公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險(xiǎn)管理與實(shí)施評估研究論文
本文是一篇項(xiàng)目風(fēng)險(xiǎn)管理論文，本文以 X 公司網(wǎng)絡(luò)和信息系統(tǒng)的安全性為背景，以“X公司網(wǎng)絡(luò)與信息系統(tǒng)安全風(fēng)險(xiǎn)管理與實(shí)施評估研究”作為主題，全方位考慮網(wǎng)絡(luò)和信息系統(tǒng)的安全性、可靠性和實(shí)用性，對其可能存在的風(fēng)險(xiǎn)點(diǎn)進(jìn)行綜合分析與評估，并根據(jù)評估意見提出合理的解決方案，建立完善的信息安全保障體系，為網(wǎng)絡(luò)和信息系統(tǒng)安全管理提供可靠的理論依據(jù)。
第一章 緒論
1.1 研究背景和意義
1.1.1 問題的提出
隨著我國深入開展信息化建設(shè)工作，信息化與工業(yè)化融合的需求逐步增強(qiáng)，信息系統(tǒng)對工業(yè)的支撐作用逐步顯現(xiàn)，信息系統(tǒng)的安全穩(wěn)定運(yùn)行直接關(guān)系到企業(yè)秩序與國計(jì)民生。X 公司的業(yè)務(wù)作為工業(yè)領(lǐng)域的典型代表，其信息化需求程度正隨著行業(yè)發(fā)展逐步提高，業(yè)務(wù)邏輯等對于信息系統(tǒng)的依賴程度進(jìn)一步增加，信息安全的盲點(diǎn)逐漸顯現(xiàn)。這些信息系統(tǒng)不同程度的存在著網(wǎng)絡(luò)層面、業(yè)務(wù)層面、應(yīng)用層面的安全隱患問題，而這些安全隱患相對分散，對單個(gè)隱患處理整改后不能整體、有效的提升公司信息安全水平，缺乏統(tǒng)一的實(shí)施方案進(jìn)行指導(dǎo)。
基于 X 公司網(wǎng)絡(luò)和信息系統(tǒng)的安全狀況，本項(xiàng)目通過技術(shù)測試手段與管理手段相結(jié)合的方式，對公司重要的信息系統(tǒng)開展信息安全風(fēng)險(xiǎn)評估工作，通過規(guī)范化安全防護(hù)策略，提升重要在運(yùn)對外服務(wù)業(yè)務(wù)系統(tǒng)信息安全防護(hù)能力，能夠有效抵御公司外部有組織性的威脅源發(fā)起的惡意攻擊，保證信息安全、避免信息損失是當(dāng)前面臨的首要任務(wù)。本文以 X 公司網(wǎng)絡(luò)和信息系統(tǒng)的安全性為背景，以“X公司網(wǎng)絡(luò)與信息系統(tǒng)安全風(fēng)險(xiǎn)管理與實(shí)施評估研究”作為主題，全方位考慮網(wǎng)絡(luò)和信息系統(tǒng)的安全性、可靠性和實(shí)用性，對其可能存在的風(fēng)險(xiǎn)點(diǎn)進(jìn)行綜合分析與評估，并根據(jù)評估意見提出合理的解決方案，建立完善的信息安全保障體系，為網(wǎng)絡(luò)和信息系統(tǒng)安全管理提供可靠的理論依據(jù)。
1.1.2 研究意義
近年來，隨著社會(huì)經(jīng)濟(jì)的快速發(fā)展和市場化進(jìn)程的進(jìn)一步加快，原有 X 公司體制逐步向市場化轉(zhuǎn)變，并加強(qiáng)信息化工作投入力度，利用信息化支撐公司發(fā)展，以提高勞動(dòng)生產(chǎn)率和管理水平，從而提高企業(yè)在行業(yè)內(nèi)的綜合競爭力。但是，隨著信息系統(tǒng)的互聯(lián)范圍進(jìn)一步擴(kuò)大，信息網(wǎng)絡(luò)面臨日益突出的信息系統(tǒng)安全風(fēng)險(xiǎn)。在企業(yè)的綜合信息管理系統(tǒng)中，必須從信息網(wǎng)絡(luò)、操作系統(tǒng)等各方面來保證系統(tǒng)的安全。