CISP-信息安全评估

# 一、风险评估基础

# 1. 风险评估概念与定义

核心定义：识别信息化系统中的安全问题（风险），并通过技术手段将其处理或降低至可接受程度的过程。又称信息安全评估，风险管理狭义指风险评估，广义则包含后续管理措施。

本质理解：信息安全工作的核心实质是风险管理过程，遵循 "发现问题 → 分析问题 → 解决问题" 的网络安全工作闭环。类比医疗诊断过程，需先确定病症（风险识别）再针对性治疗（风险处置）。

双重功能：

• 识别：发现信息化系统中可能造成破坏的安全因素
• 评价：对风险事件发生的可能性及潜在损失程度进行分级评估

过程特性：是动态持续的过程而非一次性活动。典型示例：将风险分为高危 / 中危 / 低危等级，类似漏洞分级管理。

狭义与广义：

• 广义：包含消防安全评估、物理安全评估等综合安全领域
• 狭义：特指网络安全风险评估，聚焦 IT 系统存在的安全问题

确定需求的重要途径：通过风险评估验证功能需求是否存在安全隐患（如文件上传功能可能引发数据泄露），兼具事后改进与事前预防的双重作用。

实践意义：通过风险评估可明确网络安全工作的具体内容和方向，是基础性防护措施 —— 如同检查家中门窗是否关闭。

# 2. 风险评估核心要素

风险评估涉及六大核心要素，要素之间存在相互作用关系：

记忆口诀："漏洞是自己的，威胁是外头的"—— 清晰区分内部脆弱性与外部威胁的归属关系。

# ① 信息安全风险

定义：人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。

要点：

• 仅考虑对组织有负面影响的事件
• 风险永远存在，任何信息化系统都存在风险，即使采用最顶级的安全设备也无法完全消除

# ② 资产

范畴：

• 有形资产：物理设备、机房等可量化资产
• 无形资产：数据、名誉（如雷军人设）、知识产权等

价值评估标准：

• 非经济衡量：不以购置成本计价，取决于安全属性达成度
• 三维度评估：机密性 (C)、完整性 (I)、可用性 (A) 三属性未达标时的影响程度
  • 三者损失的总和才是资产的真实总价值
  • 价值构成：直接价值（资产本身）+ 使用价值（业务支撑）+ 安全价值（CIA 三属性）

示例：名誉资产 —— 公众人物形象崩塌导致商业价值骤降；知识产权 —— 商标抢注造成的品牌损失；数据资产 —— 核心业务数据泄露引发的连锁损失。

# ③ 威胁

定义：可能导致对系统或组织危害的不希望事故的潜在起因，是引起风险的外因。

描述维度：可通过威胁主体、资源、动机、途径等多种属性描述。

分类：

典型案例：电信诈骗中骗子（外部威胁）利用受害者的善良（内部脆弱性）实施攻击。

# ④ 脆弱性

定义：资产本身存在的薄弱环节，属于内部因素。单纯的脆弱性不会造成损害，必须与威胁结合才会产生危害。

三性特征：

• 隐蔽性：常规扫描难以发现（如隐藏接口）
• 欺骗性：伪装正常功能（如多接口组合攻击）
• 复杂性：多因素耦合触发（如三个无漏洞接口组合成漏洞）

漏洞类型：

• 技术漏洞：如系统未打补丁、隐蔽端口（欺骗性漏洞）
• 管理漏洞：如接口组合漏洞（案例：58 同城简历泄露）

验证原则：必须验证漏洞的可利用性，否则不视为有效漏洞。

# ⑤ 安全措施

作用：保护资产、抵御威胁、减少脆弱性、降低安全事件影响，打击信息犯罪。

实施方式：包括各种实践、规程和机制。

措施类型：

# ⑥ 残余风险

概念：采取安全措施后信息系统仍然可能存在的风险，说明安全措施不能完全消除风险。

管理要点：

• 残余风险通常采取监控而非直接处理
• 监控中发现风险增大时需及时处理
• 需将风险降低至组织可接受水平（如小规模攻击可容忍）
• 部分残余风险在可控范围内可接受

# 3. 风险评估价值与主要任务

核心四要素任务：

1. 资产识别：服务器、数据等有形 / 无形资产
2. 威胁识别：人为攻击、自然灾害等
3. 脆弱性分析：系统漏洞、配置缺陷等
4. 影响评估：可能造成的负面后果

