网络安全成熟度评估

前言：想要写出一篇令人眼前一亮的文章吗？我们特意为您整理了5篇网络安全成熟度评估范文，相信会为您的写作带来帮助，发现更多的写作思路和灵感。

网络安全成熟度评估范文第1篇

通过下一代防火墙、态势感知检测响应、安全云端、安全运营平台，初步构建“网-端-云-平台”一体化框架进行风险控制闭环。框架中，下一代防火墙、态势感知检测响应等网络和端点安全设备持续采集网络和端点侧流量日志，安全云端和本地安全运营平台通过发现和关联流量日志中各类攻击威胁失陷标志，找出入侵攻击链，进一步在网络和端点侧进行控制处置，切断攻击链。

3.2建立初步的信任评估和控制机制

以上网行为管理和SSLVPN设备组件为基础，对接各类型终端，入网前基于设备状态和身份信息进行信任等级判定。并建立内部应用访问身份认证机制。下一阶段工作通过零信任技术建立更全面的访问前信息采集和持续评估能力，进一步打通网络、应用、数据访问的身份和信任判决及控制。

3.3建立本地化安全运营能力

基于安全运营平台，将全网终端威胁、网络攻击及业务系统安全通过大屏可视化的方式呈现，结合外部安全服务专家专属服务化的方式，实现了网络安全的闭环响应与处置，同时为内部人员提供信息安全知识与技能，沉淀本地知识经验库；基于安全运营平台分析结果进行决策，指导各部门开展网络安全工作；通过网络安全运营平台指导安全建设，提供安全策略优化指导，全面提升系统安全运营能力。

3.4构建针对未知威胁防控的人机共智能力

基于本地安全运营平台、下一代防火墙、态势感知检测响应等设备组件中人工智能算法，借助安全云端的全球威胁情报和安全大数据分析辅助，初步构建针对已知和未知Web攻击、僵尸网络、各类型病毒、漏洞利用、部分APT攻击和异常业务行为的检测识别能力。通过演练成果应用，实现了满足等级保护2.0合规要求，具备在实战化攻防对抗中抵御攻击、快速恢复能力，同时日常服务运维过程中对各类型业务和数据提供常态化安全防护。

4创新性与价值

信息系统安全建设基于自身信息化业务需求和网络安全监管法规要求，以“体系合规，面向实战，常态保护”为目标，“统筹风险，精益安全，持续推进，人机共智”为安全能力构建方向，逐步推进建设落地。规划建设过程，体现了以下几方面特色和优势：（1）体系化统筹，从高层要求、监管法规等业务和内外部需求出发，从风险、安全、推进、智能四方面，体系化地规划安全能力和落地过程[5]。（2）全面保障，整个建设理念和框架覆盖的保护对象从物理环境，到网络、主机、边界等各层面，并对各类型业务和场景具有普适性。（3）面向未来，利用人机共智的三位一体能力，以及阶段性演进的成熟度坐标，规划面向未来的能力演进体系。（4）有效落地，创新网络安全微服务架构，提升自动化管理效率，利用专家服务和辅助决策降低人员门槛，进一步通过可视化指标体系呈现安全建设绩效。

网络安全成熟度评估范文第2篇

【 关键词 】 信息安全架构；企业战略；信息安全服务； 信息安全价值； 一致性；可追溯性

【 文献标识码 】 A 【 中图分类号 】 TP393.08

1 引言

信息安全技术和管理经过不断的发展和改善，已经能够比较有效地解决一些传统信息安全问题，如信息安全风险管理、访问控制，脆弱性管理、加密解密和灾难恢复等。随着信息越来越成为组织的核心资产，保护信息的安全已不再只是局限于技术和日常管理层面的讨论，信息的安全越来越关系到组织自身发展的安全。一次重大的信息泄露事故就能使企业的市值一落千丈。同时，一套合理的访问控制解决方案能够帮助企业快速推出核心产品（尤其是电子商务）和兼并其他企业。当前信息安全发展呈现出新的趋势和要求：（1）信息安全部门逐渐从成本中心转向价值中心，信息安全的各项活动越来越和企业战略紧密相连；（2）企业内部其他部门越来越多的要求信息安全部门提供清晰、可测量的服务来支持业务的运行。

企业的信息安全部门在不断增强其核心影响力的同时，也承担着随之而来的更多责任和挑战。其一是如何将企业战略转化为信息安全计划，将信息安全融入到组织的业务流程中，并且保持信息安全控制措施与企业战略的一致性和可追溯性；其二是如何使信息安全的价值得到认可并在组织内部最大化；其三是如何满足企业内部各部门有计划或无计划的信息安全服务需求；其四是如何确保以一种系统主动和集中统一的方式来管理业务和遵从性需求，并实现清晰的测量和不断的改进。

当前各企业广泛采用的标准或最佳实践有几种：ISO27001：2005，COBIT4.1，NISTSP800或PCIDSSv2.0等。这些标准各有优点，但也有明显的缺憾，如表1所示（缺憾部分用X表示）。

设计本信息安全架构旨在解决上述问题并建立一种高效机制达到如下目标。

* 将企业战略转化为信息安全计划，确保信息安全的可追溯性、持续一致性和简洁性，以降低成本、减少重复和提高效率。将信息安全融入到组织的业务流程中，建立一致性和可追溯性；建立清晰的信息安全架构和愿景，以减少重复和指导信息安全投入和解决方案的实施。

