網絡和基礎保護 2

第七章風險評估內容7.1基本概念7.2信息安全管理7.3信息安全風險評估7.4信息安全風險處置7.5數據安全風險評估7.1基本概念國家標準《信息技術詞匯第1部分：基本術語》（GB/T5271.1）中給出了信息的定義。信息是關于客體（如事實、事件、事物、過程、思想、概念）的知識，在一定的場合中具有特定的意義。在信息安全領域，信息是通過在數據上施加某些約定而賦予這些數據一種新的特殊含義，特指系統中采集、處理、存儲的數據和文件等內容。信息是無形的，需要借助于信息載體或環境以多種形式存在和傳播。信息載體是指承載信息的媒介，即用于記錄、傳輸、積累和保存信息的實體。信息環境是指信息及信息載體所處的環境，包括物理平臺、系統平臺、網絡平臺和應用平臺等硬環境和軟環境。在數字經濟時代，信息被視為一種具有重要價值的資產，需要受到保護。7.1基本概念資產是指對組織具有價值的任何事物，對組織具有價值的信息或資源皆可稱為信息資產。根據資產的表現形式，可將資產分為數據、信息系統、平臺或支撐系統、基礎設施、服務、人員管理等類別。其中數據、信息系統、平臺或支撐系統、基礎設施屬于有形資產，服務和人員管理及其他類別則屬于無形資產。7.1基本概念國家標準《信息安全技術信息安全風險評估方法》（GB/T20984—2022）將資產按層次劃分為業務資產、系統資產、系統組件和單元資產。資產層次關系如圖7-1所示，該業務資產由若干個系統資產組成。系統資產分為三個類別，分別是信息系統類、數據資源類和通信網絡類。每一類系統資產又由若干個系統組件和單元資產組成。系統組件和單元資產被進一步細分為四個類別，分別是系統組件類、系統單元類、人力資源類和其他資產類。7.1基本概念國際標準化組織（InternationalOrganizationforStandardization，ISO）對信息安全給出了精確的定義。信息安全是為數據處理系統建立，通過采用技術和管理措施進行安全保護，防止計算機硬件、軟件和數據因偶然和惡意的原因遭到破壞、更改和泄露。在信息安全管理中，其核心安全屬性是保持信息的保密性、完整性和可用性。有時為突出管理特色，在開展信息安全管理時還會融入其他安全屬性，如不可否認性、真實性、可核查性、抗抵賴性和可靠性等。7.1基本概念在數字經濟時代，數據已成為數字時代的基礎性戰略資源和革命性關鍵要素。《中共中央國務院關于構建更加完善的要素市場化配置體制機制的意見》明確將數據作為一種新型生產要素，與土地、勞動力、資本、技術等傳統要素并列。數據資產是指對組織具有價值的任何事物，同時數據資產也屬于信息資產的范疇。不過，數據資產不同于信息資產。數據資產更多關注的是數據確權、數據定價、數據交易規則和數據交易監管等方面。在合法合規的前提下，讓數據以各種形式進行交易，是數據產生價值的直接途徑。7.1基本概念依據《信息安全技術信息安全風險評估方法》，風險評估是指風險標識、分析和評價的整個過程。這里的風險是指對于一個特定的威脅，利用一項資產或多項資產的脆弱性，進而對組織造成損害的可能性。風險可通過事態或安全事件的概率及其后果進行組合度量。信息安全風險評估是參照風險評估標準和管理規范，對信息系統的資產價值、潛在威脅、薄弱環節和已采取的防護措施等進行分析，判斷安全事件發生的概率及可能造成的損失，進而提出風險管理措施的過程。7.1基本概念《數據安全法》中的數據安全，是指通過采取必要措施，確保數據處于有效保護和合法利用的狀態，以及具備保障持續安全狀態的能力。驗證數據安全狀態和能力最好的方式是開展數據安全風險評估。