前言：中文期刊網精心挑選了電子政務的安全風險范文供你參考和學習，希望我們的參考范文能激發你的文章創作靈感，歡迎閱讀。
電子政務的安全風險范文1
隨著電子政務應用的不斷深入，信息安全問題日益凸顯，為了高效安全的進行電子政務，迫切需要搞好信息安全保障工作。電子政務系統采取的網絡安全措施[2][3]不僅要保證業務與辦公系統和網絡的穩定運行，另一方面要保護運行在內部網上的敏感數據與信息的安全，因此應充分保證以下幾點：
1.1基礎設施的可用性：運行于內部專網的各主機、數據庫、應用服務器系統的安全運行十分關鍵，網絡安全體系必須保證這些系統不會遭受來自網絡的非法訪問、惡意入侵和破壞。
1.2數據機密性：對于內部網絡，保密數據的泄密將直接帶來政府機構以及國家利益的損失。網絡安全系統應保證內網機密信息在存儲與傳輸時的保密性。
1.3網絡域的可控性:電子政務的網絡應該處于嚴格的控制之下，只有經過認證的設備可以訪問網絡，并且能明確地限定其訪問范圍，這對于電子政務的網絡安全十分重要。
1.4數據備份與容災:任何的安全措施都無法保證數據萬無一失，硬件故障、自然災害以及未知病毒的感染都有可能導致政府重要數據的丟失。因此，在電子政務安全體系中必須包括數據的容災與備份，并且最好是異地備份。
2電子政務信息安全體系模型設計
完整的電子政務安全保障體系從技術層面上來講，必須建立在一個強大的技術支撐平臺之上，同時具有完備的安全管理機制，并針對物理安全，數據存儲安全，數據傳輸安全和應用安全制定完善的安全策略
在技術支撐平臺方面，核心是要解決好權限控制問題。為了解決授權訪問的問題，通常是將基于公鑰證書（PKC）的PKI（PublicKeyInfrastructure）與基于屬性證書（AC）的PMI（PrivilegeManagementInfrastructure)結合起來進行安全性設計，然而由于一個終端用戶可以有許多權限，許多用戶也可能有相同的權限集，這些權限都必須寫入屬性證書的屬性中，這樣就增加了屬性證書的復雜性和存儲空間，從而也增加了屬性證書的頒發和驗證的復雜度。為了解決這個問題，作者建議根據X.509標準建立基于角色PMI的電子政務安全模型。該模型由客戶端、驗證服務器、應用服務器、資源數據庫和LDAP目錄服務器等實體組成，在該模型中：
2.1終端用戶：向驗證服務器發送請求和證書，并與服務器雙向驗證。
2.2驗證服務器：由身份認證模塊和授權驗證模塊組成提供身份認證和訪問控制，是安全模型的關鍵部分。
2.3應用服務器：與資源數據庫連接，根據驗證通過的用戶請求，對資源數據庫的數據進行處理，并把處理結果通過驗證服務器返回給用戶以響應用戶請求。
2.4LDAP目錄服務器：該模型中采用兩個LDAP目錄服務器，一個存放公鑰證書（PKC）和公鑰證書吊銷列表（CRL），另一個LDAP目錄服務器存放角色指派和角色規范屬性證書以及屬性吊銷列表ACRL。
安全管理策略也是電子政務安全體系的重要組成部分。安全的核心實際上是管理，安全技術實際上只是實現管理的一種手段，再好的技術手段都必須配合合理的制度才能發揮作用。需要制訂的制度包括安全行政管理和安全技術管理。安全行政管理應包括組織機構和責任制度等的制定和落實；安全技術管理的內容包括對硬件實體和軟件系統、密鑰的管理。
轉貼于中國論文下載中心www
3電子政務信息安全管理體系中的風險評估
電子政務信息安全等級保護是根據電子政務系統在國家安全、經濟安全、社會穩定和保護公共利益等方面的重要程度。等級保護工作的要點是對電子政務系統進行風險分析，構建電子政務系統的風險因素集。
3.1信息系統的安全定級信息系統的安全等級從低到高依次包括自主保護級、指導保護級、監督保護級、強制保護級、?？乇Ｗo級五個安全等級。對電子政務的五個安全等級定義，結合系統面臨的風險、系統特定安全保護要求和成本開銷等因素，采取相應的安全保護措施以保障信息和信息系統的安全。
3.2采用全面的風險評估辦法風險評估具有不同的方法。在ISO/IECTR13335-3《信息技術IT安全管理指南:IT安全管理技術》中描述了風險評估方法的例子，其他文獻，例如NISTSP800-30、AS/NZS4360等也介紹了風險評估的步驟及方法，另外，一些組織還提出了自己的風險評估工具，例如OCTAVE、CRAMM等。
電子政務信息安全建設中采用的風險評估方法可以參考ISO17799、OCTAVE、CSE、《信息安全風險評估指南》等標準和指南，從資產評估、威脅評估、脆弱性評估、安全措施有效性評估四個方面建立風險評估模型。其中，資產的評估主要是對資產進行相對估價，其估價準則依賴于對其影響的分析，主要從保密性、完整性、可用性三方面進行影響分析;威脅評估是對資產所受威脅發生可能性的評估，主要從威脅的能力和動機兩個方面進行分析;脆弱性評估是對資產脆弱程度的評估，主要從脆弱性被利用的難易程度、被成功利用后的嚴重性兩方面進行分析;安全措施有效性評估是對保障措施的有效性進行的評估活動，主要對安全措施防范威脅、減少脆弱性的有效狀況進行分析;安全風險評估就是通過綜合分析評估后的資產信息、威脅信息、脆弱性信息、安全措施信息，最終生成風險信息。
在確定風險評估方法后，還應確定接受風險的準則，識別可接受的風險級別。
4結語
電子政務與傳統政務相比有顯著區別，包括:辦公手段不同，信息資源的數字化和信息交換的網絡化是電子政務與傳統政務的最顯著區別;行政業務流程不同，實現行政業務流程的集約化、標準化和高效化是電子政務的核心;與公眾溝通方式不同，直接與公眾溝通是實施電子政務的目的之一，也是與傳統政務的重要區別。在電子政務的信息安全管理中，要抓住其特點，從技術、管理、策略角度設計完整的信息安全模型并通過科學量化的風險評估方法識別風險和制定風險應急預案，這樣才能達到全方位實施信息安全管理的目的。
參考文獻：
[1]范紅，馮國登，吳亞非.信息安全風險評估方法與應用.清華大學出版社.2006.
[2]李波杰，張緒國，張世永.一種多層取證的電子商務安全審計系統微型電腦應用.2007年05期.