* 基于客户服务理念，信息安全服务价值得到认可，信息安全靠拢业务部门，为信息安全管理和业务管理建立共同语言。

* 全面管理信息安全，满足目前绝大多数法律法规、标准的最佳实际的要求，并具有灵活的可扩展性，当新需求出现后能够将其平滑的融入到现有架构中。

* 系统和集中统一的方式，使信息安全管理可预测和可测量，并不断的改进。

2 信息安全架构设计

2.1 信息安全架构设计所基于的原则

本信息安全架构的设计遵循四大原则。

1） 业务驱动：所有的信息安全目标应该从业务需求中来，从而保证信息安全管理总是做“正确的事”。

2） 整合、统一的架构：现在有数以十计的信息安全相关的法律法规，标准和最佳实践需要去符合或参考，且其各有不同的要求侧重点和优缺点。因此很有必要将所有相关的信息安全关注点整合到一个统一的架构中，以保证所有要求都被满足，同时避免不要的重复。例如，ISO27001关注全面安全控制和风险管理，PCIDSS侧重支付卡环境中技术控制和策略管理等。

3） 系统化思维：运用系统化思维可以帮助组织解决复杂且动态的问题，适应运营中的各种变化，减轻战略上的不确定性和外部因素的影响。例如，需要整合机构、人员、技术和流程；需要考虑安全、成本和易用性的权衡；需要靠持续改进（Plan-Do-Check-Act）；需要考虑全面防护和纵深防护。

4） 易用性：信息安全架构的最大价值在于被理解和广泛应用于组织的实践当中。因此，信息安全架构必须易于理解并且实际可操作性要强，应避免太过复杂和晦涩。

2.2 信息安全架构实现

2.2.1 信息安全架构-域试图

基于上面的基本原则，本信息安全架构由三个域组成（如图1所示）：治理（Governance）、保障（Assurance）和服务（Services）。

治理（Governance）： 信息安全治理域强调战略一致性，风险管理，资源管理和有效性测量。治理域又包括三个子域：愿景与战略、风险与遵从性管理和测量。各子域主要功能如下所述。

* 愿景与战略： 将遵从性要求，信息安全的发展趋势，行业发展趋势和业务战略转化为信息安全愿景、战略和路线图。

* 风险与遵从性管理： 管理信息安全风险使信息安全风险控制在组织可接受的范围内。

* 测量： 监控和测量整体信息安全的有效性并持续提升信息安全对组织的价值。

保障： 保障域侧重于信息安全的全面与纵深防护措施。保障域包含预防、监测、响应和恢复四个部分。各部分主要功能如下所述。同时保护的对象为不同层面的信息资产：数据层、应用层、IT基础设施层和物理层。

* 预防： 实施信息安全控制措施包括管理措施和技术措施，防止信息安全威胁损害组织的信息安全控态。

* 监测： 部署信息安全监测能力监控正在发生或已经发生的信息安全事态。

* 响应：部署信息安全响应体系迅速、高效的抑制信息安全事件。

* 恢复： 建立组织的可持续性能力，但重要信息系统不可用时，可以在计划的时间内恢复。

服务： 服务域显示了面向客户（内部和外部），协作与知识更新对信息安全实践非常重要。服务域包含三个部分：信息安全服务、知识管理、意识与文化。各部分主要功能如下所述。

* 信息安全服务： 信息安全团队应对待组织内部其他部门和对外部客户一样，基于服务基本协议，提供高质量的信息安全服务。

* 知识管理： 知识是信息安全实践和服务的基石。信息安全知识管理包括获取、维护和利用知识去获取最大的信息安全专业价值。信息安全知识应不仅在信息安全团队内部而且在整个组织被共享。

* 意识与文化： 信息安全意识与文化在组织内部建立一个整体的信息安全氛围。一个好的信息安全意识与文化意味着每个人都每个人都了解信息安全，关心信息安全、在日常工作中关注信息安全。信息安全意识与文化对提升组织整体信息安全成熟度和降低信息安全风险至关重要。

2.2.2 信息安全架构-组件试图

为支撑信息安全架构的三个域，本信息安全架构组件融合了不同标准和最佳实践的精华部分，并自成一体，如图2所示。本架构参考的标准主要有如下一些：ISO27001：2005、PCIDSSv2.0、COBIT4.1、COBIT5.0、ITILv3 以及NIST SP-800系列等。

3 信息安全架构在企业内实际应用效果分析

本信息安全架构已被推广和应用到各个行业中，如保险业、银行业、教育和非盈利性机构等。本文选取一个保险企业的案例来说明本信息安全架构给企业带来的积极变化。

背景：此保险公司有3000名员工，计划在加拿大多伦多（Toronto）上市，因此需要符合加拿大和行业的一些法律法规的要求，如Bill198、PIPEDA、PCIDSS等。同时公司高层决定借鉴信息安全管理的最佳实践标准，如ISO27002、NIST SP800、COBIT、ITIL、 FFIEC和 TOGAF等。因本信息安全架构的特点就是融合各法规、标准和最佳实践的要求，因此不需要做任何大的改动的情况下（降低成本）就能应用到此保险公司中。

