在系統的使用過程中，各種安全風險相伴而生。如果我們忽視它，掉以輕心或者心存僥幸，這些風險就會誘發各種安全事故，並可能給我們帶來不可估量的損失。如何做好系統的風險分析和安全防護，將對我們系統的安全使用起到至關重要的作用。
隨著信息技術的發展，信息系統已經遍布我們的生活、工作和學習，給我們帶來了翻天覆地的變化。本文分析了信息系統存在的風險，並提出了相應的安全防護措施。在系統的整個生命周期中，通過人防、物防、技防、預防性防禦等安全措施來保證系統的安全，使信息系統的使用能夠給我們帶來更好的生活享受和工作學習體驗，同時減少或消除系統安全風險帶來的各種影響，以供討論。
關鍵詞信息系統；信息安全；安全風險；安全防護
1信息系統風險分析的重要性
信息系統的風險存在於系統的整個生命周期，包括系統規劃啟動、設計開發或采購、集成、運維、廢棄五個階段。在《信息安全技術信息安全風險評估規範》(GB/T20984-2007)中，充分闡述了信息系統生命周期中風險分析的要求，如在設計階段進行風險分析，確定系統的安全目標；在施工驗收階段，應進行風險分析，以確定系統的安全目標是否達到；在操作和維護階段，應持續進行風險分析，以確定系統安全措施的有效性，並確保始終堅持安全目標。在系統規劃和啟動階段，主要提出信息系統的目的、要求、規模和安全需求，通過風險分析可以確定信息系統的安全需求。在設計、開發或采購階段，信息系統主要是設計、購買、開發或建造。
風險分析可以支持信息系統的安全性分析，這可能會影響系統開發過程中體系結構和設計方案之間的平衡。在集成階段，應配置、激活、測試和驗證信息系統的安全功能。通過風險分析，可以支持對系統實施效果的評估，檢查是否能滿足要求，檢查系統運行的環境是否按預期設計。在系統運行之前，必須做出壹系列關於風險的決策。在運維階段，信息系統開始發揮作用。正常情況下，系統要不斷修改，增加硬件和軟件，或者改變組織的運行規則、策略或流程。通過風險分析，可以對系統進行重新評估或進行重大更改，以更好地確保系統能夠滿足穩定運行或使用的要求。
廢棄階段，主要涉及信息、硬件和軟件的廢棄。這些活動可能包括信息轉移、備份、丟棄、銷毀以及軟件和硬件的分類處理。通過風險分析，在廢棄或更換系統組件時，可以確保硬件和軟件被適當廢棄，剩余信息被適當處理，系統的更新可以以安全和系統的方式完成。
2信息系統安全風險和影響
系統安全風險存在於信息系統生命周期的各個階段。在系統規劃和啟動時，如果沒有對系統進行全面的安全方案設計和詳細的方案設計，沒有將系統的數據安全和功能服務作為壹個整體來考慮和分析，系統設計可能存在安全風險和漏洞，系統投產後可能暴露出各種風險或問題，如設備性能配置不合理、系統功能設置不合理、數據庫表結構設計不合理等，可能導致系統響應緩慢和數據錯誤。在設計、開發或采購階段，如果系統設計、開發或采購沒有按照原來的規劃和要求進行，就會出現隨意的變更和修改，導致系統的功能等達不到原來的設計或規劃，或者由於方案的不合理變更導致系統達不到原來的功能要求，從而給系統維護和用戶帶來更多的不穩定因素。在集成階段，如果系統建設沒有按照批準允許的方案進行，可能導致系統的功能和性能出現偏差，或者帶來人力、財力或物力的浪費和損失。
同時，不按照規劃進行建設，可能導致系統存在未知的安全漏洞或隱患，可能對系統的使用產生潛在的安全影響。在運維階段，如果不按照管理規定或操作說明維護和使用系統硬件和軟件，很容易損壞系統硬件設備和設施，同時造成系統被攻擊和破壞的風險。如果不按規定操作設備，如開關、日常維護等，設備很容易損壞，影響使用壽命。例如，系統軟件的使用、升級和更新沒有按照各種安全管理制度執行，使系統容易受到攻擊和被非法使用。在廢棄階段，如果系統的軟硬件沒有按照相關要求進行處理，可能導致設備或系統中重要或敏感數據的泄露，對系統維護或用戶造成嚴重影響。如果壹些敏感數據被惡意披露或泄露給社會，可能會帶來不良的社會影響。