研究信息系統(tǒng)所面臨的安全性問題，并根據(jù)安全威脅建立系統(tǒng)的安全防護(hù)方案，制訂在信息網(wǎng)絡(luò)遭受惡意攻擊情況下的防范措施及數(shù)據(jù)恢復(fù)措施等信息安全應(yīng)急預(yù)案是當(dāng)前信息化工作的重要內(nèi)容。本文以 X 公司網(wǎng)絡(luò)和信息系統(tǒng)的安全性為背景，對網(wǎng)絡(luò)和信息系統(tǒng)中存在的安全隱患和威脅進(jìn)行分析評估，利用研究結(jié)果指導(dǎo)信息系統(tǒng)安全保防護(hù)系的建立，為該公司網(wǎng)絡(luò)和信息系統(tǒng)安全管理提供可靠的理論依據(jù)。
1.2本文主要方法和內(nèi)容
1.2.2 研究方法
本文主要采取了調(diào)查法、文獻(xiàn)研究法、描述性研究法和經(jīng)驗(yàn)總結(jié)法對課題進(jìn)行研究。通過分析和研究，探索課題研究的目的和意義，提出研究思路和方法，達(dá)到研究的目的。在梳理國內(nèi)外相關(guān)研究文獻(xiàn)和資料的基礎(chǔ)上，分析了 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險(xiǎn)管理的現(xiàn)狀和需求，采用了先進(jìn)的技術(shù)手段和管理方法對風(fēng)險(xiǎn)進(jìn)行了評估，建立了完善的安全保障體系。
在項(xiàng)目的實(shí)施過程中，主要使用的方法工具有包括工作分解結(jié)構(gòu)（WBS）和甘特圖。
1.工作分解結(jié)構(gòu)
工作分解結(jié)構(gòu)（Work Breakdown Structure,WBS）是指把一個(gè)項(xiàng)目按照一定的原則分解成一個(gè)個(gè)的任務(wù)，再將這些任務(wù)進(jìn)行分解，分解成一項(xiàng)一項(xiàng)的工作，最后把這些工作分配給每個(gè)人。工作分解結(jié)構(gòu)的功能是對項(xiàng)目的工作范圍進(jìn)行定義，并把項(xiàng)目的關(guān)鍵要素進(jìn)行分組。本文第五章中，根據(jù)項(xiàng)目的工作需求，應(yīng)用WBS 將項(xiàng)目進(jìn)行了分解，變成可更加易于管理的部分，使得付成果更加詳細(xì)。
2.甘特圖
甘特圖（Gantt chart）常用于進(jìn)度管理。它能夠很直觀的表明在整個(gè)項(xiàng)目實(shí)施的過程中，計(jì)劃任務(wù)在什么時(shí)間進(jìn)行，實(shí)際進(jìn)度與計(jì)劃進(jìn)度之間的對比。它基本就是一條線形圖，縱軸是活動(dòng)，橫軸是時(shí)間。每項(xiàng)活動(dòng)的計(jì)劃或?qū)嶋H完成用線條表示。它的優(yōu)點(diǎn)是圖形化界面，易于使用和理解；缺點(diǎn)是不使用于關(guān)系復(fù)雜的項(xiàng)目。本文第五章中，運(yùn)用了甘特圖對項(xiàng)目的時(shí)間進(jìn)行管理，定義了保障項(xiàng)目按時(shí)完成所需的各個(gè)時(shí)間點(diǎn)，確保了項(xiàng)目的順利完成。
第二章 相關(guān)理論綜述
2.1 風(fēng)險(xiǎn)評估概述
2.1.1 風(fēng)險(xiǎn)評估原則
風(fēng)險(xiǎn)評估可以更好的.評價(jià)網(wǎng)絡(luò)和信息系統(tǒng)的安全性和可靠性，為進(jìn)一步提升信息安全性能和安全壞境提供了很好的參考依據(jù)，從而使信息系統(tǒng)能夠更好的服務(wù)于企業(yè)、服務(wù)于用戶。風(fēng)險(xiǎn)評估的原則主要包括：最小影響原則、標(biāo)準(zhǔn)性原則、可控性原則、整體性原則、保密原則和互動(dòng)性原則。具體如下：
