信息安全风险评估方法研究_基于_资产_威胁_评价指数矩.pdf
《信息安全风险评估方法研究_基于_资产_威胁_评价指数矩.pdf》由会员分享,可在线阅读,更多相关《信息安全风险评估方法研究_基于_资产_威胁_评价指数矩.pdf(4页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、26算机安全 2008.3学术.技术1 引言当今,计算机网络系统已成为大多数组织获取业务信息的基础,并成为组织提高决策能力和业务工作效率,增强核心竞争力的关键。但同时,也使信息面临各种新的威胁和风险。组织业务信息的滥用或被窃,不仅使组织收入受到损失,有时甚至会摧毁组织的核心业务,因此信息安全风险评估成为组织业务信息安全保障的重要内容,也是信息安全的基础和前提。2 信息安全及信息安全风险评估概念2.1 信息安全本文信息安全的定义是基于美国国家安全系统委员会(CNSS,Committee on National Security Systems)发布的标准。信息安全(InfoSec)就是保护信息及
2、其关键要素,包括使用、存储以及传输信息的系统和硬件的安全。信息安全具有 3个最基本特征:机密性、完整性和可用性。(1)机密性(Confidentiality)就是确保信息或信息系统仅被授权用户访问。(2)完整性(Integrity)即指整体性、完全性以及未被篡改或伪造的特性或状态。(3)可用性(Availability)就是保证在需要的时候,被授权用户可以毫无障碍地使用信息或信息系统服务。2.2 信息安全风险评估风险是遭受损害和损失的可能性。风险评估是风险管理的一个重要过程,它对组织信息资产面临威胁和被威胁利用的弱点的风险分析和影响分析,从而为组织选择减少风险的安全控制措施,制定风险转移计划提
3、供事实依据。3 信息安全风险因素信息安全风险因素由资产、威胁、脆弱性、影响、风险和安全防护措施组成。3.1 资产信息安全风险评估方法研究基于“资产威胁”评价指数矩阵风险分析方法研究程建华,靖继鹏(吉林大学 管理学院,吉林 长春 130001)摘 要:信息安全风险评估是组织信息安全的基础和前提,也是信息安全保障的重要内容。该文介绍了信息安全及其信息安全风险评估概念,然后对信息安全风险评估因素、方法进行了分析,并提出基于“资产威胁/脆弱性”评价指数矩阵风险分析方法。关键词:信息安全;风险评估;威胁;脆弱性Study on Method for Information Security Risk E
4、valuationCHENG Jian-hua,JING Ji-peng(School of Management,JiLin University,ChangChun 130001,P.R.China)Abstract:Information security risk assessment is the foundation and the precondition of information security of organization,and is important content of information security assurance.This paper out
5、lines the concept of information security and risk assessment.Then,the elements and methods of information security assessment are analyzed.Risk Assessment Code Matrix of assets_threats_based method is introduced in the text.Key words:information security;risk assessment;threats;vulnerabilities资产指对组
6、织有价值的信息资产。包括:(1)物理资产(例如计算机硬件、通讯设施和建筑物);(2)信息或数据(例如文档,数据库);(3)软件;(4)产品生产和提供服务能力;(5)人;(6)无形资产(例如信誉,形象)。3.2 威胁威胁是能够造成对组织资产损坏的不期望事件的发生。比如对信息和信息系统服务的非授权破坏、修改、侵蚀、丢失和不可用。威胁评估是信息安全风险评估的重要过程。根据威胁来源、动机、存取方式、影响力以及发生频率,可分为:(1)主动攻击(利用恶意代码、系统漏洞、协议弱点、拒绝服务、社会工程、中间人、欺骗等攻击目标用户,破坏或企图破坏以及窃取系统重要信息);(2)被动攻击(利用口令破解、嗅探等技术对
