术语解读：GB/T 31509-2015 信息安全风险评估实施指南

GB/T 31509-2015 信息安全技术 信息安全风险评估实施指南

Information security technology – Guide of implementation for information security risk assessment

主要内容

主要内容如下：

1. 总体框架：
   • 提供了一种信息安全风险评估的总体方法论，适用于信息系统及其生命周期、数据安全及其生命周期、流程制度等方面的评估，也适用于自评估或检查评估等不同的评估形式。
2. 实施的基本原则：
   • 保密性原则：确保在风险评估过程中，所涉及的信息和数据的保密性，防止敏感信息的泄露。
   • 完整性原则：保证评估过程和结果的完整性，确保所有相关的风险因素都被充分考虑和分析。
   • 可用性原则：在评估过程中，尽量减少对被评估系统或业务的正常运行的影响，确保其可用性。
   • 可控性原则：对评估过程进行有效的控制和管理，确保评估工作按照预定的计划和目标进行。
3. 实施的基本流程：
   • 准备阶段：
     • 明确评估目标：根据评估对象所处的不同生命周期确定评估目标，如信息系统的规划、设计、实施、运行维护及废除等阶段都需要进行相应的风险评估。特别是在规划阶段进行风险评估，能降低后续因安全因素整改的成本；在运行维护阶段进行评估，可对实施后的安全风险进行评估及弥补。
     • 确定评估范围：明确评估的对象范围，包括软硬件等，例如可以对某个信息系统、某个网络、某个基础环境等进行安全评估，如果是新机房投产测评，还需包含机房物理环境及动环监控。
     • 召开评估工作启动会议：该会议有助于获得管理层领导的重视，推动评估工作的顺利开展。
   • 识别阶段：
     • 资产识别：弄清楚被评估对象拥有的资产，为后续的风险分析奠定基础。
     • 威胁识别：明确可能面临的威胁主体，通常包括内部的恶意用户以及外部的恶意攻击者等。
     • 脆弱性识别：查找被评估对象可能存在的脆弱性，这通常需要查阅大量的文档、知识库或借助专家经验进行穷举。
   • 风险分析阶段：
     • 该阶段的输入包括准备阶段和识别阶段的输出。评估人员需要理解风险分析模型。
     • 风险计算：通常有定量与定性两种方法。定量方法通过计算破坏导致资产价值的损失来衡量，但在大多数日常安全风险评估中较难实现；定性计算方式包括矩阵法及相乘法等。
     • 风险评价：汇总所有场景的评估结果，给出被评估对象总体的安全风险等级。
     • 形成风险评估报告：汇报所有的中间过程文件，并提出风险整改建议。
   • 风险处理阶段：组织评审会，对风险评估的结果和建议进行评审，确定风险处理的措施和计划。
4. 信息系统生命周期内的风险评估：强调信息安全评估应当在信息系统的整个生命周期中持续进行，不同阶段的风险评估重点和方法可能会有所不同。

术语和定义

1 实施 implementation

将一系列活动付诸实践的过程。

2 信息系统生命周期 information system lifecycle

信息系统的各个生命阶段，包括规划阶段、设计阶段、实施阶段、运行维护阶段和废弃阶段。

3 评估目标 assessment target

评估活动所要达到的最终目的。

4 系统调研 system investigation

对信息系统相关的实际情况进行调查了解与分析研究的活动。

5 评估要素 assessment factor

风险评估活动中必须要识别、分析的一系列基本因素。

6 识别 identify

对某一评估要素进行标识与辨别的过程。

7 赋值 assignment

对识别出的评估要素根据已定的量化模型给予定量数值的过程。

8 核查 check in

将信息系统中的检査信息与制定的检查项进行核对检查的活动。

9 关键控制点 the key point

在项目实施活动中，具有能够影响到项目整体进度决定性作用的实施活动。

10 分析模型 analysis model

依据一定的分析原理，构造的一种模拟分析方法，用于对评估要素的分析。

11 评价模型 evaluation model

依据一定的评价体系，构造若干评价指标，能够对相应的活动进行较为完善的评价。

12 风险处理 risk treatment

对风险进行处理的一系列活动，如接受风险、规避风险、转移风险、降低风险等。

13 验收 acceptance

风险评估活动中用于结束项目实施的一种方法，主要由被评估方组织，对评估活动进行逐项检验，以是否达到评估目标为接受标准。

缩略语

下列缩略语适用于本文件。

AC：访问(入侵)复杂性(Access Complexity )

AV：访问(入侵)路径(Access Vector)

BOF:缓冲区溢出(Buffer Overflow)

CDP：破坏潜力(Collateral Damage Potential)

CVE：公共漏洞和暴露(Common Vulnerabilities & Exposures)

CVSS：通用安全弱点评估系统(Common Vulnerability Scoring System)

RC：报告可信性(Report Conference)

RL：补救水平(Remediation Level)

SR：安全要求(Security Requirement)

TD：目标分布(Target Distribution)

VLAN：虚拟局域网(Virtual Local Area Network)