我們使用系統的過程中，伴隨而來的是各種各樣的安全風險，如果我們存有置之不理、掉以輕心或者僥倖心理，這些風險將誘發各種安全事件，將可能帶給我們難以估量的損失。如何做好系統的風險分析及安全防護，對我們系統的安全使用將起著至關重要的作用。
【摘要】隨著資訊化的發展，資訊系統已遍及我們的生活及工作學習中，給我們帶來了翻天覆地的變化。本文針對資訊系統存在的風險進行分析，並提出相應的安全防護措施，在系統的整個生命週期過程中通過人防、物防、技防、制防等安全措施來保證系統在使用過程中的安全，讓資訊系統的使用給我們帶來更美好的生活享受與工作學習體會，同時減少或消除系統的安全風險帶來的各種影響，供大家一起討論。
【關鍵詞】資訊系統;資訊保安;安全風險;安全防護
1資訊系統風險分析的重要性
資訊系統的風險存在於系統的整個生命週期過程中，共包括五個階段：系統規劃和啟動、設計開發或採購、整合實現、執行和維護、廢棄。在《資訊保安技術資訊保安風險評估規範》(GB/T20984-2007)中對風險分析在資訊系統生命週期中的規範要求進行了充分的闡述，如在設計階段要進行風險分析以確定系統的安全目標;在建設驗收階段要進行風險分析以確定系統的安全目標達到與否;在執行維護階段要不斷進行風險分析以確定系統安全措施的有效性，確保安全保障目標始終如一得以堅持。在系統規劃和啟動階段，主要是提出資訊系統的目的、需求、規模和安全要求，通過風險分析可用於確定資訊系統的安全需求。在設計開發或採購階段，主要是進行資訊系統設計、購買、開發或建造。
通過風險分析可為資訊系統的安全分析提供支援，這可能會影響到系統在開發過程中要對體系結構和設計方案進行權衡。在整合實現階段，資訊系統的安全特性應該被配置、啟用、測試並得到驗證。通過風險分析可支援對系統實現效果的評價，考察其是否能滿足要求，並考察系統所執行的環境是否是預期設計的。有關風險的一系列決策必須在系統執行之前做出。在執行和維護階段，資訊系統開始執行其功能，一般情況下系統要不斷修改，新增硬體和軟體，或改變機構的執行規則策略或流程等。通過風險分析可對系統進行重新評估，或者做出重大變更，以更好得保證系統能滿足需求的進行穩定執行或使用。
在廢棄階段，主要涉及對資訊、硬體和軟體的廢棄。這些活動可能包括資訊的轉移、備份、丟棄、銷燬以及對軟硬體進行的密級處理。通過風險分析，在廢棄或替換系統元件時，能確保硬體和軟體得到了適當的廢棄處置，且殘留資訊也恰當地進行了處理，並且能確保系統的更新換代能以一個安全和系統化的`方式完成。
2資訊系統的安全風險及影響
系統的安全風險在資訊系統生命週期的各個階段都存在，在系統規劃和啟動，如果未對系統進行全面的安全方案設計及詳細方案設計，從系統的資料安全及功能服務進行統籌考慮分析，可能導致系統在設計上存在安全隱患及漏洞，可能在系統投入執行之後暴露出各種風險或問題，如裝置效能的不合理配置、系統功能的不合理設定、資料庫表結構的不合理設計等都可能導致系統出現響應緩慢、資料出錯等問題。在設計開發或採購階段，如果不按照當初的規劃及需求開展系統設計開發或採購，存在隨意變更修改等行為，將導致系統的功能等無法滿足當初的設計需求或規劃，或因為方案的不合理變更導致系統無法滿足原有的功能需求，從而給系統維護及使用者帶來更多的不穩定因素。在整合實現階段，如果不按照已審定並允許實施的方案進行系統建設，可能導致系統的功能及效能造成偏差，或者帶來人力、財力或物力上的浪費及損失。
