軍工單位防護目標安全風險評估方法初探

□ 李 霄

軍工單位防護目標安全風險評估方法初探

□ 李 霄

隨著我國經濟的高速發展，社會矛盾不斷涌現，同時受國際恐怖勢力的影響，全社會愈來愈重視自身的安全環境建設。近年來，我國安全防范工程建設需求迅猛增長。

軍工行業安全防范工程建設自“十一五”以來，在國家的大力支持下取得了快速發展，軍工單位安全防范系統基本建成，對保障軍工單位科研生產活動順利開展，保護國家秘密安全方面發揮著重要作用。

軍工單位防護目標風險評估是安全風險管理的重要組成部分，依據國家法律法規和技術規范標準，結合軍工企業運營管理要求、周邊環境發展事態變化，做出系統適用性評估，可為安全風險管理決策和有效的應急響應提供依據。

軍工行業作為國家戰略性產業，涉及核、航天、航空、船舶、兵器、電子等6大行業，與其他民用行業不同，軍工行業除面臨社會治安性常規安全威脅以外，還存在境外敵對勢力和境外情報機構發起的對我重點武器型號等以竊密為目的的非常規性威脅。

借鑒國外風險評估領域的標準和經驗，結合我國現行的安全保密法規標準及軍工行業特點，以及軍品科研生產試驗任務基本情況，綜合考慮對軍工單位安全防范、安全保密構成影響和損失的各種因素，圍繞軍工單位防護目標，開展對軍工單位防護目標進行安全風險評估工作。

圖1 風險構成關系示意圖

評估的主要目標

通過對威脅源和薄弱點的分析，識別目標存在的風險。如具有保密屬性的防護目標可能存在竊聽、竊視、電磁干擾等風險，具有保衛屬性的防護目標存在偷竊、侵占、縱火、意外突發事件以及炸彈及恐怖襲擊等風險。風險評估工作通過查找目標安全控制的失缺，提出安全防范系統建設改善、調整方案，以及為安全風險管理決策提出建議。

防護目標所面臨的風險取決于目標遭受損失的可能性及其資產損失后果，它與目標特征、針對目標的威脅及防護目標的弱點3個因素相關。風險構成關系如圖1所示。

由圖1所示，資產、威脅和弱點是構成風險要素的因子，它們三者之間的關系如圖2所示。

圖2 資產、威脅和弱點關系示意圖

評估的主要內容

效能評估：系統效能評估是對預測的安全防范系統能夠滿足軍工單位安全風險管理程度的量度確認，是系統綜合性能的反應，是系統整體屬性。效能評估就是要對系統進行綜合分析，把系統的各項性能與任務要求綜合比較，最終得到表示系統的優劣程度的結果。安全防范系統的效能，可以分為實體系統、技術系統、人員安保系統的自身效能和應用效能。這種效能更強調系統本身的完備性。

性能評估：系統性能評估是對系統的各單項指標體系的評估，與效能評估相比，系統性能是絕對的，而效能是相對的，效能更強調各子系統與人防、技防、物防等整體安全防范體系的共同作用。

經濟評估：經濟評估主要從安全防范工程建設投資效益的角度考慮，通過對資產賦值以及威脅和弱點評估，評價特定威脅作用下對特定資產所造成的影響，并計算系統的投入和預期達到的控制目標的經濟效益。

圖3 風險評價流程圖

評估的主要對象

（一）實體防護設備設施。例如防盜門窗、保險柜（箱）、防護欄（網）；建筑實體防御結構設施、防御緩沖區域及設施、建筑防爆材料。

（二）技術防范系統。例如視頻監控、入侵報警、出入口控制、訪客管理、電子巡查、車輛管理、備用電源等系統。

（三）綜合管理能力。例如為保障安全系統運行所投入的人員配置、管理模式、規章制度、應急響應、培訓演習等。

（四）內外威脅源。例如周邊環境、社會人員、內部人員等。

評估的主要方法

目前國外對安全防范系統風險評估的研究已非常成熟，而我國尚處在起步摸索階段，軍工行業也處于圍繞國外先進經驗和做法開展理論研究階段。按照評估的具體目標任務，可采用多種操作方法交叉進行，這里介紹兩種方法開展評估工作——經驗分析法、模型分析法。無論采用何種方法，共同的目標都是找出安全防范系統及管理與目前安全水平、組織安全需求之間的差距和漏洞及薄弱點。

（一）經驗分析法：經驗分析法是基于評估人員所掌握的基本知識和理論水平，以當前國家相關的法律法規、技術規范標準為基準，結合國內外的案例及處置經驗，運用所掌握的技術應用發展狀況，選擇信息收集和分析評估的一種方法。它具有組織實施簡單、節省時間和資源的優點，特別適用于定性結論，但往往主觀成分較高，易受評估人員的經驗和能力水平的限制。

（二）模型分析法：模型分析是基于定制好的風險計算公式，通過將風險分析中的威脅發生概率、資產價值等因素進行賦值后計算，計算結果反映出系統的風險值。這種評估方法優點在于：提高了對安全分析評估描述的精確性，改善了分析評價結果的質量；圖形化的建模機制便于溝通，克服由于評估人員經驗和知識的不足造成的偏差。

評估的步驟

軍工單位防護目標風險評價的流程如圖3所示：

防護目標的風險評估工作，是在各項安全管理和措施的正常運行下，利用評估技術、方法，對防護目標開展綜合分析、判別識別威脅源和威脅程度，從而做出有效的對策。

第一步：系統描述。這是明確評估工作任務的基本描述，是對評估工作的范圍及在該范圍內的系統相關信息的簡要描述，為下一步評估方案的制定提供條件。

第二步：確定評估方案。這一步的工作是對整體評估方案與計劃的策劃編制，它主要明確有效信息收集和分析評價方法，制定評估的基本原則，編制組織，實施計劃。

第三步：威脅、脆弱性分析。

本步驟的目標是通過對威脅和脆弱性分析、完成檢查清單表格，結合相關文件、控制措施的落實檢查、現場勘察、人員質詢等多種手段辨識出不安全事件的因素，并整理分類，為下一步分析評估提供更多的信息。此步驟是影響評估效果的關鍵。

第四步：分析與評估。這個階段是在獲取威脅源和脆弱點的基礎上，從對威脅源的動機、脆弱點的狀態、當前各項有效控制措施的效果進行分析，判定威脅和潛在脆弱點的可能性和影響程度，并做等級與程度的指標描述。必要時通過情景假定和模擬，進一步說明和印證。

第五步：評估結論闡述。這個階段運用分析評估的指標和結論，提出降低或避免已辨識威脅和脆弱點的控制措施和建議。它的提出要充分考慮有關法律法規，組織方針策略，安全防范控制措施的有效性、安全性和可靠性，評估單位承受的基本條件等。安全防范控制措施的建議，也應按照優先等級進行排列選擇。最后的結果形成評估報告文件，為委托單位的管理者在制定防護目標安全風險管理方針、程序、預算、系統運作管理的調整或更改方面提供決策依據。（國防科工局軍工保密資格審查認證中心）