安全工程成熟模型信息系統(tǒng)風險評估

前言：想要寫出一篇引人入勝的文章？我們特意為您整理了安全工程成熟模型信息系統(tǒng)風險評估范文，希望能給你帶來靈感和參考，敬請閱讀。

【摘要】近年來，信息技術(shù)發(fā)展迅速，很多信息安全產(chǎn)品逐漸涌現(xiàn)，并共同構(gòu)建出完善的信息系統(tǒng)安全防御體系，與此同時，社會各界也逐漸意識到加強信息系統(tǒng)安全管理的重要性，信息系統(tǒng)安全的復(fù)雜程度比較高，涉及信息系統(tǒng)開發(fā)、操作、管理等多個方面，在系統(tǒng)安全管理中，需要將系統(tǒng)工程理論和方法作為指導(dǎo)。對此，本文首先對系統(tǒng)安全工程能力成熟模型進行了介紹，然后對信息系統(tǒng)風險的特征進行了分析，并對信息風險評估模型進行了詳細介紹。

【關(guān)鍵詞】系統(tǒng)安全工程；信息系統(tǒng)；風險

引言

隨著科學(xué)技術(shù)的快速發(fā)展，信息系統(tǒng)安全問題也越來越常見，如何采取有效措施預(yù)防并減少信息系統(tǒng)風險已經(jīng)逐漸成為信息安全研究的關(guān)鍵。對于信息系統(tǒng)安全，可以采用風險大小進行度量，同對信息在保密性、完整性等多個方面所受到的威脅，可以對安全威脅進行有效控制。需要注意的是，為了保障信息安全，不僅需要依靠安全技術(shù)和產(chǎn)品，而且還需要信息系統(tǒng)安全工程的支持。通過構(gòu)建系統(tǒng)安全工程能力成熟模型，對影響信息系統(tǒng)的各個安全要素進行分析，并對風險因素發(fā)生的可能性進行評價分析，能夠保證信息安全管理決策的客觀性和合理性。

1我國礦山生產(chǎn)安全現(xiàn)狀

近年來，隨著國家的重視與社會的關(guān)注，礦山的百萬噸死亡率以及前人死亡率有所下降，但是礦山的安全工程還是存在一定的問題，就目前看來，其主要存在以下問題：①我國大多數(shù)的礦山都缺乏統(tǒng)一持續(xù)的安全戰(zhàn)略規(guī)劃目標，我國大型的礦山企業(yè)都是國有企業(yè)，其在生產(chǎn)的過程中都十分重視礦產(chǎn)的安全管理，十分重視企業(yè)生產(chǎn)安全。但是其在生產(chǎn)的過程中同樣需要面臨著市場競爭帶來的壓力，對于礦山生產(chǎn)的風險性以及隨機性沒有充分的把握，難以從根本上提升礦山的安全性；②我國礦產(chǎn)開采缺乏完善的安全理念，盡管大多數(shù)的礦產(chǎn)企業(yè)在開采時都確立了安全生產(chǎn)理念，但是這些理念僅僅概況成了幾句口號，并沒有得到徹底的落實，這樣一來無法有效的確保礦山安全管理的質(zhì)量；③我國礦山開采安全程度較低，尤其是一些小型礦產(chǎn)，基本沒有安全設(shè)施，采用的甚至是一些落后的工藝設(shè)備。為了有效的判斷礦山生產(chǎn)過程中的風險，需要建立完善的風險評估模型，下面簡單的介紹系統(tǒng)安全工程能力成熟模型，以及其在風險評估中的作用。

