信息安全風(fēng)險評估系統(tǒng)的研究課件

1、信息安全風(fēng)險評估系統(tǒng)的研究 導(dǎo)師：周大水教授信息安全風(fēng)險評估系統(tǒng)的研究摘要 本文首先對信息系統(tǒng)安全風(fēng)險評估的國內(nèi)外研究現(xiàn)狀進行了深入分析，其中對風(fēng)險評估相關(guān)國際國內(nèi)標準進行了分類收集和研究，并對風(fēng)險評估的方法進行了介紹。然后，對資產(chǎn)、威脅、脆弱點等風(fēng)險要素和控制措施的分類和賦值進行了研究，并且在此基礎(chǔ)上總結(jié)了目前風(fēng)險評估存在的問題和進一步的需求。最后，介紹了信息安全管理體系(ISMS)標準及其實施過程，對控制措施的重要性進行了分析，提出了在ISMS中實施風(fēng)險評估的方法，討論了ISMS風(fēng)險評估系統(tǒng)，并給出了完整的評估過程。信息安全風(fēng)險評估系統(tǒng)的研究論文主要內(nèi)容 前言 信息安全風(fēng)險評估 信息安全風(fēng)

2、險評估標準 風(fēng)險評估的常用方法 風(fēng)險評估過程及存在的問題 ISMS中風(fēng)險評估系統(tǒng)的分析與設(shè)計信息安全風(fēng)險評估系統(tǒng)的研究前言國外研究概況 第一階段(20世紀60年代至80年代):信息安全風(fēng)險管理實踐與理論發(fā)展的初期階段。 第二階段(20世紀80年代末至90年代中期):是信息安全風(fēng)險管理實踐和理論走向初步成熟的階段 第三階段(20世紀90年代中一現(xiàn)在):風(fēng)險評估實踐與理論進入全球化階段。 國際上信息安全風(fēng)險評估經(jīng)歷了一個從只重技術(shù)到技術(shù)、管理并重的全面評估，從單機到網(wǎng)絡(luò)再到信息系統(tǒng)基礎(chǔ)設(shè)施，從單一安全屬性到多種安全屬性的發(fā)展過程。信息安全風(fēng)險評估系統(tǒng)的研究前言國內(nèi)研究概況 風(fēng)險評估在我國的企業(yè)、組

3、織和部門的普及程度較低，許多領(lǐng)導(dǎo)對風(fēng)險評估的流程不了解，安全風(fēng)險防范意識薄弱。 我國的科學(xué)研究計劃中，有關(guān)信息系統(tǒng)安全風(fēng)險評估的重點科研項目還較少，不足以支撐進行科學(xué)的風(fēng)險評估理論、方法、技術(shù)和工具研究的需要。 目前我國的信息系統(tǒng)安全風(fēng)險評估還處在僅僅對信息系統(tǒng)的技術(shù)進行安全評估，來掌握和了解具體行業(yè)、部門的資產(chǎn)、威脅和風(fēng)險的階段。信息安全風(fēng)險評估系統(tǒng)的研究前言國內(nèi)研究概況 我國目前缺乏信息系統(tǒng)安全風(fēng)險評估的規(guī)范化標準 風(fēng)險評估過程中，信息系統(tǒng)安全風(fēng)險評估的角色和責(zé)任混亂 目前各信息安全風(fēng)險評估服務(wù)廠商大都是根據(jù)自身特點來設(shè)計開發(fā)風(fēng)險評估工具或者管理工具 對風(fēng)險評估本身存在的風(fēng)險不夠重視 我國

4、對信息系統(tǒng)的風(fēng)險評估研究雖然取得了一定的成績，但與國際研究情況相比，還處在起步階段，存在許多理論和實踐上的問題和困難。信息安全風(fēng)險評估系統(tǒng)的研究信息安全風(fēng)險評估 用一個例子來解釋一下信息安全風(fēng)險評估中的概念：我口袋里有100塊錢，因為不小心，被小偷偷走了，結(jié)果是我晚上沒飯吃。 用風(fēng)險評估的觀點來描述這個案例，我們可以對這些概念作如下理解: 資產(chǎn)=100塊錢；脆弱性=不小心；威脅=小偷 風(fēng)險=錢被偷走；影響=晚上沒飯吃 信息安全風(fēng)險評估就是指依據(jù)有關(guān)信息安全測評標準，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的機密性、完整性和可用性等安全屬性進行科學(xué)識別和評價的過程，它要評估信息系統(tǒng)的脆弱性、信息系

5、統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的實際負面影響，并根據(jù)安全事件發(fā)生的可能性和負面影響的程度來識別信息系統(tǒng)的安全風(fēng)險。 信息安全風(fēng)險評估系統(tǒng)的研究信息安全風(fēng)險評估標準uCC標準 信息技術(shù)安全評估公共標準CCITSE (Common Criteria of Information Technical security Evaluation)，簡稱CC(ISO/IEC15408-1)，是美國、加拿大及歐洲四國(共6國7個組織)經(jīng)協(xié)商同意，于1993年6月起草的，是國際標準化組織統(tǒng)一現(xiàn)有多種準則的結(jié)果，是目前最全面的評估準則。 由三部分內(nèi)容組成:l)介紹以及一般模型;2)安全功能需求(技術(shù)上

