時間：2022-03-13 00:21:37
引言：易發表網憑借豐富的文秘實踐，為您精心挑選了九篇系統安全風險評估范例。如需獲取更多原創內容，可隨時聯系我們的客服老師。
【關鍵詞】電力系統 安全風險評估 分析
隨著我國電力系統規模的擴大，可能引發大面積停電的因素也不斷增多，因此在全面考慮各種因素的基礎上對復雜電力系統進行安全風險評估的需求更加迫切。因此，在加強電力系統安全穩定控制研究的同時，也必須注重對電力系統進行安全風險評估分析，以使相關人員可以及時地了解整個系統的安全風險，從而有針對性地提出防范對策。
1 電力系統安全風險評估的指標體系
電力系統運行的安全性，是指在突發性故障引起的擾動下，系統保證避免發生嚴重供電中斷的能力。電力系統復雜，需要構建一定的風險評估指標體系。風險評估指標是風險評估的關鍵，只有建立科學、合理、實用的評估指標體系，才能對電力系統的安全風險進行客觀、準確的評估，評估結果才具有實際指導意義。電力系統的安全性評估研究主要有 3 類方法，即確定性評估、概率評估、風險評估。電力系統由大量的發電機、變壓器、母線、架空輸電線路、斷路器、隔離開關負荷等元件組成。設備停運是系統失效的根本原因，系統風險評價首要工作就是要確定元件的停運模型。
由于風險按每一個元件、每一起事故和每一類安全性問題進行計算，因此可以將對系統的整體風險評價進行分解，分解為對各類安全性問題的評估，并分類計算風險指標值，來反映系統安全問題的不同方面。在本文中定義了四類安全性問題，分別是過負荷風險、低電壓風險、電壓崩潰風險和功角失穩風險。根據這些風險建立一套具有科學性、實用性、完整性的安全風險評估體系。該體系包含了結構、技術、設備三大方面的風險指標。
2 基于狀態檢修的電力系統故障概率模型
本文基于狀態評估推算設備故障率的方法，在此基礎上，按各狀態量對線路安全運行影響程度的輕重進行權重，通過對歷史數據進行統計和當前設備進行評分以及權重系數建立了系統元件狀態量評價表，從而對電力系統線路元件故障率進行評價。并依據2008年初國家電網公司頒布了《輸變電設備狀態檢修試驗規程》和相關設備的狀態評價導則，該導則為輸變電一次設備的狀態量擬定了扣分標準。具體的基于狀態檢修的電力系統故障概率模型如下：
研究表明，設備狀態評分與故障率之間存在如式（2-1）所示的指數關系：
P = Ke- （2-1）
式中：I ：設備狀態評分值，即通過設備狀態評價導則獲得的狀態評價得分；
K：比例系數；
C：曲率系數；
p：平均故障率，其取值范圍O～1。
由上式可見，狀態評分的數值越大，設備故障率也就越高。
關于公式（2-1）中K、C值的求取，需根據各電力企業所轄電網的線路元件狀
態和平均故障率進行統計計算，求得適合于該區域電網的K、C值，統計計算方法如下：
根據收集數據的統計，可以由年故障線路元件數與線路元件總數得出線路元件的年故障發生率，即
P= x 100% （2-2）
式中：n：故障線路元件數；
N：線路元件總數。
基于歷史統計數據的最小二乘擬合公式為：
P= x 100% （2-3）
式中：p：線路元件的年故障發生概率；C ×I
Ni：某一分類的線路元件數；
N：線路元件總數；i為線路元件的分類，i=1～4；
I ：根據i的分類按照對應于I 分值上下限的平均值代入。
只要獲得某地區電網2年及以上的線路元件故障率p的統計數據及線路元件狀態評分I ，就可以通過反演計算獲取適合于該區域電網的比例系數K和曲率系數C。
3電力系統安全風險評估分析
電力系統安全風險評估分析首先要根據上文構建的指標體系和電力系統模型來計算和分析。具體操作包括風險指標計算和系統安全風險評估分析。
在計算流程中，如下圖1。
圖1 風險指標計算流程圖
首先確立初始計算條件以及研究對象，包含所有需要計算的可能發生故障的元件；利用已知歷史數據計算目標集內每個故障發生的概率。對于設備停運故障，計算每個故障發生。后系統的潮流分布情況，從潮流結果中運用有效數據按照上面所建立的模型計算過負荷風險指標、低電壓風險指標。對于電壓崩潰指標中的有功裕度值，計算的是所研究區域中所有負荷同時按一定比例增長的結果；其中負荷增長過程中，設負荷功率因數不變。功角失穩指標只計算線路兩端發生短路故障的情況。求出每個故障下的各種風險指標。最后，當集內的所有故障全部計算完后，通過風險指標的整合對系統安全性進行風險評估分析。
4 結語
本文首先提出了一套電力系統風險評估的評價指標體系，針對狀態檢修電力系統風險評估的量化需求，提出了一套的概率模型。最后，給出該評價指標計算路徑和評價方法流程在電力系統安全風險評估中的應用的步驟，可為電力人員提供借鑒與參考作用。但電力系統安全風險評估通常是在政府的監管下進行的，因此評估體系必須符合便于政府監管部門開展評估工作的原則。
參考文獻：
[1]陳亦平，洪軍.巴西“11.10”大停電原因分析及對我國南方電網的啟示[J].電網技術，2010，34（5）： 77-82.
通過對以上信息系統安全風險管理標準和研究成果的分析，信息系統安全風險的影響因素應包含以下幾個方面【1-8】。（1）物理環境安全性：主要是指信息系統的硬件部分的可靠性。信息系統安全首要問題是必須保證計算機硬件的可靠性。信息都是以ASCII碼的形式存儲在計算機上面的，一旦計算機物理硬件出現問題，很多信息將會丟失，所以必須保證信息系統存儲硬件的可靠性，同時，計算機硬件對設備存放的環境也很重要，必須保持計算機周圍的散熱和通風效果較好，減少機房灰塵，這樣能有效保證計算機設備的壽命和安全，減少計算機等硬件設備的損壞機率。（2）網絡運行安全性：主要是信息系統在進行收集、儲存、整理和發掘過程中的信息保存和傳輸的安全性。信息系統的正常運行和信息的存儲與挖掘是需要在信息系統之間進行的，這就必須保證信息的安全和傳輸網絡的可靠。為了避免信息損失或丟失，應該做好信息的及時備份；其次是應該做好防毒工作，如今的病毒隱藏越來越深，對數據的破壞程度也越來越嚴重，所以必須做好病毒防范措施；再次就是保證信息系統在信息傳輸過程中的網絡通信協議安全，這樣能避免信息數據被其他人截獲和利用。所以，做好網絡運行安全措施，是避免信息系統安全風險的有效措施。（3）信息保密狀況：主要是對信息系統使用過程中的保密措施。要做到信息不被其他人盜取和利用，必須做好信息數據的保密工作，應該根據不同職位級別制定不同的信息使用和訪問權限，不僅要有專用的使用者身份鑒別、訪問控制等，還必須進行電磁泄密防護，做好抗抵賴性和入侵檢測，保證信息系統的信息數據的保密工作，有效降低信息系統的安全風險。（4）安全管理能力：信息系統中信息的收集和管理都是有管理人員參與的，基于人性的不確定性和功利性，信息數據很容易被泄密，所以必須加強管理層的保密工作和安全防范意識。在對信息數據進行管理的時候，必須建立專人專責的管理制度，對管理人員加強安全保密意識的培養，同時對于信息系統的不同級別的密碼和密匙要分開管理，將信息系統的安全威脅系數降到最低。（5）威脅對抗能力：隨著黑客數量的逐漸增加，黑客已經滲透到各行各業，一些企業或組織的信息系統的機密數據從而成為黑客的攻擊對象，這就要求信息系統構建中必須具有較好的威脅對抗能力，不僅能有效將黑客攻擊抵擋在信息系統之外，還應該具有攻擊追蹤和反饋能力，對威脅來源進行分析，為尋找威脅提供有用信息。通過以上的分析可以看出，在對信息系統安全風險評價的時候，主要是從物理環境安全性、網絡運行安全性、信息保密狀況、安全管理能力、威脅對抗能力五個方面來進行評價最為合適。
