時間：2023-06-27 17:58:43
開篇：寫作不僅是一種記錄，更是一種創造，它讓我們能夠捕捉那些稍縱即逝的靈感，將它們永久地定格在紙上。下面是小編精心整理的12篇資產風險評估，希望這些內容能成為您創作過程中的良師益友，陪伴您不斷探索和進步。
關鍵詞：安全隱患管理；安全隱患定級；風險管理；風險評估；資產全壽命周期 文獻標識碼：A
中圖分類號：F276 文章編號：1009-2374（2017）02-0186-03 DOI：10.13535/ki.11-4406/n.2017.02.090
現代科學技術和工業生產的迅猛發展，一方面繁榮了經濟和人們的生活；另一方面現代化大生產隱藏了眾多的潛在危險。就電力系統而言，電力網絡不斷擴展，網絡構成及網絡控制更加復雜，自動化程度不斷提高，高電壓、大電流、長距離輸電使電網穩定問題愈加突出?，F代化的工業和人民生活對電的依賴程度越來越高，對電力可靠性和電壓質量的要求不斷提高，對電力設備的安全隱患排查工作的要求也越來越高。
國內電力企業經過多年的發展和總結，已逐漸擁有完善的安全隱患排查治理方式。但是基層工作人員在進行隱患排查時或是根據主觀經驗判斷或是依照范例進行對比，各種方法均存在一定的局限性，無法將隱患的嚴重程度量化。本文主要是借鑒基于資產全壽命周期的風險評估法，對事件發生可能性和影響程度進行量化分析，以定量方法確定安全隱患分級，可以更準確地反映安全隱患的嚴重情況。
1 安全隱患概述
1.1 安全隱患定義與分級
安全隱患具體指安全風險程度較高，可能導致事故發生的作I場所、設備設施、電網運行的不安全狀態、人的不安全行為和安全管理方面的缺失。
根據可能造成事故后果的影響程度，目前電力企業安全隱患分為Ⅰ級重大事故隱患、Ⅱ級重大事故隱患、一般事故隱患和安全事件隱患四個等級。其中，Ⅰ級重大事故隱患和Ⅱ級重大事故隱患合稱為重大事故隱患。
1.2 安全隱患定級方法
1.2.1 主觀判斷法。主觀判斷法是指工作人員在匯總現場情況后，征詢有關專家（一般是基層骨干）的意見，對意見進行統計、處理、分析和歸納，客觀地綜合多數專家經驗與主觀判斷，做出合理估算，經過反饋和調整后，對安全隱患進行定級的方法。主觀判斷法的優點是方法簡便易行，定級較快。
但是，由于缺乏統一的“隱患標準”，基層工作人員在隱患判斷、認定、分級等具體工作中，往往只能依據自身專業知識進行主觀判斷，寬嚴程度隨人、隨單位而變，造成安全隱患定性不準、分級不當、判定標準不一致、隱患信息不翔實等問題。
1.2.2 范例辨識法。范例辨識法是指工作人員參照安全生產事故隱患范例，依據其中編制在列已確定的安全隱患，對比實例、分類樣本、描述、文字說明等形式的表述，在實際工作中排查認定安全隱患。
這種方法有效提高了相關工作人員，特別是一線員工和管理人員排查發現安全隱患、給隱患分級分類的準確性，切實促進了隱患排查治理工作的開展，范例辨識法本質上仍屬于一種定性方法。
1.3 借鑒資產全壽命風險管理思路輔助定級
上述定性方法面臨的主要問題是，電力企業基層人員對隱患排查治理工作的認知程度有限、生產系統已有設備缺陷管理流程和隱患排查治理流程之間存在差別，所以無論是主觀判斷法還是范例辨識法均存在一定局限性。我們可以借鑒資產全壽命周期風險管理的思路，采用一種定量方法來輔助安全隱患定級。安全隱患具有安全風險程度較高的特征，因此就可以采用量化風險的基本思路，用資產全壽命周期的風險評估法為安全隱患定級。風險評估法較上述方法，主要在于合理考慮事件發生可能性，同時擴展事件影響程度的維度。
2 基于資產全壽命周期的風險評估方法
2.1 基于資產全壽命周期風險評估方法
按照風險評估標準，采取既定的評估方法，從風險發生的可能性與風險影響程度兩個方面進行量化，綜合評定風險值和風險等級：
風險（Risk）=風險發生的可能性（P）×風險影響程度（F）
式中：R為風險值；P為風險發生的可能性；F為風險影響程度。
2.2 定量計算風險
在風險評估過程中，各專業也可根據自身的專業特點對風險評估標準進行適當調整，選擇不同的維度或者增加風險評估模型進行識別和評估，但不同評估標準對風險等級的劃分應保持一致。本文將以全面風險評價為主要模型工具。
2.2.1 風險發生的可能性P。風險發生的可能性分為五個級別，分別是極低、低、中等、高、極高。對應業務發生頻率為：可能每5年以上發生該類風險（概率極低）；可能每1～5年發生該類風險（概率低）；可能每年發生該類風險（概率中等）；可能每半年發生該類風險（概率高）；可能每月發生該類風險（概率極高）。以上依次對應1～5分。
2.2.2 風險影響程度F。風險影響程度從電網安全、人員傷亡、社會形象、直接經濟損失四個維度分析確定，選取四個因素的最高值作為損失度。每個維度的風險影響程度分為五個級別，并依次對應1～5分。該五個級別的取值參照《資產全壽命風險評估模型》所定義的取值范圍，結合公司對人身傷亡事故、經濟損失的承受能力調整后確定。
即：
F=Fmax=Max（F1，F2，F3，F4）
電網和設備安全。將電網安全風險損失度分為五個級別，分別是較小、一般、較大、重大、嚴重。具體內容執行國家相關標準法規所定級別劃分標準，對應影響程度分別為《國家電網公司安全事故調查規程》中定義的七級至一級電網和設備事件；人員傷亡。將人員傷亡風險損失度分為五個級別，分別是較小、一般、較大、重大、嚴重。對應影響程度為人員從輕傷至一至四級人身傷亡事故。
社會影響。將社會形象風險損失度分為五個級別，分別為較小、一般、較大、重大、嚴重。對應影響程度為在縣域至國際范圍不等；直接經濟損失。將直接經濟損失風險損失度分為五個級別，分別為較小、一般、較大、重大、嚴重。對應影響程度為1000萬元至數億元不等。
2.3 確定風險等級
2.3.1 一般風險。風險發生的可能性較低或風險發生后對公司的綜合損失度較小的風險（1≤風險值≤4）。
2.3.2 中等風險。介于一般風險與重大風險之間的風險（4
2.3.3 重大風險。風險發生的可能性較高，且發生后對公司的綜合損失度較大的風險（9
Y軸：P（可能性）
X軸：F（影響程度）
圖1 風險評估矩陣
例如：上圖中A點風險值為2，屬于一般風險；B和C點風險值都為12，屬于重大風險。
2.4 安全隱患與風險分級對應
3 基于資產全壽命的風險評估
以下實例選自某電力企業安全隱患管理平臺，將對采用風險評估法定級的結果與傳統定級方法的結果做出比較。
3.1 實例簡介
某電力公司2014年7月15日檢修公司500kV XXXX5322線#45-#47桿塔（15米）100MW光伏項目施工隱患。500kV XXXX5322線#45-#47桿塔（15米）100MW光伏項目施工中，大型作業機具距離帶電導線較近，現場作業人員較多，且該隱患可能一定時期內較長時間存在，易造成安全距離不夠導致線路故障跳閘和人員群體傷亡事故發生。
3.2 傳統評估分級
可能導致后果：依據國家電網公司《安全事故調查規程》2.2.7.1條，35千伏以上輸變電設備異常運行或被迫停運，并造成減供負荷者，構成七級電網事件。如果造成人員傷亡依據不同的人數構成不同等級的人身事故。
采用范例辨識法，查詢“輸電專業”“違章施工”相關條目，條目描述“線路保護區內起重作業，不能保證安全距離：220kV ××線#36～#37，110kV ××線#29～#30塔間通過××鋼材市場，導線最低點離地僅15米，鋼材市場起吊作業頻繁，易造成線路跳閘和人員觸電事故”，屬于“一般隱患”。
3.3 采用基于資產全壽命的風險評估分級
計算風險值：
P取值4――公司可能每半年發生該類風險（概率低）
F1取值1――符合《國家電網公司安全事故調查規程》的七級及以下級電網事件（風險損失度較小）
F2取值4――3人及以上10人以下死亡或者10人及以上50人以下重傷（風險損失度較大）
F3取值2――在地市范圍內受到影響，但該影響需要一定時間、付出一定代價消除（風險損失度一般）
F4取值1――100萬元以下（風險損失度較?。?/p>
F=Fmax=Max（F1，F2，F3，F4）=Max（1，4，2，1）=4
R=P*F=4*4=16
確定風險等級和隱患分級：風險值為16，介于（9，25），根據附表的劃分等級屬于重大風險。
3.4 比較和結論
風險評估得出的安全隱患分級和原系統錄入時評估的等級不一致，原因是本次事件評估人員未充分考慮事件發生可能性較高、長期存在且現場人員多等因素。同時，本事件可能引起較嚴重的人身傷亡事故，須引起充分重視，評估人員低估了其影響程度。
4 結語
電力企業安全隱患分級工作，是[患排查治理的基礎。安全隱患分級工作，目前普遍采用的主觀判斷法和范例辨識法，經過不斷改良和完善，已經可以較大滿足實際工作需要。采用基于資產全壽命的風險評估法，對事件發生可能性和影響程度進行量化分析，定性結合定量能更有效核證，可以更準確地反映實際情況?；谫Y產全壽命周期的風險評估法，將能重點應用于需要特別關注的、可能成為工作焦點的一些隱患的管理，可以更加準確、科學地對隱患進行定義和定級。
采用基于資產全壽命周期的風險評估法雖然能通過定量計算的方法對安全隱患輔助定級，但仍需注意其局限性：（1）雖然基于資產全壽命周期的風險評估法適用面較廣，但由于風險評估所采用的取值范圍的局限性和通用性，其評估結果有時不能準確反映出管理者期待的個性化結果，宏觀的變量取值可能難以反映微觀的事件本質，即客觀性和主觀性不能完全統一，有時應根據企業承受風險能力和實際情況對理論取值進行調整；（2）基于資產全壽命周期的風險評估法在實際使用過程中工作量較大，無法完全替代現有定級方法，其應用范圍受到一定的限制，所以應篩選出有上述特定隱患或存在爭議的實例加以運用。
相信在今后電力企業安全隱患分級工作不斷總結經驗的基礎上，基于資產全壽命周期的風險評估法會得到進一步完善，更能確切的指導隱患排查治理工作的全面有效開展。
參考文獻
[1] 國家電網公司.國家電網公司安全事故調查規程（國家電網安監[2011]2024號）[S].2011.
[2] 國家電網公司.國家電網公司安全生產事故隱患范例（一）（國家電網安監[2010]68號）[S].2010.
