数据格式和安全警级管理。

系统具备以下主要功能。

1) 信息自动采集。信息采集技术主要有自动搜集、主动采集2种方式, 通过控制台主动扫描、智能Agent代理侦测、安全设施控制台接口 (如防病毒、桌面终端管理系统等) 数据汲取、蜜罐诱惑等技术, 针对预警系统数据需要进行数据字段设定采集。

2) 信息智能分析。建立预警数据信息分析模型, 应用海量数据存储、数据自动分类、全文检索、关联分析与趋势分析、自动消重、关键字检索等技术对终端计算机采集的安全信息进行分析处理, 将对安全管理需要的关键信息应用Web技术呈现。

3) 信息安全预警信息展现与决策支持。针对网络终端海量信息, 对获取的数据通过深度挖掘技术进行数据分类、聚类, 按照预定预警要求输出警情信息, 并在管理界面展示。通过定性推理和定量计算的有机结合方式, 融合人工智能、建模、优化及仿真等技术对网络终端安全信息做出管理决策。

4) 预警信息发布与通告。建立预警事件报警等级预案, 按照事先制定的风险预警级别, 启动不同的预案。如1～5级安全事件报警, 并启动相应级别预案。采用Web网站公告、短信通知、邮件通知等方式将预警信息发送给覆盖全网各个节点的安全管理员、安全主管领导等, 电子邮件可以同时提供风险说明、风险排除方案等。根据预警结果, 管理人员采取相应的联动处置措施, 解除风险, 同时处置结果自动报送系统管理中心。

5) 报警处置管理。对系统预警的风险进行控制管理, 在预警系统中提供风险排除方案以及联动处理接口, 利用桌面安全管理套件接口对远程计算机进行安全风险排除。例如防病毒软件调用、360安全卫士木马查杀调用、保密安全行为检查等。

2 系统架构设计

本系统将具有数据存储和处理优势的数据库与具有资源共享的计算机Web管理结合在一起, 建立起Web数据库 (网络数据库) 。Web数据库的开发环境采用B/S三层体系结构;操作系统选用服务器操作系统Windows Server2003;采用JSP技术作为Web数据库访问技术, Tomcat作为后台服务器, 并用Java作为网络编程语言;采用SQL Server 2005作为后台数据库管理, 设计和建立关系型数据库系统。Web数据库系统体系结构如图1所示, 系统总体架构如图2所示。

2.1 信息收集层面

该层面面向网络中原始设备 (如安全设备、主机设备、桌面终端等) , 从这些原始设备中收集安全事件信息。

信息采集包括以下方式:

1) 由各个厂家产品自行上报风险信息, 数据需要裁剪和过滤;

2) 客户端主机按照预定配置报送风险信息;

3) 管理台主动发起采集风险信息。

事件收集的方式有:Syslog、专用Agent、SNMP、ODBC、JDBC、OPSEC等。同时, 在事件收集层面提供“Universal Collector” (即“通用事件收集器”) 为新增设备预留接口。在该层面, 除了能对多种类型的原始设备进行安全事件收集外, 还会定期从漏洞及威胁实时监测系统获得最新的安全信息 (包括漏洞库、威胁库、解决方案库) , 以提高整个系统的安全风险检测能力。

2.2 协调分析层面

在信息收集层面采集到原始数据后, 相关数据会自动进入协调分析层面。该层面是系统管理模块事件处理中枢, 所有安全数据经收集后会进行正规化/标准化处理, 转变为管理模块能够识别的数据内容 (数据标准化) 。此时, 可能会形成海量数据进入数据库。因此, 依据设定, 在数据被标准化后, 可以对数据进行过滤。

此处的数据过滤可通过以下2种方式来进行:

1) 在原始设备处根据原始数据的ID和关键特征进行前期的数据过滤;

2) 在系统管理模块的基础平台上通过界面配置的方式进行事件过滤。

2.3 综合处理层面

综合处理层面一方面可以为协调分析层面提供数据来源 (如资产信息、安全策略管理信息等) ;另一方面要协调各方进行重要安全风险的发布和处理, 建立预警事件报警等级预案, 按照事先制定的风险预警级别, 启动不同的预案。

针对安全风险的响应方式是多样化的, 如进入工单系统、发送邮件、电话/短消息等。同时, 网络内的安全信息可通过数据发布工具发布到内部的信息共享平台上, 进行内部的数据共享。

2.4 Web统一呈现界面

统一的应用、管理与展示界面是系统和用户之间的接口, 提供给用户监控、浏览、操作整个系统中全部信息数据资源的唯一通道, 具备丰富的可视化监控设计, 能够通过丰富的图、表、线形象直观地展示网络终端当前的运行状况。系统全部以Web方式展现, 可以在本地和远程通过管理系统门户网站对系统进行管理, 根据运维人员的个性化需求及不同运行监控的业务需求, 提供全方位、多层次、多视角的IT运维监控及管理界面。