同時未按方案進行建設，可能導致系統存在未知的安全漏洞或隱患，給系統的使用造成潛在的安全影響。在執行和維護階段，如果未按照管理規定或操作使用說明書對系統軟硬體進行維護使用，將容易對系統硬體裝置設施造成損壞，同時造成系統被攻擊破壞等風險。如裝置的開關機、日常維護等未按規定進行操作，導致裝置易損壞，影響裝置使用壽命。如系統軟體的使用、升級更新等未按各安全管理制度進行落實，導致系統易被攻擊，易被非授權使用等。在廢棄階段，如果未按照相關要求對系統軟硬體進行處理，可能導致裝置或系統中的重要或敏感資料洩露，可能給系統維護或使用者帶來嚴重影響，如果有些敏感資料被惡意向社會公開或洩露，可能帶來社會的不良影響。
如上所述，安全風險在資訊系統的整個生命週期中都存在，在各個階段所存在的安全風險也不盡相同，因此造成的影響也根據系統特性的不同、系統週期的不同而有所區別。在《計算機資訊保安保護等級劃分準則》(GB17859-1999)中根據資訊系統安全保護能力的不同劃分了5個等級，分別為使用者自主保護級、系統審計保護級、安全標記保護級、結構化保護級及訪問驗證保護級。每個級別所需達到的安全防護能力也各不相同，使用者可根據系統的重要程度採取不同的安全防護能力。對應這個系統的等級劃分準則，在《資訊保安技術資訊系統安全等級保護定級指南》(GB/T22240-2008)中根據系統受到破壞時侵害的客體(國家安全、社會秩序/公共利益、公民/法人和其他組織的合法權益)和對客體造成侵害的程度(特別嚴重損害、嚴重損害、一般損害)，從資料安全及服務安全兩方面將系統進行了5級劃分，從一級到五級逐級遞增。
同時在《資訊保安技術資訊系統安全等級保護定級指南》(GB/T22240-2008)已對這些的影響進行了系統的描述，如在國家安全層面的影響包括影響國家政權穩固和國防實力，影響國家統一、民族團結和社會安定，影響國家對外活動中的政治、經濟利益，影響國家經濟競爭力和科技實力等;在社會秩序層面的影響包括影響國家機關社會管理和公共服務的工作秩序，影響各種型別的經濟活動秩序，影響各行業的科研、生產秩序等;在公共利益層面的影響包括影響社會成員使用公共設施，影響社會成員獲取公開資訊資源，影響社會成員接受公共服務等;在公民、法人和其他組織的合法權益層面的影響包括影響法律確認的並受法律保護的公民、法人和其他組織所享有的一定的社會權利和利益。
3資訊系統安全防護
資訊系統在使用過程中存在著各種網路攻擊、資訊洩露等風險，如使用者標識擷取、偽裝、重放攻擊、資料擷取、非法使用、病毒、拒絕服務、資料庫檔案丟失、系統損壞、系統原始檔洩露、管理賬戶口令暴漏、惡意程式碼攻擊等。針對資訊系統存在的這些風險，我們應採取各種防護及加固措施將風險控制在可控範圍內，為系統的安全穩定執行提供保障。在《資訊系統安全等級保護基本要求》(GB/T22239-2008)中根據《定級指南》中的系統級別，明確了各級別系統滿足相應等級安全要求的基本條款。
在《基本要求》中，從人防、物防、技防、制防等方面對系統的執行維護提供了參考標準，基本涵蓋了系統的整個生命週期。為保障系統的安全穩定執行使用，主要包括技術和管理兩方面。在技術層面，主要包括物理安全、網路安全、主機安全、應用安全、資料安全及備份恢復等;在管理層面，主要包括安全管理制度、安全管理機構、人員安全管理、系統建設管理、系統運維管理等。結合這兩方面內容，我們可從人防、物防、技防、制防等方面對系統進行安全防護及加固。人防，在系統的整個生命週期中，人起著最重要的作用，也是最核心的一個因素。
①人要具備相應的技術技能，在系統整個過程中解決處理髮生的各種情況，充足的理論知識結合豐富的處理能力，能給系統的穩定執行帶來事半功倍的效果。②人在系統的運維過程中，需嚴格按照相關的規章制度進行操作，並能生成各類記錄，同時重大的操作需有詳細的操作方案或步驟及回退措施，且方案需通過審定確認。③對運維人員的管理及培訓，各重要資訊運維人員需簽署保密協議及安全責任書，並定期或不定期得開展各類培訓以提高技術技能，從而滿足系統的維護需要。
