Page 63 - 大数据背景下网络安全问题研究

» 第二章 信息安全工程实践应用

表 2-2 风险评估实施
风险评估四个阶段 说明
本阶段是对风险评估实施之前的准备过程，并不涉及具体的实施工作，
期准备阶段 但是需要准备实施所需的必要条件及相关信息资料。包括对风险评估进
行规划、确定评估团队组成、明确风险评估范围、准备调查资料
在本阶段风险评估项目实施人员对被评估信息系统的详细信息进行调
现场调查阶段 查，收集进行风险分析数据信息，包括信息系统资产组成、系统资产脆
弱点、组织管理脆弱点、威胁因素、安全需求等
本阶段根据现场调查阶段获得的系统相关数据，选择适当的风险分析方
风险分析阶段 法对目标信息系统的风险状况进行综合分析，得出系统当前所面临风险
的排序

本阶段根据风险分析结果，结合目标信息系统的安全需求制定相应的安
策略制定阶段
全策略，包括安全管理策略、安全运行策略和安全体系规划
（一）前期准备阶段
评估团队与组织就所需要开展的工作进行商讨，明确任务的内容，明确项目小组
成员及其职责、分工、沟通的流程，对用户提供的资料进行初步的分析，据此制定并
批准详细的实施计划，该过程是项目能否得到顺利实施的重要基础。

（二）现场调查阶段
现状调查阶段的目的是对当前组织内的信息系统以及相关的信息资产情况进行调
查，调查内容分为三个部分。
第一部分为组织的信息资产，目标是能够获取组织对信息系统的价值、关心的

内容以及对系统安全保护的需求，通过对组织内部的高层管理人员、中层管理人员、
普通员工三个层次的调查，获取组织信息资产状况，并将结果依据安全标准进行分类
汇总。
第二部分的内容为关键设备的安全性调查，目的是对组织关键设备的技术安全

状况进行了解。在第一阶段的关键资产确认后，根据系统的结构选择系统中的关键设
备，通过技术手段（工具）进行分析从而获取关键设备在技术上的脆弱性。
第三部分是对组织内部安全管理、运行管理的执行与实施情况进行调查，目的是
获取组织在安全管理、安全运行方面的客观情况。根据组织现有的制度、流程并参照

相关标准，对组织的高层管理人员、中层管理人员和普通员工进行调查。
现场调查阶段的工作内容是人员调查、技术调查、风险分析和策略选择。
1.人员调查
风险评估实施人员通过访谈、问卷等方式对组织高层管理人员、中层管理人员和

普通员工进行调查，以获取组织关键资产、安全需求、安全管理状况等基础数据。这
些数据的完整性和准确性对于能否顺利实施风险评估起着至关重要的作用。

• 51 •