如前所述，安全風險存在於壹個信息系統的整個生命周期中，每個階段的安全風險是不同的，因此根據系統的特點和系統的周期，影響也是不同的。根據信息系統安全保護能力的不同,《計算機信息安全保護等級劃分標準》( GB17859-1999)中有五個等級，分別是用戶無關保護等級、系統審計保護等級、安全標誌保護等級、結構化保護等級和訪問驗證保護等級。每個級別所需的安全防護能力也不同，用戶可以根據系統的重要性采用不同的安全防護能力。根據該系統的分級標準，在《信息安全技術信息系統安全等級保護指南》(GB/T22240-2008)中，根據系統被破壞時的對象(國家安全、社會秩序/公共利益、公民/法人和其他組織的合法權益)和對象的程度(特別嚴重破壞、嚴重破壞、壹般破壞)，
同時，這些影響在《信息安全技術和信息系統安全保護分類指南》(GB/T22240-2008)中已有系統描述。比如在國家安全層面，影響包括對國家政權穩定和國防實力的影響，對國家統壹、民族團結和社會穩定的影響，對國家在對外活動中的政治經濟利益的影響，對國家經濟競爭力和科技實力的影響。在社會秩序層面，影響包括國家機關社會管理和公共服務的工作秩序，各類經濟活動的秩序，各行業的科研生產秩序等。在公共利益層面，影響包括影響社會成員對公共設施的使用、對公共信息資源的獲取和對公共服務的接受。對公民、法人和其他組織合法權益的影響，包括對法律承認和保護的公民、法人和其他組織享有的某些社會權益的影響。
3信息系統安全保護
信息系統在使用過程中存在各種風險，如網絡攻擊、信息泄露如用戶身份攔截、偽裝、重放攻擊、數據攔截、非法使用、病毒、拒絕服務、數據庫文件丟失、系統損壞、系統源文件泄露、管理賬戶密碼泄露、惡意代碼攻擊等。針對信息系統中的這些風險，我們應采取各種防護和加固措施，將風險控制在可控範圍內，為系統的安全穩定運行提供保障。《信息系統安全等級保護基本要求》(GB/T22239-2008)根據分級指南中的系統等級，定義了各等級系統滿足相應等級安全要求的基本術語。
在基本要求中，從人防、物防、技防、預防性防禦等方面為系統的運行維護提供了參考標準，基本涵蓋了系統的全生命周期。為了保證系統的安全穩定運行，主要包括技術和管理兩個方面。在技術層面上，主要包括物理安全、網絡安全、主機安全、應用安全、數據安全和備份恢復。在管理層面，主要包括安全管理制度、安全管理組織、人員安全管理、系統建設管理和系統運維管理。結合這兩個方面，可以從人防、物防、技防、預防性防禦等方面來保護和加強系統。人防，在系統的整個生命周期中，人起著最重要的作用，也是最核心的因素。
(1)人要有相應的技術技能，解決系統全過程中的各種情況，充足的理論知識加上豐富的處理能力，能給系統的穩定運行帶來事半功倍的效果。②在系統的運行和維護過程中，人們需要嚴格按照相關的規章制度進行操作，並能生成各種記錄。同時，重大作業需要詳細的作業計劃或步驟以及後備措施，計劃需要經過批準和確認。③對運維人員的管理和培訓，所有重要信息運維人員應簽訂保密協議和安全責任書，定期或不定期開展各種培訓，提高技術技能，以滿足系統的維護需求。