6、的要求);3)安全認證需求(非技術(shù)要求和對開發(fā)過程、工程過程的要求)。信息安全風(fēng)險評估系統(tǒng)的研究信息安全風(fēng)險評估標準uBS7799(ISO/IEC17799) BS7799標準是由英國標準協(xié)會(BSI)制定的信息安全管理標準，是國際上具有代表性的信息安全管理體系標準，標準包括兩部分 :B 57799-l:1999信息安全管理實施細則，BS7799-2:2002信息安全管理體系規(guī)范uISO/IEC 21827:2002(SSE-CMM) 信息安全工程能力成熟度模型、 System Security Engineering Capability Maturity Model，是關(guān)于信息安全建設(shè)工程

7、實施方面的標準信息安全風(fēng)險評估系統(tǒng)的研究信息安全風(fēng)險評估標準u國家標準(計算機信息系統(tǒng)安全保護等級劃分準則 我國國家標準計算機信息系統(tǒng)安全保護等級劃分準則 GB 17859于1999年9月正式批準發(fā)布，該準則將計算機信息系統(tǒng)安全分為五級:用戶自主保護級、系統(tǒng)審核保護級、安全標記保護級、結(jié)構(gòu)化保護級和訪問驗證保護級信息安全風(fēng)險評估系統(tǒng)的研究風(fēng)險評估的常用方法 風(fēng)險評估的方法有很多種，概括起來可分為三大類:定量的風(fēng)險評估方法、定性的風(fēng)險評估方法、定性與定量相結(jié)合的評估方法。 層次分析法 模糊綜合評判法 BP神經(jīng)網(wǎng)絡(luò) 灰色系統(tǒng)預(yù)測模型定量評估方法 安全檢查表法 專家評價法 事故樹分析法（FTA） 事

8、件樹分析法（ETA） 潛在問題分析法(PPA) 因果分析法(CCA) 作業(yè)安全分析法（WSA）定性評估方法信息安全風(fēng)險評估系統(tǒng)的研究風(fēng)險評估過程及存在的問題風(fēng)險評估的基本步驟：(l)按照組織商務(wù)運作流程進行信息資產(chǎn)識別，并根據(jù)估價原則對信息資產(chǎn)進行估價;(2)信息資產(chǎn)所處的環(huán)境進行威脅識別與評價;(3)對應(yīng)每一威脅，對信息資產(chǎn)或組織存在的薄弱點進行識別與評價;(4)對已采取的安全控制進行確認;(5)建立風(fēng)險測量的方法及風(fēng)險等級評價原則，確定風(fēng)險的大小與等級。信息安全風(fēng)險評估系統(tǒng)的研究信息安全風(fēng)險評估系統(tǒng)的研究資產(chǎn)風(fēng)險評估模型資產(chǎn)風(fēng)險計算公式 安全風(fēng)險存在于要保護的資產(chǎn)中，因此本文將針對資產(chǎn)評估

9、風(fēng)險的大小。在評估范圍內(nèi)會存在若干資產(chǎn)，我們設(shè)資產(chǎn)i的風(fēng)險值為RVi。由于單個資產(chǎn)會存在多個威脅-脆弱性對與其對應(yīng)，因此RVi的大小取決于多個威脅-脆弱性對的風(fēng)險值，本文中我們采用最大值法求取RVi的值，即: RVi=MaxRVik（k=0m-1) 其中，RVik表示資產(chǎn)i針對威脅-脆弱性對k的風(fēng)險值，m表示資產(chǎn)i面臨的威脅-脆弱性的數(shù)量。信息安全風(fēng)險評估系統(tǒng)的研究資產(chǎn)風(fēng)險評估模型 風(fēng)險值可通過指定的計算方法由風(fēng)險的影響和發(fā)生的可能性求得，在本文中使用以下公式: Rvik=EikPik其中，Eik表示威脅-脆弱性對k對資產(chǎn)i導(dǎo)致的風(fēng)險的影響; Pik表示風(fēng)險發(fā)生的可能性。Eik用AHP層次分析

10、法求得， Pik用貝葉斯網(wǎng)絡(luò)模型求得。信息安全風(fēng)險評估系統(tǒng)的研究ISMS中風(fēng)險評估系統(tǒng)的分析與設(shè)計 信息安全管理體系(Information Security Management System,簡稱ISMS)是九八年由英國提出的一個信息安全領(lǐng)域的新概念，是管理體系方法在信息安全領(lǐng)域的運用。隨著ISMS標準的制修訂， ISMS迅速被全球接受和認可，成為組織解決信息安全問題的一個有效方法。風(fēng)險評估是ISMS建立、運行階段的必備步驟，評估方法的好壞也直接影響ISMS的運行效率和效果。 本文通過對ISMS標準及實施的研究，結(jié)合ISMS的特點和實踐經(jīng)驗，提出了ISMS運行階段基于控制措施的風(fēng)險評估方法，另外還給出了風(fēng)險評估在體系建立和運行階段的完整實施過程。信息安全風(fēng)險評估系統(tǒng)的研究ISMS中風(fēng)險評估系統(tǒng)的分析與設(shè)計 國際標準化組織ISO已頒布了兩個ISMS標準:信息安全管理實用規(guī)則ISO/IEC17799:2005和信息安全管理體系要求ISO/IEC27001:2005 ISO/IEC27001給出了體系實施的模型:信息安全風(fēng)險評估系統(tǒng)的研究ISMS中風(fēng)險評估系統(tǒng) 根據(jù)IS