[關鍵詞] 基礎地理；信息系統；安全；風險評估
doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2015 . 21. 082
[中圖分類號] TP315 [文獻標識碼] A [文章編號] 1673 - 0194（2015）21- 0155- 03
1 引 言
風險是以一定的發生概率的潛在危機形式存在的可能性，而不是已經存在的客觀結果或既定事實。風險管理是通過對風險的識別、衡量和控制，以最小的成本將風險導致的各種損失結果減少到最小的管理方法。隨著信息化向縱深發展，基礎地理信息系統被廣泛應用，但信息安全方面的威脅也大大增加，具體到市縣級基礎地理信息系統中存在各類風險，這些風險有著自身的特點，對系統的影響也隨著不同階段而不同。其中信息安全風險是指系統本身的脆弱性在來自環境的威脅下而產生的風險，這些風險會對信息系統核心資產的安全性、完整性和可用性造成破壞。對測繪行業信息安全風險的評估是進行有效風險管理的基礎，是對風險計劃和風險控制過程的有力支撐，而如何識別和度量風險成為一個難題，目前測繪地理信息行業沒有一個行業性安全評估類或者安全管理類規范標準，通用安全評估規范在很多方面對于測繪地理信息系統復雜性和行業特點缺乏適用性，往往較難落地，為此提出市縣級國土資源基礎地理信息系統安全風險評估規范研究。
2 國內外信息安全風險評估的研究現狀
信息安全風險評估經歷了很長一段的發展時期。風險評估的重點也由最初簡單的漏洞掃描、人工審計、滲透性測試這種類型的純技術操作，逐漸過渡到技術與管理相結合的科學方法。由于信息安全問題的突出重要性，以及發生安全問題的后果嚴重性，目前評估工作已經得到重視和開展。國內外很多學者都在積極投身于信息安全的研究，期望找到保護信息安全的盔甲。美國在信息安全風險管理領域的研究與應用獨占鰲頭，政府控管體制健全，己經形成了較為完整的風險分析、評估、監督、檢查問責的工作機制。DOD作為風險評估的領路者，1970年就已對當時的大型機、遠程終端作了第一次比較大規模的風險評估； 1999年，美國總審計局在總結實踐的基礎上，出版了相關文檔，指導美國組織進行風險評估；2001年美國國家標準和技術協會（NIST）推出SP800系列的特別報告中也涉及到風險評估的內容；歐洲各國對信息安全風險一直采取“趨利避害”的安全策略，于2001-2003年完成了安全關鍵系統的風險分析平臺項目CORAS，被譽為歐洲經典。我國信息安全評估起步較晚，2003年7月，國信辦信息安全風險評估課題組啟動了信息安全風險評估相關標準的編制工作；8月，信息安全評估課題組對我國信息安全工作的現狀進行了調研，完成了相關的評估報告，總結了風險評估是信息安全的基礎性工作；2004年3月國家《信息安全風險評估指南》與《信息安全風險管理指南》的征求意見稿；2005年2月至9月，開始了國家基礎信息網絡和重要信息系統的信息安全風險評估試點工作；2007年7月我國頒布了《信息安全技術信息安全風險評估規范》（GB/T 20984一2007）并于2007年11月1日實施；2008年4月22日，在國家信息中心召開了《信息系統風險評估實施指南》預制標準第二次研討會，此次會議主要就標準工作組制定的《實施指南》目錄框架進行了詳細研究與討論，《信息系統風險評估實施指南》作為GB/T 20984-2007《信息安全風險評估規范》和《信息安全風險管理規范》之后又一技術性研究課題，將充實信息安全風險評估和風險管理具體實施工作。
3 市縣級基礎地理信息系統安全風險評估規范研究方法和手段
3.1 市縣級基礎地理信息系統安全風險評估規范研究方法
市縣級基礎地理信息系統安全風險評估規范研究通過綜合分析評估后的資產信息、威脅信息、脆弱性信息，最終生成風險信息。資產的評估主要從保密性、完整性、可用性三方面的安全屬性進行影響分析，從資產的相對價值中體現了威脅的嚴重程度；威脅評估是對資產所受威脅發生可能性的評估；脆弱性的評估是對資產脆弱程度的評估；具體如下：
（1）資產評估。資產評估的主要工作就是對市、縣、鄉三級基礎地理信息系統風險評估范圍內的資產進行識別，確定所有的評估對象，然后根據評估的資產在業務和應用流程中的作用對資產進行分析，識別出其關鍵資產并進行重要程度賦值。根據資產評估報告的結果，可以清晰的分析出市、縣、鄉三級基礎地理信息系統中各主要業務的重要性，以及各業務中各種類別的物理資產、軟件資產和數據資產的重要程度，從而得出信息系統的安全等級。同時，可以明確各業務系統的關鍵資產，確定安全評估和保護的重點對象。
在此基礎上，建立針對市、縣、鄉三級基礎地理信息系統中的資產配置庫，對資產的名稱、類型、屬性以及相互關系、安全級別、責任主體等信息進行描述。
（2）威脅評估。威脅是指可能對資產或組織造成損害事故的潛在原因。威脅識別的任務主要是識別可能的威脅主體（威脅源）、威脅途徑和威脅方式，威脅主體是指可能會對信息資產造成威脅的主體對象，威脅方式是指威脅主體利用脆弱性的威脅形式，威脅主體會采用威脅方法利用資產存在的脆弱性對資產進行破壞。
在此基礎上，充分調研，分析現有記錄、安全事件、日志及各類告警信息，整理本行業信息系統在物理、網絡、主機、應用和數據及管理方面面臨的安全威脅，形成風險點列表。
（3）脆弱性評估。脆弱性是指資產或資產組中能被威脅所利用的弱點，它包括物理環境、組織機構、業務流程、人員、管理、硬件、軟件及通訊設施等各個方面，這些都可能被各種安全威脅利用來侵害一個組織機構內的有關資產及這些資產所支持的業務系統。
通過研究，將建立本行業的涉及主要終端、服務器、網絡設備、安全設備、數據庫及應用等主要系統的基線庫，從而為脆弱性檢測在“安全配置”方面提供指標支撐。
（4）綜合風險評估及計算方法。風險是指特定的威脅利用資產的一種或一組脆弱性，導致資產的丟失或損害的潛在可能性，即特定威脅事件發生的可能性與后果的結合。在風險評估模型中，主要包含信息資產、脆弱性、威脅和風險四個要素。每個要素有各自的屬性，信息資產的屬性是資產價值，脆弱性的屬性是脆弱性被威脅利用后對資產帶來的影響的嚴重程度，威脅的屬性是威脅發生的可能性，風險的屬性是風險發生的后果。
綜合風險計算方法：根據風險計算公式R= f（A，V，T）=f（Ia，L（Va，T）），即：風險值=資產價值×威脅可能性×弱點嚴重性，下表是綜合風險分析的舉例：
注：R表示風險；A表示資產；V表示脆弱性；T表示威脅；Ia表示資產發生安全事件后對組織業務的影響（也稱為資產的重要程度）；Va表示某一資產本身的脆弱性，L表示威脅利用資產的脆弱性造成安全事件發生的可能性。
風險的級別劃分為5級（見表1），等級越高，風險越高。
各信息系統風險值計算及總體風險計算則按照風險的不同級別和各級別風險的個數進行加權計算，具體的加權計算方法如下。
風險級別權重分配：
極高風險 30%
高風險 25%
中風險 20%
低風險 15%
很低風險 10%
各級別風險個數對應關系（即各級別風險相對于很低風險的個數換算）：
極高風險 16
高風險 8
中風險 4
低風險 2
很低風險 1
風險計算公式R’=K（av，p，n）=av×p×n，其中，av代表各級別風險求平均后總和，p代表相應的風險級別權重，n代表相應的風險個數權重。
總體風險值=R’（極高）+ R’（高） + R’（中） + R’（低） + R’（很低）
3.2 市縣級基礎地理信息系統安全風險評估規范研究的手段
（1）專家分析。對于已有的安全管理制度和策略，由經驗豐富的安全專家進行管理方面的風險分析，結合江蘇省基礎地理信息系統安全建設現狀，指出當前安全規劃和安全管理制度存在的不足，并給出安全建議。
（2）工具檢測。采用成熟的掃描或檢測工具，對于網絡中的服務器、數據庫系統、網絡設備等進行掃描評估；為了充分了解各業務系統當前的網絡安全現狀及其安全威脅，因此需要利用基于各種評估側面的評估工具對評估對象進行掃描評估，對象包括各類主機系統、網絡設備等，掃描評估的結果將作為整個評估內容的一個重要參考依據。
（3）基線評估。采用基線風險評估，根據本行業的實際情況，對信息系統進行安全基線檢查，拿現有的安全措施與安全基線規定的措施進行比較，找出其中的差距，得出基本的安全需求，通過選擇并實施標準的安全措施來消減和控制風險。所謂的安全基線，是在諸多標準規范中規定的一組安全控制措施或者慣例，這些措施和慣例適用于特定環境下的所有系統，可以滿足基本的安全需求，能使系統達到一定的安全防護水平。
（4）人工評估。工具掃描因為其固定的模板，適用的范圍，特定的運行環境，以及它的缺乏智能性等諸多因素，因而有著很大的局限性；而人工評估與工具掃描相結合，可以完成許多工具所無法完成的事情，從而得出全面的、客觀的評估結果。人工檢測評估主要是依靠具有豐富經驗的安全專家在各服務項目中通過針對不同的評估對象采用顧問訪談，業務流程了解等方式，對評估對象進行全面的評估。
（5）滲透測試。在整個風險評估的過程中，結合外部滲透測試的方式發現系統中可能面臨的安全威脅和已經存在的系統脆弱性。
關鍵詞：網絡安全；風險評估；模糊綜合評價
0 前言
網絡安全正逐漸成為一個國際化的問題，每年全球因計算機網絡的安全系統被破壞而造成的經濟損失達數千億美元。網絡安全是一個系統的概念，有效的安全策略或方案的制定，是網絡信息安全的首要目標。安全風險評估是建立網絡防護系統，實施風險管理程序所開展的一項基礎性工作。
然而，現有的評估方法在科學性、合理性方面存在一定欠缺。例如：評審法要求嚴格按照BS7799標準，缺乏實際可操作性；漏洞分析法只是單純通過簡單的漏洞掃描或滲透測試等方式對安全資產進行評估；層次分析法主要以專家的知識經驗和統計工具為基礎進行定性評估。針對現有網絡安全評估方法中出現的這些問題，本文擬引用一種定性與定量相結合，綜合化程度較高的評標方法――模糊綜合評價法。
模糊綜合評價法可根據多因素對事物進行評價，是一種運用模糊數學原理分析和評價具有“模糊性”的事物的系統分析方法，它是一種以模糊推理為主的定性與定量相結合、非精確與精確相統一的分析評價方法。該方法利用模糊隸屬度理論把定性指標合理的定量化，很好的解決了現有網絡安全風險評估方法中存在的評估指標單一、評估過程不合理的問題。
1 關于風險評估的幾個重要概念
按照ITSEC的定義對本文涉及的重要概念加以解釋：
風險(Risk)：威脅主體利用資產的漏洞對其造成損失或破壞的可能性。
威脅(Threat)：導致對系統或組織有害的，未預料的事件發生的可能性。
漏洞(Vulnerabmty)：指的是可以被威脅利用的系統缺陷，能夠增加系統被攻擊的可能性。
資產(Asset)：資產是屬于某個組織的有價值的信息或者資源，本文指的是與評估對象信息處理有關的信息和信息載體。
2 網絡安全風險評估模型
2.1 網絡安全風險評估中的評估要素
從風險評估的角度看，信息資產的脆弱性和威脅的嚴重性相結合，可以獲得威脅產生時實際造成損害的成功率，將此成功率和威脅的暴露率相結合便可以得出安全風險的可能性。
