一、方案背景

随着各行业信息化建设的迅速发展，单位的信息系统对于数据安全和业务连续性的要求变得非常高，直接关系到单位的业务能否正常开展、可能还关系到公共利益和社会秩序。现阶段，大部分单位信息系统主要存在的问题是没有形成体系化的安全建设，虽然已经采取了一些安全防护措施，但整体安全防护能力、隐患发现能力、应急响应能力还存在欠缺，与国家的等级保护要求差距较大，无法有效保证业务系统长期稳定运行。
信息安全风险评估就是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，为防范和化解信息安全风险，将风险控制在可接受的水平，最大限度地保障信息安全提供科学依据。

二、客户需求

目前各级单位客户面临着以下主要问题：

• 在最初建设过程中信息安全虽有所考虑，却无法把控支撑业务运行的信息系统安全风险；
• 不知道单位现有的信息系统或组织管理中存在哪些薄弱点；
• 这些风险及薄弱点应当采取什么措施进行改进或者对其进行控制；
• 新业务系统上线，但不清楚业务上线后是否能够安全稳定运行，可能面临的信息安全风险有哪些；
• 如何综合平衡安全成本和风险制定可落地的风险控制措施，以最少的成本使风险降低到可接受的水平。

以上这些问题都迫切需要识别信息系统面临的威胁和本身具有的脆弱性，基于风险评估结果并结合用户的业务需求进行整体的安全规划，建立信息安全长效机制。

三、解决方案

风险评估工作将遵照国信办制定的《信息安全风险评估指南》进行风险分析。下图为具体的风险分析方法模型：

资产评估主要是对资产进行相对估价，而其估价准则就是依赖于对其影响的分析，主要从保密性、完整性、可用性三方面的安全属性进行影响分析，从资产的相对价值中体现了威胁的严重程度。
威胁评估是对资产所受威胁发生可能性的评估，主要从威胁源的动机和能力两个方面进行分析。
脆弱性评估是对资产脆弱程度的评估，主要从脆弱性被利用的难易程度、被利用成功后的严重性两方面安全属性进行分析。
安全措施有效性评估是对保障措施的有效性进行的评估活动，主要考虑安全措施在防范威胁，减少脆弱性方面的有效状况的安全属性进行分析。
风险分析就是通过综合分析评估后的资产信息、威胁信息、脆弱性信息、安全措施信息，最终生成风险信息。

风险评估的流程如下图所示：

第一阶段确定评估范围阶段，确定评估范围的边界以及范围内的所有服务器、网络系统；
第二阶段是资产的识别和估价阶段，对评估范围内的所有资产进行识别，调查并了解信息系统业务的流程和运行环境；
第三阶段是安全威胁评估阶段，即评估资产所面临的技术层面上各种威胁发生的可能性；
第四阶段是脆弱性评估阶段，包括从技术、安全策略方面进行的脆弱程度检查，特别是技术方面，以远程和本地两种方式进行系统扫描和人工检查的评估；
第五阶段是风险的分析阶段，即通过分析上面所评估的数据，总结出服务器、网络设备面临的安全风险。

四、用户收益

（1）全面理清用户信息系统的底数以及安全状况，使用户能够整体上把握系统面临的安全风险，为下一步安全加固奠定一个良好的基础。
（2）与等级保护工作相呼应，直接突出用户信息系统中的重点安全问题，使整改工作能够一针见血，直击要害。
（3）在满足国家政策的合规性要求下，为单位管理层提供后续信息安全规划建设的参考意见。