信息安全风险评估的数值分析法初探.docx

信息安全风险评估的数值分析法初探岳宇1，岳珊珊2(1.北京航空航天大学，北京100083；2.北京中科网威信息技术有限公司，北京100083)摘要：介绍了一种对信息安全风险的数值分析方法，包括对资产价值的评估、对威胁和薄弱点评估以及最终的风险计算和函数拟合方法。通过这种方法，可以在传统方法的基础上，定量地计算出不同信息资产的风险程度，以供安全方案的设计和投资指导之用。关键词：信息资产;风险评估;威胁;薄弱点;风险值中图法分类号：O211.67文献标识码：A文章编号：1000-7024(2006)03-0404-03MethodbasedonnumericalanalysisforinformationsecurityassessmentYUEYu1,YUEShan-shan2(1.BeijingUniversityofAeronauticsandAstronautics,Beijing100083,China;2.BeijingNetpowerTechnologiesInc,Beijing100083,China)Abstract：Amethodbasedonnumericalanalysistheorytoassetrisksofinformationsecuritywasintroduced,involvinginformationas-sessment,threads,vulnerabilities,riskcalculationandfunctionapproximation.Sobythisapproach,riskstodifferentinformationassetscouldbecalculatedquantificationallyonthebaseoftraditionalmethod.Andsecuritysolutionandinvestigationcouldbeevaluatedaccurately.Keywords：informationassets;riskassessment;thread;vulnerability;vulnerability须遵循一个科学、合理的程序，即风险评估应采取的步骤和流程，风险评估由以下几个步骤组成：系统特性分析；信息资产识别和价值估算；威胁分析；系统脆弱性分析；控制措施分析；1引言随着信息技术的不断发展，企业信息安全受到的威胁不断上升。大范围的潜在攻击者诸如竞争对手、心怀不满的雇员、黑客等为企业的信息安全带来极大的风险。解决信息安全的首要问题就是了解企业信息系统目前与未来的风险所在，充分评估这些风险可能带来的威胁与影响的程度，做到“对症下药”，这就是信息与网络系统的风险分析与评估。然而，目前的风险理论大多仍然只停留在理论的层次上，缺乏实际的操作手段。即使已有的一些工具，也大多是以定性分析为主。然而，目前的组织或机构越来越需要一种手段能够相对准确地反映出各个信息资产之间风险的相对高低，作为了解目前安全状况的手段、对目前安全措施的评价和对未来安全投资的参考。信息系统建设标书,施工计划,组织业务规划书,信息系统目标信息系统的边界,功能,敏感性及重要性硬件,软件,数据,信息服务,人员资产清单,资产价值系统受攻击记录,权威部门通告,安全领域新闻报道,专家意见威胁清单,威胁危害程度以往风险评估报告，安全需求,权信息系统脆弱性清单威部门通告和数据,安全测试报告已实施的控制措施,计划实施的控制措施已实施的控制措施清单,计划实施控制措施清单威胁源的动机,系统脆弱的性质,实施的控制措施可能性定级危害程度大小及范围的分析,确定危害级别危害定级威胁成功的可能性,危害的程度,计划中与已实施的控制风险级别2风险分析基础首先，让我们来看一下目前的风险评估理论是如何进行评估的。为使风险评估更有效率、更具有可操作性，必建议采取的控制风险评估报告图1风险评估流程收稿日期：2004-12-28。作者简介：岳宇(1982-)，男，吉林敦化人，硕士生，研究方向为电子政务与电子商务；岳珊珊(1979-)，女，硕士生，研究方向为信息安全。－404－步骤10:风险评估结果文档步骤1:系统特性分析步骤2:信息资产识别和价值估算步骤3:威胁分析步骤4:系统脆弱性分析步骤5:控制措施分析步骤6:可能性分析步骤7:危害分析步骤8:风险计算步骤9:控制措施建议可能性分析；危害分析；风险计算；控制措施建议；风险评估结果文档。其流程图如图1所示。同时，对大型网络系统而言，在进行风险评估分析之前要进行必要的拆分和简化，但要在抓住主要矛盾的基础上进行简化，否则，简化会使整个评估结果丧失准确性。本文所阐述的内容与该流程并不矛盾，其区别之处在于本文尽可能的将每一个步骤的输出都尽可能地数值化，以求最后能得到一个量化的结果。此外，本文