IT系统建设中的风险控制

本文假设这样一个场景：一个大型企业内部网络的安全工程建设，需要考虑基于防火墙、入侵检测、防病毒的安全设计与工程实施。在这样一个典型安全工程中，我们首先需要建立企业自身的信息安全策略，技术规范，以及在建设过程中引入风险控制，才能达到我们预先确立的安全目标。限于篇幅，我们重点关注在项目过程中的风险管理内容而在下文重点描述风险识别与控制的方法与对策。

众所周知，“以信息化带动工业化”是我国的一项基本国策，而以电子商务带动信息化是我国信息化的重要组成部分。电子商务是指商业机构利用信息化手段，实现各类企业职能。其核心是：应用信息技术，提高企业事务处理的效率，改善运营和决策管理。但是，企业对信息技术的有效应用有一个根本性的前提条件，那就是必须要有切实可靠的安全保障。中国工程院院长徐匡迪曾一针见血的指出：“没有安全的工程是豆腐渣工程”。所以，如何保证电子商务系统的安全可靠运行，如何使企业在电子商务过程中防止机密信息被窃取，传输的文件、数据能够在方便快捷的同时具有可靠的安全保障，就成为影响电子商务健康发展的关键问题。

保障信息安全就是信息在被使用的过程中保护其保密性、完整性、可用性、抗抵赖性和真实性的行为总和。信息安全的发展经历了三个阶段，即：

1．20世纪初期建立的强调以密码技术为核心的安全防护技术和理论，其强调信息的保密性；

2．20世纪60年代后期建立的以美国TCSEC和欧洲ITSEC为代表，强调信息的保密性、完整性和可用性；

3．20世纪80年代建立的包括保护、检测、响应、恢复等过程的动态、主动防护的安全保障体系，又产生了信息的抗抵赖性和真实性，其中以美国的IATF和ISO13335为代表。

信息安全策略是对信息安全目的、期望和目标、以及实现它们所必须运用的策略的高层次论述。信息系统安全策略是一切信息安全活动的基础，指导电子商务信息系统安全结构体系的开发和实施。管理层应制定一个明确的安全策略方向，并通过在整个组织中发布和维护信息安全策略，表明自己对信息安全的支持和保护责任。

每个策略应该有一个负责人，他根据明确规定的审查程序对策略进行维护和审查。审查过程应该确保在发生影响最初风险评估的基础的变化（如发生重大安全事故、出现新的漏洞以及组织或技术基础结构发生变更）时，对策略进行相应的审查。

以安全策略为核心的电子商务信息安全建设体系包括如下内容：

安全管理机构

首先要建立独立的安全管理机构，负责制定安全策略的组织和规划工作，并且对安全建设工作进行规划和审计。在自身条件有限的情况下，可以考虑与可信的第三方专业安全组织合作，协助完成制定安全策略和安全建设的其他方面工作。

调研与评估

信息系统的安全建设以安全策略为核心，而安全策略的制定和改进是建立的不断的评估的基础之上的，建立有效的安全评估和改进体系，为安全策略的制定和改进提供必要的技术依据。在进行安全评估的过程中，应该充分考虑如下几个方面的内容：

• 安全政策、法规
• 国内外安全标准
• 信息系统现状
• 安全建设现状

安全策略

信息安全策略主要包括如下内容：

1．信息安全的定义、电子商务信息安全的总体目标及范围以及安全作为保障信息共享的机制所具有的重要性；

2．电子商务信息安全的管理意图、支持目标以及指导原则；简要说明安全策略、原则、标准以及需要遵守的各项规定。

3．确定电子商务信息安全管理的一般责任和具体责任，包括报告安全事故；

4．支持安全策略的有关文献，例如针对特定信息系统的更为详尽的安全策略和方法以及用户应该遵守的安全规则。安全策略应该向组织用户传达，形式上是针对目标读者，并为读者接受和理解。

