網絡安全等級保護測評
前言：想要寫出一篇令人眼前一亮的文章嗎？我們特意為您整理了5篇網絡安全等級保護測評范文，相信會為您的寫作帶來幫助，發現更多的寫作思路和靈感。
網絡安全等級保護測評范文第1篇
關鍵詞 云安全模型 信息系統 保護測評
中圖分類號：TP3 文獻標識碼：A
文中以云安全服務模型為研究依據，從云計算信息系統的安全特性入手，提出建立云安全服務模型及管理中心，介紹了云安全等級保護模型的建立情況。
1簡述云計算信息系統安全特性
以傳統的互聯網信息系統相比較，云計算信息系統把全部數據的處理與存儲都放在服務端，終端用戶根據網絡可以及時獲取需要的信息和服務，沒有必須在本地配置的情況下進行數據的處理和存儲。根據網絡中所設置的網絡安全防護設施，可以在服務端設置統一的身份兼備與安全審計系統，確保多數系統出現的安全問題得到有效解決，但此時新的設計服務模式又會帶來新的安全問題，例如：濫用云計算、不安全的服務接口、數據泄露、安全管理等多個方面的問題。
2建立云安全服務模型及管理中心
現實中的不同云產品，在部署模型、資源位置、服務模型等各個方面都展現出不一樣的形態和模式，進而形成各不相同的安全風險特征及安全控制范圍。所以，必須從安全控制的角度創建云計算的模型，對各個屬性組合的云服務架構進行描述，從而確保云服務架構到安全架構的合理映射，為設備的安全控制和風險識別提供有效依據。建立的云安全服務模型如圖1所示。
3云安全模型的信息安全等級測評辦法
云安全信息安全保護測評的辦法就是根據云安全服務模型與云安全中心模型，考察用戶在云安全方面的不同需求，安全模型處在安全等級保護體系下的不同位置。安全模型一端連接著等級保護技術，另一端連接著等級保護管理的要求。根據云安全信息中心的建模情況，對云安全模型下的核心基礎、支撐安全展開分析，獲取企業在云安全領域的信息安全等級測評模型，依照模型開展下一步的測評工作。
3.1分析等級測評云安全模型下的控制項
根據上述分析情況，可以把云安全模型嵌套在云安全等級保護模式中，從而展開與云安全有關的信息安全等級評價，并對安全模型下的有關控制項展開分析。首先察看云認證及授權情況，對是否存在登陸認證、程序授權、敏感文件授權等進行測評。依照不同的訪問控制模型，選擇訪問控制的目標是強制性訪問、自主性訪問、角色型訪問，進而采取與之相對應的方法。為了確保網絡訪問資源可以有效的控制和分配，需要創建統一、可靠的執行辦法和解決策略。自由具備統一、可靠地方式才可以保障安全策略達到自動執行的目的。測試網絡數據的加密情況，要對標準的加密功能及服務類型，做到靜態和動態的安全保護。探測數據的備份與恢復情況，就必須查看云備份是否安全、數據銷毀情況、磁帶是否加密及密碼鑰匙的管理，檢查的重點是供應商的數據備份情況。查看對管理用戶的身份是否可以控制管理，是否可以管理用戶角色的訪問內容。查看用戶的安全服務及審計日志，其中包括網絡設備的監控管理、主機的維護、告警管理與維護等。
3.2分析等級測評云安全模型的風險性
依照等級保護的有關要求，運用風險分析的辦法，對信息系統展開分析時必須重視下面的內容。
（1）云身份認證、授權及訪問控制
云安全對于選擇用戶身份的認證、授權和訪問控制尤為重要，但它所發揮的實際效果必須依賴具體的實施情況。
（2）設置云安全邊界
云安全內部的網絡設備運用防火墻這系列的措施展開安全防護。但外部的云用戶只能運用虛擬技術，該技術自身攜帶安全風險，所以必須對其設置高效的安全隔離。
（3）云安全儲存及數據信息備份
一般情況下，云供應商采用數據備份的方式是最為安全的保護模式，即使供應商進行數據備份更加安全，仍然會發生數據丟失的情況。所以，如果有條件的，公司應該采用云技術共享的所有數據進行備份，或在保留數據發生徹底丟失事件時提出訴訟，從而獲取有效的賠償。云計算中一直存在因數據的交互放大而導致數據丟失或泄露的情況。如果出現安全時間，導致用戶數據丟失，系統應該快速把發生的安全時間通報給用戶，防止出現大的損失。
4結束語
綜上所述，隨著云計算技術的發展，云計算信息系統會成為日后信息化建設的重要組成部分。文中從云安全等級保護測試為研究依據，簡述了云計算信息系統安全特性，對云安全服務模型及管理中心的建立情況進行分析，提出云安全模型的信息安全等級測評辦法。