依據《信息安全技術數據安全風險評估方法》，數據安全風險是指數據安全事件發生的可能性，以及發生后對國家安全、公共利益或者組織、個人合法權益造成的影響。數據安全風險評估是指圍繞數據處理活動，如數據的收集、存儲、使用、加工、傳輸、提供、公開等，根據相關法規標準要求，按照風險分析的方法，對數據和數據處理活動安全進行信息調研、風險識別、風險分析和風險評價的整個過程。內容7.1基本概念7.2信息安全管理7.3信息安全風險評估7.4信息安全風險處置7.5數據安全風險評估7.2信息安全管理信息安全管理是指通過維護信息的機密性、完整性和可用性來管理和保護信息資產，是對信息安全保障進行指導、規范和管理的一系列活動和過程。7.2信息安全管理1信息安全管理原則（1）規范化原則：遵循安全規范要求，根據組織安全需求，制定安全策略。（2）系統化原則：根據安全工程的要求，對系統各階段，包括以后的升級、換代和功能擴展進行全面統一的考慮。（3）綜合保障原則：在人員、資金、技術等多方面實施綜合保障。（4）以人為本原則：技術是關鍵，管理是核心，應提高管理人員的技術素養和道德水平。（5）一把手負責原則：只有一把手負責才能把安全管理落到實處。（6）預防原則：安全管理以預防為主，并應具備一定的超前意識。（7）風險評估原則：根據實踐對系統定期進行風險評估，改進系統的安全狀況。（8）動態原則：根據環境的改變和技術的進步，提高系統的保護能力。（9）成本效益原則：根據資源價值和風險評估結果，采用適度的保護措施。（10）均衡防護原則：根據“木桶原理”可知，整個系統的安全強度取決于最弱的一環，因此片面追求某個方面的安全強度對整個系統沒有實際意義。7.2信息安全管理2信息安全管理方法信息安全管理的方法通常包括法律方法、行政方法、經濟方法和宣傳教育方法。四者相互結合，形成完整的管理方法體系。7.2信息安全管理3信息安全管理機構重要領域信息網絡的應用單位，必須建立由本單位領導牽頭的、主管部門負責的、各有關部門參加的安全管理機構。同時，配備安全管理人員，全面負責信息網絡安全管理工作并履行下列職責。（1）負責本單位信息網絡安全管理工作的組織、領導、部署、指導和協調。（2）研究本單位信息網絡安全策略，落實有關安全技術防范措施，保障計算機信息系統的安全。（3）選配本單位信息網絡安全員，并負責組織信息網絡管理人員、技術人員及應用人員的教育和培訓工作。（4）審定本單位內部信息網絡的應急計劃，做好各項應急恢復工作的組織實施。（5）定期組織本單位信息網絡的安全檢查，督促落實各項安全管理制度。（6）負責本單位年度的階段性信息網絡安全管理工作的計劃、檢查、總結、評比工作。（7）負責本單位信息網絡安全管理工作的請示報告，隨時接受公安機關的指導，及時整改信息網絡的安全漏洞和隱患。（8）負責向公安機關報告信息網絡的安全事件、事故和案件。7.2信息安全管理4信息安全管理制度《計算機信息系統安全保護條例》明確規定了信息網絡安全保護的十項總體制度。在日常安全管理工作中，各單位應當結合自身實際建立具體的規章制度，所有重點單位都要進一步健全和完善以下安全管理制度。（1）安全保密制度。（2）登記備案制度。（3）網絡安全等級保護制度。（4）網絡安全事件案件報告制度。（5）網絡建設“三同步”制度。（6）網絡安全事件應急預案制度。（7）網絡安全監測預警和信息通報制度。（8）數據安全保護和主權制度。（9）安全審查制度。（10）關鍵信息基礎設施安全保護制度。7.2信息安全管理5風險安全管理依據《信息安全技術信息安全風險管理實施指南》（GB/T24364—2023），信息安全風險管理包括語境建立、風險評估、風險處理、批準留存、監視評審和溝通咨詢六個方面的內容。