電子政務的安全風險范文2
研究表明，并非所有的風險因素都直接顯著作用于電子政務外包績效,有些風險因素是通過對其他風險因素的作用間接影響外包績效的，并且影響作用也有顯著與不顯著的區別，這些直接、間接作用關系以及影響作用是否顯著都是研究電子政務外包風險因素對其績效的作用路徑與效應所要重點考察的內容。
模型分析
信度指測量結果一致性或穩定性的程度。運用SPSS16.0對量表的信度進行檢驗，Cronbach’sα為0.844，而各分量表信度分析結果(表2的Cronbach’sAlpha系數)表明，5個潛在變量的α系數值均滿足大于0.70的要求,因此，該量表具有較好的信度。結構效度是指量表測量結果同期望評估內容的同構程度，運用標準化因子負荷來檢驗結構效度，表2給出的結果表明，測量指標的標準化因子負荷（Estimate值）大部分大于0.7，并在99％的置信度下高度顯著(C.R.值>2.58)。表明本研究構造的變量效度較好，適合做結構方程模型分析。前文建立的結構方程模型必須通過擬合度檢驗,才能認定假設模型與實際數據樣本的一致性。若模型的擬合度高，則代表模型可用性越高，參數的估計越具有含義。對于擬合度的考核有較多指標,但不同的指標在不同的模型復雜度、樣本數量下有著不同的表現特性,必須根據具體情況同時參考各種擬合度指標[4]。本研究利用AMOS7.0進行結構方程模型的分析,主要使用CMIN、RMSEA、CFI、GFI等較為穩定的指標考核模型擬合度,擬合后的評價結果及其理想值匯總于表3。從表3中可知假設模型較好地與樣本數據擬合,具有較高擬合度。經過對結構方程模型的分析,可以得到各個潛在變量之間的路徑系數以及可測變量與潛在變量之間的因子負荷。路徑系數及因子負荷量匯總于上表2（Estimate值）。從中可知,潛在變量之間的路徑系數、可測變量在對應的潛在變量中的因子負荷所對應的C.R.值均大于1.95的擬合要求,表明各路徑系數以及因子負荷在p=0.05的水平上具有統計顯著性，能夠作為進一步分析的依據。2.3假設檢驗結果從表4可以看出,本文提出的假設模型中有10個假設通過了調查數據的驗證(t>1.96),2個假設（H1和H7）沒有通過調查數據的驗證。
電子政務外包風險對績效的作用路徑及效應分析
由于篇幅有限，此處僅給出了變量間的總效應，如表5所示，而直接效應可由表2的Estimate值給出，相應的間接效應=總效應-直接效應。圖2顯示了電子政務外包風險因素間的相互作用關系以及風險對績效的作用路徑及效應。從表5看出，“外包決策風險”對“電子政務外包績效”的總效應是最高的，但是其直接效應（0.152）卻是不顯著的，這是由于外包決策主要處于整個外包過程的前期，與其它環節的關系極為密切，其對外包績效的影響主要是通過后續環節的其它風險因素間接作用的，對“關系管理風險”、“團隊運作風險”、“成本管理風險”影響的總效應都大于0.6，均較為顯著。外包內容、范圍的決策是否合理、服務商選擇是否正確對團隊運作階段的需求分析、服務質量、項目管理影響都比較大，外包市場不成熟引致的知識產權保護乏力、涉及核心機密的政務外包決策失誤、選擇的服務商商譽不良引起的信息泄漏等方面都對電子政務的安全構成威脅。因此，“外包決策風險”的擴散效應不可小覷，可能會由于外包決策的一些失誤，導致連鎖反應，最終對電子政務外包造成不可挽回的損失。當前，電子政務外包市場較不成熟，政府部門在制定外包決策過程中，要明確外包應該包什么、怎么包，確定具體的任務和目標，對潛在的運營企業進行評估，選擇商譽良好的運營企業。在政府部門建立CIO制度，為外包決策提供支持。研究表明，成熟的CIO制度能夠為外包范圍程度、運營企業評估選擇提供有效的指導與協調支持，較好地解決政府部門在外包決策中的信息不對稱現象，防范機會主義風險[5]，在外包執行過程中進行有效監督并給予有力的支持，提高政府部門在關系管理、知識管理、成本管理等方面的經驗與能力。
“關系管理風險”對“電子政務外包績效”的總效應略低于“外包決策風險”，居第二位，其直接效應（0.236）也僅次于“團隊運作風險”，間接效應（0.435）非常顯著。“關系管理風險”包含的風險因素中，‘合同不完善’、‘外包主體關系不和諧’以及‘外包主體之間缺乏溝通’都是外包領域較為常見也較難克服的風險因素，對電子政務外包績效的影響較為深重。此外，“關系管理風險”與其它類別的風險因素關系也較為密切，對“知識管理風險”、“團隊運作風險”的總效應均在0.7以上，顯著水平較高。“關系管理風險”中的‘合同不完善’風險影響比較大，屬關鍵風險因素，特別要重視這一風險因素對“知識管理風險”中的‘績效評量體系失效’、‘知識共享不足的影響’。而‘外包主體關系不和諧’對“團隊運作風險”中的‘團隊結構與行為不適應’風險的影響效應也特別大，影響雙方團隊人員之間的溝通協作及問題的解決。為了防范關系管理風險，應制定明確、完善而兼具柔性的合同，加強政府部門與運營企業之間的伙伴關系管理。研究發現，基于滿意、溝通合作、長期互動的關系能夠改善政府部門與運營企業之間的信任程度[6]，防止運營企業采取機會主義行為侵害政府部門的利益，實現雙方共贏、共擔風險、目標資源優勢互補。在外包關系的管理上，促進雙方建立長期的合作與信任關系，并通過短期合同的方式[7]，使運營企業一直處于競爭的環境之中，激勵他們提供較高質量的服務。
“知識管理風險”對“電子政務外包績效”的總效應為0.441，直接效應為0.213，均較為顯著。值得一提的是，“知識管理風險”對其它類風險的直接效應較不顯著，唯獨對“團隊運作風險”的效應較為顯著，達到0.597，并通過“團隊運作風險”間接影響“成本管理風險”，這也構成了對“電子政務外包績效”的間接效應。這主要由于“知識管理風險”潛伏性較強，不易識別，但是對團隊運作的知識流程作用深遠，對電子政務外包過程中的知識共享、安全保密控制、績效評量、學習與創新能力的培養等方面的影響都較為關鍵，“知識管理風險”對“電子政務外包績效”中的戰略績效的影響極為顯著。此外，“知識管理風險”對“團隊運作風險”的總效應也達到0.597，運營企業的知識管理能力與經驗不足，在知識共享、安全保密控制、績效評量等方面的工作就會做得不到位，相關的風險就很可能產生，而政府部門一旦缺乏知識管理方面的能力與經驗，對知識流程（主要是知識共享、安全控制、評價）的監督控制就會大大削弱。電子政務外包雙方要加強風險管理與知識管理的融合，通過對外包過程中的知識管理來控制風險，同時，也要通過風險管理經驗的不斷積累，形成風險管理知識并加以共享創新，提高外包過程中的知識管理水平[8]。外包雙方應注重相關風險管理知識的存儲、共享、運用與再創造，以提高知識管理與風險管理的融合水平。政府部門應加強知識轉移控制、制定安全防范機制、確定合理的績效評價標準，同時，也要重視組織學習與創新能力的培養，適時開展相關的學習培訓活動，提高政府工作人員學習創新的積極性，注重知識與經驗的積累，提高學習與創新能力，掌握外包過程中的主動權；運營企業應合理配置團隊的知識資源，使得團隊人員知識互補、互相協調，提高參與人員素質，防止信息泄露[9]，及時向政府部門反饋績效信息，完善相關文檔，做好知識轉移工作；監理方要嚴格規定外包主體責任，強化服務質量信息披露，充分發揮其咨詢、監督、評估的作用，制定嚴格的電子政務外包安全執行標準和完備的安全監管制度，完善工作流程、加強外包合同約束機制，并協助政府部門選擇信譽好、具有保密資質的運營企業。#p#分頁標題#e#