參考文獻
網絡安全等級保護測評范文第2篇
本報訊 7月20日，公安部、國務院信息辦等4部門在北京聯合召開“全國重要信息系統安全等級保護定級工作電視電話會議”，部署在全國范圍內開展重要信息系統安全等級保護定級工作(以下簡稱“定級工作”)。國家信息安全等級保護協調小組組長、公安部副部長張新楓，國務院信息化工作辦公室副主任、國家網絡與信息安全協調小組辦公室主任楊學山出席會議并講話。
張新楓指出，當前，我國信息安全面臨的形勢仍然十分嚴峻，維護國家信息安全的任務非常艱巨、繁重。隨著我國經濟的持續發展和國際地位的不斷提高，我國的基礎信息網絡和重要信息系統面臨的安全威脅及安全隱患比較嚴重，計算機病毒傳播和網絡非法入侵十分猖獗，網絡違法犯罪持續大幅上升，犯罪分子利用一些安全漏洞，使用黑客病毒技術、網絡釣魚技術、木馬間諜程序等新技術，進行網絡盜竊、網絡詐騙、網絡賭博等違法犯罪，給用戶造成嚴重損失。特別是“科技奧運”和“數字奧運”是2008年北京奧運會的一大亮點，網絡與信息安全已經成為事關北京奧運安全的重大問題之一。
張新楓強調，信息安全等級保護制度是國家信息安全保障工作的基本制度。為了加快推進信息安全等級保護工作，此前，公安部、國務院信息辦等部門已聯合出臺了有關信息安全等級保護工作的實施意見、管理辦法等相關文件。定級是等級保護工作的首要環節，是開展信息系統建設、整改、測評、備案、監督檢查等后續工作的重要基礎。此次定級工作的主要內容：一是開展信息系統基本情況的摸底調查，確定定級對象。二是信息系統主管部門和運營使用單位按照等級保護管理辦法和定級指南，初步確定定級對象的安全保護等級，請專家進行評審，并報經上級行業主管部門審批同意。三是信息系統安全保護等級為第二級以上的信息系統運營使用單位或主管部門到公安機關備案。公安機關和國家有關部門受理備案后，要對信息系統的安全保護等級和備案情況進行審核、管理。
會議由公安部公共信息網絡安全監察局局長李昭主持，公安部公共信息網絡安全監察局副局長、國家網絡與信息安全信息通報中心主任顧建國對定級工作作了具體說明。
網絡安全等級保護測評范文第3篇
【 關鍵詞 】 信息安全等級保護；等級測評；物聯網；云計算
Research of Effect of Internet of Things and Cloud Computing to Classified Evaluation
Zhao Liang
（Sinopec Shandong Dongying Oil Company ShandongJinan 257000）
【 Abstract 】 Classified Protection of Information Security is the basic system and strategy of national information security work. And Classified Evaluation is an important method of testing and evaluating the level of Information Security Protection. The appearance of new technologies， such as cloud computing， Internet of Things， tri-networks integration， brings new challenge to the Classified Evaluation technology. This paper introduced the influences upon Classified Evaluation from new technology development， represented by cloud computing and Internet of Things， in order to promote the development of test method research， and provide theoretical basis to further research.
