等级保护和风险评估范文1
【关键词】油气长输管道；环境风险评估；风险评估指标；风险识别
截止2016年，我国已铺设油气长输管道达12万公里，因管道内传输的物质为易燃易爆危险品，一旦管道泄漏，有毒有害物质扩散至环境，将对周边大气、水体、土壤造成污染，引起生态破坏，尤其是穿越水源保护区、人口聚集区等环境敏感区域时，一旦发生突发性环境事件，将会造成更大的社会影响和严重后果。为此，近年来在有关部门的统一部署下，各管道运营单位相继开展了环境风险评估工作，力求降低环境突发事件的发生，减少环境损害和不良社会影响。油气管道环境风险评估是管道风险管理的重要组成部分，其目的是通过对环境风险的调查和分析，识别可能导致管道事故的重要因素，对管道各管段（或各条管道）进行风险排序，确定管段维护的优先次序，从而使得管道风险管理更加科学化。油气长输管道是典型的线性工程，其环境风险形式和风险特征随管道沿程变化而不同，因此，评估指标选取的准确、全面和代表性是界定管道环境风险评估工作可信性和科学性的重要依据。现就油气管道环境风险评估表征指标的选取和识别进行论述，力求准确评估管道的环境风险,查明各薄弱环节，分清轻重缓急，施以最佳方法和途径减少环境风险,消除事故隐患，避免事故的发生，将风险控制在容许的范围之内。
1评估指标体系划分
油气长输管道环境风险评估方法可借鉴环保部颁布的《企业突发环境事件风险评估指南（试行）》[1]及《建设项目环境风险评价导则》[2]中的评估方式，将整条管道按属性划分为若干区段，分段进行评估，评估的指标和分级标准应结合管道项目的实际情况，按照“源头—过程—受体”评估要素给出，采用危险性分析和环境风险分析的方法进行[3-4]。其中，环境风险评估表征指标可按照输送物料风险属性、管道失效可能性、周边环境敏感性和企业环境应急处置能力四个类别进行分类选取，每个指标类别按识别的深度可下设二级、三级和四级指标，各类指标自成体系，并逐级对指标选项进行比选和识别，最终按照一级指标的统计结果进行矩阵分析，评估风险等级。油气长输管道环境风险评估指标体系，如下图。管道输送物料风险性指标是管道环境风险评估的最基本指标，该指标主要界定物料的环境危害性质，即泄漏的有毒有害物质对周边环境的影响途径、影响范围和影响程度。其他评估指标均建立在该指标的基础之上，比如，在该指标中物料识别为无毒无害情况下，则其他指标均可加以简化而识别。管道失效可能性指标主要分析管道运行过程中失效的各种情景。管道失效后物料的泄漏或引发的火灾和爆炸，是引起环境事件的前因，因此，鉴别管道失效的各种可能情景是评估管道环境风险的主要环节。管道失效可能性指标可按腐蚀影响、运行与操作影响、第三方影响三个引发因素设置二级指标，分别细化识别。周边环境敏感性指标是判定环境受体敏感性的重要依据，也是环境风险应急处置救援工作中重点关注的内容。该指标主要通过背景资料的收集和现场勘查，识别出管道沿线各环境敏感目标的分布以及保护的内容、级别和范围，从而判断管道失效后的影响后果和程度。环境敏感性指标可根据人群聚集区、水源地、自然保护区域三个方面设置二级指标进行对比识别。应急处置能力指标主要关注管道失效后救援力量到达现场的时间、应急物资和设备的储备情况、应急资源的调配协作能力等。可选取的二级指标有：应急力量达到时间、应急物资的种类和数量、应急队伍建设以及应急资源的协调协作能力等。
2管道输送介质危害性风险指标
油气长输管道输送的物料有原油、成品油、天然气、石油气、煤制气以及其他工业气体，因输送动力要求，均为承压输送，一旦发生泄漏，管道内的介质将泄漏或喷射到环境中，泄漏物料的风险性质决定了对外界环境影响的途径和程度，如成品油管道泄漏后，油品中的苯系物、多环芳烃、重金属等有毒有害物质随油品扩散至土壤和水体，造成土壤和水质污染，轻质烃类挥发至大气，造成大气污染并产生安全隐患。因此，根据介质物料的环境风险特征，危害性指标可细分为毒性、挥发性和易燃易爆性三个二级指标，其中毒性指标可按剧毒、中等毒性、低毒或无毒进行识别，挥发性指标可按易挥发、挥发和不挥发进行识别；易燃性指标可识别为易燃易爆、可燃和不可燃。当管道中输送的物料为天然气等无毒的介质时，单纯的管道泄漏引起的环境大气、水体、土壤的损害较小，环境风险较低。但天然气管道泄漏极易引起火灾和爆炸，次生的有毒有害气体会污染周边大气，消防废水会对周边水体的水质产生影响，火灾和爆炸可引起周边存放的物质发生衍生灾害，尤其是管道周边近距离内存放危险化学品或易燃易爆危险品时，将引起衍生的环境风险和安全隐患。因此，天然气管道运输的风险隐患主要来自安全风险，环境风险评估中可重点关注管道事故引发的衍生、次生环境风险。
3长输管道失效可能性指标
引起长输管道失效的情景因素较多，也是管道运行安全管理的重点，管道失效可能性指标按照引发的因素可分为腐蚀影响、设计及运行管理影响和第三方影响三类二级指标。腐蚀影响指标可分为内腐蚀和外腐蚀两个三级指标，内腐蚀指标又可分为物料的腐蚀性和管道预处理两个四级指标。物料的腐蚀性指标可根据物料的含水率、含硫率、含碳率、含氧率等监测结果和介质物料是否进行过脱水处理、缓蚀剂加注等情况进行判定；预处理指标可根据管道是否进行过内涂层防护、是否进行定期清管等措施进行判定。外腐蚀指标可依据影响因素细分为土壤的腐蚀性、外保护层性能、杂散电流影响及排流、阴极保护运行情况以及管道的使用年限等五个四级指标。例如外保护层性能指标可依据保护层的状况、类型进行判断，保护层完整的管段优于破损的管段、3层PE型防护层的防护能力优于环氧煤沥青防护层的防护能力。杂散电流影响及排流指标识别时，有直流电流干扰的管段所受影响一般大于交流电流干扰管段，另外，排流的效果是否达到设计要求也是进行对比识别的重要依据。