在所有風險類別對“電子政務外包績效”的直接效應中，最大的是“團隊運作風險”，達到0.269，顯著性水平較高。在電子政務外包的執行過程中，團隊運作是關鍵，“團隊運作風險”包含的潛在風險因素都會直接影響到績效水平，而且影響作用都比較大，屬于關鍵風險因素，特別是‘需求分析不準確’對后續工作的影響較為重大，不僅直接影響到團隊運作的順利進行，加大了團隊運作階段的風險，也不利于知識管理、成本管理的開展，應予以重視。“團隊運作風險”對“成本管理風險”的總效應（0.585）較為顯著，成本預算控制作為項目管理的關鍵，也需要雙方具備相應的項目管理能力與經驗，相應的風險對成本預算控制的不良影響也是需要予以重視的，而需求分析不準確與頻繁變更對隱性成本累積的影響也是不容忽視的，團隊結構與行為不適應引起的人員變動、溝通協調問題也增加了協調成本。研究表明，發包方與承包方在需求分析以及變更控制方面的風險問題，主要由于外包雙方缺乏溝通以及對外包過程的控制不力，這也是團隊運作的其它風險因素產生的主要原因。為此，運營企業應就政府部門的電子政務需求進行系統地調查分析，與對方加強溝通合作，在團隊運作中重視政府部門人員的參與；政府部門應提高自身的管理經驗與能力，促進團隊結構與行為的協調，主管領導應對外包項目予以重視，提供必要的支持。
“成本管理風險”對“電子政務外包績效”的直接效應雖略低于其它類別的風險因素，卻是政府部門比較重視的一類風險，因為成本的降低始終是電子政務外包的主要動力因素之一。特別是‘交易成本控制不力’、‘隱性成本的累積’、‘成本預算控制失效’等風險因素不僅直接影響著“電子政務外包績效”中的經濟效益，而且還能通過作用于“外包決策風險”、“團隊運作風險”而對整個外包過程產生較大的不利影響，甚至會由于成本控制不力、資金緊張等問題而導致外包項目的擱淺直至失敗[10]。能否科學地估計電子政務外包成本，成為政府部門面臨的一個難題，此外，由于對電子政務外包成本的約束力不足，成本預算機制尚未建立起來，這就有可能產生一定程度的浪費，腐敗問題也將會出現。較高的交易成本主要源自于電子政務外包市場的不成熟，針對這個問題，應規范電子政務外包市場，對運營企業的選擇條件和選擇過程做到公開、公正，逐步建立起規范化的資質管理和公平競爭的準入制度。此外，政府部門作為發包方，應該加強對合同成本、監控協調成本、轉向成本的控制[11]，應重視隱性成本的累積風險，監督控制運營企業的服務質量，重視電子政務服務的可擴充性，以適應今后技術進步對電子政務提出的新要求；運營企業為了與政府部門發展長期的業務關系、建立良好的商譽，也應選用合適的技術手段及優質的軟硬件設施，切實提高服務質量，減低隱性成本，此外，也要在外包執行過程中強化成本預算控制，提高資金使用效率，既能提高自身的收益，也提高了政府部門的電子政務外包經濟效益。
電子政務的安全風險范文3
關鍵詞：SOA；電子政務
1 引言
隨著政府信息化系統的完善，各行業與政務軟件銜接的問題也越來越突出，政府通過電子政務軟件來保證對各部門信息的共享，及下屬企業信息的收集、數據處理等工作。而下屬企業為了實現辦公自動化必須引入相關的管理軟件，這時就會產生不同系統之間數據的管理及共享問題。電子政務軟件采用SOA的架構是比較適合的架構，因為分布于各部門和社會各單位中的系統是各自獨立的也是千差萬別的，當執行數據處理任務的時候，又需要這些系統進行協同操作，此時SOA就有了優勢。本文從多個角度探討了SOA架構下電子政務及項目管理軟件之間的接口銜接問題。
2 SOA架構的概念
SOA面向服務的體系結構(Service-OrientedArchitecture)是一個組件模型。SOA與其它的標準不同的是，SOA的標準是基于分布式的、松耦合的，具有良好的夸平臺性。它將應用程序的不同功能單元通過這些單元之間定義良好的接口和契約聯系起來，接口是采用中立的方式進行定義的，它獨立于實現服務的硬件平臺、操作系統和編程語言。這使得構建在各種這樣的系統中的各個單元可以用一種統一和通用的方式進行交互。
3 電子政務軟件面臨的問題
目前，我國的電子政務正在逐步實現由“政績導向”向“服務導向”的轉變。以服務為中心，使得使用者能夠更廣泛的、更快捷的獲得需要的信息。但是目前電子政務軟件的獨立性很強，很難和其他軟件進行交互，這使得各行業之間在上報資質等問題上需要2次登記，在企業內部的信息系統上登記相關的信息后再到政務軟件上進行登記。同時，在項目管理上，項目組織機構人員的劃分是需要嚴格的按照國家設計管理人員資質的等級劃分的。企業內部系統與政務系統可能存在信息不一致的情況也會導致違背項目管理標準規范的現象。
因此，數據的完整性和唯一性的問題越來越突出。在這種環境下，利用信息化的手段，達成自上而下的政府業務標準和企業生產管理的統一，實現數據自底向上的快速準確匯集和業務自上而下的高度協同就顯得十分重要。
4 如何完成電子政務軟件與項目管理軟件接口的銜接
由于電子政務軟件的安全級別較高，出于安全性的角度，企業的其他軟件只能讀取政務軟件的數據。
在具體實施SOA架構的電子政務與項目管理軟件接口銜接時，注意從以下幾個方面 ：
1） 安全管理。
以SOA架構規劃的電子政務的應用程序是比較繁雜的。對其進行保護也更為困難。因此需要專門的安全人員進行接口的開發，通過訪問者的權限進行安全性的劃分。本地用戶通過登入項目管理系統，來獲得對電子政務信息的訪問權限。開發人員應該透徹的了解軟件體系結構和安全性方面的知識，應同時了解SOA的相關知識。團隊中的安全架構師將負責創建系統的安全模型。同時，安全架構師將與項目架構師配合工作，確保SOA實現符合安全性的要求，對電子政務系統及項目管理業務分析人員和系統工程師進行安全性指導。
2） 需求策略制定
在建立需求模型時，務必選擇正確的工具，以便團隊進行協作和方便地記錄SOA的安全需求和創建SOA電子政務安全接口模型。正確的需求與分析工具將幫助團隊了解問題領域、捕獲和管理不斷發展的需求、建模用戶交互、在整個電子政務項目生命周期中包含參與者反饋，而最為重要的是進行協作。良好的安全需求與分析實踐將極大地減少系統安全風險。
