一脆弱性分析
脆弱性和鲁棒性是相互结合存在的。两者都是对于系统稳定性方面的研究，在具体的操作系统中，对于结构的参数和具体特征有一定的安排。用这些安排的操作来定义不同的性能，作为在危机情况下求取生存的方式。脆弱性是在客观存在的基础下一种自我承受危机的方式，在外界的干扰之下，会通过在突发情况下被激活，来表现出具体的形态。对于外界的状态显现出了高灵敏性。因此可以看出，脆弱性的衡量指标是灵敏度和稳定性。
灵敏度是在灾害发生过程中体现出量度的具体指标，在煤矿生产中，当出现高灵敏度的时候，代表煤矿安全受到了一定的危险，就需要找寻具体的处理方法。脆弱性在外界的干扰性程度的变化中与干扰的方式和程度有着密切的关联。但是脆弱性与稳定性呈现反比的关系。在具体的企业生产模式中，当出现较大的脆弱性的过程中，就意味着企业管理模式的稳定性较低。当脆弱性的相关指标值较低，甚至接近零时，说明企业管理模式的稳定性能良好，企业的运作较好，不存在任何的风险。
脆弱性是在上个世纪70年代兴起的一种科学研究，大多与一些全球化的管理方式和未来发展趋势研究相互结合在一起，重点是对于灾后的危害过程以及结果做出系统的研究，旨在在自然生态平衡中找寻发展规律，了解自然中相应的脆弱性，并且通过脆弱性的评估方式来建立脆弱研究模型，根据模型中得出的数据资料来指导企业中管理的方向，更好的促进企业的发展。
二矿山企业安全管理脆弱性评估
在矿山企业的安全管理中，对于脆弱性的评估方式使用较为广泛，会涉及到多个环节、多个部门。在安全管理中，要考虑到脆弱性分析的评估对象选择、评估的方式、评估的目标和需要通过评估的手段来达到什么样的最终目的等等。通过掌握脆弱性评估的结果来指导出企业的发展趋势，以及在具体的突发时间发生时所采取的应急措施。其中关于评估模型的表现形式有一下几点：
（1）动态平衡
在以往的企业管理中，管理的方式都是固定的模式，只需要在具体的操作中将早前设定好的管理方式直接套用，这就会出现理论与实际的操作方式直接的矛盾不统一，很难有效的通过有效的管理来促进企业的发展。但是结合了传统管理模式的弊端，脆弱性评价体系可以打破这种静止状态下不具有普遍性的管理方式。在了解外部运作环境的基础下，利用动态的方式来把握产业模式的发展规律，对于先阶段的煤矿企业的发展情况有整体的了解，同时在未来的企业发展中，也可以相应的进行预测，用评估的手段来保证煤矿企业发展的可持续性。
（2）操作性能的改观
在传统的管理方式上，人工流程的模式存在很大的漏洞，出现的错误管理情况也是层出不穷。在对于脆弱性评估研究中，操作性的提升是整套管理模式中最为主要的项目。系统评估的目的是将系统的管理水平在不断的分析当中得到相应的提高，从而可以在决策当中为操作者进行服务。这样就可以在理论体系的支撑下，表现出更好的的操控性能。同时在多指标数据的穿插下，良好的操作性能可以将单一的评估工作变得简单，而且不会失去评估的准确性，根据这样的条件，我们可以判定出脆弱性评估的最为核心的手段就是操作性能的提升。
（3）评估状态完整
在煤矿企业的评估分析中，一个主要的系统中含有若干个子系统，在子系统中有着相互的连接，共同作用于主系统中。脆弱性的评估方式需要从系统的整体角度出发，但是同时要兼顾各个子系统的相互影响，不同的环境下，出现的子系统状态不同，就直接使得主系统出现异常。在综合的角度来对评估系统进行考察，不能单一的将子系统作为评估的指标和评估的结论。要获得更多、更加正确的评估指标就需要将子系统串联起来，以形成完整的评估体系。
三安全管理脆弱评估体系的构建
在煤矿安全管理脆弱性评估提醒中，指标的参考是该系统构建的最为重要的因素。在指标的参考中最为主要的是对于信息资源的采集，将具体的煤矿生产现状进行收集，体系会在智能的基础上帮决策者将大量的信息资料整合后提炼出较为重要的信息，用这些信息来建立相关的信息体系。其中研究指标对象是来反映煤矿生产中最为基本的生产参数，了解生产研究对象最为基本的特点和规律。在最为显著的位置，利用评估的优势来将复杂的问题简单化，最终得到相应的解决办法。不得忽视的是，在建立整套的脆弱评估体系中，要对于因计量的原因而造成损失的情况，合理的将煤矿企业生产区域内的经济、文化和人员受到的危害的程度做大致的摸底分析，一来可以起到预测的作用，在就是可以起到一定的监控的要求。在动态管理的模式下，对于系统中的脆弱性有直观的认识，最为有效的了解整套工作模式中出现的损失情况。在评估的数据采集中，有一下两种方式：
