(风险管理)风险评估工具

年，

C&ASystemSecurit y

公司推出了

COBRA

工具，用来进 行信息安全风险评估。

COBRA

由一系列风险分析、咨询和安 全评价工具组成，它改变了传统的风险管理方法，提供了一

个完整的风险分析服务，并且 兼容许多风险评估方法学（如定性分析和定量分析等）。它可以看作

一个基于专家系统和 扩展知识库的问卷系统，对所有的威胁和脆弱点评估其相对重要性，并且给出

合适的建议 和解决方案。此外，它还对每个风险类别提供风险分析报告和风险值（或风险等级）。

信息安全风险评估工具的出现，

大大缩短了评估所花费的时间。

在系统应用和配置不断改变的情况，

组织可以通过执行另外一次 评估重新设置风险基线。两次评估的时间间隔可以预先确定（例如，以

月为单位）或者由 主要的事件触发（例如，企业重组、组织的计算基础结构重新设计等）。

２）技术评估和整体评估

技术评估是 指对组织的技术基础结构和程序进行系统的、及时的检查，包括对组织内部计算环境的

安 全性及其对内外攻击脆弱性的完整性攻击。这些技术驱动的评估通常包括：（

1

）评估整个计算

基础结构。（

2

）使用拥有的软件工具分析基础结构及其全部组件。（

3

）提供详细的分析报告，说

明检测到的技术弱点，并且可能为解决这些弱点建议具体的 措施。技术评估是通常意义上所讲的技

术脆弱性评估，强调组织的技术脆弱性。但是组织 的安全性遵循“木桶原则”，仅仅与组织内最薄

弱的环节相当，而这一环节多半是组织中 的某个人。

整体风险评估扩展了上述技术评估的范围，着眼于 分析组织内部与安全相关的风险，包括内部和外

部的风险源、技术基础和组织结构以及基 于电子的和基于人的风险。这些多角度的评估试图按照业

务驱动程序或者目标对安全风险 进行排列，关注的焦点主要集中在安全的以下

4

个方面：（

1

）检

查与安全相关的组织实践，标识当前 安全实践的优点和弱点。这一程序可能包括对信息进行比较分

析，根据工业标准和最佳实 践对信息进行等级评定。（

2

）包括对系统进行技术分析、对政 策进行

评审，以及对物理安全进行审查。（

3

< br>）检查

IT

的基础结构，以确定技术上的弱点。包括恶意 代码

的入侵、数据的破坏或者毁灭、信息丢失、拒绝服务、访问权限和特权的未授权变更 等。（

4

）帮

助决策制订者综合平衡风 险以选择成本效益对策。

1999

年 ，卡内基?梅隆大学的

SEI

发布了

O CTAVE

框架，这是一种自主型信息安全风险评估方法。

OC TAVE

方法是一种从系统的、

组织的角度开发的新型信息安全 保护方法，主要针对大型组织，

中

小型组织也可以对其适当裁剪 ，以满足自身需要。它的实施分为三个阶段：（

1

）建立基于资 产的

威胁配置文件。这是从组织的角度进行的评估。组织的全体员工阐述他们的看法，如 什么对组织重

要（与信息相关的资产），应当采取什么样的措施保护这些资产等。分析团 队整理这些信息，确定

对组织最重要的资产（关键资产）并标识对这些资产的威胁。（< /p>

2

）标识基础结构的弱点。对计算

基础结 构进行的评估。分析团队标识出与每种关键资产相关的关键信息技术系统和组件，然后对这

些关键组件进行分析，找出导致对关键资产产生未授权行为的弱点（技术弱点）。（

3

）开发安全

策略和计划。分析团队标识出组织关键资产的风险， 并确定要采取的措施。根据对收集到的信息所

做的分析，为组织开发保护策略和缓和计划 ，以解决关键资产的风险。

３）定性评估和定量评估

定性分析方 法是最广泛使用的风险分析方法。该方法通常只关注威胁事件所带来的损失（

Loss< /p>

），

而忽略事件发生的概率（

Proba bility

）。多数定性风险分析方法依据组织面临的威胁、脆弱点以及

控制措施等元素来决定安全风险等级。在定性评估时并不使用具体的数据，而是指定期望值，如设

定每种风险的影响值和概率值为“高”、“中”、“低”。有时单纯使用期望值，并不能明显 区别

风险值之间的差别。

可以考虑为定性数据指定数值。

如，

设“高”的值为

3

，

“中”的值为

2

，

“低”

的值为

1

。但是要注意 的是，这里考虑的只是风险的相对等级，并不能说明该风险到底有多大。所

以，不要赋予 相对等级太多的意义，否则，将会导致错误的决策。

定量分析 方法利用两个基本的元素：威胁事件发生的概率和可能造成的损失。把这两个元素简单相

乘的结果称为

ALE

（

AnnualL ossExpectancy

）或

EAC

（

EstimatedAnnualCost

）。理论上可以 依

据

ALE

计算威胁事件的风险等级，

并且做出相应的决策。

定量风险评估方法首先评估特定资产的价

值

V

，把信息系统分解成各个组件可更 加有利于整个系统的定价，一般按功能单元进行分解；然后

根据客观数据计算威胁的频率

P

；

最后计算威胁影响系数

，

因为对于每一个风险，

并不是所有的资

产所遭受的危害程度都是一样的，程度的范围可能从无危害到彻底危害 （即完全破坏）。根据上述

三个参数，

计算

ALE

：

ALE

＝V×P×?定量 风险分析方法要求特别关注资产的价值和威胁的量化数据，

但是这种方法存在一个问题， 就是数据的不可靠和不精确。对于某些类型的安全威胁，存在可用的

信息。例如，可以根 据频率数据估计人们所处区域的自然灾害发生的可能性（如洪水和地震）。也

可以用事件 发生的频率估计一些系统问题的概率，例如系统崩溃和感染病毒。但是，对于一些其他

类 型的威胁来说，不存在频率数据，影响和概率很难是精确的。此外，控制和对策措施可以减小威

< br>胁事件发生的可能性，

而这些威胁事件之间又是相互关联的。

这将使定量评估过程非常耗时和困难。

鉴于以上难点，可 以转用客观概率和主观概率相结合的方法。应用于没有直接根据的情形，可能只

能考虑一 些间接信息、有根据的猜测、直觉或者其他主观因素，称为主观概率。应用主观概率估计

由人为攻击产生的威胁需要考虑一些附加的威胁属性，如动机、手段和机会等。

４）基于知识的评估和基于模型的评估

基于知识的风险评估方法主要是依靠经验进行的，经验从安全专家处获取并凭此来解决相似场景的

风险评估问题。这种方法的优越性在于能够直接提供推荐的保护措施、结构框架和实施计划。