【 Keywords 】 classified protection of information security； multilevel security database； cloud computing； internet of things
1 引言
社會信息化技術和國民經濟的飛速發展，使得信息系統與網絡的基礎性與全面性作用逐漸增強，而由此帶來的信息安全問題也變得突出，并逐漸成為關系國家安全的重大戰略問題。信息安全等級保護制度是國家在國民經濟和社會信息化的發展過程中，提高信息安全保障能力和水平，維護國家安全、社會穩定和公共利益，保障和促進信息化建設健康發展的一項基本制度，而等級測評作為檢驗和評價信息系統安全保護水平的重要方法，是信息安全等級保護實施過程中的重要環節。近幾年，越來越多的研究者致力于等級測評技術、方法和工具的研究與開發，并取得了一定的成果。但越來越多網絡新技術的出現，在開拓等級保護與等級測評應用領域的同時，也對傳統等級測評技術帶來了一定的挑戰。本文分別介紹了物聯網和云計算兩種新的技術應用，并探討了其對等級測評技術產生的影響，旨在推動等級測評技術的發展，為其深入研究提供理論參考。
2 安全等級保護與等級測評
信息安全等級保護是指根據應用業務重要程度及其實際安全需求，通過制定統一的信息安全等級保護管理規范和技術標準，對信息安全實行等級化保護和等級化管理，以保障信息安全和系統安全正常運行，維護國家利益、公共利益和社會穩定。等級保護是幫助用戶分析、評定信息系統的等級，在后期的工作中根據不同的等級進行不同級別的安全防護，
在我國的信息安全等級保護制度中，等級保護工作主要分為五個環節：定級、備案、建設整改、等級測評和監督檢查。
等級測評是指第三方等級測評機構根據等級保護的管理規范和技術標準要求，針對已經實施了安全等級保護的信息系統進行的符合性測評活動，以確保信息系統的安全性保護措施符合對應等級的基本安全要求，是信息安全等級保護工作的重要環節，既可以在信息系統安全建設完成后進行，也可以在信息系統的運行維護過程中進行。《GB/T 22239-2008 信息安全技術 信息系統安全等級保護基本要求》作為等級測評的基礎性標準，目前主要基于其進行符合性判定。
3 物聯網技術與等級測評
3.1 物聯網技術簡介
物聯網（Internet of Things， IOT），顧名思義，就是“物物相連的網絡”，是指通過各種信息傳感設備（如傳感器、射頻識別技術、全球定位系統、紅外感應器、激光掃描器等各種裝置與技術），實時采集任何需要監控、連接、互動的物體或過程，采集其聲、光、熱、電、力學、化學等各種需要的信息，與互聯網結合形成的一個巨大網絡。物聯網作為新一代信息技術的重要組成部分，其目的是實現物與物、物與人，所有的物品與網絡的連接，方便識別、管理和控制。
物聯網被稱為繼計算機、互聯網之后，世界信息產業的第三次浪潮。業內專家認為，物聯網不僅可以大大提高經濟效益，有效節約成本，還可以為全球經濟的復蘇提供技術動力支持。目前，美國、歐盟、韓國等都在加大力度深入研究物聯網。我國也正在高度關注、重視物聯網的研究，工業和信息化部會同有關部門，在新一代信息技術方面正在開展研究，以形成支持新一代信息技術發展的政策措施。
與傳統的互聯網相比，物聯網有其明顯的特征：（1）它是各種感知技術的廣泛應用；（2）以互聯網為基礎；（3）其本身具有智能處理的能力，能對物體實施智能控制。物聯網用途廣泛，主要應用領域有智能家居、智能醫療、智能環保、智能交通、智能農業。
3.2 物聯網對等級測評技術的影響
物聯網技術的推廣和應用，一方面將顯著提高經濟和社會運行效率，另一方面也對國家、社會、企業、公民的信息安全和隱私保護問題提出了嚴峻的挑戰，其開放性的特點與信息安全理念背道而馳，對信息安全等級測評的工作方法及測評范圍產生了較大的影響。主要體現在幾個方面。
（1） 信號易擾：雖然物聯網能夠智能化的處理一些突發事件，不需要人為干涉，但傳感設備都是安裝在物品上的，且其信號很容易收到干擾，因此很可能導致物品的損失。此外，如果國家某些重要機構如金融機構依賴物聯網，也存在信號擾導致重要信息丟失的隱患。這樣如何評估物聯網技術的安全性及穩定性成為等級測評中的難題。
（2） 針對性入侵技術：物聯網與互聯網的關系，使得互聯網上的安全隱患同樣也會對物聯網造成危害。物聯網上傳播的黑客、病毒和惡意軟件等進行的惡意操作會侵害物品，進一步侵犯用戶的隱私權。尤其是對一些敏感物品如銀行卡、身份證等物品的惡意掌控，將造成不堪設想的后果。因此，在對物聯網進行安全保護以及等級測評過程中，不僅要考慮到物聯網無線網絡的防惡意入侵能力，更要考慮互聯網傳統的入侵技術。