2系統(tǒng)安全工程能力成熟模型概述

系統(tǒng)安全工程能力指的是系統(tǒng)在實際應(yīng)用中，能夠達到的安全性指標的能力，通過改善系統(tǒng)工程的過程安全能力，能夠使系統(tǒng)工程變得更加成熟。在系統(tǒng)安全工程能力成熟模型的構(gòu)建過程，需要完善的、成熟的、可度量的安全工程。在系統(tǒng)安全工程下，所有工程活動都有明確的定義，并且對于所有工程活動，都可以進行有效的測量、管理和控制。系統(tǒng)安全工程能力成熟度模型主要是由兩個部分所組成的，包括“過程域”和“能力”。其中，過程域指的是在完成一個子任務(wù)過程中，所需要完成的一系列工程實踐，過程域指又可以被分為三個部分，即工程過程域、組織過程域和項目過程域。其中，組織過程域和項目過程域與系統(tǒng)安全沒有直接關(guān)聯(lián)，因此，二者不是模型的組成部分。模型為每個過程域均定義了一組確定的基本實踐（BP），在子任務(wù)的完成過程中，每個基本實踐都必不可少。另外，能力維指的是實踐代表過程管理和制度化能力，其又可以被稱為通用實踐（GP）。通用實踐的主要作用是對每個級別的共同特性（CF）進行描述，即每個級別的判定反映為一組共同特性。通用實踐是應(yīng)用于所有過程的活動，通用實踐的重點是對過程進行度量和管理。應(yīng)用通用實踐描述共同特性的邏輯區(qū)域可以被被劃分5個能力級別，

3信息系統(tǒng)風險的特征

信息系統(tǒng)的投資比較大，建設(shè)周期長，影響因素較多，因此，信息系統(tǒng)所面臨的風險種類也比較多，并且不同風險之間的關(guān)系錯綜復(fù)雜。通過對大中型信息系統(tǒng)進行調(diào)查分析發(fā)現(xiàn)，信息系統(tǒng)風險的特征主要體現(xiàn)在以下幾點：客觀性和不確定性。在信息系統(tǒng)的實際應(yīng)用中，信息系統(tǒng)風險客觀存在，因此，在整個信息系統(tǒng)生命周期中，風險因素無處不在，但是有具有明顯的不確定特征，風險事件的客觀體現(xiàn)指的是隨著客觀條件的變化，所造成的不確定性。在信息系統(tǒng)的實際運行過程中，各類不確定因素的伴隨物即為信息系統(tǒng)風險。多層次性和多樣性。信息系統(tǒng)風險包包括多種層次風險，包括物理安全風險、邏輯安全風險等等，其中，物理安全風險是由周界控制、區(qū)域訪問控制以及區(qū)內(nèi)設(shè)施安全等所組成的，安全管理內(nèi)容包括人員管理、系統(tǒng)管理、應(yīng)急管理等，信息系統(tǒng)風險的種類也具有可變性和動態(tài)性特征，隨著信息技術(shù)的發(fā)展，信息系統(tǒng)風險也逐漸呈動態(tài)性和可變性特征。在信息系統(tǒng)實際運行過程中，對于有些風險因素，由于采取了有效措施，因此風險得以消除，而對于有些風險因素，由于沒有采取有效的消除措施，因此風險逐漸成為主要風險?？蓽y性。系統(tǒng)安全風險的本質(zhì)是不確定性，在各類風險因素中，任何風險的發(fā)生都是多個風險因素共同作用所造成的，也有個別風險因素的發(fā)生是偶然事件，但是，通過對大量風險發(fā)生事件進行統(tǒng)計和分析發(fā)現(xiàn)，風險時間的發(fā)生具有一定的運動規(guī)律。對于風險時間的發(fā)生概率以及其所造成，可以采用多種風險分析方式進行計算，并對可能發(fā)生的風險進行預(yù)測分析，從而為防范決策提供重要依據(jù)。由于信息系統(tǒng)風險具有多層次以及多樣性特征，因此，安全防范難度較大，對此，一般采用防火墻技術(shù)進行安全管理。另外，由于信息系統(tǒng)風險具有多層次以及動態(tài)性特征，因此，很難構(gòu)建覆蓋全部安全問題的安全防控體系，綜合考慮安全投入成本以及被保護資產(chǎn)價值，必須構(gòu)建合適的安全準則。通過上述分析可見，信息系統(tǒng)風險復(fù)雜程度比較高，并且系統(tǒng)風險的涉及面比較廣泛，因此，在信息系統(tǒng)整個生命周期中，都必須加強風險評估和管理，對此，應(yīng)該在模型的指導(dǎo)下來保證信SSE-CMM息系統(tǒng)的安全。

