信息安全風險管理論文范文

本站小編為你精心準備了信息安全風險管理論文參考范文，愿這些范文能點燃您思維的火花，激發您的寫作靈感。歡迎深入閱讀并收藏。

一、信息安全風險管理的流程

立足于上述對于信息安全風險管理的界定，可以看出，就企業而言，信息安全風險管理就是企業通過對信息安全風險進行識別和評估，采取有效的措施控制信息安全風險管理的過程，以實現企業生產經營過程中的安全目標。基于此，信息安全風險的識別、信息安全風險的評估以及信息安全風險的控制是企業信息安全風險管理的主要步驟。具體而言，企業信息安全風險管理的流程包括四個步驟。第一步：確定信息安全風險管理的對象，從企業信息安全業務的目標和特點出發，確定信息安全風險管理的對象。第二步：信息安全風險評估。針對信息安全風險管理的對象，對企業信息安全風險進行識別和評價。第三步：信息安全風險控制。從企業信息安全風險評估的結果出發，選取合理的措施，對企業信息安全存在的風險進行控制。第四步：信息安全風險監控與反饋。通過測試、檢查等手段，檢驗信息安全風險控制是否達到既定目標。如果與既定目標出現偏離，采取相應的措施進行修正，以不斷完善信息安全風險控制手段。當企業受保護的信息安全系統所面臨的外部環境發生變化之時，或者面臨新的風險之時，需要再次進入上述四個步驟，形成新的一次循環。因此，上述四個步驟在保護企業信息安全的過程中，必須形成一個相對穩定的循環運動過程，以滿足企業新的安全需求和應對信息的信息安全風險。

二、信息安全風險管理的標準

1.國際標準信息安全風險管理標準也是與信息安全風險管理密切相關的要素，當前，無論是國際上還是國內，針對信息安全風險管理，都出臺了相應的標準，以指導信息安全風險管理工作。英國制定的BS7799標準可以說是當前世界范圍內應用較廣的信息安全風險管理標準，該標準由英國標準協會（BSI）在1995年第一次提出，并于2000年通過ISO的認可，成為了國際通用的標準。從內容維度上看，該標準分為兩個部分，第一部分為《信息安全管理實施規則》，在該規則中提供了一套系統的信息安全管理實施規則，為信息安全的管理人員在采取信息安全管理措施時提供了參考。第二部分為《信息安全管理體系規范》，其中詳細說明了信息安全管理體系與信息安全控制的要求，對于廣大企業形成體系化的信息安全管理制度和組織架構起到了很好的推動作用。從兩個部分的關系來看，BS7799標準提出了信息安全具體的控制措施，第二部分提出了信息安全控制的要求，因此可以確定該標準的第一部分為第二部分的具體實施提供了參考和指南。除了英國的BS7799標準，國際上通用的信息安全管理標準還有ISO/IEC15408-1999和OCTAVE標準。ISO/IEC15408-1999標準是當前國際上最通行的信息安全評估準則，該標準從信息的完整性、可用性以及機密性出發，論述了信息安全維護過程中所應遵循的標準為可控性、可審計性（責任可追查性），這對于企業進行信息安全系統的開發、生產、運營以及維護都具有很大的借鑒意義。而OCTAVE標準的重點為信息安全風險評估標準，該標準提出以資產驅動的評估方法來評估信息安全風險，依據組織所處的具體環境來構造信息安全系統組織的風險標準框架。但OCTAVE標準中的評估標準較為抽象，且極為繁瑣，不利于相關企業在實際操作中采用。

2.國內標準在我國國內，信息安全風險管理所參照的標準主要是GB17859《安全保護等級劃分準則》，這是我國目前計算機信息安全等級保護系列標準的核心，是我國以等級劃分為依據保護信息安全制度建設的根基，同時也是信息安全風險評估參照的重要標準之一。在該標準中，從信息安全的等級出發，從低到高將信息安全等級分為5個等級，第一級是用戶自主保護級，第二級是系統審計保護級，第三級是安全標記保護級，第四級是結構化保護級，第五級是訪問驗證保護級。其中高級別的信息安全要求是低級別要求的集合，信息安全等級越高，對于計算機系統的安全性要求越高。針對不同的級別，信息安全保護的指標主要有身份認同、數據完整性、責任審計、自主訪問控制、強制訪問控制、可信路徑等，這些涵蓋了不同級別的信息安全標準。從該標準來看，其信息安全保護的本質是從不同信息資產的等級出發，針對不同等級的信息資產采取不同程度的措施。對于企業來說，可以參照此種方法，通過將信息資產進行分類，對不同類別的信息采取不同的保護標準，以突出不同信息的重要程度。

作者：楊姍姍單位：武漢大學信息管理學院