2.5 数据接口层

数据接口层是指与外部系统的接口。系统具有良好的对外接口, 支持Web Service接口、JMS接口以及Syslog接口, 通过JMS、Web Service和XML实现与外部系统之间的数据流传递。所有接口服务都内置安全机制, 包括信息认证、信息加密等。

3 系统关键技术

3.1 Agent控件式集成管理技术

通过远程Agent代理技术对桌面计算机不同安全组件 (如360安全卫士、IDS、赛门铁克等) 进行数据采集及接口调用管理 (包括各种病毒防范、入侵检测等安全信息) , 进而实现多个安全管理类产品的联动。

3.2 系统开放式集成接口模块开发

提供相应的MIB库文件、通信规程和编码, 支持与其他安全系统协同工作;支持桌面接口规范 (DMI) , 便于系统扩展, 同PKI/CA、360卫士等桌面安全管理系统建立预留扩展接口。

3.3 基于Web的数据挖掘技术

Web数据挖掘是从数据挖掘技术发展而来, 是数据挖掘技术应用于Web信息的崭新领域, 通过分类、聚类、关联分析及趋势分析等方式实现对客户端代理Agent报送的海量信息进行处理, 分析并识别出具有近似特点的审计事件, 按照设定规则把事件分成若干类, 减少无用数据的重复。

3.4 专家智能分析技术

通过在预警系统中加载专家知识库系统, 将事件源提供的事件同专家知识库中的审计事件进行模糊诊断, 利用库存已有的专家知识, 模拟专业领域专家处理问题的方法来处理事件源提交的安全事件。

3.5 蜜罐技术

蜜罐技术由于能及时发现网络入侵、记录入侵过程、并能保存入侵记录而在网络安全中越来越受到重视。蜜罐技术通过设置蜜罐、分布式蜜罐、专门蜜网来进行表1系统与现有产品对比风险数据获取, 实现对网络攻击源/病毒源的侦测和预知。

4 系统优势

通过与现有产品各方面的对比, 不难发现终端IT运维安全监控与风险预警系统的优势, 具体对比结果如表1所示。

5 结语

大型网络终端IT运维安全监控与预警系统基于终端安全状态、终端安全行为、业务内容的预警3个方面, 将对客户端的安全管理提升到网络整体监控和风险预警层面。该技术伴随网络安全管理和海量数据处理等技术 (如桌面终端管理技术、内容管理技术、数据挖掘技术、Web2.0技术等) 的成熟而初显锋芒, 在大型网络安全管理需求日益提升的今天, 终端IT运维安全监控与风险预警技术将具有更好的发展空间。

参考文献

[1]徐明, 刘端阳, 张海平, 等.网络信息安全[M].西安:西安电子科技大学出版社, 2006.

IT系统信息安全风险不容忽视 第4篇

摘要：ASP模式的IT外包，能给中小型企业带来很大的收益，但也存在很大的风险，其中ASP客户最为担心的是信息安全风险。分析了ASP模式下主要的信息安全风险及其风险因素，并针对ASP提供商、ASP客户、信息安全认证和审计和信息安全法律环境的建立和完善四个方面提出了相应的风险缓解措施。

关键词：ASP、IT外包;信息安全;风险;缓解措施一、引言

应用服务提供商（ASP）是指通过广域网、以租用的方式、根据合同所确定服务级别，向客户提供应用服务的第三方公司，这种新的IT外包模式在给客户带来收益同时，也带来了许多潜在的风险，其中信息安全风险是客户最为担心的。目前国内外关于ASP模式下IT外包中的信息安全风险研究方面的文献较少，本文就是针对这一问题展开研究。

