时间：2022-06-10 01:58:35
导语：在信息安全风险管理的撰写旅程中，学习并吸收他人佳作的精髓是一条宝贵的路径，好期刊汇集了九篇优秀范文，愿这些内容能够启发您的创作灵感，引领您探索更多的创作可能。
多年来，许多组织大部分专注于病毒、垃圾邮件、混合威胁以及间谍软件所代表的外部威胁。根据IDC的报告，全球信息安全遵从性和控制市场的价值在2005年大约是57.9亿美元，而在2010年这一价值将达到149.2亿美元。 在迈克菲近期的2007年十大威胁中，研究人员发现了创建恶意软件的专业和有组织的犯罪不断增长的证据，这些网络犯罪都有一个负责创建恶意软件的团队，并且测试和自动生成及传播。
构建风险管理战略
IT管理人员每天都会接到有关系统漏洞、新软件漏洞或新恶意代码的警报，所有这些警报的安全级别很难一下子判断出来。因此，结果往往是 IT 人员不由自主地被这类事务牵着鼻子走，采取既耗时又费力的行动，比如查漏洞、打补丁等。然而，这些行动不见能够真正起到防护的作用。
安全风险管理可以为企业提供必要的流程来提高安全性和法规遵从性。安全风险管理的实施离不开CIO、IT 操作人员、网络安全人员及业务主管人员的通力协作。由于有些系统和应用程序更容易暴露在风险之中，而IT部门无法独自确定企业可承受的风险等级。因此，IT 和业务管理人员需要通力合作来帮助企业确定资产优先级和最大限度地降低风险。
安全团队可以建立明智的风险管理战略，使有限的资源可以集中于应对企业面临的最大威胁。任何公司都不会有足够多的财力和人力用于完全消除其与 IT 相关的潜在风险。因此，将所面临的各种风险量化，然后据此确定安全投资的优先顺序势所必然。
新模型的三要素
为了量化风险并确定补救措施的优先顺序，目前业内比较前沿的一个模型从三个方面测量风险：资产价值、资产易受攻击程度以及各种现实威胁。
资产价值：每分钟需处理价值数千美元交易的服务器显然要比客户服务代表的桌面机更为重要。因此，制定降低风险的明智战略需要清楚了解整个企业中各类 IT 资产所代表的企业价值。
资产易受攻击程度：除具有不同的企业价值外，IT 资产存在其固有的不同程度的软肋。提供公共网页的系统比起根本就不连接到 Internet 的系统来，肯定更容易受到攻击。锁在配线橱柜中的交换机要比距离公司安全数千英里远的膝上电脑更安全。
现实威胁：安全团队还必须清楚了解任何现有资产所面临的各种现实威胁。虽然运行在旧式系统上的旧应用程序可能对公司具有很高的价值，但它们受威胁的可能性会更小一些，因此对公司来说，它们所面临的风险可能要比运行在 Windows 或 Linux 上的应用程序所面临的风险要小很多。
把这三个因素结合起来考虑，安全团队就能准确了解企业最大的威胁存在于何处，并据此确定风险缓解行动的优先顺序。风险可以通过综合考虑资产的企业价值、其固有的易受攻击程度以及它实际面临的各种威胁的强度计算出来。除了解具体的风险等级外，安全团队还可以拓宽解决 IT 相关风险的视角，以便显著增强其措施的有效性。Kurtz 提出了四种可能的风险管理战略：风险减轻、风险接受、风险转移和风险回避。风险减轻：这通常是人们碰到风险时头脑中的第一反应,它包括安全团队针对威胁所采取的各种应对措施；接受风险：如果解决风险的成本大于风险本身，或者解决该风险将使资源无法用来解决更为严重的风险，合理的行动可能就是接受该风险；风险转移：在某些情况下，当将风险转移给第三方(如，保险公司)比将有限的资源用于可能并不能产生明显效果的风险减轻行动时，采取前一种方式是更为审慎的选择；规避风险：有时还会碰到这样一些情况，不仅风险的等级很高，而且解决该风险的成本也达到了无法接受的地步。在这种情况下，最好的办法是完全规避风险，撤掉可能会带来这样风险的系统，或者不将其部署在最重要的位置。
目前，我国商业银行种类繁多，所以商业银行在风险管理方面涉及的范围也很广泛。本文将从宏观角度研究探索，主要从我国商业银行的经营过程中信息安全风险分析，该安全风险包括技术和管理风险两类。文章将侧重讲述我国商业银行信息安全风险管理体系构架。
【关键词】商业银行 信息安全 风险管理 体系构架
在我国加入世贸组织后，在市场经济的影响下逐步形成一个与全球经济同步的开放整体，我国很多商业银行都开始设立国外分行，同时，国外银行也在不断开拓国内市场，这就表明，我国商业银行信息系统安全隐患也将由国内范围加深到世界范围。这时候，应该从分析了解我国商业银行信息系统特性着手，准备把握我国商业银行信息系统的安全风险信息，也可借鉴国外已经成熟了的银行信息系统安全管理体制，再根据本行的信息安全系统的特点，构建并完善我国商业银行信息系统安全风险管理体制，及时防范并有效降低我国商业银行信息的安全损害，确保我国商业银行的信息安全，已经成为我国金融机构热议的话题，必须引起银行以及监督管理机构的重视。
1 我国商业银行信息安全风险管理现状
1.1 信息安全与风险管理
广义上来说，信息安全是在特定社会背景下，国家为维护自身信息安全、低于国外信息威胁利用信息安全的通讯技术、网络IT技术的一种能力。从狭义上来讲，信息安全就是信息内容不被随意泄漏和改变，信息体统不受威胁与攻击。当前，风险管理已经在国际上越来越广泛地被运用，有效的风险管理不但可以削减企业经营风险，还能够在企业决策上提供一定的支持，保障企业的可持续发展。所以，风险管理有非常巨大的存在意义。风险管理是信息安全的基本观念。目前，普遍认为信息安全是识别信息系统风险，并能够采取相应措施不断完善信息系统的一个过程。
1.2 网络风险
在管理商业银行信息系统时，一定要非常谨慎的对待风险管理过程。在评估风险时，可能会发现网络被没有被充分的保护，需要增加一些软件、硬件或者是加强安全管理意识等进行充分保护。网络安全能够平衡银行业务、客户功能和速度。要证明减少某些操作是无误的，比如关闭Active，该行为的发生必须在能够保证银行业务和用户在一个安全的环境下。企业最高决策机构必须时刻强调时刻注意企业的安全，以风险管理为原则不断识别企业网络存在的安全隐患，能准确判断网络容易受到攻击地方，并能够从根本上加强保护。风险评估是风险管理的基础，主要根据三个步骤来实现风险评估：
1.2.1 网络价值的判断