技术规范

根据自身信息系统的现状，制定的一系列适合自身的技术标准。如：对于安全产品的资质要求、防火墙设备的吞吐量要求、加密机的处理能力要求等。

技术实现

根据制定的技术规范，将技术规范应用到自己的信息系统中。如：采用什么设备划分网络安全域，以及管理方式等。

管理体系

建立一整套完善的安全管理体系规范信息系统合法使用者的行为，并且在制度上防止信息系统被非法使用或恶意的破坏。如：标准的操作流程、安全培训制度等。

安全指南

为系统用户提供一套建议的系统操作、使用的方法或方式。如：个人文件管理方式、电子邮件的使用等。

同时，风险控制是信息安全工程中重要的组成部分。好的风险控制才能使信息安全项目走向成功。一般而言，信息安全项目管理主要包括对项目的规划、组织、设计、实施和控制等过程，确保资源满足项目技术、工期、成本的需求，使项目按时、按质和在合理的成本下完成。项目管理包括许多目标。对于一个通用的信息安全项目来说，一般包括：项目范围、项目整体计划、进度计划、质量管理、项目组织与资源管理、项目沟通与协调、项目风险管理、项目变更与控制管理、项目文档管理等内容。

信息安全工程建设项目管理综述

随着网络的普及与发展，企业信息化将是必然趋势，也是树立企业形象、提高办公效率的重要途径。但是确保企业信息安全不是件容易的事。信息安全项目管理的主要内容包括：

• 为企业网络安全工程项目制定项目管理计划；
• 确定需求与范围基准；确定项目基础、假设、限制与界外；
• 进行工作任务分解，列出所有执行的阶段/过程/活动，并对活动进行排序（活动的关联性）；
• 通过范围基准确定主要成果（主要交付件）；
• 确定项目资源需求；
• 制定项目变更计划及控制流程；
• 通过项目的总体计划和范围的计划、执行（实施）和控制，更好地控制项目的目的和目标。

1)  项目需求与范围说明

首先来看项目范围说明。信息安全工程项目主要为提高信息的安全性，推动网络安全和管理的建设。网络安全工程实施集防火墙、入侵检测、防病毒等全部功能于一身，形成全面、多级的保护，其工作范围说明包括：

• 网络安全系统解决方案；
• 安全产品选型与集成，包括：防火墙系统集成、入侵检测系统集成、防病毒系统集成。

依此可以得出主要交付件为：网络安全方案、防火墙系统、入侵检测系统、防病毒系统等。

2)  工作阶段/过程概述

项目阶段即为项目管理过程。通过项目管理过程，叙述了各项目管理程序所涉及或必须考虑的活动、活动条件及要求（过程输入）、活动内容、活动成果（过程输出）、活动排序（过程间的交互和关系）及活动估算（时间、资源）等。

通用项目管理包括项目启动、项目计划、项目执行、项目控制和项目阶段5大阶段39个子过程。

结合企业网络安全工程项目的要求，企业网络安全工程项目覆盖项目启动、计划、执行、控制和收尾各个阶段。包括需求设计、计划制定、采购、产品验收、配置安装测试、试运行、审核验收、生产移交等环节。

本项目将分阶段完成，每阶段将有其特有工作和目标。本项目分为以下7大阶段（括号内为项目工期）：

• 项目启动阶段（1周）
• 需求分析与设计阶段（2周）
• 产品采购阶段（2周）
• 项目实施细则制定阶段（1周）
• 调试与工程实施阶段（1周）
• 试运行阶段（4周）
• 项目验收阶段（1周）

