浅析信息安全风险评估在供电企业的实践

《浅析信息安全风险评估在供电企业的实践》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、SANGFOR漯谯腰科技lll⋯⋯⋯⋯⋯⋯⋯⋯浅析信息安全风险评估在供电企业的实践杨小宁，李晓娥(宝鸡供电局，陕西宝鸡721004)摘要：介绍了信息安全风险评估的基本概念，通过本次风险评估，对宝鸡供电局的网络、业务应用系统基础数据以及现有的安全措施等方面进行数据采集，分析，发现信息系统中存在的安全风险，并针对存在的这些安全隐患和风险等脆弱性方面进行信息安全加固，以保障电力系统信息的安全稳定运行。关键词：风险评估；资产；脆弱性O弓l言1风险评估概念、流程及评提供建议。随着整个社会信息化的迅速发估工具资产：对组织具有价值的信息展，国家信息化战略的实施，电力信资产

2、，包括计算机硬件、通信设息化取得了长足的进展，也取得了一1．1风险评估中的相关概念施、数据库、文档信息、软件、信系列成果。电力信息化系统已经成为风险评估：是对信息资产及其息服务和人员等，进行妥善保护。电力企业生产和管理离不开的有效工价值、面临的威胁、存在的弱点，资产评估：是确定资产的信息具。如果说过去l0年电力信息技术以及三者综合作用而带来风险的大安全属性(机密性、完整性、可用的发展主要致力于如何实现互联，小或水平的评估。风险评估是通过性等)受到破坏而对信息系统造成那么未来10年电力信息技术的发展脆弱点发现、威胁分析等手段对信的影响的评估过程。在风险评估将侧

3、重于安全防护。息系统的安全风险状况进行掌握和中，资产评估包含信息资产识别、随着电力信息化建设的日益深了解的过程。其主要目的是发现系资产赋值等内容。入，信息系统覆盖整个企业生命周统现有的安全风险，并对风险数据威胁：可能对资产或组织造成期是不争的未来趋势，信息安全工进行合理分析和判断的基础上提出损害的某种安全事件发生的潜在原作将只有起点，没有终点。为了适解决方法，为提高系统的安全水平因，需要识别出威胁源或威胁代理。应国家电网公司一体化企业信息系提供基础数据依据和实施指导。通统安全防护的要求，宝鸡供电局过评估掌握并一定程度量化信息系威胁评估：分为威胁识别和威遵循《

4、国家电网公司信息安全风统安全现状和存在的各种安全风胁赋值2部分内容。威胁识别通常险评估指南进行了信息系统安险；在风险数据分析的基础上，对依据威胁列表对历史事件进行分析全风险评估。改进与完善信息系统现有安全水平和判断获得。2Ol0年第8卷第2期目ELECTRICPOWERIT系估是通过运行拾杏雪统通讯环境霎竺篡多种方式：的理系统脆弱性进行发现的昌粥糸统产管篓、营销系统和安全生安评环竺查评_姜深度评据库s务QL系统Ser—划磊图1信息安全风险评估流、ver~程Webiogic应用进行了配置审计～安全芏SlANGFOR深僧摄科技．⋯⋯⋯⋯⋯⋯⋯⋯2．1．5现有安全

5、措施评估恶意软件等情况，以了解信息系统安全等；中PC终端的整体安全情况。现有安全措施评估包括对现有技术性：身份识别与认证、逻安全设备的人工评审和现有安全措PC终端是日常办公、业务应用辑访问控制、日志审计、加密等。施效果分析。的基础设备，因使用者技术水平和从功能来看，控制措施类型包安全意识的差别，安全状况也不尽通过对现有安全设备的检查，括以下4种(见图3)：威慑性、预相同。本次评估对l3台PC终端进行评估其自身是否存在安全隐患。防性、检测性、纠正性。厂人工审计。PC终端主机的安全评通过对现有安全措施效果的分估主要针对PC终端的Windows操作3安全加固过程及

6、实施析，判别已部署的和已经规划的安系统进行。安全加固是对安全评估中发现全防护措施是否合理，以及这些安2．{．8渗透检测的安全隐患进行修补和规避选择的全措施的使用是否达到了部署的目过程，根据发现的安全隐患，结合的，能否真实地降低系统的脆弱性在本次评估中，分别对内部网测评对象自身的操作系统、基础应和抵御威胁，为今后安全改进提供站、外部站、班组管理、0A、营用、业务关系、管理方式等特点进依据和参考。销、生产管理系统等基础信息服务行修补和加固，对无法修补的安全和业务应用系统进行了安全性渗透现有安全措施评估共涉及防病隐患提出规避和建议，做到未雨绸测试。对随机抽选的终端

7、主机是否毒系统、安全接入认证系统、防火缪，提高企业信息系统整体的安全有驻留木马、蠕虫、恶意软件等情墙和VPN等4方面的内容。水平。通过上述信息系统的评估，况进行的检查，主要通过人工查看2．1．6安全管理评估并且针对核查的安全现状，生成了和工具检查2种方式来进行。相关的评估报告，根据此报告，制安全管理评估是参照ISO17799／2．2信息安全存在的脆弱性定了相应的安全加固方案，并对信BS7799信息安全管理标准，通过管通过安全评估，发现在基础网息系统存在的安全隐患和问题进行理审计和访谈的方式，了解计算机络、基础信息、业务系统、现有安加固实施。信息系统的安全管理

8、现状及存在的全措施等方面均存在一些脆弱性，弱点，为风