经过9个月的实际运行，公司进行了各项测量指标重新评估并与实施本信息安全架构前的指标进行了对比分析。

3.1 平衡计分卡（Balanced Scorecard）[10]测评分析

平衡计分卡是衡量信息安全对企业贡献价值的一种分析工具。平衡计分卡包括四个测量项目：对企业的贡献，对愿景的规划，内部流程的成熟度和面向客户。该保险公司在实施本信息安全架构前后分别进行了两次测评。测评方法是由公司高级管理人员和各部门经理对信息安全部门进行评估，0级表示无成绩，5级表示完美，然后取平均值。2011年7月评估结果显示“企业贡献”为2.2，“愿景规划”为2.5，“内部流程”为2.8，“面向客户”为2.1；2012年7月评估结果显示“企业贡献”为4.1，“愿景规划”为3.9，“内部流程”为3.8，“面向客户”为4.1。如图3所示。测评结果表明实施本信息安全架构后企业高层及各部门对信息安全给企业带来的价值的认可度有较为明显提升。

3.2 总体信息安全成熟度级别分析

本文采取的信息安全总体成熟度的评价是基于ISO27002的控制域和CMMI[11]的评估级别。0级是最低级，5级是最高级。该保险公司在实施本信息安全架构前后分别进行了两次自评估。2011年10月实施本信息安全架构前成熟度水平是介于2.0-3.0之间， 2012年10月实施本信息安全架构后成熟度水平是介于3.0-4.5之间，如图4所示。成熟度级别分析结果表明实施本信息安全架构后整体成熟度有较为明显提升。

3.3 独立审核发现点数量分析

第三方机构独立审核是从专业、客观的角度来衡量整体信息安全控制措施，包括管理、技术和流程。审核发现点的数量越多，表明脆弱点越多，存在的风险越大。该保险公司在实施本信息安全架构前后分别邀请用一个第三方审核机构对其进行了全面审核与评估（依据上市公司的管控要求）。2011年9月审核结果显示有4个高风险项，8个中风险项和13个第风险项；2012年9月审核结果显示无高风险项，且只有2个中风险项和4个第风险项。如图5所示。审核结果表明实施本信息安全架构后整体风险水平有较为明显降低。

3.4 信息安全事件发生数量分析

信息安全事件（特别是1级与2级事件）发生的数量标志着信息安全控制措施的全面性和有效性。信息安全事件数量越少，表明整体控制措施越有效。该保险公司统计了实施本信息安全架构前后发生的信息安全事件数量。2011年1月-10月期间有4个一级安全事件（重大），12个二级安全事件（严重），25个三级安全事件和40个四级安全事件；2012年1月-10月期间有1个一级安全事件（重大），2个二级安全事件（严重），10个三级安全事件和16个四级安全事件。如图6所示。信息安全事件数量分析结果表明实施本信息安全架构后安全控制措施的全面性和有效性有较为明显增强。

3.5 鱼叉式网络钓鱼模拟攻击测试结果分析

模拟钓鱼攻击测试是对企业员工整体信息安全意识水平一种比较客观的考核方式。收到攻击（点击链接）的人数越少，表明整体信息安全水平越高。该保险公司采用ThreatSim的模拟攻击测试平台，在实施本信息安全架构前后分别选取了5个分支机构（共200人）进行了模拟攻击测试。测试的主要方法是注册一个与该保险公司类似的网络域名，然后伪造一份看似从信息安全管理员发出的E-mail，此E-mail的大致内容是说该保险公司于近期对相关系统进行了升级，将会影响到原有的帐户和密码，要求终端用户尽快修改密码。此E-mail包含一个链接到修改密码的伪网页。

2011年5月测试结果显示有47%的员工点击了有害链接，点击有害链接的员工中有18%的人输入了密码，点击有害链接的员工中有68%的人完成了在线培训内容；2012年5月测试结果显示有14%的员工点击了有害链接，点击有害链接的员工中有3%的人输入了密码，点击有害链接的员工中有98%的人完成了在线培训内容。如图7所示。模拟攻击测试分析结果表明实施本信息安全架构后该保险公司员工整体信息安全意识水平有较为明显进步。

3.6 信息安全服务客户满意度调查结果分析

客户满意度调查是从被服务客户的角度来衡量信息安全团队的服务能力，以及给公司带来的实际价值。满意度百分比值越高，表明信息安全团队的能力和服务价值越被认可。该保险公司在实施本信息安全架构前后分别对精算部、个人保险部、商业保险部、索偿部、渠道与销售部做了信息安全服务满意度调查。

2011年8月调查结果显示对服务专业质量的满意度为72%，对服务请求响应速度的满意度为46%，对服务态度的满意度为67%，整体满意度为60%；2012年8月调查结果显示对服务专业质量的满意度为95%，对服务请求响应速度的满意度为85%，对服务态度的满意度为92%，整体满意度为88%；如图7所示。客户满意度分析结果表明实施本信息安全架构后企业各部门对信息安全服务价值的认可度有较为明显提升。

4 结束语

现阶段信息安全管理着重在信息安全的风险控制，随着信息安全管理角色的转变，信息安全需要跟多的与组织战略结合，为组织创造更多的价值，并通过提供信息安全服务使组织内部各部门享受到信息安全给组织带来的价值并认可这些价值。当前被广泛采用的一些标准和最佳实践有其优点，但同时无法满足一些新的挑战。目前缺乏一种高效可执行的信息安全架构来将企业战略转化为信息安全计划、基于客户服务理念使信息安全服务价值最大化以及全面系统化管理信息安全。本文针对上述问题提出的一种面向企业战略和服务的信息安全架构。通过将本信息安全架构应用到实际的企业中，验证了本信息安全架构能够为企业提供更多的价值、增强客户满意度、提升整体安全成熟度和员工信息安全意识水平。

参考文献

[1] International Organization for Standardization， International Electrotechnical Commission. ISO/IEC 27001：2005 Information Technology - Security Techniques - Information Security Management Systems - Requirements. Switzerland： ISO copyright office， 2005.

