基于廣西動物防疫物資信息管理系統風險評估概述

韋芳 鐘華訓 甘海霞 趙子欣 周媛 鄭敏

（廣西壯族自治區動物疫病預防控制中心，廣西 南寧 530001）

開展廣西動物防疫物資信息管理系統風險評估（以下簡稱風險評估）是非常重要的，這是我中心信息安全防護工作的重要內容之一，與信息安全檢查、信息系統等級保護測評內容相互關聯，從風險管理的角度分析系統面臨的威脅和脆弱性，根據可能造成的損害程度對風險類型評定相應等級，針對性地提出防護對策和整改措施，將風險級降低或控制在可接受范圍內［1］。本文對風險評估方法、風險評估步驟、風險要素識別、風險評估關鍵內容進行敘述，提出安全防護建議，為后續開展信息管理系統等級保護測評提供參考。

廣西動物防疫物資信息管理系統（簡稱動物防疫物資系統）是用于全區各級動物疫病防控機構管理動物疫苗、應急防護物資、動物標識、診斷試劑等動物防疫物資的信息化倉庫管理平臺。系統主要有疫苗模塊和耳標模塊。疫苗模塊用于管理自治區、市、縣/區、鄉鎮等各級間發放動物疫苗、應急物資、診斷試劑等防疫物資；耳標模塊用于管理各縣/區將政府采購標識入庫、調撥出庫給鄉鎮，鄉鎮向養殖企業、防疫員發放標識。動物防疫物資系統采用B/S架構，基于大型數據庫系統和NET4.0技術開發，配有瀏覽器訪問端和手機App用戶端，兩端數據可實時傳送，共有2966用戶。物資管理員在系統操作入庫、出庫、發放等工作流程即可生成相應的臺賬，減少出錯率；同時方便管理部門實時檢查動物防疫物資儲備和下撥情況，提高整體的工作效率［2］。動物防疫物資系統的使用給工作帶來便利的同時，系統安全也成為不可忽視的問題。一旦系統關鍵信息泄露或遭受惡意攻擊可能會導致信息系統癱瘓、業務中斷、數據丟失、數據泄露，造成嚴重社會影響及經濟損失，嚴重損害公共利益。動物防疫物資系統風險評估主要從系統的建設、運行、維護等方面的安全保障情況進行評估，以準確了解機房物理環境、電源系統、網絡設備、安全設備、終端設備、服務器系統、業務系統、管理制度等安全現狀，分析系統潛在的安全風險，及時掌握已知的風險、預測未知的風險，以針對性地制定網絡和系統的安全策略及安全解決方案，形成科學、規范、有效的網絡信息安全管控體系。

1 風險評估概述

1.1 風險評估方法

選擇適合的風險評估方法對正確評估系統風險至關重要［3］。按照描述方式的不同可將風險評估分為以下三種：一是定性評估法。在公認的理論基礎上，以評估要素高低程度來評定等級。該方法的優點是無需精確量化具體數值，易于定位風險領域，相關操作簡單易行。但其缺點在于對評估者要求較高，評估結論帶有主觀性，難以反映實際風險與安全情況。二是定量評估法。對標準的數值進行評估測算，將量化的數值進行加工處理、建立模型，測算量化后的風險數值，以確定風險發生的概率，最終綜合評定得出結論。該方法的優點是通過直觀數據進行評定，結果科學嚴謹、具有對比性。其不足體現在于被評估系統的復雜程度完全量化不易實現，數據來源可靠性不高。三是綜合評估法。將定性評估法與定量評估法相結合的方法，按實際需求采用定性評估法與定量評估法中的要素進行賦值，綜合測算分析評估內容，最終得出評估結論。常見的風險評估綜合評估法有層次分析法、模糊綜合評價法［4］。動物防疫物資系統風險評估內容比較復雜，有些評估要素可用量化分析，有些要素難以采用量化進行分析，單獨采用定性評估法或定量評估法難以做到結果客觀、科學、準確反映實際風險，因此評估小組確定采用的是綜合評估法。

1.2 風險評估步驟

1.2.1 準備階段

組建評估小組成員，為確保評估有效性進行系統前期調研等準備工作，制定方案確定評估依據、目標、范圍、方法、周期等內容。

1.2.2 開展安全訪談

評估技術人員與動物防疫物資系統業務管理員、網絡運維、系統運維、機房運維等進行信息安全相關的訪談，查閱信息系統安全設計方案、運行日志、管理制度及相關維護文件記錄等材料，對信息系統安全管理進行綜合了解以便分析和發現可能存在的管理缺陷、漏洞。

