|
审计方法一般有使用安全审计分析软件、审计员人工审计以及安全审计软件和人工审计相结合的审计方法。
审计分析工作是个复杂的过程，在审计分析时要有敏锐的意识、快速的反映能力，能够将多种事件相关联，分析其隐藏的漏洞和威胁。
4 涉密信息系统风险评估
涉密信息系统风险评估预见性的对信息系统各生命周期进行评估计算，了解信息系统目前与未来的风险所在，评估这些风险可能带来的安全威胁与影响程度。没有准确及时的风险评估，就无法对系统的信息安全状况做出准确的判断。
涉密信息系统风险评估主要围绕着四要素展开：信息资产、威胁、脆弱性和风险分析。其中信息资产是对企业、机构具有价值的信息或资源，是安全策略保护的对象。威胁是对企业、机构及其资产构成潜在破坏的可能性因素或者事件。脆弱性是被评估资产本身存在的弱点，它可以被威胁利用、引起资产的损害，是风险评估中重要的内容。风险分析是对风险的认识制定相应的策略、做出有力的抵御、降低风险。
风险的计算方法：风险值=R（A，T，V）=R（L（T，V），F（Wa，Va））
其中，R表示安全风险计算函数；A表示资产值； V 表示脆弱性；T表示威胁； Wa表示安全事件所作用的资产价值； Va表示资产脆弱性严重程度；L表示威胁利用资产的脆弱性导致安全事件的可能性；F 表示安全事件发生后造成的损失。
为实现对风险的控制与管理，可以对风险值进行等级化处理，可将风险划分为五级，等级越高，风险越高。
5 安全保密策略、安全审计、风险评估之间的关系
信息系统的安全是一个动态的复杂过程，它贯穿于信息系统的整个生命周期。安全保密策略、安全审计、风险评估正是让这个动态的复杂的安全管理体系形成一个闭环。
安全保密策略担任着指导员的角色，指导和规范涉密信息系统各类操作和流程的具体操作实施，使相关人员有章可循，知道什么能做，什么不能做以及怎样做。
安全审及担任着巡视员的角色，通过巡查记录了系统总体运行情况，及时发现系统中的安全隐患或安全事件，对系统进行相应的修补或补救。通过安全审计工作，管理人员能够清楚系统内安全策略的执行情况，为信息系统安全保密策略制定、风险评估提供数据支撑。
风险评估担任着评估员的角色，通过开展信息安全风险评估工作，可以发现信息系统安全防护存在的问题和薄弱环节，并通过风险评估分析法，科学分析系统面临的风险，为风险预防、风险控制、风险转移、风险分散等决策提供理论支持。风险评估结果为安全保密策略调整和更新指明了方向，是制订安全策略和实施安全防护措施的依据。可以说风险评估是信息系统安全建设的起点和基础。
6 结束语
安全保密策略是涉密信息系统安全运行的依据，安全审计是及时发现涉密信息系统安全隐患和安全事件的有力手段，风险评估是准确定位系统风险点及风险值的分析方法。
合理的安全保密策略、安全审计、风险评估是建立一套针对企业自身特点的涉密信息系统安全保密管理体系的重要组成要素，只有将三者互相联系起来，结合信息系统的组织体系、安全体系，才能整体提高涉密信息系统的安全稳定性。
参考文献
[1] 杜虹.涉密信息系统安全风险评估的探讨[J].信息安全与通信保密，2004，6：20-23.
[2] 何东璠.涉密信息系统安全保密策略架构分析[J].保密科学技术，2011，05：53-54.
[3] 张文涛.信息化环境下安全保密工作探讨[J].保密科学技术，2011，08：40-41.
[4] 郭夏言.基于ISMS思想的涉密信息系统安全保密管理体系框架研究与构建[J].保密科学技术，2011，08：14-16.
|
|
核心期刊网（www.hexinqk.com）秉承“诚以为基，信以为本”的宗旨，为广大学者老师提供投稿辅导、写作指导、核心期刊推荐等服务。 核心期刊网专业期刊发表机构，为学术研究工作者解决北大核心、CSSCI核心、统计源核心、EI核心等投稿辅导咨询与写作指导的问题。 投稿辅导咨询电话：18915033935 投稿辅导客服QQ： 投稿辅导投稿邮箱：1003158336@qq.com |
| 你好，欢迎来到！ 设为首页 ｜收藏本站 | ||
|
