近年來，隨著企事業(yè)單位信息化進程的飛速發(fā)展，對信息系統(tǒng)的依賴性日益增長，信息安全的風險也逐步加大，信息安全界多年的實踐表明，風險評估是信息安全建設的起點，可以幫助信息系統(tǒng)用戶摸清家底，順利進行信息系統(tǒng)規(guī)劃和建設，重視風險評估工作，將幫助用戶信息安全贏在起點。

從國家角度而言，2003年，國家信息化領(lǐng)導小組便頒發(fā)27號文件《關(guān)于加強信息安全保障工作的意見》，意見中對我國信息安全保障工作做出原則性戰(zhàn)略性的規(guī)定，要求之一便是實行風險評估。
作為國家基礎信息網(wǎng)絡，某移動公司也迫切需要提高信息系統(tǒng)的信息安全保障水平，為了更好地促進安全保障工作，某移動公司需要立即啟動一個安全評估和體系規(guī)劃項目，以了解當時的安全現(xiàn)狀，并對今后的安全工作做出指導，該移動公司經(jīng)過對多家信息安全廠商的甄選，最終選擇了由聯(lián)想網(wǎng)御幫助自己實施風險評估。

作為國內(nèi)信息安全領(lǐng)軍企業(yè)，聯(lián)想網(wǎng)御與國家信息中心成立了信息安全風險評估聯(lián)合實驗室，參與了國家《信息安全風險評估指南》、《信息安全風險管理指南》的編寫，是國家風險評估的支撐單位，其信息安全風險評估服務綜合國內(nèi)外相關(guān)標準與業(yè)界最佳實踐，能為用戶清晰地展現(xiàn)信息系統(tǒng)當前的安全現(xiàn)狀，提供公正、客觀、翔實的數(shù)據(jù)作為決策參考，為用戶下一步控制和降低安全風險、改善安全狀況、實施信息系統(tǒng)的風險管理提供依據(jù)。

針對某移動公司信息系統(tǒng)的特點，聯(lián)想網(wǎng)御綜合典型服務流程，為公司的信息系統(tǒng)制訂了個性化風險評估方案，即先實施全面深度安全評估，再進行半年定期周期性安全評估。

一．全面深度安全評估

為了更清晰地了解某移動公司信息系統(tǒng)的目前狀況，聯(lián)想網(wǎng)御首先為該移動公司進行了一次全面深度評估，包括信息資產(chǎn)調(diào)查和安全評估，并建立了資產(chǎn)管理和風險信息庫。

信息資產(chǎn)調(diào)查

信息資產(chǎn)調(diào)查是以IT設備為基本單位，調(diào)查設備的基本屬性，如IP地址、設備型號、、版號、所存儲的信息、連接方式等，以得到信息資產(chǎn)列表及資產(chǎn)信息庫。在項目實施中，聯(lián)想網(wǎng)御首先對該移動公司的全部TCP/IP網(wǎng)絡的網(wǎng)元進行摸底調(diào)查，調(diào)查和統(tǒng)計該移動公司全部TCP/IP網(wǎng)絡所包含的信息資產(chǎn)（包含物理環(huán)境、網(wǎng)絡設備、主機、應用軟件、業(yè)務系統(tǒng)、數(shù)據(jù)、人員、標準流程等），明確其現(xiàn)有狀況、配置情況和管理情況，并對所有信息資產(chǎn)按照標準進行資產(chǎn)賦值。

風險評估流程圖

對基本情況摸清以后，聯(lián)想網(wǎng)御對該移動公司進行了拓撲結(jié)構(gòu)調(diào)查和現(xiàn)有安全系統(tǒng)調(diào)查，拓撲結(jié)構(gòu)調(diào)查包括對所有TCP/IP網(wǎng)絡的拓撲結(jié)構(gòu)進行調(diào)查，并按統(tǒng)一標準繪制成圖，通過信息資產(chǎn)庫進行動態(tài)管理；現(xiàn)有安全系統(tǒng)調(diào)查則包括明確現(xiàn)有安全設備(包括防火墻、防病毒系統(tǒng)、入侵檢測系統(tǒng)等)的部署情況和使用情況；同時了解在建網(wǎng)絡與信息安全建設項目，使之服從統(tǒng)一部署原則。