二、基于ASP模式的IT服务外包中信息安全风险及其原因

ASP模式下的信息安全是所有客户首先要考虑，并最为重视的问题，一旦基于ASP模式的有价值信息受到攻击，通常来说将会带来以下问题：

（1）机密性损失：攻击者会取得非授权的访问权限，用于访问存储于ASP計算机系统上或传输过程中的数据。

（2）完整性损失：攻击者能够操作和修改存储在ASP计算机系统或传输过程中的有价值数据。

（3）服务可用性损失：攻击者将会对客户公司带来损害，使得客户不能访问存储在ASP计算机系统的的数据和应用。

（4）由于合法绑定而产生的交易停止：由于不能通过ASP的系统发出或接收有价值数据，使得合作伙伴中的部分人拒绝执行进一步的交易，从而使交易被耽误。

（5）真是性损失：攻击者会通过假冒的身份骗过ASP的身份验证系统进入计算机系统，使得有价值信息的真实性无法保证。

三、ASP模式下信息安全风险的缓解策略

（一）ASP提供商所采取的信息安全风险防范策略分析

很明显，在基于ASP模式的IT服务外包情形中，ASP提供商必须承担主要的信息安全责任，为此必须采取一系列的信息安全措施来保证客户的信息安全。对于ASP来说，制定一套信息安全指导方针是非常重要的。这些指导方针将包括由ASP提供商采用的信息安全措施，使得ASP提供商能够向其客户详细阐述哪些安全机制用于应对哪些威胁，哪些特定安全特性用于有效地保护和控制客户的有价值信息。简而言之，如果ASP提供商能够提供高级别的信息安全保护，那么提供给客户的服务就会更好。

（二）客户方所采取的信息安全风险防范策略分析

对客户来说，ASP客户自己也必须满足一些要求才能成功地实施一套基于ASP模式的全面信息安全解决方案。在客户方，有各种的技术先决条件的要求，理想的情况是他们需要得到一个具有公共密钥能力的智能卡来执行所有基于证书安全功能。

（三）ASP模式下的信息安全认证和审计

ASP模式将会向公共服务的方向发展，ASP提供商将积累起极大的客户群，而在ASP模式的早期，这些客户主要是内部IT力量较弱的中小型客户，这些客户缺乏选择合格服务提供商的能力，这就要求ASP提供商要主动要求第三方的信息安全机构对其信息安全能力进行客观、公正和有公信力的认证和审计，对认证和审计通过的ASP提供商颁发信息安全证书，这样就会减少客户在采用ASP模式进行信息技术服务外包的信息安全顾虑[1-3]。

（四）信息安全法律环境的建立和完善

信息安全是一个全球都关心的话题，各个国家都在制定相应的信息安全的法律法规来保护个人和组织的信息安全和隐私。对此，国家应该出台相应的保护机构隐私的法律法规，打消他们担心企业的财务和交易信息通过ASP提供商被政府随意获得的担忧。

另外，在ASP提供商和客户签订的服务合同中应有确实遭受信息安全风险损失对服务提供商的处罚条款，这样，客户对ASP提供商才更有信任感，ASP提供商业就有压力改进信息安全的措施。

四、结论

以上讨论了正在兴起的ASP行业正在解决的信息安全问题，如果这一问题能够得到很好的解决，ASP提供商将会获得信任和成功。ASP行业是一个新生并有广阔前景的市场，但信息安全问题却使这一新兴行业失去了光彩。虽然通用的IT安全原则可以适用于ASP模式，同时针对这一行业的一些特殊的需求也是需要特别注意考虑的。随着技术和管理的成熟，ASP模式会变得越来越安全。（作者单位：重庆工程职业技术学院）

基金项目：2014年重庆市教育委员会人文社会科学研究项目（14SKS30），重庆工程职业技术学院院级重点科研课题资助项目（RWA201302）

参考文献：

[1]高阳，曾小青.基于ASP模式的信息化解决方案[J].科学管理研究，2003，21（3）：45-51

[2]Alexander L.Factor著，孙延明译.应用服务供应商（ASP）解决方案[M].北京：电子工业出版社，2003年2月.

IT系统信息安全风险不容忽视 第5篇

1.医院信息系统安全风险评估的概念

医院信息系统安全风险评估是指依据有关信息安全技术标准，对医院信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学、公正的综合评价的活动过程，它要评价医院信息系统的脆弱性、医院信息系统面临的威胁以及脆弱性被威胁源利用后所产生的实际负面影响，并根据安全事件发生的可能性和负面影响的来识别医院信息系统的安全风险。2．国内外信息系统安全风险评估的概况

美国政府就发布了《自动化数据处理风险评估指南》。其后颁布的关于信息安全的基本政策文件《联邦信息资源安全》" 3．我国医院信息系统安全风险评估工作现状及存在的问题 4.医院信息系统安全风险评估工作流程(1)确定医院信息资产列表及信息资产价值(2)识别脆弱性(3)识别脆弱性

它可能存在于网络安全体系理论中网络应用所划分的’个层次，即网络层、系统层、用户层、应用层、数据层，(4)识别威胁

威胁来源应主要考虑这几个方面，即非授权故意行为、人为错误、软件设计错误带来的威胁、设备损坏、线路故障、自然灾害医院信息系统的安全威胁可通过部署入侵检测系统(,-.)，采集入侵者的,/地址及目的,/地址、目的端口、攻击特征、当前用户和进程等攻击信息，通过统计分析，从概率上分析一段时间内攻击的类型、强度和频度来获取，分析现有的安全控管措施

