风险评估方法在疾控信息系统安全管理中的应用

文/曹彦 江涛

随着信息时代的迈进，行业

信息系统在疾病预防控制领域得

到了充足发展。疾控信息系统数

据量大、数据安全要求高、客户

端数量多、运维人员少，信息系

统安全风险评估工作往往无从下

手。本文参照风险评估方法，结

合疾控信息系统的特点，探索疾

控中心的信息系统的安全应用。

摘 要

2.1 风险的确认与赋值

2.1.1 通过资产识别，明确应急指挥系统资产

为

服务器、网络交换机、入侵检测系统、

防火墙、软件、数据库、技术资料。根据专家

赋值法参照信息资产的保密性、完整性和可用

性对信息资产的价值进行赋值，见表1。

2.1.2 主要脆弱性问题确认

参照《信息安全技术信息安全风险评估

指南》中威胁分类的定义，确认信息资产存在

的主要脆弱性问题并赋值，见表1。

2.2 风险值的计算

（1）通过脆弱性与发生概率的乘积来计

算威胁发生的可能性L(L=V*T)。通过计算可

见L 值最大为20，最小为4。

（2）通过脆弱性与资产价值的乘积来计

算威胁产生的损失F（F=A*V）。通过计算可

见F 值最大为20，最小值为10。

（3）通过威胁发生的可能性与威胁产生

的损失的乘积计算相关脆弱性问题的风险值

Rn（Rn=L*F）。Rn 最大值为320，最小值为

40。

2.3 结论

Rn 最大值为320， 最小值为40。根据

风险分级标准：第一级（很低：1 ～ 125）、

第二级（低：126 ～ 250）、第三级（中等：

251 ～ 375）、第四级（高：376 ～ 500）、第

五级（很高：501 ～ 625），应急指挥系统的

风险值取最大值320，结论为系统风险中等。

从对风险子项Rn 分值分析可见应急指挥

系统安全问题主要还在软件和管理措施上。信

息系统风险整改过程中交换机弱口令、信息系

统重要信息敏感性标记和用户审计问题风险值

最大，应优先处理。

3 讨论

疾控信息系统据量大、数据安全要求高、

客户端数量多、专业运维人员少，基层单位的

信息系统风险评估工作往往无从下手。本评估

方法以《信息安全技术信息安全风险评估规

范》、《信息安全技术信息安全风险评估指南》

为基础，依据风险发生的可能性、风险造成的

损失对风险进行识别与归类，能够判断出信息

系统存在的风险。

但在实际操作中笔者也发现可能会存在

以下问题：

3.1 脆弱性问题的遗漏

根据技术水平与工作经验，不同的人员

对资产脆弱性问题的判断和标准会有所不同，

可能会导致关键脆弱性问题的遗漏。实际操作

中建议参照《信息安全技术信息安全风险评

估规范》中资产、威胁、脆弱性分类进行对照

识别。

3.2 赋值的偏差

本评估赋值依赖历史经验与专家判断，

可能会因不同专家的不同判断而得出不同的结

论。实际操作中应尽可能使用多名专家赋值取

均值方法得到相对较为真实可靠的结果。

本方法作为疾控信息系统安全风险评估

的方法尝试，其结果能够反映疾控信息系统资

产当前安全风险状况，能够协助基层工作人员

较便捷地识别出信息系统存在的风险点。

参考文献

[1] 信息安全技术 信息安全风险评估规范

[S].GBT 20984-2007.

[2] 信息安全技术信息安全风险评估指南[S].

GBT 20984-2007.

作者单位

浙江省疾病预防控制中心 浙江省杭州市

310051

表1：信息资产赋值表

资产主要脆弱性问题脆弱性V 威胁发生概率T 资产价值A

服务器

双因子认证4 3 5

剩余信息保护3 2 5

网络交换机

日志审计3 3 4

用户唯一标识3 3 4

弱口令4 5 4

入侵检测系统

日志审计3 3 4

限制远程登录地址4 4 4

防火墙日志审计2 2 5

软件

双因子认证4 3 5

重要信息敏感标记4 4 5

每个用户的安全审计4 4 5

数据库

双因子认证4 3 5

管理地址限制4 3 5

重