3） 風險評估
由于信息系統的重要性、計算機網絡的開放性、信息系統組成部分的脆弱性以及用戶有意、無意的不正當操作或惡意的破壞企圖，使信息系統面臨很多的風險。因此，對于企業要求電子政務開放的接口進行風險評估。在風險控制的過程中，企業是否具備適當的控制能力，以確保符合相關的管理規定。
5 總結
本文比較系統的分析了電子政務軟件面臨的問題，并總結了在SOA架構下安全實的各項特點和優勢，提出電子政務系統與項目管理軟件接口的銜接的方法。在文章中為電子政務與其他軟件進行交互的安全運營提供安全管理制度規劃、策略制定、風險評估等一系列服務，通過SOA服務型的管理平臺，建立統一的安全策略，從而將有效提升電子政務的可擴充性，滿足日益變更的需求。
電子政務的安全風險范文4
關鍵詞：電子政務 信息系統審計 審計風險 風險管理
一、電子政務信息系統審計風險研究的意義、方法
電子政務是國家信息化建設的重點工作，其成功與否直接影響著我國政府改革的進程，然而信息化建設往往伴隨著巨大的風險，所以必須對電子政務信息系統的建設實施科學全面的審計。在信息系統審計的過程中，審計人員通過收集證據來判斷系統本身是否達到保護資源安全，數據完整，系統穩定、有效和高效等目標，但有時會出現審計人員發現不了系統內部存在的缺陷或錯誤的情況，這說明對信息系統的審計可能出現判斷出錯的可能性，這種可能性就是信息系統審計風險。而電子政務信息系統審計由于電子政務的特殊性而存在著更為復雜的審計風險。
在這樣的環境下，研究電子政務信息系統的審計風險具有非常重要的意義。國內外對傳統審計領域中的審計風險研究已經相當成熟，而對電子政務環境下審計風險的研究數量相對較少且處于初步探索階段。國內的朱萍等以審計風險模型為基礎，認為應通過合理評估固有風險和控制風險的水平來確定檢查風險，達到降低審計風險的目的，并重點闡述了控制風險的評估[1]。孫綱以審計理論和評價理論為基礎，構建了審計風險評價方法體系，最后通過比較期望審計風險與實際審計風險作為審計終止標準的方法來降低總體審計風險[2]。還有一些學者針對電子商務環境下的審計風險做了研究：王樂聲從傳統審計風險模型的固有風險、控制風險、檢查風險三個要素著手提出了降低電子商務審計風險的對策[3]。劉知強通過文獻分析法及專家咨詢法兩種方式設計了電子商務環境下審計風險量表，對電子商務環境下的審計風險進行了識別分析，并在量表的基礎上建立了適應電子商務環境下的審計風險模型[4]。
本文對電子政務信息系統審計風險的研究將借鑒COSO（Committee of Sponsoring Organization，內部控制委員會）在2004年的《企業風險管理――整體框架》[5]。該框架是在1992年的《內部控制――整體架構》的基礎上提出的，重點闡述了八要素風險管理理論；與原來的五要素內部控制框架不同，它更側重于風險管理，強調內部控制是風險管理必不可少的一部分。該框架對于企業風險管理的定義具有廣泛的適用性，適用于各種類型的組織、行業和部門，也成為了衡量企業風險管理是否有效的一個標準，對于我們開展電子政務信息系統審計風險研究具有很好的借鑒作用[6]。
對電子政務信息系統審計的風險研究首先應以傳統審計風險理論為前提，傳統審計風險包括固有風險、控制風險和檢查風險三個組成要素，它們之間的相互關系可以從定量和定性兩個方面加以考察。
從定量的角度看，審計風險及組成要素的相互關系可用以下公式表示：
審計風險=固有風險×控制風險×檢查風險
這個公式也被稱作傳統審計風險模型。
從定性的角度看，檢查風險與固有風險和控制風險的綜合水平之間存在著反比關系，固有風險和控制風險的綜合水平越高，審計人員可接受的檢查風險水平越低；反之亦然。對于固有風險和控制風險，它在審計人員審計過程中已成為既定的事實，審計人員無法改變它，但可通過對被審計單位的了解和測試來合理評估固有風險和控制風險，評估的目的是為了確定檢查風險水平，并據此來開展實質性測試以降低檢查風險，從而最終將審計風險控制于可接受的水平。
二、電子政務信息系統審計風險研究框架
基于傳統的審計風險模型和審計風險各要素的定性關系，并借鑒COSO風險管理理論，本文提出了電子政務信息系統的審計風險研究框架（見圖1）。
圖1 電子政務信息系統的審計風險研究框架
下文將分別對電子政務信息系統固有風險的識別、固有風險的評價以及控制風險的評價和檢查風險的評價等幾方面進行討論。
⒈固有風險識別
所謂固有風險識別，是指電子政務信息系統審計人員對電子政務信息系統固有風險的發生領域進行識別和分析，以確定風險的來源，描述風險特征。從電子政務建設的整個生命周期來看，其固有風險貫穿于電子政務信息系統建設項目的始終，所以應將電子政務看作一個大系統并從系統工程和項目管理的角度來對電子政務信息系統的固有風險進行全面識別，無論風險性質和風險大小，都應盡可能全面地找出其存在的固有風險[7]。
根據系統分析法，電子政務信息系統的固有風險可劃分為系統風險和非系統風險。系統風險是電子政務信息系統的特別風險，是由其本身的開發、建設、管理等活動帶來的；非系統風險是指電子政務建設之外的某種因素引起的可能對所有電子政務建設都帶來損失的不確定性風險。
電子政務信息系統的固有風險按照風險的不同來源可以進一步進行分類和細化（如圖2所示）。需要指出的是，各種電子政務信息系統固有風險領域之間并不是獨立的，而是存在各種聯系的，分析時應對此做綜合考慮。
圖2 電子政務信息系統固有風險分類圖
⒉固有風險評價
對固有風險的評價可采取多種方法，由于電子政務信息系統的固有風險是由諸多相互關聯又相互制約的因素構成，既復雜又缺少足量數據，所以采用單純的定性和定量分析的方法往往缺乏可操作性。因此，本文決定同時采用特爾斐法和AHP法作定性和定量分析，最后對用這兩種方法得出的結果進行比較，以實現分析結果的科學性和加強評價的實際可操作性。
特爾斐法由美國著名的蘭德公司提出并使用，是能夠對大量非技術性的無法定量分析的因素進行概率估算的方法，它是一種客觀的綜合多數專家經驗與主觀判斷的技巧，也可稱為專家打分法，它是系統工程中一種很重要的測定方法。
AHP（analytic hierarchy process，層次分析法）是美國運籌學家T.L.Salty在20世紀70年代提出的一種定性與定量結合的決策分析方法。它把需要研究的復雜問題分解為不同的組成元素，并針對總目標按相互關系影響劃分為有序遞階層次結構圖，通過各元素的兩兩比較，確定層次中諸因素相對于上一層次某因素的相對重要性，然后綜合人的判斷以決定各因素相對重要性的總順序[8]。
采用AHP法和特爾斐法進行電子政務信息系統固有風險評價的過程如圖3所示。
