信息的安全防范工作一直是整個(gè)信息系統(tǒng)安全防范工作中的重點(diǎn)之一。在本文中就以信息安全風(fēng)險(xiǎn)評(píng)估對(duì)象中的網(wǎng)絡(luò)操作痕跡信息檢查為評(píng)估項(xiàng)目，來(lái)說(shuō)明一次安全風(fēng)險(xiǎn)評(píng)估該如何具體地去做。

一、安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)備階段

在每次風(fēng)險(xiǎn)評(píng)估開(kāi)始之前，一個(gè)最好的保證評(píng)估過(guò)程順利完成，評(píng)估結(jié)果真實(shí)有效的方法，就得為此制定一個(gè)風(fēng)險(xiǎn)評(píng)估策略。但如果只是對(duì)某個(gè)獨(dú)立的或者是臨時(shí)決定的小評(píng)估項(xiàng)目進(jìn)行風(fēng)險(xiǎn)評(píng)估，而且你和你的評(píng)估團(tuán)隊(duì)以前經(jīng)常對(duì)些小評(píng)估項(xiàng)目進(jìn)行風(fēng)險(xiǎn)評(píng)估，那么，只要為它做一些相應(yīng)的準(zhǔn)備工作就可以直接進(jìn)行評(píng)估了。

風(fēng)險(xiǎn)評(píng)估策略的具體內(nèi)容是根據(jù)實(shí)際的評(píng)估對(duì)象和評(píng)估項(xiàng)目來(lái)決定的，因此，不同的評(píng)估對(duì)象的風(fēng)險(xiǎn)評(píng)估策略是不相同，就是同一評(píng)估對(duì)象，如果評(píng)估的具體項(xiàng)目不同，其風(fēng)險(xiǎn)評(píng)估策略也不會(huì)相同。

1、制定風(fēng)險(xiǎn)評(píng)估策略

一個(gè)好的風(fēng)險(xiǎn)評(píng)估策略，應(yīng)當(dāng)包括下列所示的內(nèi)容：

（1）、指定評(píng)估小組成員

信息風(fēng)險(xiǎn)評(píng)估小組擔(dān)負(fù)著機(jī)構(gòu)的風(fēng)險(xiǎn)評(píng)估工作，其成員要能代表整個(gè)機(jī)構(gòu)。同時(shí)，成員必需在人員安全評(píng)估（確定某個(gè)人員可以信任風(fēng)險(xiǎn)評(píng)估工作）通過(guò)后確定。具體的成員應(yīng)當(dāng)包括：IT部門主管、風(fēng)險(xiǎn)評(píng)估負(fù)責(zé)人、系統(tǒng)或網(wǎng)絡(luò)管理員、信息安全技術(shù)人員，還可以包括安全產(chǎn)品供應(yīng)商代表及合作伙伴代表等。

評(píng)估人員確定后，就要分配相應(yīng)的評(píng)估任務(wù)給具體的人員。確定每個(gè)評(píng)估人員各自的職責(zé)，所要承擔(dān)的法律責(zé)任，并做成文檔分發(fā)到每個(gè)評(píng)估人員手中。同時(shí)，要為評(píng)估任務(wù)指定一個(gè)總的負(fù)責(zé)人，來(lái)監(jiān)督整個(gè)評(píng)估過(guò)程，并協(xié)調(diào)處理評(píng)估過(guò)程中出現(xiàn)的臨時(shí)狀況。還要說(shuō)明評(píng)估結(jié)果的填寫和上報(bào)方式，如說(shuō)明每個(gè)評(píng)估人員完成自己的評(píng)測(cè)任務(wù)，填上評(píng)測(cè)結(jié)果后，當(dāng)上交給風(fēng)險(xiǎn)評(píng)估負(fù)責(zé)人時(shí)，還應(yīng)當(dāng)與負(fù)責(zé)人一同簽名才能有效。

