網(wǎng)絡(luò)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法研究.pdf

1、隨著信息化進(jìn)程的推進(jìn)和深入，信息系統(tǒng)在各行各業(yè)應(yīng)用的廣度和深度不斷拓展，信息系統(tǒng)的重要性愈顯突出。信息安全問(wèn)題逐漸受到信息系統(tǒng)所有者、管理者和使用者的重視。 由于信息系統(tǒng)的重要性、計(jì)算機(jī)網(wǎng)絡(luò)的開(kāi)放性、信息系統(tǒng)組成部分的脆弱性和用戶的有意、無(wú)意不當(dāng)操作或惡意的破壞企圖，使信息系統(tǒng)面臨許多風(fēng)險(xiǎn)，這是信息安全問(wèn)題產(chǎn)生的根本原因?；诔杀竞托б娴目紤]，以及對(duì)信息技術(shù)不斷發(fā)展的現(xiàn)實(shí)等認(rèn)識(shí)，解決信息安全問(wèn)題的思路不是傾盡人力、物力、財(cái)力，將

2、風(fēng)險(xiǎn)徹底降為零，達(dá)到絕對(duì)的安全(事實(shí)上，也無(wú)法達(dá)到絕對(duì)的安全)，而是以把風(fēng)險(xiǎn)降低到信息系統(tǒng)可以接受的水平，從而使信息系統(tǒng)的安全性得到提高為目標(biāo)的。為了達(dá)到該目標(biāo)，必須知道信息系統(tǒng)面臨哪些風(fēng)險(xiǎn)，其分布情況和強(qiáng)度(包括發(fā)生的可能性與發(fā)生后的損失)有多大。這是信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估工作的基本內(nèi)容。 信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的研究由來(lái)已久，在評(píng)估流程和方法，以及工具軟件的開(kāi)發(fā)上都有很多成果，但體系性、理論性和實(shí)用性都存在著很大爭(zhēng)議，在理論和方法上都還

3、有很多值得進(jìn)一步研究的地方。 本文從基于信息流的資源分布入手研究風(fēng)險(xiǎn)分布規(guī)律，構(gòu)建了信息系統(tǒng)的風(fēng)險(xiǎn)評(píng)估過(guò)程，研究了風(fēng)險(xiǎn)評(píng)估的幾個(gè)關(guān)鍵問(wèn)題。 論文首先綜述了風(fēng)險(xiǎn)分析的一般理論和方法，并對(duì)自然災(zāi)害、社會(huì)穩(wěn)定、經(jīng)濟(jì)與金融、工程項(xiàng)目管理和信息安全中的風(fēng)險(xiǎn)評(píng)估方法進(jìn)行了比較分析，挑選出可以借鑒的其它領(lǐng)域風(fēng)險(xiǎn)評(píng)估的一些理論、流程和方法，同時(shí)結(jié)合信息系統(tǒng)風(fēng)險(xiǎn)的特點(diǎn)，研究信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法。 接下來(lái)，為引出風(fēng)險(xiǎn)評(píng)估過(guò)程，研究了

4、風(fēng)險(xiǎn)評(píng)估的要素及其關(guān)系模型。風(fēng)險(xiǎn)評(píng)估涉及到信息系統(tǒng)的很多因素，有：人、環(huán)境、業(yè)務(wù)戰(zhàn)略、法律、法規(guī)及人文環(huán)境、資產(chǎn)、資產(chǎn)價(jià)值、威脅、脆弱性、風(fēng)險(xiǎn)、殘留風(fēng)險(xiǎn)、安全事件、安全需求、安全措施、安全保護(hù)等級(jí)等。這些要素在風(fēng)險(xiǎn)評(píng)估過(guò)程中必須考慮。而風(fēng)險(xiǎn)評(píng)估要素關(guān)系是指各個(gè)評(píng)估要素在風(fēng)險(xiǎn)評(píng)估過(guò)程中相互之間的因果、依賴等關(guān)系。這些關(guān)系決定了風(fēng)險(xiǎn)評(píng)估的流程。本文接著對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的流程進(jìn)行了描述，并對(duì)風(fēng)險(xiǎn)評(píng)估的業(yè)務(wù)需求與安全目標(biāo)、資源識(shí)別與分布、風(fēng)險(xiǎn)

5、分析、風(fēng)險(xiǎn)量化評(píng)估、安全需求導(dǎo)出、安全措施需求導(dǎo)出、實(shí)際安全措施與安全措施需求符合度檢查、殘留風(fēng)險(xiǎn)估計(jì)等環(huán)節(jié)的研究?jī)?nèi)容進(jìn)行了闡述。 在基于信息流的信息系統(tǒng)資源分布模型基礎(chǔ)上，根據(jù)風(fēng)險(xiǎn)點(diǎn)的分布結(jié)構(gòu)，以信息系統(tǒng)資產(chǎn)、安全性和脆弱性分布分析提出信息系統(tǒng)風(fēng)險(xiǎn)點(diǎn)分布分析方法，為信息系統(tǒng)風(fēng)險(xiǎn)的確定提供了方法。本部分論文也對(duì)風(fēng)險(xiǎn)的識(shí)別和驗(yàn)證進(jìn)行了探討。 對(duì)風(fēng)險(xiǎn)的評(píng)估量化包括風(fēng)險(xiǎn)可能性和后果的量化。由于風(fēng)險(xiǎn)的復(fù)雜性、關(guān)聯(lián)性和多樣性，評(píng)估

6、分為主觀評(píng)估和客觀評(píng)估。對(duì)客觀評(píng)估來(lái)說(shuō)，可能性評(píng)估可以通過(guò)分析風(fēng)險(xiǎn)的特點(diǎn)給出概率分布；后果的量化評(píng)估由安全事件造成的可量化的損失給出。對(duì)某些不能直接客觀評(píng)估的風(fēng)險(xiǎn)，采用主觀評(píng)估方法，分析安全事件與風(fēng)險(xiǎn)的關(guān)系，根據(jù)安全事件構(gòu)成要素及其屬性提出信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系。采用模糊綜合評(píng)判方法，通過(guò)對(duì)評(píng)估指標(biāo)的量化完成風(fēng)險(xiǎn)的量化評(píng)估。 在對(duì)風(fēng)險(xiǎn)進(jìn)行分析和評(píng)估量化后，得到了信息系統(tǒng)存在的風(fēng)險(xiǎn)及其強(qiáng)度。為了使信息系統(tǒng)達(dá)到一定的安全等級(jí)，需要