1.2.3 開展風險要素識別分析

進行資產調查，梳理系統相關資產并列明清單，圍繞資產分析依存的威脅、脆弱性和風險，分析相關風險可能會對信息系統造成的影響和損失，確認是否進行降低風險或相關安全處置措施［5］。

1.2.4 開展滲透測試

通過滲透測試，檢查主機、用戶、網絡和應用端等可能隱含的安全風險。

1.2.5 開展安全檢查

檢查用戶、網絡、主機和應用等是否存在的錯誤配置、登錄弱口令、顯示最后登錄的用戶名、無超時登錄退出、無可信驗證等問題。

1.2.6 編制風險評估報告

總結風險評估工作，詳細說明評估過程、方法、步驟、風險結果分析、系統安全加固整改建議等內容。

1.3 風險要素識別

按照《信息安全技術 信息安全風險評估實施指南》（GB/T 31509—2015）［6］和相關風險評估流程，評估技術人員對評估范圍內的信息系統相關資產的價值、脆弱性和面臨的威脅、存在風險和安全防護措施等內容進行逐項分析與比對，結合動物防疫物資系統的運行現狀進行識別分析，風險評估分析原理見圖1。

圖1 風險評估分析原理圖

1.4 風險評估關鍵內容

1.4.1 資產分析

資產主要包括硬件、軟件、維護、管理制度、管理人員五大類。（1）硬件類包括機房環境（機柜、UPS、門禁系統、監控系統、精密空調、消防設備等）、網絡設備（光纖線路、路由器、交換機等）、安全設備（防火墻、入侵檢測、入侵防范、安全審計服務器等）、存儲設備（磁盤陣列、硬盤、移動硬盤等）、計算機設備（數據庫服務器、電腦、打印機、其他終端等）；（2）軟件類包括操作系統軟件、數據庫、安全控制軟件（防病毒、中間件、補丁等）；（3）維護類包括設備保養維護服務、網絡維護服務等；（4）管理制度類包括網絡信息安全管理體系（含安全管理機構、安全管理制度、機房管理制度、設備安全管理制度、系統安全管理制度、人員管理制度等20項管理制度）、文檔記錄（運行維護文檔、重要事項記錄、安全培訓資料等）；（5）管理人員主要是網絡信息安全領導小組成員、業務系統管理員、網絡管理員、安全管理員、審計管理員、其他具體負責信息的工作人員。

根據資產的保密性、完整性、可用性和重要性來劃分，標識為很低、低、中等、高、很高五個等級，賦值1、2、3、4、5分別代表對應等級，分值代表該資產的重要性等級，級別越高代表該資產越重要［7］。評定分值見表1至表4。

表1 資產賦值及重要性等級評定表

表3 管理人員資產賦值及重要性等級評定表

表4 應用系統資產賦值及重要性等級評定表

1.4.2 威脅分析

威脅來源可能來自于環境、管理、人員、系統等方面。環境威脅可能是突發自然災害造成電源、網絡中斷、設備運行異常等情況。管理威脅可能是制度體系不健全，安全管理人員疏忽大意，突發緊急情況沒有應急預案措施造成業務長時中斷或其他更嚴重的影響。人員威脅可能是非法入侵用戶竊取信息、泄露數據、植入木馬勒索病毒、篡改系統信息等直接或間接危害系統安全的情況，也可能是合法用戶工作疏忽大意或責任心不足，濫用權限給非法用戶可乘之機。系統威脅可能是未及時更新設備或組件，未及時修復漏洞、進行合規的安全配置導致安全隱患的發生。按照威脅出現從低到高的頻率劃分為很低、低、中等、高、很高，等級賦值對應是1、2、3、4、5，等級數值越大，代表該威脅發生的頻率越高，等級數值越小代表威脅出現的頻率較小或極小。

項目組人員采用了安全訪談、安全檢查和安全測試進行數據采集。首先，使用信息安全訪談表進行信息安全訪談，并對訪談內容進行記錄；其次，參考訪談的情況，有針對性地進行信息安全配置檢查，并對問題進行記錄；再次，進行主機網絡、應用系統的掃描檢測；最后，根據這些工作匯總得出威脅數據，并把威脅數據進行分類列出。評定賦值見表5。

