管理信息系统风险控制策略的选择

文：鼎捷ERP

作者：鼎捷数智 | 发布时间：2012-11-30 14:50:34

4．6选择风险控制策略
风险控制要为每个漏洞选择4个风险控制策略中的一个。图4-8所示的工作流程图可以决定如何选择4个策略中的一个。如图所示，在信息系统设计好后，就要弄清楚这个受保护的系统是否存在漏洞，是否可以利用。如果答案是肯定的，并且存在威胁，就要检查攻击者可以从成功的攻击中获得什么。要确定这个风险是否能接受，应估算该风险会对机构造成多大的损失。

    下面介绍了选择策略的一些规则，做为进一步的指导。在计算不同策略的益处时，要注意威胁的等级和资产的价值在策略选择中有着非常重要的作用。
    ● 存在漏洞(缺陷或者缺点)：实现安全控制，来减少漏洞被利用的可能性。
    ● 漏洞可以利用：应用分层保护、结构设计和管理控制，使风险降至较小，或者防止风险发生。
    ● 攻击者的开销少于收益：通过保护来增加攻击者的成本(例如，使用管理信息系统控制限制系统用户能够访问的资源，从而明显减少攻击者的收益。
    ● 可能的损失非常大：应用设计原理、建筑设计、技术和非技术保护手段，来限制攻击的范围，从而减少可能的损失。
4．6．1 风险控制的估计、评估及维护
    一旦实现了控制策略，就应对控制效果进行监控和衡量，来确定安全控制的有效性，估计残留风险的准确性。图4-9说明了连续使用此循环过程来确保控制风险的过程。注意这个循环不会终止，只要机构继续运转，这个过程就会继续。

4．6．2控制的种类
为了通过避免、缓解或者转移来控制风险，可实现控制或者安全措施。为了理解此主题，下面给出控制的4种分类方式：
(1)控制功能
(2)体系结构层
(3)策略层
(4)信息安全原则
对控制和安全措施进行分类还有其他方式，但这4种方式全面介绍了此过程，并展示了当前使用的各类控制。
    1．控制功能
    用来保护系统的控制或者安全措施可以是预防性的，也可以是探测性的。预防控制通过强制执行机构的政策或者安全原则，来阻止利用漏洞的企图，比如身份验证或者机密。预防控制使用一种技术方法，比如加密，或者结合技术手段和实施方法。探测控制能够警告机构违反了安全原则、机构政策或者利用漏洞的企图。探测控制使用的技术有审计跟踪、入侵检测以及配置监控。
    2．体系结构层
    一些控制应用于机构技术体系结构的一个或者多个层面。控制可以根据它们应用于一个层面或者多个层面来分类。一些控制(如防火墙)应用于体系结构层面之间的接口，例如在外部网络和外联网之间，或者机构的WAN和LAN之间，作为特定的设备。其他控制，比如所有的密码和SNMP共享设备密码(或者共有字符串)总是使用9位或者更多字符的机构策略，在所有的体系结构层中运行，从外部网络到包括特定应用的层面。通常将下面的实体看做是机构的信息体系结构的独立层：
    ● 机构政策
    ● 外部网络
    ●Extranets(或非军事区)
    ● 内联网(WAN和LAN)
    ● 网络接口区的网络设备(交换机、路由器、防火墙及集线器)
    ● 系统(大型机、服务器及台式计算机)
    ● 应用软件
    3·策略层
    控制有时根据在其内部执行的风险控制策略分类：避免、缓解或者转移。
    4。安全信息的特征
    控制也可以根据安全信息的已普遍认可的特性来分类，如下所示：
    ．机密性：控制确保机构的数据在存储、处理或者传输时的机密性。这类控制的一个例子是，当Web内容从Web服务器转移到浏览器上时，使用SecureSocketsLayer(SSL)加密技术来保护这些内容。
    ．完整性：控制保证协同信息资产以统一和正确的方式，适当、完全和正确地接收、处理、存储以及检索数据。这类控制的一个例子是，在数据传输协议中使用奇偶校验或者循环冗余检查。另一个例子是使用一种产品，比如Tripwire，来监视关键系统文件的内容和结构是否未经许可就发生变化。
    ．可用性：控制保证对关键信息资产的访问权限。例如，部署一个网络操作中心，来使用复杂的网络监视工具，例如Tivoli或者OpenView，保证网络资源可用性。
    ．验证：控制保证访问信息资产的实体(人员或计算机)是他们声称的实体。例如使用加密认证建立SSL连接，或者使用加密硬件令牌，比如SecurID卡，作为身份的第2次验证。
    ．授权：控制保证给特定的用户(人员或者计算机)明确地授权，来访问、更新或者删除信息资产的内容。例如在Windows网络环境中启动并使用访问控制列表和授权组。另一个例子是使用数据库授权计划来验证每项功能的指定用户。
    ．责任：控制保证每个操作都能找到执行它的人员或者OA自动化的程序。例如使用审计日志来跟踪每名用户何时进入或者退出每台计算机。
    ，隐私：控制保证访问、更新或者删除个人可识别信息的过程遵守此类信息的适当法律和政策。