防护理念：

• 渗透测试通过模拟攻击验证系统实际防护能力
• 强调 "以攻促防" 的安全建设思路
• 风险评估属于信息安全管理范畴，通过技术手段实现管理目标

风险评估工具：

• 方法体系：包含风险评估模型、标准规范等专家知识体系
• 建设原则：
  • 适度安全：根据业务优先级实施差异化防护
  • 同步建设：安全措施与业务系统同步规划建设
• 实用工具链：管理工具（MBSA）、技术工具（漏扫 / 渗透）、辅助工具（风险赋值模型）

# 二、风险评估方式

# 1. 按实现途径

# 2. 按发起方式

# 三、风险评估方法

# 1. 定量分析法

基于客观数据，通过数学计算得出风险值。

关键参数：

核心公式：

SLE = AV × EF
ALE = SLE × ARO
ROSI = (ALE(前) - ALE(后)) - 措施成本

# 案例：火灾风险评估

案例背景：

• 三年前：机房资产价值 100 万，因火灾损失 10 万 → EF = 10%
• 当前：机房资产价值增至 1000 万
• 历史数据：过去五年发生 3 次火灾 → ARO = 3/5 = 0.6

计算过程：

• 当前 SLE = AV × EF = 1000 万 × 10% = 100 万
• 当前 ALE = SLE × ARO = 100 万 × 0.6 = 60 万 / 年

风险决策：

• 若组织希望将损失降低 70%，则目标 ALE = 60 万 × (1 - 70%) = 18 万 / 年
• 需降低的风险 = 60 万 - 18 万 = 42 万
• 若安全措施成本为 12.6 万
• ROSI = (60 万 - 18 万) - 12.6 万 = 29.4 万（正收益，措施可行）

局限性与定量分析局限性：

• 数据可靠性：历史损失比例（EF）可能随资产规模变化
• 未来事件发生率难以准确预测
• 目前企业采用较少，更多依赖专家经验的定性分析

# 2. 定性分析法

目前采用最广泛的主观评估方法，主要依赖分析者的经验直觉或业界标准惯例。

# 风险评估矩阵

评估维度（5 级制）：

矩阵计算：

风险值 = 可能性等级 × 影响等级

风险等级划分：

# 典型案例分析

案例一：陨石袭击

• 可能性：1 级（很罕见，100 年未发生）
• 影响：5 级（灾难性死亡）
• 风险值：1 × 5 = 5（低风险）
• 结论：可接受风险

案例二：电动车碰撞

• 可能性：4 级（很可能是 1% 发生率）
• 影响：3 级（中等伤害）
• 风险值：4 × 3 = 12（严重风险 / 重风险）
• 结论：需重点防控

# 行业应用

• 参考 OWASP Top 10 等业界标准（如 SQL 注入属 "几乎肯定" 发生）
• 专家经验类比：类似医生通过病例积累判断风险概率
• 实际应用：类似疫情风险分级管理机制

# 3. 公式体系对照（易混淆点澄清）

GB/T 20984 标准下，不同层面的风险计算公式如下，注意区分使用场景：

考试注意：不同公式用于不同上下文，需根据题目提示判断使用哪个公式体系。GB/T 20984 标准中，关键符号含义：ia 为资产价值，va 为脆弱性程度；先计算可能性（F = T × V），再计算损失（L = Ia × Va），最终得到风险值 R = F (F, L)。

# 四、风险评估实施流程

# 流程总览

风险评估完整流程分为四个阶段：

准备阶段 → 识别阶段 → 分析阶段 → 结果判定阶段
                ↓                           ↓
          风险处理计划 ← ← ← ← ← ← ← ← ← ← ←
                ↓
          残余风险评估