圖3 電子政務信息系統固有風險評價流程圖
⒊控制風險評價
前文介紹了電子政務信息系統建設項目存在的各種風險，根據COSO企業風險管理整體框架的要求，對于這些風險被審計單位通常會采取必要的管理措施。良好的風險管理能夠降低電子政務信息系統存在的風險，但是無論被審計單位風險管理的設計和運行多么完善,仍無法消除其固有的缺陷和局限性，所以審計人員在進行審計的過程中必須了解電子政務信息系統的風險管理情況，并對存在的控制風險做出科學客觀的評價，為即將進行的實質性測試提供依據?？刂骑L險的合理評估對于審計人員做出正確的審計報告具有關鍵的作用，應充分重視這一環節?？刂骑L險的具體評價過程如下（參見圖4）：
圖4 控制風險的評價過程
⑴首先審計人員應了解電子政務信息系統的風險管理狀況，分別從控制環境、目標確定、事件識別、風險評價、風險反應、控制活動、信息溝通和監控方面來考察。這里審計人員可通過多種可行的辦法來了解其實際狀況，如可通過查閱有關規章制度及方針政策等文件，與負責人座談、詢問有關人員、實地觀察、發放調查表、查閱前期審計報告、與程序設計人員直接對話等手段來實現，由此可以對被審計單位電子政務信息系統內部的風險管理設計的合理性、健全性做出初步評價，并可通過書面說明法、調查表法和流程圖法做出描述。這一步是對控制風險的初評，對控制風險的初評寧可高估不宜低估，以降低審計風險。
⑵符合性測試是指對內部控制的完整性、有效性和實施情況進行測試。本文的符合性測試是以COSO企業風險管理框架為基準，是對電子政務信息系統的風險管理的完整性、有效性及合理性進行測試。這一部分可作為下一步風險管理現狀和得分的重要依據。
⑶通過比較法評估風險管理情況，同時進行控制風險的二評。比較法就是通過對實際系統風險管理現狀的調查取證和描述，然后與現有的評價標準（本文以COSO企業風險管理整體框架為評價標準）進行比較，以此得出被審計單位風險管理符合性的總體評價，最后用百分制打分的方式顯示評價結果[9]。因為此方法在使用時以國際現行風險管理整體框架為評價標準并緊密結合目標系統的實際，所以其評價指標的設定更具科學性和可操作性；同時此方法通過實際與標準的比較得出結論，使評價更具可靠性。
比較法中涉及幾方面的要素，分別是評價標準、評價指標、評價指標權重、評價方法、評價程序及評分表，其中風險管理評分表是整個評估成果的綜合體現。
評分表的表頭欄目如表1所示，評分表的“得分”欄是根據風險管理指標現狀與標準的符合性程度而得出的，采用的是百分制的方式。
表1電子政務信息系統風險管理情況評分表
風險管理的總得分=∑COSO八要素權重*各項具體指標權重*各項具體指標得分。
⑷控制風險終評。這一步發生在實質性測試之后。根據實質性測試的結果和其他審計的證據，對控制風險進行最終評估，主要是看其是否與控制風險的計劃評估結論相一致。如果控制風險水平高于計劃評估水平，則說明審計程序不充分，審計人員應考慮是否追加相應的審計程序；如果低于計劃評估水平，則說明按計劃評估控制風險水平制定的審計程序執行已經比較充分，無須考慮追加審計程序[1]。
⒋檢查風險評價
一般來講，檢查風險是指信息系統中的某些電子數據存在重大錯報或漏報，而未能被實質性測試發現的可能性。檢查風險是必然存在的風險，它與被審計單位無關，與審計程序的有效性有關。比如審計人員在進行實質性測試的時候，由于采取抽樣技術而出現的抽樣風險；另外，除了抽樣風險之外也有非抽樣風險。在電子政務信息系統審計中，因為信息系統中電子數據的形式多樣性，增加了提取審計證據的困難；由于內部控制主要依賴于軟件本身，增加了難以全面檢查測試的可能性。如此種種情況而使風險評估變得更為復雜，檢查風險大大增加。對檢查風險的評價直接影響著審計人員對審計風險的綜合評價，所以應充分重視檢查風險的評價。審計人員可先找出檢查風險的影響因素，并建立檢查風險的評價指標集，利用風險因素分析法、模糊綜合評價法等方法來進行檢查風險的評估。
三、結束語
隨著的信息化程度越來越高，電子政務信息系統審計也越來越得到人們的重視，對電子政務信息系統實施科學的審計能夠最大限度地降低電子政務建設項目的風險。而審計本身也是存在審計風險的，審計人員如何開展電子政務審計工作，如何將審計風險降低至可接受的水平，需要全面認識和正確評價電子政務信息系統存在的各種風險，幫助和監督被審計單位建立、健全電子政務信息系統風險管理制度，并提高風險管理水平。電子政務信息系統的審計風險涉及諸多主客觀因素：不僅包括信息化的風險，也包括許多人的因素，其復雜程度極高。本文建議從系統工程和風險管理的角度來對電子政務信息系統的審計風險進行分析，以理論為指導并在實踐中不斷摸索改進電子政務信息系統的風險管理方法，使其更具可操作性和適用性。
參考文獻：
1朱萍，劉圣妮. 審計風險模型及其應用分析[J]. 廣西商業高等?？茖W校學報，2002，19（1）：71-74
2孫綱. 審計風險評價方法研究[D]. 哈爾濱理工大學經濟管理學院，2005
3王樂聲. 論電子商務環境下的審計風險[J]. 蘭州商學院學報，2001，17（05）：114-116
4劉知強. 電子商務環境下審計風險研究[D]. 大連理工大學，2005（04）：45-49
5Committee of Sponsoring Organizations of the Treadway Commission(COSO). Enterprise Risk Management Integrated Framework[R]. 2004
6朱榮恩，賀欣. 內部控制框架的新發展――企業風險管理框架[J]. 審計研究，2003（06）：11-15
7Schwalbe K. Information Technology Project Management[M]. 北京:機械工業出版社，2003：301-333
8陳衛，方廷健，馬永軍，等. 基于Delphi法和AHP法的群體決策研究及應用[J]. 計算機工程,2003,29 (5):18-20
9劉智. 基于COSO框架的東方公司內部控制診斷評估方法研究[D]. 北京化工大學， 2006
作者簡介：
電子政務的安全風險范文5
關鍵詞：電子政務；系統信息；安全策略；數據漏洞
1電子政務概述
