■貴州省氣象信息中心 譚海波 汪華 李玨

氣象信息化是充分利用信息技術(shù)的成果，充分發(fā)掘和發(fā)揮氣象資源的價(jià)值，從而提高氣象預(yù)報(bào)預(yù)測水平和防災(zāi)減災(zāi)的能力。而網(wǎng)絡(luò)安全和信息化是一體之兩翼，網(wǎng)絡(luò)安全深刻影響著大數(shù)據(jù)、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)等各個(gè)領(lǐng)域的關(guān)鍵信息基礎(chǔ)設(shè)施，氣象部門作為服務(wù)型科研單位，做好氣象網(wǎng)絡(luò)安全工作是保障氣象數(shù)據(jù)傳輸共享服務(wù)的關(guān)鍵，是推動(dòng)氣象現(xiàn)代化發(fā)展的重要支撐。

氣象核心交換設(shè)備承載氣象數(shù)據(jù)傳輸共享、預(yù)報(bào)預(yù)測、氣象服務(wù)業(yè)務(wù)，開展安全風(fēng)險(xiǎn)評(píng)估對(duì)保障氣象業(yè)務(wù)安全意義重大。風(fēng)險(xiǎn)評(píng)估是安全管理策劃的重要部分，它對(duì)信息系統(tǒng)中固有的或潛在的威脅及其嚴(yán)重程度所進(jìn)行的分析和評(píng)估，對(duì)等級(jí)或概率做出量化，根據(jù)量化值決定相應(yīng)的防護(hù)策略，以最大程度達(dá)到安全目的。通過評(píng)估核心交換機(jī)面臨的威脅，采取處置措施降低風(fēng)險(xiǎn)，不斷提升業(yè)務(wù)應(yīng)用安全使用、氣象數(shù)據(jù)安全共享和基礎(chǔ)設(shè)施安全保障能力。

安全風(fēng)險(xiǎn)評(píng)估流程

風(fēng)險(xiǎn)評(píng)估涵蓋評(píng)估前的準(zhǔn)備、資產(chǎn)識(shí)別、威脅和脆弱性評(píng)估、控制措施評(píng)估和風(fēng)險(xiǎn)分析、風(fēng)險(xiǎn)處理和殘余風(fēng)險(xiǎn)評(píng)估在內(nèi)的一系列過程。

安全風(fēng)險(xiǎn)評(píng)估準(zhǔn)備工作是確保風(fēng)險(xiǎn)評(píng)估效果的保障，成立評(píng)估組對(duì)資產(chǎn)進(jìn)行充分調(diào)研，確定評(píng)估系統(tǒng)、評(píng)估方法和纂寫評(píng)估方案；開展資產(chǎn)、脆弱性和威脅等風(fēng)險(xiǎn)識(shí)別、賦值工作，充分識(shí)別資產(chǎn)在技術(shù)、運(yùn)維和管理上的不足，梳理已采取的處置措施；通過定量、定性方法和評(píng)估工具進(jìn)行風(fēng)險(xiǎn)分析，識(shí)別系統(tǒng)風(fēng)險(xiǎn)，對(duì)不可接受的風(fēng)險(xiǎn)制定處理計(jì)劃，評(píng)估殘余風(fēng)險(xiǎn)，評(píng)估過程文檔貫穿于安全風(fēng)險(xiǎn)評(píng)估全流程。

安全風(fēng)險(xiǎn)評(píng)估實(shí)施

1.風(fēng)險(xiǎn)評(píng)估關(guān)鍵要素

構(gòu)成風(fēng)險(xiǎn)評(píng)估的資產(chǎn)是對(duì)氣象部門具有價(jià)值的資源，是安全管理和策略保護(hù)的對(duì)象，氣象信息系統(tǒng)資產(chǎn)主要為氣象數(shù)據(jù)、軟硬件、服務(wù)、人員等。

威脅來自人和環(huán)境等因素產(chǎn)生的影響，對(duì)系統(tǒng)保密性、完整性和可用性造成損害，對(duì)物理環(huán)境、硬軟件故障、安全管理威脅等，威脅還包含木馬病毒等惡意代碼，越權(quán)濫用、網(wǎng)絡(luò)攻擊等威脅。

脆弱性定義為存在弱點(diǎn)的資產(chǎn)被威脅利用造成了損害，脆弱性從管理和技術(shù)方面著手，通過問卷調(diào)查、滲透測試等對(duì)系統(tǒng)進(jìn)行多層面技術(shù)分析。風(fēng)險(xiǎn)評(píng)估其他關(guān)鍵要素還包括應(yīng)采取措施的安全保護(hù)辦法和殘余風(fēng)險(xiǎn)等。