# 1. 准备阶段

战略意义：需考虑业务战略、业务流程、安全需求等组织战略因素。

关键要素：

• 团队组建：需包含管理层、业务骨干、IT 技术人员的三方协同
• 领导支持：必须获得最高管理者书面批准（签字盖章），用于跨部门协调

文档输出：风险评估方案、工具列表

# 2. 识别阶段

# ① 资产识别

法定分类（GB/T 20984）：数据、软件、硬件、服务、人员、其他共六类。

形态区分：有形资产（物理设备）与无形资产（数据、商誉）。

分级维度：

• 保密性 / 完整性 / 可用性三属性分级
• 重要性分级（1~5 级，5 级为最高）

识别要素：

• 资产管理者 / 使用者身份
• 业务功能与数据流向
• 网络拓扑与系统边界

实施方法：

• 问卷调查与现场面谈结合
• 需收集硬件型号、软件版本等详细信息

资产等级划分与赋值：

• 1 级：影响可忽略
• 5 级：造成严重损失
• 需参考已有数据分类分级结果，避免重复工作

资产价值评估：

• 直接价值（资产本身价值）
• 使用价值（业务支撑价值）
• 安全价值（CIA 三属性价值）
• 评估基础：必须基于机密性、完整性、可用性三个安全属性综合评定

# ② 威胁识别

分类依据：自然因素（地震、火灾）和人为因素（黑客攻击、钓鱼攻击）。

定级标准：

漏洞探测方法：

• 技术手段：渗透测试、钓鱼测试
• 验证原则：必须验证漏洞可利用性，否则不视为有效漏洞

漏洞等级评价：

• 5 级（很高）：造成完全损害（如系统瘫痪）
• 4 级（高）：重大损害（如核心数据泄露）
• 3 级（中）：局部功能影响
• 判定依据：结合被利用成功率和损失程度

# ③ 脆弱性识别

• 与威胁的关系：威胁通过利用脆弱性造成实际危害，二者是风险形成的必要条件
• 自然威胁（如地震、爆炸）可直接引发风险，无需通过脆弱性

文档输出：资产清单、威胁列表、脆弱性列表、已有安全措施列表

# 3. 分析阶段（风险计算）

风险形成机制：

• 双要素构成：必须同时存在威胁和脆弱性才会产生风险（黑客 + 漏洞组合）
• 例外情况：自然威胁（如地震、爆炸）可直接引发风险

风险传导路径：

威胁利用脆弱性 → 产生安全事件 → 影响资产价值

资产价值损失程度决定风险严重性（如 1000 万资产可能损失 2000 万）。

防护措施设计：

• 需求来源：根据风险评估结果导出安全需求（如 "防止名誉受损"）
• 实施手段：通过技术（防火墙、VPN）和管理（网络安全法威慑）双维度控制
• 措施靶向：针对性消除威胁源或修补脆弱性（补丁管理、访问控制）

# GB/T 20984 风险计算模型

安全事件可能性 L = T（威胁出现频率）× V（脆弱性等级）
安全事件损失   F = Ia（资产价值）× Va（脆弱性严重程度）
风险值         R = F(L, F)           ← 可能性和损失的函数

计算流程：

1. 先计算可能性（L = T × V）
2. 再计算损失（F = Ia × Va）
3. 最终得到风险值（R = F (L, F)）

案例：高频威胁（T=5）结合高危漏洞（V=5）→ 极高可能性；千万资产遭遇完全损害 → 损失 100 万。

# 4. 结果判定阶段

风险等级划分标准（同定性分析矩阵判据）：

输出文档：

• 《风险程度等级列表》
• 《风险评估报告》

报告需明确说明系统（如 OA 系统、CRM 系统）的风险级别。

# 5. 风险处理计划

处理方式：

决策流程：

1. 评估措施效力与风险承受能力
2. 当风险大于获益且超出承受能力时不可接受
3. 需制定包含管理措施和技术措施的风险处理计划

# 6. 残余风险评估

评估要点：

• 实施安全措施后需进行再评估
• 判断残余风险是否降至可接受水平
• 对仍不可接受的风险考虑是否接受或增加措施

监控机制：

• 残余风险通常采取监控而非直接处理
• 监控中发现风险增大时需及时处理
• 部分残余风险在可控范围内可接受

# 7. 风险评估文档

各阶段输出文档汇总：

考试重点：需掌握各文档所属阶段（如威胁列表属于识别阶段）。

# 五、信息安全评估标准

# 1. 标准发展演化

国际标准演进历程：

1985年 TCSEC（美国国防部，橙皮书）
   ↓
1991年 ITSEC（欧洲，在TCSEC基础上扩展）
   ↓
1993年 CTCPEC（加拿大）
   ↓
1996年 CC 1.0（通用准则）
   ↓
1998年 CC 2.0 → 推动成为 ISO 15408 国际标准
   ↓
1999年 ISO/IEC 15408-1999 正式发布
   ↓        （等同采用）
2008年 GB/T 18336（中国国家标准）