2評價標度的選擇與評價方法研究
2.1評價標度的選擇問題研究
信息系統風險評價過程中，通過對信息系統風險評價指標的分析可以看出，這些指標都是很難定量計算的，同時在對信息風險評價過程中存在一定的不確定性和模糊性，故在對信息系統風險評價標度的選擇過程中，應該選擇不確定性評價標度。基于不確定性評價指標，在評價的時候，基于人的意識的模糊性和直觀性，專家更習慣于給出諸如“好”、“很好”之類的語言評價標度【9】，綜合考慮以上因素，在對信息系統安全風險評價過程中，選擇評價標度為語言評價標度，并將語言標度和模糊數對應，形成模糊語言評價標度。在對信息系統安全風險評價的時候，因為自身專業知識的有限性或是進行實際調查中存在的不確定性因素，參與評價的專家往往不可能對所評價組織或企業的信息系統安全風險管理情況完全了解，這樣，專家所給出的評價信息就存在一定的不可靠性，為了能使得最終的評價結果更為科學、可信，最好的解決方法就是專家在給出評價值的同時也將其對該方面了解知識的程度也標注出來，這樣的結果更為科學，決策者在獲得評價結果的同時還能明白專家是在掌握多少知識的情況下給出的評價。考慮到灰色系統中的灰度主要用來反映信息未知量的多少【10】，對于灰度為0則認為專家給出的評價信息是在完全掌握信息量的情況下給出的，如果灰度為1，則認為專家給出的評價值是在專家沒有掌握任何信息量的情況下給出的，因此，在對信息系統安全風險評價過程中，應該將反應專家掌握信息量多少的灰度引入評價標度中。綜合以上分析，在對信息系統安全風險評價標度的選擇上，應該選擇由模糊數和灰度構成的有序對(S,G)作為評價標度，其中S表示語言評價標度，其對應一個確定的模糊數，G代表掌握信息量多少的灰度，其中G∈[0,1]。
2.2基于模糊灰度的信息系統安全風險評價方法研究
在對信息系統安全風險評價過程中，為了避免單一決策者的評價帶有個人偏見，一般采用的是聘請不同方面的專家構成評審團隊來對信息系統安全風險進行評價，設最終聘請K個專家對信息系統安全風險進行評價，評價標度選擇以前文討論所得的模糊灰度評價標度，其中語言標度與模糊數的對應關系如表1。在給出評價矩陣后，考慮到每個專家的重要性不同，且每個指標的重要性不同，所以還需要確定出專家的權重和評價指標的權重，在確定指標權重和專家權重時，考慮到模糊數不便于計算和比較，故利用下式將模糊數(al,am,ar)轉換成便于比較的實數。
3實證研究
顧客知識信息不僅能為企業的產品創新和研發給出指導方向，還是企業產品營銷中分析顧客群的有效知識。很多企業從顧客知識的管理和挖掘中獲得較大利益，因此，基于顧客知識信息的信息系統對企業的可持續發展具有重要作用。其信息系統的安全風險問題是企業必須注重的，定期的信息系統安全風險評價是大型企業進行信息系統管理中必不可少的一步。某大型企業為了掌握其客戶管理信息系統安全風險的現狀，聘請6位專家對該企業信息系統的安全風險進行評價，采用模糊灰度評價標度，得到語言評價矩陣如表3所示。通過最大隸屬度原則，可以看出，在對該企業信息系統安全風險管理的評價中，說明該企業在對企業安全風險管理上做的“較好”，且該綜合評價信息是在群體平均信息掌握量為0.2568的情況下給出的。綜合這些信息得到該企業信息系統安全風險的綜合評價結論。（1）通過群組專家在對企業信息系統進行調查分析，在較充分掌握信息系統運行情況和管理信息的情況下，對企業的信息系統安全風險做出的最終評價結果為：該企業信息系統安全風險管理方面做的“較好”。（2）通過對該企業信息系統安全風險評價結果可以看出，該企業信息安全風險的管理方面還存在一定的提升空間，但是考慮到評審團隊對該評價結果不是在完全掌握企業信息系統安全風險管理的情況下做出的，所以可能存在一定的偏差，但是該偏差是較小的，作為最終的決策者，對企業信息系統安全風險更為了解，可以通過對群組專家評價結果的借鑒來對企業信息系統安全風險管理和預防方面做出科學的決策。
4信息系統安全風險防范對策
信息系統安全風險的主要影響因素為物理環境安全性、網絡運行安全性、信息保密狀況、安全管理能力、威脅對抗能力五個方面。為了保證信息系統的有效運行，防止信息系統被破壞，應該做好如下幾個方面：（1）建立健全信息系統安全風險防護框架。主要是針對企業信息系統構建的實際情況，及信息系統的需求和使用情況，根據不同使用權限和安全強度進行分層、分區授權和管理，對信息系統的實時控制區等關鍵區進行重點防護和監測。（2）加強信息安全專業技術的應用。主要是在對信息系統安全管理過程中，加強利用專業信息安全技術進行安全保密，如引入最新的身份認證系統進行操作和使用者的訪問權限監測，對于接入網絡的系統要設置防火墻，防止計算機病毒或其他威脅的入侵，并對信息系統進行網絡檢測和系統日志審計，監測是否有非法活動，及時發現問題并解決問題，保證信息系統的正常運行。（3）完善信息系統管理制度。很多信息系統更多的是人為因素造成的，而且人為因素導致的風險還具有隱蔽性，所以要加強對信息系統管理制度的建立和完善，建立嚴格的信息系統管理和使用制度，明確各管理人員的職責分工，要對管理人員和使用人員進行定期的保密培訓和專業技術培訓，避免錯誤操作，對信息系統進行有效的保護。
5結語
[關鍵詞] 基礎地理；信息系統；安全；風險評估
doi ： 10 . 3969 / j . issn . 1673 - 0194 . 2015 . 21. 082
[中圖分類號] TP315 [文獻標識碼] A [文章編號] 1673 - 0194（2015）21- 0155- 03
1 引 言
風險是以一定的發生概率的潛在危機形式存在的可能性，而不是已經存在的客觀結果或既定事實。風險管理是通過對風險的識別、衡量和控制，以最小的成本將風險導致的各種損失結果減少到最小的管理方法。隨著信息化向縱深發展，基礎地理信息系統被廣泛應用，但信息安全方面的威脅也大大增加，具體到市縣級基礎地理信息系統中存在各類風險，這些風險有著自身的特點，對系統的影響也隨著不同階段而不同。其中信息安全風險是指系統本身的脆弱性在來自環境的威脅下而產生的風險，這些風險會對信息系統核心資產的安全性、完整性和可用性造成破壞。對測繪行業信息安全風險的評估是進行有效風險管理的基礎，是對風險計劃和風險控制過程的有力支撐，而如何識別和度量風險成為一個難題，目前測繪地理信息行業沒有一個行業性安全評估類或者安全管理類規范標準，通用安全評估規范在很多方面對于測繪地理信息系統復雜性和行業特點缺乏適用性，往往較難落地，為此提出市縣級國土資源基礎地理信息系統安全風險評估規范研究。
2 國內外信息安全風險評估的研究現狀