（3） 通訊安全：物聯網與3G手機的結合，在很大程度上方便了人們的生活。然而，移動通訊設備本身存在的安全問題也會對物聯網造成影響。移動通信設備存在許多安全漏洞，黑客很有可能通過移動設備的漏洞竊取物聯網內部的各種信息，從而帶來安全隱患。而且移動設備的便攜性也使得其很容易丟失，若被不法分子獲得，則很容易造成用戶敏感信息的泄露。因此，在對物聯網進行等級測評的過程中，還要考慮到通信終端及通信過程的保密性。
總之，在考慮物聯網的等級保護與等級測評過程中，要以構建物聯網安全體系框架為目標，在充分理解物聯網的結構、技術和應用模式的基礎上，深入分析物聯網設備、網絡、信息和管理等各層面面臨的安全威脅和風險，梳理物聯網安全的主要問題，明確物聯網安全需求（“物”的真實性、“聯”的完整性、“網”的健壯性），并針對各項安全需求，研究保障物聯網安全的關鍵技術（低能耗密碼算法設計技術、海量信息標識技術、物聯網設備管理技術、物聯網密鑰管理技術、動態安全策略控制技術、物聯網安全等級保護技術、傳感設備物理安全防護技術），提出物聯網安全目標以及技術體系、承載裝備體系、標準規范體系和管理體系框架，給出物聯網安全體系頂層設計思路、建設任務和應對措施，為全面建設物聯網安全體系奠定必要的基礎。
4 計算與等級測評
4.1 云計算技術簡介
作為一種新興的共享基礎架構的網絡應用模式，云計算（Cloud Computing）越來越受到研究者的關注。云計算的概念最早由IBM提出，是傳統計算機技術和網絡技術發展融合的產物，旨在通過網絡把多個成本相對較低的計算機實體整合成一個具有強大計算能力的系統，并借助各種商業模式把強大的計算能力分布給終端用戶。其核心思想是使用大規模的數據中心和功能強勁的服務器運行網絡應用程序、提供網絡服務，使得任何一個用戶都能輕松訪問應用程序。這種特殊的應用模式，使得云計算具有大規模、服務虛擬化、通用性、高可靠性、高擴展性等特點。
云計算作為一種新的概念和應用模式，研究尚未成熟，還存在若干制約其發展的問題，包括服務的可靠性、標準化問題、安全性問題、數據傳輸瓶頸以及信譽和法律危機。其中云安全問題是目前發展云計算首要解決的問題之一。
4.2 云計算對等級測評技術的影響
云計算平臺在為用戶提供服務的同時，仍不可避免的面臨嚴峻的安全考驗。由于其用戶、信息資源的高度集中，帶來的安全事件后果與風險較傳統應用高出很多。據IDC在2009年底的一項調查報告顯示，當前云計算面臨的三大市場挑戰分別為安全性、穩定性和性能表現。由此可見，解決云計算的安全問題尤為迫切。云計算面臨的安全問題及其對等級保護和等級測評造成的影響主要有幾個方面。
（1） 身份與權限控制：大數用戶對于云計算缺乏信心，其中一個很大原因是對于云模式下的使用和管理權限有顧慮。在復雜、虛擬的環境下，如何有效保證數據與應用依然清晰可控，這既是用戶的問題，也是云服務提供商的問題。因此，身份與權限控制解決方案成為云安全的核心問題之一，同樣的，傳統等級測評中針對身份認證和權限控制的相關技術與方法也不適用于這種虛擬、復雜的應用環境，需要開發專用的測試技術；
（3）計算層并行計算的干擾：計算層的主要功能是為整個云計算提供高效、靈活、高強度的計算服務，但也面臨一定的問題，主要有計算性能的不可靠性，即資源競爭造成的性能干擾，云計算主要采用并行計算間性能隔離機制來解決此問題。因此在等級測評中，需要開發新的測試技術和方法來評估并行計算間的干擾問題。
云計算給我們帶來創新和變革的同時，對安全問題與等級測評技術也提出了更高的要求。在云計算環境下，無論是使用云服務的用戶，還是云服務提供商，安全問題都是第一大問題。研究適用于云計算應用的等級測評技術，將極大的推動云計算領域的發展。
5 結束語
隨著各行各業對信息安全等級保護工作的關注和重視，等級保護和等級測評工作已逐漸成為制度化、規范化的研究課題。許多新技術如云計算、物聯網、三網融合等的推廣應用在帶來機遇的同時，也給等級保護乃至整個信息安全帶來了新的挑戰。本文分別介紹了物聯網和云計算兩種新的技術應用，并探討了其對等級測評技術產生的影響，旨在推動等級測評技術的發展，為其深入研究提供理論參考。
參考文獻
[1] 公通字[2004]66號 關于信息安全等級保護工作的實施意見.
[2] GB/T 22239-2008 信息安全技術 信息系統安全等級保護基本要求.
[3] 楊磊，郭志博. 信息安全等級保護的等級測評. 中國人民公安大學學報（自然科學版），No. 1 2007.
[4] 劉忠寶. 物聯網技術應用與研究. 信息與電腦，2010年第10期.
[5] 郝文江，武捷. 物聯網技術安全問題探析. 實踐探究，2010.