一定要从银行的有形资产和无形资产两方面考虑来评估商业银行的网络价值。比如，在系统出现故障的时候，要考虑到该故障会对企业的财政收入造成的影响；在网络出现故障时，要考虑修复网络需要花费的人力、物力成本，重建网络信息要消耗的资金；在商业银行网络中有重要信息被泄漏，要考虑到整个公司的财政将会受到多大的影响。
1.2.2 定义威胁
商业银行的网络和网络数据经常会很容易被内外部环境的威胁攻击。所以，了解每种类型的威胁是非常必要的，还要尽可能多的鉴别可能存在的威胁。目前，很多管理网络的人员都并不能清楚理解环境自身的威胁。内部威一般很常见也很容易定义、识别。外部威胁就相对较难定义，首先要做的是判断破坏机密文件的以未授权方式的患者记录或者信用卡号。可能是企业的竞争对手为了找到银行客户资料，也可能是为了改变银行的数据并破坏数据的可用性的黑客所为；准确判断网络容易受攻击的地方。安全弱点就是已经被识别的威胁，按等级分类所识别的威胁：威胁的关注度、威胁的可行性。
1.2.3 设定方案
如何执行一个安全的解决方案是网络风险管理过程中的最后一步。该方案需要从以下几方面着手：加强客户以及网络管理人员的安全防范意识；改变并创新网络结构；稳固安全硬件；关闭银行中有安全威胁的并不常用或者根本就不需要的测试、服务以及补丁程序。
网络风险主要表现在这几个方面：安全性风险、网络故障风险、法律媒体风险。防范网络风险需要对网络安全进行风险评估，建立网络安全管理构架，最后制定一系列安全防范措施。评估风险首先需要企业内部专门的网络安全管理人员分析并诊断企业网络安全的状况，然后从管理与技术两个方面探讨研究网络安全问题的存在。网络安全管理体系架构需要考虑到的网络风险的几个方面：通过完善网络设备性能、提高网络承受力、先进传输技术的引进以及定期核查网络设备的方式来避免网络故障风险；通过加强宣传并提高社会成员法律安全意思制定一定的法律条款来防范法律媒体风险；通过增加设立持续不断的电源、增加投保企业保险、加强网络机器安全管理等方法来避免网络安全风险中如断电、火灾等的自然风险。针对网络自身的风险以及网络攻击风险，需要遵循一定的有限级有条理有选择的来解决来自数据、应用、系统、网络的信息安全问题。利用防火墙技术、安全监督体制、IT设计工具、VNP设备、数据加密技术以及数字签名等技术保障网络风险的最小化，并制定符合法律规则的有一定安全标准的全面完善的网络安全风险管理体制。
1.3 外包业务风险
当前，我国商业银行中有一大部分的银行属于中小型银行，在资金水平以及信息技术能力的限制下，缺乏独立的信息系统开发能力，只有通过业务的外包来满足银行信息系统，导致大量的银行核心代码分散到外包公司信息系统中。如果商业银行在这种情况下没有谨慎对待外包商、依据法律条款签订相应的协议、明确协议双方的职责，那么，银行信息系统的信息安全以及系统业务的可持续性将会受到加大的威胁。与此同时，在银行维护信息系统的时候，外包公司审核的不够严谨，没能积极修复系统漏洞、优化信息系统，也会威胁到银行信息系统的安全。银行在与外包公司签订合同协议的时候，如果没有做好协议数据保密工作、外包公司蓄意泄密或者转包服务等情况，都会产生信息安全风险，甚至会给银行带来销毁性的打击。
2 我国商行银行信息安全风险管理体系架构
我国商业银行存在一定信息安全风险是必然的，即使不能避免和杜绝这种风险，也要采取相应的措施最大程度的控制、削减、化解风险的发生频率。我国商业银行信息安全风险管理体系架构主要从技术、运作以及管理组织平台三方面设计。
2.1 管理组织平台
风险管理组织平台处于我国商行银行信息安全风险管理体系的最高层，为整个管理体系提供策略性的引导。主要从商业银行信息安全风险管理的制度与策略、管理人才以及组织机构三方面着手。
2.2 运行平台
我国商业银行信息安全风险管理体系的中间部分就是风险管理的运行平台，也是商业银行信息安全风险管理体系的核心与主体部分。风险运行的整个过程包含了风险的识别、评估以及应对等诸多活动，着重体现一种风险管理持续完善的理念。该过程依据PDCA模式，严格按照计划、实施、改进的管理模式管理商业银行信息安全风险，持续完善商业银行信息安全风险管理体系架构，有利于银行创建良好的安全的信息环境。
2.3 技术平台
商业银行信息安全风险管理体系的最底层便是风险管理的技术平台。技术平台为运行与组织平台的创建和实施提供有力的技术支持，也为我国商业银行信息安全风险管理体系提供了安全性技术保障。从时效上将技术平台分为预防、实时跟踪以及事后恢复三大技术。
我国商业银行信息安全风险管理体系架构主要从技术平台、运行平台、组织平台三方面的构建组成。风险管理组织平台的构建是我国商业银行信息安全风险管理体系的重要组成部分，为整个管理体系提供策略性的引导；风险管理运行平台的构建是我国商业银行信息安全风险管理体系的核心组成部分，风险管理的运行过程严格遵循PDCA的循环定律。通过资产、威胁、脆弱性三方面的评估形成对应的资产、威胁、脆弱性信息，为满足银行业务的需求，可以采取转移风险法、规避风险法、接受风险法以及消减风险法加以应对我国商业银行信息安全风险。具体利用数字加密技术、身份认证技术、控制访问技术、检测入侵技术、数据备份以及恢复技术为我国商业银行信息安全风险管理体系的构架提供安全有力的技术支持。
在我国商行银行信息安全风险管理体系基本构建完成后，还需要对该体系做出评审、改建意见以及相关说明等后期工作。该后期工作的主要内容包括内部审计、外部审计以及文件管理。需要注意的是，在审计过程中，常常会遇到银行信息系统中的大量的铭感信息，假若不能够正确处理审计过程中遇到的银行敏感信息将会给银行的信息安全带来不可忽视的威胁，所以，加强严格管理与控制我国商业银行的外部审计是我国商业银行当前面临的一项刻不容缓的任务。银行最高决策机构应该依据法律制度，设计出相应的整改方案，并定期实施有效方案，提高我国商业银行信息的安全度，保障我国商业银行信息安全风险管理体系的成功构建。
3 结束语
信息在网络信息迅速发展的背景下已经成为一项可贵的必不可少的资源。一般来讲，掌握的信息越多、越准确就越有取胜以及权威的先机。信息对于我国商业银行这样一个特别的行业更是非常重要。在商业银行网络与业务规模不断扩大的背景下，我国商业银行在信息安全保护方面面临严峻的考验，所以，保障商业银行信息安全风险管理体系的安全已经成为目前金融行业重要的使命。
参考文献
[1]陈小娟.我国银行信息安全风险管理体系研究[D].苏州大学，2013.