電子政務可視作為傳統政務的衍生，兩者之間互有區別，但又緊密聯系。信息化技術的不斷進步，為電子政務發展提供了有力支持，使其容納范圍愈來愈廣泛。從發展角度來看，電子政務的出現具有其必然性，并且電子政務屬于長期性的系統工程，在社會發展過程中發揮了持續性作用。通過電子政務的有效實施可讓政府行為更為透明、公開，并可提升政府運作效率，從而為公眾帶來更可靠的服務。從電子政務構成來看，它主要涵蓋了以下幾個方面：（1）政府部門通過網絡與公眾之間進行雙向信息交流；（2）政府各部門之間利用網絡進行實時通信與信息共享；（3）政府內部通過網絡實現信息化辦公。從應用形式來看，電子政務應用形式十分廣泛，主要包括電子商務、電子招標、電子采購、電子資料庫、電子公文系統等。電子政務網絡主要包括了政務內網與外網。其中，內網主要是副省級以上政府部門的辦公網絡，與副省級以下政府部門的辦公網絡存在物理隔離；外網主是政府業務專用網絡，其主要業務涉及面向社會的專業及不需要在網上運行的業務。內網與外網通過物理隔離，而萬維互聯網與外網之間主要是通過邏輯隔離。
2電子政務面臨的安全風險因素
作為政府政治活動的主要載體，電子政務系統是非法侵入的主要目標。一旦電子政務系統被入侵或受到破壞，將會給整個社會帶來巨大損失，其中不僅涉及到經濟損失，還有可能影響社會的穩定性。目前，電子政務所面臨的安全風險因素主要來自以下幾個方面：（1）技術性因素。對于電子政務系統而言，技術性因素是客觀存在的。在信息技術不斷發展的過程中，操作系統及相關應用軟件的功能愈來愈豐富，其結構也變得愈來愈復雜，由于更新頻繁，出現系統漏洞或軟件漏洞是難以避免的。盡管大部分漏洞都可以修復，但部分潛在性安全漏洞會受到黑客攻擊，使得電子政務系統風險暴露在外。（2）利益因素。利益因素是造成電子政務安全風險的直接因素，也是最主要的風險因素。在社會信息如此發達的今天，信息資源已經成為了重要的生產資料，并逐漸成為了國家強弱的象征。整個信息領域中不乏具有信息霸權的國家，而處于信息劣勢的國家，其經濟安全、政治安全及文化安全都受到了一定程度的制約。同時，國家與國家之間的競爭也逐漸轉變為信息戰。上述情況的出現，歸根結底還是由于利益所致。在國家利益、民族利益面前，電子政務必然會受到外界沖擊。另一方面，企業是電子政務的重要服務對象。部分企業為了競爭而采取非法網絡攻擊手段獲取商業機密，這種行為給電子政務系統安全也帶來了一定程度的影響。（3）主觀因素。電子政務網絡由于安全等級較高，并涵蓋了大量機密內容，成為了很多黑客的攻擊目標。部分黑客并不是出于利益角度對電子政務網絡進行攻擊，而是處于本能的好奇心理與刺激欲望，希望通過網絡攻擊來證明自己的技術，以獲取滿足感。這種入侵行為可能不會帶來太大程度的破壞，但會給電子政務網絡正常運行帶來阻礙。
3相關安全技術分析
為保證電子政務系統信息的安全性，可采取以下技術手段對入侵行為進行防范：（1）防火墻技術。防火墻是最為常見，也是最為有效的網絡安全防范技術手段。它可有效屏蔽黑客訪問，并對進出通信端口進行過濾，將內部網絡與外部網絡相互隔離，避免內部網絡受侵。其主要類型包括包過濾型、復合型、服務型。（2）防病毒技術。目前，計算機網絡防病毒技術已經變得十分成熟，采取基于病毒家族體系的命名規則、基于多位CRC校驗和掃描機理、啟發式智能代碼分析模塊、動態數據還原模塊、自身免疫模塊及內存解病毒模塊等技術，可從多個維度對病毒進行防控，以保證網絡安全。（3）加密技術。在電子政務信息保密管理過程中，加密技術發揮了十分重要的作用，該技術是電子政務系統安全體系的核心。數字加密技術主要分為換位加密與替換加密兩種類型，實際應用過程中將兩類技術混合使用，可進一步提升數據信息的保密效果。
4加強電子政務系統信息安全建設相關分析
4.1加強內網安全建設
電子政務內網本身就是一個獨立且完整的自動化辦公環境，是實現政務信息化的重要基礎。通常情況下，內網與外網之間存在物理隔離，其安全影響因素主要來自于內部，集中表現為系統安全及信息安全方面。多數內網安全隱患主要由于人為主觀因素所致，包括違規操作、失誤操作、管理疏漏、權責不明等。另外，系統軟件設施與硬件設施維護不到位，也會產生一定程度的潛在性風險。因此，可采取訪問控制、病毒防護及應用系統驗證識別來強化內網安全。訪問限制主要是對網絡區域邊界進行合理劃分，并賦予用戶不同的權限，以控制用戶訪問行為。對于未授權的訪問行為，系統會直接屏蔽或隔離，以避免受到非法訪問行為的攻擊。同時，利用系統驗證識別功能（包括賬戶識別、密碼識別、數字證書識別等）可對用戶身份進行有效識別，驗證未能通過的用戶，無法進入到系統平臺內部。在上述基礎上，采取病毒防護措施可進一步提升系統的整體安全性，為系統提供一道可靠的保護屏障。另外，要求機構內部加強相關制度建設，以規范電子政務內網使用行為，創造出一個良性的內網使用環境。
4.2加強外網安全建設
政府機構一般通過外網與社會公眾進行溝通，并通過外網相關信息。同時，用戶可借助外網進行信息查詢、事務辦理等，所以外網又被視為社會公眾與政府之間的溝通樞紐。外網信息安全保護目標主要在于防范信息篡改，并保證公共信息真實可靠。外網運營過程中，需對系統漏洞進行控制，并嚴格執行主機審查機制，以預防黑客攻擊。同時，可采取文件監控系統對網站信息數據進行監控，通過防火墻等限制黑客攻擊行為。另外，需健全網絡安全管理制度、信息審核制度及信息登記制度等，以對相關行為進行約束。
4.3重視數據交換安全建設
電子政務系統日常運營過程中，存在大量的信息數據交換。為保證信息數據交換安全、穩定進行，必然要加強信息數據資源管理，以獲取一個安全、穩定的內部環境。從客觀角度來看，我國政府是社會信息資源的最大生產者及使用者，同時也是信息資源的控制者。實現社會信息化的前提是保證信息的正常流動性，而電子政務信息資源管理則為信息正常流動、交換提供了基礎。對于電子政務自身而言，其在發展過程中也會產生龐大的數據信息，若要讓電子政務穩定發展，必然要對這些數據信息進行合理處理，而這就需要構建出統一化網絡通信平臺，為政府與社會之間的數據交互提供保障。同時，政府部門需建立有效的信息共享機制，避免形成信息孤島。通過行之有效的電子政務信息資源管理，可推使電子政務向更高的層次發展，以實現信息資源整合化。技術方面可選取GAP技術實現內外網絡數據安全交換。將GAP作為，可從外網網絡訪問包中提取數據,并通過反射開關轉至內網，形成數據中轉。在中轉過程中,GAP會對提取數據進行應用層協議檢查、內容檢測，并對IP包地址進行過濾控制，用以保證數據信息的安全性。
5結語
電子政務系統信息安全建設是一項利國利民的大計，需要一個長期性的過程。在這個過程中，需要從技術、管理、制度等多方面進行完善，以保證電子政務系統安全、穩定運營，為社會穩定繁榮發展提供基礎。
作者:李曉冉 鄧敏清 單位:賀州市發展和改革委員會
參考文獻:
[1]謝先江.淺論電子政務信息安全問題與策略[J].電子政務,2010(Z1):84-89.
[2]潘榮坤.電子政務系統的信息安全問題及其對策研究[J].電子政務,2010(06):83-88.
[3]潘榮坤.電子政務系統的信息安全問題及其對策研究[J].決策咨詢通訊,2010(04):48-51+67.