（5）确定可能性

(6)确定风险

(7)建议安全防护措施。

(8)记录结果

5.医院信息系统安全风险评估结果的处置措施

(1)避免：采取措施，完全消除医院信息系统的安全风险

(2)降低：采取措施降代风险造成实际损害的可能性，降低其影响。（3）接受

（4）转嫁：通过责任外包、保险等方式%(’转嫁：通过责任外包、保险等方式（5）回避

IT系统信息安全风险不容忽视 第6篇

浅析税务系统网络与信息安全风险及防范

摘要：随着税务系统信息化的快速发展,税收征管向科学化、精细化迈进,税收工作对网络与信息系统的`依赖性越来越大,税务系统网络与信息安全问题日渐凸显.本文通过对税务系统信息化建设现状进行分析,找出其存在的风险及安全需求,从制度和技术的角度提出构建税务系统网络与信息安全保障体系的建议.作 者：黄俊波 作者单位：彝良县地方税务局,云南昭通,657600期 刊：现代经济信息 Journal：MODERN ECONOMIC INFORMATION年，卷(期)：,“”(6)分类号：X9关键词：网络与信息安全 安全意识 网上申报 PKI 风险评估

IT系统信息安全风险不容忽视 第7篇

当前，信息安全风险管理已成为企业信息化工作的关键，而信息系统安全风险已经成为企业信息化运营风险中最为重要的组成部分。信息系统风险管理是内控框架中的核心内容，并已成为判定企业成熟度的一项重要指标。信息系统安全风险评估是安全风险管理的基础和重要内容，既是企业信息安全体系建设的起点，也将覆盖其全生命周期。如何持续提升信息安全风险评估意识和能力，妥当开展信息系统安全风险评估及风险管控，是企业信息安全工作的重中之重，本文就此进行探讨研究。

一、评估目的、原则及方式

1.1 评估的目的。企业进行信息系统安全风险评估，是为了提高信息安全保障体系的有效性，主要包括：发现现有基础信息网络和重要信息系统的安全问题和隐患，提出针对性改进措施；识别在用系统和在建系统在生命周期各个阶段的安全风险；分析现有与信息安全相关的组织管理机构、管理制度和管理流程的缺陷与不足；评价已有信息安全措施的适当性、合规性等。

1.2 评估的原则。进行信息系统安全风险评估，要遵循以下原则：

（1）整体性。系统安全风险评估应从企业实际需求出发，不局限于网络、主机等单一的安全层面，而是从业务角度进行评估，包括技术、管理和业务运营的安全性。

（2）动态性。风险评估应是动态、阶段性重复的，并非一次评估即可解决所有问题。每次评估应达到有限的目标，并依据评估的动态特性考虑再次评估的时机，形成良性的评估生命周期。

（3）适当性。选择恰当的评估对象、评估范围、评估时机，评估对象要有代表性，确定评估范围的恰当性、可行性等情况。

（4）规范化。应严格规范评估过程和成果文档，便于项目跟踪和控制。

（5）可控性。评估过程和所使用的工具应具有可控性。评估所采用的工具必须经过实践检验，可根据企业实际现状与需求进行定制。

（6）最小影响。评估工作应充分准备，精心筹划，事先预见可能发生的情况并制定应急预案，不能对网络和信息系统的运行及业务的正常运作产生影响。

（7）保密性。参与评估的工作人员应签署保密协议，明确要求在评估过程中对所有的相关数据、信息严格保密，不得将评估中的任何数据用于与评估以外的任何活动。

1.3 评估方式。风险评估的方式可分为自评估、检查评估、委托评估三种。自评估是由企业自身实施，以发现现有信息技术设施和信息系统的弱点、实施安全管理为目的的评估方式。检查评估是由主管部门发起，对下级单位的安全风险管理工作进行检查而实施的评估活动。委托评估是指企业委托具有风险评估能力和资质的专业评估机构实施的评估活动。

企业信息管理部门应定期或在重大、特殊事件发生时组织进行风险评估，识别和分析风险，实施控制措施，确保信息安全和信息系统的稳定安全运行。

1.4 评估时机。企业信息系统风险评估应贯穿于系统的整个生命周期，方可做好风险管控。在系统规划设计阶段，通过风险评估明确系统建设的安全目标；在系统建设阶段，通过风险评估确定系统的安全目标是否达到；在系统运行维护阶段，实施风险评估识别系统面临不断变化的风险和脆弱性，从而确定安全措施的有效性，确保信息系统安全运行；在系统废弃阶段，确保硬件和软件等资产的残留信息得到适当的处置，确保废弃过程在安全的状态下完成。

