信息安全管理之风险评估

信息安全管理体系实施的第三步是进行风险评估。风险评估在ISO 27001的条文中,在ISO 27002的章节中都有相关的支持性指导。这是这两个标准直接互补的第二个领域。只是ISO 27001指定的风险评估步骤是必需遵守的,而ISO 27002则在其章节中提供了更多的风险评估流程指南,但是它特意不提供如何进行单独评估的详细指导。这是因为每个组织都被鼓励自行选择最适合自己行业、复杂性和风险环境的风险评估方法。对此,昆明亭长朗然科技有限公司信息安全管理咨询专员董志军表示:没做过信息资产风险评估的安全专员不是真正的安全管理人员。风险评估仅限于漏洞扫描和渗透测试等技术领域的,不够全面,也只能算是信息安全技术专员。

风险处理计划的目标

ISO 27002声明风险处置计划有四个相互关联的目标。它们是:
1.消除风险(中/终止它们);
2.降低不可消除的风险至“可接受的”水平;
3.容忍风险,亦即接受那些“可接受”的风险;
4.转移风险,通过合约或保险,将风险转嫁给其它组织。

关于什么是“可接受的”的定义对于风险应对计划来说至关重要,并且标准要求管理层“制定接受风险和可接受风险的准则”。它们应该成为管理层来做决定的程序的证据,并且一定要符合“在组织整体业务活动和他们面对的风险的背景下”。

风险处理计划只能在风险得到识别、分析和评估之后才能制定。风险评估过程的设计应该在组织内部的风险处置框架之下运作,并应遵照标准的具体要求。

风险评估流程

目前,定性风险评估是风险分析最常用的方法,也是标准条文中特别指定的风险识别方法。精确的数字概率数据并不是必要,要用到的是估计潜在损失的可能性。大多数定性风险分析方法使用一系列相关的元素,这些元素也是标准要求需要识别出来的,它们包括:每项资产,它的所有者,对保密性,完整性和可用性的威胁,它的脆弱性(即弱点)及影响。

标准设定了进行风险评估必需遵守的六个步骤:
1.在ISMS范围内识别出相应的资产
2.识别出这些资产的保密性,完整性和可用性所面临的威胁
3.识别出可能利用这些威胁的漏洞
4.评估这些威胁可能造成的影响
5.评估这些事件发生的可能性
6.综合评估风险

识别出范围内的资产

第一步是找出ISMS范围内的所有信息资产,同时记录下“拥有”这些资产的个人和部门。这项工作基于、并且也可以成为范围划定工作的一部分。这项工作中的主要组成部分包括:

1.从物理和逻辑的层面确定受保护的边界
2.找出边界内所有需要接收、存储、处理和发送信息或数据的系统,以及这些系统内的信息资产。
3.确定这些系统、信息资产和组织的目标及任务之间的关系
4.识别出对组织达成目标和任务至关重要的系统和信息资产,可能的话,将它们按优先顺序排列。附件A1有关于资产清单的控管措施,在这一点,可采纳ISO 27002的章节中的指南。它明确提出,要将信息资产的属性和级别纳入考量,并且建议此时对资产进行信息安全的等级划分,这和附件A中关于信息应该得到适当划分是一致的。

资产所有者

在确认信息资产的同时需要识别出这些资产的“所有人”。ISO 27001定义“所有人”为“负有被认可管理责任的个人或个体,其控制资产的生成、开发、维护、使用及安全。”这里的定义并非法律认知或一般认知的财产拥有者。每项资产必需拥有一个所有人,这是附录A中关于
资产所有权中的要求。资产的所有者是个人,或者组织的一部分,它应该对资产的分级和保护负责。

威胁

它们是那些可以让识别出来的资产出现故障或“攻击”资产的事情。它们可能来自外部,也可能来自内部。标准强制要求下一步对每项资产进行潜在威胁的识别。当然,像单个威胁可以影响多个资产一样,标准要求ISMS可以拥有相当的灵活性,对于落在同一级别同一类型的资产,当它们面临的威胁也一样时,可将这些资产当做一类,在后续的工作中进行相同的对待。