设计及运行管理影响指标可按阀室设置合理性、浅埋管段分布及防护、限制性空间分布、水击防护、运行压力、监控能力、巡线频次、内检测周期、管道标志等设置三级指标进行识别。其中阀室设置指标主要关注阀室设置是否符合管道工程设计规范要求，主要河流两侧是否设置截阀等；监控能力指标主要对比管线监控系统的先进性，与其他监控系统相比，SCADA系统（SupervisoryControlAndDataAcquisition，数据采集与监视控制系统）配有远程监控、切断等功能，可实现对管道失效的实时预警和第一时间处置，属于较先进的控制系统。对于浅埋管段分布及防护指标，主要识别管道埋深，一般情况管道埋深均在1.2m左右，北方地区还需要考虑冻土层的深度，山区因地质岩性限制，埋深较浅。对于不同区域的浅埋管段需要根据管道周边的实际情况，结合后期防护的具体措施进行判别，采取措施后达到防护要求的应在识别时予以体现。内检测周期指标主要识别运行的管道是否进行过磁泄漏检测，以及检测周期是否依检测结果的分析按计划进行。第三方影响指标中，三级指标可按照地区人动强度影响、管道占压影响、深根植物影响、行船影响、公众教育情况和自然灾害影响等进行选取。其中，地区人动强度影响指标主要识别管道通过区域的人员活动以及施工等对管道运行造成的风险，如城市建成区、近郊区、工业区或待开发的地区，可根据建设施工的可能性及施工强度、频次等进行识别；自然灾害影响指标可以根据管道穿越地区是否处于地震带、断裂带、滑坡、泥石流及洪水易发区等进行识别，同时还要考虑管道穿越形式以及铺设石笼修建护坡等工程防护的减灾效果，综合进行评估；深根植物影响指标主要关注管道两侧5m保护区内植物的种类，比如是否存在乔木、灌木、芦苇、竹子等深根植物，并结合管道防护层的类型进行综合识别。管道运行风险识别的选项指标可借鉴管道安全评估的资料，重点关注可能引起环境风险的管道安全事故隐患评价指标。
4环境敏感性指标
长输管道沿程环境敏感性识别是管道项目环境风险评估的重点内容，环境风险敏感性可选取人群聚集区、水源地、自然保护区域三个二级指标进行识别，其中人群聚集区指标可依据《输气管道工程设计规范》[5]中对地区等级的判定进行识别，同时要考虑文物保护单位，具有特殊历史、文化、科学、民族意义的保护地等区域。水源地指标可细分为集中式饮用水水源保护区和分散式饮用水水源保护区两个三级指标，每个三级指标还可细分为地表水水源保护区和地下水水源保护区两个四级指标，根据管道穿越水源保护区的位置、保护级别、与取水口的距离等情况进行识别。同时还要考虑管道穿越的形式，比如管道以定向钻形式穿越河流型地表水水源保护区时，引发的环境风险较河底穿越方式要低得多，此外，管道穿越河口附近的水源保护区时还要考虑感潮河段的潮汐影响。自然保护区域指标可根据《建设项目环境影响评价分类管理目录》[6]中关于管道项目环境敏感区划定的分类进行三级指标的选取，可选取的指标主要包括：自然保护区、风景名胜区、世界文化和自然遗产地、基本农田保护区、地质公园、重要湿地、天然林等，识别过程中需注意环境敏感区的保护级别以及管道穿越对保护区内部不同分区的影响。
5应急处置能力指标
该指标主要识别环境事件发生后，控制事件环境影响扩大和短时间内消除影响的能力，可设置的二级指标有：应急救援力量的可达性、应急物资储备、应急队伍配备以及应急资源的协调协作。其中救援力量的可达性主要考虑事件发生后救援力量的到达时间。油气长输管道的线路较长，许多管道穿越区域人烟稀少、地形复杂、车辆难以进入，因此，救援力量到达的时间直接影响着环境污染的范围和污染程度。应急物资储备指标可下设物资种类和物质数量两个三级指标，应急物资的种类是否齐全、数量是否充足决定了救援的效果，比如，涉水的管段，应急救援物资需配有围油栏、吸油机、草帘、活性炭、砂袋、橡皮艇、冲锋舟等减少或控制水污染的物资储备；储备物资的数量应根据管道穿越河流下游的宽度、最大流量、流速、水体的保护级别等情况进行判别。救援力量的协调协作指标也是影响事件后果的重要因素。许多大型救援机械和特种救援工具和区域调度等均需要进行社会或兄弟单位的应急协调，因此，管道应急预案中救援力量的协调协作内容是否充分、可行，也是应急处置能力的主要评估指标。
6结束语
油气长输管道环境风险评估指标需在掌握管道的基础数据和环境背景资料基础上，结合沿程实地勘察进行筛选和判定，通过对上述四个指标体系的细化和分析，可系统地评估管道沿线可能发生的环境风险的类型、可能性、易发地点、后果程度以及控制能力，识别管道各区段环境风险水平，从而实现分级管理，消除隐患，最大程度减少环境事件的发生和影响，为管道环境风险管控和治理提供技术支撑。
参考文献
[1]环境保护部.企业突发环境事件风险评估指南（试行）（环办[2014]34号）[Z].2014
[2]国家环境保护总局.HJ/T169-2004建设项目环境风险评价导则[S].2004
[3]W.KentMuhlbauer著.管道风险管理手册（第二版）（英）[M].杨嘉瑜,等译.北京:中国石化出版社,2005
[4]国家质量监督检验检疫总局.GB/T27512-2011埋地钢质管道风险评估方法[S].北京:中国标准出版社,2011
[5]住房和城乡建设部.GB50251-2015输气管道工程设计规范[S].北京:中国计划出版社,2015
等级保护和风险评估范文2
电子文件风险评估是电子文件安全管理的重要前提和基础，也是档案信息化建设的重要课题。基于风险评估的电子文件安全管理体系能够对电子文件信息安全状况进行“把脉”，提出针对性的“诊疗”手段，而不是传统管理被动的“头痛医头脚痛医脚”。
一、电子文件风险评估的意义