电力企业信息系统是基于电脑和网络，实现电力制造、管理等信息的收集、存储、分析及传输的综合性的有机系统。［1］信息作为一种重要的企业资源必须要对其进行全面的安全管理，企业信息安全管理是引导和协调组织的关于信息化安全风险的互相协调的活动，即企业管理层对企业相关信息和活动安排进行合理的规划和协调。一直以来，很多人特别是对于信息行业出身的工作人员，都受环境影响而陷入“技术就是一切”的误区中，即人们把企业信息安全的全部希望都寄托在加密技术上，他们认为只要通过加密技术，任何信息安全问题都能够解决。随着网络防火墙技术的诞生，我们又常听到“防火墙是网络安全的有力保障”的论调。经此之后，入侵检测、VPN等更多新的概念及技术纷至沓来，但无论技术怎样变化，终究还是突破不了技术统领信息安全的枷锁。实际上，对企业信息安全技术的选择及应用只是企业信息系统安全化的一部分，它只是实现企业安全运营的一个方法而己。大家之所以产生这样的误区，其原因是多方面的，站在企业安全技术提供商的角度来说，其侧重点在于销售，因此向相关客户输送的大多都是以技术为核心的理念和信息。站在客户角度来说，只有企业的产品才是真实的、有形的，对投资方来说，这是十分重要的。因此，正是对于企业信息系统的错误认识，导致一些极端现象的产生，比如：许多企业的信息化设备使用了防火墙、网络云扫描等技术，但却没有设定出一套以安全策略为核心的合理的安全管理方案，从而造成安全技术及企业的产品生产十分混乱，不能做到技术及相关产品的及时、有效的更新。还有一些电力企业即使设定了一些安全管理措施，却没有使用有效的实施、监督机制来执行，这让安全管理措施徒有其表，名存实亡。经过研究及调查，现阶段我国电力企业信息系统面临的风险主要有：（1）信息系统缺陷。随着信息化的不断发展，电力企业信息系统也一直在不断完善中，目前，我国的电力企业在设计、制造及产品装配中仍存在着许多安全隐患与风险，比如来自软硬件组件的安全隐患等，这些信息系统固有的缺陷对电力企业信息系统的安全造成了严重的威胁。（2）信息系统安全管理不规范。现阶段，我国电力企业对电力信息系统的安全愈来愈重视，很多电力企业都采取了各种风险管理及预防措施，但是由于系统数据备份设备的不完善、数据丢失等信息系统安全管理不规范现象的出现，建立一套完善、合理的电力企业信息系统安全管理体系尤为重要。（3）网络安全意识薄弱。由于电力企业的安全宣传力度不够，相关技术人员的安全意识薄弱而导致的信息系统安全问题时有发生，比如不能及时修补信息系统漏洞及补丁，相关人员不正确的操作、或通过U盘导致重要信息泄露等，处理不好都很有可能造成整个电力系统的不稳定甚至系统瘫痪。（4）恶意人为破坏。随着网络共享度的提高，我国的电力企业信息系统逐渐向开放型及共享型发展，这使得一些不法分子有机可乘，他们为了自己的利益，通过各种手段非法入侵电力企业的信息系统，如植入病毒、窃听、干扰阻断等，这对我国电力企业信息系统的安全构成了极大的威胁。
2电力企业信息系统安全管理研究
信息安全是一个复杂的、不断变化的动态过程，如果电力企业只根据一时需要而忽略了信息安全的动态性，只是主观的来制定一些风险管理措施，就会造成在企业信息管理中顾此失彼，进而导致企业的安全管理水平止步不前甚至有失偏颇。［2］其正确的做法是，电力企业要遵守相关信息安全标准及实践总结，结合企业自身对信息系统安全的实际需求，在进行完善的风险分析及风险管理的基础上，通过一些合理的、可行的安全风险管理措施来使电力企业信息系统一直处于安全状态。除此之外，不断更新的过程是电力企业进行信息安全管理的最基本出发点，该过程还应该是动态的、变化的，即安全措施要随着环境的变化及信息技术的提高而不断改进和完善，坚决拒绝一成不变，这可以将信息系统的风险降到最低。［3］所以说，基于风险的评估及控制角度来说，电力企业信息系统的安全风险与其他领域的风险具有相似性，与此同时，电力系统信息系统安全风险又具有其独特性。将其他领域内的风险控制过程引入电力企业的信息风险管理领域，需要同时考虑到其共性和个性。安全管理主要分为网络级、系统级和应用级3个部分：（1）网络级安全管理。电力企业信息系统的网络级安全管理主要是指解决企业信息系统与网络互联而产生的安全风险问题，其主要从网络防火墙及网络结构两个方面采取安全管理措施。网络防火墙对企业内部网络及外部网络起到安全隔离作用，它可以有效预防潜在的破坏性入侵，同时可以对即将进入企业内部网络的数据进行严格的检测，并对非法、错误的网络信息进行隔离，从而保护电力企业内部网络的安全。对于网络结构，根据电力企业信息系统的实际情况，相关技术人员结合网络结构，设计出一种介于混合型和网状型结构之间的分布式网络结构，该分布式网络系统具有较高的可靠性及容错能力，从而对已有的网络结构进行了优化。（2）系统级安全管理。在企业信息系统风险管理中，系统级安全设计与用户的具体应用具有密切的联系，具体而言，其分为操作系统与数据处理两个方面。在操作系统方面，利用有效的网络安全扫描对信息系统的安全风险进行合理评估，及时分析操作系统已有的漏洞，同时结合信息系统的漏洞自动修补技术，实现定期为相关用户消除网络中的安全隐患。在数据处理方面，企业要善于利用信息系统平台再次对数据库进行数据安全加密，从而将信息系统的数据库风险降到最低。（3）应用级安全管理。应用级安全设计具有直观、具体的特点，它是在设计电力企业的信息系统时，通过技术手段将相应的安全技术加入到信息系统中，从而有效保证系统的安全稳定运行。具体来说，电力企业信息系统的应用系统访问控制是根据访问信息性质的不同，分别进行公开信息和私密信息的传送、存储及管理，从而实现在应用层次上的访问控制；而数字签名技术可以通过对文件签发者、日期等提供准确的不可更改的历史记录，来保证系统所有文件的完整性。因此，我们得知，为了确保电力企业信息系统的安全，要采取合理、有效的管理手段来最大程度地降低风险，即相关人员不仅要从技术层面来进行安全管理的设计，还要从管理层面进行安全管理设置。［4］具体来说可以从以下方面着手：（1）定期对企业系统的技术人员进行安全教育，增强其信息系统的安全意识；（2）保持相关人员特别是管理层的人员稳定，若有人员调离，需及时更换系统密码，避免企业机密泄露；（3）设置合理的电力企业信息系统安全标准及企业制度等。
3结语
关键词 银行业；信息科技；风险安全
中图分类号：F832.2 文献标识码：A 文章编号：1671―7597（2013）031-140-01
1 安全评估概念及作用