二、评估方法

企业信息系统的安全风险评估大致可分为三个阶段：计划准备阶段、现场评估阶段、分析报告阶段。三个阶段的工作内容和步骤如图 1 所示。

2.1 计划准备阶段。在进行安全风险评估之前，充分的准备工作是评估工作成功的基础。在计划准备阶段，需要开展以下工作：

（1）制定项目计划。确定评估目标、范围和对象；明确评估人员组织，包括项目领导小组、项目负责人、项目技术顾问组、风险评估小组、被评估单位项目协调人和项目配合人员；制定项目进度计划；明确项目沟通与配合制度。（2）召开项目启动会。进行评估前的项目动员。

（3）收集相关信息。收集所有评估对象资产信息；收集文档信息，包括安全管理文档、技术设施文档、应用系统文档和机房环境文档等。

2.2 现场评估阶段。现场评估阶段包含文档审阅、问卷调查、脆弱性扫描、本地审计、渗透测试、现场观测和人员访谈等工作内容。

（1）文档审阅。通过文档审阅了解评估对象的基本信息（包括安全需求），了解各评估对象已被发现的问题、已实施的安全措施，确定需要通过访谈了解的信息和澄清的`问题，以便尽量缩减人员访谈沟通时间，降低评估工作对相关人员正常业务工作的影响。

（2）问卷调查。由一组相关的封闭式或开放式问题组成，用于在评估过程中获取信息系统在各个层面的安全状况，包括安全策略、组织制度、执行情况等。

（3）脆弱性扫描。利用技术手段对信息系统组件进行脆弱性识别，收集各信息系统组件可能存在的技术脆弱性信息，以便在分析阶段进行详细分析。

（4）本地审计。本地审计与脆弱性扫描互补，收集各信息系统组件可能存在的技术脆弱性信息，以便在分析阶段进行详细分析。

（5）渗透测试。利用模拟XX攻击方式发现网络、系统存在的可利用弱点，目的是检测系统的安全配置情况，发现配置隐患。主要通过后门利用测试、DDos 强度测试、强口令攻击测试等手段实现。需要注意，渗透测试的风险较其它几种手段要大得多，在实际评估中需要慎重使用，未必每次评估都要进行渗透测试。

（6）现场观测。主要通过现场巡视和观察等方法，观察与应用系统、机房环境等有关的管理制度、安全运维相关的机制、系统配置现状（如系统现有账号、日志功能等），了解制度实际执行情况，保留检查证据（截图，日志文件等）并填写现场观测结果。

（7）人员访谈。访谈的对象包括：信息系统管理人员、应用系统相关人员、网络及设备负责人和机房管理人员。主要涉及信息系统控制环境评估，包括安全策略、组织安全、人员、资产管理、风险管理、法律法规符合性等；信息系统通用控制评估，包括程序开发设计、变更管理、程序和数据访问控制、投产上线、系统运维等；应用系统的安全性评估，包括身份认证、标识与授权、会话管理、系统配置、日志与审计、用户账户管理、输入控制、异常处理、数据保护和通信等；应用控制评估，包括业务操作、权限管理、职责分离、业务流程、备份等。

2.3 分析报告阶段。分析报告阶段的主要工作是整理现场评估获得的数据、资料，进行综合分析以及生成最终评估报告。

综合分析根据收集到的各种信息，整理出系统 / 资产脆弱性，并对脆弱性进行威胁分析，包括分析威胁发生的可能性、产生的后果，判定风险级别，以及制定风险处理计划。综合分析对分析人员的能力要求较高。主导综合分析和报告生成的人员必须参与过信息系统风险评估的各阶段，对被评估系统有基本的了解，熟悉风险评估的方法、手段、过程，掌握风险计算方法，了解风险评估基本理论，具备较强的文字功底。

最终编写的风险评估报告是风险评估重要的结果文件，是企业实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料。风险评估报告通常应包括以下内容：

（1）概述。简要描述被评估系统的基本情况，包括功能用途、系统体系结构以及风险评估所使用的评估方法、评估过程等。

（2）评估综述。对被评估系统及其支撑平台已经实施的安全措施、评估发现的风险进行综合评价。

（3）评估详述。概要描述评估过程所发现的被评估系统存在的风险、以及不同级别的风险数量和比例；针对被评估系统及其支撑平台的每一个风险点，进行威胁分析、现有或计划实施的安全措施分析、风险评价等。

（4）整改建议。综合以上分析，说明被评估系统及其支撑平台需要采取的安全整改措施。

（5）附件。说明风险评估过程中主要访谈的人员和审阅的文档、脆弱性-风险对应表、控制措施-风险对应表等。

三、风险控制措施

风险评估的目的在于控制和规避风险。风险控制报告包括安全管理策略和风险控制措施，要依据通过审批的风险控制报告，落实控制措施。

控制信息安全风险的重要措施是实施信息系统安全等级保护，而等级保护的基本前提是信息系统等级的划分。企业要根据公安部等四部委联合发布的《关于信息安全等级保护工作的实施意见》，结合企业实际情况和国内相关领域专家的建议，确定信息系统安全保护等级，实施相应的等级保护，有效控制信息安全风险，支撑企业业务的连续运行。