（一）风险评估是电子文件安全管理的前提和基础。由于自身的特点，电子文件的风险始终客观存在。档案工作者的努力目标就是利用一切先进的技术和方法，把风险降到最低，把损失控制在最小的范围内。运用风险管理的理念和方法，对电子文件进行风险评估，能够对电子文件进行科学、全面的分析，查找可能威胁电子文件的风险，在风险发生之前作出判断，采取措施，及时应对。因此，风险评估对档案工作具有重大意义，是传统档案管理方法的有益补充。
（二）风险评估是进一步完善电子文件安全管理的关键环节。它能够利用科学的量化标准，对风险发生的概率及其可能造成的损失进行预测和分析，并在此基础上对存在风险的环节进行改进和完善。电子文件安全管理实行风险评估能够使管理者全面、清晰地把握电子文件存在的危险和不足，有利于进一步改进管理方法，理清管理思路，完善管理制度，全面提升电子文件管理水平。
（三）风险评估是实施电子文件安全等级保护的必然要求。要对各类电子文件实施安全等级保护，就要在电子文件安全管理中开展风险评估，对电子文件安全管理体系中存在的风险进行安全预测，科学定级，分级管理。
（四）风险评估是实现电子文件管理国际化的重要途径。随着信息安全工作的发展，风险管理在电子文件管理中的作用越来越得到人们的认可，信息安全风险评估也从单一的技术手段发展成为一种科学的管理体系，科学统一的技术规范和评定依据逐渐成为风险评估的必需。由于信息安全事关国家利益，大部分发达国家都制订了电子文件风险评估标准，并将之作为行业的技术性法规。电子文件管理广泛开展风险评估，有利于推广信息技术安全保护标准化，有利于促进国际间技术交流合作，是实现电子文件管理国际化的重要途径。
二、电子文件风险评估工作的困境
（一）风险认识存在偏差。电子文件已经成为档案产生、保存和管理的主要形式，由于其自身特点，各种各样的危险始终紧随着电子文件，但许多人对电子文件风险的认识却存在不同偏差。有的风险意识薄弱，认为传统纸质档案对保存环境要求条件高，需要预防微生物、虫害、啮齿动物等的损害，还要时刻注意光照、温度、湿度、灰尘等因素，而电子文件只需要一台计算机就能解决所有问题，而且保存简单、利用方便，一劳永逸。也有的认为电子文件作为信息技术的产物，必然面临不可读、失真、黑客等威胁，且一旦造成损失，往往是荡然无存又无法挽救，其风险无可避免。也有的认为现代信息技术十分先进，只要建立科学的管理体系，采纳先进的管理技术，绝对能够避免电子文件的风险。正是因为存在对风险认识的各种偏差，导致管理者和利用者没有科学、正确地认识电子文件的风险，或者麻痹大意，或者失去信心，或者陷入一味追求绝对安全的误区。正是因为存在各种对风险认识的偏差，目前我国电子文件风险管理水平较低，尤其缺乏必要的风险评估活动。
（二）安全风险评估工作滞后。一是没有一支专业的风险评估队伍。电子文件风险评估是一项专业化非常强的工作，我国有一些风险意识较强的已经尝试开展风险管理，但仍然没有一支专业的风险评估队伍。二是评估标准亟待完善。根据国家信息安全等级保护“自主定级，自主保护”的原则，应该根据自身情况制订科学的定级标准，严格执行，确保电子文件安全管理。但我国大部分目前尚未制订信息安全保护等级标准，没有真正执行电子文件等级保护的规定。三是风险管理缺乏系统性。电子文件风险管理是一个系统工作，包括风险管理规划、风险评估、风险应对和风险监控等四个基本环节。风险评估是整个风险管理的基础性工作，但评估的结果必须与风险管理的其他环节紧密结合，特别是要具体指导风险应对和风险监控活动。由于电子文件风险管理刚刚起步，还没有建立系统的风险管理机制，无法真正实现风险评估“有理可依，有据可循”。
（三）电子文件管理停留在传统安全保护阶段。电子文件是档案管理的特殊对象，一些档案工作者没有认识到电子文件既是“档案”又是“电子信息”的特点，管理停留在传统安全保护阶段，没有采取先进的风险管理方法，给电子文件管理遗留下不少安全隐患。一是管理过程缺乏全程性，认为保护是电子文件归档后的任务，没有意识到电子文件形成和利用中存在的风险。二是安全管理停留在静态、被动阶段，没有根据电子文件的发展和单位管理体系内部情况的变化实施动态的风险评估和风险应对。三是大多数没有积极引入远程技术、异地备份、云计算等先进的技术加强电子文件安全管理。
（四）信息资产安全形势严峻。信息资产的安全保护和开发利用是提高办学效益、提升影响力的重要途径。电子文件已经逐步取代纸质文件成为主要的档案载体，储存着数量庞大的数据资产、软件资产、师生信息、科研资料等。由于电子文件的特点，信息资产存在着高风险性，往往一被泄漏就失去资产包含的价值。许多资产管理者和档案工作者低估信息资产的价值，忽视电子文件信息保护，导致信息资产安全面临着严峻的形势。
三、基于风险评估的电子文件安全管理体系
（一）以风险管理规划完善安全管理体系。风险管理规划能够对电子文件管理工作进行统筹规划，有利于今后电子文件管理的持续、有序、顺利开展。应根据电子文件管理的需要，制订电子文件风险规划，将电子文件安全管理的实施目标、构建原则、构建方法、工作内容建成一个基本框架，进而确立和完善电子文件安全管理体系。
（二）以风险评估标准规范安全管理策略。电子文件安全管理策略就是针对电子文件安全管理的全局性、基础性、系统性问题所制定的政策和措施，是对电子文件安全管理的总体思路和指导方针。电子文件安全管理策略是否科学、合理、适宜，关系着电子文件管理目标和任务能否顺利实现。风险评估标准是电子文件风险评估的工具，直接决定了安全评估的结果，为风险管理的具体工作提供了操作性指导，因此也影响着电子文件安全管理策略的制定。电子文件风险评估标准的制定既要建立在国际组织和国家政府颁布的信息安全管理标准的基础上，又要结合电子文件信息安全的具体情况，兼顾定性分析和定量分析的方法，从而达到对电子文件安全管理策略的战略指导和操作规范。