可見，信息資產價值、安全威脅和安全漏洞是風險評估時必須評估的三個要素。從風險管理的角度看，這三者也構成了邏輯上不可分割的有機整體：①信息資產的影響價值表明了保護對象的重要性和必要性。完整的安全策略體系中應當包含一個可接受風險的概念；②根據IS0-13335的定義，安全威脅是有能力造成安全事件并可能造成系統、組織和資產損害的環境因素。可以通過降低威脅的方法來降低安全風險，從而達到降低安全風險的目的；③根據IS0-13335的觀點，漏洞是和資產相聯系的。漏洞可能為威脅所利用，從而導致對信息系統或者業務對象的損害。同樣，也可以通過彌補安全漏洞的方法來降低安全風險。
從以上分析可以看出，安全風險是指資產外部的威脅因素利用資產本身的固有漏洞對資產的價值造成的損害，因此風險評估過程就是資產價值、資產固有漏洞以及威脅的確定過程。
即風險R＝f(z，t，v)。其中：z為資產的價值，v為網絡的脆弱性等級，t為對網絡的威脅評估等級。
2.2 資產評估
資產評估是風險評估過程的重要因素，主要是針對與企業運作有關的安全資產。通過對這些資產的評估，根據組織的安全需求，篩選出重要的資產，即可能會威脅到企業運作的資產。資產評估一方面是資產的價值評估，針對有形資產；另一方面是資產的重要性評估，主要是從資產的安全屬性分析資產對企業運作的影響。資產評估能提供：①企業內部重要資產信息的管理；②重要資產的價值評估；③資產對企業運作的重要性評估；④確定漏洞掃描器的分布。
2.3 威脅評估
安全威脅是可以導致安全事故和信息資產損失的活動。安全威脅的獲取手段主要有：IDS取樣、模擬入侵測試、顧問訪談、人工評估、策略及文檔分析和安全審計。通過以上的威脅評估手段，一方面可以了解組織信息安全的環境，另一方面同時對安全威脅進行半定量賦值，分別表示強度不同的安全威脅。
威脅評估大致來說包括：①確定相對重要的財產，以及其價值等安全要求；②明確每種類型資產的薄弱環節，確定可能存在的威脅類型；③分析利用這些薄弱環節進行某種威脅的可能性；④對每種可能存在的威脅具體分析造成損壞的能力；⑤估計每種攻擊的代價；⑥估算出可能的應付措施的費用。
2.4 脆弱性評估
安全漏洞是信息資產自身的一種缺陷。漏洞評估包括漏洞信息收集、安全事件信息收集、漏洞掃描、漏洞結果評估等。
通過對資產所提供的服務進行漏洞掃描得到的結果，我們可以分析出此設備提供的所有服務的風險狀況，進而得出不同服務的風險值。然后根據不同服務在資產中的權重，結合該服務的風險級別，可以最后得到資產的漏洞風險值。
3 評估方法
3.1傳統的評估方法
關于安全風險評估的最直接的評估模型就是，以一個簡單的類數學模型來計算風險。即：風險＝威脅+脆弱+資產影響
但是，邏輯與計算需要乘積而不是和的數學模型。即：風險＝威脅x脆弱x資產影響
3.2 模糊數學評估方法
然而，為了計算風險，必須計量各單獨組成要素（威脅、脆弱和影響)?，F有的評估方法常用一個簡單的數字指標作為分界線，界限兩邊截然分為兩個級別。同時，因為風險要素的賦值是離散的，而非連續的，所以對于風險要素的確定和評估本身也有很大的主觀性和不精確性，因此運用以上評估算法，最后得到的風險值有很大的偏差。用模糊數學方法對網絡安全的風險評估進行研究和分析，能較好地解決評估的模糊性，也在一定程度上解決了從定性到定量的難題。在風險評估中，出現誤差是很普遍的現象。風險評估誤差的存在，增加了評估工作的復雜性，如何把握和處理評估誤差，是評估工作的難點之一。
在本評估模型中，借鑒了模糊數學概念和方法中比較重要的部分。這樣做是為了既能比較簡單地得到一個直觀的用戶易接受的評估結果，又能充分考慮到影響評估的各因素的精度及其他一些因素，盡量消除因為評估的主觀性和離散數據所帶來的偏差。
（1）確定隸屬函數。
在模糊理論中，運用隸屬度來刻畫客觀事物中大量的模糊界限，而隸屬度可用隸屬函數來表達。如在根據下面的表格確定風險等級時，當U值等于49時為低風險，等于51時就成了中等風險。
此時如運用模糊概念，用隸屬度來刻畫這條分界線就好得多。比如，當U值等于50時，隸屬低風險的程度為60％，隸屬中等風險的程度為40％。
為了確定模糊運算，需要為每一個評估因子確定一種隸屬函數。如對于資產因子，考慮到由于資產級別定義時的離散性和不精確性，致使資產重要級別較高的資產(如4級資產)也有隸屬于中級級別資產（如3級資產)的可能性，可定義如下的資產隸屬函數體現這一因素：當資產級別為3時，資產隸屬于二級風險級別的程度為10％，隸屬于三級風險級別的程度為80％，屬于四級風險級別的程度為10％。
威脅因子和漏洞因子的隸屬度函數同樣也完全可以根據評估對象和具體情況進行定義。
（2）建立關系模糊矩陣。
對各單項指標(評估因子)分別進行評價。可取U為各單項指標的集合，則U＝(資產，漏洞，威脅)；取V為風險級別的集合，針對我們的評估系統，則V＝(低，較低，中，較高，高)。對U上的每個單項指標進行評價，通過各自的隸屬函數分別求出各單項指標對于V上五個風險級別的隸屬度。例如，漏洞因子有一組實測值，就可以分別求出屬于各個風險級別的隸屬度，得出一組五個數。同樣資產，威脅因子也可以得出一組數，組成一個5×3模糊矩陣，記為關系模糊矩陣R。
（3）權重模糊矩陣。
一般來說，風險級別比較高的因子對于綜合風險的影響也是最大的。換句話說，高的綜合風險往往來自于那些高風險級別的因子。因此各單項指標中那些風險級別比較高的應該得到更大的重視，即權重也應該較大。設每個單項指標的權重值為β1。得到一個模糊矩陣，記為權重模糊矩陣B，則B＝(β1,β2,β3)。
（4）模糊綜合評價算法。
進行單項評價并配以權重后，可以得到兩個模糊矩陣，即權重模糊矩陣B和關系模糊矩陣R。則模糊綜合評價模型為：Y＝B x R。其中Y為模糊綜合評估結果。Y應該為一個1x 5的矩陣：Y＝(y1，y2,y3，y4，y5)。其中yi代表最后的綜合評估結果隸屬于第i個風險級別的程度。這樣，最后將得到一個模糊評估形式的結果，當然也可以對這個結果進行量化。比如我們可以定義N＝1×y1十2×y2十3×y3×y4十5×y5作為一個最終的數值結果。
4 網絡安全風險評估示例
以下用實例說明基于模糊數學的風險評估模型在網絡安全風險評估中的應用。
在評估模型中，我們首先要進行資產、威脅和漏洞的評估。假設對同樣的某項資產，我們進行了資產評估、威脅評估和漏洞評估，得到的風險級別分別為：4、2、2。
那么根據隸屬函數的定義，各個因子隸屬于各個風險級別的隸屬度為：
如果要進行量化，那么最后的評估風險值為：PI= 1*0.06+2*0.48+3*0.1+4*0.32+5*0.04＝2.8。因此此時該資產的安全風險值為2.8。
參考文獻
［1］郭仲偉.風險分析與決策［M］.北京：機械工業出版社，1987.
［2］韓立巖，汪培莊.應用模糊數學［M］.北京：首都經濟貿易大學出版社，1998.
［3］徐小琳，龔向陽.網絡安全評估軟件綜述［J］.網絡信息安全，2001.
信息系統的風險性可以分為人為性風險和非人為性風險,非人為性風險主要包括環境和系統風險。信息系統的脆弱性主要包括硬件、軟件、管理以及運行環境等四個方向,從硬件方向講,指硬件設備存在的漏洞和缺陷。從軟件方向講,在信息系統的研發過程中所產生的錯誤信息,進而導致系統出現漏洞,對安全造成嚴重危害。從管理方面講,是指在日常管理和應急預案管理的過程中存在問題。從運行環境方面講,指的是辦公室、計算機房、溫度、濕度以及照明條件等情況導致的系統漏洞。
2信息系統管理中信息安全風險評估方法
2.1信息安全風險評估內容
信息安全風險評估的主要內容包括評估資產的威脅性和脆弱性,對已有安全措施進行風險評估分析。信息資產是指對信息資源產生一定利用價值的總稱,是信息安全評估中的重點保護對象,主要分為人員、數據、軟件和硬件等資源,根據各種資源的完整性、保密性以及可用性進行等級劃分,評估組織系統中資產的威脅性,包括直接威脅和間接威脅等,根本目的在于對安全風險需求的分析,建立風險防范措施,有效降低信息安全的威脅性因素。
2.2風險評估方法
信息系統管理中的信息安全風險評估方法較多,本文主要從人工評估法和定性評估法兩方面進行分析。人工評估法。又稱為手工評估法,是指在整個風險評估的過程中,運用人工作業的形式進行信息安全風險評估,通過對資產、投資成本的風險的安全需求、威脅性、脆弱性以及安全措施等,進行有效評估,根據其風險效益制定出與之相對應的決策。定性評估法。定性評估法是根據專業機構以及專家等對風險的判斷分析,屬于一種相對主觀的評估方法,該評估方法偏向于關注風險帶來的損失,忽略了風險的發生頻率。其他評估方法包括工具輔助評估和定量評估等方法。
2.3層次分析方法
通過運用層次分析法對信息安全的評價體系進行構建,進而對風險進行綜合性評價。通過運用層次分析法對信息安全的風險作出評估,評價信息安全風險所涉及到的各個要素間的相對重要的權數,根據各個要素的排序,作出橫向比較分析,為信息安全的風險評估提供可靠依據。對信息安全的風險評估中,通過運用層次分析法進行有效評估,進而增強風險評估的有效性。通過分析資產、威脅性、脆弱性以及安全措施的四個評價指標體系,對安全風險進行合理性的分析評估,降低安全風險系數。
3結語
電子文件風險評估是電子文件安全管理的重要前提和基礎，也是檔案信息化建設的重要課題。基于風險評估的電子文件安全管理體系能夠對電子文件信息安全狀況進行“把脈”，提出針對性的“診療”手段，而不是傳統管理被動的“頭痛醫頭腳痛醫腳”。
一、電子文件風險評估的意義
（一）風險評估是電子文件安全管理的前提和基礎。由于自身的特點，電子文件的風險始終客觀存在。檔案工作者的努力目標就是利用一切先進的技術和方法，把風險降到最低，把損失控制在最小的范圍內。運用風險管理的理念和方法，對電子文件進行風險評估，能夠對電子文件進行科學、全面的分析，查找可能威脅電子文件的風險，在風險發生之前作出判斷，采取措施，及時應對。因此，風險評估對檔案工作具有重大意義，是傳統檔案管理方法的有益補充。
（二）風險評估是進一步完善電子文件安全管理的關鍵環節。它能夠利用科學的量化標準，對風險發生的概率及其可能造成的損失進行預測和分析，并在此基礎上對存在風險的環節進行改進和完善。電子文件安全管理實行風險評估能夠使管理者全面、清晰地把握電子文件存在的危險和不足，有利于進一步改進管理方法，理清管理思路，完善管理制度，全面提升電子文件管理水平。
（三）風險評估是實施電子文件安全等級保護的必然要求。要對各類電子文件實施安全等級保護，就要在電子文件安全管理中開展風險評估，對電子文件安全管理體系中存在的風險進行安全預測，科學定級，分級管理。
（四）風險評估是實現電子文件管理國際化的重要途徑。隨著信息安全工作的發展，風險管理在電子文件管理中的作用越來越得到人們的認可，信息安全風險評估也從單一的技術手段發展成為一種科學的管理體系，科學統一的技術規范和評定依據逐漸成為風險評估的必需。由于信息安全事關國家利益，大部分發達國家都制訂了電子文件風險評估標準，并將之作為行業的技術性法規。電子文件管理廣泛開展風險評估，有利于推廣信息技術安全保護標準化，有利于促進國際間技術交流合作，是實現電子文件管理國際化的重要途徑。