（2）、確定風(fēng)險(xiǎn)評(píng)估的范圍和目的

確定風(fēng)險(xiǎn)評(píng)估的范圍也就是指指定具體的評(píng)估對(duì)象和評(píng)估項(xiàng)目，風(fēng)險(xiǎn)評(píng)估的目的就是指此次風(fēng)險(xiǎn)評(píng)估要達(dá)到的期望值。風(fēng)險(xiǎn)評(píng)估的目的和范圍是相輔相成的，只有指定了評(píng)估對(duì)象中評(píng)估項(xiàng)目的風(fēng)險(xiǎn)評(píng)估目的，才知道需要什么樣的評(píng)估任務(wù)來(lái)達(dá)到這個(gè)目的，也就圈定了具體的評(píng)估范圍。也只有確定了風(fēng)險(xiǎn)評(píng)估的范圍和目的，我們的風(fēng)險(xiǎn)評(píng)估才能有的放矢地進(jìn)行。

在本例中，我們的評(píng)估對(duì)象是信息安全風(fēng)險(xiǎn)評(píng)估；評(píng)估項(xiàng)目是網(wǎng)絡(luò)操作痕跡信息檢查；評(píng)估的目的是檢查網(wǎng)絡(luò)中遺留的網(wǎng)絡(luò)操作痕跡信息中是否含有機(jī)構(gòu)內(nèi)部機(jī)密；具體的評(píng)估任務(wù)有：

①、檢查機(jī)構(gòu)內(nèi)部員工WEB數(shù)據(jù)庫(kù)和緩存中的內(nèi)容；

②、檢查機(jī)構(gòu)內(nèi)部員工是否通過(guò)個(gè)人主頁(yè)、博客、論壇，以及發(fā)布網(wǎng)絡(luò)求職簡(jiǎn)歷的方式，透露了機(jī)構(gòu)的組織結(jié)構(gòu)，或其它機(jī)構(gòu)內(nèi)部機(jī)密信息；

③、調(diào)查機(jī)構(gòu)內(nèi)部員工是否在使用私人電子郵箱，并且在法律允許的條件下，檢查員工是否通過(guò)機(jī)構(gòu)分配的電子郵件發(fā)送機(jī)構(gòu)內(nèi)部機(jī)密信息；

④、了解機(jī)構(gòu)內(nèi)部員工的計(jì)算機(jī)技術(shù)水平，以及了解計(jì)算機(jī)技術(shù)水平較高的員工所處的部門及其操作權(quán)限；

⑤、調(diào)查機(jī)構(gòu)內(nèi)部員工是否在工作時(shí)間使用即時(shí)通信工具，并在法律條件允許的條件下監(jiān)控即時(shí)通信的內(nèi)容；

⑥、使用互聯(lián)網(wǎng)搜索引擎查找網(wǎng)絡(luò)中是否存在與機(jī)構(gòu)相關(guān)的機(jī)密信息，或者可以在各種特定的新聞組、論壇及博客中搜索；

⑦、檢查機(jī)構(gòu)內(nèi)部員工是否在使用P2P軟件，在法律條件允許下審查P2P通信內(nèi)容。

（3）、確定本次評(píng)估任務(wù)的開(kāi)始和結(jié)束的具體日期和時(shí)間，如有可能，還有決定具體的風(fēng)險(xiǎn)評(píng)估時(shí)間，并在風(fēng)險(xiǎn)評(píng)估文檔中留出相應(yīng)的位置用來(lái)標(biāo)明評(píng)估工作的開(kāi)始和結(jié)束時(shí)間。

（4）、考慮一些在風(fēng)險(xiǎn)評(píng)估過(guò)程中可能發(fā)生的情況，以不影響正常的業(yè)務(wù)為基本條件。應(yīng)當(dāng)為此制定一個(gè)應(yīng)對(duì)有可能造成業(yè)務(wù)中斷，或造成真實(shí)安全事件發(fā)生事件時(shí)的應(yīng)急措施。