（三）以风险评估结果引导安全管理工作。电子文件风险评估之所以能够发挥作用，最主要是评估的结果对整个风险管理工作的指导意义。风险评估能够初步识别出电子文件安全管理工作中的存在风险及造成因素，并根据风险因素的危害程度确定风险等级，提出应对措施，引导今后的管理工作。
（四）以风险应对策略提升安全管理水平。电子文件风险评估的根本目的是预测文件管理的危险因素并采取有效的应对策略，最大限度地减少各种风险因素造成的损失。为了保证电子文件信息的保密性、完整性、真实性和可用性，电子文件风险应对策略必须对信息资产管理、文件管理和业务管理进行统筹规划，根据风险因素选择采用风险预防、风险规避、风险转移、风险减轻或风险接受等五种基本策略应对风险。一个优秀的电子文件安全管理体系能够根据电子文件管理的需要采取风险应对措施，并在此基础上改进文件管理的方法，通过风险应对在实际上不断提高文件管理体系的科学水平。
等级保护和风险评估范文3
【关键词】住院病人;护理风险;评估预警系统;建立;应用
doi:10.3969/j.issn.1006-1959.2010.05.283文章编号:1006-1959(2010)-05-1285-01
护理风险是指医院内病人在治疗、护理过程中有可能发生的一切不安全事件,对现有和潜在的护理风险的识别、评估、评价和处理,有组织、系统地消除或减少护理风险事件的发生及风险对病人和医院的危害及经济损失,以最低成本实现最大安全保障的科学管理方法为护理风险管理[1]。当前我国部分医院建立了信息化系统,使某些管理职能实现了智能化。为了提高护理安全管理效率,我院借助HIS系统平台,建立了"住院病人护理风险评估系统",于2008年开始实施,运行两年来,取得了不错的效果,现介绍如下:
1.住院病人护理风险评估系统的研发
1.1 系统的内容与设置。住院病人的护理风险评估系统可对在院的所有住院人群进行自动筛选,对存在跌倒、走失、自杀、管道滑脱、压疮等高度风险的人群能自动识别,可以使科内护士和护理管理者迅速地掌握病人的评分情况,提醒护士重视病人的相关情况,及时采取相应的预防措施,确保病人的安全。
1.2 筛选住院病人的风险预警指标并赋值。根据我院近3年的护理不良事件统计资料,深入分析产生护理风险的原因,采用特尔菲法[2]筛选出风险预警指标并为指标赋以权重分值。如:年龄、神志、疾病诊断、视力、皮肤状况、药物使用情况、活动情况等,分别予以分级赋值(见表1)。
1.3 编写风险预警自动评估软件程序。编程人员采用Delphi6.0数据库管理系统作为开发工具,采用结构化和面向对象相结合的方法,即在系统规划、系统分析、系统设计这三个阶段使用结构化的方法,在系统程序编制与调试阶段使用面向对象的方法,系统主体采用C/S的架构体系,后台数据库使用SQL SERVER 2005[3]。软件程序编写人员根据上述风险预警指标及其分级赋值,通过自动运算生成每个住院病人的护理风险的预警评估值,再根据医院实际结合专家咨询,将这些评估值分成四个等级予以显示,即无风险(绿色)、低度风险(蓝色)、中度风险(黄色)、高度风险(红色)[4]。
2.院内护理风险预警的基本步骤
2.1 住院病人风险预警信息采集录入。管床护士通过科室的护士工作站将病人信息客观地输人到风险预警信息管理系统中,新入院病人必须在24小时内进行第一次风险预警信息采集录入,三天之内进行第二次风险预警信息的采集录入,如该病人临时出现特殊的病情变化须及时进行预警信息的修改录入。
2.2 护理风险预警评估。该风险预警信息管理系统中含有风险预警指标的数据处理模型和指标的预警界限值,通过自动的电脑程序运算即生成全院所有的住院病人护理风险预警评估数值,该评估结果被具体划分成四个等级,即无风险(绿色)、低度风险(蓝色)、中度风险(黄色)、高度风险(红色),分别按照不同的风险等级分区域分颜色显示。
3.护理风险的干预和处理
护理部安排专人负责风险预警信息系统的管理工作和监测指标的监控工作,在风险预警信息管理系统的电脑终端上根据该信息系统反馈的病人风险等级信息和具体的数据指标,及时分析和查找风险原因,针对不同的风险等级采取不同的干预和处理措施,降低住院病人的护理风险。低度以下风险时,护理部质量督导员应电话与护士长联系,询问情况,并提醒护士长引起重视,并予以动态评估、追踪观察;中度风险时护理部质量督导员即要到病人所在科室了解核实情况,指导科室采取相应干预措施,同时做好记录并追踪观察;高度风险时护理部主任到现场督查、指导,指出护理重点,化解风险,做好书面干预处理记录。同时,护理部质量督导员对高度风险的病人予以密切关注,每日查看,并将结果及时反馈给护理部主任。
4.讨论
利用信息管理系统实现医疗风险的监测和评估,可以提高预警预报和快速反应能力,不但能够节省很大的人力物力,而且可以提高精确度[5]。我院通过建立住院病人护理风险预警信息管理系统,针对不同医疗风险等级进行实时干预,使护理部能在第一时间内获知在院病人信息,及时发现住院病人护理服务过程中潜在或已有的风险,做到心中有数,即"先知道、先告知、先预防",具有高效、方便、快捷的特点,体现了时效性、真实性,减少了护理不良事件的发生,保证了护理安全,提高了管理效率。运行一年多以来,深受护理人员的好评。当然,对于预警指标及其权重的赋值存在一定的局限性或片面性,其科学性还需我们在以后的实践中不断探索。
参考文献
[1] 陈稚林.临床护理风险因素分析及防范对策[J].全科护理,2009,7(7):1765-1766.