二、電子文件風險評估工作的困境
（一）風險認識存在偏差。電子文件已經成為檔案產生、保存和管理的主要形式，由于其自身特點，各種各樣的危險始終緊隨著電子文件，但許多人對電子文件風險的認識卻存在不同偏差。有的風險意識薄弱，認為傳統紙質檔案對保存環境要求條件高，需要預防微生物、蟲害、嚙齒動物等的損害，還要時刻注意光照、溫度、濕度、灰塵等因素，而電子文件只需要一臺計算機就能解決所有問題，而且保存簡單、利用方便，一勞永逸。也有的認為電子文件作為信息技術的產物，必然面臨不可讀、失真、黑客等威脅，且一旦造成損失，往往是蕩然無存又無法挽救，其風險無可避免。也有的認為現代信息技術十分先進，只要建立科學的管理體系，采納先進的管理技術，絕對能夠避免電子文件的風險。正是因為存在對風險認識的各種偏差，導致管理者和利用者沒有科學、正確地認識電子文件的風險，或者麻痹大意，或者失去信心，或者陷入一味追求絕對安全的誤區。正是因為存在各種對風險認識的偏差，目前我國電子文件風險管理水平較低，尤其缺乏必要的風險評估活動。
（二）安全風險評估工作滯后。一是沒有一支專業的風險評估隊伍。電子文件風險評估是一項專業化非常強的工作，我國有一些風險意識較強的已經嘗試開展風險管理，但仍然沒有一支專業的風險評估隊伍。二是評估標準亟待完善。根據國家信息安全等級保護“自主定級，自主保護”的原則，應該根據自身情況制訂科學的定級標準，嚴格執行，確保電子文件安全管理。但我國大部分目前尚未制訂信息安全保護等級標準，沒有真正執行電子文件等級保護的規定。三是風險管理缺乏系統性。電子文件風險管理是一個系統工作，包括風險管理規劃、風險評估、風險應對和風險監控等四個基本環節。風險評估是整個風險管理的基礎性工作，但評估的結果必須與風險管理的其他環節緊密結合，特別是要具體指導風險應對和風險監控活動。由于電子文件風險管理剛剛起步，還沒有建立系統的風險管理機制，無法真正實現風險評估“有理可依，有據可循”。
（三）電子文件管理停留在傳統安全保護階段。電子文件是檔案管理的特殊對象，一些檔案工作者沒有認識到電子文件既是“檔案”又是“電子信息”的特點，管理停留在傳統安全保護階段，沒有采取先進的風險管理方法，給電子文件管理遺留下不少安全隱患。一是管理過程缺乏全程性，認為保護是電子文件歸檔后的任務，沒有意識到電子文件形成和利用中存在的風險。二是安全管理停留在靜態、被動階段，沒有根據電子文件的發展和單位管理體系內部情況的變化實施動態的風險評估和風險應對。三是大多數沒有積極引入遠程技術、異地備份、云計算等先進的技術加強電子文件安全管理。
（四）信息資產安全形勢嚴峻。信息資產的安全保護和開發利用是提高辦學效益、提升影響力的重要途徑。電子文件已經逐步取代紙質文件成為主要的檔案載體，儲存著數量龐大的數據資產、軟件資產、師生信息、科研資料等。由于電子文件的特點，信息資產存在著高風險性，往往一被泄漏就失去資產包含的價值。許多資產管理者和檔案工作者低估信息資產的價值，忽視電子文件信息保護，導致信息資產安全面臨著嚴峻的形勢。
三、基于風險評估的電子文件安全管理體系
（一）以風險管理規劃完善安全管理體系。風險管理規劃能夠對電子文件管理工作進行統籌規劃，有利于今后電子文件管理的持續、有序、順利開展。應根據電子文件管理的需要，制訂電子文件風險規劃，將電子文件安全管理的實施目標、構建原則、構建方法、工作內容建成一個基本框架，進而確立和完善電子文件安全管理體系。
（二）以風險評估標準規范安全管理策略。電子文件安全管理策略就是針對電子文件安全管理的全局性、基礎性、系統性問題所制定的政策和措施，是對電子文件安全管理的總體思路和指導方針。電子文件安全管理策略是否科學、合理、適宜，關系著電子文件管理目標和任務能否順利實現。風險評估標準是電子文件風險評估的工具，直接決定了安全評估的結果，為風險管理的具體工作提供了操作性指導，因此也影響著電子文件安全管理策略的制定。電子文件風險評估標準的制定既要建立在國際組織和國家政府頒布的信息安全管理標準的基礎上，又要結合電子文件信息安全的具體情況，兼顧定性分析和定量分析的方法，從而達到對電子文件安全管理策略的戰略指導和操作規范。
（三）以風險評估結果引導安全管理工作。電子文件風險評估之所以能夠發揮作用，最主要是評估的結果對整個風險管理工作的指導意義。風險評估能夠初步識別出電子文件安全管理工作中的存在風險及造成因素，并根據風險因素的危害程度確定風險等級，提出應對措施，引導今后的管理工作。
（四）以風險應對策略提升安全管理水平。電子文件風險評估的根本目的是預測文件管理的危險因素并采取有效的應對策略，最大限度地減少各種風險因素造成的損失。為了保證電子文件信息的保密性、完整性、真實性和可用性，電子文件風險應對策略必須對信息資產管理、文件管理和業務管理進行統籌規劃，根據風險因素選擇采用風險預防、風險規避、風險轉移、風險減輕或風險接受等五種基本策略應對風險。一個優秀的電子文件安全管理體系能夠根據電子文件管理的需要采取風險應對措施，并在此基礎上改進文件管理的方法，通過風險應對在實際上不斷提高文件管理體系的科學水平。
【 關鍵詞 】 信息安全；等級保護；風險評估
Information Security Hierarchy Protection and Risk Assessment
Dai Lian-fen
（China Petroleum & Chemical Corporation Guangzhou Branch GuangdongGuangzhou 510725）
【 Abstract 】 This paper on how to combine the hierarchy protection of information security risk assessment a beneficial exploration, to effectively support the information systems hierarchy protection construction provides the reference.
【 Keywords 】 information security;hierarchy protection;risk assessment
1 風險評估是等級保護建設工作的基礎
等級保護測評中的差距分析是按照等保的所有要求進行符合性檢查，檢查信息系統現狀與國家等保要求之間的符合程度。風險評估作為信息安全工作的一種重要技術手段，其目標是深入、詳細地檢查信息系統的安全風險狀況，比差距分析結果在技術上更加深入。為此，等級保護與風險評估之間存在互為依托、互為補充的關系，等級保護是國家一項信息安全政策，而風險評估則是貫徹這項制度的方法和手段，在實施信息安全等級保護周期和層次中發揮著重要作用。
風險評估貫穿等級保護工作的整個流程，只是在不同階段評估的內容和結果不一樣。《信息系統安全等級保護實施指南》將等級保護基本流程分為三個階段：定級，規劃與設計，實施、等級評估與改進。在第一階段中，風險評估的對象內容是資產評估，并在此基礎上進行定級。在第二階段中，主要是對信息系統可能面臨的威脅和潛在的脆弱性進行評估，根據評估結果，綜合平衡安全風險和成本，以及各系統特定安全需求，選擇和調整安全措施，確定出關鍵業務系統、子系統和各類保護對象的安全措施。在第三個階段中，則涉及評估系統是否滿足相應的安全等級保護要求、評估系統的安全狀況等，同時根據結果進行相應的改進。
等級保護所要完成的工作本質就是根據信息系統的特點和風險狀況,對信息系統安全需求進行分級, 實施不同級別的保護措施。實施等級保護的一個重要前提就是了解系統的風險狀況和安全等級, 所以風險評估是等級保護的重要基礎與依據。
2 等級保護建設過程中如何有效地結合風險評估
2.1 以風險評估中資產安全屬性的重要度來劃分信息系統等級
在公安部等四部局聯合下發了《信息安全等級保護的實施意見》公通字2004第66號文中，根據信息和信息系統的重要程度，將信息和信息系統劃分為了五個等級自主保護級、指導保護級、監督保護級、強制保護級和?？乇Ｗo級。實際上對信息系統的定級過程，也就是對信息資產的識別及賦值的過程。在國家的《信息系統安全等級保護定級指南》中，提出了對信息系統的定級依據，而這些依據基本的思想是根據信息資產的機密性、完整性和可用性重要程度來確定信息系統的安全等級，這正是風險評估中對信息資產進行識別并賦值的過程：對信息資產的機密性進行識別并賦值；對信息資產的完整性進行識別并賦值；對信息資產的可用性進行識別并賦值。從某種意義上來說，信息系統(不是信息)的安全等級劃分，實際上也是對殘余風險的接受和認可。
2.2 以風險評估中威脅程度來確定安全等級的要求
在等級保護中，對系統定級完成后，應按照信息系統的相應等級提出安全要求，安全要求實際上體現在信息系統在對抗威脅的能力與系統在被破壞后，恢復的速度與恢復的程度方面。而這些在風險評估中，則是對威脅的識別與賦值活動；脆弱性識別與賦值活動；安全措施的識別與確認活動。對于一個安全事件來說，是威脅利用了脆弱性所導致的，在沒有威脅的情況下，信息系統的脆弱性不會自己導致安全事件的發生。所以對威脅的分析與識別是等級保護安全要求的基本前提，不同安全等級的信息系統應該能夠對抗不同強度和時間長度的安全威脅。
2.3 以風險評估的結果作為等級保護建設的安全設計的依據
在確定信息系統的安全等級和進行風險評估后，應該根據安全等級的要求和風險評估的結果進行安全方案設計，而在安全方案設計中，首要的依據是風險評估的結果，特別是對威脅的識別，在一些不存在的威脅的情況下，對相應的脆弱性應該不予考慮，只作為殘余風險來監控。對于兩個等級相同的信息系統，由于所承載業務的不同，其信息的安全屬性也可能不同，對于需要機密性保護的信息系統，和對于一個需要完整性保護的信息系統，保護的策略必須是不同，雖然它們可能有相同的安全等級，但是保護的方法則不應該是一樣的。所以，安全設計首先應該以風險評估的結果作為依據，而將設計的結果與安全等級保護的要求相比較，對于需要保護的必須符合安全等級要求，而對于不需要保護的則可以暫不考慮安全等級的要求，而對于一些必須高于安全等級要求的，則必須依據風險評估的結果，進行相應高標準的設計。
3 結束語
風險評估為等級保護工作的開展提供基礎數據，是等級保護定級、建設的實際出發點，通過安全風險評估，可以發現信息系統可能存在的安全風險，判斷信息系統的安全狀況與安全等級保護要求之間的差距，從而不斷完善等級保護措施。文章對等級保護工作中如何結合信息安全風險評估進行了有益的探索，為有效地支撐計算機信息系統等級保護建設的順利進行提供了參考。
參考文獻
[1] 吳賢.信息安全等級保護和風險評估的關系研究.信息網絡安全，2007.
[2] 馮登國,張陽,張玉清.信息安全風險評估綜述.通信學報，2004.
