ISO27000信息安全风险形成的外因,ISO27000信息安全风险因素的相互作用机制

ISO27000信息安全风险形成的外因

ISO27000信息安全风险形成的外因

伴随着计算机网络通信技术的快速发展，来自恶意代码、拒绝服务、不满员工、非授权访问、社会工程、偷窃和欺骗等攻击技术和人员的威胁成为组织ISO27000信息安全风险生成的潜在的外在原因。

例如：

①故意制造出来的恶意代码，是用于入侵计算机或是在访问计算后造成巨大破坏的计算机程序，它利用木马、后门、病毒、蠕虫、逻辑炸弹（logic bomb）等攻击目标用户，破坏和窃取目标机密或敏感信息；

②拒绝服务攻击，通过向目标服务器发送大量邮件、连接信息，以堵塞合法通路，造成服务器瘫痪和组织业务的中断；

③内部不满员工，出于对组织的不满、或受雇于其它间谍或情报组织窃取组织敏感或机密信息，以达到发泄私愤或换取金钱的目的；

④非法用户如黑客、非法闯入者、脚本小子、间谍、网络恐怖分子、员工、顾问或合作商，利用物理环境和系统安全弱点或漏洞，非法或越权入侵组织计算机系统，窃取、删除有用数据或者破坏计算机系统，使其瘫痪；

⑤恶意人员，利用电话、公开信息、虚假身份等社交工程来欺骗、说服目标用户，使之泄露访问用户名和密码，它不必须技术、技能和能力来入侵系统，依靠谎言、别人的轻信和疏忽达到目的；

⑥窃听和欺骗，利用嗅探器（sniffer）监视网络上传输的数据；利用中间人（TCP 劫持），强行占用1个网络连接对话，其次读取或是修改网络对话传输的数据；

⑦其它的如制造商在其软件和硬件中安置“陷井或“后门；攻击者在产品运输过程中，在产品中嵌入监听设备或软件，以期在未来收集所需信息等等。这些不断出现和动态转变的威胁是造成信息安全风险发生的外在动力。

威胁是诱发 信息系统产生风险事件的外因。威胁是一定的主体，出于某种动机，利用自己的知识和技术能力，通过脆弱性作用于信息系统，造成风险事件的发生。仅有明确了威 胁，才能透彻了解风险发生的外在原因。因此，必须从威胁的表现形式、来源、行为、动机、能力、途径、目标、后果进行综合分析，明确威胁发生的可能性和造成 的后果大小，如下图。

信息安全威胁

（1）从威胁的表现形式，可分为环境威胁、外部威胁、内部威胁和错误四大类；

（2）从威胁的来源，可分为敌对组织、黑客、工业间谍、情报组织、竞争对手、不满员工；

（3）从威胁行为，可分为刺探、扫描、旁路、欺骗、拷贝、偷窃、修改和删除；

（4）从威胁动机，可分为好奇、信仰、利益和恶意报复等；

（5）从威胁能力，可分为利用攻击工具、脚本、代理技术、木马等；

（6）从威胁途径，可利用设计、实施和配置的脆弱性；

（7）从威胁目标，可分为计算机、帐户、网络等信息资产；

（8）从威胁后果，可分为非授权泄露、修改、拒绝服务和冲突、欺诈和仿冒。

人是威胁的主体，人的因素起着决定性的作用。同外部人员相比，内部具有恶意企图的授权人员，尤其是掌握组织敏感信息、具有专业技能的内部恶意员工（例如：具 有超级权限的系统管理员等），更加掌握组织计算机系统的运行方式，知晓组织计算机系统的漏洞，更易于发动有效的攻击，给组织造成严重损失。目前，一些安全 违背事件80%都是由于内部人员滥用存取权限，遭成了极其严重的后果。相比，外部人员造成的威胁比较容易发现，商业伙伴造成的威胁能够通过合同限制加以约束，但很 多情况下来自内部的威胁由于具有极大的隐蔽性和透明性导致更加难以控制和防范。因此在明确威胁的情况下，不能只看到那些比较直接的容易分辨的外部威胁，来自内 部的各种威胁应该引起高度重视。

