公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險管理與實施評估研究論文
本文是一篇項目風(fēng)險管理論文，本文以 X 公司網(wǎng)絡(luò)和信息系統(tǒng)的安全性為背景，以“X公司網(wǎng)絡(luò)與信息系統(tǒng)安全風(fēng)險管理與實施評估研究”作為主題，全方位考慮網(wǎng)絡(luò)和信息系統(tǒng)的安全性、可靠性和實用性，對其可能存在的風(fēng)險點進(jìn)行綜合分析與評估，并根據(jù)評估意見提出合理的解決方案，建立完善的信息安全保障體系，為網(wǎng)絡(luò)和信息系統(tǒng)安全管理提供可靠的理論依據(jù)。
第一章 緒論
1.1 研究背景和意義
1.1.1 問題的提出
隨著我國深入開展信息化建設(shè)工作，信息化與工業(yè)化融合的需求逐步增強，信息系統(tǒng)對工業(yè)的支撐作用逐步顯現(xiàn)，信息系統(tǒng)的安全穩(wěn)定運行直接關(guān)系到企業(yè)秩序與國計民生。X 公司的業(yè)務(wù)作為工業(yè)領(lǐng)域的典型代表，其信息化需求程度正隨著行業(yè)發(fā)展逐步提高，業(yè)務(wù)邏輯等對于信息系統(tǒng)的依賴程度進(jìn)一步增加，信息安全的盲點逐漸顯現(xiàn)。這些信息系統(tǒng)不同程度的存在著網(wǎng)絡(luò)層面、業(yè)務(wù)層面、應(yīng)用層面的安全隱患問題，而這些安全隱患相對分散，對單個隱患處理整改后不能整體、有效的提升公司信息安全水平，缺乏統(tǒng)一的實施方案進(jìn)行指導(dǎo)。
基于 X 公司網(wǎng)絡(luò)和信息系統(tǒng)的安全狀況，本項目通過技術(shù)測試手段與管理手段相結(jié)合的方式，對公司重要的信息系統(tǒng)開展信息安全風(fēng)險評估工作，通過規(guī)范化安全防護(hù)策略，提升重要在運對外服務(wù)業(yè)務(wù)系統(tǒng)信息安全防護(hù)能力，能夠有效抵御公司外部有組織性的威脅源發(fā)起的惡意攻擊，保證信息安全、避免信息損失是當(dāng)前面臨的首要任務(wù)。本文以 X 公司網(wǎng)絡(luò)和信息系統(tǒng)的安全性為背景，以“X公司網(wǎng)絡(luò)與信息系統(tǒng)安全風(fēng)險管理與實施評估研究”作為主題，全方位考慮網(wǎng)絡(luò)和信息系統(tǒng)的安全性、可靠性和實用性，對其可能存在的風(fēng)險點進(jìn)行綜合分析與評估，并根據(jù)評估意見提出合理的解決方案，建立完善的信息安全保障體系，為網(wǎng)絡(luò)和信息系統(tǒng)安全管理提供可靠的理論依據(jù)。
1.1.2 研究意義
近年來，隨著社會經(jīng)濟(jì)的快速發(fā)展和市場化進(jìn)程的進(jìn)一步加快，原有 X 公司體制逐步向市場化轉(zhuǎn)變，并加強信息化工作投入力度，利用信息化支撐公司發(fā)展，以提高勞動生產(chǎn)率和管理水平，從而提高企業(yè)在行業(yè)內(nèi)的綜合競爭力。但是，隨著信息系統(tǒng)的互聯(lián)范圍進(jìn)一步擴(kuò)大，信息網(wǎng)絡(luò)面臨日益突出的信息系統(tǒng)安全風(fēng)險。在企業(yè)的綜合信息管理系統(tǒng)中，必須從信息網(wǎng)絡(luò)、操作系統(tǒng)等各方面來保證系統(tǒng)的安全。研究信息系統(tǒng)所面臨的安全性問題，并根據(jù)安全威脅建立系統(tǒng)的安全防護(hù)方案，制訂在信息網(wǎng)絡(luò)遭受惡意攻擊情況下的防范措施及數(shù)據(jù)恢復(fù)措施等信息安全應(yīng)急預(yù)案是當(dāng)前信息化工作的重要內(nèi)容。本文以 X 公司網(wǎng)絡(luò)和信息系統(tǒng)的安全性為背景，對網(wǎng)絡(luò)和信息系統(tǒng)中存在的安全隱患和威脅進(jìn)行分析評估，利用研究結(jié)果指導(dǎo)信息系統(tǒng)安全保防護(hù)系的建立，為該公司網(wǎng)絡(luò)和信息系統(tǒng)安全管理提供可靠的理論依據(jù)。