1.实地调查法
实地调查法起源于20世纪初，60年代兴起于美国，80年代后得到普及，是定性研究方法中发展较快、最有代表性的一种方法。该方法在没有理论假设的基础上，研究者根据特定评估对象以及评估韵目的，直接参与调查并收集资料，然后依靠本人的理解和抽象概括，从经验资料中得出一般性结论的研究方法。实地调查所收集的资料常常不是数字而是描述性的材料，而且研究者对现场的体验和认识也是实地调查法的特色。
2.信息量法
该种方法过去多用于地质找矿等领域，其思路是利用具体案例提供的信息，把反映各种影响脆弱性因素的实测值转化为反映脆弱性的信息量值。其方法是通过某些因素对所提供韵研究对象信息量的计算来评价，亦即用信息量的大小来评价影响因素与研究对象关系的密切程度，从中选出对研究对象影响较大的因素作为评价指标，从而建立评价指标体系。信息量用条件概率计算，实际计算时，可用频率估计条件概率来估算。
四基于计算机网络系统下的脆弱性评估
在煤矿管理中可以使用网络进行脆弱性评估平台建立，建立的平台的类别利用评估进行链接，通过无线信号的方式链接井下的数据终端以及相关的接收装置，这样的模式将是网络运行的较为新颖的方式。在井下的设备接收信号装置中要特别的设置，有着和井上完全不一样的要求，比如说在地面的调控中心只要负责接收信号就可以，直接采集信号源，而在井下必须通过多个波段进行接收，使得有些信号就会在特定的区域内无法到达预定的区域。关于评估信号的网络资源管理在接收信号上起到了关键的作业，在发起对话协议的同时，评估建立整套的煤矿通信系统，在语音设置上也能够实施与地面进行对接处理。利用评估网络可以实现井下与井上设备的无线高速无障碍的通信方式，并且在通话的协议内容中脆弱性分析来利用语音系统在收到变频信号的同时形成无间隙的连接转换。
评估网络在语音接入时，从在地下移动通信终端受到功能调度中心调控，在加密的情况下实现是语音调度主要平台和地下接入设备与井上的交流的信息通道，此外在安全数据脆弱性评估后，数据传输井下设备主要完成射频通信数据转换工具的调节和收集评估数据包的工作。井下控制中心的位置信息的介入，已经不再需要以往存储的信息移动平台，改
变了终端接收的固有形式，因为调度中心对于井上和井下设备完全是靠固定的评估地址与相应的移动通信终端进行连接通信。地面控制中心将派出无线广播消息的同时在再调用另外一个接收通信端口，接收消息接入端口连接好，将该消息迅速传递出去，再经过相应的移动通信终端接收邀请消息，对无线接入设备的身份号码进行验证；接收寄存器的消息后，接收后的信号连带能量存值将被添加到该寄存器当中，然后传输到地面调度中心以供技术人员使用；从一个或多个接入设备接收寄存器的信息中心，将传输接入设备的最大能量的相应多元的信息和访问其他设备将多元消息进行发送。在最短的时间内将评估的数据资料呈递在操作系统显示屏中，供技术人员参考并做出决策。
关键词企业网信息系统风险评估
中图分类号：TP393.08文献标识码：A
一、引言
信息技术在商业上的广泛应用，使得企业对信息系统的依赖性增大。信息系统风险评估是辨别各种系统的脆弱性及其对系统构成威胁，识别系统中存在的风险，并将这些风险进行定性，定量的分析，最后制定控制和变更措施的过程。通过安全评估能够明确企业信息系统的安全威胁，了解企业信息系统的脆弱性，并分析可能由此造成的损失或影响，为满足企业信息安全需求和降低风险提供必要的依据。
二、安全风险评估的关键要素
信息系统安全风险评估的三个关键要素是信息资产、威胁、弱点（即脆弱性）。每个要素都有各自的属性，信息资产的属性是资产价值。威胁的属性是威胁发生的可能性，弱点的属性是弱点被威胁利用后对资产带来的影响的严重程度。
对企业信息系统的本身条件和历史数据进行整理分析，得到威胁，脆弱点分析如下：
实物资产的脆弱性：对电脑等办公物品的保护措施不力，办公场所防范灾害措施不力，电缆松动，通讯线路保护缺失。
信息资产的脆弱性：相关技术文档不全，信息传输保护缺失，拨号线路网络访问受限，单点故障，网络管理不力，不受控制的拷贝。
软件资产的脆弱性：未使用正版稳定软件。
人员的脆弱性：对外来人员监管不力，安全技术培训不力，授权使用控制不力，内部员工的道德培训不力。
三、风险评估过程
风险评估是信息系统安全保障的核心和关键。风险评估过程分为风险识别、风险分析和风险管理。
