企业在推进两化融合的过程中，如何控制信息安全风险？北京赛西认证有限责任公司两化融合管理体系资深评定人员张世杰结合多年的行业经验和审核经历，总结出两种常见的信息安全风险控制问题，并从五个方面分享了两化融合实施中的信息安全管理策略。

作者：北京赛西科技发展有限责任公司 张世杰

随着两化融合工作的深入开展和两化融合管理体系贯标工作的推进，企业对信息安全方面的问题愈发重视。

在《GB/T23001-2017 信息化和工业化融合管理体系 要求》标准中，7.6信息安全条款有这样的描述：

组织应：

a)采取适当措施，确保全员认识到信息安全的重要性和紧迫性，增强信息安全意识；

b)确立信息安全责任制，完善管理和防范机制；

c)提供必要的技术条件和设备设施保障；

d)识别可能存在的信息安全风险，进行持续管理，确保信息安全事件得到有效处理。

在《信息化和工业化融合管理体系 新型能力分级要求》（GB/T 23006—2022）标准中，CL2（场景级）、CL3（领域级）、CL4（平台级）、CL5（生态级）这四个级别中的支持、实施与运行，数字化治理相关条款中，均有对信息安全的相关要求。

但是，目前开展两化融合的企业中，仍有部分企业没有建立实施信息安全管理体系，在信息安全风险管控方面略显薄弱。本文将从5个方面简述两化融合实施中的信息安全管理策略。

培养信息安全意识

在当前加快数字化转型的阶段，信息安全是每个企业都必须重视的问题。为了保障两化融合实施过程中的信息安全，首先需要培养员工的信息安全意识。企业通过组织信息安全的专项培训、定期开展信息安全连续性的演练等活动，培养员工对信息安全风险管控的意识，提高员工在信息安全事件发生时的应急响应和处置能力。

完善信息安全控制措施

为了有效管理两化融合实施中的信息安全工作，建立健全信息安全管理制度是非常必要的。

首先，需要制定相关的信息安全管理制度和措施，明确各项信息安全管理的控制要求，确保各级人员能够按照控制要求进行工作。

其次，明确信息安全管理部门或岗位职责，负责信息安全的日常监督管理，并与其他的信息化使用部门密切沟通，协同管控。

第三，定期组织信息安全风险评估和漏洞扫描，及时发现、修复潜在的信息安全隐患。

提供信息技术支撑

在两化融合管理体系运行过程中，信息技术的保障至关重要。

首先，我们需要确保信息系统的安全性。通过采用安全认证技术、加密技术、入侵检测技术等手段，对信息系统进行全方位的保护，防止未经授权的访问和恶意攻击。

其次，我们需要加强对网络的安全管理。建立完善的网络安全设备和技术手段，使用防火墙、入侵检测、安全监控等方式，及时识别和应对网络安全威胁。同时，还要建立完善的数据备份和恢复机制，确保数据的安全可靠。

识别信息安全风险

信息安全风险，是指由于人为或自然因素导致信息系统及其所处理、存储和传输的信息的机密性、完整性和可用性等安全属性受到威胁的可能性。

而信息安全风险评估，简单的理解就是以减少信息安全风险为目的，通过科学处理信息系统的方法对信息系统的保密性、完整性、脆弱性进行评估。这是一项保证信息系统相对安全的重要工作，必须科学地对信息系统的生命周期进行评估，才能最大限度地保障网络和信息的安全。

信息安全风险的评估过程极其复杂和规范，风险评估的过程要求完整而准确，具体过程见图1所示：

图1

信息安全风险评估系统的设计是针对组织开展信息安全风险评估的过程。这个过程包括对信息系统中的安全风险识别、信息收集、评估和报告等。

在风险评估实施前，需要对以下工作进行确定：了解组织内外部环境信息；确定风险管理方法、风险评价准则、影响准则、风险接受准则；确定风险评估的范围；组建风险评估团队；进行系统调研；制定信息安全风险评估计划；获得最高管理者对工作的支持。