1.2本文主要方法和內(nèi)容
1.2.2 研究方法
本文主要采取了調(diào)查法、文獻(xiàn)研究法、描述性研究法和經(jīng)驗總結(jié)法對課題進(jìn)行研究。通過分析和研究，探索課題研究的目的和意義，提出研究思路和方法，達(dá)到研究的目的。在梳理國內(nèi)外相關(guān)研究文獻(xiàn)和資料的基礎(chǔ)上，分析了 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險管理的現(xiàn)狀和需求，采用了先進(jìn)的技術(shù)手段和管理方法對風(fēng)險進(jìn)行了評估，建立了完善的安全保障體系。
在項目的實施過程中，主要使用的方法工具有包括工作分解結(jié)構(gòu)（WBS）和甘特圖。
1.工作分解結(jié)構(gòu)
工作分解結(jié)構(gòu)（Work Breakdown Structure,WBS）是指把一個項目按照一定的原則分解成一個個的任務(wù)，再將這些任務(wù)進(jìn)行分解，分解成一項一項的工作，最后把這些工作分配給每個人。工作分解結(jié)構(gòu)的功能是對項目的工作范圍進(jìn)行定義，并把項目的關(guān)鍵要素進(jìn)行分組。本文第五章中，根據(jù)項目的工作需求，應(yīng)用WBS 將項目進(jìn)行了分解，變成可更加易于管理的部分，使得付成果更加詳細(xì)。
2.甘特圖
甘特圖（Gantt chart）常用于進(jìn)度管理。它能夠很直觀的表明在整個項目實施的過程中，計劃任務(wù)在什么時間進(jìn)行，實際進(jìn)度與計劃進(jìn)度之間的對比。它基本就是一條線形圖，縱軸是活動，橫軸是時間。每項活動的計劃或?qū)嶋H完成用線條表示。它的優(yōu)點是圖形化界面，易于使用和理解；缺點是不使用于關(guān)系復(fù)雜的項目。本文第五章中，運用了甘特圖對項目的時間進(jìn)行管理，定義了保障項目按時完成所需的各個時間點，確保了項目的順利完成。
第二章 相關(guān)理論綜述
2.1 風(fēng)險評估概述
2.1.1 風(fēng)險評估原則
風(fēng)險評估可以更好的.評價網(wǎng)絡(luò)和信息系統(tǒng)的安全性和可靠性，為進(jìn)一步提升信息安全性能和安全壞境提供了很好的參考依據(jù)，從而使信息系統(tǒng)能夠更好的服務(wù)于企業(yè)、服務(wù)于用戶。風(fēng)險評估的原則主要包括：最小影響原則、標(biāo)準(zhǔn)性原則、可控性原則、整體性原則、保密原則和互動性原則。具體如下：
1.最小影響原則：從評估所采用的工具技術(shù)和管理方法等層面，充分做好風(fēng)險評估工作計劃，在盡可能小的影響目前信息系統(tǒng)的正常運行運轉(zhuǎn)的前提下，最好的完成風(fēng)險評估工作。
2.標(biāo)準(zhǔn)性原則：在項目方案的設(shè)計、應(yīng)用過程中，不僅要保證項目的高效、便捷開展，還要考慮其是否符合國家的相關(guān)規(guī)范要求，如等級保護(hù)基本技術(shù)要求、相關(guān)主管機關(guān)要求。
3.可控性原則：對風(fēng)險評估的實施過程采取全過程監(jiān)控，其中包括人員可控性、工具可控性和項目過程可控性。
�。�1）人員可控性
參與網(wǎng)絡(luò)和信息系統(tǒng)風(fēng)險評估的工作人員均要進(jìn)行資格審查，并在工作說明中明確規(guī)定評估人員的工作職責(zé)。同時，在工作過程中，如果需要進(jìn)行人員的調(diào)整，要嚴(yán)格履行審批手續(xù)，確保人員的可控。
�。�2）工具可控性
風(fēng)險評估的工具都要經(jīng)過多方面額的性能對比，并取得專家和有關(guān)部門的認(rèn)可。同時，在評估工作中需要應(yīng)用到的工具技術(shù)都要事先向評估對象進(jìn)行介紹，并進(jìn)行實驗后才可以使用。
�。�3）項目過程可控性
項目的風(fēng)險評估都要依據(jù)管理學(xué)的方法，注重項目的溝通管理，實現(xiàn)項目全過程的可控。