[2] IT Governance Institute. Control Objectives for Information and related Technology 4.1，USA： IT Governance Institute， 2007.

[3] National Institute of Standards and Technology， U.S. Department of Commerce. NIST Special Publication 800 series.

[4] PCI Security Standards Council LLC. PCI DSS Requirements and Security Assessment Procedures， Version 2.0. 2010.

[5] National Security Agency Information Assurance.

[6] Solutions Technical Directors. Information Assurance Technical Framework （IATF） version3.0. 2010.

[7] IT Governance Institute. Control Objectives for Information and related Technology 5.0，USA： IT Governance Institute， 2012.

[8] Sharon Taylor， Majid Iqbal， Michael Nieves， 等. Information Technology Infrastructure Library ， England： Office of Government Commerce， ITIL Press Office， 2007.

[9] Federal Financial Institutions Examination Council. IT Examination Handbook， information security Booklet. USA： FFIEC， 2006

[10] The Open Group's Architecture Forum. The Open Group Architecture Framework version 9.1， 2012.

[11] Howard Rohm. Using the Balanced Scorecard to Align Your Organization. Balanced Scorecard Institute， a Strategy Management Group company， 2008.

[12] Software Engineering Institute， Carnegie Mellon University. Capability Maturity Model Integration （CMMI） Version 1.3. USA： Carnegie Mellon University， 2010.

[13] STRATUM SECURITY. Proactive Phishing Defense. 2012.

作者简介：

网络安全成熟度评估范文第3篇

随着宽带网络和用户规模的不断增长，用户对宽带接入业务的高可用性要求不断增强，对电信运营商在IP城域、接入网络和支撑系统提出了更高的安全性要求。本文从信息安全管理的理念、方法学和相关技术入手，结合电信IP城域网，提出电信IP城域网安全管理、风险评估和加固的实践方法建议。

关键字（Keywords）：

安全管理、风险、弱点、评估、城域网、IP、AAA、DNS

1信息安全管理概述

普遍意义上，对信息安全的定义是“保护信息系统和信息，防止其因为偶然或恶意侵犯而导致信息的破坏、更改和泄漏，保证信息系统能够连续、可靠、正常的运行”。所以说信息安全应该理解为一个动态的管理过程，通过一系列的安全管理活动来保证信息和信息系统的安全需求得到持续满足。这些安全需求包括“保密性”、“完整性”、“可用性”、“防抵赖性”、“可追溯性”和“真实性”等。

信息安全管理的本质，可以看作是动态地对信息安全风险的管理，即要实现对信息和信息系统的风险进行有效管理和控制。标准ISO15408－1（信息安全风险管理和评估规则），给出了一个非常经典的信息安全风险管理模型，如下图一所示：

图一信息安全风险管理模型

既然信息安全是一个管理过程，则对PDCA模型有适用性，结合信息安全管理相关标准BS7799(ISO17799),信息安全管理过程就是PLAN-DO-CHECK-ACT（计划－实施与部署－监控与评估－维护和改进）的循环过程。

图二信息安全体系的“PDCA”管理模型

2建立信息安全管理体系的主要步骤

如图二所示，在PLAN阶段，就需要遵照BS7799等相关标准、结合企业信息系统实际情况，建设适合于自身的ISMS信息安全管理体系，ISMS的构建包含以下主要步骤：

（1）确定ISMS的范畴和安全边界

（2）在范畴内定义信息安全策略、方针和指南

（3）对范畴内的相关信息和信息系统进行风险评估

a)Planning（规划）

b)InformationGathering（信息搜集）

c)RiskAnalysis（风险分析）

uAssetsIdentification&valuation(资产鉴别与资产评估)

uThreatAnalysis（威胁分析）

uVulnerabilityAnalysis（弱点分析）

u资产/威胁/弱点的映射表

uImpact&LikelihoodAssessment（影响和可能性评估）

uRiskResultAnalysis（风险结果分析）

d)Identifying&SelectingSafeguards（鉴别和选择防护措施）

e)Monitoring&Implementation（监控和实施）

f)Effectestimation（效果检查与评估）

（4）实施和运营初步的ISMS体系

（5）对ISMS运营的过程和效果进行监控

（6）在运营中对ISMS进行不断优化

3IP宽带网络安全风险管理主要实践步骤

目前，宽带IP网络所接入的客户对网络可用性和自身信息系统的安全性需求越来越高，且IP宽带网络及客户所处的信息安全环境和所面临的主要安全威胁又在不断变化。IP宽带网络的运营者意识到有必要对IP宽带网络进行系统的安全管理，以使得能够动态的了解、管理和控制各种可能存在的安全风险。

由于网络运营者目前对于信息安全管理还缺乏相应的管理经验和人才队伍，所以一般采用信息安全咨询外包的方式来建立IP宽带网络的信息安全管理体系。此类咨询项目一般按照以下几个阶段，进行项目实践：