其中，語境建立、風險評估、風險處理和批準留存是信息安全風險管理的四個基本步驟，監視評審和溝通咨詢則貫穿上述步驟的始終。7.2信息安全管理6設施安全管理設施的安全管理包括軟件設施、硬件設施、保密設備、物理場地的安全管理等方面。其安全管理的核心主要包括安全系統管理、安全服務管理、安全機制管理、安全事件處理管理、安全審計管理和安全恢復管理等。7.2信息安全管理7信息安全管理根據信息化建設發展的需要，信息包括三個層次的內容：一是在網絡和系統中被采集、傳輸、處理和存儲的對象，如技術文檔、存儲介質、各種信息等；二是使用的各種軟件；三是安全管理手段的密鑰和口令等信息。因此，信息安全管理通常包括存儲介質的安全管理、技術文檔的安全管理、密鑰和口令的安全管理。7.2信息安全管理8運行安全管理信息系統和網絡在運行中的安全狀態也是需要考慮的問題。當前運行安全管理主要關注安全審計和安全恢復。安全審計是指對系統或網絡運行中有關安全的情況和事件進行記錄、分析并采取相應措施的管理活動。安全審計對象除了常見的安全設備、操作配置，還包括對操作系統及各種關鍵應用軟件進行審計。安全恢復是指網絡和信息系統在受到災難性打擊或破壞時，為使網絡和信息系統迅速恢復正常，并使損失降到最低而進行的一系列活動。常見的安全恢復管理主要包括安全恢復策略的確立、安全恢復計劃的制訂、安全恢復計劃的測試和維護、安全恢復計劃的執行。7.2信息安全管理9信息網絡安全管理義務罪《刑法》第二百八十六條規定，網絡服務提供者不履行法律、行政法規規定的信息網絡安全管理義務，經監管部門責令采取改正措施而拒不改正，有下列情形之一的，處三年以下有期徒刑、拘役或者管制，并處或者單處罰金。（一）致使違法信息大量傳播的；（二）致使用戶信息泄露，造成嚴重后果的；（三）致使刑事案件證據滅失，情節嚴重的；（四）有其他嚴重情節的。內容7.1基本概念7.2信息安全管理7.3信息安全風險評估7.4信息安全風險處置7.5數據安全風險評估7.3信息安全風險評估1法規依據2017年6月1日實施的《中華人民共和國網絡安全法》將開展風險評估作為網絡運營者的職責寫入法律。2021年9月1日實施的《中華人民共和國數據安全法》將開展風險評估作為網絡運營者的職責寫入法律。國家發展改革委、公安部、國家保密局聯合下發《關于加強國家電子政務工程建設項目信息安全風險評估工作的通知》（發改高技〔2008〕2071號），在文件中明確規定國家電子政務工程建設項目，應開展信息安全風險評估工作。《關鍵信息基礎設施安全保護條例》第十七條規定，運營者應當自行或者委托網絡安全服務機構對關鍵信息基礎設施每年至少進行一次網絡安全檢測和風險評估，對發現的安全問題及時整改，并按照保護工作部門要求報送情況。7.3信息安全風險評估2．基本流程《信息安全技術信息安全風險評估方法》規定了風險評估的實施流程，根據流程中的各項工作內容，一般將風險評估實施劃分為評估準備、風險識別、風險分析與風險評價四個階段，如圖7-2所示。7.3信息安全風險評估3．風險評估的工作形式信息安全風險評估分為自評估和檢查評估兩種形式。信息安全風險評估應以自評估為主，自評估和檢查評估相互結合、互為補充。自評估是指由信息系統擁有、運營或使用單位自行發起，或者委托風險評估服務機構，對本單位信息系統進行的風險評估活動。對于經常性、周期性進行的自評估，可以在評估流程上適當簡化，重點針對自上次評估后系統發生變化所引入的新威脅，并完整識別系統脆弱性，以便于兩次評估結果進行對比。檢查評估是指信息系統上級管理部門或國家有關職能部門依法開展的風險評估。