自20世紀80年代起，隨著對風險評估問題研究的不斷深入，出現了多種風險評估方法和標準。但是，這些方法和標準一般都是針對大型機構或部門的信息系統設計，用于實施風險評估，往往工作量較大，無法適用于中小型信息系統。
因此，在已知的大量實際案例中，風險評估的實施往往沒有采用經典的由威脅、脆弱性、資產組成的標準模型，而代之以最佳實踐法、資產評估法、基于場景的分析法等方法。其中，最佳實踐法側重于分析對不同類別資產所采取的安全措施；資產評估法重點關注資產在組織層面的價值；基于場景的分析法則依靠測試和分析典型風險場景來實現風險評估。這些方法的問題包括：1、評估過程花費昂貴且耗時過長，評估結果無法及時反應信息系統風險狀態；2、安全措施的選擇往往并非基于風險模型，而是基于由最佳實踐得出的安全措施清單，無法科學地反映被評估系統的問題。
在學術領域，也有不少研究致力于將故障樹、事件樹、馬爾可夫鏈、FMEA等建模技術應用于風險評估模型的構建。如基于DS證據推理的風險評估模型、基于貝葉斯網絡的風險評估模型P]、基于攻擊樹的風險評估模型等。上述方法的共同缺點包括：假設的主觀性較強、風險因素與風險之間關系的識別的復雜性較高、時間較長。
2011年，Lazzerini和Mkrtchyan提出了一種使用具有非線性隸屬函數、條件權重及時延權重的擴展模糊認知圖（E-FCMs)來分析風險因素和風險之間關系的方法，在該文獻中，倆人還提出了一種基于E-FCMs的悲觀方法來評估一個系統或項目整體風險的模型，并通過引入適合于風險分析的特殊圖示對E-FCMs進行了擴展。但是，本文研究的信息安全風險屬于操作類風險，上述方法不能直接用于解決此類風險評估問題。
本文提出了一種基于模糊認知圖（FuzzyCognitiveMaps，FCM)的輕量級風險評估方法，方法包括風險模型構建、風險推理兩部分。其中，模糊認知圖被用于獲取資產間依賴關系，基于模糊認知圖的推理方法被用于將低級資產（如硬件、軟件、信道、人等）的風險整合至高級資產（如服務、數據、業務流程等）。另外，本文還以一個移動辦公信息系統為例，對方法的應用進行了研究。
2模糊認知圖簡介
Kosko最早通過引入模糊值對認知圖進行擴展，形成了模糊認知圖的概念。大量文獻對模糊認知圖進行了研究[9]，應用范疇包括：系統建模、經濟制度發展分析、新技術應用、生態系統分析和醫學決策支持等。
FCM是一種有向圖，每個節點表示系統中的一個概念，這個概念可以是系統的事件、目標和趨勢等，整個模型包含一組概念C={c1,...,c?}；有向邊表示節點間的因果關系。每個概念節點具有各自的激活水平值，激活水平值一般為[0,1]或[-1,1]的實數，系統狀態是各節點激活水平值的n維向量(《=|C|)。
在FCM中，節點間因果關系由邊和邊的權重表示。連接兩個節點C和Cj的邊的權重為正，表示c增長將引起C]增長，權重為負則表示c增長將引起c]減小。最簡單的FCM僅以值-1,0或1作為邊權重，在圖中分別用負號㈠邊、沒有邊、正號㈩邊表示。為了更精確地定義因果關系，一般會用語言值（如強烈否定、否定、偏否定、中立、偏肯定、肯定、強烈肯定）表示權重，計算時再將這些語言值均勻映射到區間上。
FCM中各節點間的因果關系可以用_的影響力矩陣￡=[%]表示，矩陣元素代表連接節點ct和c3的邊權重；若兩節點間無因果關系，則用0值表示。圖1是一個FCM的例子，Cl,C2,C3,C4,C5,C6為概念節點，
帶語言值權重的邊表示節點間的影響力。影響力矩陣E為：語言值對應的數值選擇沒有確定的規則，在此采用將語言值均勻映射至區間[-1,1]的選擇方式，得到對應的數值為-1,-0.66,-0.33,0,0.33,0.66,1。3基于模糊認知圖的風險評估方法各類風險評估標準中均對風險評估的方法的使用方式等有所描述。本文方法與上述方法的主要區別在于，利用FCM模型能夠方便快捷地獲取資產間的相互影響，并能夠在風險的聚合過程中對資產間依賴關系的變化實現追蹤。
3.1概念模型
在圖2所示的被測信息系統概念模型中，各項資產按其相互關系被連接形成一個資產增值樹。其中，低級資產為其上級資產提供服務，頂部節點一關鍵業務進程由系統業務確定。各資產間的依賴關系在圖中通過箭頭表示，如圖所示：關鍵業務進程的效用取決于其使用的數據和服務；數據的可用性由數據源（用戶、外部數據提供者）提供；服務則依賴于軟件、硬件和信道，同時與人員、物理基礎設施（建筑物、房間、電力設施）和外部服務（如PKI)等相關。同時，各節點被賦予一定的安全效用值，效用值是資產的完整性、可靠性、可用性等各種安全屬性的集合。低級資產效用值的變化將影響到使用它們的高級資產。
與關注于攻擊行為或威脅的方法（如攻擊樹法）不同，本文選擇了基于資產的威脅識別方法。在如圖3所示的風險基本模型中，資產的效用值可能受威脅的影響而降低，威脅對資產的負面影響可以通過適當的安全措施加以補償，安全措施本身只能降低風險，而不能增加資產的效用值。圖3資產、威脅及安全措施之間的關系
最后，在安全分析的眾多領域，被評估風險的大小均與風險可能導致的經濟損失有關。作為風險狀況的體現，造成損失較小的事件，若數量超過一定值，也需要考慮其效果的累積。
另外，對生命體征監測、航天、鐵路管理等安全關鍵系統而言，部分故障應被視為無法量化的災難性損失，在評估實施中，應被視作停止系統運行的條件。本文將討論的移動辦公信息系統，安全性要求較為靈活，不將其視為安全關鍵系統。
為了便于評估的實施，本文作出如下定義：
⑴效用值：一種被賦予資產的數值，取值范圍為[-1,1]；
⑵風險：與資產相關，預設效用值與推理過程結束時計算出的效用值之間的差值。
3.2 基于模糊認知圖的風險評估流程
本文的風險評估流程如圖4所示。圖中圓角矩形表示流程中的各個環節，實線矩形表示輸入輸出信息，虛線矩形表示各流程產生的中間結果。
本文基于模糊認知圖的風險評估方法由以下六步組成：1、資產識別：此步驟的輸入為項目文檔、設計方案等能夠體現系統現狀和體系結構的文件，以及與方案設計人員等的面談記錄。輸出為系統的資產列表，包括關鍵業務、服務、數據、軟件模塊、硬件、信道、外部數據及服務提供者，以及相關人員及辦公場所等。2、構建資產增值樹：此步驟的目的是評估低級資產（硬件、軟件、信道等）對高級資產（服務和數據）的影響。影響力的大小由與系統建設方討論確定的語言值來描述。為便于后續推理的實施，此步得出的資產增值樹將被表示為FCM影響力矩陣的形式。3、威脅識別：此步驟可使用常見的威脅分類方法(如基于本體），也可根據被評估系統的資產分類來識別威脅。本文采用以資產為基礎的威脅識別方法，即所有威脅均針對特定資產。4、單項資產風險評估：此步驟將調査問卷作為基本工具，要求相關人員回答與安全措施相關的問題，同時采用由信息安全領域最佳實踐得出的安全措施列表，并對其進行篩選修改，使其適用于特定資產。此步驟的輸出是資產的風險值（歸一化至[0,1]的實數)。5、風險聚合：此步用FCM推理完成，體現低級資產的風險如何累積影響高級資產的風險狀況。此步還包括FCM影響矩陣規范化等其他準備工作。6、結果解析：根據以上計算所得結果，給出系統關鍵風險的判斷并給出安全措施等的建議。
3.3風險聚合一一模糊認知圖推理過程
用FCM進行推理的關鍵在于構建狀態序列：a=j(0)j(1),...j(蛛...，該序列以節點激活水平值的初始向量為起點，根據下式算出序列的后續元素：為(+1)=S,(VA.㈨）（2)第(k+1)輪迭代是將矢量A(k)與影響力矩陣E相乘，然后通過一個激活函數將所得到的節點激活水平值映射到預設的范圍內。
激活函數的選擇與計算模型密切相關，尤其是映射的區間范圍以及使用的是連續值還是離散值。本例中，矢量A(k)與各元素絕對值均小于1的n維方陣E相乘，其結果應為一個各元素值均在[-?,?]范圍內的向量。因此，激活函數需要滿足條件：1、在此區間內的值應被映射至[-1,1](或[0,1])區間；2、應是單調函數，并滿足S(0)=0(或S(0)=0.5)。在本文后續的方法應用中，將采用以下兩種激活函數：
通常，狀態序列a=A(0XA(1),...^4(處...可無限延展。然而，研究表明，在k次迭代后(k是一個接近矩陣E的秩的數字），序列將達到一個穩定狀態或產生循環。因此，當推理算法滿足下式要求時可停止迭代：2 j<k:d(((k),A(j))<￡ (5)其中d是距離，e是一個很小的閾值，如10_2。狀態序列a代表了一個非單調的模糊推理過程，推理序列的穩定狀態是推理結果。本文的風險聚合過程，就是利用了此推理過程。
4移動辦公信息系統風險評估實例
本節將以某移動辦公信息系統為例，對本文方法的實施過程及結果進行研究。
4.1 移動辦公信息系統介紹
隨著移動互聯網技術的發展成熟，各行各業的移動辦公業務需求不斷增長，出現了大量移動辦公建設案例。移動辦公信息系統的主要應用模式是通過移動終端從業務服務器下載各類業務應用數據，支持移動辦公現場業務實施；在上述業務流程中，廣泛的信道支持（WiFi、廣域網、移動運營商網絡等）為其提供了高度的靈活性，TLS等加密協議可以為其提供數據傳輸的安全性。移動辦公人員的地理位置信息等可作為數據庫査詢的依據，査詢結果根據辦公人員使用終端類型的不同（個人電腦、平板電腦、智能手機等），用不同的形式自動發送給現場辦公人員。另外，從現場采集到的業務相關數據信息作為業務數據庫的信息來源被上傳并存儲在數據庫中，為后續的數據統計、業務決策等提供信息支持。
系統中通常也具備為業務管理人員設計的特殊模塊，使其能夠對系統進行參數配置。此外，系統一般還能夠接收其他符合行業數據標準的其他信息系統提供的數據。
系統體系結構如圖5所示，(1)移動客戶端（智能手機）收集原始數據，通過互聯網HTTPS安全通信協議，經(3)SSL認證網關初步驗證，并加密發往⑷應用服務器。應用服務器運行系統的主控邏輯，負責授權、數據驗證、生成通知，以及與(5)數據庫服務器和(6)數據分析服務器之間的通信。數據分析服務器負責完成業務數據的統計分析工作。
4.2 資產識別
本例的資產識別階段，主要實施方式是組織由被測單位信息部門相關人員參加的訪談及會議，通過對現有的項目文檔進行研究，對系統結構進行討論，明確系統信息安全風險評估所涉及的資產。經研討，此系統的資產包括：
1、業務過程：現場巡査、業務信息檢索、業務信息存儲、分析結果獲?。?/p>
2、服務：數據存儲和檢索、數據傳輸、數據分析；
3、數據：現場巡査采集數據、遙感影像數據、配置數據；
4、軟件模塊：認證、業務應用、資源數據庫、移動辦公客戶端、固網客戶端、數據分析軟件；
5、硬件模塊：認證服務器、應用服務器、數據庫服務器、數據分析服務器、智能手機及固網用戶主機；
6、信道:通過WLAN、LAN和3G等構建的外部網絡（HTTPS協議)，內部辦公網絡(HTTP協議）；
7、人員：移動辦公用戶、固網辦公用戶、技術人員；
8、其他：由第三方提供的基礎設施（通信線路、電力線路)。
4.3 構建資產增值樹
圖6為本系統的資產增值樹，圖中各節點就是前一步中識別出的資產，業務過程依賴于軟件和硬件模塊所提供的服務，并與系統中存儲及交換的數據相關。圖中資產間的相互關系從系統體系結構的角度考慮確定，邊的權重值則根據與系統使用維護人員的訪談確定。權重確定后，即可將其描述為FCM影響力矩陣的形式，本例中用于描述的語言值為：高、明顯、中、低、無。例如，現場巡査業務受數據存儲和檢索、數據傳輸兩項服務的高度影響，受數據分析服務的明顯影響。
4.4 威脅識別
目前，在信息安全風險評估中，對威脅的識別一般基于以往經驗提供的對攻擊源的認知。根據以往經驗，在本例中，要考慮的所有威脅，可根據其影響的資產類型分為11類，分別為：（1)過程類，如設計缺陷；(2)軟件類，如質量缺陷、缺乏維護、惡意軟件；（3)硬件類，如質量缺陷、能量耗盡；（4)通信類，如協議缺陷、服務中斷；（5)數據類，如破壞機密性、破壞完整性；（6)外部服務類，如有無PKI等安全基礎設施；（7)外部數據類，如數據接口錯誤；（8)基礎設施類，如場地、電力、空調；（9)人員類，與移動辦公用戶、固網辦公用戶和技術人員相關的威脅；（10)自然災害類；（11)經濟條件，法律等。
4.5 單項資產風險評估
此環節工作包括兩方面內容脆弱性分析和安全措施有效性分析。在實施方式上，此部分評估采用能夠反應最佳實踐的問卷調査的形式。針對此次的被評估系統，關于威脅與安全措施的調査問卷共針對11組資產設計了約140個問題。
表1為與移動辦公客戶端相關的風險評估調査問卷。問題根據各類資產的最佳安全實踐確定，每個問題涉及一項安全特性。各項問題均根據其對資產整體風險的影響被賦予問題權重^。每個問題最多給出三個答案，各答案均被賦予代表其對資產風險影響程度的風險影響系數qije[0,1]。問題權重W,_及風險影響系數qy利用專家法由專家評分決定。這些權重信息對被調査人員是不可見的。表中星號項為此次問卷調査的回答結果。
