信息安全风险评估方法研究.doc

信息安全风险评估方法研究.doc信息安全风险评估方法研究
谭春晖陈红梅
中国航空工业发展研究中心
X
关注成功!
加关注后您将方便地在我的关注中得到本文献的被引频次变化的通知!
新浪微博
腾讯微博
人人网
开心网
豆瓣网
网易微博
摘    要:
本文研究了信息安全风险评估的基础理论和流程, 对风险评估方法、风险管理过程等进行了研究和探讨。重点研究了信息系统在运行使用过程中的风险管理, 提出了一种基于脆弱性识别的风险自评估方法, 简化了风险分析模型, 并提出了持续改进所关注的重点内容, 通过风险控制降低信息系统的安全风险, 保障安全目标的实现。
关键词:
信息安全; 风险评估; 威胁; 脆弱性;
1 引言
信息化技术的广泛应用, 在提高科研、生产效率和质量的同时, 也极大地增加了信息安全风险。目前解决信息安全问题普遍采用的方法是风险评估, 从风险管理的角度, 系统地分析信息系统所面临的威胁及其存在的脆弱性, 评估安全事件一旦发生时可能造成的危害程度, 并提出有针对性的防护对策和整改措施, 将风险控制在可接受的水平, 最大程度地保障信息安全[1]。
信息安全风险评估分为自评估和检查评估两种形式。风险自评估是建立信息安全体系的基础和前提, 目前风险自评估没有统一的标准和方法, 如何组织风险自评估是困扰评估单位的难题, 也是本文的主要讨论内容。
2 信息安全风险评估理论和方法
风险管理过程
信息安全风险管理的内容和过程如图1所示[2]。
背景建立、风险评估、风险处理和批准监督是信息安全风险管理的4个基本步骤。
(1) 背景建立阶段:确定风险管理的对象和范围, 进行相关信息的调查分析, 准备风险管理的实施。
(2) 风险评估阶段:根据风险管理的范围识别资产, 分析信息系统所面临的威胁以及资产的脆弱性, 结合采用的安全控制措施, 在技术和管理两个层面对信息系统所面临的风险进行综合判断, 并对风险评估结果进行等级化处理。
(3) 风险处理阶段:综合考虑风险控制的成本和风险造成的影响, 从技术、组织和管理层面分析信息系统的安全需求, 提出实际可行的安全措施。明确信息系统可接受的残余风险, 采取接受、降低、规避或转移等控制措施。
(4) 批准监督阶段:包括批准和持续监督两部分。依据风险评估的结果和处理措施能否满足信息系统的安全要求, 决策层决定是否认可风险管理活动。监控人员对机构、信息系统、信息安全相关环境的变化进行持续监督, 在可能引入新的安全风险并影响到安全保障级别时, 启动新一轮的风险评估和风险处理。
图1 信息安全风险管理的内容和过程  下载原图
监控审查和沟通咨询贯穿于上述4个基本步骤, 跟踪系统和信息安全需求的变化, 对风险管理活动的过程和成本进行有效控制。
风险分析原理
风险分析原理如图2所示。
R表示安全风险计算函数, A表示资产, T表示威胁, V表示脆弱性[1]。资产、威胁和脆弱性是风险的3个因素, 是风险分析的基础。根据风险分析原理, 首先应进行资产、威胁和脆弱性识别, 分析得出资产价值、威胁出现的频率和脆弱性的严重程度, 然后分析计算安全事件的可能性和损失程度, 得出风险值[1]。
风险因素识别
资产在表现形式上可分为数据、软件、硬件、服务、人员等类型。根据风险评估的范围识别出