上級管理部門在開展檢查評估時，通常委托風險評估服務技術支持方實施，評估結果僅對檢查評估的上級管理部門負責。7.3信息安全風險評估4資產識別階段系統資產識別包括資產分類和資產業務承載性識別兩個方面。系統資產分為信息系統、數據資源和通信網絡三個類別。系統資產價值依據資產在保密性、完整性和可用性上的賦值等級，經過綜合業務承載性、業務重要性評定得出，并設定相應的評級方法進行價值等級劃分。系統資產根據最終賦值將資產劃分為五級（如很高、高、中、低、很低），采用1～5為資產賦值。等級越高表明資產越重要。7.3信息安全風險評估5威脅識別階段按照《信息安全技術信息安全風險評估方法》提供的威脅種類，該方法將威脅分成7

類，分別是物理損害、自然災害、信息損害、技術失效、未授權行為、功能損害及供應鏈失效。威脅識別工作包括威脅的來源、主體、動機、時機和頻率。威脅賦值基于威脅行為，依據威脅行為的能力和頻率，并結合威脅發生的時機進行綜合計算。之后，通過設定相應的評級方法，將威脅劃分為“很高、高、中、低、很低”五個等級，并分別賦值“5、4、3、2、1”。等級越高，表示威脅利用系統脆弱性的可能性越大。7.3信息安全風險評估6脆弱性識別階段脆弱性可從技術和管理兩個方面進行識別。技術脆弱性涉及IT環境的物理層、網絡層、系統層、應用層等各個層面的安全問題或隱患。在管理方面，可從技術管理脆弱性和組織管理脆弱性兩方面來識別資產的脆弱性，技術管理脆弱性與具體的技術活動相關，組織管理脆弱性與管理環境相關。在評估脆弱性被利用的難易程度時，需要綜合考慮已有安全措施的作用。一般來說，安全措施的使用會降低系統在技術或管理上的脆弱性被利用的難易程度。但安全措施的確認并不需要像脆弱性識別過程那樣具體到每個資產、組件的脆弱性，而是針對一類具體措施的集合。評估脆弱性對系統安全的影響程度，可通過賦值方式來認定。等級數值越大，影響程度越高。7.3信息安全風險評估7風險分析階段（1）威脅分析。先對業務進行識別，并對業務的重要性進行賦值；接著對威脅進行識別，并根據業務識別和威脅識別的結果，對威脅動機、威脅能力、威脅頻率和威脅可能性進行賦值。（2）脆弱性分析。先對脆弱性進行識別，并對與具體安全措施關聯分析后的脆弱性就其可利用性和嚴重程度進行賦值。（3）安全事件分析。根據威脅及威脅利用脆弱性的難易程度，判斷安全事件發生的可能性。（4）損失分析。首先對資產進行識別，并對資產的價值進行賦值；然后根據脆弱性的嚴重程度及安全事件所作用的業務和資產的價值，計算安全事件的損失。（5）風險值計算。根據安全事件發生的可能性，以及安全事件出現后的損失，計算一旦發生安全事件對組織的影響，即風險值。內容7.1基本概念7.2信息安全管理7.3信息安全風險評估7.4信息安全風險處置7.5數據安全風險評估7.4信息安全風險處置風險處置是指依據風險評估結果，針對風險分析階段輸出的風險評估報告開展風險處置工作。并非所有的風險都需要進行處置，通常遵循“適度接受風險”這一基本原則，根據組織可接受的處置成本，將未完全處置的殘余安全風險控制在可接受范圍內。依據國家、行業主管部門發布的信息安全建設要求開展的風險處置工作，并嚴格執行相關規定。例如，依據等級保護相關要求實施的安全風險加固工作，應滿足等級保護相應等級的安全技術和管理要求。對于因不能滿足該等級安全要求而產生的風險，則不適用“適度接受風險”的原則。對于存在行業主管部門特殊安全要求的風險處置工作，同樣也不適用該原則。7.4信息安全風險處置1風險處置流程在風險評估結果中發現的風險，通常與導致這些風險的事件場景相關。為便于信息安全管理，需要依據風險評價準則，按照風險高低、優先順序排列出風險列表，然后制訂風險處置計劃，選擇控制措施以降低、保留、規避或轉移風險。