至此,資產S的風險值RS可通過將ks個問題a(i=1,...,ks)的答案ay代入式(6)得出。值1和0分別表示是或不是某項答案，即若問題i的答案是答案.則%=1，否則％=0。
其中，w是歸一化因子。計算可得，移動辦公客戶端的資產風險值Rs=0.404，風險值不為0，表明資產面臨的威脅不能完全被安全措施控制。
采用上述方法，計算所有低級資產的單項資產風險值，可明確系統中風險值為高、中、低的各類資產，并對高風險資產采取針對性安全措施。
在實際操作中，問卷調査內容的設計過程與模糊認知圖的構建過程是同步進行的，問卷中的權重值w,即反映了FCM圖中影響值的大小，以數據資產“現場巡査采集數據”為例，在與其有因果關系的下級資產(移動辦公客戶端、智能手機、移動辦公用戶）的問卷調査中，選擇可能影響上級資產的問題，取其權重的均值，即得到其影響值。
4.6 風險聚合
針對業務過程、服務、數據等高級資產類別，由于其自身的復雜性，無法采用4.5節中的問卷調査方式實施風險評估，因此，本文采用FCM推理實現的風險聚合來完成高級資產的風險計算。
在計算前需先進行影響力矩陣的歸一化操作。本例中，原始矩陣用5個語言值（高、較高、中、低、無）來描述，分別對應影響力值{1,0.75,0.5,0,25,0}。對每一行i=1,...,n,影響力值的歸一化可按下式完成：
其中，且m是一個正常數（實際計算中常使用m=1.0)。上述歸一化過程給出了一個概率分布。假設的分布形式源于博弈論，假設高級資產ah受低級資產an,...,aik的影響，影響系數為em,…,em。如果攻擊者選擇從一個低級資產發起攻擊，那么它應該在能夠影響ah的低級元素中選擇影響力eMm最高的元素am但是，攻擊者對影響力可能作出錯誤的估計。由此所得的攻擊行為概率與錯誤估計的分布相關，而錯誤估計一般沒有明顯的規律。因此，假設錯誤估計服從雙指數分布，就可得到式(7)給出的logit(對數成敗比率）模型。
最終，聚合風險的計算需要通過連續使用FCM狀態方程(2)，構建兩個向量序列：無風險序列anr的初始向量為A^(0),在此向量中,表述資產風險屬性的所有向量元素都被置為1。而風險序列d的初始向量A\0)是資產風險屬性向量A10)與式(6)計算出的風險值RA的差，艮P:Ar'(0)=A'(0)-R4。最后，將anr和d中的相應元素相減，即R(i)=Anr(i)-Ar(i)，即可得到聚合風險值序列p=R(0),...,R(i),...。此序列將收斂于表示資產聚合風險的數值。
圖7為系統中數據、服務、業務進程三組資產的風險計算的結果。結果分別采用式(3)和式(4)定義的激勵函數S-(圖(a))和SeXp(圖(b))得到。對于函數SeXp，式中常數m的值采用2.0。結果比較表明，兩個函數的計算結果趨勢一致。
4.7結果解析分析表明，低級資產的風險會影響高級資產。在本文的評估實例中，大量資產（如移動客戶端）的風險是由于系統尚未部署在實際生產環境中，實驗環境下大量安全措施（PKI、UPS、物理訪問控制措施等）尚未部署所導致的。在實際部署中，需要將這些安全措施啟用。
5結束語
ISMS的范圍在哪？
對ISMS范圍的正確確定是整個實施的基礎和成敗關鍵。它涵蓋了業務流程、信息流和相關資產，因而也確定了BS7799信息安全管理體系的邊界和目標，這對于實施周期、實施受益的信息管理環節都將產生影響。
僅就認證目的而言，企業可以選擇任何部門和系統，但顯然只有與業務目標一致的范圍定義才有助于體現安全管理對于核心業務的促進作用。
在本項目中，最終選擇了企業的核心業務系統作為此次認證的范圍，其ISMS邊界包括數據安全實驗室及所有與“數據銷毀和數據恢復服務”相關的信息資產，從而確保了BS 7799實施與預期目標的一致性。
評估風險
風險評估被公認為是ISMS實施過程最關鍵和難以操作環節。因此，BS7799實施并不限定客戶使用風險評估的方法。
風險評估成功與否關鍵不在于技術問題，而在于良好的客戶溝通和會議組織技巧，包括讓管理層和業務人員理解風險評估的重要性和方法，提供必要的配合和支持，并通過高效的會議組織獲得較全面的和客觀的調查反饋信息。
應避免風險評估僅限于IT部門和安全專家的參與。風險評估既然服務于企業的業務目標，就應當得到業務部門的支持。事實上，只有他們最理解需要保護什么、保護的程度如何，哪些是安全問題，發生過什么安全事件，是否值得以特定成本實施安全控制而降低某項風險。
因此，在一開始就應把業務骨干納入到風險評估小組，通過培訓讓所有成員理解風險評估的目的、流程和方法。
風險評估應始終圍繞企業的目標和方針進行。比如說，在評估資產和威脅的影響時，都要做BIA（業務影響分析），其中制定的參考指標就應當依據企業安全目標。當發生各成員評估結果不一致的情況時，項目經理也應參照安全目標的定義進行裁決。
成功的風險評估應避免片面性、主觀性，避免與漏洞掃描或穿透測試混為一談。客戶可能認為只有后者才是值得尊重的專業服務，但事實上風險不僅來自技術弱點，還包括組織弱點，如業務流程、人員和資產管理等。
此外，完整的風險評估應涵蓋物理和邏輯兩方面的因素，我們這個案例就很明顯地體現了這點。
由于既定的范圍不包括復雜的網絡和IT資產，因此在進行弱點分析時主要考慮組織和物理方面的技術弱點，例如客戶介質在交遞、保管、處理、返還等環節的安全隱患，以及安全實驗室的實物與環境安全等。
企業應和客戶詳細討論各種細微的業務流程隱患，甚至以用戶身份參觀公司，以了解這項服務存在的外部隱患，例如客戶交來介質時如何接待，對包裝如何檢查、標記、存放，當實驗室工作人員暫時離開，如何確保環境和客戶介質的安全等。
我們還檢查了實驗室的裝修環境，與其他區域的分隔，以及門禁、監控等措施的有效性。弱點識別往往包括內、外兩方面不同的觀點，但在資產和威脅分析時，顧問公司只是教給客戶標準和方法，讓客戶自己分析、判斷、紀錄和整理最終的結果。
評斷風險評估的好壞不局限于采用定性或定量的風險評估方法，還在于能否為安全控制決策提供足夠的參考依據。
如果將資產價值、安全威脅和弱點對企業業務的影響等評估活動結果嚴格數字化，不僅可能導致實施進度的失控，而且可能因為缺乏足夠的參考標準和過于繁復的過程導致不可操作。在此情況下，基于特定的指標進行范圍分級往往是值得推薦的評估方法。
此外，為了提高評估的效率，還可以采用專業化評估軟件以減少評估的人為失誤和文檔編制時間。
人是安全管理體系的靈魂
安全管理體系的良好運作依賴于制度和組織機制，更依賴于各種角色的安全意識和對安全方針的理解與遵守程度。所有這些，需要有有效的培訓和管理層的支持。
辦好培訓最好的方式是案例分析，其次是高層動員。如果在安全手冊的扉頁有CEO對安全的評論和簽名，顯然會增加該文檔的權威性。
關鍵詞：信用風險評估；指標體系；履約意愿；履約能力
引言
隨著中國加入wto，《新巴塞爾資本協議》正式，金融全球化進程不斷加快，中國商業銀行業除了要與國內同業展開競爭之外，還要面對國際先進的商業銀行的挑戰，因此對金融風險管理的要求更高、更緊迫。在商業銀行所面臨的各類金融風險中，信用風險是最古老也是最重要的一類風險，商業銀行必須對自己的信用風險進行更加科學有效的評估和防范。
商業銀行信用風險評估是一個較為復雜的系統，信用風險的評估指標作為此復雜系統的輸入項，對于評估結果的有效性和準確性起著舉足輕重的作用。因此，商業銀行進行信用風險評估及管理的首要任務是以指標選擇原則為指引，以對信用風險的影響因素分析為依據，構建信用風險評估指標體系，為商業銀行的風險評估及管理工作奠定基礎。
一、商業銀行信用風險評估指標的選取原則
1.科學性原則。即評估指標的選擇、數據的選取和計算必須以公認的科學理論為依據。
2.全面性和獨立性原則。即評估指標具有較強的概括性，既能綜合反映商業銀行信用風險的程度，各指標間又相互獨立，相關性小。
3.可行性原則。即評估指標所涉及的數據容易獲取和計算。
4.可量化原則。即指標的選擇及表述要盡量做到以量化研究為主，從而避免主觀評價所帶來的不確定性。
二、商業銀行信用風險的影響因素分析
商業銀行信用風險的影響因素有很多，經過研究發現可以將其概括為兩個方面：貸款企業的履約能力及履約意愿。貸款企業履約就意味著銀行能夠在規定期限內收回貸款本息，該貸款企業不會令銀行遭受因貸款而帶來的損失。
1.履約能力。企業的履約能力是企業經營管理情況及發展實力的綜合體現，通?？梢酝ㄟ^其財務情況體現。財務指標是企業財務狀況的客觀反映，與一般技術經濟指標相比，它具有更強的靈敏度和綜合性。企業的管理模式及有效性各不相同，也很難評判，但都會不同程度地反映在其財務指標的發展變動上，因此信用風險評估的一個中心內容就是對企業財務指標的提煉和分析。
2.履約意愿。企業的履約意愿包括企業管理者的道德修養、宏觀經濟環境變化對管理者履約心理的影響、金融監管環境的好壞對管理者履約投機心理的影響等等?；谝韵聝牲c考慮，本研究將履約意愿暫不作為指標體系構建的考慮因素。
其一，履約能力與履約意愿并不是相互獨立存在的，而是相互影響、相互作用的。在經濟環境穩定、法制健全、講求商業信譽的社會中，貸款企業有履約能力而不愿履約的可能性較小，此時，履約意愿可以內化于對履約能力的考察。其二，由指標選取的基本原則出發，所選指標要盡可能量化和標準化，履約意愿以中國目前的社會信用管理狀況來講，還不能達到對各貸款企業精確量取。
綜上所述，商業銀行信用風險評估指標的選取就集中于對企業履約能力的研究，即企業財務指標的選取。
三、商業銀行信用風險評估指標體系構建
由以上的分析及對企業財務指標的歸納，商業銀行信用風險指標體系可由以下四個方面，14個指標構成。
1.償債能力。（1）流動比率：比率越高，說明償還短期負債的能力越強，一般認為，對于大部分企業來說，流動比率為200%是比較合適的比率。（2）速動比率：比率越高，說明償還短期負債的能力越強，但不宜過高，一般應維持在100%的水平。（3）資產負債率：反映在總資產中有多大比例是通過借債來籌資的，一般情況下，資產負債率越小，表明企業長期償債能力越強。（4）超速動比率：比率越高，說明變現能力越強，較速動比率能夠更確切地反映立即變現能力。
2.營運能力。（1）應收賬款周轉率：反映應收賬款周轉速度。比率越高，說明發生壞賬損失的可能性越小。（2）存貨周轉率：綜合衡量企業生產經營各環節中存貨運營效率。比率越高，說明借款人存貨從資金投入到銷售收回的時間越短。在銷售利潤率相同的情況下，比率越高，獲利越多。（3）流動資產周轉率：比率越高，說明以相同的流動資產完成的周轉額越多，流動資產利用效果越好。（4）固定資產周轉率：比率越高，說明企業固定資產利用充分，結構合理，能夠充分發揮效率。（5）總資產周轉率：比率越高，說明企業全部資產
的使用效率越高。
3.盈利能力。（1）銷售利潤率：反映企業一定時期的獲利能力。比率越高，說明銷售凈收入中的利潤越高。（2）凈資產收益率：衡量企業運用自有資本的效率。比率越高，說明投資帶來的收益越高。（3）成本費用利潤率：反映經營耗費所帶來的經營成果。比率越高，說明企業的經濟效益越好。（4）資產收益率：衡量每單位資產創造的凈利潤大小。比率越高，說明企業在增加收入和節約資金方面的能力越強。
4.貸款方式。貸款方式雖非企業的財務指標，但在信用風險研究領域越來越受到各專家學者的重視。貸款方式不僅影響貸款企業的履約意愿，更為重要的是，在企業履約能力不足以償還貸款本息的時候不同程度的補償銀行因此所遭受的損失。從這個意義上來講，貸款方式是影響銀行信用風險的一個重要指標。
結論
1.商業銀行信用風險評估指標體系的應用。商業銀行信用風險評估作為一個具有系統性、非線性等的復雜系統問題，傳統的比例分析方法、統計分析方法等線性方法已經不足以客觀、準確地反映銀行所面臨的信用風險。指標體系的結構以及指標權數的確定應以基于復雜、非線性理論的人工智能方法為主，通過建立合理完善的信用風險評估模型對銀行信用風險進行評估。
2.商業銀行信用風險評估指標體系的不足。對信用風險評估指標的選取主要集中于定量的財務指標范疇，這一方面是基于對信用風險影響因素之間相互作用的理論分析，一方面是源于中國金融信用體系的限制。這種評估體系結構，雖在一定的理論及實際條件下是科學、合理的，但是從長遠考慮，中國商業銀行在不斷加強金融管制、健全金融法制的同時，對信用風險評估指標的選擇應不斷納入環境因素、企業信用因素等更多非財務指標，不斷提高商業銀行信用風險評估的前瞻性和科學性。
參考文獻：
[1]夏紅芳.商業銀行信用風險度量與管理研究[m].杭州：浙江大學出版社，2009.