1.最小影響原則：從評估所采用的工具技術(shù)和管理方法等層面，充分做好風(fēng)險(xiǎn)評估工作計(jì)劃，在盡可能小的影響目前信息系統(tǒng)的正常運(yùn)行運(yùn)轉(zhuǎn)的前提下，最好的完成風(fēng)險(xiǎn)評估工作。
2.標(biāo)準(zhǔn)性原則：在項(xiàng)目方案的設(shè)計(jì)、應(yīng)用過程中，不僅要保證項(xiàng)目的高效、便捷開展，還要考慮其是否符合國家的相關(guān)規(guī)范要求，如等級保護(hù)基本技術(shù)要求、相關(guān)主管機(jī)關(guān)要求。
3.可控性原則：對風(fēng)險(xiǎn)評估的實(shí)施過程采取全過程監(jiān)控，其中包括人員可控性、工具可控性和項(xiàng)目過程可控性。
�。�1）人員可控性
參與網(wǎng)絡(luò)和信息系統(tǒng)風(fēng)險(xiǎn)評估的工作人員均要進(jìn)行資格審查，并在工作說明中明確規(guī)定評估人員的工作職責(zé)。同時(shí)，在工作過程中，如果需要進(jìn)行人員的調(diào)整，要嚴(yán)格履行審批手續(xù)，確保人員的可控。
�。�2）工具可控性
風(fēng)險(xiǎn)評估的工具都要經(jīng)過多方面額的性能對比，并取得專家和有關(guān)部門的認(rèn)可。同時(shí)，在評估工作中需要應(yīng)用到的工具技術(shù)都要事先向評估對象進(jìn)行介紹，并進(jìn)行實(shí)驗(yàn)后才可以使用。
�。�3）項(xiàng)目過程可控性
項(xiàng)目的風(fēng)險(xiǎn)評估都要依據(jù)管理學(xué)的方法，注重項(xiàng)目的溝通管理，實(shí)現(xiàn)項(xiàng)目全過程的可控。
4.整體性原則：按照評估對象的要求進(jìn)行劃分，并開展全面的風(fēng)險(xiǎn)評估工作，評估內(nèi)容涉及到網(wǎng)絡(luò)和信息系統(tǒng)安全的各個(gè)層面。
5.保密原則：必須與委托單位及個(gè)人簽訂工作保密協(xié)議，協(xié)議明確規(guī)定過程各類數(shù)據(jù)等均要進(jìn)行嚴(yán)格的保密，未經(jīng)雙方許可不得以任何方式泄露給其他人，否則委托單位將有權(quán)追究法律責(zé)任。
6.互動(dòng)性原則：在進(jìn)行網(wǎng)絡(luò)和信息系統(tǒng)安全性風(fēng)險(xiǎn)評估時(shí)，將重點(diǎn)強(qiáng)調(diào)受評估方與評估方之間的互動(dòng)，項(xiàng)目領(lǐng)導(dǎo)小組以及實(shí)施小組成員必須由雙方共同組成，從而保證項(xiàng)目執(zhí)行的效果，有效提高受評估方的安全技能等。
2.2 信息資產(chǎn)識別
2.2.1 信息資產(chǎn)要素定義
安全風(fēng)險(xiǎn)評估的對象主要是針對風(fēng)險(xiǎn)評估范圍內(nèi)的所有信息資產(chǎn)。信息是機(jī)構(gòu)保障業(yè)務(wù)發(fā)展的資產(chǎn)，與其他的有形資產(chǎn)（如：服務(wù)器、網(wǎng)絡(luò)設(shè)備等）一樣，它對各業(yè)務(wù)系統(tǒng)而言具有非常重要的價(jià)值，這些資產(chǎn)十分容易受到信息安全威脅的侵害，造成不必要的后果。