[2] 许苹,秦婷,连斌,等.试论医疗风险预警体系构建[J].现代预防医学,2007,34(2):392-393.
[3] 唐雄.医院体检管理信息系统的开发及应用[J].中国医学装备,2008,5(8):16-18.
等级保护和风险评估范文4
【关键词】信息安全；风险评估
1 企业信息安全风险评估概述
信息系统的风险评估是指确定在计算机系统和网络中每一种资源缺失或遭到破坏对整个系统造成的预计损失数量。是针对威胁、脆弱点以及它可能导致的风险大小而评估的。对信息安全进行风险分析和评估的目的就是：企业能知道信息系统中是否有安全隐患的存在，并估测这些风险将会造成的安全威胁与可能造成的损失，经过这些判断来决定修复或者对于安全信息系统的建立。
信息系统风险分析和评估能够有效的保护企业信息，但同时它也是一个较为复杂的过程，建立一个完善的信息安全风险评估需要具备相应的标准体系、技术体系、组织架构、业务体系同时也要遵循相关的法律法规。
2 企业信息安全风险评估的作用
信息安全风险评估是信息安全工作的基本保障措施之一。风险评估工作是预防为主方针的充分体现，它能够把信息化工作的安全控制关口前移，超前防范。
针对信息系统规划、设计、建设、运行、使用、维护等不同阶段实行不同的信息安全风险评估，这样能够在第一时间发现各种所存在的安全隐患，然后再运用科学的方法对风险进行分析，从而解决信息化过程中不同层次和阶段的安全问题。
在信息系统的规划设计阶段，信息安全风险评估工作的实行，可以使企业在充分考虑经营管理目标的条件下，对信息系统的各个结构进行完善从而满足企业业务发展和系统发展的安全需求，有效的避免事后的安全事故。这种信息安全风险评估是必不可少的，它很好地体现了“预防为主”方针的具体体现，可以有效降低整个信息系统的总体拥有成本。信息安全风险评估作为整个信息安全保障体系建设的基础、它确保了信息系统安全、业务安全、数据安全的基础性、预防性工作。因此企业信息安全风险评估工作需要落到实处，从而促进其进一步又好又快发展。
3 信息安全风险评估的基本要素
使命：一个组织机构通过信息化形成的能力要来进行的工作任务。使命是信息化的目的，一个信息系统如果不能实现具体的工作任务是没有意义的。对企业来说，信息系统的使命是业务战略。
依赖度：一个组织机构的使命对信息系统和信息的依靠程度。依赖度越高，风险评估的任务就越重要
资产：对组织具有价值的信息或资源，是安全策略保护的对象
资产价值：体现了资产在重要程度或敏感程度上的表现特征。作为资产的属性，资产价值同时也是对资产进行识别的重要内容。
威胁：一般指会对系统或组织造成不良后果的不希望事故潜在起因。
脆弱性：可能被威胁所利用的资产或若干资产的脆弱环节。通常脆弱性也被称作是弱点或漏洞。
威胁是外因，脆弱性是内因，威胁只有通过利用脆弱性才能造成安全事件。
风险：人为或自然的威胁利用信息系统及其管理体系中存在的脆弱性导致安全事件的发生及其对组织造成的影响。衡量风险的指标有两种，分别是由意外事件发生的概率或者是发生后可能造成的影响。
残余风险：就是指在安全保障手段之后，防护能力有了提升，但是危险并没有完全消失。
安全需求：为了保证组织机构能够正常的工作，因此在信息安全保障措施方面提出的要求。
安全保障措施：为了降低脆弱性，应对威胁，保护资产而进行的预防和控制意外事件的后果，检测、响应意外事件，使得灾难恢复迅速，同时打击信息违法行为而采取的各种实践、规程和机制的总称。
4 信息安全风险评估的基本过程
目前信息安全风险评估有大量成熟的过程指南和最佳实践，但风险评估过程的本质是搜集资产、威胁、漏洞、影响等资料和数据，其过程和流程有一定的通用性。
4.1 识别和特征化系统
信息安全风险评估的第一步就是确定评估的工作范围，界定风险评估工作的边界，并识别和特征化工作范围内信息系统的各种资产、支持的业务流程及相应的管理信息等。下图是一个信息系统描述规范：
4.2 识别和特征化漏洞
漏洞是在信息系统、系统安全程序、管理控制、物理设计、内部控制等可能被攻击者利用来获得未授权的信息或破坏关键处理的弱点。识别和特征化漏洞工作的目的是开发一个信息系统漏洞列表。一般常用的识别系统漏洞的方法包括：
（1）使用以前的风险评估报告、系统异常报告、权威机构的漏洞列表等；
（2）使用漏洞扫描工具、渗透性测试等主动的、系统化的测试方法；
（3）开发和使用安全检查列表，对实际系统进行配置核查。
4.3 识别和特征化威胁
威胁是能够通过未授权访问、毁坏、揭露、数据修改或拒绝服务对系统造成潜在危害的任何环境或事件，具体而言，威胁是一个特定威胁源成功利用一个特定漏洞的潜在可能。
威胁的具体描述没有严格规范，在信息安全风险评估过程中，应根据组织机构及其运行环境的实际来识别威胁。
4.4 识别和特征化安全控制措施
在进行信息安全风险评估时，除了分析漏洞和威胁，同时也要全面分析当前所采取的各种安全控制措施。
控制措施可以分为技术控制措施、管理控制措施和物理控制措施。技术控制措施是综合计算机硬件、软件和固件中的保护措施。如访问控制机制、身份识别机制、加密机制、入侵检测软件等。管理控制措施指的是管理运行和控制的保护措施。如安全策略、操作维护标准等。物理安全措施是指保护物理和环境安全。如重要资料柜加锁等。
4.5 确定可能性
完成系统信息、漏洞、威胁和现有安全控制措施的搜集和分析后，下一步需要评估安全事件一旦发生可能造成的危害程序。