[2]于立勇.商業銀行信用風險評估[m].北京：北京大學出版社，2007.
[3]李小燕，錢建豪.中國企業信用風險評價指標的有效性研究[j].中國軟科學，2005，(9).
關鍵詞:商業銀行;信息系統;風險評估
中圖分類號:TP311
文獻標識碼:A
1引言
商業銀行作為現代經濟的核心,在加快實現銀行信息化建設的過程中,越來越關注信息化項目的合理性､有效性､經濟性､可用性和安全性｡在這種需求的推動下,銀行信息系統風險評估走上了銀行風險控制的前臺,成為商業銀行信息化項目治理的重要組成部分｡運用先進的評估方法,逐步完善信息系統風險評估的流程,建立適合商業銀行風險特征的評估的模型,并通過信息系統風險評估的手段,保障信息資產的安全､數據的完整､提高信息系統的效率,可以使商業銀行不斷加強信息系統風險管理和內部控制,以適應風險環境日益復雜化的需要,以確保信息系統安全､穩定､有效運行｡
2商業銀行信息系統風險分析
2.1商業銀行信息系統基本特征
隨著我國經濟的飛速發展及加入WTO后和世界經濟一體化進程的加快,企業以及個人相互之間的資金往來需要一個安全高效的資金劃撥､支付結算手段及環境,銀行不斷完善信息管理系統,實現信息系統的電子化､網絡化,使商業銀行的信息系統具有了新的特點｡
1)商業銀行的業務系統的特點
網點虛擬化,將帳戶的核算與管轄分開,會計核算由總行統一處理,各行處負責具體業務的經辦,使業務處理打破了分支機構界限｡通過帳務與業務的結合,使得會計系統和銀行業務的聯系更加緊密,客戶的數據在各系統內可以共享,并通過流程的控制使業務操作更加安全､可靠｡
面向業務設計銀行業務處理,所有功能都由交易來驅動,記帳部分位于業務的底層,業務層通過調用統一的記帳核心來完成帳務處理｡通過實施業務流程再造,實現銀行業務的重組,更好地配置現有的資源｡
2)商業銀行信息系統的業務結構分析商業銀行主要業務包括存款､貸款､信用卡､中間業務､國際業務､結算､代收代付､ATM､POS､網上銀行等｡商業銀行信息系統為銀行業務提供一個支撐平臺,結構如圖1所示｡圖1商業銀行信息系統業務結構
3)商業銀行信息系統結構分析商業銀行信息系統構架為三個層次,第一層核心業務系統,主要提供帳務記錄､主要業務支撐和業務報表;第二層中間業務平臺,是核心數據與外部接口的交換平臺,提供數據接口的轉換功能;第三層系統,提供外部數據的接口,如圖2所示｡圖2商業銀行信息系統層次結構
2.2商業銀行信息系統風險的特點
銀行業務處理中對及時性和可靠性的特殊需求,使得商業銀行信息系統風險體現出明顯的行業特征｡
1)商用銀行信息系統風險的業務特點
網絡和安全技術的飛速發展,使得商業銀行已成為商品交易的電子平臺和電子金庫｡因此商業銀行對數據完整性要求極高,對業務和數據的可用性､安全性,以及對業務中斷和數據丟失等事故的防范和處理要求十分嚴格｡
2)商業銀行信息系統風險的技術特點
銀行開展信息化的時間較長,其應用系統較為普及,但長期來,銀行信息系統相對較為封閉｡近年來,隨著網銀､中間業務等銀行新型業務和金融產品的出現,對開放信息系統的要求越來越高,銀行的信息系統均開始不同程度向外界開放｡
由于各商業銀行實行數據大集中,導致單筆交易所跨越的網絡環節越來越多,銀行信息系統 對網絡依賴程度越來越高｡
3)商業銀行信息系統風險的現狀
信息系統本身固有的風險在加大｡銀行業是信息化技術與產品相對密集的行業,由于信息化規模的不斷擴大,信息技術迅速發展,銀行信息系統所采用信息技術與信息系統軟硬件本身存在著很大的脆弱性,如果這些脆弱性被特定的威脅所利用,就會產生風險,從而對銀行信息系統的機密性､完整性及可用性產生損害｡
銀行數據集中后使信息系統風險不易分解｡目前各家商業銀行已陸續完成數據大集中,實現銀行賬務數據與營業機構的分離,使銀行從以賬務和產品為中心轉變為以客戶為中心｡但是,數據集中后信息系統風險增大,系統一旦出現問題,將影響到整個銀行的正常運營｡
電子金融服務的發展,使商業銀行隨時面對來自公共網絡的威脅｡近年來,網上銀行､移動銀行､電子商務等銀行新業務,在成為商業銀行利潤增長點的同時,使商業銀行的網絡風險日益凸現｡
人員的風險成為最大的風險｡統計結果表明,在商業銀行信息安全事故中,只有20%~30%是由于黑客入侵或其他外部原因造成的,70%~80%是由于內部員工的疏忽或有意泄密造成的｡
3商業銀行信息系統風險評估模型設計
3.1商業銀行信息系統風險評估的現狀與趨勢
信息系統風險評估已得到國際社會的普遍重視,風險評估的重點也從操作系統､網絡環境發展到整個管理體系｡西方國家在實踐中不斷發現,風險評估作為保證信息安全的重要基石發揮著關鍵作用｡在信息安全､安全技術的相關標準中,風險評估均作為關鍵步驟進行闡述,如ISO13335､COBIT､BS7799-3等｡
我國的信息系統風險評估工作目前還處于起步階段,還沒有形成一套成形的專業規范,缺少一支能夠全面開展信息系統風險評估的人才隊伍｡無論是國際上大型的跨國公司還是國內一些規模較大的企業都在不斷地擴大信息技術在其經營活動的應用范圍,運用傳統的信息技術和風險評估知識已經不能實現真正意義上的"風險基礎模式"的風險評估,這些都影響到我國IT治理和信息系統風險控制的實施｡
隨著商業銀行經營管理活動對信息技術的高度依存,信息科技風險控制已成為商業銀行風險管理的重要內容,并需要從戰略的角度將信息系統與實現公司治理的總體目標緊密聯系在一起｡因此,解析國內銀行信息系統風險評估的現狀及存在的問題,并根據國際經驗與我國實際情況進行差異性分析,最后,找到我國銀行業信息系統風險評估的有效方法,由此,實現信息系統風險評估在國內銀行業質的飛躍｡
3.2商業銀行信息系統風險評估模型的設計
在目前所應用的風險控制與評估模型中,基本區分為兩類,一類是基于業務風險控制的風險評估模型,這類模型的基礎是傳統的風險評估理論,因此更加注重于業務流程的控制和業務的風險管理;另一類是關注于技術控制的風險評估模型,這類模型建立在相關的信息安全標準之上,主要考慮的是技術的實現架構和實現方式,評估系統的技術風險｡
銀行在面對實際的信息風險時,需要建立定位于信息全面管理的風險評估模型｡因此,必須結合業務風險模型和技術風險模型的相關方法,通過分析系統自身內部控制機制中存在的薄弱環節和危險因素,發現系統與外界環境交互中不正常和有害的行為,完成系統弱點和安全威脅的定性分析,在銀行信息系統內部風險各要素之間建立風險評估模型,如圖3所示｡
商業銀行信息系統風險評估模型信息系統的風險評估模型由三個基本元素組成,分別是銀行核心業務系統､銀行信息系統風險管理和風險評估的方法和技術｡
銀行核心業務系統是業務運轉的基礎,是商業銀行固有風險的體現,它通過硬件平臺的支撐､應用軟件的設計､數據資源的管理,實現銀行業務職能｡
銀行信息系統風險管理,是商業銀行控制剩余風險的能力｡它主要包括系統建設風險控制､系統數據完備性､系統功能實現､業務流程風險控制､數據遷移等6個方面｡
風險評估的方法和技術,是風險評估和控制的手段｡它針對信息系統風險管理的需求和特點,采用不同的風險評估方法和技術,識別固有風險和剩余風險,對銀行信息系統進行整體風險的評估｡
4商業銀行信息系統風險評估模型的實現
4.1風險評估的實現框架
商業銀行隨時面對遭遇傷害和損失的可能性,而這些風險由關鍵信息資產､資產所面臨的威脅以及威脅所利用的脆弱點來確定｡實現信息系統風險評估模型,需對信息資產的識別,進行威脅分析和弱點分析,實現框架如圖4所示｡
信息資產不僅包括硬件設備,還包括應用軟件和信息系統的相關人員｡信息資產的識別與賦值可以通過普查和調查的方式實現｡
信息系統的威脅來源于內部風險的管理和外部風險環境的變化,通常使用的手段包括:用戶訪談､異常行為檢測､日志分析等方法進行分析｡
弱點來源于信息系統的安全與業務安全需求的不匹配,弱點分析的方法有:應用軟件評估､網絡構架評估､人工評估､工具掃描､安全管理審計､策略評估等｡
圖險評估模型實現框架
4.2風險評估的實施步驟
商業銀行信息系統風險評估的實施主要有如下步驟:
1)對信息系統風險戰略進行分析
商業銀行首先應建立信息系統風險戰略,并在內部和維護,以對信息安全的支持與承諾,使其與銀行的業務發展相一致｡
信息系統風險評估必須對信息系統業務支持的可行性進行分析,了解技術發展的內外部狀況和管理層對信息技術的支持度等情況,評價信息系統風險戰略是否與業務發展戰略相一致｡如圖5所示,首先需要確定總風險和剩余風險;其次把確認的風險進行排序,建立戰略風險和流程風險項目;最后確定流程執行的效力｡
2)對風險評估內容進行詳細定義｡
建立信息系統風險評估范圍的表格,如該項評估所包含的系統､人員､資源等｡對信息系統的運行進行評估,如主機系統､硬件設備､人員管理､災難備份､權限管理等｡建立信息系統流程評估表格,如主流程､次流程､流程所對應的操作;流程中的主要固有風險､風險的控制手段等｡
3)明確審計的技術和步驟｡
確定信息系統審計需要使用的技術和技術使用的步驟,常用的測試技術有現場觀察､訪談､審閱､再執行､知識評估等｡
4)出具審計報告｡
對信息系統進行測試后,出具評估報告｡評估報告應包括信息系統的基本情況､面臨的內外部風險､評估所發現的問題､對評估發現事項提出的建議｡
5)風險問題的跟蹤和跟進｡
評估完成后,對發現的問題需根據問題的重要性和對象,提出報告并跟蹤解決｡圖5 信息系統風險戰略及流程分析
5結束
1.1安全風險評估應用模型三階段。
在電子政務系統設的實施過程，主要分為規劃與設計階段、建設與實施階段、運行與管理階段等三個階段。其中，安全風險分析主要作用于規劃與設計階段，安全等級評估主要作用于建設與施工階段，安全檢查評估主要作用于運行與管理階段。安全風險分析，主要是利用風險評估工具對系統的安全問題進行分析。對于信息資產的風險等級的確定，以及其風險的優先控制順序，可以通過根據電子政務系統的需求，采用定性和定量的方法，制定相關的安全保障方案。安全等級評估，主要由自評估和他評估兩種評估方式構成。被評估電子政務系統的擁有者，通過結合其自身的力量和相關的等級保護標準，進行安全等級評估的方式，稱為自評估。而他評估則是指通過第三方權威專業評估機構，依據已頒布的標準或法規進行評估。通過定期或隨機的安全等級評估，掌握系統動態、業務調整、網絡威脅等動向，能夠及時預防和處理系統中存在的安全漏洞、隱患，提高系統的防御能力，并給予合理的安全防范措施等。若電子政務網絡系統需要進行較大程度上的更新或變革，則需要重新對系統進行安全等級評估工作。安全檢查評估，主要是在對漏洞掃描、模擬攻擊，以及對安全隱患的檢查等方面，對電子政務網絡系統的運行狀態進行監測，并給予解決問題的安全防范措施。
1.2安全風險分析的應用模型。
在政府網絡安全風險評估工作中，主要是借助安全風險評測工具和第三方權威機構，對安全風險分析、安全等級評估和安全檢查評估等三方面進行評估工作。在此，本文重點要講述的是安全風險分析的應用模型。在安全風險分析的應用模型中，著重需要考慮到的是其主要因素、基本流程和專家評判法。