漏洞(弱点)

它们让系统容易受到某种攻击,是可以被威胁利用的系统缺陷,能够增加系统被攻击的可能性。举例讲,“火灾”是来自外部的威胁,而服务器机房堆有可燃物即是漏洞。在标准的术语中,漏洞可以被威胁来利用。下一步是评估过程,就是为每项资产和每项资产的威胁找出相关可能利用的漏洞。一项资产可能面对多种威胁,每种威胁又可能被多个漏洞利用。您需要把它们全都识别出来,有一种方法可以参考,特别是对于计算机硬件和软件,可以参考标准的业界来源如bugtraq和CVE。原厂商关于漏洞的更新也可以纳入考量,另外,所有的漏洞并不能被一下子全部发现出来,组织需要不断的跟踪和识别新的漏洞。

影响

威胁对漏洞的成功利用可以造成资产可用性、机密性和完整性的影响。这些影响应该被尽可能的识别出来,并且赋于相应的货币价值。标准明确规定影响应该在这三方面得到评估;一种威胁可以利用多个漏洞,而成功的利用可能造成多种影响。
标准的要求是对每项潜在的影响测评出对业务可能带来的损失。这项工作的目的是排序应对措施,以便同组织可接受的风险起点相对关联。划分出可能的损失,而不是尝试着计算出准确的数值也是可以接受的。可以在管理团队的指导下,依照组织的大小及目前风险应对架构,设定一些财务级别。在评估潜在风险代价时,所有的代价包括直接的、间接的和由它们派生来的,都应该记入其中。

风险评估

简单讲,在这一流程之前都是关于数据收集和事实评估的。此前的各个阶段都有些事实上的关联。漏洞的识别方式可以分为技术的、逻辑的和物理的。组织针对这些所做的决策将和他们统计这些威胁的动作有关。这意味着现在实际分析出来的风险同组织整体的“风险追求”有关,“风险追求”即组织对风险所采取的愿望。风险评估包含识别潜在的业务伤害,它们来自每项识别出的风险。

可能性

在此前,评估是在各种识别出的威胁拥有相同的发生的可能性下进行的。真实情况并不会如此,所以有必要评估相关影响发生的可能性或者概率。概率可以分级为“非常不可能”到“时常会发生”。

计算风险级别

最后一步的工作是对每项影响计算出风险级别,并且将详细情况转交组织资产和风险日志。风险级别是影响和可能性综合作用的结果。经常将风险划为三个级别:低、中和高。当可能的影响较低,而可能性也低时,风险级别可认定为低;当可能的影响和可能性都是高时,风险级别可认定为高;其它界于两者之间的可认定为中级。然而,每个组织都可以根据自身实际情况分类和设定每项影响的风险级别。

快速小结

风险评估是比较繁琐的工作,很多人不知道怎么做,却总是“自以为是”,它并不应该是高大上的来表明自己“懂行”的行业术语。尽管它属于西方管理理念和方法论,它的科学性和适用性值得某些机构探讨,但是毕竟也是广受检验的一种成功方法。因此,值得我们谦恭地对待,认真学习之,消化之并利用之。只有风险评估工作进行的足够,后期的风险应对,也就各类控管措施的选择和实施,才能有正确的输入和指导。

后记补充

说到一些网络安全行业从业人员“不学无术”,让人为之惋惜,也为雇佣其提供服务的机构所痛心。职业人员尚且如此,那些拍板的高阶及部门领导们,则更是门外汉了。没有管理层对信息安全管理关键工作步骤的理解和支持,这让信息安全管理工作的推动变得艰难,成功遥遥无期。如何破解这种困局呢?昆明亭长朗然推出了针对管理层的快速信息安全管理在线课程,欢迎各老板们、总监经理们联系我们,也欢迎忠于职业、有志于在信息安全管理领域深耕细作的信息安全专员们联系我们,获得我们的在线课程,获得信息安全管理体系的标准化指导,为组织内部信息安全管理的成功打下坚实的理论和知识根基。

欢迎您通过如下方式快速联系到我们。

昆明亭长朗然科技有限公司

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:info@securemymind.com
  • QQ:1767022898

