電工技術論文征稿電力信息網(wǎng)風險評估

　　本篇文章是由《當代電力文化》發(fā)表的一篇電力論文，創(chuàng)刊于2013年，雜志是中國電力政研會會刊，由中國電力企業(yè)聯(lián)合會主管、中國電力職工思想政治工作研究會主辦。《當代電力文化》辦刊方針是“觀察電力文化熱點，啟迪電力文化智慧，提升電力文化價值”。

　　論文摘要：本文設計的信息安全風險評估輔助系統(tǒng)是一個多專家評估系統(tǒng)，主要模塊分為風險評估管理端、系統(tǒng)評估端、信息庫管理端和知識庫管理端，嚴格按照《指南》的風險評估流程進行評估，使評估結(jié)果更全面更客觀。

　　論文關鍵詞：信息安全　風險評估　風險分析

　　一、前言

　　電力系統(tǒng)越來越依賴電力信息網(wǎng)絡來保障其安全、可靠、高效的運行，該數(shù)據(jù)信息網(wǎng)絡出現(xiàn)的任何信息安全方面的問題都可能波及電力系統(tǒng)的安全、穩(wěn)定、經(jīng)濟運行，因此電力信息網(wǎng)絡的安全保障工作刻不容緩[1，2]。風險評估具體的評估方法從早期簡單的純技術操作，逐漸過渡到目前普遍采用BS7799、OCTAVE、ISO13335、NIST SP800-30等相關標準的方法，充分體現(xiàn)以資產(chǎn)為出發(fā)點，以威脅為觸發(fā)，以技術、管理、運行等方面存在的脆弱性為誘因的信息安全風險評估綜合方法及操作模型[3]。

　　二、信息安全風險評估

　　在我國，風險評估工作已經(jīng)完成了調(diào)查研究階段、標準草案編制階段和全國試點工作階段，國信辦制定的標準草案《信息安全風險評估指南》[4](簡稱《指南》)得到了較好地實踐。本文設計的工具是基于《指南》的，涉及內(nèi)容包括：

　　(一)風險要素關系。圍繞著資產(chǎn)、威脅、脆弱性和安全措施這些基本要素展開，在對基本要素的評估過程中，需要充分考慮業(yè)務戰(zhàn)略、資產(chǎn)價值、安全需求、安全事件、殘余風險等與基本要素相關的各類屬性。

　　(二)風險分析原理。資產(chǎn)的屬性是資產(chǎn)價值;威脅的屬性可以是威脅主體、影響對象、出現(xiàn)頻率、動機等;脆弱性的屬性是資產(chǎn)弱點的嚴重程度。

　　(三)風險評估流程。包括風險評估準備、資產(chǎn)識別、威脅識別、脆弱性識別、已有安全措施確認、風險分析、風險消減[5]。

　　三、電力信息網(wǎng)風險評估輔助系統(tǒng)設計與實現(xiàn)

　　本文設計的信息安全風險評估輔助系統(tǒng)是基于《指南》的標準，設計階段參考了Nipc-RiskAssessTool-V2.0，Microsoft Security Risk Self-Assessment Tool等風險評估工具。系統(tǒng)采用C/S結(jié)構(gòu)，是一個多專家共同評估的風險評估工具。分為知識庫管理端、信息庫管理端、系統(tǒng)評估端、評估管理端。其中前兩個工具用于更新知識庫和信息庫。后兩個工具是風險評估的主體。下面對系統(tǒng)各部分的功能模塊進行詳細介紹：

　　(一)評估管理端。評估管理端控制風險評估的進度，綜合管理系統(tǒng)評估端的評估結(jié)果。具體表現(xiàn)在：開啟評估任務;分配風險評估專家;對準備階段、資產(chǎn)識別階段、威脅識別階段、脆弱性識別階段、已有控制措施識別階段、風險分析階段、選擇控制措施階段這七個階段多個專家的評估進行確認，對多個專家的評估數(shù)據(jù)進行綜合，得到綜合評估結(jié)果。

　　(二)系統(tǒng)評估端。系統(tǒng)評估端由多個專家操作，同時開展評估。系統(tǒng)評估端要經(jīng)歷如下階段：a.準備階段：評估系統(tǒng)中CIA的相對重要性;b.資產(chǎn)識別階段;c.威脅識別階段;d.脆弱性識別階段;e.已有控制措施識別階段;f.風險分析階段;g.控制措施選擇階段。在完成了風險評估的所有階段之后，和評估管理端一樣，可以瀏覽、導出、打印評估的結(jié)果—風險評估報表系列。

　　(三)信息庫管理端。信息庫管理端由資產(chǎn)管理，威脅管理，脆弱點管理，控制措施管理四部分組成。具體功能是：對資產(chǎn)大類、小類進行管理;對威脅列表進行管理;對脆弱點大類、列表進行管理;對控制措施列表進行管理。

　　(四)知識庫管理端。知識庫的管理分為系統(tǒng)CIA問卷管理，脆弱點問卷管理，威脅問卷管理，資產(chǎn)屬性問卷管理，控制措施問卷管理，控制措施損益問卷管理六部分。

　　四、總結(jié)

　　信息安全風險評估是一個新興的領域，本文在介紹了信息安全風險評估研究意義的基礎之上，詳細闡述了信息安全風險評估輔助工具的結(jié)構(gòu)設計和系統(tǒng)主要部分的功能描述。測試結(jié)果表明系統(tǒng)能對已有的控制措施進行識別，分析出已有控制措施的實施效果，為風險處理計劃提供依據(jù)。

　　參考文獻：

　　[1]Huisheng Gao,Yiqun Sun，Research on Indices System of Security Risk Evaluation for Electric Power.Optical Fiber Communication Network,IEEE,2007.

　　[2]Masami Hasegawa,Toshiki Ogawa,Security Measures for the Manufacture and Control System,SICE Annual Conference 2007.

　　[3]左曉棟等.對信息安全風險評估中幾個重要問題的認識[J].計算機安全,2004,7:64-66

　　[4]國務院信息辦.信息安全風險評估指南[S].2006