4信息風險評估模型

信息風險評估的過程指的是，對信息系統(tǒng)資產(chǎn)所面對的各類風險因素進行分析，并對安全控制措施進行研究，從而準確識別系統(tǒng)風險因素，并對各類風險因素進行評價。從系統(tǒng)風險管理角度出發(fā)，系統(tǒng)風險管理過程值得是對信息系統(tǒng)安全風險進行控制、降低以及消除的過程，在此過程中，需要對網(wǎng)絡(luò)與信息系統(tǒng)中所面臨的風險因素進行準確識別，并采取有效的控制措施。在對安全事件進行評估過程中，如果發(fā)現(xiàn)風險因素可能會產(chǎn)生的危害事件，則應(yīng)該立即提出相應(yīng)的低于威脅防護措施，對安全風險進行化解，或者采取有效的防范措施，將信息安全風險控制在一定范圍內(nèi)，從而有效保障網(wǎng)絡(luò)安全以及信息安全。在進行信息風險評估過程中，需要注意以下幾點：①準確識別被評估信息資產(chǎn)，并對其估價；②對網(wǎng)絡(luò)弱點進行檢測，評估資產(chǎn)脆弱性；③獲取系統(tǒng)各對象信息，并詳細列出資產(chǎn)威脅；④識別當前安全控制；⑤綜合考慮脆弱性和威脅的嚴重程度，對資產(chǎn)的重要性進行計算分析。風險事件因素對于信息系統(tǒng)的影響程度具有模糊性特征，因此，對于安全風險，可以將其描述為關(guān)于威脅和這種威脅后果的一個函數(shù)，通過對其進行定量分析，能夠估算出風險時間發(fā)生后對于系統(tǒng)安全性的影響程度，同時還能夠?qū)?fù)雜的思維決策過程模型化、數(shù)量化。系統(tǒng)所有者在系統(tǒng)的實際應(yīng)用過程中，可以結(jié)合項目實際情況，在資產(chǎn)風險評估過程中，對資產(chǎn)、威脅和脆弱性等各因素所占權(quán)重進行計算，并賦予其相應(yīng)的權(quán)向量：A=（r1，r2，r3，…，ri），其中，其中ri指的是判斷矩陣相應(yīng)因素。aij=rij/nk=1Σrkj（i=1，2，…，n）（1）由公式（1）再按行求和：c軃i=nj=1Σrkj（i=1，2，…，n）（2）通過公式（2）可得：ci=c軃ini=1Σc軃i（i=1，2，…，n）（3）其中，c指的是所求的特征向量，具體而言其指的是對應(yīng)i個因素的相對重要程度，即權(quán)重系數(shù)，如果c越高，則說明風險越大，系統(tǒng)安全工程的安全程度比較低。因此，可以根據(jù)以上公式，計算出風險評估量化分析結(jié)果，并對系統(tǒng)中的各類風險因素進行建模分析，從而計算得出各類風險權(quán)重，并以此為依據(jù)，對信息風險評估以及系統(tǒng)安全策略的制定提供重要的參考依據(jù)。

5結(jié)語

綜上所述，在信息系統(tǒng)的建設(shè)過程中，加強安全工程管理至關(guān)重要，現(xiàn)如今已經(jīng)逐漸引起社會各界的廣泛關(guān)注，而我國信息系統(tǒng)風險評估研究起步比較晚，定量評估模型依然處于探索階段。為了有效保障保障信息系統(tǒng)的安全性，應(yīng)該采用SSE-CMM模型作為安全指導(dǎo)思想，通過對風險因素進行全過程、全方位的分析，能夠有效解決信息系統(tǒng)安全的動態(tài)性和廣泛性問題。本文主要對SSE-CMM模型進行了詳細分析，SSE-CMM模型屬于理論指導(dǎo)模型，可以用在信息系統(tǒng)的效益分析、系統(tǒng)可靠性分析等方面，所以具有較大的推廣價值，但是需要注意的是，在其實際應(yīng)用中，還應(yīng)該綜合考慮不同性質(zhì)的信息系統(tǒng)，采取不同的實施方案。

參考文獻

[1]吳峰，賁可榮.系統(tǒng)安全測試能力成熟度模型框架研究[J].計算機與數(shù)字工程，2011，39（2）：128~132.

[2]李燦，周春雷，華斌，等.信息系統(tǒng)應(yīng)用成熟度評價模型[J].華東電力，2014，42（11）：2428~2431.

[3]陳登偉，張永亮，趙廣超，等.基于信息系統(tǒng)的指控能力成熟度研究[J].裝備學(xué)院學(xué)報，2016，27（5）：94~99.

作者:陸秀平 顧燕燕 單位:貴州煤礦礦用安全產(chǎn)品檢驗中心 貴州安科勞動保護技術(shù)有限責任公司