4.整體性原則：按照評估對象的要求進(jìn)行劃分，并開展全面的風(fēng)險評估工作，評估內(nèi)容涉及到網(wǎng)絡(luò)和信息系統(tǒng)安全的各個層面。
5.保密原則：必須與委托單位及個人簽訂工作保密協(xié)議，協(xié)議明確規(guī)定過程各類數(shù)據(jù)等均要進(jìn)行嚴(yán)格的保密，未經(jīng)雙方許可不得以任何方式泄露給其他人，否則委托單位將有權(quán)追究法律責(zé)任。
6.互動性原則：在進(jìn)行網(wǎng)絡(luò)和信息系統(tǒng)安全性風(fēng)險評估時，將重點強調(diào)受評估方與評估方之間的互動，項目領(lǐng)導(dǎo)小組以及實施小組成員必須由雙方共同組成，從而保證項目執(zhí)行的效果，有效提高受評估方的安全技能等。
2.2 信息資產(chǎn)識別
2.2.1 信息資產(chǎn)要素定義
安全風(fēng)險評估的對象主要是針對風(fēng)險評估范圍內(nèi)的所有信息資產(chǎn)。信息是機構(gòu)保障業(yè)務(wù)發(fā)展的資產(chǎn)，與其他的有形資產(chǎn)（如：服務(wù)器、網(wǎng)絡(luò)設(shè)備等）一樣，它對各業(yè)務(wù)系統(tǒng)而言具有非常重要的價值，這些資產(chǎn)十分容易受到信息安全威脅的侵害，造成不必要的后果。
在對 X 公司的風(fēng)險評估中，風(fēng)險的所有重要因素都以業(yè)務(wù)信息資產(chǎn)為中心，包括威脅、脆弱性、風(fēng)險都是客觀存在的。與以往將每個網(wǎng)絡(luò)設(shè)備、服務(wù)器、人員甚至業(yè)務(wù)信息資產(chǎn)分別獨立的識別、賦值并劃分重要程度等級不同，為達(dá)到分析業(yè)務(wù)影響性和整體安全風(fēng)險的目的，就不能孤立對單個設(shè)備進(jìn)行估價，更重要的是要考慮所有資產(chǎn)所構(gòu)成的整體對于業(yè)務(wù)的重要影響，即損失某一或整個資產(chǎn)可能引發(fā)的威脅。
2.2.2 主要工作和意義
1.調(diào)查和統(tǒng)計 X 公司業(yè)務(wù)信息數(shù)據(jù)類型和分類；
2.調(diào)查 X 公司的業(yè)務(wù)系統(tǒng)和網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，梳理業(yè)務(wù)信息數(shù)據(jù)交互時所生成的本地計算環(huán)境和網(wǎng)絡(luò)結(jié)構(gòu)；
3.明確網(wǎng)絡(luò)設(shè)備和本地計算環(huán)境的現(xiàn)有狀況、配置情況和管理情況。例如，主機系統(tǒng)需要明確其開發(fā)平臺、系統(tǒng)版本、補丁升級等基本情況外，還需明確主機所開放的端口和服務(wù)等配置信息；
4.對業(yè)務(wù)資產(chǎn)信息進(jìn)行交換時所涉及的硬件資產(chǎn)進(jìn)行識別和估價，包括對資產(chǎn)的分類、編號，根據(jù)其在業(yè)務(wù)信息交互過程中所起的重要作用確定資產(chǎn)的價值。
正確管理企業(yè)信息資產(chǎn)，對于一個機構(gòu)來說是非常必要的。因此，為了更好的開展風(fēng)險評估工作，就必須對業(yè)務(wù)系統(tǒng)所涉及范圍內(nèi)的相關(guān)資產(chǎn)進(jìn)行安全識別，從而根據(jù)資產(chǎn)在業(yè)務(wù)和應(yīng)用流程中的重要性進(jìn)行估價。
本項目具體實施的方法以業(yè)務(wù)信息資產(chǎn)為主線，評價為了保證業(yè)務(wù)信息正常流轉(zhuǎn)而必須的網(wǎng)絡(luò)設(shè)備、服務(wù)器、安全設(shè)備等資產(chǎn)的重要性
第三章 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險現(xiàn)狀分析 .................. 13
3.1 公司網(wǎng)絡(luò)和信息系統(tǒng)安全控制機制 ............................ 13
3.1.1 明確信息安全管控機制 ................................ 13