在此，還有一個重要的先決條件，就是單位的負責人要對系統的安全重視，能支援各崗位工作人員的工作，把資訊安全當作一件重大事情對待。只有領導的充分重視與關注，各人員的工作才能得到充分得支援，才能更有利得維護系統安全穩定執行。物防，資訊系統的執行離不開各種軟硬體設施裝置，從基礎的機房設施裝置，到網路裝置、安全裝置、主機裝置、應用軟體及各種輔助軟體、線路線纜等。
因此一個完整的執行環境是系統得以穩定執行的大提前，機房的設計及建設可根據系統的需求按照國家的機房建設標準進行建設。網路及裝置的部署需採用冗餘方式進行落實，提供裝置及線路的硬體冗餘，同時需配備各類相應的安全防護裝置及軟體，從防火牆、WAF、IDS/IPS、防毒牆、惡意程式碼防範軟體、機房監控平臺、網路主機監控平臺等。一定需求的軟硬體產品部署能給系統保駕護航，能滿足系統的穩定執行。
資訊系統的安全穩定執行離不開各裝置的支援，“巧婦難為無米之炊”，如果沒有合理的裝置配置，再好的管理和技術也無法保障系統的安全穩定執行。技防，裝置的投入需要合理的安全策略部署，才能起到安全防護作用。因此在配備了相應安全裝置的同時，我們需要根據系統的需求設定合理的安全策略，如合理的訪問控制策略、路由策略、升級更新策略、惡意程式碼查殺策略、資料備份策略、安全訪問規則等。策略結合裝置才能起到關鍵的防護作用，給系統的穩定執行提供保障。同時策略要結合系統執行的環境及情況進行設定，包括網路環境、使用環境等。如網路出入的流量及頻寬限制要考慮系統的日常訪問量及網路的頻寬等。最合理的策略才是最重要的，要系統的應用與安全相結合，應能保證系統即可用又安全。
在當前現狀下，各種網路攻擊防不勝防，只要我們能結合各安全裝置，充分利用各裝置的安全防護能力，遵循最小授權原則、最小服務原則，關閉多餘的服務和埠，設定合理的安全策略，就能將安全風險降到最低，保持在可控範圍內。制防，沒有規矩不成方圓，資訊保安管理制度的制定及完善是系統穩定執行的一道關口。我們的操作行為應嚴格按照相關制度及規章規程執行。因此制度的合理及可執行將顯得尤其重要。在整個制度體系中，應建立由資訊保安方針策略、安全管理制度及操作規章規程構成的體系化的制度。各方針策略、制度及操作規章規程需由相關負責人員討論審定通過，並通過PDCA迴圈不斷得修訂及完善，應保證整個體系檔案適用系統的執行維護需求。一旦制度確定落實，各人員將必須嚴格遵從執行。
通過制度管理人的方式將我們的運維工作規範落實，以防工作人員按各自處事習慣進行運維工作，給系統帶來不確定的隱患。一套完整的適用的制度是需要通過幾年實踐才逐步完善的，只有適用的、真正落實到地的制度才能給系統的安全穩定執行帶來保障，制度不應停留於紙面，用於對付各類檢查。只有將制度真正貫穿在整個系統管理過程中，才能真正看到制度所帶得的真實意義所在。在人防、物防、技防、制防中，各個環節是相輔相成的，彼此穿插，從制度落實，由人將裝置及技術相結合，以保證系統的穩定執行，降低安全風險係數，讓風險在可控範圍之內。
4結束語
資訊系統的安全風險是客觀存在的，只要我們做好風險的控制，就能確保系統穩定安全的執行。本文針對資訊系統的安全風險進行了描述分析，並結合風險提出了安全防護的描述，通過人防、物防、技防、制防等方式加強系統的穩定執行，希望各資訊系統能更安全穩定的執行，同時給我們的生活、工作及學習帶來更多的便捷及享受。
參考文獻
[1]《資訊保安技術資訊保安風險評估規範》(GB/T20984-2007)[S].
[2]《計算機資訊保安保護等級劃分準則》(GB17859-1999)[S].
[3]《資訊保安技術資訊系統安全等級保護定級指南》(GB/T22240-2008)[S].
[4]《資訊保安技術資訊系統安全等級保護基本要求》(GB/T22239-2008)[S].