風險處置流程如圖7-4所示。風險處置有四種選項：風險降低、風險保留、風險規避和風險轉移。7.4信息安全風險處置2風險降低風險降低是指通過選擇控制措施來降低風險級別，使殘余風險在被評估時能夠達到可接受的級別，如從高風險降低到低風險或者可以接受的風險。對面臨風險的資產采取保護措施可降低風險。通常可采取糾正、消除、預防、影響最小化、威懾、檢測、恢復、監視和提升意識等控制措施。一種典型的保護措施是從構成風險的五個方面（威脅源、威脅行為、脆弱性、資產和影響）來降低風險。7.4信息安全風險處置3風險保留如果風險對單位的策略實施不會造成影響，且低于可接受的風險度量值，那么風險是可以保留下來的。換言之，如果風險級別滿足風險接受準則，那么就沒有必要實施額外的控制措施，并且風險可被保留。7.4信息安全風險處置4風險規避不使用面臨風險的資產能避免風險。例如，在沒有足夠安全保障的信息系統中，不處理敏感的信息，從而防止敏感信息的泄露。再如，對于只處理內部業務的信息系統，不使用互聯網，從而避免外部入侵和攻擊。當識別出的風險被判定為過高，或實施其他風險處置措施的成本超過收益時，可決定退出計劃中或現有的某項活動，或改變活動的開展條件，以徹底規避風險。例如，對于由自然界引起的風險，物理上把信息處理設施移到風險不存在或處于控制下的地方，可能是成本效益最好的選擇。7.4信息安全風險處置5風險轉移風險轉移是指依據風險評價將風險轉移給能有效管理特定風險的另一方。在實施時，風險轉移需做出與外部相關方共擔某些風險的決策。風險轉移可能產生新的風險或更改現存的、已識別的風險。因此，必要時需要引入新的、額外的風險處置手段。通過將面臨風險的資產或其價值進行安全轉移，可避免或降低風險。7.4信息安全風險處置6風險接受風險接受是指組織管理者決定接受的風險處置計劃和殘余風險，并做出接受風險的決策及承擔相應責任。也就是說，對風險不采取進一步的處理措施，接受風險可能帶來的結果。風險接受的前提是已確定了信息系統的風險等級，評估了風險發生的可能性及其帶來的潛在破壞，分析了使用處理措施的可能性并進行了較全面的成本效益分析，最終認定某些功能、服務、信息或資產不需要進一步保護。風險接受準則可能比只決定殘余風險是否高于或低于某個單一閾值更加復雜。7.4信息安全風險處置7風險溝通風險溝通是一項在決策者和利益相關者之間，就如何通過交換和（或）共享有關風險的信息以管理風險，進而達成一致的活動。風險信息包括但不限于風險的存在、性質、形式、可能性、嚴重程度、處置和可接受性。利益相關者之間的有效溝通很重要，因為可能對決策有顯著影響。7.4信息安全風險處置8風險監視風險不是靜態的。威脅、脆弱性、可能性或后果可能會在沒有任何跡象的情況下突然改變。因此，有必要持續監視以發現這些變化。風險監視可以由提供有關新威脅或脆弱性信息的外部服務提供支持。內容7.1基本概念7.2信息安全管理7.3信息安全風險評估7.4信息安全風險處置7.5數據安全風險評估7.5數據安全風險評估《信息安全技術數據安全風險評估方法》，介紹數據安全風險評估的基本概念、風險要素間關系、風險分析原理、評估實施流程、評估內容，以及風險評估分析與評價方法等內容。數據安全風險指的是數據安全事件發生的可能性，以及該事件對國家安全、公共利益，或者對組織、個人的合法權益所造成的影響。數據安全風險評估則是指對數據和數據處理活動安全進行信息調研、風險識別、風險分析和風險評價的整個過程。7.5數據安全風險評估1基本概念依據《信息安全技術數據安全風險評估方法》，數據安全風險評估主要涉及數據處理活動、合理性、風險源、風險隱患四個重要概念。