深圳市赛为安全技术服务有限公司
EN
菜 单

谨防风险评估的风险

类别:文章分享 发布时间:2018-02-25 浏览人次:

风险评估的风险

电力系统在开展信息系统安全评估的初期阶段,出现过一些问题。有的用户单位没有与评估厂家签定保密协议,评估厂家拿着评估报告到处进行宣传,甚至有的地址还在上面,安全风险评估反而造成新的风险,即所谓“评估的风险”。


有的单位在进行安全风险评估过程中,造成应用系统停机,影响正常业务。主要是对在线系统进行漏洞扫描引起的。


有的单位没有进行日常的自我安全评估,完全依赖外部的安全风险评估,评估追求形式、走过场,评估后没有进行修改完善。也有的单位自我感觉良好,害怕安全评估给自己找麻烦,或讳疾忌医,拒绝进行正规的安全评估。


针对这些问题,国家电力公司组织制定了电力二次系统即由电网和电厂的计算机监控系统及调度数据网络构成的一个综合负责的系统安全评估规范,建立了以日常自评估为主、周期性专业评估为辅的制度,逐步培养起一批既熟悉电力系统应用,又有安全评估经验的可靠的专业评估队伍,形成了良好的安全评估秩序。

谨防风险评估的风险

风险评估的原则

电力信息系统的风险评估需按如下原则进行:标准的遵从、评估的完整性、评估过程的低风险、以及评估的实用性。

参照ISO/IECTR13335标准系列和BS7799的要求,制定网络系统安全评估方案,方案包括了评估的主要步骤、技术内容和实施管理。

按阶段评估分为:评估启动阶段、安全风险评估阶段、风险分析阶段和提出安全建议阶段.评估的每个阶段又由不同的工作活动组成。

评估工作的主要内容为现场风险评估,包括资产统计、A胁分析、漏洞发现、人工评估等,安全风险评估工作的所有内容围绕现场风险评估展开。

图:风险评估实施流程图

图:风险评估实施流程图

电力系统信息资产统计包括对评估范围内的所有有形和无形资产的统计,以及对这些资产的标识和其具有的价值和影响的半定量化的估算。

漏洞扫描通过一系列的扫描工具对信息系统中的漏洞进行发现,确认系统中的脆弱点数量和严重性。


威胁分析通过对网络系统历史上受到的攻击和危害的统计和判断,结合国际公认的威胁列表,以及系统环境分析,确定对当前系统最大的威胁来源。


策略文档分析主要是对网络系统中已制定和先采用的策略文档进行安全性分析、完整性分析和有效性分析,通过分析发现现有策略中的漏洞和确定策略体系的完整性。本部分的工作可以先期展开。


审计和策略访谈主要是按照BS7799中对信息安全管理的要求分级别、分角色、分类对调度系统管理人员进行信息安全的调查,以确定网络系统中涉及到的管理漏洞、人员安全意识等问题。其中,包括了对业务系统的跟踪分析和对现有策略执行情况的调查。


评估总结是对现场工作的汇报和情况总结,包括数据的初步整理、审核和确认。

 

推荐阅读

HAZOP分析的特点及步骤

HAZOP分析是一种定性的风险分析方法,其益处很多,如:对分析对象(流程、设备)的隐患和可操作性进行系统、全面的评审;能对误操作的后果进行分析评价并提出相应的预防措施;能对从未发生过但可能出现的事故和险情进行预测性的评价;能改进流程设备的安全性和效率;通过分析的过程能让参与者分析对象有彻底深入的了解。

2019-07-23
双重预防体系系统能解决企业安全管理中哪些问题?

双重预防机制是指安全风险分级管控和隐患排查治理双重预防机制。 风险分级管控是指通过识别生产经营活动中存在的危险、有害因素,运用定性或定量的统计分析方法确定其风险严重程度,确定风险控制的优先顺序和风险控制措施。

2019-07-22
危险源的分类与辨识方法

摘要:危险源辨识与风险评价是职业健康安全管理体系建设的初始工作,也是体系建立的核心要素。体系建设随后的各项工作全部围绕着危险源的辨识而开展,因此危险源辨识也决定着职业健康安全管理体系建立成败的关键。本文结合作者在建立体系过程中的经验,介绍了怎样开展危险源辨识工作及可能遇到问题的解决方法,对企业在体系建立过程中的危险源辨识工作具有一定的指导意义。

2019-07-19
安全培训心得范文

安全是企业的永恒课题,“安全为了生产、生产必须安全”,安全生产事关企业的稳定和职工的生命安全,工作任重而道远,我们只有把各项工作长抓不懈,消除隐患以防为主,才能保持安全生产良好局面的长期稳定。

2019-07-17
安全隐患排查方案怎么做

为贯彻落实上级有关文件精神要求,进一步加强安全生产工作.遏制事故的发生.我公司决定开展隐患排查治理专项行动,进一步落实企业的安全生产主体责任,特制定如下方案:

2019-07-16
如何利用心理学做好HSE管理

[摘要]人的情绪是其心理活动的外在表现,企业员工正常工作过程中的心理、情绪状态,将直接影响到企业的安全生产,影响到HSE管理体系的良好运行。

2019-07-16
X
X
400-902-2878400-902-2878
企业邮箱mail@safewaychina.com
在线咨询在线咨询