人民银行信息安全风险评估

风险管理

热点探究

2003年至今，我国信息安全风险评估历经了调研、标准编写、试点和落地四个阶段。近年来，在我国政府有关部门的推动下，并由于企事业机构信息化建设的战略需求，信息安全风险评估逐步深入。首先，国务院原信息化工作办公室强力推动这项工作。2003年9月，中办发27号文强调“要重视信息安全风险评估工作”；2004年，制定了风险评估研究报告与标准草案（《信息安全风险评估指南》和《信息安全风险管理指南》）；2005年，开展风险评估试点工作；2006年1月，出台《关于开展信息安全风险评估工作的意见》，提出开展信息安全风险评估工作的意见；2006年8月，开展对国有企业风险评估检查工作；从2007年起，对信息系统开始实行制度化的风险评估。其次，各部委各司其职，积极配合。公安部大力推动“信息系统等级保护”工作；国家保密局对涉密网络和信息系统提出相应风险管控要求；国家发改委、科技部、工业和信息化部等将在科研和产业化投入方面予以支持；金融监管部门在积极开展风险评估和管理方面的政策制定、技术研究和评估实践。一些信息安全厂商也及时跟进，为金融、石油、电信等行业用户提供高端、商业性的

风险评估服务。

所谓信息安全风险评估是依据有关信息安全技术与管理标准，运用科学的方法和手段，对信息系统及其处理、传输和存储的信息的机密性、完整性和可用性（以下简称“安全三性”）等安全属性进行评价的过程。首先，信息安全风险评估的目标是评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性。结合安全事件所涉及的资产价值来判断安全事件一旦发生对机构造

成的影响，并提出有针对性的防护措施，为防范和化解

人民银行信息安全风险评估

中国人民银行许昌市中心支行 安峰 张晓锋

风险管理热点探究

信息安全风险，将风险控制在可接受的水平，最大限度地保障网络和信息系统安全正常运行提供科学依据。通过风险评估确切掌握网络和信息系统的安全程度，分析安全威胁来自何方、安全风险有多大，加强信息安全保障工作应采取哪些措施，所要投入的人、财、物资源，确认已采取的信息安全措施是否有效，以及提出按照相应信息安全等级进行安全建设和管理的依据等一系列具体问题。其次，信息安全风险评估的过程是在网络与信息系统的设计、验收及维护阶段均应当进行信息安全风险评估。在规划设计阶段，通过风险评估明确安全需求和安全目标；在验收阶段，通过信息安全风险评估验证已实施的安全措施能否实现安全目标；在运行维护阶段，通过定期风险评估工作，检验安全措施的有效性及对安全环境变化的适应性，以保障安全目标的实现。当安全形势发生重大变化或网络与信息系统有重大变更时，也要及时进行信息安全风险评估。没有准确及时的风险评估，将使得组织无法对其信息安全的状况做出准确的判断。再次，信息安全风险评估主要有以下一些作用。一是明确机构信息系统的安全现状；二是确定机构的网络和信息系统的主要安全风险；三是及早发现和解决问题，防患于未然；四是指导机构信息系统安全技术体系与管理体系的建设。

一、人民银行信息安全风险评估存在的问题

2007年6月下旬至8月底，为保障“十七大”期间的信息安全，适应信息化快速发展的客观需求，人民银行各分支机构按照总行的部署首次开展了信息安全风险自评估工作。自评估工作虽然取得了预期效果，但也存在一些问题，面临一些困难。

1.威胁识别途径单一

全面识别威胁有三种途径：一是搜集和分析系统相关入侵检测日志、防火墙日志、系统日志、防病毒日志和安全事件历史记录等，识别已发生和正在发生的威胁；二是对照已定义的威胁列表，对威胁相关要素进行适合性分析，识别系统可能面临的安全威胁；三是通过发现的弱点反推利用该弱点的威胁在当前安全控制措施下是否存在。从地市中心支行的自评估报告上看，大部分中心支行只采取了第三种途径。如果只根据弱点反推威胁，可能造成威胁的遗漏。如果采用的评估方法单一，也说明对评估方法还不够熟练。