信息安全風險評估經歷了很長一段的發展時期。風險評估的重點也由最初簡單的漏洞掃描、人工審計、滲透性測試這種類型的純技術操作，逐漸過渡到技術與管理相結合的科學方法。由于信息安全問題的突出重要性，以及發生安全問題的后果嚴重性，目前評估工作已經得到重視和開展。國內外很多學者都在積極投身于信息安全的研究，期望找到保護信息安全的盔甲。美國在信息安全風險管理領域的研究與應用獨占鰲頭，政府控管體制健全，己經形成了較為完整的風險分析、評估、監督、檢查問責的工作機制。DOD作為風險評估的領路者，1970年就已對當時的大型機、遠程終端作了第一次比較大規模的風險評估； 1999年，美國總審計局在總結實踐的基礎上，出版了相關文檔，指導美國組織進行風險評估；2001年美國國家標準和技術協會（NIST）推出SP800系列的特別報告中也涉及到風險評估的內容；歐洲各國對信息安全風險一直采取“趨利避害”的安全策略，于2001-2003年完成了安全關鍵系統的風險分析平臺項目CORAS，被譽為歐洲經典。我國信息安全評估起步較晚，2003年7月，國信辦信息安全風險評估課題組啟動了信息安全風險評估相關標準的編制工作；8月，信息安全評估課題組對我國信息安全工作的現狀進行了調研，完成了相關的評估報告，總結了風險評估是信息安全的基礎性工作；2004年3月國家《信息安全風險評估指南》與《信息安全風險管理指南》的征求意見稿；2005年2月至9月，開始了國家基礎信息網絡和重要信息系統的信息安全風險評估試點工作；2007年7月我國頒布了《信息安全技術信息安全風險評估規范》（GB/T 20984一2007）并于2007年11月1日實施；2008年4月22日，在國家信息中心召開了《信息系統風險評估實施指南》預制標準第二次研討會，此次會議主要就標準工作組制定的《實施指南》目錄框架進行了詳細研究與討論，《信息系統風險評估實施指南》作為GB/T 20984-2007《信息安全風險評估規范》和《信息安全風險管理規范》之后又一技術性研究課題，將充實信息安全風險評估和風險管理具體實施工作。
3 市縣級基礎地理信息系統安全風險評估規范研究方法和手段
3.1 市縣級基礎地理信息系統安全風險評估規范研究方法
市縣級基礎地理信息系統安全風險評估規范研究通過綜合分析評估后的資產信息、威脅信息、脆弱性信息，最終生成風險信息。資產的評估主要從保密性、完整性、可用性三方面的安全屬性進行影響分析，從資產的相對價值中體現了威脅的嚴重程度；威脅評估是對資產所受威脅發生可能性的評估；脆弱性的評估是對資產脆弱程度的評估；具體如下：
（1）資產評估。資產評估的主要工作就是對市、縣、鄉三級基礎地理信息系統風險評估范圍內的資產進行識別，確定所有的評估對象，然后根據評估的資產在業務和應用流程中的作用對資產進行分析，識別出其關鍵資產并進行重要程度賦值。根據資產評估報告的結果，可以清晰的分析出市、縣、鄉三級基礎地理信息系統中各主要業務的重要性，以及各業務中各種類別的物理資產、軟件資產和數據資產的重要程度，從而得出信息系統的安全等級。同時，可以明確各業務系統的關鍵資產，確定安全評估和保護的重點對象。
在此基礎上，建立針對市、縣、鄉三級基礎地理信息系統中的資產配置庫，對資產的名稱、類型、屬性以及相互關系、安全級別、責任主體等信息進行描述。
（2）威脅評估。威脅是指可能對資產或組織造成損害事故的潛在原因。威脅識別的任務主要是識別可能的威脅主體（威脅源）、威脅途徑和威脅方式，威脅主體是指可能會對信息資產造成威脅的主體對象，威脅方式是指威脅主體利用脆弱性的威脅形式，威脅主體會采用威脅方法利用資產存在的脆弱性對資產進行破壞。
在此基礎上，充分調研，分析現有記錄、安全事件、日志及各類告警信息，整理本行業信息系統在物理、網絡、主機、應用和數據及管理方面面臨的安全威脅，形成風險點列表。
（3）脆弱性評估。脆弱性是指資產或資產組中能被威脅所利用的弱點，它包括物理環境、組織機構、業務流程、人員、管理、硬件、軟件及通訊設施等各個方面，這些都可能被各種安全威脅利用來侵害一個組織機構內的有關資產及這些資產所支持的業務系統。
通過研究，將建立本行業的涉及主要終端、服務器、網絡設備、安全設備、數據庫及應用等主要系統的基線庫，從而為脆弱性檢測在“安全配置”方面提供指標支撐。
（4）綜合風險評估及計算方法。風險是指特定的威脅利用資產的一種或一組脆弱性，導致資產的丟失或損害的潛在可能性，即特定威脅事件發生的可能性與后果的結合。在風險評估模型中，主要包含信息資產、脆弱性、威脅和風險四個要素。每個要素有各自的屬性，信息資產的屬性是資產價值，脆弱性的屬性是脆弱性被威脅利用后對資產帶來的影響的嚴重程度，威脅的屬性是威脅發生的可能性，風險的屬性是風險發生的后果。
綜合風險計算方法：根據風險計算公式R= f（A，V，T）=f（Ia，L（Va，T）），即：風險值=資產價值×威脅可能性×弱點嚴重性，下表是綜合風險分析的舉例：
注：R表示風險；A表示資產；V表示脆弱性；T表示威脅；Ia表示資產發生安全事件后對組織業務的影響（也稱為資產的重要程度）；Va表示某一資產本身的脆弱性，L表示威脅利用資產的脆弱性造成安全事件發生的可能性。
風險的級別劃分為5級（見表1），等級越高，風險越高。
各信息系統風險值計算及總體風險計算則按照風險的不同級別和各級別風險的個數進行加權計算，具體的加權計算方法如下。
風險級別權重分配：
極高風險 30%
高風險 25%
中風險 20%
低風險 15%
很低風險 10%
各級別風險個數對應關系（即各級別風險相對于很低風險的個數換算）：
極高風險 16
高風險 8
中風險 4
低風險 2
很低風險 1
風險計算公式R’=K（av，p，n）=av×p×n，其中，av代表各級別風險求平均后總和，p代表相應的風險級別權重，n代表相應的風險個數權重。
總體風險值=R’（極高）+ R’（高） + R’（中） + R’（低） + R’（很低）
3.2 市縣級基礎地理信息系統安全風險評估規范研究的手段
（1）專家分析。對于已有的安全管理制度和策略，由經驗豐富的安全專家進行管理方面的風險分析，結合江蘇省基礎地理信息系統安全建設現狀，指出當前安全規劃和安全管理制度存在的不足，并給出安全建議。
（2）工具檢測。采用成熟的掃描或檢測工具，對于網絡中的服務器、數據庫系統、網絡設備等進行掃描評估；為了充分了解各業務系統當前的網絡安全現狀及其安全威脅，因此需要利用基于各種評估側面的評估工具對評估對象進行掃描評估，對象包括各類主機系統、網絡設備等，掃描評估的結果將作為整個評估內容的一個重要參考依據。
（3）基線評估。采用基線風險評估，根據本行業的實際情況，對信息系統進行安全基線檢查，拿現有的安全措施與安全基線規定的措施進行比較，找出其中的差距，得出基本的安全需求，通過選擇并實施標準的安全措施來消減和控制風險。所謂的安全基線，是在諸多標準規范中規定的一組安全控制措施或者慣例，這些措施和慣例適用于特定環境下的所有系統，可以滿足基本的安全需求，能使系統達到一定的安全防護水平。
（4）人工評估。工具掃描因為其固定的模板，適用的范圍，特定的運行環境，以及它的缺乏智能性等諸多因素，因而有著很大的局限性；而人工評估與工具掃描相結合，可以完成許多工具所無法完成的事情，從而得出全面的、客觀的評估結果。人工檢測評估主要是依靠具有豐富經驗的安全專家在各服務項目中通過針對不同的評估對象采用顧問訪談，業務流程了解等方式，對評估對象進行全面的評估。
（5）滲透測試。在整個風險評估的過程中，結合外部滲透測試的方式發現系統中可能面臨的安全威脅和已經存在的系統脆弱性。
【關鍵詞】系統安全工程；信息系統；風險
引言
隨著科學技術的快速發展，信息系統安全問題也越來越常見，如何采取有效措施預防并減少信息系統風險已經逐漸成為信息安全研究的關鍵。對于信息系統安全，可以采用風險大小進行度量，同對信息在保密性、完整性等多個方面所受到的威脅，可以對安全威脅進行有效控制。需要注意的是，為了保障信息安全，不僅需要依靠安全技術和產品，而且還需要信息系統安全工程的支持。通過構建系統安全工程能力成熟模型，對影響信息系統的各個安全要素進行分析，并對風險因素發生的可能性進行評價分析，能夠保證信息安全管理決策的客觀性和合理性。
1我國礦山生產安全現狀