在這裏，還有壹個重要的前提，就是單位負責人要重視系統的安全，支持各崗位工作人員的工作，把信息安全作為壹件大事來對待。只有得到領導的充分重視和關註，所有人員的工作才能得到充分的支持，系統的安全穩定運行才能得到更好的維護。物防，信息系統的運行離不開各種軟硬件設施，從基本的機房設施到網絡設備、安全設備、主機設備、應用軟件以及各種輔助軟件、線路、線纜。
因此，壹個完整的運行環境是系統穩定運行的壹大進步，機房的設計和建設可以根據系統的要求和國家機房建設標準進行。網絡和設備的部署需要以冗余的方式實施，提供設備和線路的硬件冗余，同時需要配備各種相應的安全防護設備和軟件，包括防火墻、WAF、IDS/IPS、防病毒墻、防惡意代碼軟件、機房監控平臺、網絡主機監控平臺等。部署有壹定要求的軟硬件產品，可以為系統保駕護航，滿足系統的穩定運行。
信息系統的安全穩定運行離不開各種設備的支持。“巧婦難為無米之炊。”沒有合理的設備配置，再好的管理和技術也無法保證系統的安全穩定運行。技防和裝備的投入需要合理的安全策略部署，才能起到安全防護的作用。因此，在配備相應安全設備的同時，我們需要根據系統的要求設置合理的安全策略，如合理的訪問控制策略、路由策略、升級更新策略、惡意代碼查殺策略、數據備份策略、安全訪問規則等。策略結合設備可以起到關鍵的保護作用，為系統的穩定運行提供保障。同時要根據系統運行的環境和情況來設置策略，包括網絡環境和使用環境。比如在限制網絡的流量和帶寬時，要考慮系統的日常流量和網絡的帶寬。最合理的策略最重要。如果將系統的應用性和安全性結合起來，系統應該是可用的和安全的。
當前形勢下，各種網絡攻擊防不勝防。只要我們能夠組合各種安全設備，充分利用它們的安全防護能力，遵循最小授權和最小服務的原則，關閉冗余服務和端口，設置合理的安全策略，就可以將安全風險降到最低，並使其處於可控狀態。預防，無規則，無方圓，信息安全管理體系的制定和完善是體系穩定運行的關鍵。我們的操作要嚴格按照相關制度和規章制度進行。因此，制度的合理性和可執行性就顯得尤為重要。在整個系統中，應建立由信息安全政策、安全管理制度和操作規章制度組成的系統體系。方針、政策、制度和運行規章制度需要經過相關責任人員的討論和批準，並通過PDCA循環不斷修改和完善，以確保整個體系文件滿足體系的運行和維護要求。壹旦制度確定並實施，所有人員都必須嚴格遵守。
我們將通過系統管理員的方式來執行我們的運維工作規範，防止工作人員按照自己的習慣進行運維工作，給系統帶來不確定的隱患。壹個完整適用的系統需要幾年的實踐才能逐步完善。只有適用的、真正執行的制度，才能保證制度的安全穩定運行。該系統不應停留在紙面上，而應被用來處理各種檢查。只有制度真正貫穿整個制度管理過程，才能真正看到制度的真正意義。人防、物防、技防、聯防，各個環節相輔相成，相互穿插。從系統的實施上，人們結合設備和技術來保證系統的穩定運行，降低安全風險系數，將風險控制在可控範圍內。
4結論
信息系統安全風險是客觀存在的。只要控制好風險，就能保證系統的穩定安全運行。本文對信息系統的安全風險進行了描述和分析，並結合風險提出了安全防護的描述。通過人防、物防、技防、預防性防禦等手段加強系統的穩定運行，希望所有的信息系統都能更加安全穩定的運行，同時給我們的生活、工作、學習帶來更多的便利和享受。
參考
《信息安全技術風險評估規範》(GB/T20984-2007)[S]。
[2]《計算機信息安全保護分級標準》(GB17859-1999)[S]。
[3]信息安全技術信息系統安全保護分級指南(GB/T22240-2008)[S].
[4]《信息安全技術和信息系統安全等級保護基本要求》(GB/T22239-2008)[S]。
；