安全評估

根據(jù)該移動公司信息系統(tǒng)的特點，聯(lián)想網(wǎng)御綜合運用工具評估、人工評估、網(wǎng)絡架構(gòu)評估、滲透性測試、應用評估和管理評估手段對該移動公司的信息系統(tǒng)進行全面深度的評估，發(fā)現(xiàn)系統(tǒng)漏洞，找出系統(tǒng)面臨的安全威脅和風險，并給出指導建議。根據(jù)該移動公司現(xiàn)有的安全標準規(guī)范和業(yè)務對安全的要求，聯(lián)想網(wǎng)御具體分析面臨的威脅，評估現(xiàn)有系統(tǒng)的技術(shù)和管理方面的弱點，明確所有TCP/IP網(wǎng)絡面臨的安全風險和隱患。在評估過程中，要求既包含外部威脅，例如黑客攻擊和病毒等，也包含內(nèi)部威脅，例如內(nèi)部人員誤操作、不作為、濫用、軟件漏洞、泄密等導致的風險。

資產(chǎn)管理和風險信息庫

在信息資產(chǎn)調(diào)查和安全評估完成后，聯(lián)想網(wǎng)御幫助用戶開發(fā)和設計一套包含信息資產(chǎn)管理和風險信息管理的數(shù)據(jù)庫系統(tǒng)，能夠?qū)⒈卷椖克a(chǎn)生的資產(chǎn)信息和風險評估信息進行統(tǒng)一管理和儲存，可以對該移動公司所有信息資產(chǎn)及其資產(chǎn)風險進行關(guān)聯(lián)管理。并具有資產(chǎn)管理和風險管理功能，以便后續(xù)更新和持續(xù)使用。

在3個月的時間內(nèi)，聯(lián)想網(wǎng)御協(xié)助該移動公司完成全網(wǎng)IP網(wǎng)絡深度評估，獲知了該移動公司在當年上半年段IP網(wǎng)絡的安全現(xiàn)狀，然后在全面評估和資產(chǎn)管理和風險信息庫的基礎上設計并建立了安全體系。

二．周期性安全評估

除了為該移動公司進行全面深度安全評估，聯(lián)想網(wǎng)御還為該移動公司進行了周期性安全評估。

周期性安全評估工作是構(gòu)建安全體系重要的組成部分，通過定期安全評估將公司安全置于可控的環(huán)境。對該移動公司而言，進行定期安全評估主要是為了實現(xiàn)以下幾個目標：獲知全面評估后半年公司安全狀況；更新公司信息資產(chǎn)，存入公司信息資產(chǎn)庫，獲知信息資產(chǎn)的狀態(tài)，將資產(chǎn)服務等各種信息置于可控環(huán)境；定期對主要業(yè)務系統(tǒng)進行滲透測試及應用安全分析，以深度分析公司各系統(tǒng)安全狀況，發(fā)現(xiàn)安全風險；提出分系統(tǒng)的安全解決方案。

周期性安全評估對該移動公司的運行維護中心、計費業(yè)務中心、業(yè)務發(fā)展中心、網(wǎng)絡部網(wǎng)管中心及郊運公司等5個主要部門，近五十多個系統(tǒng)進行摸底調(diào)查和評估，主要工作內(nèi)容包括信息資產(chǎn)調(diào)查、終端設備安全評估、主機設備人工評估、網(wǎng)絡及安全設備人工評估、系統(tǒng)應用安全評估以及滲透測試，在安全評估完成后，聯(lián)想網(wǎng)御根據(jù)安全體系和規(guī)劃的要求，結(jié)合評估結(jié)果對用戶進行了安全需求分析，設計了系列技術(shù)（需要有詳細的技術(shù)參數(shù)）和管理解決方案，并包含相應的實施方案以及實施效果的檢查方案。

通過全面深度安全評估和定期周期性安全評估，聯(lián)想網(wǎng)御替該客戶總結(jié)了一套以安全策略為核心，以組織保障為基礎，以技術(shù)措施為工具，以運行維護為支撐的等級化安全體系設計的方法論。憑借此方法論和聯(lián)想網(wǎng)御的后續(xù)幫助，該移動公司完成了安全工作的總體規(guī)劃和分布實施，成功建立和運行了前瞻性、規(guī)范性和整體性的信息安全保障體系，保證了后續(xù)信息系統(tǒng)建設工作的兼容性，達到了長期安全效果明顯并節(jié)省總體投資的良好效果。