2.脆弱性深度检测能力不足

我们在脆弱性检测评估方案中选用了“M+N”检测模式。其中，M表示常规检测，主要采用物理、网络、系统、应用、管理等常规检测手段，相当于健康检查中的普查；N表示深度检测，主要采用木马检测、渗透测试、密码安全性分析与检测等特殊手段，分析安全事件的严重程度，相当于健康检查中的特殊检查。目前的木马程序一般采用反向穿透技术，使防火墙、入侵检测系统等网络安全设备形同虚设，给网络中的服务器和工作站带来严重威胁。渗透测试是在弱点扫描的基础上，尽可能完整地模拟黑客使用的弱点发现技术和攻击手段，对目标进行深入探测，发现系统最脆弱的环节，并进行一定程度的验证。以数据加密和身份认证为代表的密码技术是网络安全防护的关键。脆弱性的深度检测在整个脆弱性检测中占有非常重要的地位，在一定程度上代表了评估工作的技术水平。由于技术能力和评估工具的缺泛，一些地市中心支行未做脆弱性深度检测。

3.风险要素赋值不准确，随意性大

评估中要完成信息资产的价值（安全三性）、威胁的可能性、弱点的严重程度等风险要素的赋值，这些值对风险的计算结果起决定作用。由于赋值标准是描述性的，赋值受评估人员的评估知识和技术水平、评估经验、看问题的角度等因素的影响很大。自评估工作中，各地市中心支行尽管采取了参与成员多样性、集体决策、集中赋值、多次修正等多种措施，但赋值结果还是差别较大。问题表现在两个方面：一是不同的地市中心支行对同一个系统的同一安全要素的赋值差别较大。按道理同一系统资产的安全三性各地市中心支行的赋值应是相同的，如作为人民银行基础支撑环境的Notes电子邮件系统安全三性的赋值应是很高的，但近三分之一的中

风险管理热点探究

心支行的赋值却在中等水平。二是同一中心支行内部的不同系统同一要素的赋值一致性不高。同时，不同系统同一要素的赋值应按照价值、重要程度、影响或可能性的大小一致的标准赋值，如有的地市中心支行出现了人事信息系统的可用性比电子邮件系统的大，与核心交换机相同的情况。赋值的不准确造成不同中心支行相同系统的评估结论无可比性。

4.由弱点直推风险，造成风险扩大化

当采用以弱点为中心的风险分析方法时，应从两个方面判定弱点能否带来风险：一方面是否存在利用该弱点的威胁；另一方面，现有安全控制措施是否能阻止那些利用该弱点的威胁。不考虑威胁是否存在，或是否被抑制，有弱点直接推导出风险，这是初评者风险分析时易犯的错误。只注重脆弱性评估，对威胁是否存在、威胁利用弱点的可能性及已有安全措施对威胁的抑制作用考虑不足，造成风险扩大化。如发现服务器开启了23端口，存在远程Telnet登录的弱点，但防火墙策略禁止了对23端口的访问，所以也不会存在外网用户远程Telnet登录的风险。从部分地市中心支行自评估报告中看不到对是否存在威胁、已有安全控制措施的分析，很难由弱点直接推出风险。

5.关联分析能力不足，缺乏经验

关联分析是风险评估的核心。现有系统越来越复杂，多种因素互相关联，风险越来越隐蔽。能不能从系统环境、系统日志、防火墙日志、病毒报警、入侵检测报警、网管系统等分散的蛛丝马迹中有效识别出弱点、威胁、安全事件，或者对一个漏洞不单是分析它的影响和解决办法，而要推断出相关的其他技术和管理漏洞，找出“病根”，开出有效的“处方”。只有具备过硬的专业知识技术、丰富的评估经验、敏锐的观察和分析能力，才能具有深入关联分析的能力。比如，发现Windows系统存在IPC$连接的弱点（IPC$连接可以实现远程登录及对默认共享的访问），由于IPC$连接需要139、445端口的支持，所以要拒绝IPC$连接可通过关闭139和445端口来实现。从地市中心支行自评估报告的风险分析中看不到关联分析的例子。

二、人民银行信息安全风险评估面临的困难

1.尚未建立正式的信息安全风险评估国家标准

目前我国信息安全评估标准还没有正式颁布，现在使用的《信息安全风险评估指南》还只是送审稿，科学性、完整性还没有最终确认。送审稿给出的评估原则、方法和流程操作性不强，也没有实施细则，找不到官方或民间的解读材料，对标准的理解和执行带来很大困难。

2.重要业务系统难以开展深度评估

大、小额支付系统等是人民银行的核心业务系统，实时性非常强，社会影响很大。由于评估过程本身也可能带来风险，对一些可能引起风险的评估步骤不允许实施，如漏洞扫描、渗透性测试等，甚至一些常规安全性检查也不便轻易进行，造成这些系统的评估难以深入开展。