安全评估是信息科技风险安全评估的简称，是指组织依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。安全评估是科学分析理解信息和信息系统在机密性、完整性、可用性等方面所面临的风险，并在风险的预防、风险的控制、风险的转移、风险的补偿、风险的分散等之间做出决策的过程。信息安全管理应基于安全评估，只有在正确地、全面地识别风险后，才能在控制风险、减少风险、转移风险之间做出正确的判断，并决定需要调动多少资源、以什么的代价、采取什么样的措施去化解、控制风险。
2 安全评估主要标准及实践
信息安全评估涉及范围广，相关安全标准也十分庞杂。其中ISO27005-2008明确了安全评估方法及流程，在全球范围内得到了广泛的应用。国内安全评估标准《信息安全技术 信息安全风险评估规范》（GB20984-2007）采用的评估方法基本与ISO27005一致，明确了风险评估的基本概念、要素关系、分析原理、实施流程和评估方法，以及风险评估在信息系统生命周期不同阶段的实施要点和工作形式。
3 银行业安全评估现状及存在问题分析
随着业务发展需要及监管要求，国内商业银行越来越重视信息科技风险管理工作，信息安全评估逐渐成为信息科技风险管理的基础性工作，但国内商业银行信息安全评估管理与国外银行相比存在较大差距。一是安全评估体系不健全。大部分商行银行未明确安全评估管理的组织机构，缺少安全评估管理制度，未建立符合本行风险管理需要的安全评估体系。二是安全评估流程不规范。很多商业银行安全评估尤其是自评估缺少标准的流程控制，安全评估工作随意性强，大部分评估流于形式或依赖于个人经验，安全评估的结果不能真实的反映客观存在的风险。三是安全评估人才匮乏。安全评估工作具有较强的专业性，对评估人员的能力要求较高，而很多商业银行评估人员未经过相应的培训，缺少经验，并不真正具备安全评估的能力。四是安全评估方法不科学。商业银行评估尤其是自评估主要依据制度列表或个人经验，很难发现深层次问题并对风险准确定性，评估结果对风险处置的指导意见有限。五是安全评估数据积累不足。国内外主要的安全评估方法，需要根据历史事件统计事件发生概率，目前，很多商业银行尚未建立事件统计分析机制。
4 安全评估管理的主要思路
通过研究国内外信息科技风险安全评估标准、规范及实践，提出了商业银行信息科技风险安全评估管理思路。
4.1 建立安全评估组织体系
信息安全风险评估组织体系建设应充分考虑安全评估自身特点，并应结合商业银行的风险管理体系，安全评估的组织体系应包括两个方面：一是建立安全评估日常管理体系。该部分体系应在信息科技风险管理体系的基础上，明确高管层、信息科技风险管理部门、信息科技管理部门及其它相关部门的安全评估职责；二是建立安全评估项目管理机制。商业银行组织安全评估时应成立项目管理组织，并严格按照项目管理的流程对安全评估进行有效控制。
4.2 建立信息安全风险评估标准流程
安全评估流程是安全评估标准化的控制手段，能够有效的控制安全评估的目标、范围、过程及质量，安全评估需要建立以下标准流程：一是安全评估的组织流程，即安全评估审批、总结、汇报等流程；二是安全评估的项目管理流程，安全评估应采用项目的管理方式进行组织，并按项目管理流程组织评估并形成项目阶段成果；三是安全评估的评估方法流程。安全评估根据标准的评估方法，并结合评估对象的特点，从资产识别、威胁识别、脆弱性识别、风险评估、已有措施确认等方面，建立明确的评估方法流程并明确流程各阶段主要工作成果及输出文档。
4.3 培养专业信息安全风险评估人员
专业的安全评估人员是安全评估的基本保证，应加大对信息安全风险评估人员的培训力度，培训主要从以下几个方面进行：一是加大评估管理要求、评估流程的培训力度，让评估人员能够了解信息科技安全管理的要求，掌握安全评估组织、项目及方法流程；二是加大信息安全知识培训力度，评估人员应全面学习信息安全的相关知识，了解目前信息安全面临的主要威胁及存在风险；三是加大安全评估技术培训力度，评估人员应了解安全评估相关技术，熟练掌握常用的安全评估工具；四是加大信息系统相关技术培训力度，安全评估要求评估人员应了解主机、网络及应系统等相关技术细节，应组织相应的技术培训，扩大评估人员的知识范围，并使评估人员深入了解各系统的技术细节。
4.4 引入安全评估工具
为实现安全评估的专业化，商业银行应逐步引入和使用风险评估工具，风险评估工具包括以下三类：一是专业安全评估设备及软件，如漏洞扫描设备、安全审计平台等。二是专门的风险计算工具，如风险统计及计算表格，该类表格根据标准的计算方式，能够给出相对准确的风险量化值。二是风险管理系统，对风险进行汇总、统计及处置跟踪。
4.5 建立风险评估数据积累机制
安全风险评估的准确与否依赖于大量信息安全相关数据，因此，需要建立风险评估数据积累机制：一是确定信息安全事件的收集、整理及汇总机制，信息安全事件统计来源分为外部和内部两个渠道，外部事件应根据安全部门、监管部门的通报进行收集，内部事件通过安全事件报告汇总。二是建立信息系统数据积累机制，统计和汇总不同设备及系统的安全要求，按标准格式形成评估要点文档，作为相关评估的主要依据。
参考文献
[1]ISO/IEC 27001：2005 信息技术 安全技术 信息安全管理体系要求[M].
[2]ISO/IEC 27002：2005 信息技术 安全技术 信息安全管理实用规则[M].
[3]ISOIEC 27005-2008 信息技术 安全技术 信息安全风险管理[M].
[4]GBT 20984-2007 信息安全技术信息安全风险评估规范[M].
[5]GBT 22239-2008 信息安全技术 信息系统安全等级保护基本要求[M].
关键词：安全生产；信息业务；风险管理体系；企业风险；风险场景库
中图分类号：F530 文献标识码：A 文章编号：1009-2374（2014）33-0157-02
随着经济全球化的不断发展，特别是企业对信息化依赖程度的增强，信息风险已超出传统的技术问题范畴，已属于企业业务风险的一个部分，本文主要论述纳入安全生产风险管理体系中的信息风险管理体系的构建。
1 影响信息风险的因素
影响信息风险的因素主要包括外部环境、内部环境、风险管理能力、信息相关能力等。
外部环境主要包括市场和经济因素、同行及竞争、地理环境、法规遵从环境、技术状态和创新、威胁领域，市场和经济因素是企业安全生产的行业因素。比如，金融业的运营与制造业的运营对信息化有不同的需求以及不同的IT能力。
内部环境主要包括企业目标、信息化对企业业务的战略重要性、信息架构的复杂程度、企业的复杂性、业务变更的深度、业务变更管理能力、风险管理哲学和价值观、安全生产模式、经济能力以及信息化在企业战略中的优先级等。安全生产模式关系到企业独立运营的程度或与它的客户/供应商相关联、集中化/非集中化程度，企业文化决定了企业需要变更以能够有效进行风险管理，经济能力主要表示企业当优化风险时，对支持、强化和维护IT环境的财务能力。