资产识别过程分为资产分类和资产评价两个阶段。资产分类是将组织的信息资产分为（包括但不限于）实物资产、软件资产、数据资产、人员资产、服务资产和无形资产六类资产进行识别；资产评价是对资产的三个安全属性保密性、可用性及完整性分别等级评价及赋值，经综合评定后，得出资产的价值。

威胁识别主要是从每项识别出的资产入手，识别潜在的威胁及威胁来源；同时需要确定威胁发生的可能性及威胁等级。

脆弱性识别主要是从每项识别出的资产和对应的威胁出发，找到可能被利用的脆弱性。识别脆弱性之后，还需要确定弱点可被利用的严重性。

在识别脆弱性的同时，评估人员将对已采取的或已计划的安全措施的有效性进行确认，评估其是否真正地降低了系统的脆弱性，抵御了威胁。

风险评估中完成资产赋值、威胁评估、脆弱性评估后，在考虑已有安全措施的情况下，利用恰当的方法与工具确定威胁利用资产脆弱性发生安全事件的可能性，并结合资产的安全属性受到破坏后的影响得出信息资产的风险。

基于风险分析的结果，帮助做出有关风险需要处理和处理实施优先的决策。风险评价包括将分析过程中确定的风险程度与在明确环境时建立的风险准则进行比较。

风险处置选项包括4个选项：风险降低、风险保持、风险回避、风险转移；风险处置选项应基于风险评估的结果和实施这些选项的预计成本及预期收益来选择。

风险处置计划应该描述怎样处置被评估的风险以满足风险接受准则；承担责任的管理者对被提议的风险处置计划和随之而来的残余风险的评审和批准，并记录与批准相关的任何先决条件；在某些情形，残余风险的级别可能不满足风险接受准则，因为目前适用的准则，没有考虑到当前的情形，可能修订风险接受准则。

与内、外部利益相关方沟通和协商宜在风险管理过程所有阶段进行。因此，沟通和协商计划宜在早期制定。该计划宜针对与风险本身、风险成因、风险后果（如果掌握）以及处理风险措施相关的问题。为确保实施风险管理过程的职责明确，以及利益相关方理解决策的基础和特定措施需求的原因，宜采取有效的外部和内部沟通和协商。

根据需要和适宜性，持续对信息安全风险管理过程进行监视、评审和改进。组织应该确保风险评估和风险处置的资源持续可用，以进行风险评审、解决新的或变更的威胁或脆弱点，并提议相应的管理。

运行过程中的信息安全控制

为有效保障信息系统运行的安全性和可靠性，促进两化融合实施的顺利进行，应重点关注信息系统运行过程中的信息安全风险控制。笔者通过对多年的审核案例分析，总结出以下两种常见的信息安全风险控制问题：