2、根據(jù)評(píng)估項(xiàng)目和要完成的評(píng)估任務(wù)制作風(fēng)險(xiǎn)評(píng)估表單

風(fēng)險(xiǎn)評(píng)估表單就是在一張表單上將要評(píng)估的項(xiàng)目及評(píng)估任務(wù)一一列出，然后在進(jìn)行具體的風(fēng)險(xiǎn)評(píng)估時(shí)，就可以按表單中的內(nèi)容來(lái)依次進(jìn)行。圖2.1就是網(wǎng)絡(luò)操作痕跡信息檢查評(píng)估項(xiàng)目的風(fēng)險(xiǎn)評(píng)估表單。

圖2.1 網(wǎng)絡(luò)操作痕跡信息檢查的風(fēng)險(xiǎn)評(píng)估表單    

3、考慮完成評(píng)估任務(wù)時(shí)會(huì)用到的各種工具，并準(zhǔn)備妥當(dāng)。

這些工具應(yīng)當(dāng)是切合本次風(fēng)險(xiǎn)評(píng)估任務(wù)的，并且在已經(jīng)通過(guò)在某個(gè)實(shí)驗(yàn)環(huán)境中測(cè)試已經(jīng)證明其有效。在本次風(fēng)險(xiǎn)評(píng)估中，會(huì)對(duì)機(jī)構(gòu)內(nèi)部人員進(jìn)行網(wǎng)絡(luò)操作行為監(jiān)控，因此，得為它準(zhǔn)備相應(yīng)的網(wǎng)絡(luò)操作行為分析設(shè)備，或者是安裝有網(wǎng)絡(luò)操作行為分析軟件的計(jì)算機(jī)，最好當(dāng)然是筆記本電腦。同時(shí)，還應(yīng)當(dāng)準(zhǔn)備好所將設(shè)備連接入目標(biāo)網(wǎng)絡(luò)的所需的線纜，以及其它與此次風(fēng)險(xiǎn)評(píng)估相關(guān)的所有工具和文檔，并將它們統(tǒng)一管理。

一個(gè)風(fēng)險(xiǎn)評(píng)估策略不僅可以包括上面已經(jīng)列出的這四個(gè)方面，還可以在其中添加與評(píng)估任務(wù)實(shí)際需求相關(guān)的內(nèi)容，例如加入說(shuō)明此次評(píng)估任務(wù)的具體流程和細(xì)節(jié)，各種注意事項(xiàng)等等。并要求所有的評(píng)估人員，嚴(yán)格按照這個(gè)風(fēng)險(xiǎn)評(píng)估策略中的內(nèi)容來(lái)進(jìn)行具體的評(píng)估工作。

一個(gè)風(fēng)險(xiǎn)評(píng)估策略是一個(gè)需要技術(shù)和經(jīng)驗(yàn)并重的工作，而且需要考慮的內(nèi)容很多，一個(gè)人不可能將風(fēng)險(xiǎn)評(píng)估項(xiàng)目相關(guān)的所有方面考慮周到。因此，在制定風(fēng)險(xiǎn)評(píng)估策略時(shí)，應(yīng)當(dāng)發(fā)動(dòng)所有評(píng)估人員，以及評(píng)估對(duì)象的使用人員和設(shè)備供應(yīng)商代表等一起來(lái)分析制定。

對(duì)于信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估來(lái)說(shuō)，如果準(zhǔn)備工作越充分，后續(xù)的風(fēng)險(xiǎn)評(píng)估過(guò)程就越有效率，評(píng)估過(guò)程中出現(xiàn)的錯(cuò)誤就越少，評(píng)估的最終給果就越真實(shí)有效。如果在準(zhǔn)備過(guò)程中疏忽了某些內(nèi)容，特別是制定的安全風(fēng)險(xiǎn)評(píng)估策略出現(xiàn)考慮不周的情況，要是沒(méi)能在執(zhí)行風(fēng)險(xiǎn)評(píng)估前檢查出來(lái)，就會(huì)使最終的風(fēng)險(xiǎn)評(píng)估結(jié)果偏離實(shí)際，這樣就會(huì)讓我們空擔(dān)心一場(chǎng)，或空歡喜一場(chǎng)。