3.在风险控制中，不好把握适度安全的标准

风险管理不追求零风险，不计成本的“绝对安全”或试图完全消灭风险、避免风险是严重浪费。风险管理要求在成本和风险损失之间寻求一个最佳的平衡点，倡导一种适度安全。这种平衡对于刚刚开展风险评估的人民银行分支机构来说实在难以把握。

4.有些风险控制措施难以实施

对一些重要业务系统的弱点加固操作，由于无法在实际环境下测试，对停止某些服务、关闭某些端口、安装补丁，出于不影响生产的考虑，在没有充分把握的情况下不敢轻易实施。此外，有些受时间、资金的限制，也难以实施。

5.缺乏专业化评估工具

缺乏专业化评估工具，制约了评估质量和效率的提高。目前人民银行只有副省级以上的分支机构配发一套单机版脆弱性扫描工具，没有配备其他专业化的评估管理、渗透测试、安全审计、拓扑发现、资产收集等评估辅助工具，也没有向评估人员提供帮助的资产分类库、

风险管理热点探究

威胁参考库、脆弱性参考库、可能性定义库、后果定义库、算法库、控制措施库等评估辅助专家系统。评估工作主要靠手工操作，工作量大，效率较低，质量不能有效保障。

6.人民银行安全管理人员匮乏

现有人员既缺乏信息安全知识的系统培训，更缺乏信息安全风险评估的相关学习培训，甚至缺乏信息安全风险评估的专业基础知识，加之总行的风险评估文件可操作性不强，导致各省市、各地市人民银行的安全评估人员在理解上存在偏差，赋值全靠个人的经验来确定，直接导致了评估结果的不科学。

三、关于对提升人民银行

信息安全风险评估水平的建议

为了更好地开展以后的风险评估工作，解决前面提到的问题和困难，提升分支机构信息安全风险自评估能力，除了树立信息安全风险管理意识之外，我们提出如下建议。

1.在分支机构中推行信息安全风险管理制度或者建立定期风险评估制度

信息安全风险管理是发达国家信息安全保障工作的通行做法，我国《信息安全风险管理指南》也即将颁布。人民银行开展信息安全保障工作多年，取得了显著效果，在分支机构推行信息安全风险管理制度有很好的条件和基础。按照风险管理制度，适时开展风险评估工作，或建立风险评估的长效机制，定期进行风险评估，将风险评估工作与信息系统的生命周期和安全建设联系起来，让风险评估成为信息安全保障工作运行机制的基石。

2.结合人民银行业务特点，探索自己的风险评估模型或定义自己的风险计算函数

目前的各种风险评估标准均未给出明确的风险判断方法，只提供了几种风险判断的指导意见，以及风险与各风险要素之间存在某种趋势的函数关系，函数关系具体是什么没有给定。《信息安全风险评估指南》给出的风险判断方法有：风险矩阵测量法、威胁分级计算法、风险综合评价法、安全属性矩阵法、风险计算相乘法等，给出的是每种判断方法的框架和思路。若直接按照标准中给出的判断方法的例子进行风险判定，由于算法过于简单，得出的结论可信度不高。不同的行业有不同的技术规范，有不同的特点，因此许多行业或组织在实施风险评估的过程中，开发出了适合自己特点的风险评估模型或定义了自己的风险计算函数。人民银行作为一个大型组织，为了信息安全保障工作长期需要，很有必要在评估实践中探索构造自己的经验函数，或开发自己的风险评估模型。

3.编制人民银行信息安全风险评估实施细则

由于所有的信息安全风险评估标准给出的都是指导性文件，并没有给出具体实施过程、风险要素识别方法、风险分析方法、风险计算方法、风险定级方法等，评估人员只能根据评估的目标、行业特点和自己的理解，选择与机构相适应的具体评估方法。建议在国标《信息安全风险评估指南》的框架下，编制适合人民银行业务特色的实施细则，根据选用或自定义风险计算方法，编写评估案例教材，制作各种模板，以在人民银行系统实现评估过程和方法的统一。例如统一各种调查表、查检表、赋值标准、分析方法、计算方法、定级标准、评估工具等，使人民银行各级机构风险评估按同样的标准和方法进行，实现评估结论横向、纵向的可比性，使各分支机构之间的评估结论具有可比性，同一分支机构实施风险控制措施前后的风险变化具有可比性。