风险就是后果和可能性的产物。通用公式为：风险=负面事件发生的可能性（概率）×此负面事件的影响（后果）
给定威胁源执行潜在漏洞的可能性可以用高、中、低进行描述。
可能性级别 可能性定义
高 威胁源有强烈的动机和足够的能力，并且已有的控制措施对其无效
中 威胁源有动机和能力，但已有的控制可能可以迟缓漏洞的成功实施
低 威胁源缺少动机或能力，或已有控制可以防止或极大地迟缓漏洞的实施
4.6 分析影响
从风险的最基本原理公式可以看到，要得出风险，需要计算威胁的影响。
信息安全的主要目的是确保保密性、完整性和可用性，安全事件的影响是通过危害保密性、完整性和可用性来体现的。因此，信息安全事件的影响量级（高、中、低）可以通过分析这三个安全目标的受损程度来确定。
失去完整性：由于有意或无意的行为对数据或信息系统的非授权修改。
失去可用性：信息系统功能和操作对其终端用户不可用。
失去保密性：受保护的数据和系统信息非授权访问、暴露。
4.7 确定风险
通过分析和确定了安全事件影响和可能性后，可以使用风险基本原理公式进行风险结果计算。
在定性风险评估中，对风险级别的确定可能会相对主观。其基本方法是为每种威胁可能性级别指定概率，为每种影响级别指定数值，最后确定风险区间等级。
如高威胁可能性的概率是1.0，低影响级别为10，则风险为1.0×10=10
风险等级：高（>50～100），中（>10～50），低（1～10）
4.8 编制风险评估报告和推荐安全控制措施
通过风险评估，得出风险的高中低等级，提出有针对性的抵御威胁的防护对策和整改措施，将风险控制在可接受的水平。从而为保障网络与信息安全提供依据。
5 结束语
信息安全风险评估工作是信息安全建设的起点和基础，在实际的信息安全风险评估工作中，应根据系统的实际运行环境和企业管理要求对评估过程进行剪裁，结合国内外标准规范，完成自己的风险评估实践。
等级保护和风险评估范文5
关键词：信息安全；风险评估；教学
信息安全风险评估是进行信息安全管理的重要依据，通过对信息系统进行系统的风险分析和评估，发现存在的安全问题并提出相应的措施，这对于保护和管理信息系统至关重要。目前国内外都高度重视信息安全风险评估工作。美国政府2002年颁布《联邦信息安全管理法》，对信息安全风险评估提出了具体的要求；欧盟国家也把开展信息安全风险评估作为提高信息安全保障水平的重要手段；2003年7月23日，国家信息中心组建成立“信息安全风险评估课题组”，提出了我国开展信息安全风险评估的对策和办法。2004年，国务院信息办研究制订了《信息安全风险评估指南》和《信息安全风险管理指南》两个风险评估的标准；2006年又起草了《关于开展信息安全风险评估工作的意见》[1]。这些工作都对信息安全人才的培养提出了更高的要求，同时也为《信息安全风险评估》课程的开设和讲授提供了必要的基础和条件。《信息安全风险评估》课程教学，是信息安全专业一门重要的专业课程，能全面培养学生综合运用专业知识，评估并解决信息系统安全问题的能力，是培养符合国家和社会需要的信息安全专业人才的重要课程之一。《信息安全风险评估》课程本身的理论性与实践性都很强，课程发展十分迅速，涉及的学科范围也较广，传统的教学的模式不能使该课程的特点很好地展示出来，无法适应社会经济发展对信息安全从业人员的新要求，教学改革势在必行。
一、现状与存在的问题
信息安全风险评估是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的安全威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施。它涉及信息系统的社会行为、管理行为、物理行为、逻辑行为等的保密性、完整性和可用性检测。风险评估的结果可以作为信息安全风险管理的指南，用来确定合适的管理方针和选择相应的控制措施来保护信息资产，全面提高信息安全保障能力[2]。自2001年信息安全专业建立以来，高校在制订本科专业教学培养目标和教学计划时，侧重于具体安全理论和技术的教学和讲授，特别是重点强调了密码学、防火墙、入侵检测、网络安全等安全理论与技术的传授。从目前高校的教学内容看，多数侧重于对“信息风险管理”、“风险识别”、“风险评估”和“风险控制”等基本内容的介绍上，而且教学课时数也较少，只有十个学时。当前从《信息安全风险评估》课程的教学情况来看，该课程在信息安全教育教学过程中地位有待提高，实践教学的建设与研究迫切需要深化。
当前该课程的教学实践中普遍存在以下几个方面的问题，严重制约了《信息安全风险评估》课程教学质量的提高：
1.本科教学大都以理论内容为主体，实验和课程设计的学时安排较少。一般高校的《信息安全风险评估》课程主要以理论内容的讲授为主，实验和课程设计的学时较少，实验内容也大多属于验证性质，缺少具有研究和探索性质的信息安全风险评估实践内容和课程设计；
2.教学方法单一，缺乏激励学生求知欲的教学方法和手段。当前开设《信息安全风险评估》课程的高校还较少，师资力量相对薄弱，教学经验也比较缺乏，仍以主要由教师讲述的传统教学方式为主，学生进行具体实践和操作的课时较少，缺乏创新性的教学和研究，基本没有具有探索性和创新性特点的教学内容，不利于发挥学生主观能动性，提高其创新能力；
3.实验环境无法满足教学需求，缺乏专业的信息安全风险评估师资。我国信息安全风险评估的研究和教学工作起步晚，缺乏相关的实验设备；而且受到资金和专业发展等多方面因素的制约，难以设立专门的信息安全风险评估实验室。此外，信息安全风险评估是以计算机技术为核心，涉及管理科学、安全技术、通信和信息工程等多个学科，对于理论和实践要求都很高。这就要求教师既要学习好各学科的基本知识，又要加强实践训练。