小议企业级信息安全管理

回顾历史,展望未来,通过以往安全事故的经验教训,获得充分的安全管理智慧,结合不断演进的商业环境和安全态势,方能做到未雨绸缪,防患于未然。在过去的数年里,黑客们肆无忌惮地入侵大型跨国公司,信息安全界齐力应对。昆明亭长朗然科技有限公司安全顾问董志军说:随着时间的推移,我们相信:在任何时候这些坏家伙们不会轻易罢休,只会变本加厉地疯狂反扑。正义的人们当然需要采用更为领先的战略方法来应对窃贼和坏蛋黑客们的恶行。

每年都会曝光几起恶性系统安全漏洞,这些漏洞存在之久,分布之广,不仅让漏洞挖掘和补丁修复人员大为吃惊。未被人们发现的、被发现了却未被公布和修复的安全漏洞到底还有多少?说到这个老话题,企业信息安全管理人员简单两眼一抹黑啊。

的确,知己知彼,方能百战不殆。谈到未知的安全威胁,似乎只能徒增恐惧。但是信息安全管理人员不能简单地束手无策或乖乖就犯。其实,我们只要想一想,在漏洞被发现并公布,但是补丁尚未发布或补丁不够稳定时的临时补救措施,便能从中获取应对未知安全漏洞的智慧灵感和管理方法。

信息安全管理,在信息时代,其实从深层次来讲,就是企业经营风险管理的关键部分,积极向上的管理者们会认为做好企业信息安全管理是一件好事情。通常,信息安全工作难以有效开展,关键原因在于对它的投入是一项无形开支,这种投入能够带来的成绩难以有效测定。说到底,投资信息安全,就像买意外保险,即使侥幸不投入,时常也能平安无险。在这种心态下,在追求效益最大化的目标及压力之下,高管们可能就会觉得花这些钱不值得。

直到严重的企业安全事故来临,造成巨额损失时,人们才会开始反思如何在经营效益与安全投入之间寻求合适的平衡点,人们才会开始痛批那些因临时的业绩而忽视长远安全风险控管的目光短浅行为。昆明亭长朗然公司董志军说:我们应该吸取教训,因为在大型的安全事故面前,所有的企业都伤不起啊。

说到平衡点,做系统安全,要有一个基线;做企业安全,需要一个底线,不断提升业绩并不为错,但是扩张太快速,将信息安全视为前进的阻碍力量而避开,无疑会衍生出大量不必要的商业风险。当不再有信息安全底线的时候,积聚的安全弱点越来越多,终究会像火药桶一样爆发——辛苦多年的扩张努力,旦夕之间换来的是血淋淋的剧痛教训。只有信息安全嵌入业务流程,风险管理并进扩张轨道,风险意识形成常规文化,企业才有资格谈论业务持续、基业永青等话题。

现在国家层面在调整经济经济,对每家企业来讲,要适应新形势的变化。一方面,企业将不能再依靠资源消耗和人力红利来保持增长,而要积极通过自主科技创新来提升核心竞争力,这就需要要保护好知识产权、商业秘密和信息安全;另一方面,在新形式下,互联网对企业的经营管理影响越来越大,信息的流动速度会越来越快,信息的分布面也越来越广,信息的渗透力度也越来越强。在这种大背景下,信息安全管理无疑也要紧紧跟随,进行必要的理念和方法的创新。

在拼命扩充产能的年代,信息系统的边界很明显,通过强化企业网络边界的安全管理,可以将大量外部安全威胁加以屏蔽和过滤。在结构调整,服务业比重不断提升的年代,信息系统的边界变得越来越模糊,信息安全管理工作重点要由边界安全转向在线应用的安全,以及终端用户的安全。