[6] 王斐. 淺談信息化的新浪潮――云計算. 科技創新導報，2010 No.30
[7] Jon Brodkin. Gartner： Seven cloud-computing Security risks[EB/OL]. 2008，07.http：///d/.
[8] 陳丹偉，黃秀麗，任勛益. 云計算及安全分析. 計算機技術與發展，2010 第2期.
[9] 任偉.物聯網安全架構與技術路線研究.信息網絡安全，2012.5.
網絡安全等級保護測評范文第4篇
該文對供水企業信息集成系統安全進行分析，并探討了可以針對性改進的安全防護措施。首先對當前供水信息系統安全現狀做具體分析，然后研究了在“自主定級，自主保護”的原則下改進和提高供水企業集成信息系統安全具體的執行方案，最終實現供水企業信息集成系統的信息安全防護。
關鍵詞：
供水企業信息集成系統；等級保護；信息安全
供水行業對國計民生很重要的一個行業，供水企業的業務性質要求以信息的整體化為基本立足點，集中管理所有涉及運營的相關數據，針對供水企業運行的特殊要求，進行集中的規劃和架構，將不同專業的應用系統進行整合，最終形成完整的供水企業綜合信息平臺。[1]而集成系統中最重要的一個要求就是信息安全。
隨著大數據時代的到來，網格、分布式計算、云計算、物聯網等新技術相繼推出，對供水企業信息集成與應用也提出了更高的要求。而隨著應用的擴展，應用中存在著大量的安全隱患，網絡黑客、木馬、病毒和人為的破壞等將大量的安全威脅帶給信息系統。根據美國Radicati公司于2015年3月的調查報告，截至2014年12月，網絡攻擊已經為全球計算機網絡安全造成高達上萬億美元的損失。而且隨著網絡應用的規模進一步上升，計算機網絡信息安全威脅造成的損失正在呈幾何級數增長。根據2015年的中國網絡安全分析報告，2014年報告的網絡安全攻擊事件比2013年增加了100多倍。2014年，搜狗由于網絡黑客攻擊導致搜索服務在全國各地都出現了長達25分鐘無法使用。2014年7月，某域名服務商的域名解析服務器發生了網絡黑客的集中式攻擊，造成在其公司注冊的13%的網站無法訪問，時間長達17個小時，經濟損失不可估量。因此，從信息安全的角度，要對供水企業信息集成系統進行防護，降低信息安全事故的發生的概率，降低其危害，是本文需要研究的內容。
1當前供水企業信息集成系統安全防護的現狀和存在的問題
伴隨著科技的不斷發展，供水企業的信息化建設也得到了很大的發展，主要是從深度和廣度兩個層面做進一步拓展。典型的供水企業信息集成系統涵蓋了生產調度系統、銷售系統、管網信息系統、財務管理系統、人事管理系統、辦公自動化系統等子系統。其中多個系統數據需要接受外部訪問，存在大量的安全隱患。目前，威脅到供水企業信息安全的風險因素主要分為三個大類：1）人為原因，如惡意的黑客攻擊、不懷好意的內部人員造成的信息外泄、操作中出現低級錯誤等。2）數據存儲位置位置的風險。可能由自然災害引發的問題，缺乏數據備份和恢復能力。3）不斷增長的數據交互放大了數據丟失或泄漏的風險。包括未知的安全漏洞、軟件版本、安全實踐和代碼更改等。
2有關分級防護的要求
尤其是供水企業信息集成系統中，存在大量涉及公民個人隱私的信息，也存在像生產調度這樣涉及國計民生的信息。因此，需要按照國家有關信息安全的法律法規，明確企業的信息安全責任。提升供水企業信息管理區內的業務系統信息安全防護。依據《信息安全等級保護管理辦法》（公通字[2007]43號）第十四條，信息系統建設完成后，運營、使用單位或者其主管部門應當選擇符合本辦法規定條件的測評機構，依據《信息系統安全等級保護測評要求》等技術標準，定期對信息系統安全等級狀況開展等級測評。定級標準按照國家標準《信息系統安全等級保護定級指南》（GB/T22240—2008）實施，根據等級保護相關管理文件，信息系統的安全保護等級分為以下五級：第一級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益造成損害，但不損害國家安全、社會秩序和公共利益。