标准制定的技术主权意义：标准制定权体现技术主导权（如 5G 标准竞争案例），美国通过标准国际化实现技术输出控制。

中国标准体系：

• TC260：全国信息安全标准化技术委员会（俗称 "新安标委"）
• GB：国家强制标准
• GB/T：国家推荐标准
• GB/Z：国家指导性标准

# 2. TCSEC（可信计算机系统评估标准）

• 发布机构：美国国防部国家安全局（NCSC）
• 别称：橙皮书 / 橘皮书（彩虹系列核心出版物）
• 有效期：1983~2005 年（后被 CC 标准取代）

等级划分：

D（最低）→ C1 → C2 → B1 → B2 → B3 → A1（最高）

• 关键等级：B1 为强制保护起始级别
• 历史地位：首个系统化计算机安全评估标准，开创 "分级评估" 方法论先河，核心思想仍存在于现代评估标准中
• 演进影响：直接影响我国等保分级制度设计

# 3. ITSEC（信息技术安全评估标准）

背景：在 TCSEC 基础上发展而来，旨在超越 TCSEC 的评估范围。

级别划分：

• 将安全级别扩展到 10 个级别（TCSEC 仅 D~A1 共 5 级）
• 新增 F6~F10 级别，专门针对安全保障要求

新增维度：补充了 TCSEC 未涵盖的机密性、完整性、可用性要求。

评估方法：

• 功能部分（F）：明确评估参数（如技术实现、机密性、完整性等），分为 F1~F10 共 10 级
  • F1~F5：对应 TCSEC 的 D 到 A 级
  • F6~F10：新增概念 —— 数据完整性、系统可用性、通信完整性和保密性等
• 保障部分（E）：评估各项功能达到的级别标准，分为 E1~E6 共 6 级
  • E1：基本测试
  • E6：设计与源码在形式上一致

与等级保护对比：

• 相似点：都采用分级评估机制，不同级别对应不同要求
• 差异点：等保根据客体侵害程度强制定级；ITSEC 作为纯评估标准，级别越高代表安全能力越强

# 4. FC（联邦评估准则）

• 制定背景：美国自主制定的 TCSEC 升级标准
• 适用范围：专供美国政府使用，兼顾民用和商用领域
• 核心特点：引入 "保护轮廓" 概念，采用最低安全要求作为基准
• 发展沿革：与 ITSEC 共同演进，最终被通用标准 CC 取代

# 5. CC（通用标准）/ ISO 15408 / GB/T 18336

# 发展背景

为统一 TCSEC、ITSEC 和 FC 等不同安全标准而制定，类似 "秦国统一" 的标准化过程。1999 年成为国际标准 ISO/IEC 15408-1999。

# 核心结构

• 功能需求分为 9 类 63 族
• 保障需求分为 7 类 29 族

# 评估保证级别（EAL）

考试重点：最低级别 EAL1（功能性测试），最高级别 EAL7（形式化验证的设计和测试）。

# GB/T 18336 标准

中国于 2008 年等同采用 ISO 15408 形成的国家标准：

• GB/T 18336.1-2008：定义 IT 安全评估的一般概念和原理
• GB/T 18336.2-2008：建立安全功能要求的标准方法
• GB/T 18336.3-2008：建立安全保证要求的标准方法

# 关键概念

# 评估流程

1. 评估 PP（保护轮廓）
2. 生成 PP 评估结果
3. 评估 ST（安全目标）
4. 评估 TOE（评估对象）
5. 颁发评估证书

参与方：

• TOE 客户（甲方）：提出需求
• 开发者（乙方）：实现方案
• 评估者（第三方）：验证一致性

# 局限性

• 语言问题：采用半形式化语言，难以理解
• 覆盖范围不足：不关注组织 / 人员 / 环境等非 IT 安全措施；仅关注人为威胁，忽略自然灾害等非人为威胁；不涉及物理安全（如电磁干扰）
• 方法缺陷：不包含评估方法学；不包括密码算法质量评估

# 标准意义

• 增强用户对 IT 产品的安全信心
• 促进 IT 产品和系统的安全性
• 消除重复评估
• 国际标准化组织统一准则的成果
• 现有安全准则的总结和兼容
• 采用通用表达方式，架构灵活可扩展