近年來，隨著國家的重視與社會的關注，礦山的百萬噸死亡率以及前人死亡率有所下降，但是礦山的安全工程還是存在一定的問題，就目前看來，其主要存在以下問題：①我國大多數的礦山都缺乏統一持續的安全戰略規劃目標，我國大型的礦山企業都是國有企業，其在生產的過程中都十分重視礦產的安全管理，十分重視企業生產安全。但是其在生產的過程中同樣需要面臨著市場競爭帶來的壓力，對于礦山生產的風險性以及隨機性沒有充分的把握，難以從根本上提升礦山的安全性；②我國礦產開采缺乏完善的安全理念，盡管大多數的礦產企業在開采時都確立了安全生產理念，但是這些理念僅僅概況成了幾句口號，并沒有得到徹底的落實，這樣一來無法有效的確保礦山安全管理的質量；③我國礦山開采安全程度較低，尤其是一些小型礦產，基本沒有安全設施，采用的甚至是一些落后的工藝設備。為了有效的判斷礦山生產過程中的風險，需要建立完善的風險評估模型，下面簡單的介紹系統安全工程能力成熟模型，以及其在風險評估中的作用。
2系統安全工程能力成熟模型概述
系統安全工程能力指的是系統在實際應用中，能夠達到的安全性指標的能力，通過改善系統工程的過程安全能力，能夠使系統工程變得更加成熟。在系統安全工程能力成熟模型的構建過程，需要完善的、成熟的、可度量的安全工程。在系統安全工程下，所有工程活動都有明確的定義，并且對于所有工程活動，都可以進行有效的測量、管理和控制。系統安全工程能力成熟度模型主要是由兩個部分所組成的，包括“過程域”和“能力”。其中，過程域指的是在完成一個子任務過程中，所需要完成的一系列工程實踐，過程域指又可以被分為三個部分，即工程過程域、組織過程域和項目過程域。其中，組織過程域和項目過程域與系統安全沒有直接關聯，因此，二者不是模型的組成部分。模型為每個過程域均定義了一組確定的基本實踐（BP），在子任務的完成過程中，每個基本實踐都必不可少。另外，能力維指的是實踐代表過程管理和制度化能力，其又可以被稱為通用實踐（GP）。通用實踐的主要作用是對每個級別的共同特性（CF）進行描述，即每個級別的判定反映為一組共同特性。通用實踐是應用于所有過程的活動，通用實踐的重點是對過程進行度量和管理。應用通用實踐描述共同特性的邏輯區域可以被被劃分5個能力級別，
3信息系統風險的特征
信息系統的投資比較大，建設周期長，影響因素較多，因此，信息系統所面臨的風險種類也比較多，并且不同風險之間的關系錯綜復雜。通過對大中型信息系統進行調查分析發現，信息系統風險的特征主要體現在以下幾點：客觀性和不確定性。在信息系統的實際應用中，信息系統風險客觀存在，因此，在整個信息系統生命周期中，風險因素無處不在，但是有具有明顯的不確定特征，風險事件的客觀體現指的是隨著客觀條件的變化，所造成的不確定性。在信息系統的實際運行過程中，各類不確定因素的伴隨物即為信息系統風險。多層次性和多樣性。信息系統風險包包括多種層次風險，包括物理安全風險、邏輯安全風險等等，其中，物理安全風險是由周界控制、區域訪問控制以及區內設施安全等所組成的，安全管理內容包括人員管理、系統管理、應急管理等，信息系統風險的種類也具有可變性和動態性特征，隨著信息技術的發展，信息系統風險也逐漸呈動態性和可變性特征。在信息系統實際運行過程中，對于有些風險因素，由于采取了有效措施，因此風險得以消除，而對于有些風險因素，由于沒有采取有效的消除措施，因此風險逐漸成為主要風險。可測性。系統安全風險的本質是不確定性，在各類風險因素中，任何風險的發生都是多個風險因素共同作用所造成的，也有個別風險因素的發生是偶然事件，但是，通過對大量風險發生事件進行統計和分析發現，風險時間的發生具有一定的運動規律。對于風險時間的發生概率以及其所造成，可以采用多種風險分析方式進行計算，并對可能發生的風險進行預測分析，從而為防范決策提供重要依據。由于信息系統風險具有多層次以及多樣性特征，因此，安全防范難度較大，對此，一般采用防火墻技術進行安全管理。另外，由于信息系統風險具有多層次以及動態性特征，因此，很難構建覆蓋全部安全問題的安全防控體系，綜合考慮安全投入成本以及被保護資產價值，必須構建合適的安全準則。通過上述分析可見，信息系統風險復雜程度比較高，并且系統風險的涉及面比較廣泛，因此，在信息系統整個生命周期中，都必須加強風險評估和管理，對此，應該在模型的指導下來保證信SSE-CMM息系統的安全。
4信息風險評估模型
信息風險評估的過程指的是，對信息系統資產所面對的各類風險因素進行分析，并對安全控制措施進行研究，從而準確識別系統風險因素，并對各類風險因素進行評價。從系統風險管理角度出發，系統風險管理過程值得是對信息系統安全風險進行控制、降低以及消除的過程，在此過程中，需要對網絡與信息系統中所面臨的風險因素進行準確識別，并采取有效的控制措施。在對安全事件進行評估過程中，如果發現風險因素可能會產生的危害事件，則應該立即提出相應的低于威脅防護措施，對安全風險進行化解，或者采取有效的防范措施，將信息安全風險控制在一定范圍內，從而有效保障網絡安全以及信息安全。在進行信息風險評估過程中，需要注意以下幾點：①準確識別被評估信息資產，并對其估價；②對網絡弱點進行檢測，評估資產脆弱性；③獲取系統各對象信息，并詳細列出資產威脅；④識別當前安全控制；⑤綜合考慮脆弱性和威脅的嚴重程度，對資產的重要性進行計算分析。風險事件因素對于信息系統的影響程度具有模糊性特征，因此，對于安全風險，可以將其描述為關于威脅和這種威脅后果的一個函數，通過對其進行定量分析，能夠估算出風險時間發生后對于系統安全性的影響程度，同時還能夠將將復雜的思維決策過程模型化、數量化。系統所有者在系統的實際應用過程中，可以結合項目實際情況，在資產風險評估過程中，對資產、威脅和脆弱性等各因素所占權重進行計算，并賦予其相應的權向量：A=（r1，r2，r3，…，ri），其中，其中ri指的是判斷矩陣相應因素。aij=rij/nk=1Σrkj（i=1，2，…，n）（1）由公式（1）再按行求和：c軃i=nj=1Σrkj（i=1，2，…，n）（2）通過公式（2）可得：ci=c軃ini=1Σc軃i（i=1，2，…，n）（3）其中，c指的是所求的特征向量，具體而言其指的是對應i個因素的相對重要程度，即權重系數，如果c越高，則說明風險越大，系統安全工程的安全程度比較低。因此，可以根據以上公式，計算出風險評估量化分析結果，并對系統中的各類風險因素進行建模分析，從而計算得出各類風險權重，并以此為依據，對信息風險評估以及系統安全策略的制定提供重要的參考依據。
5結語
綜上所述，在信息系統的建設過程中，加強安全工程管理至關重要，現如今已經逐漸引起社會各界的廣泛關注，而我國信息系統風險評估研究起步比較晚，定量評估模型依然處于探索階段。為了有效保障保障信息系統的安全性，應該采用SSE-CMM模型作為安全指導思想，通過對風險因素進行全過程、全方位的分析，能夠有效解決信息系統安全的動態性和廣泛性問題。本文主要對SSE-CMM模型進行了詳細分析，SSE-CMM模型屬于理論指導模型，可以用在信息系統的效益分析、系統可靠性分析等方面，所以具有較大的推廣價值，但是需要注意的是，在其實際應用中，還應該綜合考慮不同性質的信息系統，采取不同的實施方案。
參考文獻
[1]吳峰，賁可榮.系統安全測試能力成熟度模型框架研究[J].計算機與數字工程，2011，39（2）：128~132.
[2]李燦，周春雷，華斌，等.信息系統應用成熟度評價模型[J].華東電力，2014，42（11）：2428~2431.