风险管理能力是衡量企业实施关键风险管理流程和相关动力水平的一个指标。可以通过运用风险记录卡来度量。动力绩效指标越好，则风险管理能力水平越高。对于企业风险事件的频率和影响，风险管理能力是一个非常重要的元素，因为它负责管理风险决策，以及在企业内建立和实施有效控制，它主要包括治理风险和管理风险两个方面。
信息相关能力与IT流程以及所有其他动力的能力相关。对于不同动力的一个高成熟度等于高的IT能力，它能够正面影响：降低事件的频率，如实施了好的软件开发流程将交付高质量和稳定的软件或实施了一个好的安全度量将减少安全相关事故的数量；减轻事件发生时对业务的影响，如针对灾难的发生，具有一个良好的业务持续性计划/IT灾难恢复计划。IT流程包括评价、指导和监管、与业务一致、计划和组织、建立、获取和实施、交付、服务和支持以及监管、评价和评估等五个管理职能域中的37个流程实践。风险场景库类别主要包括项目组合建立和维护、项目/项目群生命周期管理（项目/项目群的启动、开发和获取、交付、质量、中止）、信息化投资决策制定、IT经验和技能、员工运营（人力错误和恶意企图）、信息（数据破坏、损坏、泄露和访问）、企业架构（架构版本和设计）、基础设施（硬件、操作系统和控制技术）（选择、实施、运行和退运）、软件、信息系统的业务所有权、供应商选择/绩效、合同遵从、服务中止或转移、法规遵从、地缘政治层面、基础设施被盗或破坏、恶意软件、逻辑攻击、环境、大自然行为、创新等。
2 信息业务风险库
在信息化的服务、交付和支持阶段，建立起的信息业务风险库主要包括以下方面：事件和事故管理业务节点包括提交事件、事件记录分类、识别范围、地市识别事件范围、一线处理、解决事件与否、事件解决情况、现场处理、处理情况、审批情况、后台处理、是否解决事件、申请挂起、挂起事件、解挂事件、是否发起其他流程、关闭事件、初步确认事件影响范围、统一解释口径、确认是否向省公司升级、向省公司服务台通报、标示大范围事件并向用户解释等。主要存在的风险包括IT系统停工期的增加、客户满意度的降低、客户不知道事件报告的程序、复发问题没有解决、不是所有的事件都被跟踪、事件优先级未反映业务需求、事件未及时解决、服务台的运营操作没有支持业务活动、客户对所提供的服务不满意、事件未及时解决、客户中断服务时间增加等。
管理用户请求业务节点主要包括提交咨询或请求、尝式解答咨询、解决咨询或请求、咨询支持升级或转派任务、用户评价、升级、给出咨询答案、转派事件、判断用户反馈情况并处理结果。存在的风险主要包括对硬件和软件的未授权变更、访问管理忽略业务需求并且损害业务关键系统的安全、未对所有系统规定安全需求、违反职责分离和危害系统信息等。
管理配置项业务节点主要包括操作系统管理、硬件信息管理、中间件信息管理、数据库信息管理、软件信息管理、操作系统管理。存在的风险主要是配置项信息维护职责不明确，导致信息更新不及时。
管理服务级别SLA业务节点主要包括编制服务目录、提出业务需求、制定服务级别策略、编制服务级别协议、签订服务级别协议、服务目录、召开年度评审会议、制定年度服务改进计划。存在的风险包括用户和服务提供者不理解各自的职责、不恰当的优先权授予不同的服务提供、不恰当交付的服务、为提供的服务授予不恰当的优先权、对提供的IT服务有不同的解释和误解、由于期望和实际能力的差距导致纠纷、低效率和昂贵的运行服务、无法满足客户的服务需求；服务交付资源的无效和低效使用；无法识别和响应关键服务事件、由于过时的合同导致不能满足商业和法律需求、由于服务偏差导致经济损失和事件等。
管理问题业务节点主要包括问题记录、判断是否问题、判断提审方案是否能过变更实现、实施方案、启动变更管理流程、确认记录解决结果、启动知识管理流程、问题跟踪与升级等。存在的风险包括IT服务的中断、问题重复发生的可能性增加、问题和事件没有及时解决、对主动的问题和事件管理，缺乏问题和事件及解决方案的审计跟踪、事件重复发生、问题和事件重复发生、未恰当解决的关键事件、业务中断、服务质量不
足等。
3 控制措施
在事件和事故管理业务采取的控制措施包括坚持对客户进行满意度回访，并针对用户提出的问题及其自身IT服务的不足，进行整改，努力提升服务质量；及时跟进事件处理情况并向用户进行反馈；对于复发事件需要进行分析、找出根源，启动问题管理流程，从而减少事件复发的几率；加强对服务台人员的事件分类标准、优先级，按标准化准确分类；服务台经理加强对事件单的处理进程的全程跟踪，对当前处理人应实时跟踪进展情况；加强运维人员的沟通能力和技术能力；事件经理监控所有事件并协调处理未解决事件。
在管理用户请求中采取的控制措施包括严格按照规章制度进行，禁止进行未授权的变更；加强对业务需求的分析以及业务关键系统的安全，审核请求的合规性；按照各系统安全需求，拒绝违反系统安全需求的请求；加强各运维人员的职责分离意识，坚决杜绝违反职责分离；加强对请求的审查力度，杜绝一切危害系统的
请求。
在管理配置制顶中采用的控制措施主要包括相关的信息维护需要明确到具体岗位；严格把关机房进出制度、工作票制度；完善业务和技术服务目录，明确配置项负责人，加强审查力度。
管理服务级别SLA采取的控制措施主要包括服务目录必须包括服务需求、服务定义、SLA、OLA、资金来源；建立一个包括开发、审核和调整服务目录或服务组合的流程；建立一个确保服务目录或组合是有用的、完整的和及时更新的管理流程；定期审查服务目录和服务组合；建立一个检查程序，使SLA的目标和绩效测量与业务目标和IT政策一致；SLA必须包括例外事项、商业协议和OLA；SLA的改进和调整流程是基于用户和业务的需求的绩效反馈和变更；SLA形式和内容必须经所有利益相关方同意；SLA需正式批准和适当签署。
管理问题的控制措施包括建立被适当工具支持的能满足需要的流程，以识别和分类问题；建立和维护用于问题分类和优先权的已建立的标准，确保这种分类与解决和容忍问题的服务承诺或组织单元职责相一致；开发用来生成问题管理报告的报告工具；问题报告必须包括以下内容：分析根本原因的问题文档、问题所有者和解决责任的识别、问题状态信息。问题解决后，需经利益相关方确认，问题只有被利益相关方确认解决后才被
关闭。
4 结语
综上所述，本文先分析了当前影响企业信息风险的因素，进而论述了我企业根据现实情况所建立的信息业务风险库和控制措施，当前很多企业已经认识到了信息风险的重要性，也采取了一些具体的针对措施，但是很多措施在使用中仍然存在一些不可预测的问题，这些还需要更多的人努力去解决。
参考文献
[1] ISACA.IT 鉴证指南：使用COBIT.
[2] ISACA.COBIT5 Framework.
[3] ISACA.RISK IT.