風(fēng)險(xiǎn)評(píng)估各關(guān)鍵要素相互影響，氣象業(yè)務(wù)信息化水平較高，更加依賴于信息資產(chǎn)，資產(chǎn)的價(jià)值就越大，同時(shí)風(fēng)險(xiǎn)也就越大。資產(chǎn)的威脅和風(fēng)險(xiǎn)成正相關(guān)，威脅可能導(dǎo)致安全事件發(fā)生，風(fēng)險(xiǎn)的存在導(dǎo)出了安全需求，通過風(fēng)險(xiǎn)評(píng)估、滲透測試、等級(jí)測評(píng)和安全整改加固等措施降低或消除安全威脅，充分考慮殘余風(fēng)險(xiǎn)是否可以接受，同時(shí)加強(qiáng)信息系統(tǒng)的安全監(jiān)管，風(fēng)險(xiǎn)要素之間的關(guān)聯(lián)如圖1所示。

2.安全評(píng)估風(fēng)險(xiǎn)值計(jì)算

通過對(duì)資產(chǎn)、威脅和脆弱性的識(shí)別，以及已有安全控制措施確認(rèn)后，將采用定量或定性等方法分析資產(chǎn)風(fēng)險(xiǎn)安全的可能性，定義如下：

風(fēng)險(xiǎn)值=R（A，T，V）=R(L(T，V)，F(xiàn)(Ia，Va))

圖1 風(fēng)險(xiǎn)各要素之間的關(guān)聯(lián)

表1 資產(chǎn)等級(jí)賦值

表2 威脅頻次賦值

其中，R為風(fēng)險(xiǎn)值的函數(shù)；A為信息系統(tǒng)資產(chǎn)；T為資產(chǎn)所面臨的威脅；V為資產(chǎn)脆弱性；Ia為安全事件所作用的資產(chǎn)價(jià)值；Va為脆弱性嚴(yán)重程度；L為安全事件發(fā)生可能性；F為安全事件發(fā)生后造成的損失。計(jì)算環(huán)節(jié)如下：

（1）根據(jù)威脅發(fā)生的頻次及脆弱性計(jì)算安全事件發(fā)生的可能性，公式定義：

L(威脅出現(xiàn)頻率，脆弱性)＝L(T，V)。

（2）根據(jù)資產(chǎn)價(jià)值及脆弱性嚴(yán)重程度計(jì)算安全風(fēng)險(xiǎn)發(fā)生后造成的損失，公式定義：

F(資產(chǎn)價(jià)值，脆弱性嚴(yán)重程度)＝F(Ia，Va)。

（3）根據(jù)安全風(fēng)險(xiǎn)發(fā)生的可能和風(fēng)險(xiǎn)發(fā)生后造成的損失通過相乘法和矩陣法得出風(fēng)險(xiǎn)值。

風(fēng)險(xiǎn)值=R(安全風(fēng)險(xiǎn)發(fā)生的可能性，安全風(fēng)險(xiǎn)發(fā)生后造成的損失)＝R(L(T，V)，F(xiàn)(Ia，Va))。

3.定量計(jì)算風(fēng)險(xiǎn)值實(shí)例

本文使用相乘法計(jì)算氣象業(yè)務(wù)核心交換機(jī)（資產(chǎn)A），通過多個(gè)要素之間相乘得到新要素值，函數(shù)F采用x和y相乘法后取模，得到相應(yīng)風(fēng)險(xiǎn)值。資產(chǎn)A的等級(jí)賦值如表1所示。

威脅發(fā)生的頻次通過賦值體現(xiàn)如表2所示。

脆弱性嚴(yán)重程度通過資產(chǎn)脆弱性嚴(yán)重程度來劃分不同等級(jí)，如表3所示。

將資產(chǎn)A賦值為3，資產(chǎn)A存在是四個(gè)主要威脅：硬件故障（T1）、人為操作失誤故障（T2）、停電影響（T3）、攻擊威脅（T4）。

威脅T1可以利用資產(chǎn)A面臨的脆弱性有2個(gè)：機(jī)房場地V1和設(shè)備運(yùn)行周期V2。

威脅T2可以利用資產(chǎn)A面臨的脆弱性有1個(gè)：技術(shù)人員知識(shí)水平V3。

威脅T3可以利用資產(chǎn)A面臨的脆弱性有一個(gè)：UPS供電V4。

威脅T4可以利用資產(chǎn)A面臨的脆弱性有2個(gè)：機(jī)房場地V1和設(shè)備運(yùn)行周期V2。

表3 脆弱性程度賦值

表4 安全風(fēng)險(xiǎn)等級(jí)劃分

表5 資產(chǎn)A風(fēng)險(xiǎn)等級(jí)