【關鍵詞】電力企業；信息安全；風險防御
和諧社會的發展是政治、經濟、文化、社會和生態多方面合力的結果，科技的進步使得電力企業意識到亟需盡快的對電力系統進行革新，從計劃經濟到市場經濟體制的改革中，電力企業為了適應這樣的變化，加強了對管理體制的合理改變和生產效率的大步提高，拉開了電力系統改革的序幕。安全的信息網絡系統的構建是電力企業發展改革過程中至關重要的一個環節，有效的將電力企業的信息安全系統與其管理和考核進行有機結合，更好的服務于電力企業的生產、經營和管理，電力企業安全信息系統風險評估與防御也就成為了電力企業在經濟全球化進程中亟待重視的問題所在。
1 電力企業安全信息系統風險評估
1.1 企業規模發展迅速，信息網絡安全意識淡薄
電力資源是我們社會生活中必不可少的一部分，電力企業在相對壟斷的情況下，發展極其迅速，但在這樣的過程中，我們可以看到，大多數電力企業僅僅對基礎設施和簡單的網絡構建有著重視力度，卻沒有對安全信息系統的風險認識足夠，這種情況下必然產生了諸如網絡安全防御意識差，對網絡信息安全防范的資金投入不足等不良情況的出現。企業規模越來越大，對企業安全信息系統的維護資金投入卻并不高，網絡安全技術沒能及時加強，電力企業也就不能很好的抵御網絡風險，對網絡入侵也顯得無所適從。
1.2 信息化安全資金投入少，管理機制有待完善
電力企業對安全信息網絡的建設的重視并不充分，有些電力企業在管理過程中對信息管理部門完全忽視，只是將企業的網絡信息安全的管理安排給幾個技術員或掛靠到生產技術部門，電力企業作為高盈利企業卻對信息安全資金投入并不充分，信息化管理制度也很不健全。電力企業安全信息機制的構建是個長期的系統工程，我們必須注意到構建專門的信息化部門的重要性，才能在激烈的市場競爭中使得電力企業更好的滿足其發展體制對信息化管理的需求。
2 電力企業安全信息系統的主要問題
2.1 信息安全化管理未分區
國家電力管理委員會出臺的5號規定，對電網企業、發電企業、供電企業等電力相關企業做出了有關其信息安全網絡業務系統構建的明確規定，將這些企業的計算機和網絡技術系統大致分為了管理信息的部分以及生產控制的區域。信息管理區域可以依托各個企業不同的經營管理模式對安全區進行劃分，而生產控制區域一般來說應該由可控制區和非可控區兩大部分構成。在這樣兩個大的區域之間，電力企業必須在國家電力監測認定部門的監督下安裝電力生產專用的單向橫向安全的隔離裝置。如若不能很好的遵從這樣一個標準對電力企業網絡系統進行管理，就經常會出現企業管理信息大區部分網絡直接可以對生產控制區域的數據進行訪問，出現網絡安全事件，影響電力企業的安全生產和發展。
2.2 網絡端口接點存在風險
互聯網技術的革新的步伐越來越快，企業的網絡系統安全建設卻并不牢靠，在部分環節仍然十分脆弱，在電力企業的信息安全網絡建設中， Web程序漏洞、系統漏洞不斷出現，對病毒的侵入無力抵抗，為黑客、病毒制造者提供了入侵的機會，這些信息安全威脅的發生可能會引起電力企業網絡安全系統的癱瘓和網絡故障，為企業造成了這些安全威脅使得企業利益造成了巨大的損失。在最近的一項調查數據中顯示，電力企業中遭受到的網絡安全信息系統威脅中約有70%是由于網絡系統內部的危險侵襲。這種危害的可能發現于諸多方面：對于敏感數據的濫用，對于內部員工的信息監管不力使得信息泄露都提升了企業的運行風險。
2.3 互聯網病毒的侵害
從口語傳播時代到印刷傳播時代，直至現在的網絡傳播時代，互聯網的高速發展使得網絡病毒也迅速得以傳播和擴散。諸多的電力企業網絡內外相連，覆蓋范圍相當廣泛，網絡病毒經常可以有機可乘，牽一發而動全身，從一臺電腦的病毒侵害到整個電力網絡系統，造成網絡通信的阻塞，使得整個系統中的文件和關鍵數據得不到完整的保存，造成不可預計的后果。
2.4 信息安全人員防范意識較低
電力企業信息防范人員對信息安全應用系統的管理是保障信息網絡安全系統的重要一部分。數據庫操作系統的規劃和防范都離不開信息安全人員的有力防范，但在如今的電力企業信息安全系統的管理過程中，相關人員防范意識低下的情況屢屢發生，由此引發的網絡安全漏洞泄露了電力企業機密信息，造成了很大的安全隱患，使企業遭受安全沖擊。用戶的網絡安全防范意識低下是現如今網絡安全的通病，大多數的用戶都認為網絡自身有著一定的自我安全防范意識，對電腦提示的病毒預警視而不見，電力企業中也沒有很好的避免這一點，部分工作人員重技術輕管理，網絡安全信息管理機制的不完善，也給企業的網絡帶來了十分大的管理風險，這就迫切的要求應該對網絡的安全機制進行完善，也應該主動自高工作人員自身的安全防范意識。
3 電力企業安全信息系統風險防御
3.1 防火墻技術的運用
防火墻技術是現今社會經常用于互聯網風險防御的重要手段之一，多用于將可信任網絡和非信任網絡之間相隔開來。電力企業的生產經營和管理的過程中的運行調度中都應該加強在安全檢查中對網絡節點的關注，限制對含帶危險信息的領域的訪問。電力企業在生產經營、分散控制和運行調度的過程中對防火墻技術的運用有效的將信息的采集、整合和應用都限制在可掌控的范圍內，在不同的權限內最大限度的合理的運用著相關資源。
3.2 網絡病毒侵襲的防護
電力企業關系著國家重要電力資源的開發和應用，為了保護電力資源的安全，必須要從內到外的構建起全方位的網絡病毒防侵害系統，更好的對來自于各個方面的病毒信息進行防護。只有提高了企業的整體安全性，在互聯網和周邊的局域網內都安裝好防病毒侵襲的安全網關和內置的病毒防護軟件，才能使得電力企業免受網絡病毒的侵襲，各個方面的數據得以安全與穩定的保存。
在電力企業的網絡準入控制系統中，對接入點客戶的安全策略檢測和身份認證都是必不可少的，若不能通過檢測的用戶應該被嚴令禁止在網絡之外進行隔離。無論是無線用戶還是有限用戶，都將面對互聯網訪問客戶端從驗證、授權到阻止未授權的計算機網絡資源的過程，只有在一系列的檢測中得到審核通過才可以拿到進入內部網絡的通行證，網絡病毒越來越厲害，愈發侵入性越強，對此，電力企業對客戶端主機應該進行更加嚴密的考察，不間斷的對病毒特征信息庫進行更新，維護好網絡的完整和安全性。
3.3 虛擬網的數據備份技術
互聯網技術的網絡拓撲結構設置，加之很好的利用交換機、路由器等功能設置，可以使網絡管理員將任何一個相關局域網內的一些網段結合起來，組成一個局域網。在這個局域網里的信息傳遞速度更加迅速，傳播速度的加快使得網絡信息安全生產過程中的管理效率得到提高，使得電力企業的數據被竊聽的可能性不斷的降低。與此同時，現在電力企業在大多數情況下都會對重要的資料進行數據庫的備份工作，這樣構建起對電力企業信息網絡安全系統的應急預案，可以在出現網絡侵襲時及時的對關鍵業務和應用程序進行保護，確保核心數據系統在出現損害時，企業核心安全得到保護。
3.4 終端設備的網絡準入控制技術
可采用基于網關認證的硬件控制技術，實現對通過無線網絡、有線網絡、VPN網絡、wifi網絡等方式連接的設備進行接入控制。同時，采用“報備重定向+注冊重定向”的雙重認證保護技術，對非法接入的終端設備進行強制重定向安全檢查。對不符合安全等級要求的終端設備，可根據系統策略限制用戶接入網絡或將其訪問限制在隔離區。
網絡準入控制技術應以細致、準確、迅速為原則，對網絡資源訪問進行控制，尤其是一些核心的網絡應用，包括C/S、B/S以及服務器應用；以精益化的客戶端聯動管理為核心，基于多種授權方式，包括單用戶授權、用戶組授權、白名單授權等方式，實現對未受控客戶端實施不同用戶級別的可靠便捷的接入控制。
4 結論
電力企業的安全信息系統是電力企業信息化管理的重要內容之一，有效的對電力企業安全信息系統將要面臨的風險進行評估并且提出切實可行的防御措施，是保障電力企業現代化管理的有力手段。隨著近些年來互聯網技術的增強，電力企業的安全系統構建也愈發的完善，為電力企業的良性循環運行提供了必要的技術支持和保障，因此，我們應該重視對互聯網信息的保護，防御病毒的侵害，為為電力企業的安全信息系統的正常運行營造起安全的網絡環境。
參考文獻：
[1]陳偉.電力系統網絡安全體系研究[J].電力系統通信，2008（01）.