在经历几十年的国内业务高速增长之后,很多企业将眼光投身海外,可是在面对复杂的海外政治经济地缘环境时,忽视风险心存侥幸,生搬硬套国内经验,缺乏应急响应机制,一旦风向变幻,便束手无策,让到口的肥肉白白丢掉,甚至让长年的投入打了水漂。在海外投资做企业,信息安全管理方面无疑也要入乡随俗,要考量的差异主要有两点:一、监管法规的不同,别想当然地以为海外发展中国家在信息安全法规建设方面就要落后于中国,国内重关系,海外重合约,满足了中国的“严格”要求也不一定能满足当地的要求。二、行业实践的不同,即使行业变化不大,当身份变成了外企之后,商业实践也随之变化,了解并积极学习当地同行业者在安全管理方面的最佳实践作法,在安全管理方面也用好“后发优势”,是防范海外安全风险的最便捷最有效之路。

对进行全球扩张的大型企业来说,在新兴国家投资时,要建立完备的网络信息系统,在成本和时间上往往都耗不起,关键设备的进口和调试都可能耗费数月,无疑会让企业错失竞争良机,而使用云端服务,在成本得到降低的同时,大幅提升效率。而试水海外的创新型中小企业,无疑最重要的是控制风险,租用云计算来测试市场,可以降低初期投入成本,不管未来的市场反应好坏,都可以随时弹性地进行撤退或扩充的调节。这种“云计算”的转变将带动安全管理思维方式的转变,从国内采购安全系统再出口到新兴国家的想法显然是落后了很多。

如同勤劳智慧的中国人民一样,中国的企业不缺乏奋进拼搏的精神,也不缺乏超级销售、策划高手和经营人才,我们缺乏的是踏实精准做事的原则,我们缺乏的是建立行之有效的制度体系,我们缺乏的是有激情、不随从、敢直谏的企业信息安全管理人员。

各位企业高管们、各位企业安全管理者代表,各位安全管理负责人,要善待企业信息安全管理人员啊!他们可能不懂如何取悦上司和同事,他们的言辞可能有些生硬和夸张,他们的话语可能有些尖锐和呱噪,但是,切记:忠言逆耳利于行。他们为了专业精神,尚能保持一份尊严,就请多满足他们的预算需求,多让他们参与到业务扩张决策以及风险控管实践中吧!

如果贵司内部存在有激情、不随从、敢直谏的企业信息安全管理人员,那无疑是企业之福,是董事会之福,是老板之福,请珍惜这份缘分吧!

同时,对于企业信息安全专业人员,不管在组织内的头衔是什么,大到安全总监小到安全专员,都应该加强对业务知识的学习和理解。因为只有从业务安全和商业风险控制的角度出发,才是真正的信息安全管理,也才能让安全专业知识发挥出更大的企业价值,否则只能停留在较低的技术层面,没有了“经世济用”,个人专业的安全知识和才华充其量只能算是兴趣爱好。

不过,要让企业认同和接受安全专业人员的建议并不容易。安全人员要学会使用业务的语言来阐述信息安全风险以及防范之道,多问一问自己:“我该如何讲,才能让为些业务管理人员们理解和认同呢?”故弄玄虚的专业词汇和高深莫测的新概念,可能只会换来学究气浓和华而不实的印象。在风险应对的策略探讨方面,安全人员切记不要急于在建议中展示某种安全控管措施如特定厂商的技术或产品,因为业务管理层虽然不懂安全技术,但是却更清楚业务安全风险的根源所在,也知道同一个问题会有多种不同的解决方案。

安全专业人员在与各业务单元的管理层建立了初步的关系并学会使用业务听得懂的语言之后,最重要的就是使用科学的方法来探讨业务安全风险控管之道,不管是转移、降低还是消除风险。很多企业的信息资源,比如设备和软件都没个资产清单和准确数目,在面临一些安全事件后,即使实施了准入控制、上网行为管理或数据防泄漏系统,那也是本末倒置,治标不治本。

企业安全管理工作的内涵和外延都在不断演变,远不止是防范病毒和蠕虫的技术范畴,而变成一种效率与安全、投入与风险之间的平衡。拨乱致治,天地交泰,要想基业常青,做好企业安全管理,最重要的是破除沟通障碍,建立良性交互管道。

昆明亭长朗然科技有限公司推出了多个信息安全教程,包括针对海外风险与差旅安全的国内领先课件,以及针对企业信息安全管理者的快速课程,欢迎联系我们在线体验。

enterprise-it-safety-management