第二級，信息系統受到破壞后，會對公民、法人和其他組織的合法權益產生嚴重損害，或者對社會秩序和公共利益造成損害，但不損害國家安全。第三級，信息系統受到破壞后，會對社會秩序和公共利益造成嚴重損害，或者對國家安全造成損害。第四級，信息系統受到破壞后，會對社會秩序和公共利益造成特別嚴重損害，或者對國家安全造成嚴重損害。第五級，信息系統受到破壞后，會對國家安全造成特別嚴重損害。等級保護對象受到破壞后對客體造成侵害的程度歸結為以下三種：1）造成一般損害；2）造成嚴重損害；3）造成特別嚴重損害。
3分別防護實施步驟
根據有關法律法規，建設完成并投入使用的信息系統，其有關使用此系統的單位需要對其系統的等級狀況做定期的測評。供水企業要遵照要求選擇具有資質的測評機構來對管理信息區的業務系統做等級保護的測評工作。其所得到的結果如下表1所示：通常情況下，供水企業信息系統中不會出現第四級和第五級的系統。根據測評結果，有必要對供水企業內部的局域網進行系統化整改。具體的整改內容包括兩項主要內容：細化各業務系統服務器的物理位置；按照需求設置信息安全區域。根據供水企業信息集成系統的具體實際，主要有等級包括三個業務區域，以及一個公共業務區和測評業務區。按照上述原則對供水企業信息集成系統服務器做物理劃分如圖1所示。不同等級的系統服務器針對不同級別的信息安全區進行設置。等級為一、二、三的業務區分別安裝著對應的服務器，而公共業務區域的服務器主要是DNS服務器或者是域服務器。公共業務區服務器主要為基礎服務提供非業務系統服務，不需要進行保護分級。測評業務區提供是投入正式使用前的測試服務器。
依據表1的測評結果，將安全區域進行細化表2所示的就是企業管理信息區，其主要業務系統對安全區域存放問題的展示。根據表2得到的結果，可以將信息安全設備存放在不同信息區域邊界內，以此達到服務器分級防護目的。信息安全設備設置在信息安全區域邊界，也就是局域網與信息安全區域之間的連接部。信息安全設備主要是防火墻、查殺病毒、攻擊防護、服務防護禁止、授權等。對于不同區域邊界的信息安全的部署建議，供水企業要遵照各自的實際情況做周密的設置。供水企業管理信息安全區域邊界防護表見表3。將信息安全防護設備部署在所在的區域邊界內，如此可以初步實現對供水企業管理信息區的信息安全防護。
4結束語
隨著大數據的發展，對供水企業信息集成系統在數據的交互和應用方面會提出更高的要求，也大大加強了安全防護措施的重要性和迫切性。在安全防護措施基本到位的前提下，還需要加強信息審計，及時發現和補救系統缺陷，加強數據庫安全防護，維護管理系統的隱患。
參考文獻：
[1]孫鋒.基于多agent技術的供水企業信息集成系統研究[J].供水技術,2015(10).
網絡安全等級保護測評范文第5篇
關鍵詞：電子政務外網；等級保護測評；風險評估；風險評估模型
中圖分類號：TP311 文獻標識碼：A 文章編號：1009-3044（2014）34-8337-02
1 等級保護背景下的電子政務外網風險評估
電子政務外網提供非的社會公共服務業務，全國從中央各部委、到省、市、縣，已經形成了一張大龐大的網絡系統，有的地方甚至覆蓋到了鄉鎮、社區村委會，有效提高了政府從事行政管理和社會公共服務效率。今后凡屬社會管理和公共服務范疇及不需在國家電子政務內網上部署的業務應用，原則上應納入國家政務外網運行，它按照國家政務外網統一規劃，建立網絡安全防護體系、統一的網絡信任體系和信息安全等級保護措施。
隨著政務外網的網絡覆蓋的擴大及接入的政務單位越來越多、政務外網應用的不斷增加，各級政務移動接入政務外網的需求也在增加，對政務外網的要求和期望越大，網絡安全和運維的壓力也越大，責任也更大。由于政務外網與互聯網邏輯隔離，主要滿足各級政務部門社會管理、公共服務、市場監管和經濟調節等業務應用及公務人員移動辦公、現場執法等各類的需要，網絡和電子政務應用也成為境外敵對勢力、黑客等攻擊目標。隨著新技術的不斷涌現和大量使用，也對電子政務外網網絡的安全防護、監控、管理等帶來新的挑戰。按照國家政務外網統一規劃，建立網絡安全防護體系、統一的網絡信任體系和信息安全等級保護措施是必須的。