3.1.2 建立信息安全督查機制................................ 15
第四章 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險評估實施流程 .............. 20
4.1 需求分析和準(zhǔn)備工作 ........................................ 20
4.1.1 用戶需求界定范圍 .................................... 20
4.1.2 系統(tǒng)架構(gòu)需求分析 .................................... 20
第五章 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險評估過程管理 .............. 28
5.1 項目整體管理過程 .......................................... 28
5.2 項目組織.................................................. 30
第六章 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安
全風(fēng)險的評估控制
6.1 安全風(fēng)險的評估管理分析
6.1.1 評估工作質(zhì)量管控
此外，在組織開展信息安全風(fēng)險評估工作中，風(fēng)險評估實施過程接受用戶的質(zhì)量監(jiān)督，以確保實施過程嚴(yán)格按照工作方案進(jìn)行風(fēng)險評估的。安全評估工作成果接受由領(lǐng)導(dǎo)小組組織的相關(guān)人員所進(jìn)行的質(zhì)量審查。
6.1.2 評估工作安全風(fēng)險管控
被評估信息系統(tǒng)可能存在一定的風(fēng)險，但是安全風(fēng)險評估工作本身也具有一定的客觀風(fēng)險，如果評估過程風(fēng)險防范不夠，將給系統(tǒng)正常運行帶來一定的影響。如果遇到無法解決問題，應(yīng)由項目雙方工作人員共同協(xié)商進(jìn)行解決。
第七章 結(jié)論和展望
7.1 研究結(jié)論
X 公司所開展的針對網(wǎng)絡(luò)和信息系統(tǒng)的風(fēng)險評估，是在工業(yè)化與信息化融合背景下組織實施信息化建設(shè)的重要組成部分，評估成果將直接制約著企業(yè)生產(chǎn)進(jìn)程的穩(wěn)鍵發(fā)展，以及 IT 業(yè)務(wù)核心的機密性、完整性和可用性。目前，該公司信息安全隱患相對分散，對單個隱患處理整改后不能整體、有效的提升公司信息安全水平，缺乏統(tǒng)一的實施方案進(jìn)行指導(dǎo)。為了解決上述問題，同時適應(yīng)管理體系的整體構(gòu)建，助力堅強企業(yè)建設(shè)，需要在信息內(nèi)網(wǎng)、信息外網(wǎng)進(jìn)行安全評估和資產(chǎn)清查，全面掌握當(dāng)前信息安全狀況，并后期信息安全體系架構(gòu)制定發(fā)展規(guī)劃，指導(dǎo)信息安全工作發(fā)展方向。
通過本項目的研究，能夠全面掌握信息系統(tǒng)安全現(xiàn)狀，掌握該公司購置的所有安全設(shè)備的運行狀況及利用效果，針對信息系統(tǒng)安全配置不足及未充分利用的安全設(shè)備提出改進(jìn)措施，并參照當(dāng)前實際情況及國家信息規(guī)劃要求制定信息安全工作發(fā)展方向，明確信息安全各階段工作目標(biāo)及內(nèi)容，梳理信息安全工作各項流程，將信息安全風(fēng)險管控工作標(biāo)準(zhǔn)化、合理化。
參考文獻(xiàn)（略）
【公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險管理與實施評估研究論文】相關(guān)文章：
1.醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)安全管理與維護(hù)論文
4.信息安全風(fēng)險評估綜合管理系統(tǒng)設(shè)計的論文