关键词：煤矿安全风险；预控管理体系；实践创新
煤炭行业，中国于2011年成立第一个安全管理体系标准，也可以说是风险预控管理体系，这样可以看出煤矿安全对我国来说是非常重要。我国现阶段的煤炭企业的生产和运行运用风险预控管理体系是非常合适的，这对减少安全事故的发生起着非常关键的作用。
1 构建风险预控管理体系的重要意义
在我国煤矿企业不断发展的过程中，煤矿的安全问题一直是个重要的问题，这也是国家和社会都非常关注的问题。通过相关数据可以看出，从2013年开始，我国煤矿企业的安全事故发生率同前几年相比下降了22.5%，人员伤亡的情况也在逐渐减少。即使如此，煤矿企业依旧是发生安全事故的重要企业，这就需要建立一个合理的风险预防管理体系，更好的促进煤矿企业的发展。风险预防管理体系是借鉴各国先进的安全管理思想和模式，取其精华，再与我国煤炭企业的自身特点相结合，从而创建一个适合自己煤矿管理安全体系。要把A防和控制作为重点，通过对风险的识别，预测，和检测对煤炭企业中存在的风险进行有效的控制。
2 应用煤矿安全风险预控管理体系的必要性
2.1 煤矿安全风险预控制管理系统的综合应用，可以有效地提高企业的安全生产效率
采掘总体钻井条件良好，但也有较薄的基岩、采煤压力、顶板和破碎容易崩落、破碎的砂和塌陷经常发生在矿井水和煤层埋深严重的缺点，如渗漏和部分瓦斯煤矿。为提高生产效率，必须具备安全、规范的操作标准、清晰、清晰的管理流程，使公司的管理和岗位员工可以做到一切与标准、处处有流程。风险控制管理系统是企业遵循和信任管理工具的基础，是成熟和标准化的操作系统，促进企业安全管理有序实施，减少安全隐患和不安全行为，规避安全风险，提高企业安全生产效率。
2.2 深入推进煤矿安全风险预控管理体系建设是实现企业科学发展的内在动力
长时间以来，影响安全生产的主要因素限制煤炭企业整体的发展，安全生产，可以更好地适应的客观趋势煤炭产业结构优化升级，可以大大提高企业的抗风险能力，增强其核心竞争力在同一行业，甚至整个行业。企业只有科学发展理论的指导下，企业每一个员工的自我控制能力和企业组织工作危害重大危险源控制系统测试的能力，安全风险预控管理系统实现的“试金石”，使安全生产的思想固化的潜意识，我们所有的员工每个管理活动和作业任务，实现安全稳定发展的企业，也会有无尽的力量，让它勇敢的潮流。
2.3 有效发挥安全风险预控管理体系效能是实现企业安全生产的必由之路
全面落实安全风险预控管理体系的管理要素，高起点，高要求，促进企业安全生产，科学管理，后期处理提前预防，将有利于促进安全生产，从根源上避免各类安全生产事故，避免各类安全生产事故，事件，实现企业安全发展。
3 风险预控管理体系的构建
3.1 危险源识别和风险评估
危险源是导致煤矿事故发生的主要因素，确定危险源是风险预控管理体系的当务之急。危险源有可能在煤矿企业生产、建设和改革中每个环节都是有可能的，他们以不同的形式出现。对这些存在煤矿生产当中的安全隐患，其中也包括人为因素，环境因素，不正确的管理方式，这就需要我们利用相关的设备和专业技术进行识别和检测，提前针对问题进行分析，确定风险的危害性，然后进行整理记录，进行上报，形成一个全面的安全管控系统。
3.2 管理标准和管理措施
危害识别和风险评估后，要根据企业的生产特点和管理水平，制定相应的风险管理标准。在制定标准过程中，应充分考虑国家政策、行业规范和企业自己的标准，及时消除危害。在拟定管理措施时，应根据实际情况，采取有针对性的方法来辅导安全出产作业，有效减少煤矿安全事故的发生。
3.3 风险监测与预警
煤矿在安全管理过程中应该使用监控实时动态信息系统，对危险源的状态实时进行监控。对检测出来的危险进行监控并采取相应的控制措施，还要对可能出现的新的危险进行防御和监控。当危险到达一定程度没有办法控制的时候，要能立刻预警，立即想办法进行解决，避免安全事故的发生。还要建立一个完善的事故预警系统，在要有危险要发生时，及时发出警告，能够第一时间对危险程度进行判断，然后依据危险程度采取相应的措施，给人们的安全提供更好的保障。
3.4 提高信息系统的应用水平
应用数据应按系统形式或格式完成，信息应真实、及时、标准化、准确。上级单位和集团有限公司，五人小组，煤矿团队，煤矿动态测试结果，煤炭部门的专项检查办公室，团队三级信息隐藏参数内容应当完整输入信息系统，实现闭环管理，安全问题和人员不安全行为的进行了具体描述，相应的标准和风险来源应该是准确的，录入工作应在检查后2d完成考试。当现场的安全问题与评估标准和危险源不相对应时，系统应及时地进行解决。
4 煤矿安全风险预控管理体系的创新策略
4.1 更新安全风险预控的管理理念
想要建立煤矿本质安全化管理新系统，第一步就是要更新安全风险预防的管理理念，树立正确的管理理念，建立起以人为本的思想理念，做到事故可以避免；还有就是要在原始管理方式上进行不断地创新，做到取其精华去其糟粕，总结安全生产过程中的经验，有效的归纳到本质安全化管理体制中。
4.2 加大监督检查，以风险预控管理体系强化机电管理和考核
业务部门和专项技术人员需要对现场的工作人员的检查和考核力度加大。生产过程当中对已经识别出的危险源需要定时进行检验。充分发挥风险与控管理体系中的考核功能，一旦发现问题的存在，要第一时间录入安全管理信息软件中进行预警，在录入的过程中需要对问题进行分类，根据不同问题进行不同的整改。各部门在工作之前都需要对信息系统中存在的问题进行及时的改造，减少或避免在施工过程中存在的隐患，并及时对改造的问题进行上报。依据根据风险水平和发生频率可以制定相应的措施，月末对风险预控管理体系中记录的问题进行归纳总结，上报，从而更好的提高经济效益。
5 结束语
与传统的安全管理理念和模式相比，现代安全管理的概念更加注重人们的安全。风险预控管理系统可以使安全事故的发生率减少，使人们的生命财产安全都得到保证。所以我们要大力宣传风险与控管理的教育的好处，建立更加完善的管理制度完善相关制度，保证风险预控管理系统的有效实施。
参考文献
[1]折红霞.浅析如何推进煤矿安全风险预控管理体系建设[J].内蒙古煤炭经济，2016，Z1：40-42.
[2]陈星海.浅谈煤矿安全风险预控管理体系实施过程中遇到的问题[J].科技与创新，2016，08：57.
记者：为什么说信息科技风险管理对于商业银行是特别重要的一环?
徐徽：近年来，风险管理已成为商业银行经营管理活动的主旋律，信息科技风险作为银行风险的重要组成部分，受到越来越多的重视。从商业银行的角度看，这源于两方面的驱动因素。
一是内在驱动因素。目前信息技术已深入到商业银行经营管理的各个领域，几乎所有的改革发展任务都与信息技术密切相关，不管是业务的发展，还是管理的提升，都需要信息技术的配套支持。但是，信息技术固有的风险，包括信息系统软硬件本身的脆弱性、数据集中导致的风险集中等，是客观存在且难以完全规避的。由于技术原因造成区域性和系统性的金融风险进而带来严重的社会影响，在国内外都有很多案例。因此，信息技术在促进银行业务发展、推动金融创新的同时，也使银行业务面临巨大的安全隐患，信息科技风险牵一发而动全身，信息系统的安全性和可靠性关系到商业银行整体经营管理活动的稳定，应该得到而且已经得到了所有商业银行的重视。
二是外在驱动因素。近几年，中国人民银行、银监会等监管机构对于商业银行信息科技风险的监管要求越来越严、越来越细。银监会2009年3月下发的《商业银行信息科技风险管理指引》，从IT治理、风险管理策略、信息安全、开发测试和生产运行管理等方面对商业银行提出了具体而细致的风险管理要求，对于商业银行加强信息安全管理、防范信息技术风险起到了重要的指导作用。同时，银监会将商业银行的信息系统纳入现场和非现场监管，大力开展信息科技风险现场检查，对商业银行的信息科技风险防范工作提出了更髙的标准和要求。监管力度的加大，促使商业银行针对信息技术风险防控制定出更强有力的措施，不断提髙信息安全风险管理水平。
在上述内部要求和外部环境的双重要求和驱动下，商业银行信息科技风险管理的重要性日益凸显，信息安全管理成了各行科技工作的主题。
记者：现阶段，我国金融机构面临的信息科技风险主要来源于哪些方面?