四、风险控制实施的监督与跟踪

风险评估通常还包括一个至关重要的跟踪过程，即对执行与落实整改建议的情况进行监督与跟踪，必要时再次进行评估。

要充分利用风险评估管理信息系统作为基础性必备工具，实现对资产信息、安全威胁信息、脆弱性信息、评估结果的统一管理，以提升评估结果的可用性。

监督与跟踪主要工作包括建立监督与跟踪机制、制定跟踪计划、执行主动监督与报告等三个步骤：

（1）企业各级信息管理部门指定专门人员，建立监督与跟踪机制以跟踪安全整改建议的实施和效果。

（2）对关键的、意义重大而且至关紧要的安全整改措施，制定并实施跟踪计划，包括实施计划、预计实施时间、事项清单、验收方法与过程等。

IT系统信息安全风险不容忽视 第8篇

1 调查策划

为了确保调查结果的有效性,尽可能减少行业特点和风险评估国家标准的发展等因素对企业评估过程能力的影响,根据以下三个前置条件来选取样本:

(1)企业已经按照风险评估国家标准的要求实施,并完成了信息安全风险评估的相关工作;

(2)评估的过程发生在2011年6月之后;

(3)企业的主要经营活动范围应围绕“计算机信息系统集成、应用软件开发及IT服务”等行业展开。

为了能够更全面的了解和分析企业风险评估的执行情况,确定调查的内容包括:企业的经营范围、人数规模、资产识别和风险评估的过程数据,同时收集企业风险评估过程的管理程序文件信息。希望能通过以上数据和文件,从风险评估的成本、企业的理解、过程的能力等角度,分析企业在信息安全风险评估过程中可能存在的问题。

2 调查实施

自2012年6月起,本人对33家亲自参与信息安全管理体系审核的企业进行了调查,调查的企业覆盖了广东、山东、湖南、江苏等省市。根据调查结果,选取了16家满足前置条件要求的企业作为研究样本。表1是本次调查过程中所收集到的数据:

本文按2011年颁布的《中小企业划型标准规定》[2]对企业规模进行了划分。在16家企业中,小型企业有10家,中型企业有6家。在业务方面,以软件开发和系统集成为主营业务的有12家,以IT服务业务为主营业务的有4家。

注:代表企业经营的主要业务范围

3 数据资料分析

3.1 分析方法

3.1.1 离散系数[3]

离散系数是一组数据的标准差与其相应的平数之比,也称变异系数。s

离散系数的作用主要是比较不同样本数据的离散程度,离散系数大的说明数据的离散程度大,离散系数小的说明数据的离散程度小。

3.1.2 相关系数分析[4]

相关系数分析是主要研究数值型自变量和数值性因变量的关系的分析方法。其中相关系数的公式为:

其结果可以判定,某一自变量x对因变量y的影响程度。

3.2 数据分析

相对于信息安全风险评估过程而言,企业资产识别数量决定了风险评估过程工作量的规模和成本。按照风险评估国家标准,企业需首先识别与组织与信息安全管理相关的全部信息资产。从资产识别数量上来看,10家小型企业的人均资产识别率为4.257(个资产/人),而6家中型企业人均资产识别率为3.36(个资产/人),从企业资产识别率的直方图来看,不同的企业在资产识别率上有明显的差异。如图1所示。

运用离散系数分析法,对企业人均资产识别率、重要资产识别率、威胁及脆弱性识别率、高风险识别率进行数据分析,得出以上四个过程变量的离散系数分别为:0.54、0.41、0.67、0.81,从中可以看出离散系数呈逐步扩大的趋势。这表明,随着风险评估过程的进行,过程的稳定性逐渐变差。

为了进一步分析组织风险评估过程的主要影响因素,对样本数据采用相关系数分析,见表2。

从数据分析的结果来看,资产规模对重要资产规模的影响程度为83%,重要资产规模对威胁和脆弱性规模的影响程度为76%,而威胁及脆弱性规模对高风险规模的影响程度为42%。此结果与这些过程变量之间前后顺序的相关性是基本一致的。而资产识别过程作为风险评估过程的第一步,其识别的资产规模对重要资产规模、威胁和脆弱性规模和高风险规模的影响程度分别为83%、68%、16%,从中可看出其识别结果对各个过程都有重要的影响。

