如何用安全风险分析来评估可接受的风险等级

等级保护、风险评估、安全测评三者的内在联系及实施建议

赵瑞颖

前言

自《国家信息化领导小组关于加强信息安全保障工作的意见》出台后，等级保护、风险评估、系统安全测评（或称系统安全评估，简称安全测评）都是当前国家信息安全保障体系建设中的热点话题。本文从这三者的基本概念和工作背景出发，分析了三者相互之间的内在联系和区别并作了基本判断。本文还结合信息系统的开发生命周期模型（简称sdlc），本着“谁主管谁负责、谁运行谁负责”的原则，从发起实施主体的角度给出了三者在sdlc过程中的实施建议。

一、三者的基本概念和工作背景

a、等级保护

基本概念。信息安全等级保护是指对国家秘密信息、法人和其他组织和公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的安全产品实行按等级管理，对信息系统中发生的信息安全事件等等级响应、处置。这里所指的信息系统，是指由计算机及其相关和配套的设备、设施构成的，按照一定的应用目标和规则对信息进行存储、传输、处理的系统或者网络；信息是指在信息系统中存储、传输、处理的数字化信息。

工作背景：1994年国务院颁布的《中华人民共和国计算机信息系统安全保护条例》规定：计算机信息系统实行安全等级保护，安全等级的划分标准和安全等级保护的具体办法，由公安部会同有关部门制定。1999年公安部组织起草了《计算机信息系统安全保护等级划分准则》（gb17859-1999），规定了计算机信息系统安全保护能力的五个等级，即：第一级：用户自主保护级；第二级：系统审计保护级；第三级：安全标记保护级；第四级：结构化保护级；第五级：访问验证保护级。gb17859中的分级是一种技术的分级，即对系统客观上具备的安全保护技术能力等级的划分。2002年7月18日，公安部在gb17859的基础上，又发布实施五个ga新标准，分别是：ga/t387-2002《计算机信息系统安全等级保护网络技术要求》、ga388-2002《计算机信息系统安全等级保护操作系统技术要求》、ga/t389-2002《计算机信息系统安全等级保护数据库管理系统技术要求》、ga/t390-2002《计算机信息系统安全等级保护通用技术要求》、ga391-2002《计算机信息系统安全等级保护管理要求》。这些标准是我国计算机信息系统安全保护等级系列标准的一部分。《关于信息安全等级保护工作的实施意见的通知》（简称66号文）将信息和信息系统的安全保护等级划分为五级，即：第一级：自主保护级；第二级：指导保护级；第三级：监督保护级；第四级：强制保护级；第五级：专控保护级。特别强调的是：66号文中的分级主要是从信息和信息系统的业务重要性及遭受破坏后的影响出发的，是系统从应用需求出发必须纳入的安全业务等级，而不是gb17859中定义的系统已具备的安全技术等级。

b、风险评估

基本概念。信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。

工作背景。风险评估不是一个新概念，金融、电子商务等许多领域都有风险及风险评估需求的存在。当风险评估应用于it领域时，就是对信息安全的风险评估。国内这几年对信1321

息安全风险评估的研究进展较快，具体的评估方法也在不断改进。风险评估也从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用bs779

9、octave、nistsp800-