3.1项目准备阶段。

a)主要搜集和分析与项目相关的背景信息；

b)和客户沟通并明确项目范围、目标与蓝图；

c)建议并明确项目成员组成和分工；

d)对项目约束条件和风险进行声明；

e)对客户领导和项目成员进行意识、知识或工具培训；

f)汇报项目进度计划并获得客户领导批准等。

3.2项目执行阶段。

a)在项目范围内进行安全域划分；

b)分安全域进行资料搜集和访谈，包括用户规模、用户分布、网络结构、路由协议与策略、认证协议与策略、DNS服务策略、相关主机和数据库配置信息、机房和环境安全条件、已有的安全防护措施、曾经发生过的安全事件信息等；

c)在各个安全域进行资产鉴别、价值分析、威胁分析、弱点分析、可能性分析和影响分析，形成资产表、威胁评估表、风险评估表和风险关系映射表；

d)对存在的主要风险进行风险等级综合评价，并按照重要次序，给出相应的防护措施选择和风险处置建议。

3.3项目总结阶段

a)项目中产生的策略、指南等文档进行审核和批准；

b)对项目资产鉴别报告、风险分析报告进行审核和批准；

c)对需要进行的相关风险处置建议进行项目安排；

4IP宽带网络安全风险管理实践要点分析

运营商IP宽带网络和常见的针对以主机为核心的IT系统的安全风险管理不同，其覆盖的范围和影响因素有很大差异性。所以不能直接套用通用的风险管理的方法和资料。在项目执行的不同阶段，需要特别注意以下要点：

4.1安全目标

充分保证自身IP宽带网络及相关管理支撑系统的安全性、保证客户的业务可用性和质量。

4.2项目范畴

应该包含宽带IP骨干网、IP城域网、IP接入网及接入网关设备、管理支撑系统：如网管系统、AAA平台、DNS等。

4.3项目成员

应该得到运营商高层领导的明确支持，项目组长应该具备管理大型安全咨询项目经验的人承担，且项目成员除了包含一些专业安全评估人员之外，还应该包含与宽带IP相关的“业务与网络规划”、“设备与系统维护”、“业务管理”和“相关系统集成商和软件开发商”人员。

4.4背景信息搜集：

背景信息搜集之前，应该对信息搜集对象进行分组，即分为IP骨干网小组、IP接入网小组、管理支撑系统小组等。分组搜集的信息应包含：

a)IP宽带网络总体架构

b)城域网结构和配置

c)接入网结构和配置

d)AAA平台系统结构和配置

e)DNS系统结构和配置

f)相关主机和设备的软硬件信息

g)相关业务操作规范、流程和接口

h)相关业务数据的生成、存储和安全需求信息

i)已有的安全事故记录

j)已有的安全产品和已经部署的安全控制措施

k)相关机房的物理环境信息

l)已有的安全管理策略、规定和指南

m)其它相关

4.5资产鉴别

资产鉴别应该自顶向下进行鉴别，必须具备层次性。最顶层可以将资产鉴别为城域网、接入网、AAA平台、DNS平台、网管系统等一级资产组；然后可以在一级资产组内，按照功能或地域进行划分二级资产组，如AAA平台一级资产组可以划分为RADIUS组、DB组、计费组、网络通信设备组等二级资产组；进一步可以针对各个二级资产组的每个设备进行更为细致的资产鉴别，鉴别其设备类型、地址配置、软硬件配置等信息。

4.6威胁分析

威胁分析应该具有针对性，即按照不同的资产组进行针对性威胁分析。如针对IP城域网，其主要风险可能是：蠕虫、P2P、路由攻击、路由设备入侵等；而对于DNS或AAA平台，其主要风险可能包括：主机病毒、后门程序、应用服务的DOS攻击、主机入侵、数据库攻击、DNS钓鱼等。

4.7威胁影响分析

是指对不同威胁其可能造成的危害进行评定，作为下一步是否采取或采取何种处置措施的参考依据。在威胁影响分析中应该充分参考运营商意见，尤其要充分考虑威胁发生后可能造成的社会影响和信誉影响。

4.8威胁可能性分析

是指某种威胁可能发生的概率，其发生概率评定非常困难，所以一般情况下都应该采用定性的分析方法，制定出一套评价规则，主要由运营商管理人员按照规则进行评价。

网络安全成熟度评估范文第4篇

【关键词】系统安全工程；信息系统；风险

引言

随着科学技术的快速发展，信息系统安全问题也越来越常见，如何采取有效措施预防并减少信息系统风险已经逐渐成为信息安全研究的关键。对于信息系统安全，可以采用风险大小进行度量，同对信息在保密性、完整性等多个方面所受到的威胁，可以对安全威胁进行有效控制。需要注意的是，为了保障信息安全，不仅需要依靠安全技术和产品，而且还需要信息系统安全工程的支持。通过构建系统安全工程能力成熟模型，对影响信息系统的各个安全要素进行分析，并对风险因素发生的可能性进行评价分析，能够保证信息安全管理决策的客观性和合理性。