為保障電子政務外網的安全有效運行，我們應以風險管理理念來統籌建設網絡和信息安全保障體系。在國家信息系統安全等級保護的大背景下，2011年國家信息中心下發了《關于加快推進國家電子政務外網安全等級保護工作的通知》，強化了電子政務外網的等級保護制度以及等級測評要求，要求對政務外網開展等級測評，全面了解和掌握安全問題、安全保護狀況及與國家安全等級保護制度相關要求存在的差距，分析其中存在的安全風險，并根據風險進行整改[1]。
系統安全測評、風險評估、等級測評都是信息系統安全的評判方法[2，3]，其實它們本沒有本質的區別，目標都是一樣的，系統安全測評從系統整體來對系統的安全進行判斷，風險評估從風險管理的角度來對系統的安全狀況進行評判，而等級測評則是從等級保護的角度對系統的安全進行評判。不管是系統安全測評[1]、風險評估、等級測評，風險的風險與計算都是三者必不可少的部分。
2 電子政務主要風險評估方法簡介
電子政務外網風險評估有自評估、檢查評估、第三方評估（認證）評估模式，都需利用一定的風險評估方法來進行相關風險的評估。從總體上來講，主要有定量評估、定性評估兩類。在進行電子政務系統信息安全風險評估過程中，采用的主要風險評估方法有：OCTAVE、SSE-CMM、FAT（故障樹方法）、AHP （層次分析）以及因素分析法、邏輯分析法、德爾菲法、聚類分析法、決策樹法、時許模型、回歸模型等方法。研究風險評估模型的方法可以運用馬爾可夫法、神經網絡、模糊數學、決策樹、小波分析等[4-6]。OCTAVE 方法是一個系統的方法，它從系統的高度來進行信息安全的安全防護工作，評估系統的安全管理風險、安全技術風險，它提高了利用自評估的方式制定安全防范措施的能力。它通過分析重要資產的安全價值、脆弱性、威脅的情況，制定起風險削減計劃，降低重要資產的安全風險。電子政務外網需要從實際出發，不能照搬其它評估方法，根據電子政務外網實際，本設計基于OCTAVE 評估模型，設計了一個電子政務外網風險分析計算模型。
3 基于OCTAVE模型的一個電子政務外網風險計算模型設計
3.1 風險評估中的資產、威脅、脆弱性賦值的設計
保密性、完整性和可用性是評價資產的三個安全屬性。風險評估中的資產價值不是以資產的經濟價值來衡量，而是由資產在這三個安全屬性上的達成程度或者其安全屬性未達成時所造成的影響程度來決定的。
資產價值應依據資產在保密性、完整性和可用性上的賦值等級，經過綜合評定得出。綜合評定方法可以根據自身的特點，選擇對資產保密性、完整性和可用性最為重要的一個屬性的賦值等級作為資產的最終賦值結果；也可以根據資產保密性、完整性和可用性的不同等級對其賦值進行加權計算得到資產的最終賦值結果。本設計模型根據電子政務外網的業務特點，依據資產在保密性、完整性和可用性上的賦值等級進行加權計算（保密性α+完整性β+和可用性γ），α、β、γ為權重系數，權重系數的確定可以采用專家咨詢法、信息商權法、獨立性權數等。本設計方案采用專家咨詢法。資產、威脅、脆弱性的賦值可以從0-10，賦值越高，等級越高。
脆弱性識別是風險評估中最重要的一個環節。脆弱性是資產本身存在的，如果沒有被相應的威脅利用，單純的脆弱性本身不會對資產造成損害。脆弱性識別的依據可以是國際或國家安全標準，也可以是行業規范等，如國家信息安全漏洞共享平臺（CNVD）漏洞通報、CVE漏洞、微軟漏洞通報等。
資產、威脅、脆弱性的識別與賦值依賴于專家對三者的理解，不同的人員對三者的賦值可能不同，甚至差別很大，可能會不能真實的反映實際情況。為了識別與賦值能準確反映實際情況，可以采用一定的方法來進行修正。本設計采用頭腦風暴法、德爾菲法去獲取資產、威脅、脆弱性并賦值、最后采用群體決策方法確定資產、威脅、脆弱性的識別與賦值。這樣發揮了三個方法的特點，得到的賦值準確性大大提高。
判斷威脅出現的頻率是威脅賦值的重要內容，評估者應根據經驗和（或）有關的統計數據來進行判斷[7]。判斷威脅出現的頻率是可能性分析的重要內容，如果僅僅從近一兩年來各種國內、國際組織的對于整個社會或特定行業的威脅及其頻率統計，以及的威脅預警等來判斷是不太準確的，因為它沒有與具體的電子政務外網應用實際聯系起來，實際環境中通過檢測工具（如IPS等）以及各種日志發現的威脅及其頻率的統計也應該考慮進去。