（1）主要因素。
在資產上，政府的信息資源不但具有經濟價值，還擁有者重要的政治因素。因此，要從關鍵和敏感度出發，確定信息資產。在不足上，政府電子政務網絡系統，存在一定的脆弱性和被利用的潛在性。在威脅上，政府電子政務網絡系統受到來自內、外部的威脅。在影響上，可能致使信息資源泄露，嚴重時造成重大的資源損失。
（2）基本流程。
根據安全需求，確定政府電子政務網絡系統的安全風險等級和目標。根據政府電子政務網絡系統的結構和應用需求，實行區域和安全邊界的劃分。識別并估價安全區域內的信息資產。識別與評價安全區域內的環境對資產的威脅。識別與分析安全區域內的威脅所對應的資產或組織存在的薄弱點。建立政府電子政務網絡系統的安全風險評估方法和安全風險等級評價原則，并確定其大小與等級。結合相關的系統安全需求和等級保護，以及費用應當與風險相平衡的原則，對風險控制方法加以探究，從而制定出有效的安全風險控制措施和解決方案。
（3）專家評判法。
在建設政府電子政務網絡系統的前期決策中，由于缺少相關的數據和資料，因此，可以通過專家評判的方法，為政府電子政務網絡系統提供一個大概的參考數值和結果，作為決策前期的基礎。在安全區域內，根據網絡拓撲結構（即物理層、網絡層、系統層、應用層、數據層、用戶層），應用需求和安全需求劃分的安全邊界和安全區域，建立起風險值計算模型。通過列出從物理層到用戶層之間結構所存在的薄弱點，分析其可能為資產所帶來的影響，以及這些薄弱點對系統薄弱環節外部可能產生的威脅程度大小，進而通過安全風險評估專家進行評判，得到系統的風險值及排序。在不同的安全層次中，每個薄弱環節都存在著不同程度的潛在威脅。若是采用多嵌套的計算方法，能夠幫助計算出特定安全區域下的資產在這些薄弱環節中的風險值。
2結語
關鍵詞：安全風險 模糊AHP算法 無線通信鏈路
中圖分類號：V249.1 文獻標識碼：A 文章編號：1007-9416（2013）10-0196-03
隨著信息技術的發展與信息網絡系統的廣泛應用，信息網絡系統的安全變得尤為重要。信息系統安全風險評估作為信息安全管理工作中的重要組成部分和基礎性工作，是掌握信息系統安全狀況，合理建立信息安全保障措施的重要手段。無線通信鏈路因具有開放性，使得攻擊者進行監聽、篡改、偽造等非授權訪問成為可能，對無線通信鏈路進行安全風險評估，可以為無線通信系統安全防護措施的選擇提供參考。
現有的文獻中，文獻[1]通過確定資產價值并利用公式法對通信網單個資產威脅類風險值進行了研究；文獻[2]提出了利用層次分析法對戰術通信網進行威脅評估的辦法。但很少有文獻將無線通信鏈路安全風險作為具體的評估對象進行研究，大多使用單一的AHP算法進行風險評估，評估結果具有很強的主觀性，且缺少有效的風險等級計算方法。針對上述問題，本文結合實際工程背景，將無線通信鏈路安全風險作為具體的評估對象，通過對無線通信鏈路進行安全性分析，構建了無線通信鏈路安全風險評估指標體系，采用模糊AHP算法實現對資產、威脅、脆弱性的綜合評估，最后利用矩陣法完成風險值的計算。
1 模糊AHP法原理
1.1 AHP法
AHP（analytic hierarchy process，層次分析法）是美國運籌學家T L Saaty教授提出的一種簡便靈活而又實用的多準則決策方法，它是一種定性和定量相結合的多目標決策方法。其主要步驟為：
Step1：構造遞階層次結構。
Step2：構造判斷矩陣。根據1-9比例標度[3]對同一層次的各元素相對上一層次中某一準則的重要性進行兩兩比較，構造比較判斷矩陣A。
Step3：計算判斷矩陣特征向量和最大特征值。判斷矩陣特征向量W的計算一般采用方根法進行，其公式為：
（1）
特征向量W=[w1，w2，…，wn]T。最大特征值公式為：
（2）
其中，A為判斷矩陣，（AW）i為AW的第i個元素。
Step4：判斷矩陣一致性檢驗。
首先，計算一致性指標CI
（3）
然后，從平均隨機一致性指標表中查出相對應的RI，對于1-9階判斷矩陣，RI值如下表所示：
最后，計算一致性比例CR。
（4）
當CR
層次分析法對于解決多層次、多目標的大系統優化問題行之有效，但它也存在著一定的局限性，主要表現在：衡量相鄰兩個指標重要性的標度值一般采取專家打分法確定，具有一定的主觀性；在綜合指標的合成中，局限于線形加權的情形，且層次分析法得出的權值雖然以精確量的形式給出，但是其本身具有模糊性[4]。因此，本文將模糊評價法與層次分析法結合，可降低構造判斷矩陣的主觀性。
1.2 模糊綜合評價法
模糊綜合評判法是對多種屬性的事物，或者說其總體優劣受多種因素影響的事物，做出一個能合理地綜合這些屬性或因素的總體評判。其具體步驟是[4]：
Step1：構造指標因素集和評判集。因素集記為U={u1，…，un}，評判集記為V={v1，…，vn}。
Step2：進行單因素評判，確定模糊關系矩陣R。
模糊關系矩陣為：
（5）
其中，rij為U中因素ui對V中等級vj的隸屬關系。
Step3：多因素模糊綜合評判。先從最低層屬性指標層開始，以子目標屬性指標權值向量Ai和單因素模糊評價矩陣尺 進行模糊矩陣合并運算，得到子目標的綜合評價向量，即Bi=Wi*Ri，從而得到單因素模糊評價矩陣，再依層次往上評價，直到最高層，得出總目標層的綜合評價結果。
Step4：分析處理并綜合評價。對模糊綜合評判結果Bi做分析處理，再根據最大隸屬度原則即可得出綜合。
2 無線通信鏈路安全風險指標體系設計
安全風險評估包括3個要素，即：資產、威脅和脆弱性[5]。以無線通信鏈路為例，整個鏈路可以看作一個單一資產，其安全風險評估則是基于整條通信鏈路實施。因此，我們重點分析無線通信鏈路的威脅及脆弱性。
機密性、完整性和可用性是評價資產的三個安全屬性，資產的識別就是通過分析統計信息系統的各種類型資產及資產信息，確定資產的機密性、完整性和可用性。無線通信鏈路中的典型資產包括編解碼器、加密機、調制解調器、發射機、接收機等硬件設備以及相關的應用軟件。任何一個資產受到威脅都將對整個通信鏈路造成嚴重的損失。資產按其重要性分為5個等級，由高到低依次用數字5-1表示[5]。本文將整個鏈路結構定義為一個組合的資產，安全風險評估也是基于整條通信鏈路實施。無線通信鏈路資產遞階層次結構如圖1所示。
威脅按表現形式來分包括三個方面：技術威脅、人員威脅和環境威脅。通過調研，無線通信鏈路中技術威脅有：物理攻擊、干擾、篡改、監聽；人員威脅有：無惡意人員誤操作、惡意人員誤操作；環境威脅有：惡劣環境、設備故障。威脅發生可能性分為5個等級，由高到低依次用數字5-1表示[5]，其遞階層次結構如圖2所示。
脆弱性一般為三大類，即技術類脆弱性、管理類脆弱性、操作類脆弱性。經問卷調查、文檔查閱、人侵檢測、滲透測試等方法可識別脆弱性。無線通信鏈路存在的技術類脆弱性有：加密算法簡單、缺乏防病毒措施；管理類脆弱性有：管理制度不健全、電磁環境復雜、設備老化；操作類脆弱性有：設備配置不當、工作人員業務不熟練。脆弱性發生可能性同樣分為5個等級，由高到低依次用數字5-1表示[5]，其遞階層次結構如圖3所示。
3 基于模糊AHP法安全風險評估
3.1 AHP法計算權值
以資產評估為例，根據圖1中各評估要素及其相互關系，通過專家賦值建立各級判斷矩陣并采用方根法分別計算個體排序向量、最大特征值λmax和一致性比例CR。各判斷矩陣的計算結果如表1-表4所示，通過計算可知，各判斷矩陣中CR均小于0.1，一致性檢驗通過。
3.2 模糊綜合評判
根據資產價值指標結構，準則層相對于總目標的權重仍采用傳統的AHP方法計算，第三層各指標因素相對于準則層的權重由于關系比較復雜而采用模糊綜合評判方法，應用模糊數學模型進行綜合評價，步驟如下：
將各指標因素的評語分為5個等級，分別為：很高、高、中、低、很低，通過專家評價的方式，邀請10名專家根據確定的評語級對各指標予以隸屬度評價，可以確定一個從因素集到評價集的模糊關系矩陣。從而得出對應的機密性、完整性、可用性模糊關系矩陣為：
由Bi=Wi·Ri得模糊綜合評價矩陣如下：
B1=W1·R1=（0.4234，0.333，0.1853，0.0365，0.0218）；
B2=W2·R2=（0.5896，0.2487，0.1029，0.0402，0.0186）；
B3=W3·R3=（0.2886，0.3801，0.267，0.0365，0.0278）。
根據最大隸屬度原則，機密性、完整性、可用性綜合評判等級分別為：5、5、4。
3.3 確定資產價值
由資產機密性、完整性、可用性綜合評判等級及三者相對權重可得資產價值為：
A=W·（5，5，4）T=（0.311，0.196，0.493）·（5，5，4）T=4.507>4.5
參照資產重要性等級表可知，該資產價值等級為5。
3.4 威脅及脆弱性評估
參照前文資產評估方法，經計算可知，該鏈路威脅等級綜合賦值為3，脆弱性嚴重程度綜合賦值為3。
4 風險等級計算
本文采用矩陣法[5]計算風險值。步驟如下：
Step1：計算安全事件發生可能性等級。
首先，構建安全事件發生可能性矩陣如表5所示，A表示威脅發生頻率，B表示脆弱性嚴重程度。
然后，根據經評估得到的該通信鏈路脆弱性的嚴重程度以及威脅發生的頻率，由表對照得出安全事件可能性數值為12。最后，根據下表可得安全事件發生可能性等級為3。
Step2：計算安全事件損失等級。
首先，構建安全事件損失矩陣如表7所示，C表示資產價值。
然后，根據經評估得到的脆弱性嚴重程度以及資產價值，由表對照可以得出安全事件損失數值為16，再由根據下表得出安全事件損失等級為4。
Step3：計算安全事件風險值。
構建風險矩陣如表9所示，D表示損失等級，E表示可能性等級。
根據前兩步計算出的安全事件發生的可能性等級以及所造成的損失等級，由上表對照得出安全事件風險數值為16，再根據下表可判斷得出該系統無線通信鏈路安全風險等級為3，即中度風險值。
通過威脅和脆弱性評估過程可知，該鏈路存在的主要風險是電磁環境復雜引起的干擾威脅和加密算法簡單引起的非授權訪問，我們可以通過增加抗干擾手段和更換復雜加密算法的方式降低安全風險。
5 結語
文章在詳細分析無線通信鏈路安全性的基礎上構建了一套安全風險評估的指標體系，并運用模糊綜合評價與AHP相結合的算法全面綜合地評估了無線通信鏈路資產、威脅、脆弱性等級，最終通過矩陣法計算得出安全風險值。評估方法思路清晰、結果準確、可操作性強、便于推廣，為今后各類通信網安全風險評估提供了參考。
參考文獻
[1]李振富，韓彬霞，李曉鵬，鮑池.基于AHP的通信網風險評估[J].現代電子技術，2011.34（19）：111-113.
[2]宋國春，劉忠，黃金才.AHP方法的敵地域通信網通信鏈路威脅評估[J].火力與指揮控制，2008.33（2）：16-20.
[3]孫宏才，田平，王蓮芬.層次分析法引論[M].北京：國防工業出版社，2011.
[4]王程，王睿，齊博會.基于模糊AHP法的機載指控系統效能評估[J].指揮控制與仿真，2008.30（6）：65.
