基于风险因子的信息安全风险评估方法研究

1、中 国 矿 业 大 学信息安全管理报告报告题目： 基于风险因子的信息安全风险评估方法研究 组 长： 负责专题： 组 员： 负责专题： 2016 年 4 月 徐州摘 要在当前信息安全问题频发的时代，信息安全风险评估是一个保障信息安全问题的重要手段。目前已经提出了相当多的信息安全评估方法，比如定性分析法、定量分析法、综合分析法等。本文主要叙述信息安全风险的相关基础概念以及信息安全风险评估的基本流程，并介绍基于风险因子的信息安全评估方法，提出风险因子的概念和风险因子的基本要素，并对风险因子的基本要素进行定义和解释说明，并在此基础上实现基于风险因子的风险评估模型。此模型将系统风险分解为若干风险因子，由专家对风险因子的基本要素进行评价，计算风险因子的风险度，对风险度进行二次模糊化后构造风险度的隶属矩阵，并利用熵系数法求出各个风险因子的权重，从而计算出风险等级。最后结合实例来实现该模型。 该论文有图5幅，表8个，参考文献13篇。关键词：风险评估；风险因子；熵系数；风险度；二次模糊化目 录1 绪论11.1 研究背景11.2 国内外研究概况11.3论文研究意义31.4 小结32 信息安全风险评估42.

2、1 信息安全风险评估基本概念42.2 信息安全风险评估要素42.3 信息安全风险评估过程52.4 小结113 基于风险因子的信息安全风险评估123.1 基于风险因子的信息安全风险评估方法概述123.2 基于风险因子的信息安全风险评估方法中的基本概念123.3 基于风险因子的信息安全风险评估方法的特点123.4 基于风险因子的信息安全风险评估模型153.5 小结184 信息安全风险评估案例194.1 风险度的隶属矩阵的计算194.2 熵系数的计算204.3风险计算214.4结果分析224.5小结225结论23参考文献24附录 Matlab模型构建的内容25信息安全管理报告1 绪论 1.1 研究背景1.1.1 论文研究背景信息技术日益发展，并且为整个世界的前进和上升贡献了自己的一份力量，同时带动各行各样的改革和创新。而随着信息技术的进步，人类对信息技术的依赖程度越来越高，而信息安全问题也随着依赖程度的增加而日益明显。这些安全问题成为严重制约信息技术发展的因素，影响人类社会的进步。重视信息系统安全，保障网络及信息系统安全，已经是发展信息技术的重要环节。随着信息系统的发展，系统复杂性的增加，传

3、统信息安全技术目前已经显露出了严重的局限性。为了应对目前出现的信息系统的各种安全问题，并且使人们对系统安全性有更详尽的认识，需要对信息系统进行一个相对全面的、正确的安全风险评估。信息安全风险评估是完善信息系统安全性的一个重要环节。1.2 国内外研究概况1.2.1 国外研究现状 信息安全的研究始于军事领域，而后信息安全的研究在各行各业的其他领域也开始发展，并逐渐发展成一门学科。在有过信息安全风险评估经验的国家中，时间最长且经验最丰富的国家当属美国。而随着各种领域对信息安全的需求的增大，安全事件的驱动和信息安全技术、信息安全概念不断发展，致使他们逐步加深了对信息风险评估的认识。从最初关注计算机保密性到目前关注的信息系统基础设施的信息保障，大体上有以下三个阶段1： 第一阶段（6070年代）以计算机为对象的保密阶段1。1967年针对计算机安全问题，美国国防科学委员会委托兰德公司、迈特公司以及其他和国防工业有关的一些公司对当时的大型机、远程终端进行风险评估，经过了两年半的时间，他们终于完成了这项较大规模的任务1。20世纪七八十年代，针对信息安全标准，美苏两国几乎同时开展相关的建设工作，其中美国的

4、成果更为突出。在70年代完成了TEMPEST对抗标准的制定，在80年代制定了密码标准，联邦信息处理标准，国家计算机安全标准等一系列安全标准。这一阶段的特点是重点针对计算机系统的保密性问题提出要求1。第二阶段（8090年代）将网络作为对象进行信息保护1。1988年到1989年，计算机系统网络应用的开展使得黑客行为出现在美国军方的计算机。据美国官方统计，在这一年的时间里又出现了多起计算机网络重大事件。在这样的大背景下，美国开始专注于研究风险评估标准，形成了早期的一套比较完整的从理论到方法的有关信息安全评估的准则1。第三阶段（90年代末21世纪初）以信息基础设施为对象的信息安全保障阶段1。2000年前后，关键基础设施的核心是计算机网络系统。大规模黑客攻击出现在国际范围内，这促使信息战的理论走向成熟。此时美国对信息系统展开了新一轮的评估和研究以确保其信息基础设施的安全。在此期间信息安全保障对象、安全属性、保障能力等进一步明确1。美国近年来高度重视网络空间的安全部署，直至目前，美国从未中断过对信息安全的研究。众多学者对信息安全研究开始进入新的阶段，进入各个细节和方向的研究。欧洲信息技术的发展不比