[2]牟奕欣.關于電力系統的網絡安全的探討[J].中國經貿，2010（14）.
關鍵詞：電力安全；施工；安全管理；應用；
中圖分類號：V351.31 文獻標識碼：A 文章編號：1674-3520（2014）-04-00233-01
前言：隨著電力企業的不斷發展，安全生產已經成為電力企業長足發展、基業長青的重要保障。我國的電力安全管理從最初的事后管理和缺陷管理逐步走向安全風險管理，發生了質的飛躍。安全生產管理將電力生產過程中的安全隱患及時的消除，起到了防患于未然的作用。文章中筆者從電力安全風險管理措施進行了簡要的介紹，對電力安全生產工作的順利展開具有重要的意義，確保電力安全生產的可靠性和經濟性以及社會性。
一、電力安全風險等級簡介
電力安全等級管理的事后管理、缺陷管理以及風險管理的理論基礎是事故理論、危險理論以及風險理論。在長期的工作和事故研究過程中發現電力安全事故發生的瞬間包括了人和物的不安全狀態。研究結果表明為了防止電力安全事故的發生應該從人和物兩個方面入手，可以從安全風險評估來進行電力風險等級的評價。
二、電力工程施工安全組織措施
（一）電力工程施工現場安全電力的組織措施。1、為了保證電力工程施工現場的安全管理，施工單位應做好組織措施。首先，應該建立一個組織結構，并且配備專職的安全工程師進行施工現場的安全管理，并且應明確職責范圍，有效保證安全管理質量。第二，建設單位應該建立一個專職的安全機構，來檢查和督促施工單位進行安全生產；第三，監理單位應該督促施工單位建立健全安全責任制度和群防群治制度，并且應該按時檢查專職安全人員的工作情況；第四，相關單位有權建議調離不稱職的安全觀管理人員，并幫助施工單位聘任合格的安全管理人員，進一步保證施工現場的安全。2、在進行施工現場的安全管理時首先應該設定合理的安全控制目標。然后從目標的確定到目標的開展以及目標的完成三個方面來進行。為了進一步加大施工現場的安全管理力度，應定期組織相關人員開展現場文明、安全例會，并且要做好會議記錄，并以書面形式上交給項目參與方，來加強現場管理的水平，提高施工現場的安全管理質量。可以通過明確安全管理職責，加強安全管理手段以及制定施工安全應急預案等來進行安全管理。通過落實安全生產責任制，制定合理的獎懲制度，定期不定期的組織安全檢查，并對安全管理人員進行績效考核。除此之外，還應加大對施工現場安全管理的力度，嚴懲違章作業行為。再次，安全管理的原則應該是預防為主，因此應做好安全應急預案，來盡量減小發生安全事故時的損失。3、要保證施工現場安全監理工作的有效性，就應建立健全安全管理制度。通過安全管理制度來推動施工安全管理的順利開展，為項目的安全提供保障。為了確保電力工程施工現場的安全得到有效控制，要加強對工程安全管理的重視程度，并落實責任制度。這就要求全面落實責任制度，對施工工程中出現的質量問題層層的落實下去。只有建立嚴格的責任制度并將其落實，才能有效的控制電力工程施工現場的安全。
（二）施工現場安全管理的技術措施。技術措施是進行施工現場安全管理的一個重要手段。為了保證施工現場安全，監理單位應該全力配合承包單位根據具體的施工技術、施工工藝制定合理的安全技術措施，并嚴格審查施工方案以及施工組織設計的安全性和可行性。除此之外，為了更好的保證施工現場的安全，監理單位應協助承包單位嚴格按照安全技術規程和標準進行施工。
（三）安全風險等級評估管理系統設計的內容。第一，系統設計的內容之一就是生產環境的設計。在進行系統設計時需要對可能造成安全風險的環境進行評估，比如說不合理的電力設施的結構設計、不正確的電力控制機構的狀態等都可能造成電力生產人員的安全事故，并對電力生產環境的現場以及操作過程中的安全防范措施進行有效的評估。第二，需要對機具以及防護部分進行設計。這就要求安全風險等級評估管理系統對生產使用的機具以及防護措施的性能、保管、管理、配備以及使用等可能造成生產人員安全事故的方面進行有效的評估。第三，對電力施工生產現場進行管理，要求從生產人員的操作以及施工現場的安全管理措施、規章制度以及安全事故的應急措施等方面進行有效的評估。可以從以下四個方面進行：（1）為了保證電力工程施工安全降低風險，應做好組織措施。首先，應該建立一個組織結構；第二，應該建立一個專職的安全機構，來降低電力工程施工安全風險；第三，施工單位建立健全安全責任制度和群防群治制度，并且應該按時檢查專職安全人員的工作情況。（2）電力施工工程安全風險管理時首先應該設定合理的安全控制目標。然后從目標的確定到目標的開展以及目標的完成三個方面來進行。為了進一步降低施工風險，應定期組織相關人員開展現場文明、安全例會，可以通過明確安全管理職責，加強安全管理手段以及制定施工安全應急預案等來進行安全管理。通過落實安全生產責任制，制定合理的獎懲制度，定期不定期的組織安全檢查，并對安全管理人員進行績效考核。（3）在進行電力工程施工現場安全管理工作，建立健全安全管理制度。通過安全管理制度來推動施工安全管理的順利開展，為項目的安全提供保障。為了確保電力工程施工現場的安全得到有效控制，領導要加強對工程安全管理的重視程度，并落實責任制度。
三、結束語：
文章中筆者結合多年的工作經驗對電力安全風險等級及電力施工安全管理進行了分析和探討，通過安全風險等級評估系統的建立對電力安全事故進行有效的控制，并進行事前的防范和事后控制。風險等級評估管理系統的應用可以實現電力安全的全面管理，提高安全風險管理的可靠性和安全性，并達到未雨綢繆的效果。
參考文獻：
【1】關宇. 電力安全管理中的問題以及風險評估管理系統[J]. 科技創新與應用，2013，27：167.
【2】武彬，張玉清，毛劍. 信息安全風險管理系統的設計與實現[J]. 計算機工程，2007，21：134-136+139.