威脅T2可以利用資產(chǎn)A產(chǎn)生的脆弱性有1個(gè)：技術(shù)人員知識(shí)水平V3。

威脅T3可以利用資產(chǎn)A面臨的脆弱性有1個(gè)：UPS供電V4。

威脅T4可以利用資產(chǎn)A面臨的脆弱性有4個(gè)：信息收集V5、安全配置V6、設(shè)備口令V7、設(shè)備安全策略V8。

威脅發(fā)生的頻次分別是：威脅T1=3，威脅T2=1，威脅T3=4，威脅T4=3。

脆弱性嚴(yán)重程度分別是：脆弱性V1=3，脆弱性V2=5，脆弱性V3=5，脆弱性V4=3，脆弱性V5=4，脆弱性V6=5，脆弱性V7=4，脆弱性V8=3。

通過分析，資產(chǎn)A存在的風(fēng)險(xiǎn)值有8個(gè)，風(fēng)險(xiǎn)值計(jì)算過程類似資產(chǎn)A威脅T1可以利用的脆弱性V1的安全風(fēng)險(xiǎn)值。F=f(x,y)=√(x*y)后取整，計(jì)算出安全風(fēng)險(xiǎn)發(fā)生的可能性，威脅發(fā)生頻率T1=3，脆弱嚴(yán)重程V1=3，安全風(fēng)險(xiǎn)發(fā)生的可能性=√(3*3)=3；計(jì)算安全風(fēng)險(xiǎn)損失，資產(chǎn)價(jià)值為3，脆弱性嚴(yán)重程度V1=3，安全風(fēng)險(xiǎn)損失=√(3*3)=3。風(fēng)險(xiǎn)值=安全風(fēng)險(xiǎn)發(fā)生的可能性*安全風(fēng)險(xiǎn)損失=9。風(fēng)險(xiǎn)等級(jí)劃分如表4所示。

根據(jù)風(fēng)險(xiǎn)等級(jí)劃分確定風(fēng)險(xiǎn)結(jié)果，資產(chǎn)A面臨威脅T1可以利用的脆弱性V1的安全風(fēng)險(xiǎn)值9，風(fēng)險(xiǎn)等級(jí)2。資產(chǎn)A其他威脅和脆弱性風(fēng)險(xiǎn)值同理計(jì)算，如表5，通過對(duì)核心交換機(jī)的風(fēng)險(xiǎn)分析，認(rèn)為該設(shè)備安全風(fēng)險(xiǎn)較低。

4.安全風(fēng)險(xiǎn)處置

不可接受的殘余風(fēng)險(xiǎn)需要通過技術(shù)和管理手段制定風(fēng)險(xiǎn)處理措施，通過評(píng)估氣象核心交換設(shè)備存在脆弱和威脅，針對(duì)設(shè)備故障率較高，及時(shí)更換設(shè)備。

對(duì)于網(wǎng)絡(luò)安全意識(shí)和技能不強(qiáng)，需加強(qiáng)培訓(xùn)和宣傳。

對(duì)于網(wǎng)絡(luò)安全的規(guī)劃、投入和部署不足，需要加強(qiáng)規(guī)劃投入和管理。

對(duì)于安全漏洞，需及時(shí)修復(fù)和加固。

定期進(jìn)行業(yè)務(wù)系統(tǒng)地安全風(fēng)險(xiǎn)評(píng)估與檢查，及時(shí)找到系統(tǒng)脆弱性和威脅，保障系統(tǒng)安全。

總結(jié)

通過對(duì)氣象核心交換設(shè)備的風(fēng)險(xiǎn)評(píng)估，綜合資產(chǎn)價(jià)值和脆弱性程度，分析出安全風(fēng)險(xiǎn)對(duì)業(yè)務(wù)造成影響，掌握設(shè)備安全情況，不斷地提高管理水平，進(jìn)一步優(yōu)化系統(tǒng)軟件配置，完善硬件支撐，規(guī)范安全機(jī)制，加強(qiáng)培訓(xùn)力度，構(gòu)建全省網(wǎng)絡(luò)安全體系框架等措施，為全省氣象預(yù)測預(yù)報(bào)和防災(zāi)減災(zāi)提供有力信息網(wǎng)絡(luò)安全支撐，推進(jìn)貴州氣象現(xiàn)代化發(fā)展。