表5 威脅賦值表

1.4.3 脆弱性分析

脆弱性識別主要體現在網絡環境、機房環境、系統運行、管理等方面。（1）網絡環境脆弱性在于沒有部署可信驗證的設備或組件，IP地址劃分不合理，網絡設備未關掉不必要的服務和相關參數配置不合理等。（2）機房環境分區不規范，門禁系統、消防系統、供電系統存在安全隱患等。（3）系統遠程控制未采用SSL保證數據傳輸完整性，未設置登錄口令周期與復雜性，沒有登錄失敗處理功能，沒有啟用日志審計功能，沒有定期掃描系統，不及時升級補丁、修復漏洞等。（4）管理制度不完善，日常維護不規范，操作過程無記錄，沒有定期舉行安全培訓和應急演練與災難恢復。這些脆弱性很容易使系統資產安全受到威脅，導致信息安全事件的發生。脆弱性賦值標識分為五個級別：很低、低、中等、高、很高，等級賦值對應為1、2、3、4、5，等級數值越大，脆弱性嚴重程度越高。相關評定賦值見表6。

表6 資產脆弱性識別結果匯總表

1.5 漏洞掃描

使用綠盟科技“遠程安全評估系統”專業漏洞掃描器分別對系統主機、網頁應用端和網絡進行掃描，從風險分布、漏洞風險類別、主機風險信息、站點風險信息、漏洞信息、配置信息、脆弱賬號七個方面進行分類統計，將掃描獲取的風險信息進一步分析測試，按照整改提示逐項修改、升級補丁、修復漏洞，將系統配置不合規的問題及時進行安全加固整改，最終掃描主機、應用端、網絡的安全等級為非常安全。

1.6 風險分析

評估項目組采用定性與定量相結合的綜合評估法進行風險評估測評，發現動物防疫物資系統存在的風險主要有安全管理、網絡安全、系統軟件方面的問題。（1）安全管理方面主要包括管理制度不完善，管理人員配備不足，重要操作無審批記錄材料，無系統維護過程材料記錄，缺乏對系統安全管理的規定，無系統維護手冊和重要操作規程。（2）網絡安全方面主要包括外聯區、辦公區、安全管理區防火墻存在部分訪問控制沒有明確目的端口，網絡關鍵節點沒有配置病毒防護策略，沒有部署基于可信驗證的設備和組件，無入侵防范對終端接入方式或網絡地址范圍進行限制。（3）系統軟件方面主要包括無定期漏洞掃描，無安裝惡意代碼防范軟件，未卸載或禁用非系統運行必需的軟件，未關閉不需要的服務、默認共享和高危端口，無登錄失敗鎖定功能，系統服務器、數據庫、業務終端存在弱口令登錄情況，未使用策略進行限制用戶修改弱口令、密碼使用周期。這些威脅與脆弱點很容易被非法入侵者攻擊，導致數據丟失或者數據泄露，嚴重損害系統安全運行和網絡秩序。

1.7 評估結論

本次動物防疫物資系統風險測評等級是低風險。開展信息系統風險評估是我中心信息安全管理工作建立過程中非常重要的決策參考依據，也是信息系統風險管控的重要環節。以開展本次風險評估為契機，我中心對動物防疫物資管理信息系統的安全需求、安全現狀有了進一步認識，現已補充完善系統總體安全方針策略，制定涵蓋系統安全規范、網絡安全管理規范、網絡與信息安全應急預案等20項管理制度的網絡信息安全手冊，發布正式文件成立網絡與信息安全領導小組，任命信息系統相關管理人員，明確職責和工作劃分；安裝惡意代碼防范軟件，升級補丁、修復系統存在的漏洞，使用策略來強制限制密碼長度和復雜性降低相關風險項，加強防范已知或未知的安全風險，在實踐檢驗中逐步走向規范化。

2 動物防疫物資系統安全防護建議

定期開展系統風險評估和等級保護測評。根據測評結果修訂總體安全策略等制度和相關配套文件，采取升級部署防護設備、修復系統漏洞、升級補丁等措施強化動物防疫物資系統的主動防御能力，提高防疫物資系統業務安全、信息安全。

定期開展學習與培訓。每年至少組織一次重要信息系統開發工作人員、維護工作人員學習安全編碼、惡意攻擊防御等信息安全相關內容的培訓，避免漏洞的引入。每年開展應急演練與網絡信息安全培訓，重點培訓網絡管理員、系統管理員、安全管理員等系統管理相關工作人員，提高技術人員應對緊急故障處置能力。

加強系統安全管理。在服務器上安裝惡意代碼防范軟件和端口掃描軟件，定期檢查惡意代碼庫升級情況，使用策略強制限制密碼長度、復雜性和使用周期，在網絡邊界、路由器、防火墻上設置嚴格的訪問控制策略，以保證系統安全。

開展源碼安全審計。系統升級或新開發上線之前進行源碼審計，編碼要符合畜牧獸醫行業信息化技術規范。