信息產業的迅猛發展，使得信息化技術成為社會發展的必要組成部分，信息化技術為國民經濟的發展注入了新鮮的活力，更加速了國名經濟的發展和人民生活水平的提高。當然，人們在享受信息技術帶來的巨大便利時，也面臨著各種信息安全問題帶來的威脅。這種信息安全事件帶來的影響是惡劣的，它將造成巨大的財產損失和信息系統的損害。因此，信息系統的安全問題不得不引起社會和民眾的關注，完善信息系統的安全性，加強信息安全的風險評估成為亟待解決的問題。
1 信息安全風險評估概述及必要性
1.1 信息安全風險評估概述
首先，信息安全風險，主要是指人為或自然的利用信息系統脆弱性操作威脅信息系統，以導致信息系統發生安全事件或造成一定消極影響的可能。而信息安全風險評估簡單的理解，就是以減少信息安全風險為目的通過科學處理信息系統的方法對信息系統的保密性、完整性進行評估。信息安全風險評估工作是一項保證信息系統相對安全的重要工作，必須科學的對信息系統的生命周期進行評估，最大限度的保障網絡和信息的安全。
1.2 信息安全風險評估的必要性
信息安全評估是為了更好的保障信息系統的安全，以確保對信息化技術的正常使用。信息安全風險評估是信息系統安全管理的必要和關鍵的環節，因為信息系統的安全管理必須建立在科學的風險評估基礎上，科學的風險評估有利于正確判斷信息系統的安全風險問題，提供風險問題的及時解決方案。
2 信息安全風險評估過程及方法
信息安全風險的評估過程極其復雜和規范。為了加強我國信息安全風險評估工作的開展，這里有必要對風險評估的過程和方法給予提示和借鑒。風險評估的過程要求完整而準確。具體有如下步驟：
1)風險評估的準備工作，即要確定信息系統資產，包含范圍、價值、評估團隊、評估依據和方法等方面。要明確好這些資產信息，做好識別。2)對資產的脆弱性及威脅的識別工作，這是由于信息系統存在脆弱性的特點，所以要周密分析信息系統的脆弱點，統計分析信息系統發生威脅事件的可能性以及可能造成的損失。3)安全風險分析，這是較為重要的環節。主要是采用方法與工具確定威脅利用信息系統脆弱性導致安全事件發生的可能性，便于決策的提出。4)制定安全控制措施，主要有針對性的制定出控制威脅發生的措施，并確認措施的有效性，最大限度的降低安全風險，確保信息系統的安全。5)措施實施的階段，主要是在有效監督下實施安全措施，并及時發現問題和改正。
對于信息安全風險評估的方法，國內外進行了很多不同的方法嘗試。方法一般都遵循風險評估的流程，只是在手段和計算方法上有差異，但是分別都有一定的評估效果。主要采用：定性評估、定量評估、以及定性與定量相結合的評估，最后的方法是一個互補的評估方式，能達到評估的最佳效果。
3 我國信息安全風險評估發展現狀
較美國等西方國家關于信息安全系統風險評估的發展歷史和技術研究，我國起步比較晚且落后于發達國家。但近年來，隨著社會各界對信息系統安全的重視，我國開始在信息系統安全管理工作上加大力度，并把信息系統的安全評估工作放在重要的位置，不斷創新研究，取得了高效成果。但是，就我國目前的信息安全風險評估工作看來，還存在諸多問題。
1)我國部分企業、組織和部門對于信息系統安全風險評估沒有引起絕對的重視，沒有大力普及風險評估工作。由于領導者及員工的信息安全防范意識不強以及自身素質水平的影響，導致對風險評估的流程及必要性都不了解，就不太重視對企業信息系統的安全風險評估工作。
2)我國缺乏信息系統安全風險評估的規范化標準。我國目前的信息系統安全風險評估工作的開展，大部分依靠參考國際標準提供服務，只注重效仿，而缺乏對我國信息系統安全風險的實際狀況的研究，沒有針對性，得不到應有的效果。
3)我國缺乏行之有效的理論和技術，也缺乏實踐的經驗。由于科技水平的相對落后，對于信息系統的安全風險評估缺乏合適的理論、方法、技術等。我國僅依靠深化研究IT技術共性風險，而沒有針對性的行業信息個性風險評估，這是沒有聯系實際的舉措，是不能真正將信息系統的安全風險評估落實到位的。
4)在對信息系統安全風險的額評估中角色的責任不明確。這應該歸咎于領導的和員工的不符責任及素質水平的落后。對風險評估理論缺乏，那么就會導致參與評估工作領導和員工角色不明確，領導對評估工作的指導角色以及責任不明確，員工則對評估工作流程方法不理解，都大大降低了風險評估的工作效率。
以上種種關于信息系統安全風險評估的現狀問題反映出我國在對信息系統安全風險評估的工作還缺乏很多理論和實踐的指導。我國的信息系統安全風險評估工作的開展力度還遠不夠，那些在信息系統安全風險評估工作的成果還遠遠達不到評估工作的標準。
4 強化信息安全風險評估的對策
4.1 加強對信息安全風險評估的重視
信息化技術對于每一個企事業單位都是至關重要的，企業在對工作任務的執行和管理中都必須用到信息化技術，因此，保證信息系統的安全性對于企業的發展至關重要。企業、組織和部門要加強對信息安全風險評估的重視，強化風險意識，將信息安全風險評估作為一項長期的工作來開展。
4.2 完善我國信息系統安全風險評估的規范化標準
上文中指出我國目前的信息系統安全風險評估工作大部分依靠國際標準在進行，國內沒有一個統一的評估標準。因此，我國應該根據企業各種標準的側重點，自主創新研究，創造出自己的標準技術體系，而不再一味的去效仿他國。只有這樣，我國的信息系統安全風險評估才能得到迅猛的提高與發展，才能保證國家信息化的安全。
4.3 加強對評估專業人才的培養
信息化技術是一項非常專業的技術，只有擁有專業知識和技能的高科技人才才能控制和把握。信息安全風險的評估工作上則更需要擁有專業技能和業務水平的人才，他們必須對信息化技術相當了解和精通，對風險評估的方法、手段、模型、流程必須熟練。因此，企事業單位要加強對專業人才的培養，定期進行業務技能培訓，鼓勵人才的自主學習，不斷提高自身的能力，為確保企業信息安全評估工作的高效發展及信息安全貢獻力量。
4.4 加強科技創新，增強評估的可操作性
我國的科技水平較西方國家有很大的差距，因此在對信息安全風險的評估工作中，也存在理論和技術上的差距。我國應該不斷的加強科研力度，在理論和技術上加以完善，在評估工具上改進，以確保評估工作的高效開展。信息系統風險評估是一個過程體系，必須抓好每一環節的技術性，在依據實際狀況下進行風險評估。
4.5 明確評估工作的職責劃分
信息安全風險評估工作是復雜的，每一個流程都需要投入一定的人力、物力和財力。針對人力這一方面，企業單位應該明確劃分評估工作人員的職責范圍，管理者要發揮好領導監督作用，有效指導評估工作的開展，員工則有效發揮自身的作用和能力。進而在每一環節工作人員共同協作下，完成評估工作的各項流程，并達到預期的成效。
5 結束語
隨著我國信息技術水平不斷的進步和提高，信息安全工作成為一項必須引起高度重視的工作之一。在當前我國信息安全風險評估還不夠全面和科學的情況下，我國應該加強科技創新，依靠科學有效的管理以及綜合規范的保障手段，在借鑒西方國家先進理論和技術的同時結合我國企業單位信息安全風險評估的實際現狀，有針對性的實施有效方法，確保信息系統的安全性，進而保證我國信息化的安全發展。
根據以往學者研究及實踐表明，對計算機信息安全保障的工作可歸納為安全管理、安全組織以及安全技術等三方面的體系建設。而確保其保障工作的順利展開需以信息安全的風險評估作為核心內容。因此對風險評估的作用主要體現在：首先，信息安全保障需以風險評估作為基礎。對計算機信息系統進行風險評估過程多集中在對系統所面臨的安全性、可靠性等方面的風險，并在此基礎上做出相應的防范、控制、轉移以及分散等策略。其次，信息安全風險管理中的風險評估是重要環節。從《信息安全管理系統要求》中不難發現，對ISMS的建立、實施以及維護等方面都應充分發揮風險評估的作用。最后，風險評估的核查作用。驗收信息系統設計安裝等是否滿足安全標準時，風險評估可提供具體的數據參考。同時在維護信息系統貴過程中，通過風險評估也可將系統對環境變化的適應能力以及相關的安全措施進行核查。若出現信息系統出現故障問題時，風險評估又可對其中的風險作出分析并采取相應的技術或管理措施。