通过以上数据分析,本文认为组织按照风险评估国家标准进行评估过程时,不同组织在人均资产、重要资产、威胁及脆弱性以及高风险识别率的一致性上,都有超过自身均值40%以上的偏差。而在排除了组织规模和行业特点等干扰因素后,过程一致性的影响主要来源于人员能力水平和评估体系两个方面。无论哪个方面的影响因素,均和组织对风险评估方法的理解和执行能力有直接关系。

3.3 资料分析

从获取的企业风险评估过程的管理程序文件来看,企业对风险评估国家标准在资产识别过程的要求存在不同的理解。例如在资产项的分类方面,一类企业将工作职责相近的人员、风险程度相近的设备归为一类资产予以识别,仅形成一个资产项;而另一类企业则是严格按照每个个体予以识别的。同时,企业对资产识别的颗粒度理解也不相同,一类企业将服务器设备和系统以及该服务器中的应用算为一项资产,而另一类企业则分别予以识别。这样的理解必然会导致企业在资产识别数量和重要性判定等方面存在差异。

4 总结

资产识别过程是信息安全风险评估的前过程,对整个信息安全风险评估过程有重要的影响。但在《GB_T 20984-2007信息安全技术信息安全风险评估规范》标准中,虽然明确了对资产识别的相关要求,并给出了推荐性的分类方法,但未能明确具体的执行标准和细则。这导致企业在实施信息安全风险评估过程中,往往因为资产识别过程所引入的偏差,增加了管理成本,降低了过程的有效性。从中可以看出,进一步细化资产识别过程的评估要求,并给出有效的识别方法,能够提高该标准在企业执行的有效性。因此,希望相关部门能够制定资产识别过程的实施细则,以规范该标准的执行。

参考文献

[1]《GB_T20984-2007信息安全技术信息安全风险评估规范》[M].中华人民共和国国家质量监督检验检疫总局,中国国家标准化管理委员会,2007.

[2]中小企业划型标准规定[M].工业和信息化部、国家统计局、发展改革委、财政部,2011年6月。

[3]贾俊平.统计学[M].中国人民大学出版社,2011:43.

IT系统信息安全风险不容忽视 第9篇

关键词：供电企业信息系统安全现状措施

0 引言

自2002年国家全面推行电力体制改革后，电力行业形成了“厂网分开”和“政企分开”的现代电力经营管理模式和“有序、规范、竞争”的电力行业格局，促进了电力企业引入新技术和新手段，为电力企业走向现代化提供了条件。加之计算机技术和互联网技术突飞猛进的发展及应用范围的扩大，电力行业信息化水平逐渐提高，信息化应用已涉及到电力生产、管理、经营和服务等各个环节。[1]在电力企业发展逐渐面向现代化、智能化的同时，信息系统安全成为直接关系到国家能源安全与社会稳定的重要问题，受到了日益广泛的关注。本文以供电企业系统安全为出发点，结合当前电力信息化和信息系统安全现状，对普遍存在的风险问题进行了解读，并结合相应理论和实际，提出了有助于改善供电企业信息系统安全问题的相应措施。

1 电力信息化现状

电力信息化是建设大电网的基本要求，是加快智能电网建设的基本保障。随着各项计算机技术、互联网技术和通信技术在电力行业中的应用，各级电网公司已基本建成了SCADA、AGC以及EMS等自动化调度系统，电网三级调度100%实现了自动化。另外，电力专用通信网已初具规模，形成了载波、微波、卫星、光纤和无线移动通信技术等多种类、多功能的通信手段，范围已基本覆盖各个省公司，企业信息化的深度已触及到用电营业厅和变电所。供电企业信息化水平的提高使得生产、传输、配供等关键环节更加有效率，在电网调度、自动控制、管理信息系统、电力营销系统、电力负荷管理、人力资源以及教育培训等方面取得了显著成效，在安全生产、节能降耗、降低成本、提高劳动生产率等方面取得了明显的社会效益和经济效益。

在电力信息化水平逐步提高的情况下，信息系统安全问题成了不容忽视的一项内容，已威胁到电力系统的安全、稳定、经济、优质运行，影响着“数字电力系统”的实现进程。[2]因此，在大力发展电力信息化的同时，要更加重视信息系统安全问题的防范和治理，不仅使电网成为智能的电网，更要成为安全的电网。

2 供电企业信息系统安全风险

随着通信技术和网络技术的发展，接入企业信息网络的电力控制及业务应用系统越来越多，加之变电站远程控制系统的广泛采用，对电力控制系统和数据网络的安全性、可靠性、实时性都提出了新的挑战。供电企业信息系统的安全风险主要包括物理层面安全风险、系统层面安全风险和管理层面安全风险等。[3]