二、教学改革与探索
高校计算机相关专业开设《信息安全风险评估》课程，不是培养网络信息安全方面的全才或战略人才，而是培养在实际生活和工作中确实能解决某些具体安全问题的实用型人才。针对《信息安全风险评估》课程的特点和教学中存在的不足，我们从以下几个方面对该课程的教学改革进行了探索：
1.重新确立课程培养目标。①重点培养学生分析和评估信息安全问题的能力：《信息安全风险评估》课程是一门理论性和实践性紧密结合的课程，目前开设该课程的高校较少，各学校的教学内容也多种多样。该课程的教学目标即要培养学生发现信息系统存在的安全风险，同时也需要培养他们科学地提出解决安全隐患的方案及能力。如何提高学生分析和评估信息安全问题的能力是该课程教学的首要目标。②培养学生实际操作的能力：信息安全风险评估的关键是对信息系统的资产进行分类，对其风险的识别、估计和评价做出全面的、综合的分析。这就要求学生熟练地掌握目标对象的检测和评估方法，包括使用各种自动化和半自动化的工具，可在模拟实验里，通过不断地训练实现。③培养学生继续学习、勇于探索创新的能力：随着信息化的不断发展，信息系统所面临的安全威胁急剧增加，为此各国政府都不断提出和完善了各类信息安全测评标准。这就要求我们在教学中不断地学习、理解和解释最新的国际、国内以及相关的行业标准，培养和提高学生继续学习的能力。另外，《信息安全风险评估》课程也要求通过课堂教学、课后练习、实验验证和考试、考查等教学环节培养学生独力分析信息系统安全的能力，培养学生对信息安全风险评估领域进行探索和研究的兴趣，最终使学生掌握信息安全风险评估的知识和技能，能够解决具体信息系统的安全问题。
2.增加信息安全风险评估理论和相关标准的教学。信息安全测评标准和相关法律法规是进行信息系统安全风险评估的依据和保障。2006年由原国信办《关于开展信息安全风险评估工作的意见》（国信办2006年5号文）；同时，随着信息安全等级保护制度的推行，公安部会同有关部门出台了一系列政策文件，主要包括：《关于信息安全等级保护工作的实施意见》、《信息安全等级保护管理办法》等；国家信息安全标准化委员会颁发了《信息安全风险评估规范》（GB/T 20984~2007）、《信息系统安全等级保护基本要求》（GB/T 22239-2008）等多个国家标准[3]。为了保证《信息安全风险评估》课程目标的实现，我们在教学过程中，增加了《GB/T20984-2007信息安全技术信息安全风险评估规范》、《GB/Z24364-2009信息安全风险管理指南》、《GB/T
22080-2008信息安全管理体系要求》、《GB/T22081-
2008信息安全管理实用规则》、《GB/T20269-2006信息系统安全管理要求》、《GB/T25063-2010?摇信息安全技术服务器安全测评要求》、《GB/T 20010-2005信息安全技术包过滤防火墙评估准则》、《GB/T20011-2005信息安全技术路由器安全评估准则》、《GA/T 672-2006信息安全技术终端计算机系统安全等级评估准则》、《GA/T 712-2007信息安全技术应用软件系统安全等级保护通用测试指南》等相关评估标准和指南的学习，并编制相关的调查、检查、测试表，重点强调对脆弱性检测的理论依据的描述，检测方法及其步骤的详细记录。
3.利用各种测评工具，提高学生实践能力。在信息安全风险评估过程中，资产赋值、威胁量化分析、安全模型的建立等环节的教学和实践对教师和学生都提出了较高的专业课程要求。我们在《信息安全风险评估》课程实践中通过使用风险评估工具，并对具体的信息系统进行自动化或半自动化的分析，加深了学生信息安全风险评估的理论知识理解，同时注重培养学生动手实践能力和探索新知识的能力。我们增加了主动型风险评估工具Tenable扫描门户网站系统的实践性教学内容。通过评估，该系统的服务器存在感染病毒的症状，其原因是服务器存在特定漏洞。为此我们使用漏洞扫描器对该服务器进行扫描，发现了“远程代码被执行”漏洞，而且该漏洞能被蠕虫病毒利用，形成针对系统的攻击。通过案例特征提供了的信息，培养学生使用测评工具对具体信息系统进行安全风险评估的能力，并进一步使其认识到主动型评估工具是信息安全风险评估中快速了解目标系统安全状况不可或缺的重要手段。
笔者结合自己的教学实践体会，论述了当前《信息安全风险评估》课程中存在的问题以及解决对策。《信息安全风险评估》课程教学改革和建设是一个长期的、系统化的工程，需要不断地根据信息系统在新环境下面临的各种威胁，制定新的评估标准和评估方案，并使得学生在有限的时间和环境下掌握相应的知识和技能，以满足社会对信息安全人才的需求。
参考文献：
[1]付沙.加强信息安全风险评估工作的研究[J].微型电脑应用，2010，26（8）：6-8.
[2]杨春晖，张昊，王勇.信息安全风险评估及辅助工具应用[J].信息安全与通信保密，2007，（12）：75-77.
[3]潘平，杨平，罗东梅，何朝霞.信息系统安全风险检查评估实践教学探讨[C]// Proceedings of 2011 National Teaching Seminar on Cryptography and Information Security（NTS-CIS 2011），2011，（8）.
