鄧志龍

【摘 要】本文在對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)的產(chǎn)生原因進(jìn)行簡(jiǎn)單介紹的基礎(chǔ)上，分別從ISO 15408、ISO13335、SSE-CMM三個(gè)方面對(duì)信息安全風(fēng)險(xiǎn)要素進(jìn)行了分析和討論，以便對(duì)構(gòu)成信息安全風(fēng)險(xiǎn)的要素有一個(gè)更加全面的了解和認(rèn)識(shí)。

【關(guān)鍵詞】信息系統(tǒng)；安全風(fēng)險(xiǎn)；要素

【中圖分類號(hào)】E22；G203 【文獻(xiàn)標(biāo)識(shí)碼】A 【文章編號(hào)】1672-5158（2013）03-0093-01

由于信息系統(tǒng)長(zhǎng)期處于開放的環(huán)境中，所以安全風(fēng)險(xiǎn)的發(fā)生往往是不同因素相互疊加、共同作用的結(jié)果。目前，國(guó)內(nèi)外有關(guān)信息安全風(fēng)險(xiǎn)構(gòu)成要素及其相互關(guān)系描述的標(biāo)準(zhǔn)主要包括ISO 15408、ISO13335、SSE-CMM、GB/T 20984等。

1 ISO 15408描述的信息安全風(fēng)險(xiǎn)要素

ISO/IEC 15408（Information technology-Security techniques-

Evaluation criteria for IT security，信息技術(shù)-安全技術(shù)-IT安全性評(píng)估準(zhǔn)則）是ISO（International Standard Organization，國(guó)際標(biāo)準(zhǔn)化組織）采納CC（Common Criteria，通用準(zhǔn)則）演化而來(lái)的。1993年，英法等國(guó)及美國(guó)NIST（National Institute of Standard and Technology，國(guó)家標(biāo)準(zhǔn)技術(shù)協(xié)會(huì)） 和NSA（National Securiy Agency，美國(guó)國(guó)家安全局）共同制定了《信息技術(shù)安全評(píng)估通用準(zhǔn)則》CC（簡(jiǎn)稱通用準(zhǔn)則），并分別于1996年、1998年先后發(fā)布了CC1.0、CC 2.0版。1999年6月，ISO接納CC2.0版為ISO/IEC 15408草案，并定名為“信息技術(shù)-安全技術(shù)-IT安全性評(píng)估準(zhǔn)則”，但仍用CC作為其簡(jiǎn)稱。1999年12月，在廣泛征求各方意見并進(jìn)行相應(yīng)的修改后，正式頒布國(guó)際標(biāo)準(zhǔn)ISO/IEC 15408 CC 2.1版。2001年3月，我國(guó)國(guó)家質(zhì)量技術(shù)監(jiān)督局將其作為國(guó)家標(biāo)準(zhǔn)GB/T 18336正式頒布，并于2001年正式實(shí)施。

CC標(biāo)準(zhǔn)主要包括簡(jiǎn)介與一般模型，安全功能、安全保證要求三個(gè)部分。其中，簡(jiǎn)介與一般模型主要對(duì)信息安全構(gòu)成要素的風(fēng)險(xiǎn)、威脅、資產(chǎn)、脆弱性、對(duì)策等關(guān)鍵概念及其主體進(jìn)行了定義，并以所有者需要保護(hù)的資產(chǎn)為中心點(diǎn)，對(duì)不同要素間的關(guān)系進(jìn)行了描述。

①資產(chǎn)

所謂資產(chǎn)，就是指有價(jià)值的信息資產(chǎn)。

②對(duì)策

所謂對(duì)策，就是滿足資產(chǎn)所有者減少脆弱性要求的安全策略。

③威脅

所謂威脅，就是指借助拒絕服務(wù)、數(shù)據(jù)修改、揭露、損壞、未經(jīng)授權(quán)訪問(wèn)等方法，對(duì)系統(tǒng)形成潛在威脅的各類事件與環(huán)境。

④脆弱性

所謂脆弱性，就是在物理設(shè)計(jì)、管理控制、系統(tǒng)安全程序、信息系統(tǒng)、內(nèi)部控制或?qū)崿F(xiàn)中可能被攻擊者使用并獲得或破壞未授權(quán)信息的弱點(diǎn)。

⑤風(fēng)險(xiǎn)

所謂風(fēng)險(xiǎn)，就是指有威脅以及威脅發(fā)生的可能性所產(chǎn)生的不良影響，風(fēng)險(xiǎn)程度主要通過(guò)不良影響的程度進(jìn)行評(píng)估。

2 ISO13335描述的信息安全風(fēng)險(xiǎn)要素

ISO/IEC 13335是國(guó)際標(biāo)準(zhǔn)組織發(fā)布的《IT信息安全管理指南》，在信息安全管理方面具有指導(dǎo)性地位。其中ISO/IEC 13335-1：2002《信息安全管理和計(jì)劃的概念和模型》圍繞風(fēng)險(xiǎn)，對(duì)包括剩余風(fēng)險(xiǎn)、防護(hù)措施、風(fēng)險(xiǎn)、影響、脆弱性、威脅、資產(chǎn)在內(nèi)的信息安全風(fēng)險(xiǎn)要素進(jìn)行了確認(rèn)，并對(duì)不同要素間的關(guān)系進(jìn)行了描述。