风险识别是分析系统，找出系统的薄弱点和在运行过程中可能存在的风险。为了保证风险分析的的及时性和有效性，管理层面应该有具备丰富风险知识的部门经理、IT人员、关键用户、审计人员和专家顾问，他们能够帮助快速地指出关键风险。
风险分析是对已识别的风险进行分析，确定各个风险可能造成的影响和损失，并按照其造成的影响和损失大小进行排序，得到风险的级别。风险分析有助于企业就安全项目和构成该项目的安全组成部分编制正确的预算，有助于将安全项目的目标与企业的业务目标和要求结合起来。
风险管理是由以上步骤得到的结果，制定相应的保护措施。通过实施在评估阶段创建的各种计划，并用这些计划来创建新的安全策略，在完成补救措施策略的开发和相关系统管理的更改，并且确定其有效性的策略和过程已经写好之后，即进行安全风险补救措施测试。在测试过程中，将按照安全风险的控制效果来评估对策的有效性。
四、评估系统的设计
（一）评估系统的体系结构和运行环境。
该评估系统主要采用B/S/S三层体系结构，即包括客户端、应用服务器、数据库服务器三部分。其结构示意图如图1所示：其中，客户端通过Web浏览器访问应用服务器，在Web页面的引导下指导用户与评估人员进行风险识别、数据收集，并显示最后的评估结果。同时丰富的在线帮助信息又为用户及评估人员参与风险评估以及管理员进行系统维护提供了很好的在线支持，系统管理员也可以利用任意一台客户端登录管理帐号对系统数据库进行权限范围内的维护。管理者需了解部门、员工及资产总体情况，明确风险种类及大小，并以知识库的形式，为如何处置风险提供了一些解决方案。面向评估人员的功能模块，展示了本部门目前面临的威胁和薄弱点情况，帮助评估人员明确风险。相比而言，该模块更主要的功能，是协助上报本部门的人员及资产信息，以满足评估需要。
图1评估系统体系结构
应用服务器处理收集到的风险信息，并采取多种手段，利用综合评估算法，完成信息系统安全风险评估，并实时将执行结果返回给客户端Web浏览器。应用服务器配置了系统运行所需要的Web服务器程序以及Web站点页面文件，我们选择动态网页编程技术对系统的Web站点页面文件进行编码和开发。数据库服务器上配置了系统运行所需要的SQLServer数据库管理程序以及系统数据库资源，通过Web服务器与客户端实现实时数据交互。
（二）工作流程设计
首先，对信息系统进行风险数据采集，用户填写由评估单位制定的评估申请，将信息系统按具体情况进行分类，同时利用漏洞扫描器、正反向工具从技术角度了解系统的安全配置和运行的应用服务，使得评估人员从整体上了解该信息系统及其评估重点，并针对系统业务特点进行裁剪；接下来，在前面所做的工作的基础上，围绕着系统所承载的业务对数据进行资产、威胁、脆弱性分析；最后，依据发生的可能性及对系统业务造成的影响对识别的风险进行分类，利用定性和定量的评估算法以及消除主观性的各种算法，对风险识别中获得的风险信息进行风险综合评估，并在整体和局部、管理和技术风险评估的基础上，生成评估报告。
（三）数据库设计
该系统的数据库由企业信息库、知识库、评估标准库和评估方法库组成，采用SQLServer数据库管理系统作为该数据库的开发和运行平台，其中：企业信息库存储的是有关企业信息系统的基本信息；评估方法库存储了针对所设计的评估结构所采用的评估方法集合；知识库存储的是以往已评估系统的完整评估资料，可以为当前的风险评估提供可借鉴的经验；在数据库设计中评估标准库是几个库中最重要也是工作量最大的部分，该库涵盖了各评估标准的评估要素，即遵从标准，又针对各行业的业务特点，提供了灵活的数据结构。
（四）网站内容风险算法。
对风险进行计算，需要确定影响的风险要素、要素之间的组合方式、以及具体的计算方法。将风险要素按照组合方式使用具体的计算方法进行计算，得到风险值。目前整理的风险评估中风险值计算涉及的风险要素一般为资产、威胁、和脆弱性。由威胁和脆弱性确定安全事件发生的可能性，由资产和脆弱性确定安全事件的损失；由安全事件发生的可能性和安全事件的损失确定风险值。目前，常用的计算方法是矩阵法和相乘法。
五、总结
网络技术的发展在加速信息交流与共享的同时，也加大了网络信息安全事故发生的可能性。对企业信息系统进行风险评估，可以了解其安全风险，评估这些风险可能带来的安全威胁与影响程度，为安全策略的确定、信息系统的建立及安全运行提供依据，给用户提供信息技术产品和系统可靠性的信心，增强产品、企业的竞争力。
（作者：武汉职业技术学院计算机系教师，硕士，研究方向：计算机网络及其应用、信息安全）
注释：