# 6. GB/T 20984 实施框架

• 标准全称：GB/T 20984-2007《信息安全技术 信息安全风险评估规范》
• 核心模型：资产 — 威胁 — 脆弱性关联模型
• 适用场景：国内风险评估实际工作的基础标准框架

安全措施降低风险的两种路径：

1. 消除脆弱性：通过补丁管理、配置加固修复系统漏洞
2. 阻断威胁：通过防火墙、访问控制阻断威胁途径

残余风险判定标准：需将风险降低至组织可接受水平，持续监控。

# 7. 等级保护制度与测评

# 等级保护概述

制度名称：信息安全等级保护制度（等保）

分级依据：根据受侵害对象（个人 / 社会 / 国家）和侵害程度三维矩阵确定，共划分为 5 个保护等级。

损害程度分级：

• 一般损害
• 严重损害
• 特别严重损害

定级方法：采用 3（侵害对象）× 3（损害程度） 矩阵式评估模型。

国家层面示例：

• 三级：国家受到特定程度的侵害
• 四级：国家受到更严重的侵害
• 五级：国家受到特别严重的侵害

# 等级保护测评

基本概念：

• 检测信息系统是否达到相应等级保护要求
• 落实信息安全等级保护制度的关键环节
• 基于 GB/T 18336 标准演化而来，是我国特色的评估体系

测评流程：

1. 测评准备活动
2. 方案编制活动
3. 现场测评活动
4. 分析与报告编制活动

相比 CC 标准，等保测评更关注实际管理措施和物理环境安全。

# 业务连续性事件分级

易混淆点：需注意区分等保的损害程度分级（一般 / 严重 / 特别严重）与安全事件分级（特别重大→一般）。
记忆技巧：事件分级采用 "特别重大→重大→较大→一般" 的递降序列。

# 8. 网络安全法（补充知识）

• 法律结构：共 7 章 79 条
• 重点章节：第六章明确规定违法行为的处罚标准
• 学习要点：
  • 识别违反网络安全法的具体行为
  • 掌握不同违法情形对应的罚款金额
  • 理解法律对安全保护工作的规范要求

# 六、信息系统审计

# 1. 审计概念与定位

• 职能定位：通过审计判断信息系统是否符合规定要求，主要应用于金融机构等对安全性要求高的领域
• 核心目标：检查信息系统及其内部控制的真实性、正确性、完整性、安全性、可靠性和经济性
• 审计内容：分为信息安全技术控制审计（如渗透测试）和信息安全管理控制审计（如账户管理）
• 行业现状：目前除金融证券等强监管行业外，其他行业实施信息系统审计的比例较低

# 2. 审计流程

# 3. 技术控制审计

# 4. 管理控制审计

# 5. 审计报告标准

# 七、知识小结

# 核心知识点速查表

# 标准体系演化速查

TCSEC (橙皮书, D~A1, 1985)
  ↓
ITSEC (F1~F10 + E1~E6)
  ↓
FC (保护轮廓概念)
  ↓
CC (ISO 15408, EAL1~E7)  ──→  GB/T 18336 (中国等同采用)
  ↓
GB/T 20984-2007 (风险评估实施框架)

# 高频考点清单

• 威胁与脆弱性的区别（外因 vs 内因）
• 自然威胁可直接导致风险（无需通过脆弱性）
• EAL 最低级别 EAL1，最高级别 EAL7
• 残余风险需持续监控而非直接处理
• GB/T 20984 标准下风险计算的参数对应关系
• SLE = AV × EF，ALE = SLE × ARO 的计算逻辑
• 风险评估各阶段的输出文档归属
• 等保定级：3（侵害对象）× 3（损害程度）矩阵
• 安全事件分级递降序列：特别重大 → 重大 → 较大 → 一般
• CC 标准三要素：TOE（评估对象）、PP（保护轮廓）、ST（安全目标）

参考标准：

• GB/T 20984-2007《信息安全技术 信息安全风险评估规范》
• GB/T 18336.1~3-2008《信息技术 安全技术 IT 安全评估准则》
• ISO/IEC 15408-1999《信息技术 安全技术 信息技术安全评估准则》
• OWASP Top 10（Web 应用安全风险 Top 10）