1我国矿山生产安全现状

近年来，随着国家的重视与社会的关注，矿山的百万吨死亡率以及前人死亡率有所下降，但是矿山的安全工程还是存在一定的问题，就目前看来，其主要存在以下问题：①我国大多数的矿山都缺乏统一持续的安全战略规划目标，我国大型的矿山企业都是国有企业，其在生产的过程中都十分重视矿产的安全管理，十分重视企业生产安全。但是其在生产的过程中同样需要面临着市场竞争带来的压力，对于矿山生产的风险性以及随机性没有充分的把握，难以从根本上提升矿山的安全性；②我国矿产开采缺乏完善的安全理念，尽管大多数的矿产企业在开采时都确立了安全生产理念，但是这些理念仅仅概况成了几句口号，并没有得到彻底的落实，这样一来无法有效的确保矿山安全管理的质量；③我国矿山开采安全程度较低，尤其是一些小型矿产，基本没有安全设施，采用的甚至是一些落后的工艺设备。为了有效的判断矿山生产过程中的风险，需要建立完善的风险评估模型，下面简单的介绍系统安全工程能力成熟模型，以及其在风险评估中的作用。

2系统安全工程能力成熟模型概述

系统安全工程能力指的是系统在实际应用中，能够达到的安全性指标的能力，通过改善系统工程的过程安全能力，能够使系统工程变得更加成熟。在系统安全工程能力成熟模型的构建过程，需要完善的、成熟的、可度量的安全工程。在系统安全工程下，所有工程活动都有明确的定义，并且对于所有工程活动，都可以进行有效的测量、管理和控制。系统安全工程能力成熟度模型主要是由两个部分所组成的，包括“过程域”和“能力”。其中，过程域指的是在完成一个子任务过程中，所需要完成的一系列工程实践，过程域指又可以被分为三个部分，即工程过程域、组织过程域和项目过程域。其中，组织过程域和项目过程域与系统安全没有直接关联，因此，二者不是模型的组成部分。模型为每个过程域均定义了一组确定的基本实践（BP），在子任务的完成过程中，每个基本实践都必不可少。另外，能力维指的是实践代表过程管理和制度化能力，其又可以被称为通用实践（GP）。通用实践的主要作用是对每个级别的共同特性（CF）进行描述，即每个级别的判定反映为一组共同特性。通用实践是应用于所有过程的活动，通用实践的重点是对过程进行度量和管理。应用通用实践描述共同特性的逻辑区域可以被被划分5个能力级别，

3信息系统风险的特征

信息系统的投资比较大，建设周期长，影响因素较多，因此，信息系统所面临的风险种类也比较多，并且不同风险之间的关系错综复杂。通过对大中型信息系统进行调查分析发现，信息系统风险的特征主要体现在以下几点：客观性和不确定性。在信息系统的实际应用中，信息系统风险客观存在，因此，在整个信息系统生命周期中，风险因素无处不在，但是有具有明显的不确定特征，风险事件的客观体现指的是随着客观条件的变化，所造成的不确定性。在信息系统的实际运行过程中，各类不确定因素的伴随物即为信息系统风险。多层次性和多样性。信息系统风险包包括多种层次风险，包括物理安全风险、逻辑安全风险等等，其中，物理安全风险是由周界控制、区域访问控制以及区内设施安全等所组成的，安全管理内容包括人员管理、系统管理、应急管理等，信息系统风险的种类也具有可变性和动态性特征，随着信息技术的发展，信息系统风险也逐渐呈动态性和可变性特征。在信息系统实际运行过程中，对于有些风险因素，由于采取了有效措施，因此风险得以消除，而对于有些风险因素，由于没有采取有效的消除措施，因此风险逐渐成为主要风险。可测性。系统安全风险的本质是不确定性，在各类风险因素中，任何风险的发生都是多个风险因素共同作用所造成的，也有个别风险因素的发生是偶然事件，但是，通过对大量风险发生事件进行统计和分析发现，风险时间的发生具有一定的运动规律。对于风险时间的发生概率以及其所造成，可以采用多种风险分析方式进行计算，并对可能发生的风险进行预测分析，从而为防范决策提供重要依据。由于信息系统风险具有多层次以及多样性特征，因此，安全防范难度较大，对此，一般采用防火墙技术进行安全管理。另外，由于信息系统风险具有多层次以及动态性特征，因此，很难构建覆盖全部安全问题的安全防控体系，综合考虑安全投入成本以及被保护资产价值，必须构建合适的安全准则。通过上述分析可见，信息系统风险复杂程度比较高，并且系统风险的涉及面比较广泛，因此，在信息系统整个生命周期中，都必须加强风险评估和管理，对此，应该在模型的指导下来保证信SSE-CMM息系统的安全。