二、計算機信息系統安全風險的評估方法分析
（一）以定性與定量為主的評估方法。
計算機信息系統安全風險評估方法中應用較為廣泛的主要為定性評估方式，其分析內容大多為信息系統威脅事件可能發生的概率及其可能造成的損失。通常以指定期望值進行表示如高值、中值以及低值等。但這種方式無法將風險的大小作出正確判斷。另外定量分析方法對威脅事件發生的可能性與其所造成的損失評估時，首先會對特定資產價值進行分析，再以客觀數據為依據對威脅頻率進行計算，當完成威脅影響系數的計算后，便將三者綜合分析，最終推出計算風險的等級。
（二）以知識和模型為基礎的風險評估。
以知識為基礎的風險評估通常會根據安全專家的評估經驗為依據，優勢在于風險評估的結構框架、實施計劃以及保護措施可被提供，對較為相似的機構可直接利用以往的保護措施等便可實現機構安全風險的降低。另外以模型為基礎的評估方式可將計算機信息系統自身的風險及其與外部環境交互過程中存在的不利因素等進行分析，以此實現對系統安全風險的定性評估。
（三）動態評估與分析方式。
計算信息系統風險管理實際又可理解為信息安全管理的具體過程，一般會將信息安全方針的制定、風險的評估與控制、控制方式的選擇等內容包含在內。整個評估與分析方式具有一定的動態特征，以PDCA為典型代表，其計劃、實施、檢查以及改進實現了對風險的動態管理。
（四）典型風險評估與差距分析方法分析。
典型風險評估主要包括FTA、FMECA、Hazop等方法，對計算機信息系統設計中潛在的故障與薄弱之處，都可提出相應的解決措施，以FTA故障樹分析為典型代表，在分析家算計信息系統的安全性與可靠性方面極為有效。差距分析方式往往以識別、判斷以及具體分析的方式對系統的安全要求與當前的系統現狀存在的差距進行系統風險的確定，存在的差距越大則證明存在的風險越大。
三、結論
1.1需求分析
通過德爾菲法、訪談法、SWOT分析等風險管理技術，向學院各職能部門和其它渠道收集風險信息，分類總結，然后列出風險系統開發的大功能模塊，每個大功能模塊有哪些小功能模塊；描述實現具體模塊所涉及到的主要算法、數據結構、類的層次結構及調用關系，需要說明軟件系統各個層次中每個模塊或子程序的設計考慮，以便進行編碼測試。系統平臺可以實現以下功能：自動輸出風險評估報告和建議報告，有效監控預防風險；對風險進行定量分析，實現以圖表直觀形式輸出顯示，并展示相應的數據指標；用戶以個人賬戶或部門賬戶，登錄到風險評估輸入列表，選擇相應的職能部門、行業類型、風險級別指標、以問答的形式選擇相應的內置風險條目，根據登陸權限，可自擬增加、刪除風險條目；可實現日常工作重要環節和重點風險過程的時間提醒功能，通過手機短信或網頁提示窗提示等手段，提醒重點工作的正常開展，防范工作疏忽引起的風險；風險級別指標制定，可參考相應的國家或行業標準，也可自擬；系統平臺內有評估標準，根據評估標準設計評估模型，利用評估模型對風險評估報告進行評估，得出評估結果供風險決策者參考；校領導和各職能部門負責人可根據管理權限查詢相應的風險數據；B/S架構，實現新聞即時，可及時更新各高校風險管理中的經驗交流文章、理論知識。
1.2程序編碼實現
開始具體的編寫程序工作，分別實現各模塊的功能，從而實現對目標系統的功能、性能、接口、界面等方面的要求；開發過程中，邊開發邊測試，系統完工后，通過內部外部測試、模塊測試、整體聯調等測試方法，驗證系統的整體穩定性，不斷完善。
1.3具體應用
軟件開發完成，做成相關的技術文檔，系統上線；在具體應用中發現問題及時登記到問題記錄冊，反饋到開發人員，為以后的系統平臺升級提供依據。
2平臺功能模塊
信息安全風險評估平臺的開發環境為/MSSQL，基于SOA軟件系統架構解決學院各信息系統集成，通過PDCA循環模型具體實施。信息安全風險評估系統平臺建設主要包括評估公告、用戶管理、指標設置、綜合評估、綜合查詢、報表系統，數據導出七大模塊。
2.1評估公告模塊
評估公告模塊實現新聞即時，可及時更新各高校風險管理中的經驗交流文章、理論知識；可實現日常工作重要環節和重點風險過程的時間提醒功能，提醒重點工作的正常開展，防范工作疏忽引起的信息系統風險。
2.2用戶管理模塊
用戶管理模塊的功能是管理用戶信息，主要包括用戶的用戶名、密碼和權限，同時支持顯示所有注冊用戶信息和刪除用戶功能；模塊可以添加系統管理員、評估人和評估單位，評估人員可以設置不同的權限，限制評估范圍；用戶以個人賬戶或部門賬戶，登錄到風險評估輸入列表，選擇相應的職能部門、行業類型、風險級別指標、以問答的形式選擇相應的內置風險條目；不同的用戶登錄系統顯示的模塊不一樣，根據登陸權限，可自擬增加、刪除風險條目。
3.3指標設置模塊
指標設置模塊主要是依據國家有關信息安全風險評估指標，實現信息系統風險評估的指標體系設置，劃分兩級指標細化評估體系，一級指標劃分為信息資產、威脅性、脆弱性，二級指標從硬件、軟件、風險識別等細化指標體系；實現指標庫的設置，可以分配不同的被評估單位相應的評價指標。
2.4綜合評估模塊
綜合評估模塊包括評估列表、評估歷史。評估列表顯示所有被評估單位，某一單位用戶登錄以后，系統自動調用相應的指標庫，回答相應的信息系統安全問題，系統自動給出指標分數；評估歷史是不同的賬戶登錄，顯示的列表不同，管理員能查詢所有的用戶評估歷史，單位用戶只能查詢本系部的評估歷史。
2.5綜合查詢模塊
綜合查詢模塊實現不同單位評估次數、評估成績、各評估對象不同時間段等的評估查詢。
2.6報表系統模塊
報表模塊實現了不同單位評估次數、評估成績、各評估對象的柱狀圖的形式直觀展示。
2.7數據導出模塊
數據導出模塊實現了評估單位當前總成績或歷史評估成績的數據導出功能，支持PDF、Word、Excel文檔格式。
3系統評估操作流程
系統管理員首先在系統后臺對不同的用戶設置相應的評估指標庫；用戶通過用戶名和密碼登錄系統后臺；登錄成功后系統會自動調用相應的評價指標，用戶回答相應的問題；回答結束后，用戶點擊提交，系統自動給出相應的評估分值；用戶打印或存儲評估數據報告。
4平臺應用效果
4.1為我國高校的信息系統風險預防和應急處理提供建設性的意見
目前關于我國高校風險評估研究的大多停留在某些具體領域，主要是對宏觀風險管理和財務風險狀況進行探討，對信息系統安全的研究較少。信息安全風險評估系統平臺對高校信息安全風險進行定量分析評估，為我國高校信息系統風險評估提供了一個重要平臺，為高校的信息系統風險預防和應急處理提供一些建設性的意見。
4.2為高校各級信息系統管理者提供了處理信息系統
風險的決策依據系統實現各級信息系統管理者可實時查詢部門風險評估，針對高校日常管理中可能面臨的各類信息系統安全風險、建議應對措施、突發事件、應急預案、法律法規等相關風險管理文檔查詢，為科學決策提供依據。
4.3信息系統安全風險處理更迅速
信息系統安全風險評估平臺與學院網絡安全教育平臺、運維網站數據整合，當網絡遭受攻擊、病毒肆虐時，能第一時間獲得相關信息，為快速解決信息系統安全風險創造了條件。
4.4提高了全校師生網絡安全防范和參與意識
通過信息系統安全風險評估平臺，全院師生提高了網絡安全防范和參與意識，為河南牧業經濟學院網絡信息化建設出謀劃策，促進學校領導和有關職能部門制定和完善網絡有關管理制度。
4.5規范了全校師生的上網行為，減少了網絡攻擊
全校師生通過平臺了解學校網絡管理相關制度和管理方式，認識到自己的上網行為在學校監督管理中，從而自覺規范自身的上網行為。平臺為引導師生正確使用網絡、規避風險，保障校園網網絡良好正常運轉起到了積極的作用。通過信息系統風險評估的漏洞查找，各系部加強了網絡安全知識普及、全員參與、相關規章制度的約束，一直困擾我院網管人員的網絡非法攻擊，特別是破壞后果更難預測的內部網絡攻擊得到了有效的遏制。
5結束語