徐徽：要严控信息科技风险，就要先弄清楚风险的来源，并根据不同来源对症下药。概括来说，信息科技风险主要来自四个方面：一是自然原因导致的风险，包括地震、台风等自然灾害造成的风险，这类风险往往很难主动防范，只能被动防御，通过事前建立完善的业务连续性方案和应急预案，事后及时启动应急方案和补救措施来弥补;二是系统风险，是由信息系统相关软硬件的缺陷引起的，包括基础设施和硬件设备老化、系统软件缺陷、应用软件开发测试质量缺陷等，需要通过改善软硬件环境、完善应用软件来防范;三是管理缺陷导致的风险，是由管理制度的缺失或组织架构的制衡机制不完善引起的，需要从IT治理架构和管理机制上弥补管理和制度的空白及漏洞;四是人员违规操作风险，是由人员有意或无意的违规操作引起的，需要加强员工的安全培训和操作培训，提髙人员的信息安全意识和操作水平。其中，后三类风险需要以主动防范为主要安全管理措施，要建立风险事前防范、事中控制、事后监督和纠正的机制。
记者：为保障银行业务的安全，广发行信息科技风险管控采取了哪些具体措施?
徐徽：严控风险是我行2009年工作的主旋律之一，这也是行长辛迈豪在1月全行工作会议上确立的指导思想，在信息技术方面的定位就是“加强信息技术风险管控，将信息技术风险纳入银行全面风险管理体系”。信息安全管理工作是2009年全行科技工作的重点任务，是优先投入资源、重点保障的工作目标。由此可见我行对于信息科技风险管理的重视。
现阶段，根据我行技术和管理的实际情况，信息科技风险管理采用“广度优先、逐步提升”的策略，重点在管理、技术、人员等方面提升信息安全管理水平和管理能力，建立管理与技术结合的全方位的风险管理体系，变被动应对为主动防范。具体说来，主要采取以下几方面的措施开展信息安全工作。
第一，将信息科技风险管理和信息安全纳入我行五年科技战略规划的实施目标。为了提髙信息技术整体核心竞争力，提升信息技术对业务战略发展的长期可持续支持能力，我行于2008年完成了五年科技战略规划目标和实施路径的制定，信息科技风险管理和信息安全是科技规划的重要组成部分之一。科技规划中明确了信息安全工作的中长期目标，定义了信息安全机制建设、信息安全相关系统和管理平台建设等多方面的信息安全管理实施路径，我行在未来几年内将根据科技规划的实施路径逐步开展信息安全建设，提升信息风险防控能力。
第二，完善信息科技治理，大力开展信息科技风险管理机制建设，建立信息科技风险管理制度基础。以前，国内商业银行的信息安全管理普遍存在一个误区，认为部署了髙性能的硬件设备、实现了双机热备份、做好了生产运行风险控制，就算完成了信息科技风险控制的工作。其实不然，因为信息安全不单是技术问题，更是管理问题，只有持续完善信息科技治理架构，从组织架构和制度等管理层面采取防范措施，才能真正实现信息安全管理的目标。我行在信息科技治理方面的措施主要包括三个方面。首先，认真学习和领会监管机构对信息技术风险控制的要求，吸收借鉴同业经验，将监管要求和同业经验转化为行内工作规范，建立系统完善的信息技术风险管理组织架构和机制，建立了三道防线、三个小组和三项机制。三道防线是明确了信息技术部、合规部、稽核部为主体的信息技术风险三道防线的职能分工;三个小组是成立了信息系统突发事件应急领导小组、应急处置小组和支持保障小组，做好突发事件应急处理;三项机制是信息技术风险管理保障机制、信息技术风险评估和预警机制及信息技术风险应急处置机制。
其次，建立健全信息科技规章制度。为了做好制度建设，我行信息技术部专门制定了《科技规章制度管理办法》，明确了信息科技相关制度制定、修订、废止的流程和审批制度。在管理办法的指引下，切实抓好制度建设，近两年每年制定、修订的制度都在20项以上，形成了总数达到60余个的全行科技规章制度体系。同时加强制度的宣讲、检查、整改机制。对于新建立的制度，制定一项，宣讲一项，检查一项，违章整改一项。再次，加强信息安全队伍建设，提髙员工信息安全风险防范意识和水平，通过理论和实践的结合，培养髙素质的信息安全管理团队。去年我行在总行各部门和各分行科技部设立了信息安全岗，专门负责组织、落实本单位的信息安全管理工作。为了提髙信息安全岗人员的知识水平和操作技能，我行与广州市信息安全协会共同设计了培训课程，组织总行信息安全岗人员和总行信息技术部相关岗位人员分批参加了信息安全继续教育培训，实现总行信息安全岗满足《广东省公安厅关于计算机信息系统安全保护的实施办法》中关于持证上岗的监管要求，今年将实现分行信息安全岗全部持证上岗。我们同时认识到，信息科技风险防范不仅是信息安全岗的事情，而且是全体员工的基本任务。因此正在组织编写全员信息安全手册，对于桌面电脑安全、信息保密等基础信息安全知识开展普及教育，届时将人手一册，确保全体员工了解并遵守信息安全管理要求。
第三，采取有效的信息科技风险管理的手段防范和化解信息安全风险。首先，持续开展信息科技风险检查、评估、整改这一不断循环、螺旋上升的工作。一方面认真开展内部审计和外部审计工作，通过审计发现制度、流程、操作等方面中的风险;另一方面积极组织信息技术部的风险自查，每月定期开展总分行数据中心机房现场检查，每季度开展数据库操作、用户管理等髙风险操作的专项检查。根据审计要求和自查结果，严格落实风险整改工作，将整改任务落实到每季度、每月、每周的科技工作计划中。同时逐步扩大风险检查的广度和深度，主动发现并积极防范风险，通过风险整改实现持续改进。其次，严抓四方面的生产运行安全管理工作：一是完善基础设施建设，化解机房环境、硬件设备等基础设施的风险;二是建立和完善灾难备份中心，做好业务连续性建设;三是提升运行管理的水平，推进运行流程化和集中化管理，防范操作风险，确保信息系统的安全稳定运行。四是完善应急预案，积极组织开展应急演练，切实提髙风险防控水平。
记者：信息科技风险管理有时会影响效率，您如何看待这两个因素的平衡?