4信息风险评估模型

信息风险评估的过程指的是，对信息系统资产所面对的各类风险因素进行分析，并对安全控制措施进行研究，从而准确识别系统风险因素，并对各类风险因素进行评价。从系统风险管理角度出发，系统风险管理过程值得是对信息系统安全风险进行控制、降低以及消除的过程，在此过程中，需要对网络与信息系统中所面临的风险因素进行准确识别，并采取有效的控制措施。在对安全事件进行评估过程中，如果发现风险因素可能会产生的危害事件，则应该立即提出相应的低于威胁防护措施，对安全风险进行化解，或者采取有效的防范措施，将信息安全风险控制在一定范围内，从而有效保障网络安全以及信息安全。在进行信息风险评估过程中，需要注意以下几点：①准确识别被评估信息资产，并对其估价；②对网络弱点进行检测，评估资产脆弱性；③获取系统各对象信息，并详细列出资产威胁；④识别当前安全控制；⑤综合考虑脆弱性和威胁的严重程度，对资产的重要性进行计算分析。风险事件因素对于信息系统的影响程度具有模糊性特征，因此，对于安全风险，可以将其描述为关于威胁和这种威胁后果的一个函数，通过对其进行定量分析，能够估算出风险时间发生后对于系统安全性的影响程度，同时还能够将将复杂的思维决策过程模型化、数量化。系统所有者在系统的实际应用过程中，可以结合项目实际情况，在资产风险评估过程中，对资产、威胁和脆弱性等各因素所占权重进行计算，并赋予其相应的权向量：A=（r1，r2，r3，…，ri），其中，其中ri指的是判断矩阵相应因素。aij=rij/nk=1Σrkj（i=1，2，…，n）（1）由公式（1）再按行求和：c軃i=nj=1Σrkj（i=1，2，…，n）（2）通过公式（2）可得：ci=c軃ini=1Σc軃i（i=1，2，…，n）（3）其中，c指的是所求的特征向量，具体而言其指的是对应i个因素的相对重要程度，即权重系数，如果c越高，则说明风险越大，系统安全工程的安全程度比较低。因此，可以根据以上公式，计算出风险评估量化分析结果，并对系统中的各类风险因素进行建模分析，从而计算得出各类风险权重，并以此为依据，对信息风险评估以及系统安全策略的制定提供重要的参考依据。

5结语

综上所述，在信息系统的建设过程中，加强安全工程管理至关重要，现如今已经逐渐引起社会各界的广泛关注，而我国信息系统风险评估研究起步比较晚，定量评估模型依然处于探索阶段。为了有效保障保障信息系统的安全性，应该采用SSE-CMM模型作为安全指导思想，通过对风险因素进行全过程、全方位的分析，能够有效解决信息系统安全的动态性和广泛性问题。本文主要对SSE-CMM模型进行了详细分析，SSE-CMM模型属于理论指导模型，可以用在信息系统的效益分析、系统可靠性分析等方面，所以具有较大的推广价值，但是需要注意的是，在其实际应用中，还应该综合考虑不同性质的信息系统，采取不同的实施方案。

参考文献

[1]吴峰，贲可荣.系统安全测试能力成熟度模型框架研究[J].计算机与数字工程，2011，39（2）：128~132.

[2]李灿，周春雷，华斌，等.信息系统应用成熟度评价模型[J].华东电力，2014，42（11）：2428~2431.

网络安全成熟度评估范文第5篇

关键词: 电力系统；计算机网络；安全性；维护

中图分类号：TP32文献标识码：A

前言

计算机网络系统，就是利用通讯设备和线路将地理位置不同的、功能独立的多个计算机系统互连起来，以功能完善的网络软件(网络通信协议、信息交换方式及网络操作系统等)实现网络中资源共享和信息传递的系统。它的主要功能表现在两个方面:一是实现资源共享，包括硬件资源和软件资源的共享；二是在用户之间交换信息。随着计算机的广泛应用和网络的流行，目前电力系统企业员工的很多日常工作(包括生产MIS、OA、电力营销、视频监控、集群录音等各种系统)已经与网络密不可分，但由于各单位、各部门之间的计算机网络硬件设备与操作系统千差万别，应用水平也参差不齐。

1计算机网络在电力系统的应用现状

计算机网络的应用，扩大了管理范围，大大提高了员工的工作效率，但计算机系统网络安全问题也随之变得更加严重。例如:计算机病毒通过电子邮件感染并传播；管理网络互联接口的防火墙只配置了包过滤规则，提供的安全保证很低，容易受到基于IP欺骗的攻击，泄露企业机密；部分局域网没有进行虚拟网络VLAN划分和管理，造成网络阻塞，使工作效率减低；绝大多数操作系统是非正版软件，或网上下载的免费软件，不能够做到及时补丁(PATCH)更新，造成系统漏洞，给攻击者进行木马攻击留下后门；绝大多数工作站没有关闭不必要的通讯端口，使得计算机易遭受远程攻击、病毒入侵等等。

2计算机网络在电力系统的应用意义

电力系统企业管理人员能够通过计算机网络在企业本部办公室了解分散在全国各地项目部的财务报表、工程进度、工程质量、工程中存在的问题等信息；在企业本部计算机网络会议系统中获取分散在全国各地项目部的项目资料，与其他管理人员进行研讨，商量出解决问题的办法。电力系统企业担负的电网建设任务决定了电力企业要使用计算机网络，它能将分散的电网设施连接成一个整体，同时能将分散在各地的员工连接成一个整体并能将管理范围缩小。利用计算机网络，企业可以发挥每一个员工的积极性，是企业与每个员工联系的平台。管理者的决策要依赖企业员工直接提供的素材，计算机网络能将企业员工提供的大量素材直接呈现至领导者面前。计算机网络的应用为电力系统企业提供了现代化的管理手段，从而提高电力系统企业经济效益。

3电力系统信息安全防护应对策略

3.1做好电力系统安全风险的评估

开展电力系统企业信息安全建设，首先必须做好安全状况评估分析。评估应聘请专业权威的信息安全咨询机构，并组织企业内部信息人员和专业人员深度参与，全面进行信息安全风险评估，发现问题、明确需求、制定策略后开展实施工作，实施完成后还要定期评估和改进。信息安全系统建设着重点在安全和稳定，应尽量采用成熟的技术和产品，不能过分求全求新。