數據處理活動是指數據收集、存儲、使用、加工、傳輸、提供、公開、刪除等活動；合理性是指數據處理需遵守法律、行政法規要求，尊重社會公德和倫理道德，并符合網絡安全和數據安全常識道理；風險源是指可能導致危害數據的保密性、完整性、可用性和數據處理合理性等事件的威脅、脆弱性、問題、隱患等，也稱“風險隱患”；風險隱患既包括安全威脅利用脆弱性可能導致數據安全事件的風險隱患，也包括數據處理活動中因不合理操作可能造成違法違規處理事件的風險隱患。7.5數據安全風險評估2風險要素間的關系數據安全風險評估涉及數據、數據處理活動、業務、信息系統、安全措施、風險源等基本要素。數據安全風險要素間的關系如圖7-5所示。（1）數據是核心要素，具有數據價值等屬性，數據價值將影響數據安全風險的危害程度。（2）數據和數據處理活動是數據安全風險評估的評估對象。（3）數據處理者運營業務，業務依賴數據實現。（4）業務需要依托信息系統的支撐，可能涉及一個或多個信息系統。（5）信息系統包含多個數據處理活動，是數據的載體。（6）數據在流轉過程中涉及一個或多個數據處理活動，數據處理活動應遵循數據安全法律法規要求。（7）安全措施用于保護數據安全，能降低數據安全風險源出現的可能性。（8）數據和數據處理活動作為評估對象，可能存在風險源，風險源可能引發數據安全風險，而數據安全風險將對數據和數據處理活動產生潛在影響。7.5數據安全風險評估3信息調研信息調研的主要目的是全面掌握數據處理者、業務和信息系統的基本情況，梳理涉及的數據資產和數據處理活動，了解所采取的數據安全防護措施情況，同時掌握被評估對象或同行業相關數據安全事件的歷史發生情況。信息調研主要涵蓋數據處理者調研、業務和信息系統調研、數據資產調研、數據處理活動調研，以及安全防護措施識別。基于信息調研情況，可為后續從數據安全管理、數據處理活動安全、數據安全技術等方面進行數據安全風險識別，識別評估對象現有安全措施的完備性，并對其有效性進行驗證，識別可能存在的風險源，提供一手原始資料。7.5數據安全風險評估4數據管理活動安全風險識別在實施過程中，需從數據安全管理制度、安全組織機構、分類分級管理、合作外包管理、安全威脅和應急管理、開發運維管理、云數據安全等21個方面識別數據安全管理風險。7.5數據安全風險評估5數據收集活動安全風險識別針對數據收集的合法性和正當性情況針對從外部機構采集數據的安全情況針對數據質量控制情況針對數據收集方式針對數據收集設備及環境安全情況7.5數據安全風險評估6數據存儲活動安全風險識別針對數據存儲適當性針對邏輯存儲安全情況針對存儲介質安全情況7.5數據安全風險評估7數據傳輸活動安全風險識別針對數據傳輸鏈路安全性針對數據傳輸鏈路的可靠性7.5數據安全風險評估8數據使用和加工活動安全風險識別針對數據使用和加工合法性針對數據正當使用情況針對數據導入導出情況針對數據處理環境安全情況針對數據使用和加工安全措施情況7.5數據安全風險評估9數據提供活動安全風險識別針對數據提供的合法性、正當性、必要性針對數據提供管理情況針對數據提供技術措施情況針對數據接收方的情況針對因兼并、重組、破產等原因向外轉移數據，或承接其他數據處理者轉移數據等場景針對數據出境安全情況7.5數據安全風險評估10數據公開活動安全風險識別針對數據公開的適當性針對數據公開管理情況7.5數據安全風險評估11數據刪除活動安全風險識別針對數據刪除管理情況針對存儲介質銷毀情況對于人臉、步態、基因、聲紋、即時通信、快遞物流、網上購物、網絡支付服務、網絡音視頻、汽車、網絡預約汽車服務等數據處理