随着用户对安全的重视，风险评估的极端重要性已经越来越被用户认同。

评估标准

　　风险评估是由安全公司中有经验的安全专家对客户系统做出安全性的判断，这种判断需要依据一定的标准。在风险评估过程中，主要依据BS 7799（ISO/IEC 17799）、ISO/IEC 15408-1999（等同GB/T 18336-2001）、ISO/IEC 13335、SSE-CMM等标准。同时，也参考了GB 17859-1999《计算机信息系统安全保护等级划分准则》、中国信息安全产品测评认证中心《信息系统安全保障等级评估准则》、公安部《信息系统安全等级保护评估指南》、GB9361-88《计算机场地安全要求》以及CAV公共漏洞和暴露标准、CRAMM/OCTAVE/ …等标准和法规。

风险模型

　　风险分析的过程实际上就是对影响、威胁和脆弱性进行分析的过程，而且都紧紧围绕着资产展开。在风险评估中，资产的价值、资产被破坏后造成的影响（威胁的严重程度）、威胁发生的可能性、资产的脆弱程度都是关键因素。

风险评估的过程

　　依据安全风险模型，风险评估过程可以分为以下几个阶段：
　　第一阶段为确定评估范围阶段，调查并了解客户网络系统业务的流程和运行环境，确定评估范围的边界以及范围内的所有网络系统。
　　第二阶段是资产的识别和估价阶段，对评估范围内的所有资产进行识别，并调查资产破坏后可能造成的影响大小，根据影响大小为资产进行相对赋值。
　　第三阶段是安全威胁评估阶段，即评估资产所面临的各种威胁发生的可能性。
　　第四阶段是脆弱性评估阶段，包括从技术、管理、策略等方面进行的脆弱程度检查，特别是技术方面，以远程和本地两种方式进行系统扫描和手动抽查评估。
　　第五阶段是风险的分析阶段，即通过分析上面所评估的数据进行风险值计算、区分，并确认高风险因素。

评估结果

　　风险评估的目标是为了认清风险，然后通过风险管理过程提高系统的安全性，这也是风险评估结果的价值体现。风险管理的过程可以通过以下几个方面的工作完成：
　　确定风险控制范围。通过上面的风险评估分析，可以明显看出评估的信息系统中某种资产对应的各种风险情况。因此，在风险管理过程中，首先确定进行控制的风险范围，并详细确定每一业务或应用所要达到的安全级别以及每类风险的处理方式（如降低、转移、拒绝、接受风险），以便后面风险控制策略的制定和实施。
　　制定风险控制策略。选出风险控制范围内的所有风险，并找到与这些风险相关的资产、威胁和脆弱性，制定相应的风险控制策略。这些策略的正确实施可以检测风险事件的发生，阻止或减小风险事件发生的可能性，最小化或转移风险的影响。制定相应的安全控制策略主要包括鉴定已有措施、组织安全策略的规范化、安全需求补充、安全与性能和费用的平衡等几个步骤。
　　安全控制策略制定后，需要针对那些严重的安全问题实施应急风险控制措施，以降低风险。然后，对控制措施的效果进行检测，验证是否问题已经解决。

　　在下期的补天计划中，将重点向您介绍安全管理方面的内容，敬请关注。

文章转载地址：http://www.365master.com/kt_article_show.php?article_id=1711&categ_code=10041003