2.1 物理层面的安全风险 物理安全是指各种服务器、交换机、工作站等硬件设备和通信链路的安全，物理层面的安全问题可以直接造成设备损坏，系统和网络不可用或数据的直接损坏、丢失等。物理层面安全风险的来源主要包括水灾、火灾、雷击等自然灾害，外界电磁波的干扰，人为破坏或操作失误，以及设备固有的弱点或缺陷等，信息系统物理层面出线问题，很可能會造成不可估量的影响和损失，由于雪灾造成的电力故障就是最好的例证。

2.2 系统层面的安全风险 在供电企业的信息系统中，包含的设备主要有各类服务器系统和路由器、交换机系统，以及服务器上的各种操作系统、数据库系统和其他应用系统等。这些系统都或多或少地存在着各种各样的“后门”和漏洞，一旦被不法分子利用并攻击，将带来不可估量的损失。尤其在开放的网络环境中，如果使用不当，信息系统极易受到计算机病毒的干扰，如果病毒突破系统的访问控制，则可能造成机器死机、信息泄漏、文件丢失后果，而这样间接造成的电网运营中的问题可能威胁到整个电网的安全与稳定。

2.3 管理层面的安全风险 电力系统虽然对计算机安全一直非常重视，但由于各种原因，目前还没有一套统一、完善的能够指导整个电力系统计算机及信息网络系统安全运行的管理制度，部门与人员的组织规则也处于不完善阶段，这就增加了内部人员对网络或系统进行攻击及误用的可能，在一定程度上增加了信息系统的不稳定因素。

3 供电企业信息系统安全的防护措施

面对上述各种电力信息系统安全的威胁，为了保证电网的有效运行和供电企业内部各项工作的顺利进行，加大对电力信息系统安全的保护是十分必要和迫切的。

3.1 建立供电企业信息系统安全体系的防护框架 结合我国电力工业的特点和企业计算机及信息网络技术应用的实际情况，建立电力信息安全体系的防护框架。针对电力信息业务的层次结构，从电力信息系统的安全需求上进行分析，提出不同层次与安全强度的电力信息安全体系的防护框架，即分层、分区的安全防护方案。一是分层管理，即按照电力信息业务不同层级的功能，通过在层间使用隔离装置达到网络隔离的效果；二是分区管理，即在对电力信息业务进行分层的基础上，将层级功能与电力信息网结构对应起来进行分区，区间使用网络物理隔离设备进行网络隔离，对实时控制区等关键业务实施重点防护，并采用不同强度的安全隔离设备使各安全区中的业务系统得到有效保护。文献[4]中策划了电力信息安全体系防护框架。

3.2 强化供电企业信息系统安全中专业技术应用 技术手段的提升是解决供电企业信息系统安全问题的关键，技术上达到了理想的安全程度，就在一定程度上解除了电力信息系统安全的部分威胁。在目前的技术水平下，首先我们应该通过技术手段设置身份认证系统来控制设备的控制权限，避免非专业人员接触操作物理设备；其次，设置防火墙，提供可控的网络通信，防止计算机病毒和对信息系统安全有威胁的各种命令的入侵。最后，加强网络检测与审计，通过网络检测分析和系统日志文件的检查，监测是否存在用户的非法活动或是否有非法用户进入了网络及其非法活动，确保系统运行环境的安全与可靠。

3.3 完善供电企业信息系统管理制度 有效的管理是有效运营的保障。对于供电企业信息系统安全问题的防范，单单有技术手段是不够的。因此，为了控制威胁电力信息系统安全问题的人为因素，就必须在提升技术手段的同时，进行管理制度的完善。通过建立严格的管理制度，明确职责分工，定期进行专业技术培训，避免错误操作和非专业人员接触物理设备的情况发生，这也是对电力信息系统进行保护的有效措施。

4 结论

电力信息系统安全建设是一项复杂、牵扯面广的系统工作，不仅涉及技术的限制，还牵扯到企业员工的安全意识，企业内部行政管理的限制等等。[5]一个较好的安全措施往往是多种方法适当综合的应用结果，只有从系统综合整体去看待、分析，才能得到有效、可行的措施。所以电力信息系统安全防护应遵循整体安全性原则，根据规定的安全策略制定出合理的信息安全体系结构，这样才能真正做到整个信息系统的安全。

参考文献：

[1]杨瑞祥.浅析电力信息化[J].管理创新，2007(6)：20-21.

[2]电力行业信息系统安全等级保护定级工作指导意见[J].电力信息化，2008(1):20-26.

[3]王建永.电力系统信息安全应用研究[J].硅谷，2008(12)：101，122.

[4]叶杰红.由冰灾造成的停电看电力信息安全的重要性[N].电力信息化，2008(4).

[5]张宏伟.电力企业信息安全管理与防范措施[J].电脑与电信，2006(8):58-59，62.