電子政務的安全風險范文6
一、引言
電子政務是指政府運用現代計算機和網絡技術，將其承擔的公共管理和服務職能轉移到網絡上進行，同時實現政府組織結構和工作流程的重組優化，超越時間、空間和部門分隔的制約，向社會提供高效優質、規范透明和全方位的管理與服務。電子政務的實施使得政府事務變得公開、高效、透明、廉潔，并實現全方位的信息共享。與此同時，政務信息系統的安全問題也變得非常重要。政務信息系統的安全一旦發生問題，就會影響其功能的發揮，甚至對政府部門和社會公眾產生危害，嚴重的還將對國家信息安全乃至國家安全產生威脅。
目前，電子政務系統的安全風險問題越來越受到重視，因此有必要對電子政務系統的安全性進行評估。對電子政務系統的風險評估，就是對信息系統的脆弱性、信息系統面臨的威脅及其發生的可能性，以及脆弱性被威脅源利用后所產生的負面影響的評估。信息系統安全的風險評估結果，對組織機構在信息安全措施的選擇、信息安全保障體系的建設等問題做出合理的決策有著重要的指導作用。
本文主要是根據英國標準協會（British Standard Institute）制定的信息安全標準BS7799，基于大量的安全行業經驗，借助漏洞掃描等先進的技術，從內部和外部兩個角度，對電子政務系統存在的安全威脅和脆弱性進行分析，對系統面臨的風險進行全面的評估，并通過制定相應措施消除、減少、監控脆弱性以求降低風險性，從而保障信息系統的機密性、完整性和可用性。
二、電子政務系統安全風險評估的關系模型及分析方法
電子政務系統安全風險評估是依據國家有關的政策法規及信息技術標準，對系統及由其處理、傳輸和存儲的信息的保密性、完整性和可用性等安全屬性進行科學、公正的綜合評估的活動過程。風險評估要求對信息系統的脆弱性、信息系統面臨的威脅以及脆弱性被威脅源利用后所產生的實際負面影響進行評估，并根據安全事件發生的可能性和負面影響的程度來識別信息系統的安全風險。
⒈電子政務風險評估的關系模型
風險評估的出發點是對與風險有關的各因素的確認和分析，各因素之間的關系可以用圖1所示的模型來表示。圖1中的箭頭及標示信息對信息安全風險相關的各類因素之間的關系做出了說明，這些因素之間的主要關系對風險評估的實施方法是很重要的，概述如下：
――威脅和薄弱點因素都將導致安全風險增加，資產擁有的價值越大，其可能存在的安全風險也越大，而風險控制則用來降低安全風險；
――威脅因素產生和增加安全風險的過程是：利用系統中的薄弱點實施攻擊（或其他破壞），從而對資產的價值造成不利影響，導致產生和增加安全風險；
――薄弱點對風險的增加只能通過威脅對其利用的過程來完成；
――安全要求的引出來自于安全風險，這體現了認識和確定風險的意義所在。
由此可以看出，威脅和薄弱點增加風險的方式是不同的。對于信息系統內的資產來說，威脅是外部因素，而脆弱性則為系統自身所有，它們相當于矛盾的外因和內因。
風險評估的過程就是將這些因素間的關系體現出來，查看組織機構是否屬于以下三種情況之一：
――當風險在可以接受的情況下，即使系統面臨威脅，也不需要采取安全措施；
――系統存在某些脆弱點，但還沒有被威脅所利用，這時需要安全措施能夠監控威脅環境，以防止利用該脆弱點的威脅的發生；
――被采取的安全措施保護資產、減少威脅發生所造成的影響，將殘余風險降低到可接受的程度。
研究表明，組織機構的信息系統的安全程度應該要滿足組織機構現在的應用需求；如果顯示組織機構的信息系統存在不可接受的風險，那么就應該對該信息系統的安全措施進行改進，以達到第三種情況的要求。
⒉電子政務系統的常用風險分析方法及其比較
目前，由于我國信息系統風險的安全評估才剛剛起步，因此我國現在所做的評估工作主要以定性評估為主，而定量分析尚處于研究階段。在風險評估過程中，可以采用多種操作方法，包括基于知識的分析方法、基于模型的分析方法、定性分析和定量分析，等等。無論采用何種方法，其共同的目標都是找出組織機構的信息系統面臨的風險及其影響，以及目前該信息系統安全水平與組織機構安全需求之間的差距。
⑴定量分析方法
定量分析方法的思想是，對構成風險的各個要素和潛在損失的水平賦以數值或貨幣的金額，當度量風險的所有要素（資產價值、威脅可能性、弱點利用程度、安全措施的效率和成本等）都被賦值，風險評估的整個過程和結果就可以量化。
從定量分析的過程中可以發現，最為關鍵的是對威脅事件發生的可能性和威脅事件可能引起的損失的量化。從理論上看，通過定量分析可以對安全風險進行準確的分級，能夠獲得很好的風險評估結果。但是，對安全風險進行準確分級的前提是保證可供參考的數據指標正確，而對于信息系統日益復雜多變的今天，這個前提是很難得到保證的。由于數據統計缺乏長期性，計算過程又極易出錯，定量分析的細化非常困難，所以目前風險評估分析很少完全只用定量的分析方法進行分析。
⑵定性分析方法
定性分析方法是目前采用最為廣泛的一種方法，它需要憑借評估分析者的經驗、知識和直覺，結合標準和慣例，為風險評估要素的大小或高低程度定性分級，帶有很強的主觀性。定性分析的操作方法可以多種多樣，包括小組討論（如Delphi方法）、檢查列表、問卷、人員訪談、調查等。定性分析操作起來相對容易，但可能會因為評估分析者在經驗和直覺上的偏差而使分析結果失準。
⑶定量和定性分析方法的比較
與定量分析相比，定性分析的準確性較好但精確性不夠，而定量分析則相反；定性分析沒有定量分析的計算負擔，但要求分析者具備一定的經驗和能力；定量分析依賴大量的統計數據，定性分析則沒有這方面的要求；定性分析較為主觀，定量分析基于客觀；定量分析的結果很直觀，容易理解，而定性分析的結果則很難統一。由于定量分析和定性分析兩種方法各有其優缺點，現在的風險評估大都采用兩者相結合的方法進行分析，在不容易獲得準確數據的情況下采用定性分析方法，在定性分析的基礎上使用定量方法進行計算以減少其主觀性。
三、電子政務系統安全風險評估要素的提取原則、方法及量化
電子政務系統安全的風險評估是一個復雜的過程，它涉及系統中物理環境、管理體系、主機安全、網絡安全和應急體系等方面。要在這么廣泛的范圍內對一個復雜的系統進行一個全面的風險評估，就需要對系統有一個非常全面的了解，對系統構架和運行模式有一個清醒的認識。可見，要做到這一點就需要進行廣泛的調研和實踐調查，深入系統內部，運用多種科學手段來獲得信息。
⒈評估要素提取的原則
評估要素提取是指通過各種方式獲取風險評估所需要的信息。評估要素提取是保證風險評估得以正常運行的基礎和前提。評估要素提取得成功與否，直接關系到整個風險評估工作和安全信息管理工作的質量。為了保證所獲取信息的質量，應堅持以下原則：
⑴準確性原則。該原則要求所收集到的信息要真實、可靠，這是信息收集工作的最基本要求；
⑵全面性原則。該原則要求所搜集到的信息要廣泛、全面完整；
⑶時效性原則。信息的利用價值取決于該信息是否能及時地提供，即具備時效性。
⒉評估要素提取的方法
信息系統風險評估中涉及到的多種因素包括資產、威脅、漏洞和安全措施。
信息系統的資產包括數據資產、軟件、人員、硬件和服務資產等（參見表1）。資產的價值由固有價值、它所受傷害的近期影響和長期結果所組成。