在對 X 公司的風(fēng)險(xiǎn)評估中，風(fēng)險(xiǎn)的所有重要因素都以業(yè)務(wù)信息資產(chǎn)為中心，包括威脅、脆弱性、風(fēng)險(xiǎn)都是客觀存在的。與以往將每個(gè)網(wǎng)絡(luò)設(shè)備、服務(wù)器、人員甚至業(yè)務(wù)信息資產(chǎn)分別獨(dú)立的識別、賦值并劃分重要程度等級不同，為達(dá)到分析業(yè)務(wù)影響性和整體安全風(fēng)險(xiǎn)的目的，就不能孤立對單個(gè)設(shè)備進(jìn)行估價(jià)，更重要的是要考慮所有資產(chǎn)所構(gòu)成的整體對于業(yè)務(wù)的重要影響，即損失某一或整個(gè)資產(chǎn)可能引發(fā)的威脅。
2.2.2 主要工作和意義
1.調(diào)查和統(tǒng)計(jì) X 公司業(yè)務(wù)信息數(shù)據(jù)類型和分類；
2.調(diào)查 X 公司的業(yè)務(wù)系統(tǒng)和網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)，梳理業(yè)務(wù)信息數(shù)據(jù)交互時(shí)所生成的本地計(jì)算環(huán)境和網(wǎng)絡(luò)結(jié)構(gòu)；
3.明確網(wǎng)絡(luò)設(shè)備和本地計(jì)算環(huán)境的現(xiàn)有狀況、配置情況和管理情況。例如，主機(jī)系統(tǒng)需要明確其開發(fā)平臺(tái)、系統(tǒng)版本、補(bǔ)丁升級等基本情況外，還需明確主機(jī)所開放的端口和服務(wù)等配置信息；
4.對業(yè)務(wù)資產(chǎn)信息進(jìn)行交換時(shí)所涉及的硬件資產(chǎn)進(jìn)行識別和估價(jià)，包括對資產(chǎn)的分類、編號，根據(jù)其在業(yè)務(wù)信息交互過程中所起的重要作用確定資產(chǎn)的價(jià)值。
正確管理企業(yè)信息資產(chǎn)，對于一個(gè)機(jī)構(gòu)來說是非常必要的。因此，為了更好的開展風(fēng)險(xiǎn)評估工作，就必須對業(yè)務(wù)系統(tǒng)所涉及范圍內(nèi)的相關(guān)資產(chǎn)進(jìn)行安全識別，從而根據(jù)資產(chǎn)在業(yè)務(wù)和應(yīng)用流程中的重要性進(jìn)行估價(jià)。
本項(xiàng)目具體實(shí)施的方法以業(yè)務(wù)信息資產(chǎn)為主線，評價(jià)為了保證業(yè)務(wù)信息正常流轉(zhuǎn)而必須的網(wǎng)絡(luò)設(shè)備、服務(wù)器、安全設(shè)備等資產(chǎn)的重要性
第三章 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險(xiǎn)現(xiàn)狀分析 .................. 13
3.1 公司網(wǎng)絡(luò)和信息系統(tǒng)安全控制機(jī)制 ............................ 13
3.1.1 明確信息安全管控機(jī)制 ................................ 13
3.1.2 建立信息安全督查機(jī)制................................ 15
第四章 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險(xiǎn)評估實(shí)施流程 .............. 20
4.1 需求分析和準(zhǔn)備工作 ........................................ 20
4.1.1 用戶需求界定范圍 .................................... 20
4.1.2 系統(tǒng)架構(gòu)需求分析 .................................... 20
第五章 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險(xiǎn)評估過程管理 .............. 28