每一阶段的具体内容、输入、阶段成果在此不一一描述。

3)  项目组织与资源管理

本项目涉及到多个子系统。可以组建基于总集成和子项目、由集成商、产品提供商和业主共同参与的项目团队。

4)  项目沟通与协调

沟通管理处理信息的组织和控制，以满足项目的需要。它包括在项目中对信息的传输、过滤、接收以及解释或理解等的处理。所有沟通将通过各方的项目经理授权项目协调人进行。

沟通途径。本项目涉及到采购、外协、工作协调等内容。主要体现在：集成商与产品提供商；集成商与服务需求方；项目组内部沟通、子项目间沟通。

项目协调。整个项目成立项目协调小组进行各工作组组内及组间的协调工作，所有沟通将通过各方的项目经理授权项目协调人进行。

沟通与协调模式。包括：

主要会议——包括：项目状态汇报会议、项目组成员讨论会议、领导委员会会议等。

主要报告——包括：项目状态报告、现场服务报告、项目协调表等。

项目信息维护与管理——所有项目信息通过项目管理信息系统与配置管理系统进行维护与管理。

5)  质量管理综述

项目质量管理主要从满足项目客户要求的角度制定质量目标和质量计划，并考虑相关的质量保证和质量控制措施。

质量保证主要考虑在方案设计和实施过程中，对实施过程进行标准化，为提高改善确保实施质量提供了统一的质量标准。

质量控制由“测试策略”、“审核和验收过程”、“产品交付过程”等进行管理。主要覆盖测试、审核、验收、产品交付等环节。

6)  项目控制管理

项目控制管理包括：配置管理与变更控制。

配置管理包括：配置管理计划、产品版本、配置管理控制等。

变更与控制包括：变更管理计划、变更管理与控制内容、变更管理与控制主要执行工具与技术、项目变更管理与控制系统、变更与控制效果与影响分析等。变更管理计划由以下部分组成：变更开始、变更评估、变更批准、变更实现、变更结束。

在介绍完企业网络安全工程建设项目管理的几个主要内容后，我们重点描述其风险管理方法与过程。

信息安全建设项目风险管理

风险为所有影响项目目标实现的客观不确定性事件或因素的集合，是在项目管理中不希望发生的。风险管理是在项目期间识别和控制能够引起不希望的变化的潜在领域和事件的形式、系统的方法。风险管理办法为：在项目管理中建立风险管理管理策略和规划，并在项目的生命周期中不断控制风险是非常重要的。项目风险管理主要包括风险管理计划、风险确定、风险分析、风险响应与应急计划等部分。

1)  风险管理计划

风险管理计划是规划和设计如何进行项目风险管理的过程。该过程包括定义项目组织及成员风险管理的行动方案及方式，选择适合的风险管理方法，确定风险判断的依据等。

风险管理计划的依据主要包括：项目计划中包含或涉及的有关内容，如项目目标、项目规模、项目利益相关者情况、项目复杂程度、所需资源、项目时间段、约束条件及假设前提等可作为规划的依据；项目组织及个人所经历和积累的风险管理经验及实践；决策者，责任方及授权情况；风险管理模板，以使风险管理标准化、程序化。

风险管理规划的方法及内容包括：风险管理规划一般通过规划会议的形式制定。风险管理规划将针对整个项目生命周期制定如何组织和进行风险识别、风险评估、风险量化、风险应对计划及风险监控的规划。风险管理规划应包括：方法、人员、时间周期、类型级别及说明、基准、汇报形式、跟踪。

企业网络安全工程建设项目可以考虑在项目开始时, 集成商、厂商、企业应对项目组中参与风险管理的人员和责任达到共识。将确定何时和如何重新评估风险及报告风险管理状态。可以考虑根据每周的项目组进展会议的议程进行风险评估，如果有必要也可以召开专门会议评估和管理风险。

项目经理总结项目组的风险评估并向项目发起人报告发现。

2)  风险确定

其目的是确定对项目有影响的风险。风险可以分成以下几类：技术风险、管理风险、组织风险和外部风险。

从经验角度看，企业网络安全工程建设项目的外部接口（例如采购方、分包商、客户）等方面情况的变化是项目的重大风险。如本项目中来自防火墙、入侵检测、防病毒系统的厂商的供货风险或产品质量风险。除此之外，风险识别可以采用以下方法：头脑风暴、专家访谈、历史资料、检查表和评估表等。

确定项目中潜在负面结果的不确定性。在项目生命周期中尽可能早的确定风险并在项目生命周期中持续进行。

3)  风险分析

风险分析的目的是估计风险发生的发生概率和对项目的影响力，识别项目的重大风险并进行重点管理。风险发生概率可以用数学模型、统计方法和人工估计进行分析，从实际工作看人工估计是比较实际的方法。风险的影响力是指风险发生后对项目的工作范围、时间、成本、质量的影响。风险管理的重点目标就是那些发生概率大并且影响力大的事件。风险分析可以采用风险评估矩阵来进行：