7、网络传输的数据进行监听或截取,以获取系统内的重要信息);(3)内部攻击(拥有合法身份的内部员工,未经授权非法获取机密272008.3 计算机安学术.技术信息或破坏信息系统;内部员工未经授权,私自与涉密网进行物理连接;内部员工暗自通过非法通道,与外部远程用户传输内部网络上的机密信息;内部员工故意破坏或摧毁内部网络);(4)其他攻击(制造商在其软件和硬件中安置“陷阱”或“后门”;攻击者在产品运输过程中,在产品中嵌入监听设备或软件,以期在未来收集所需信息);(5)自然灾害(地震、闪电、洪水和火灾)。3.3 脆弱性脆弱性是对受保护的资产进行脆弱性分析,包括系统可能被威胁利用并导致不期望结果的漏洞。诸如
8、物理层、管理层、硬件、软件、制度、人员、系统管理员等方面存在的漏洞。3.4 影响影响是对由于故意或是偶然原因引起不期望事件的发生所造成的后果进行评定。这种后果可能是对资产的破坏,对信息系统的损坏,对信誉、完整性、可用性、不可否认性、真实性和可靠性损坏。这种影响具有复杂性和不可定量性,常常包括直接和非直接影响,比如金融损失、市场损失和信誉损失。3.5 风险风险是资产脆弱性被威胁利用,并对组织造成损害的可能性,也是不期望事件发生、并造成影响的概率。因此本文从风险形成的机理出发,可将风险用资产、威胁、脆弱性的三维空间来表示:R:表示风险 Risk信息系统包含的资产:C=C1,C2,Cn信息系统运行中
9、的威胁:T=T1,T2,Tm信息系统固有的脆弱性:V=V1,V2,Tk3.6 安全防护措施安全防护措施是保护组织资产免遭威胁、减少脆弱性、降低不期望事件影响、检测不期望事件和灾难恢复的安全控制技术、管理制度和相应机制。有效的安全措施需要对资产提供从物理层、应用多、系统层、网络层和管理层的安全防护,诸如存取控制机制、防病素软件、加密、数字签名、防火墙、入侵检测、冗余电源供应、信息备份、规章制度和员工安全培训等,以达到防止、阻止、检测、限制、纠正、恢复、监测风险和提高安全意识的功能。4 常用风险分析方法信息安全风险分析方法主要分为3 类,定量风险分析方法、定性风险分析方法、定性和定量相结合的分析方
10、法。4.1 定量分析方法定量分析是试图从数字上对安全风险进行分析评估的方法。包括因子分析法、回归分析法等。理论上讲,通过定量分析可以对安全风险进行准确的分级,使分析结果易于理解和比较,直观可信。但实际上,由于信息网络系统的复杂性,很多信息都是不精确、不完整和不明确的,再加上组织信息安全的历史数据很难获得,因此定量分析有很大的困难。4.2 定性分析方法定性分析是被广泛采用的方法。通过列出各种威胁的清单,并对威胁的严重程度及资产的敏感程度进行分级,计算简单,评估成本低。包括德尔斐法、基线比较方法等。定性分析技术包括判断、直觉和经验。不足之处是可能由于直觉、经验的偏差而造成分析结果过于主观,不准确。
11、4.3 定量和定性综合方法定量和定性结合的风险评估方法是建立在定性方法上的定量评估方法,客观准确。常用的有故障树分析方法(Failure Tree Analysis,缩写FTA)、AHP 层次分析法、模糊风险评估法等。5 基于“资产威胁”评价指数矩阵风险分析方法研究针对信息网络系统复杂、设备众多、环境复杂的特点,对与组织关键业务有关的所有资产组件,本文采用基于“资产威胁”评价指数矩阵分析方法,对资产的安全度和组织业务的重要度划分等级,对资产面临威胁的权重和威胁发生时对业务的影响程度赋值,并给出相关指数。综合使用定量和定性相结合,使风险分析结果更公正、精确。5.1 建立组织关键业务系统体系结构拓
12、扑图,识别图中的所有资产,评估资产安全性C=C1,C2,Cn,C 是 N个资产集合。S=S1,S2,,Sn ,S 是相应资产的安全性指数。根据信息资产在机密性、完整性和可用性 3 个方面体现的安全性进行分析,对每个方面安全性的要求分为 5 个级别,依次为:可以忽略、有限、一般、较高、很高,评分分别是 1-5。将具有较高安全要求的那一方面的安全性作为信息资产的安全性指数。R=R1,R2,Rn ,R 是相应资产的重要指数。根据信息资产的经济价值和对业务的影响性,把信息资产的重要性分为 5 个等级,分别为普通、次要、中等、重要和关键,评分分别是 1-5。Ci=Si*Ri,Ci是第 i 个资产值,28
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 信息 安全 风险 评估 方法 研究 基于 资产 威胁 评价 指数
限制150内