4.注重评估队伍建设，培育自评估能力

风险评估是个系统工程，由于其技术和程序的复杂性，培养一支技术全面、管理有方的评估队伍要有长远规划。评估人员除掌握系统的评估理论外，要重点培养综合运用风险评估工具的能力，综合运用入侵检测系统、防火墙、防病毒系统、系统日志等安全产品的能力，以及深度关联分析的能力。加强评估技术、经验的交流和沟通，鼓励研究。通过分级培养、定期培训、树立重点评估示范单位等形式加强队伍建设，形成各层次、各层面评估人才梯队，培育自评估能力，建设人民银行风险评估的队伍。 (下转第41页)

栏目编辑：李勇 liyong@https://www.360docs.net/doc/b55809990.html,

活动层出不穷，越来越多的直销团队出现的大型商场、闹市，甚至直接在大型企业内对员工开展一对一营销。但是，由于缺乏有效的营销工具，并且考虑到安全，现金收付等因素，现在的上门营销基本局限于业务宣传、填写服务申请表的范围内，无法直接办理电子银行签约，更不用说现场为客户开办存折和银行卡。电子银行移动营销的推出，创新了客户服务方式，通过开发基于无线POS的业务系统，可以实现在营销现场为客户办理电子银行签约，并发放安全工具（由于安全和监管需要，安全工具的费用或者服务费通过系统自动扣收的方式实现，营销现场不办理现金业务）。这样，客户无需再到网点，在营销现场就能及时开通电子银行，实现了营销与办理业务的一体化。

总之，充分利用网点转型后的空间规划，发挥各功能区的优势，通过客户关系管理深入挖掘客户需求，采取上门营销与即时开通的营销方式，积极开展电子银行业务营销宣传，推动电子银行业务快速发展。在让客户在体验“金融超市”的同时，把电子银行这一“金融分店”带回家，满足客户的多样化需求，并可提高客户的满意度、忠诚度和依赖度。

（注：本文作者系中国建设银行股份有限公司山东省分行电子银行部工作人员，现在中国海洋大学项目管理硕士学位班学习）

(上接第32页)

5.加强风险评估基础设施建设，统一选配风险评估工具

风险评估工具是保障风险评估结果可信度的重要因素，也可提高评估效率，规范评估流程。人民银行应根据选用的评估标准和评估方法，选择配套的专业风险评估工具，向分支机构配发或推荐。如评估管理、漏洞扫描、渗透测试、安全审计、拓扑发现、资产收集等评估辅助工具，以及向评估人员提供帮助的资产分类库、威胁参考库、脆弱性参考库、可能性定义库、后果定义库、算法库、控制措施库等评估辅助专家系统。

6.资金类等核心业务系统的评估由总行统一组织实施

由于评估过程本身的风险性，对于重要的实时性强、社会影响大的核心业务系统的评估，由总行统一制定评估方案，在非营业时间统一组织实施。加固整改也要在总行的指导下统一进行。

7.以自评估为主，自评估和检查评估相结合

自评估和检查评估各有优缺点，要发挥各自优势，配合实施，使评估的过程、方法和风险控制措施更科学合理。分支机构的自评估可能由于专业性不够及容易受

到干扰等因素，评估结果可能损失一定的客观性，从而降低评估结果的置信程度。检查评估是由主管机关实施，通过对自评估的实施过程、风险要素识别、风险分析、风险计算方法、评估结果、风险控制措施等重要环节的科学性、合理性进行分析，得出自己的风险判断。检查评估要具有一定的权威性。

8.风险评估与信息系统等级保护应结合起来

目前，人民银行正在推行信息系统等级保护，若与风险评估结合起来，则可相互促进，相互依托。等级保护体系中的分类、分级的思想和风险评估中对信息资产的重要性分级基本一致，不同的是等级保护的级别应依据系统的重要程度和安全三性来定义，而风险评估中的风险等级则是综合考虑了信息的重要性、安全三性、现有安全控制措施的有效性及运行现状后的综合结果。通过风险评估为信息系统确定安全等级提供依据。确定安全等级后，根据风险评估的结果作为实施等级保护、安全等级建设的出发点和参考，检验网络与信息系统的防护水平是否符合等级保护的要求。

FCC

FCC

栏目编辑：李勇 liyong@https://www.360docs.net/doc/b55809990.html,