新标准更关注业务
IT治理的驱动力意在从董事会等治理层面确立IT的价值和投资的决策机制，确保IT战略与业务战略的一致性，革新性地驱动业务的发展。信息安全管理新标准从风险与成本的平衡过渡，到要定期报告信息安全管理绩效，反映了信息安全管理标准的发展进入成熟期，也反映了治理层面更加重视对信息安全投入的预期监控，同时对风险管理的度量也是相关方、管理层共同关心的话题。
信息安全的目标是与业务的发展目标高度一致的，因此新标准要求信息安全风险管理要聚焦信息，而信息是融合在整个业务流程中的。新的标准摒弃了原来识别资产、资产威胁与脆弱性的方法论，肯定了管理层面以业务价值为基础，识别信息、确定信息的价值，也更方便与其他以业务流程为基础的ISO管理标准相融合。
由于更加关注业务，新标准要求对业务、对组织目标的理解，从内外部环境包括宏观政策、技术发展、行业动向、微观的组织环境来分析，此外还要考虑环境因素对业务的影响和对信息安全的要求。
信息安全风险在新标准里变得更加生动、中性。新标准要求定义风险责任人，这个责任人更可能是业务的负责人或某项具体活动的负责人，而不仅仅是IT人员。对信息安全风险的偏好与态度完全与组织的全面风险管理框架相融合。
IT技术对新标准的影响
云技术的广泛应用、外包业务的兴起，让供应链的安全风险管理从组织的战略层面到日常运作层面都要进行识别、利用、控制。新标准新增供应链关系管理，关注供应链关系中的信息安全和服务商交付过程的信息安全。
同时，大数据的兴起使得数据泄露的风险加大，标准将加密控制从一个控制目标项上升为一个控制域；此外，移动互联影响着人们的生活和办公，新标准也新增了移动设备使用的安全策略。
在组织层面，除了日常运作，管理者还需特别考虑项目的信息安全管理，这也是新增控制项。同时，完善了系统开发的全生命周期信息安全管理，包括需求分析、开发环境、测试数据保护、测试验收、变更管理、开发外包管理等控制项。
新技术和风险点的出现，使得风险处理采取的控制措施不再拘泥于附录A。附录A仅作为基本必须的选项（见标准条款 6.1.3c）。
从结构来说，新版标准与其他ISO系列标准的框架完全一致，遵从“ISO导则83”，这是ISO管理体系认证标准的基本框架，方便与ISO其他管理体系的整合。
随着宽带网络和用户规模的不断增长，用户对宽带接入业务的高可用性要求不断增强，对电信运营商在IP城域、接入网络和支撑系统提出了更高的安全性要求。本文从信息安全管理的理念、方法学和相关技术入手，结合电信IP城域网，提出电信IP城域网安全管理、风险评估和加固的实践方法建议。
关键字（Keywords）：
安全管理、风险、弱点、评估、城域网、IP、AAA、DNS
1信息安全管理概述
普遍意义上，对信息安全的定义是“保护信息系统和信息，防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏，保证信息系统能够连续、可靠、正常的运行”。所以说信息安全应该理解为一个动态的管理过程，通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足。这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“真实性”等。
信息安全管理的本质，可以看作是动态地对信息安全风险的管理，即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO15408－1（信息安全风险管理和评估规则），给出了一个非常经典的信息安全风险管理模型，如下图一所示：
图一信息安全风险管理模型
既然信息安全是一个管理过程，则对PDCA模型有适用性，结合信息安全管理相关标准BS7799(ISO17799),信息安全管理过程就是PLAN-DO-CHECK-ACT（计划－实施与部署－监控与评估－维护和改进）的循环过程。
图二信息安全体系的“PDCA”管理模型
2建立信息安全管理体系的主要步骤
如图二所示，在PLAN阶段，就需要遵照BS7799等相关标准、结合企业信息系统实际情况，建设适合于自身的ISMS信息安全管理体系，ISMS的构建包含以下主要步骤：
（1）确定ISMS的范畴和安全边界
（2）在范畴内定义信息安全策略、方针和指南
（3）对范畴内的相关信息和信息系统进行风险评估
a)Planning（规划）
b)InformationGathering（信息搜集）
c)RiskAnalysis（风险分析）
uAssetsIdentification&valuation(资产鉴别与资产评估)
uThreatAnalysis（威胁分析）
uVulnerabilityAnalysis（弱点分析）
u资产/威胁/弱点的映射表
uImpact&LikelihoodAssessment（影响和可能性评估）
uRiskResultAnalysis（风险结果分析）
d)Identifying&SelectingSafeguards（鉴别和选择防护措施）
e)Monitoring&Implementation（监控和实施）
f)Effectestimation（效果检查与评估）
（4）实施和运营初步的ISMS体系
（5）对ISMS运营的过程和效果进行监控
（6）在运营中对ISMS进行不断优化
3IP宽带网络安全风险管理主要实践步骤
目前，宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高，且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理，以使得能够动态的了解、管理和控制各种可能存在的安全风险。
由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍，所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段，进行项目实践：
3.1项目准备阶段。
a)主要搜集和分析与项目相关的背景信息；
b)和客户沟通并明确项目范围、目标与蓝图；
c)建议并明确项目成员组成和分工；
d)对项目约束条件和风险进行声明；
e)对客户领导和项目成员进行意识、知识或工具培训；
f)汇报项目进度计划并获得客户领导批准等。
3.2项目执行阶段。
a)在项目范围内进行安全域划分；
b)分安全域进行资料搜集和访谈，包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等；
c)在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析，形成资产表、威胁评估表、风险评估表和风险关系映射表；
d)对存在的主要风险进行风险等级综合评价，并按照重要次序，给出相应的防护措施选择和风险处置建议。
3.3项目总结阶段
a)项目中产生的策略、指南等文档进行审核和批准；
b)对项目资产鉴别报告、风险分析报告进行审核和批准；
c)对需要进行的相关风险处置建议进行项目安排；
4IP宽带网络安全风险管理实践要点分析
运营商IP宽带网络和常见的针对以主机为核心的IT系统的安全风险管理不同，其覆盖的范围和影响因素有很大差异性。所以不能直接套用通用的风险管理的方法和资料。在项目执行的不同阶段，需要特别注意以下要点：
4.1安全目标
充分保证自身IP宽带网络及相关管理支撑系统的安全性、保证客户的业务可用性和质量。
4.2项目范畴
应该包含宽带IP骨干网、IP城域网、IP接入网及接入网关设备、管理支撑系统：如网管系统、AAA平台、DNS等。
4.3项目成员
应该得到运营商高层领导的明确支持，项目组长应该具备管理大型安全咨询项目经验的人承担，且项目成员除了包含一些专业安全评估人员之外，还应该包含与宽带IP相关的“业务与网络规划”、“设备与系统维护”、“业务管理”和“相关系统集成商和软件开发商”人员。
4.4背景信息搜集：
背景信息搜集之前，应该对信息搜集对象进行分组，即分为IP骨干网小组、IP接入网小组、管理支撑系统小组等。分组搜集的信息应包含：
a)IP宽带网络总体架构
b)城域网结构和配置
c)接入网结构和配置
d)AAA平台系统结构和配置
e)DNS系统结构和配置
f)相关主机和设备的软硬件信息
g)相关业务操作规范、流程和接口
h)相关业务数据的生成、存储和安全需求信息
i)已有的安全事故记录
j)已有的安全产品和已经部署的安全控制措施
k)相关机房的物理环境信息
l)已有的安全管理策略、规定和指南
m)其它相关
4.5资产鉴别
资产鉴别应该自顶向下进行鉴别，必须具备层次性。最顶层可以将资产鉴别为城域网、接入网、AAA平台、DNS平台、网管系统等一级资产组；然后可以在一级资产组内，按照功能或地域进行划分二级资产组，如AAA平台一级资产组可以划分为RADIUS组、DB组、计费组、网络通信设备组等二级资产组；进一步可以针对各个二级资产组的每个设备进行更为细致的资产鉴别，鉴别其设备类型、地址配置、软硬件配置等信息。
4.6威胁分析
威胁分析应该具有针对性，即按照不同的资产组进行针对性威胁分析。如针对IP城域网，其主要风险可能是：蠕虫、P2P、路由攻击、路由设备入侵等；而对于DNS或AAA平台，其主要风险可能包括：主机病毒、后门程序、应用服务的DOS攻击、主机入侵、数据库攻击、DNS钓鱼等。
4.7威胁影响分析
是指对不同威胁其可能造成的危害进行评定，作为下一步是否采取或采取何种处置措施的参考依据。在威胁影响分析中应该充分参考运营商意见，尤其要充分考虑威胁发生后可能造成的社会影响和信誉影响。
4.8威胁可能性分析
是指某种威胁可能发生的概率，其发生概率评定非常困难，所以一般情况下都应该采用定性的分析方法，制定出一套评价规则，主要由运营商管理人员按照规则进行评价。
购物车(0)