ISO27000信息安全风险因素的相互作用机制

世界事物是转变和发展的，每个事物都有1个发展的过程，风险的形成也是一样。ISO27000信息安全风险的形成，首先要具备风险存在的内在条件；其次要具备风险存在的外在条件；最后还要具备外因与内因转化为风险事件的条件。通过下图，能够清晰反映出ISO27000信息安全风险因素的相互作用的情况。

信息安全风险因素的作用机制

从上图，风险的构成包含5个方面：风险源、风险方式、风险途径、风险受体和风险损失。它们之间相互依赖、相互作用，是一种因果关系，能够表达为：风险的1个或多个起源，采用一种或多种途径，侵害1个或多个风险受体，造成风险损失。

风险源是威胁的发起方，称为威胁源或威胁主体。

风险方式是威胁源实施威胁所采取的手段，称为威胁行为。

风险途径是威胁源实施威胁利用的薄弱环节，称为脆弱性或漏洞。

风险受体是威胁的承受方，即信息系统。

风险损失是威胁源实施威胁所造成的损失，称为影响。

（1）ISO27000信 息安全威胁的存在方式、存在条件、存在概率是形成风险的外在动力。信息安全威胁是以不同方式、不同条件，动态存在于信息系统生命周期的每1个阶段。威胁来 源复杂，有来自内部的恶意和无意的员工、顾问、第三方人员，外部的黑客、情报组织、敌对国家、恐怖组织、间谍等；也有来自非人为的自然灾害、事故或故障 等。这些威胁主体有着不同的动机和攻击能力，或出于报复，或出于经济利益，或出于政治目的，或具有高技能攻击能力、或是使用简单的攻击工具。这些影响因素 交织在一起决定着威胁对信息系统的作用强度和发生概率。

（2）威胁通过脆弱性 作用于信息系统是形成风险的必经途径。假如信息系统安全状况良好，不存在可被利用的弱点，任何威胁都是无能为力的。但绝对安全的系统是不存在的，脆弱性是 信息系统固有的客观现象，既有技术，又有管理和环境方面的脆弱性。在外来威胁的作用下，这些脆弱性的强弱成为诱发、导致、加速和减缓风险发生的内在动力。 风险环境的脆弱性程度决定着其被威胁利用的概率。

（3）信息系统的风险承受力 是威胁通过脆弱性作用于信息系统形成风险的转化条件。信息系统的风险承受力反映的是信息系统受到攻击等情况时，维持业务运行最基本的服务和保护信息资产的 抵抗力、识别力、恢复力和自适应力。抵抗力是1个系统抵抗攻击的能力，识别力是系统识别攻击和损坏程度的能力，恢复力是在受到攻击后恢复系统的能力，自适 应力是根据历史上受到攻击或故障发生情况下防御和抵抗类似情况的能力。不同的组织的业务特点、规模、技术人员水平、安全需求标准、安全培训教育水平能力、 员工安全意识强弱、实施的安全控制状态、安全事件预警水平、应急响应能力都是不同，对风险的抵抗和防御表现也是不同的。当风险事件发生时，风险承受力相对 较强的组织可能会启动应急方案、组织高水平的抢救团队，使风险损失降低到组织可承受的范围内；而风险承受力相对较弱的组织，可能会由于没有方法来控制风险 而放任风险发生，造成巨大损失。

（4）风险的直接和间接损失是信息系统风险形 成的后果。在对威胁强度和威胁发生概率、脆弱性被威胁利用的概率、风险承受力的转化概率进行分析估算的基础上，预估信息系统风险发生时的直接和间接损失， 能够明确系统风险等级，为安全决策提供科学依据，采取相应的安全控制措施，提高信息系统的风险承受能力。