本設計模型采用綜根據經驗和（或）有關的統計數據來進行判斷，并結合具體電子政務外網實際，從歷史生產系統的IPS等獲取各種威脅及其頻率的統計，并采用馬兒可夫方法計算出某個時段內某個威脅發生的概率。馬爾可夫方法是一種定量的方法，具有無后效性的特點，適用于計算實時的動態信息系統威脅發生概率。它利用IPS等統計某一時段的發生了哪些威脅，構建出各種威脅之間的狀態轉移圖，使用馬爾可夫方法計算出該時段內某個威脅發生的概率。計算出的威脅發生概率結果可以進行適當的微調，該方法要求記錄的樣本具有代表性。
3.2 風險計算模型設計
通常風險值計算涉及的風險要素為資產、威脅、和脆弱性。 在完成了資產識別、威脅識別、脆弱性識別，以及已有安全措施確認后，將采用適當的方法與工具確定威脅利用脆弱性導致安全事件發生的可能性，并綜合安全事件所作用的資產價值及脆弱性的嚴重程度，判斷安全事件造成的損失對組織的影響，即安全風險計算。
風險值=R（資產，威脅，脆弱性）= R（可能性（威脅，脆弱性），損失（資產價值，脆弱性嚴重程度））。可根據自身電子政務外網實際情況選擇相應的風險計算方法計算風險值，如目前最常用的矩陣法或相乘法等。矩陣法主要用于兩個要素值確定一個要素值的情形，相乘法主要用于兩個或多個要素值確定一個要素值的情形。
本設計模型采用風險計算矩陣方法。矩陣法通過構造一個二維矩陣，形成安全事件的可能性與安全事件造成的損失之間的二維關系；相乘法通過構造經驗函數，將安全事件的可能性與安全事件造成的損失進行運算得到風險值。
在使用矩陣法分別計算出某個資產對應某個威脅i，某個脆弱性j的風險系數[Ri，j]，還應對某個資產的總體安全威脅風險值進行計算，某個資產總體風險威脅風險=Max（[Ri，j]），i，j=1，2，3…。組織所有資產的威脅風險值為所有資產的風險值之和。
3.3 對風險計算模型的改進
在風險值=R（A，T，V）的計算模型中，由資產賦值、危險、脆弱性三元組計算出風險值， 并沒有把安全防護措施因素對風險計算的影響考慮在內，該文把風險值=R（A，T，V）改進為風險值=R（A，T，V，P），其中P為安全防護措施因素。P因素不僅影響安全事件的可能性，也影響安全事件造成的損失，把上面的公式改進為風險值=R（L（T，V，P），F（Ia，Va，P ））。對于L（T，V，P），F（Ia，Va，P ）的計算可以采用相乘法等。如果采用矩陣法，對L（T，V，P）的可以拆分計算L（T，V，P）=L（L（T，V），L（V，P））。
在計算出單個資產對應某個脆弱性、某個威脅、某個防護措施后的風險值后，還應總體上計算組織內整體資產面臨的整體風險。單個風險（一組風險）對其它風險（一組風險）的影響是必須考慮的，風險之間的影響有風險之間的疊加、消減等。有必要對風險的疊加效應、疊加原理、疊加模型進行研究。
3.4 風險結果判定
為實現對風險的控制與管理，可以對風險評估的結果進行等級化處理。可將風險劃分為10，等級越高，風險越高。
風險等級處理的目的是為風險管理過程中對不同風險的直觀比較，以確定組織安全策略。組織應當綜合考慮風險控制成本與風險造成的影響，提出一個可接受的風險范圍。對某些資產面臨的安全風險，如果風險計算值在可接受的范圍內，則該風險是可接受的，應保持已有的安全措施；如果風險計算值高于可接受范圍的上限值，則該風險是不可接受的，需要采取安全措施以降低、控制或轉移風險。另一種確定不可接受的風險的辦法是根據等級化處理的結果，不設定可接受風險值的基準，對達到相應等級的風險都進行處理。
參考文獻：
[1] 國家電子政務外網管理中心.關于加快推進國家電子政務外網安全等級保護工作的通知[政務外網[2011]15號][Z].2011.
[2] 等級保護、風險評估和安全測評三者之間的區別與聯系[EB/OL].http：///faq/faq.php？lang=cn&itemid=23.
[3] 趙瑞穎.等級保護、風險評估、安全測評三者的內在聯系及實施建議[C].第二十次全國計算機安全學術交流會論文集，2005.
[4] 李煜川.電子政務系統信息安全風險評估研究――以數字檔案館為例[D].蘇州：蘇州大學，2011.
[5] 陳濤，馮平，朱多剛.基于威脅分析的電子政務信息安全風險評估模型研究[J].情報雜志，2011（8）：94-99.
