实时的安全风险管理体系
赵 粮（冠群电脑有限公司）
裘晓峰（北京邮电大学）
2004-4-29
1 从风险评估到风险管理
网络安全体系的目的是保障关键信息设施的资产和服务，提供适度的安全保护，即根据每种（个）
信息资产(Asset)的价值、面临的威胁(Threat)和安全风险（Risk）来确定相应的安全防护措施和力
度，做到“重点防护”、“适度安全”。要做到这一点，风险评估是一个重要环节。
风险评估作为成型的技术已经有数年的历史了，同时，风险评估也是安全专业服务中最为成熟的一
个内容之一。近年来，国内的知名企业、机构几乎都开展、购买了专业的安全风险评估服务。风险
评估的目的是帮助识别信息设施中的资产，分析判断其价值、存在的脆弱性和面临的安全威胁，从
而获得该资产或资产组的安全风险情况，继而可以采取针对性的安全防护措施，提高安全体系的投
资效率。
我们知道，风险评估本身不是目的，最终的目的是消除风险、控制风险，在保证投入回报的前提下
管理安全风险。一般来说，风险评估是风险管理活动的基础，帮助建立起风险管理的基线。定期的
评估活动可以用来审计和考核安全风险管理的效果和效率。本文尝试着讨论建设实时的风险管理体
系的可行性，提出一种实用模型。
2 安全风险
安全风险具有非常广泛的含义，本文中使用较为通用的风险模型：安全风险由资产价值、脆弱性和
威胁来决定：
Risk（t） = R(A,T,V,t)
其中，t代表某个时刻，A代表该资产的价值，T代表该资产面临的威胁，V代表该资产存在的脆弱
性（安全漏洞）, 表示对风险管理范围下的资产求和，R代表某种函数关系。通常，在常见的半定
量评估过程中，该函数有时采用简单的乘积来计算。
资产价值
信息资产以多种形式存在，无形的、有形的，有硬件、有软件，有文档、代码，也有服务、企业形
象等。它们分别具有不同的价值属性和存在特点，存在的脆弱性、面临的威胁、需要进行的安全保
护和安全控制都各不相同。若干具有很强的内在业务关联和依赖关系的资产可以构成一个资产组。
评论0