目前使用的風險評估方法大多需要對多種形式資產進行綜合評估，所獲取的信息范圍應包含全部的上述內容，只有這樣，其結果才是有效全面的。同時，資產評估時還要考慮以下方面：
――業務中最重要的部分是什么？如何通過使用或處理信息而使它們得到支持？這種支持的重要程度如何？
――哪些關于資產的重要決定取決于信息的準確度、完整性或可用性？
――哪些資產信息需要加以保護？
――安全事件對業務或者對該組織的資產影響是什么？
在考慮安全事件對組織資產的影響時，可以參考以下4個方面：
――信息資產的購買價值；
――信息資產的損毀對組織業務的影響；
――信息資產的損毀對政府形象的負面影響；
――信息資產的損毀對政府長期規劃和遠景發展的影響。
在進行資產、威脅和漏洞信息獲取時，需要整體考慮以下的對應關系：
――每一項資產可能存在多個威脅；
――威脅的來源可能不止一個，應從人員（包括內部和外部）、環境（如自然災害）、資產本身（如設備故障）等方面加以考慮；
――每一個威脅可能利用一個或是數個薄弱點；
――每個薄弱點對系統的威脅程度和等級有很大的不同，有的威脅不能消除，只能采取降低威脅程度的策略；
――要考慮各種威脅之間的相互依賴關系和交叉關系；
――考慮威脅薄弱點等隨時間和信息系統的進化而變化的特點，對其要以發展的觀點進行分析。
⒊評估要素量化
對每個安全要素的危害性采取風險模式影響及危害性分析法進行分析，最終得到被評估系統的風險狀況。
風險影響等級的劃分見表2。
為了計算方便，對（v1，v2，v3，v4 ，v5）用（0，0.2，0.5，0.8，1）表示。同時為了討論方便，在這里定義如表3所示的表示符號。
根據信息安全管理體系BS7799的結構特點，對安全要素風險事件的分析主要建立在前三層上。
標準中的第一層是十大管理要項，它標識了被評估系統在各個資產上的重要程度。λi表示系統資產權重分配情況，此時有=1。
標準中的第二層是管理目標層，根據BS7799標準的結構特點，對該層安全要素的風險分析主要是確立其危害程度。該危害程度由評估專家和系統用戶參照表2制定。這里采用Ei,j表示第i個管理要項下的第j個管理目標風險的安全要素危害程度。
標準中的第三層是控制措施層，對該層安全要素的風險分析主要考慮安全要素風險發生的重要程度。用λi,j,k代表第i個管理要項下的第j個管理目標下的第k個控制措施的安全要素風險權重系數。此時，有=1（第j個管理目標下有m個控制措施）。
確立每一層安全要素風險評價如下：
假設第i個管理要項下的第j個管理目標下的第k個控制措施風險發生的概率是αi,j,k，則有：
第i個管理要項下的第j個管理目標的風險發生概率是：
Vi,j=（假設第j個管理目標下有m個控制措施）
第i個管理要項的風險評價是：
Vi=（假設第i個管理要項下有n個管理目標）
最終的風險評價是：V=
綜合可得系統風險評價表達式：
V==
式中：λi由被評估系統的用戶或評估發起者在填寫評估任務時分配。λi,j,k、Ei,j可以通過風險評估數據庫中的權重系數表和危害程度表獲取。
最后通過判斷V落在預先定義好風險評價集的哪一部分，即可判斷被評估系統的風險等級。參照相應的風險等級的描述，從而可以得到被評估系統的總體風險狀況及具體改進意見。
四、電子政務系統安全風險評估的流程
電子政務系統安全的風險評估是組織機構確定信息安全需求的過程，包括環境特性評估、資產識別與評價、威脅和弱點評估、控制措施評估、風險認定等在內的一系列活動（風險評估的流程詳見圖2）。
五、電子政務系統安全風險評估的實施
電子政務系統安全的風險評估是一項復雜的工程，除了應遵循一定的流程外，選擇合理的方法也很重要。為了使風險評估全面、準確、真實地反映系統的安全狀態，在實施風險評估過程中需要采用多種方法。通過對安徽行政學院開發的電子政務模擬教學系統的風險評估,證明這樣的評估流程是正確可行的，其實施過程如下：
⒈參與系統實踐
系統實踐是獲得信息系統真實可靠信息的最重要手段。系統實踐是指深入信息系統內部，親自參與系統的運行，并運用觀察、操作等方法直接從信息系統中了解情況，收集資料和數據的活動。
⒉建立問卷調查表
問卷調查表是通過問題表的形式，事先將需要了解的問題列舉出來，通過讓信息系統相關人員回答相關問題而獲取信息的一種有效方式?，F在的信息獲取經常利用這種方式，它具有實施方便，操作方便，所需費用少，分析簡潔、明快等特點，所以得到了廣泛的應用。但是它的靈活性較少，得到的信息有時不太清楚，具有一定的模糊性，信息深度不夠等；還需要其他的方式來配合和補充。
⒊實用輔助工具的使用
在信息系統中，網絡安全狀況、主機安全狀況等難以用眼睛觀察出來，需要借助優秀的網絡和系統檢測工具來監測。輔助工具能夠發現系統的某些內在的弱點，以及在配置上可能存在的威脅系統安全的錯誤，這些因素很可能就是破壞目標主機安全性的關鍵性因素。輔助工具能幫助發現系統中的安全隱患，但并不能完全代替人做所有的工作，而且掃描的結果往往是不全面的。
⒋從文獻檔案中獲取信息
文獻和檔案記錄了關于信息系統的許多重要的參數和特性。通過文檔和資料的查閱，可以獲取比較完整的系統信息，獲得系統的歷史經驗。在風險評估過程中，這也是十分重要的一種信息獲取方式。
總之，在進行全面問卷調查和現場測試的基礎上，經過集中分析研究，可以得出《電子政務系統安全分析報告》，報告應該包括以下內容：關鍵資產清單、安全威脅和脆弱性清單、分類和概率分布、實施的保護措施清單、風險等級和分類、保護措施建議、整體安全風險評價及應急處理議案，等等。
六、結論
隨著信息安全工作的重要性和緊迫性得到越來越廣泛的認同，對風險評估的研究也在不斷地深入。風險評估是一個從理論到實踐,再從實踐到理論的過程,在不斷的往復循環中得以逐步完善。經過幾年的探索,我國有關方面已經在信息安全風險評估方面做了大量工作，積累了一些寶貴的經驗,然而由于起步晚,也存在以下一些亟待解決的問題：
⑴國內外風險評估方法的研究有待于在實踐中檢驗；
⑵風險評估的工作流程和技術標準有待完善；
⑶自動化的風險評估工具有待加大研發投入和推廣。
參考文獻：
朱方洲，李旭軍.電子政務安全保障體系的研究[J].電腦學習，2006（3）：42-43
馬立鋼，夏軍利.信息系統安全風險評估[J].現代計算機：專業版，2006（1）：49-53
王大虎，楊維，柳艷紅.移動通信信息系統安全風險評估的研究[J].中國安全科學學報，2005，15（7）：74-78
聶曉偉，張玉清，楊鼎才，等.基于BS7799標準風險評估方法的設計與應用[J].計算機工程，2005，31（19）：70-72
科飛管理咨詢公司.信息安全管理概論―理解與實施[M].北京：機械工業出版社，2002
閆強，陳鐘，段云所，等.信息安全評估標準、技術及其進展[J].計算機工程，2003（6）
作者簡介：
周偉良，1967年生，湖南長沙人，安徽行政學院(安徽經濟管理學院)信息管理系主任，副教授，博士，主要研究方向為電子政務、管理信息系統。