5、美国成熟，他们的信息安全管理实践是在充分利用美国科技成果上发展起来的，利用“趋利避害”的策略防范在信息化发展进程中的安全风险2。而亚洲国家方面，在信息技术领域主要是处于发展中国家阶段，这些国家大多抢占信息技术的发展机遇。拿韩国举例，为了把信息安全风险管理工作发展得更好，韩国参照美国的主要政策和做法，成立了相关的专门信息安全机构，大力推进风险管理的做法；而日本在信息安全风险评估结合了美国和英国实践经验，建立了“安全管理体系评估体系”作为日本标准，引导政府和民间信息安全风险管理的实践；新加坡则参照英国在信息安全风险评估的做法，并向邻国输出信息安全风险管理的专业知识和服务2。1.2.2 国内研究现状 在二十一世纪之前，我国信息安全风险的发展经历了一个曲折的过程。早期是采用边改边进行的方式来开展信息安全工作的。而计算机在我国上世纪八十年代应用后，应用的范围不断扩大，计算机所存在的安全问题出现，虽然进行了安全检查工作，但由于风险相关意识缺乏，找不到一个合理且合适的方案解决问题3。我国对于信息安全风险评估进入正式研究的时间实在2000年前后，随着人们对信息安全问题的认识逐步深入相关研究不断发展4。

6、我国信息系统风险评估的研究目前主要集中于组织架构和业务体系的建立，相应的标准体系和技术体系还处于研究阶段，但随着电子政务、电子商务的蓬勃发展，信息系统风险评估领域和以该领域为基础和前提的信息系统安全工程在我国已经得到政府、军队、企业、科研机构的高度重视，具有广阔的研究和发展空间5。无论是国外还是国内，在信息系统的风险评估中，安全模型的研究、标准的选择、要素的提取、评估方法的研究、评估实施的过程、一直都是研究的重点5。 目前针对信息系统安全风险评估的研究中，各种模型层出不穷。当今主流风险评估方法分为定性、定量和综合法三种，定性全面、深入，但是主观性太强，对于评估者的要求太高。定量评估直观、明显、对比性强，但是简单化、模糊化、比较容易造成误解。很多专家学者提出了一些综合分析法来解决二者的不足之处，比如著名的综合评估方法有概率风险评估、动态概率风险评估、层次分析法、模糊综合等。综合法集中了定性和定量的部分有点，但也并非尽善尽美，仍需不断改进6。上述的这些方法各有利弊。1.3 论文研究意义信息安全风险评估就是在进行充分风险分析的基础上对信息安全系统进行有效地评估，了解在未来可能会存在的风险和威

7、胁，并能够及时、准确地掌握可能造成的威胁程度，以方便人们对症下药并采取一定的措施从而将风险降低到最小。本文在研究熵系数模糊综合法、层次分析法等综合分析法的基础上，抓住风险评估的实质内容提出了基于风险因子的风险评估方法RARF（risk assessment method based on the risk factors）,建立了以风险因子为核心的风险计算模型，通过风险度计算、二次模糊化、熵系数计算和综合计算等步骤对信息系统的安全进行风险评估。这种风险评估模型可以较好地减少风险评估时存在的误差，对后期信息安全管理起到一个良好的指引作用6。1.4 小结 本章主要叙述了本篇报告的叙述背景和目前的信息安全风险评估的研究现状，并结合目前的情况论述了基于风险因子的信息安全评估方法的研究意义，并简短地叙述了该模型的主要过程和基本概念。2 信息安全风险评估2.1 信息安全风险评估基本概念 首先我们对信息安全风险评估的几个基本概念7进行介绍。 信息安全风险评估是风险管理的基础和关键环节，开展信息安全风险评估，可以对信息系统的资产价值、潜在威胁、薄弱环节、防护措施等方面进行分析，根据分析结果找出信息系统中存在的主要安全问题，并设计出具体的解决方案，从而有针对性的进行管理。信息安全是指网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，系统连续可靠正常地运行，信息服务不中断。信息安全风险是人为或自然的威胁利用系统存在的脆弱性引发的安全事件，并由于受损信息资产的重要性而对机构造成的影响。信息安全风险评估是指依据国家风险评估相关的管理要求和技术标准，对由信息系统存储、处理和传输的信息的机密性、完整性和可用性等安全属性进行科学、公正的综合评价的过程。信息安全风险评估是建立信息安全保障机制中的一种科学方法。对信息系统而言，存在风险并不意味着不安全，只要风险控制在可接受的范围内，就可以达到系统稳定运行的目的。风险评估的结果为保障信息系统的安全建设、稳定运行提供了技术参考。在信息安全保障体系中，信息安

《基于风险因子的信息安全风险评估方法研究》由会员pu****.1分享，可在线阅读，更多相关《基于风险因子的信息安全风险评估方法研究》请在金锄头文库上搜索。