5.1 項(xiàng)目整體管理過程 .......................................... 28
5.2 項(xiàng)目組織.................................................. 30
第六章 X 公司網(wǎng)絡(luò)和信息系統(tǒng)安
全風(fēng)險(xiǎn)的評估控制
6.1 安全風(fēng)險(xiǎn)的評估管理分析
6.1.1 評估工作質(zhì)量管控
此外，在組織開展信息安全風(fēng)險(xiǎn)評估工作中，風(fēng)險(xiǎn)評估實(shí)施過程接受用戶的質(zhì)量監(jiān)督，以確保實(shí)施過程嚴(yán)格按照工作方案進(jìn)行風(fēng)險(xiǎn)評估的。安全評估工作成果接受由領(lǐng)導(dǎo)小組組織的相關(guān)人員所進(jìn)行的質(zhì)量審查。
6.1.2 評估工作安全風(fēng)險(xiǎn)管控
被評估信息系統(tǒng)可能存在一定的風(fēng)險(xiǎn)，但是安全風(fēng)險(xiǎn)評估工作本身也具有一定的客觀風(fēng)險(xiǎn)，如果評估過程風(fēng)險(xiǎn)防范不夠，將給系統(tǒng)正常運(yùn)行帶來一定的影響。如果遇到無法解決問題，應(yīng)由項(xiàng)目雙方工作人員共同協(xié)商進(jìn)行解決。
第七章 結(jié)論和展望
7.1 研究結(jié)論
X 公司所開展的針對網(wǎng)絡(luò)和信息系統(tǒng)的風(fēng)險(xiǎn)評估，是在工業(yè)化與信息化融合背景下組織實(shí)施信息化建設(shè)的重要組成部分，評估成果將直接制約著企業(yè)生產(chǎn)進(jìn)程的穩(wěn)鍵發(fā)展，以及 IT 業(yè)務(wù)核心的機(jī)密性、完整性和可用性。目前，該公司信息安全隱患相對分散，對單個(gè)隱患處理整改后不能整體、有效的提升公司信息安全水平，缺乏統(tǒng)一的實(shí)施方案進(jìn)行指導(dǎo)。為了解決上述問題，同時(shí)適應(yīng)管理體系的整體構(gòu)建，助力堅(jiān)強(qiáng)企業(yè)建設(shè)，需要在信息內(nèi)網(wǎng)、信息外網(wǎng)進(jìn)行安全評估和資產(chǎn)清查，全面掌握當(dāng)前信息安全狀況，并后期信息安全體系架構(gòu)制定發(fā)展規(guī)劃，指導(dǎo)信息安全工作發(fā)展方向。
通過本項(xiàng)目的研究，能夠全面掌握信息系統(tǒng)安全現(xiàn)狀，掌握該公司購置的所有安全設(shè)備的運(yùn)行狀況及利用效果，針對信息系統(tǒng)安全配置不足及未充分利用的安全設(shè)備提出改進(jìn)措施，并參照當(dāng)前實(shí)際情況及國家信息規(guī)劃要求制定信息安全工作發(fā)展方向，明確信息安全各階段工作目標(biāo)及內(nèi)容，梳理信息安全工作各項(xiàng)流程，將信息安全風(fēng)險(xiǎn)管控工作標(biāo)準(zhǔn)化、合理化。
參考文獻(xiàn)（略）
【公司網(wǎng)絡(luò)和信息系統(tǒng)安全風(fēng)險(xiǎn)管理與實(shí)施評估研究論文】相關(guān)文章：
1.醫(yī)院信息網(wǎng)絡(luò)系統(tǒng)安全管理與維護(hù)論文
3.我國壽險(xiǎn)公司風(fēng)險(xiǎn)評估研究
4.信息安全風(fēng)險(xiǎn)評估綜合管理系統(tǒng)設(shè)計(jì)的論文
5.設(shè)計(jì)項(xiàng)目實(shí)施管理和評估
6.信息安全技術(shù)風(fēng)險(xiǎn)評估的理論與方法的論文