通过与企业信息化人员的沟通，企业信息化人员也认为数据备份是常规操作，但对数据备份后的恢复测试过程的重要性认识不足。

首先，数据备份过程中可能发生数据丢失或破坏。例如，在备份过程中，磁盘故障、网络中断或备份软件漏洞等可能导致备份数据的不完整性。

其次，备份数据的存储和传输也存在风险。数据的存储设备可能存在物理损坏、盗窃或灾害等风险，而数据的传输过程中可能被窃听、篡改或拒绝服务攻击。

此外，数据备份的版本控制和历史追踪也是技术风险的关键点。不完善的版本控制机制可能导致备份数据的冲突和混乱，使恢复过程变得复杂和困难。

同时，历史追踪机制的不可靠性可能导致数据备份的追溯困难，进一步加大了数据恢复的风险。

首先，恢复过程中可能出现数据损坏或丢失。例如，在数据镜像恢复过程中，可能由于源数据的不稳定导致数据传输错误或数据装载错误，使恢复的数据无法得到有效的还原。

其次，恢复测试所依赖的技术和设备可能有单点故障风险，一旦出现故障，将导致数据无法正常恢复。

此外，数据恢复方案的性能和效率也是技术风险的一部分。例如，在大规模数据恢复的过程中，可能由于硬件资源不足、带宽瓶颈或恢复算法不合理等原因导致恢复效率低下或无法满足实时恢复的需求。不完备的验证和测试可能导致恢复数据的缺陷无法被及时发现和处理，进一步增加了数据恢复失败的风险。这就凸显了信息备份后的恢复测试的重要性。

3）通过培训使相关人员了解到：

a)备份和恢复测试可帮助组织识别和管理数据丢失的潜在风险。通过测试备份和恢复过程，可以发现并解决系统薄弱环节，降低数据丢失的风险；

b)备份和恢复测试可检测潜在的数据完整性问题，例如备份文件是否完整、是否能够完整地恢复系统等，这样可以确保在数据恢复过程中不会丢失或损坏任何重要数据；

c)企业严格执行相关程序文件的要求，并加强监督管理。

合理的权限分配可以确保每个用户拥有足够的权限完成工作，同时又能限制用户不得越权操作，从而提高系统的安全性和稳定性。大部分企业对信息系统的权限分配的理解还需加强。信息系统的权限分配遵循以下原则：

最小权限原则是指在分配系统账号权限时，应根据用户的工作职责和需要，给予其所需的最小权限。这意味着用户只能拥有完成工作所必需的权限，而不得拥有多余的权限。这样可以最大程度地减少系统账号被滥用的风险，防止不必要的操作导致系统故障或数据泄露。

分级授权原则是指按照用户的职责和地位，将系统权限进行分级，逐级授权。高级别用户拥有更高的权限，而低级别用户只能拥有低级别的权限。这样可以确保高级别用户能够对系统进行更全面的管理和操作，而低级别用户只能进行有限的操作，从而提高系统的安全性和稳定性。

临时权限原则是指在某些特定情况下，临时赋予用户一定的权限。这些权限在一定时间后会自动收回或被主管撤销。临时权限可以解决一些临时任务或特殊需求，但又不影响系统的安全和稳定。

审计追踪原则是指系统应具备审计和追踪功能，对用户的操作进行记录和监控。通过审计和追踪，可以及时发现和纠正用户的不当操作，同时也可以作为事后追责的依据。审计追踪原则可以有效地防止用户滥用权限，提高系统的安全性和可追溯性。

权限审批原则是指在分配系统账号权限时，应该经过相应的审批程序和流程。审批程序可以包括层级审批、申请书审核、权限分配记录等。通过权限审批程序，可以确保权限的合理分配和使用，防止权限滥用和越权操作。

定期复核原则是指定期对系统账号的权限进行复核和评估。通过定期复核，可以及时发现权限分配的不合理之处，及时调整和修正。定期复核可以保证系统账号权限与用户实际需求的一致性，提高系统的安全性和合规性。

灵活性原则是指在权限分配中应该灵活应对各种情况和需求。不同用户在不同的工作环境下，可能需要不同的权限。因此，权限分配应该具备一定的灵活性，能够根据实际情况进行调整和变更，以满足用户的合理需求。

培训原则是指在权限分配之前，应对用户进行相关的培训。用户应了解系统账号权限的重要性和责任，明确权限的范围和限制。通过培训，可以提高用户的安全意识和责任意识，减少用户滥用权限的风险。

综上所述，两化融合实施中的信息安全管理策略需要从培养信息安全意识、明确岗位职责，完善信息安全控制措施、提供信息技术支撑、识别信息安全风险、运行过程中的信息安全控制等方面着手，同时应充分重视信息安全的制度建设和执行监控，才能有效保障信息的安全性和可靠性，促进两化融合管理体系的顺利实施和持续优化。