信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估理論與方法第三章

1、3.3信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系構(gòu)建,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型信息系統(tǒng)安全涉及的因素眾多，且層次結(jié)構(gòu)復(fù)雜，需要對(duì)影響評(píng)估結(jié)果的各個(gè)風(fēng)險(xiǎn)因素進(jìn)行分析和綜合。,,3.3信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系構(gòu)建,A,B1,B2,Bm,C11,Cmnm,Cm1,C1n1,C2n2,C21,目標(biāo)層,準(zhǔn)則層,指標(biāo)層,指標(biāo)體系的遞階層次結(jié)構(gòu)模型,3.3信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系構(gòu)建,1） 目標(biāo)層 最高層是總目標(biāo)層，給出了風(fēng)險(xiǎn)評(píng)估的

2、總體目標(biāo)在這里A表示。2） 準(zhǔn)則層 中間層是準(zhǔn)則層或分目標(biāo)層，給出對(duì)系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估的準(zhǔn)則。3） 指標(biāo)層 底層是指標(biāo)層或因素層，即進(jìn)行系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的具體評(píng)估指標(biāo)，表示影響目標(biāo)實(shí)現(xiàn)的各種因素。,3.3信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系構(gòu)建,3.3.2 基于Delphi法的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系的初步建立一、專家的選擇 1）專家的概念 英國Mboden教授在《同行評(píng)議》中的專家。

3、李明德先生在《美國的科研資助制和合同制》所概括的美國學(xué)界對(duì)專家的看法。,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,2） 專家的選擇原則（1）熟悉原則（2）權(quán)威原則（3）自愿原則（4）專業(yè)合理配比原則（5）多年齡層次原則（6）基本人數(shù)原則,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,二、調(diào)查問卷設(shè)計(jì)調(diào)查表是Delphi法的工具，調(diào)查表的設(shè)計(jì)原則為：（1）調(diào)查人員必須對(duì)要調(diào)查的事件有比較充分。（2）調(diào)查表中對(duì)事件的描述要做到文

4、字清楚明確。（3）調(diào)查表的設(shè)計(jì)應(yīng)盡可能人性化（4）問題的數(shù)目要適當(dāng),3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,三、指標(biāo)體系的建立過程第一步，設(shè)計(jì)第一輪調(diào)查表第二步，回收第一輪調(diào)查表，并匯總制定第二輪調(diào)查表。第三步，回收第二輪調(diào)查表，并匯總制定第三輪調(diào)查表。第四步，回收調(diào)查表，匯總得出信息安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系。,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,3.3.3 基于Delphi法的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系的初步建立一、物

5、理環(huán)境及保障安全風(fēng)險(xiǎn)1）物理環(huán)境及保障安全風(fēng)險(xiǎn)因素包括物理環(huán)境和物理保障兩方面。,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,1）物理環(huán)境（1）場地（2）機(jī)房2）物理保障（1）電力供應(yīng)（2）災(zāi)難應(yīng)急,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,二、硬件設(shè)施安全風(fēng)險(xiǎn)1）計(jì)算機(jī)2）網(wǎng)絡(luò)設(shè)備3）傳輸介質(zhì)及轉(zhuǎn)換器,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,三、軟件設(shè)施安全風(fēng)險(xiǎn)1）計(jì)算機(jī)操作系統(tǒng)（1）缺陷（2）后門（3）腐?。?/p>

6、4）口令獲?。?）特洛伊木馬,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,1）計(jì)算機(jī)操作系統(tǒng)（6）病毒（7）升級(jí)缺陷,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,2）網(wǎng)絡(luò)操作系統(tǒng)（1）缺陷（2）后門（3）口令獲?。?）特洛伊木馬（5）病毒,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,3）網(wǎng)絡(luò)通信協(xié)議1.包監(jiān)視2.內(nèi)部網(wǎng)絡(luò)暴露3.地址欺騙4.序列號(hào)攻擊5.路由器攻擊6.拒絕服務(wù)7.版本升級(jí)缺陷,3.3.1 評(píng)估指標(biāo)體系的

7、層次結(jié)構(gòu)模型,3）網(wǎng)絡(luò)通信協(xié)議8.鑒別攻擊9.其他缺陷,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,4）通用應(yīng)用平臺(tái)1.后門2.邏輯炸彈3.惡意代碼4.病毒5.蠕蟲6.版本升級(jí)缺陷7.缺陷,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,5）網(wǎng)絡(luò)管理軟件1.后門2.惡意代碼3.缺乏會(huì)話鑒別機(jī)制,3.3.1 評(píng)估指標(biāo)體系的層次結(jié)構(gòu)模型,四、管理者安全風(fēng)險(xiǎn)1）管理員等人員（1）失職（2）蓄意破壞2）操作員（1）操作失誤