地理地理信息系统风险评估.docx

地理职称论文地理信息系统风险评估 　　究竟采取何种风险处置措施，需要对地理信息系统进行平安需求分析，但采取了上述风险处置措施，仍然不是十全十美，绝对不存在风险的信息系统，人们追求的所谓平安的地理信息系统，实际是指地理信息系统在风险评估并做出风险控制后，仍然存在的剩余风险可被接受的地理信息系统所谓平安的地理信息系统是相对的 　　?干旱区地理?(双月刊)创刊于1978年，由中国科学院--生态与地理研究所和中国地理学会主办、科学出版社出版获奖情况：1994-1996、1997-1999年度科技期刊质量评比优秀期刊三等奖;2000～2022年: ----自治区科技期刊?干旱区地理?汉文版荣获优秀期刊二等奖2022～2022年: 在----自治区科技期刊质量评比中 ，?干旱区地理?汉文版荣获“--科技期刊奖〞，也被评为科技期刊“一级期刊〞2022年: 在第三届--期刊评选奖评选活动中,?干旱区地理?荣获第三届“--期刊奖〞 被评为科技期刊“一级期刊〞 　　摘 要：风险评估在信息平安建设中占有重要地位，2022年起全国范围开始了信息平安风险评估工作。

论文通过介绍风险评估与地理信息系统的根本概念及相互关系，针对地理信息系统的特殊性要求，探讨了对此类系统风险评估具体可操作的实施方法 　　关键词：地理信息系统;风险评估 　　2022年1月国家网络与信息平安协调小组发表了“关于开展信息平安风险评估工作的意见〞，意见中指出：随着国民经济和社会信息化进程的加快，网络与信息系统的根底性、全局性作用日益增强，国民经济和社会开展对网络和信息系统的依赖性也越来越大 　　1 什么是GIS 　　地理信息系统(Geographic Information System,简称GIS)是在计算机软硬件支持下，管理和研究空间数据的技术系统，它可以对空间数据按地理坐标或空间位置进行各种处理、对数据的有效管理、研究各种空间实体及相互关系，并能以地图、图形或数据的形式表示处理的结果 　　2 风险评估简介 　　风险评估是在综合考虑本钱效益的前提下，针对确立的风险管理对象所面临的风险进行识别、分析和评价，即根据资产的实际环境对资产的脆弱性、威胁进行识别，对脆弱性被威胁利用的可能性和所产生的影响进行评估，从而确认该资产的平安风险及其大小，并通过平安措施控制风险，使剩余风险降低到可以控制的程度。

　　3 地理信息系统面临的威胁 　　评估开始之前首先要确立评估范围和对象，地理信息系统需要保护的资产包括物理资产和信息资产两局部 　　3.1 物理资产 　　包括系统中的各种硬件、软件和物理设施硬件资产包括计算机、交换机、集线器、网关设备等网络设备软件资产包括计算机操作系统、网络操作系统、通用应用软件、网络管理软件、数据库管理软件和业务应用软件等物理设施包括场地、机房、电力供应以及防水、防火、地震、雷击等的灾难应急等设施 　　3.2 信息资产 　　包括系统数据信息、系统维护管理信息系统数据信息主要包括地图数据系统维护管理信息包括系统运行、审计日志、系统监督日志、入侵检测记录、系统口令、系统权限设置、数据存储分配、IP地址分配信息等 　　从应用的角度，地理信息系统由硬件、软件、数据、人员和方法五局部组成:硬件和软件为地理信息系统建设提供环境;数据是GIS的重要内容;方法为GIS建设提供解决方案;人员是系统建设中的关键和能动性因素，直接影响和协调其它几个组成局部 　　4 风险评估工作流程 　　地理信息系统平安风险评估工作一般应遵循如下工作流程 　　4.1 确定资产列表及信息资产价值 　　这一步需要对能够收集、建立、整理出来的、涉及到所有环节的信息资产进行统计。

将它们按类型、作用、所属进行分类，并估算其价值，计算各类信息资产的数量、总量及增长速度，明确它们需要存在的期限或有效期同时，还应考虑到今后的开展规划，预算今后的信息资产增长这里所说的信息资产包括:物理资产(计算机硬件、通讯设备及建筑物等)信息/数据资产(文档、数据库等)、软件资产、制造产品和提供效劳能力、人力资源以及无形资产(良好形象等)，这些都是确定的对象 　　4.2 识别威胁 　　地理信息系统平安威胁是指可以导致平安事件发生和信息资产损失的活动在实际评估时，威胁来源应主要考虑这几个方面，并分析这些威胁直接的损失和潜在的影响、数据破坏、丧失数据的完整性、资源不可用等： 　　(1)系统本身的平安威胁 　　非法设备接入、终端病毒感染、软件跨平台出错、操作系统缺陷、有缺陷的地理信息系统体系结构的设计和维护出错 　　(2)人员的平安威胁 　　由于内部人员原因导致的信息系统资源不可用、内部人员篡改数据、越权使用或伪装成授权用户的操作、未授权外部人员访问系统资源、内部用户越权执行未获准访问权限的操作 　　(3)外部环境的平安威胁 　　包括电力系统故障可能导致系统的暂停或效劳中断 　　(4)自然界的平安威胁。

　　包括洪水、飓风、地震等自然灾害可能引起系统的暂停或效劳中断 　　4.3 识别脆弱性 　　地理信息系统存在的脆弱性(平安漏洞)是地理信息系统自身的一种缺陷，本身并不对地理信息系统构成危害，在一定的条件得以满足时，就可能被利用并对地理信息系统造成危害 　　4.4 分析现有的平安措施 　　对于已采取控制措施的有效性，需要进行确认，继续保持有效的控制措施，以防止不必要的工作和费用，对于那些确认为不适当的控制，应取消或采用更适宜的控制替代 　　4.5 确定风险 　　风险是资产所受到的威胁、存在的脆弱点及威胁利用脆弱点所造成的潜在影响三方面共同作用的结果风险是威胁发生的可能性、脆弱点被威胁利用的可能性和威胁的潜在影响的函数，记为： 　　Rc= (Pt, Pv, I) 　　式中：Rc为资产受到威胁的风险系数;Pt为威胁发生的可能性;Pv为脆弱点被威胁利用的可能性;I为威胁的潜在影响(可用资产的相对价值V代替)为了便于计算，通常将三者相乘或相加，得到风险系数 　　4.6 评估结果的处置措施 　　在确定了地理信息系统平安风险后，就应设计一定的策略来处置评估得到的信息系统平安风险根据风险计算得出风险值，确定风险等级，对不可接受的风险选择适当的处理方式及控制措施，并形成风险处理方案。

风险处理的方式包括：回避风险、降低风险(降低发生的可能性或减小后果)、转移风险和接受风险 　　4.7 剩余风险的评价 　　对于不可接受范围内的风险，应在选择了适当的控制措施后，对剩余风险进行评价，判定风险是否已经降低到可接受的水平，为风险管理提供输入剩余风险的评价可以依据组织风险评估的准那么进行，考虑选择的控制措施和已有的控制措施对于威胁发生可能性的降低某些风险可能在选择了适当的控制措施后仍处于不可接受的风险范围内，应通过管理层依据风险接受的原那么，考虑是否接受此类风险或增加控制措施。