3.2采用信息安全新技术，建立信息安全防护体系

电力系统企业信息安全面临的问题很多，应该根据安全需求的轻重缓急，解决相关安全问题，根据信息安全技术的成熟度进行综合分析判断，采取分步实施。技术成熟的，能快速见效的电力安全系统先行实施。

3.3计算机病毒防范

目前防病毒软件主要分为单机版和网络版两种。随着网络技术的快速发展，网络病毒的危害越来越大，因此，必须将电力系统内各台计算机加装防病毒软件，并且要及时更新防病毒软件的病毒库版本，建议采用单机版、网络版防病毒软件及其他防护手段相结合的综合病毒防范体系。单机版防病毒软件安装在单机工作站上，保护工作站免受病毒侵扰。病毒防火墙安装在网关处，对出入网关的数据包进行检查，及时发现并杀死企图进入内网的网络病毒。网络版防病毒软件管控中心安装在网络服务器上，用户安装网络版防病毒软件客户端，每台客户端都能实施连接管控中心服务器，管控中心可以对客户端下发安全防护策略、升级客户端病毒库，从而全面监控整个网络的病毒情况。

3.4优化安全设备配置策略

通过信息检测、攻击检测、网络安全性分析和操作系统安全性分析等一系列配置，对黑客进行监控。利用防火墙可以阻断非法的数据包，屏蔽针对网络的非法攻击，阻断黑客入侵。一般情况下，防火墙设置会导致信息传输的明显延时。因此，在需要考虑实时性要求的电力系统，建议采用实时系统专用的防火墙组件，以降低电力系统通用防火墙软件延时带来的影响。

3.5监视网络流量和进行非授权使用检测

通过对网络流量采样．来实时地监视网络流量和进行非授权使用检测。同时，可以通过封锁网络访问或终止非法对话来主动响应非法活动。

3.6物理链路上的隔离

电力系统重要网络采用物理隔离的方法保证其安全性。物理隔离是在物理链路上进行隔离，是一种最安全的防护技术。大体可分成单机物理隔离、隔离集线器和网际物理隔离三类。单机物理隔离：分为内置隔离卡和外置隔离器。隔离卡安装在机器内部，安装和使用比较麻烦，切换内外网时需要重新启动，但安全性最高。隔离卡又分为单硬盘物理隔离卡和双硬盘物理隔离卡。隔离器是外置设备，安装很简单，使用起来十分方便，缺点是安全性不如隔离卡高。电力系统隔离集线器不需要改变布线结构，单网线到桌面。可以同时接入多个工作站，使用方便。网际物理隔离：电力系统物理隔离器可以完成外网信息的搜集、转发和内网三个工作环节，在转发的过程中需要重新启动隔离传送器。适合实时性要求不高的部门的外网接口处。

3.7信息安全人才培养

加强信息安全管理工作的重点是培养信息安全专门人才，人才培养和必须与电力系统信息安全防护系统建设同步进行，才能真正发挥电力系统的信息安全防护系统和设备的作用。

4电力系统计算机网络的维护

4.1维护工作内容

计算机网络维护工作内容包括:设备、链路、电源和配线架等附属设备的维护。具体要求包括:

1）保证设备工作条件，包括供电条件和环境条件等。

2）对系统故障进行判断和处理，根据故障现象和告警指示，利用网管及各种测试工具进行故障定位，找出故障原因，在最短时间内排除故障。3）通常采用集中维护方式，将维护人员和必要的维护仪表集中在一个主要站。

4）经常检查交换机与路由器中的端口状态，尤其需要关注端口差错统计信息，对于出错包特别多的端口，应该检查其是交换机或路由器本身的、链路的原因，还是接入设备的原因。交换机或路由器主要查CPU利用率和MEM利用率，接入设备若是计算机，则主要看网卡的设置是否正确、网卡的驱动程序是否和网卡匹配，查出原因后进行整改，检查完后对端口统计信息清零。

5）链路若是光缆，则主要检查现有衰耗和投运时的衰耗差，链路是网线则用专用仪器进行现场测试，光纤不允许小角度弯折，更不能出现直角。

6）网管监控系统和本地维护终端用的计算机是专用设备，禁止挪用，以免病毒侵害.

4.2对维护人员的要求

1）对运行中的网络设备在进行变更设置的操作时，必须有两人同时在场方可进行，一人操作，一人监护，并做好如何在操作失败而导致网络设备异常的情况下的处理预案，履行必要手续。

2）处理光接口信号时，不得将光发送器的尾纤端面或上面活动连接器的端面对着眼睛，并注意尾纤端面和连接器的清洁。

3）熟练掌握所维护的设备的基本操作。

4）做好设备的日常巡视工作。

结语

计算机网络在电力系统现代化企业管理中正在发挥着积极的作用。同时计算机网络在电力系统的安全防护形势越来越严峻，电力企业面临的困难和挑战还很多，工作任重而道远，值得电力系统管理者和全体员工一起积极探索，不断发展和完善。

参考文献

【1】周军辉，胡湘任．校园网IPv4向IPv6过渡技术的研究【J】．大众科技．2008．7：30-31．