等级保护和风险评估范文6
【关键词】继电保护；风险隐患；在线评估
随着经济的发展，我国电力行业的发展步伐也开始逐渐加快，电力行业的改革以及对新技术的应用也更加频繁，对于电力基础设施的管理也开始提上电力企业的工作日程。国家电网的建设使得电力网络的覆盖范围越来越大，而由于其结构和运行方式的复杂化和多样化，电网的安全问题也成为人们关注的重点。继电保护作为保障电网安全稳定运行的第一道防线，其作用和意义十分重大。
1.继电保护概述
继电保护顾名思义，就是用有触点的继电器来保护电力系统及其元件（发电机、变压器、输电线路等），使之免遭损害。当电力系统发生故障或异常工况时，在可能实现的最短时间和最小区域内，自动将故障设备从系统中切除，或发出信号由检修人员消除异常工况根源，以减轻或避免设备的损坏和对相邻地区供电的影响。
传统的继电保护系统因为受到运行方式的限制，自主应变能力差，潜在风险较大，对事故无法做出及时反应，易导致设备的误动或拒动，使事故扩大。如果电网结构和运行状态出现突发性改变，尤其在电网负荷较大时，很可能造成继电保护系统失误，造成非预期连续跳闸，引发系统解列或大范围的停电事故。其原因在于目前电力网络中使用的继电保护系统的动作依据是保护安装处设备的采集量，而非系统的全局量。
电网的不断发展和扩大，使其自身的结构和运行方式变得复杂多样，致使相关保护装置的定值整定难度加大，保护之间的动作配合也变得复杂，而在电网实际运行中往往会发生多重电网故障接连发生，此时很有可能因为整定的不合理导致保护之间的配合缺乏选择性，造成越级跳闸使停电范围扩大。目前在继电保护中多采用“加强主保护，简化后备保护”的方式，对后备保护的重要性认识不足，为电网的安全运行埋下了安全隐患。
2.继电保护存在隐患的原因及分类
导致继电保护存在隐患的原因主要有三类：
（1）继电保护系统的硬件缺陷：保护装置的通讯系统出现故障，或者测量元件出现故障，装置的部件出现老化以及二次回路的接线松动等。
（2）继电保护装置的软件缺陷：保护装置在出厂时程序上存在漏洞，在出厂试验时未能及时发现问题，但现场运行过程中出现了无法解释的问题，这时就需要继电保护装置厂家对其进行程序升级，以消除此类隐患。
（3）继电保护的定值设置不合理：错误计算定值或是定值的设置不符合当前电网运行方式会导致继电保护存在隐患。
3.继电保护的隐患在线风险评估
通过EMS系统或者SCADA系统对电网运行的数据进行实时的在线采集和判断评估，当数据偏离定值要求时，系统能够及时发出警报，提醒检修人员及时对电网中的继电保护装置进行检查，如果继电保护装置能够实现全面在线评估，电网的安全性将大大提高。
继电保护系统软、硬件缺陷的在线风险评估：被保护设备在系统故障时保护能正确动作，而相邻设备由于硬件损坏导致不该其动作时保护误动；被保护设备硬件损伤导致系统发生故障时保护拒动，这种情况下会发生越级跳闸，导致停电范围扩大；设备本身无故障但受外界干扰，继电保护设备存在缺陷产生保护误动。
由于在电网正常运行时，继电保护的隐患一般不会造成影响，只有当电网设备受到外界干扰时隐患才会爆发出来，继电保护装置不能正确动作，所以只有采用风险评估的方式才能够综合地评估出继电保护隐患会对电网安全造成的影响值。
保护定值不合理的在线风险评估：
继电保护定值不合理是指保护定值没有足够的灵敏度，也不符合选择性要求，当不合理值出现在不同区域时对于电网的危害程度是不同的。
在继电保护的隐患中比较常见的是保护定值设置的不合理，导致继电保护在工作时出现不正确动作，而保护定值要设置的合理要同时满足两个条件就是在灵敏的同时要有所选择，只有这两个条件都满足了才能算得上是合理的保护定值。由此我们可以把不合理的保护定值划分为三类：保护定值未达到一定的灵敏度；保护定值不具有选择性的功能，如出现越级跳闸的情况；三段式相间距离保护躲不过最大负荷电流。这三种定值在电网中发生的位置不同，所造成的危害也是不一样的，并且电网的运行方式和电网负荷大小也会对不合理定值对电网造成的危害产生影响，所以对不合理定值的评估需要分情况计算，评估在不同情况下不合理定值对电网危害的具体程度，以此来确定将继电保护装置的保护定值设置为多少才能最大程度上减小该隐患发生时的危害。
进行不合理定值隐患范围的计算，是因为由不合理定值引发的继电保护隐患只有在一定的范围内发生了电气故障才能够使继电保护不正确动作，为了能够精确的计算出电网中不合理定值隐患的范围，在计算中不再使用定值整定规程中的可靠系数以及分支系数，而是采用沿线逐点计算，通过这样的方法确定出来的隐患范围更加精确，通过这一方法可以将各个相间距离的保护范围计算出来，再依据上下级保护之间的配合关系来计算出不合理定值的范围。
要计算不合理定值的风险还要对其爆发的概率进行计算，对概率的计算要采取事件树的方法进行计算，从事件树的示意图中可以看出只有顺着特定的分支路线行进时，不合理定值的隐患才会爆发出来，所以要找出不同线路上不合理定值隐患的爆发条件，分别进行概率的计算。最终根据计算出来的每条线路上的概率值，计算出整个线路上不合理定值隐患爆发的总概率。
有了总概率的值，就可以进行不合理定值风险的计算，利用计算公式就可以计算出不合理定值隐患的风险，就能够知道这一隐患对电网运行的危害究竟是怎样的。
4.结束语
本文研究了继电保护运行的风险隐患，针对导致继电保护隐患的主要原因，用风险定量的方法分析继电保护隐患对电网安全的影响。介绍了继电保护运行风险评估的研究方法，研究了继电保护定值不合理的运行风险评估，以定量地评估继电保护定值不合理对电网安全的影响，确定电网中保护定值不合理的薄弱环节。分析了继电保护系统软、硬件缺陷的特点，进行了继电保护系统软、硬件缺陷的运行风险评估。
【参考文献】