①資產(chǎn)

資產(chǎn)主要包括人員、服務(wù)能力、產(chǎn)品生產(chǎn)、軟件、物理硬件以及其它無(wú)形資產(chǎn)，是組織成功的關(guān)鍵資源或信息，也是信息安全保護(hù)的重要對(duì)象。

②威脅

威脅是指那些能夠引起安全風(fēng)險(xiǎn)事件并損害組織與資產(chǎn)的各類潛在活動(dòng)，它通過(guò)IT服務(wù)或系統(tǒng)，對(duì)信息系統(tǒng)進(jìn)行直接或間接的作用并造成各類損失。資產(chǎn)原有的脆弱性是威脅完成資產(chǎn)損害行為的前提條件，威脅的產(chǎn)生可以是主觀也可以是無(wú)意，可以是人為也可以是非人為。

③脆弱性

脆弱性指的是資產(chǎn)及其相關(guān)軟硬件、信息、監(jiān)控、管理、人員、策略、組織、物理環(huán)境所存在的固有弱點(diǎn)，非常容易被威脅所利用，并最終造成業(yè)務(wù)目標(biāo)與組織信息系統(tǒng)的損害。

④影響

影響指的是風(fēng)險(xiǎn)事件發(fā)生后對(duì)資產(chǎn)造成的后果，通常包括信息系統(tǒng)或資產(chǎn)完整性、機(jī)密性、可審計(jì)性、可用性、可靠性以及真實(shí)性等的破壞，一般來(lái)說(shuō)，影響主要分為直接與間接影響兩種類型。

⑤風(fēng)險(xiǎn)

風(fēng)險(xiǎn)指的是威脅借助資產(chǎn)脆弱性引起的組織破壞或損失的潛在程度，風(fēng)險(xiǎn)的高低主要由可能產(chǎn)生的影響以及發(fā)生的可能性共同決定。任何與資產(chǎn)、安全防護(hù)措施、脆弱性、威脅有關(guān)的變化都會(huì)對(duì)風(fēng)險(xiǎn)產(chǎn)生影響，如果能夠采取有效措施及時(shí)確定或檢測(cè)信息系統(tǒng)及其環(huán)境的變化情況，就可以減少風(fēng)險(xiǎn)。

⑥安全防護(hù)措施

安全防護(hù)措施是各種安全機(jī)制、策略與實(shí)踐的總稱，它通過(guò)為資產(chǎn)提供不同層面的防護(hù)來(lái)實(shí)現(xiàn)對(duì)各類安全事件的監(jiān)視、檢測(cè)、預(yù)防、限制、糾正和恢復(fù)，而安全防護(hù)措施的實(shí)施則是保障信息安全的最基本要求。

⑦殘余風(fēng)險(xiǎn)

受安全成本等因素的影響，風(fēng)險(xiǎn)并不能被徹底消除，在組織安全需求得到滿足的情況下依然存在的風(fēng)險(xiǎn)即為殘余風(fēng)險(xiǎn)。

⑧其它要素

除前面已經(jīng)介紹的各類要素外，組織的文化、法律、時(shí)間、人員、金融、業(yè)務(wù)也屬于風(fēng)險(xiǎn)的影響因素，在選擇安全防護(hù)措施時(shí)，還需要對(duì)其進(jìn)行綜合考慮。

3 SSE-CMM描述的信息安全風(fēng)險(xiǎn)要素

1996年，美國(guó)國(guó)家安全局公布了SSE-CMM的第一個(gè)版本，1999年4月又公布了新的版本，系統(tǒng)安全工程能力成熟度模型（System Security Engineering-Capability Maturity Model，SSE-CMM）。在SSE-CMM模型框架中，安全工程被應(yīng)用于信息系統(tǒng)的開發(fā)、集成、管理、操作、維護(hù)、進(jìn)化以及產(chǎn)品開發(fā)、交付與進(jìn)化，從而使安全工程能夠在一個(gè)服務(wù)、產(chǎn)品或系統(tǒng)中得到實(shí)現(xiàn)。

SSE-CMM將安全工程劃分為風(fēng)險(xiǎn)域、工程域、保證域三個(gè)基本過(guò)程域，雖然可以對(duì)不同的過(guò)程域進(jìn)行單獨(dú)考慮，但也可以通過(guò)它們的相互作用來(lái)更好的實(shí)現(xiàn)安全目標(biāo)。另外，各過(guò)程域還包括一組集成的安全過(guò)程區(qū)（PA）。

參考文獻(xiàn)：

[1]王鳳鳴；控制論與項(xiàng)目風(fēng)險(xiǎn)管理[J]；技術(shù)經(jīng)濟(jì)與管理研究；2008年03期

[2]王大虎，楊維，柳艷紅；移動(dòng)通信信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估研究[J]；中國(guó)安全科學(xué)學(xué)報(bào)；2005年07期