其中：

影响区域指：影响的一般区域是范围、进度、成本，产品质量。

风险警告标志是标志风险的事件、特征或状况，用来报告与计划相背的情况。例如，有5%或更大的变化发生(计划、成本、人力、完成比例等) ，项目经理必须在报告和状况会议上描述解决问题的纠正行动。如果情况严重(大于10%),项目经理必须尽快将问题升级到管理委员会并同意采取必要的补救措施。

可能的风险成本。估计每个风险的可能的成本或估计风险成本在项目中的比例可以得到结果。

风险概率。估计风险发生的概率。

风险分级。给风险分级以确定最严重的风险。决定哪些风险是对项目最为有害的。

首先用可能的风险成本乘以风险概率得到大概的风险成本，建立风险分级。最高的风险成本有最高的风险级别。还要考虑时间，最紧迫的风险的级别需要提高。

4)  降低风险

降低风险要求制定一个风险降低计划。对于低影响、低概率的风险，通常不准备风险降低计划，而是监控风险项目确保它们不发展成更高的风险。

对于需要降低的风险，有两个降低策略需要考虑：预防策略如性能基准、尽早开始、提供培训、实行正式的更新管理过程、建立期望、在早期的计划阶段让客户参与。意外策略如延长工作小时、增加员工、修改范围、延长进度。

对每个风险，指定一个所有者来维护风险响应与应急计划。

5)  风险响应与应急计划

制定应对风险的程序和方法主要有以下四种:规避、转移、弱化和接受。

确定风险减低活动只是第一步，只有在正确的时间应用它们才是有效的。必须适当实行降低风险活动，并进行监控以决定其效力。随着项目进展，如有必要则修改降低策略。为了有效的管理风险，项目管理必须：

实行风险降低计划。制定风险处理策略并实现风险降低计划。监控风险预警标志并快速反应来实现风险降低意外策略。

评估降低效率。评估风险降低行动的效率可以客观地评估项目。

重新评估。每周评估项目的当前风险状态可以了解项目的动态的状况。每周的项目进展会议可以有效的提升和报告项目风险、风险降低活动和结果。

必须注意风险的变化和影响的变化，以及新确定的风险。新的风险需要经过风险评估过程。

6)  风险监控

风险监控的目的有三个：一是监视风险的状况，例如风险是已经发生、仍然存在还是已经消失；二是检查风险的对策是否有效，监控机制是否在运行；三是不断识别新的风险并制定对策。

风险监控依据风险管理计划、风险应对计划、附加风险识别和分析、项目审计，利用核对表、定期项目风险评估、挣值分析、附加风险应对计划和独立风险分析等方法，得出工作计划、纠正计划、项目变更请求、风险应对计划更新等成果。

7)  安全工程中可能存在的风险及规避措施举例

在企业信息安全建设中可能存在着技术、管理、组织、外部等方面的风险。如：进度滞后、成本超支、集成商/厂商/业主协调问题、领导支持不力、设备供货问题、设备指标与现有网络需求偏差、设备可靠性与工程质量、工程文档不合规范、安全工程对现有网络系统的影响等风险。所有这些，可以根据风险类别、特点制定相应对策。如：通过合理制定进度计划与工程预算控制时间/成本风险、严格测试保证产品质量、制定相应工程应急计划使实施对现有系统影响最小等。

总结

电子商务是一项复杂的系统工程，其安全建设要求统一考虑、长远规划，保证技术的先进性和扩展性。制订合理的安全策略、安全管理制度，规范的操作流程，采用合理的技术手段，持续地对安全策略进行审计、改进，并对系统用户进行安全技能和安全意识的培训是保障电子商务信息安全的根本手段。在技术上要求适应网络动态变化，建立自适应的安全保障体系。同时要求有相关法律保障，加强安全管理。其关键是增强人的安全意识，要求从国家安全、社会稳定的高度认识电子商务的重要性，这样才能适应企业信息化的发展。
 
来源：CIO时代网 

微信扫一扫实时了解行业动态

微信扫一扫分享本文给好友