信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究課件

1、信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究 導(dǎo)師：周大水教授信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究摘要 本文首先對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的國(guó)內(nèi)外研究現(xiàn)狀進(jìn)行了深入分析，其中對(duì)風(fēng)險(xiǎn)評(píng)估相關(guān)國(guó)際國(guó)內(nèi)標(biāo)準(zhǔn)進(jìn)行了分類收集和研究，并對(duì)風(fēng)險(xiǎn)評(píng)估的方法進(jìn)行了介紹。然后，對(duì)資產(chǎn)、威脅、脆弱點(diǎn)等風(fēng)險(xiǎn)要素和控制措施的分類和賦值進(jìn)行了研究，并且在此基礎(chǔ)上總結(jié)了目前風(fēng)險(xiǎn)評(píng)估存在的問題和進(jìn)一步的需求。最后，介紹了信息安全管理體系(ISMS)標(biāo)準(zhǔn)及其實(shí)施過程，對(duì)控制措施的重要性進(jìn)行了分析，提出了在ISMS中實(shí)施風(fēng)險(xiǎn)評(píng)估的方法，討論了ISMS風(fēng)險(xiǎn)評(píng)估系統(tǒng)，并給出了完整的評(píng)估過程。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究論文主要內(nèi)容 前言 信息安全風(fēng)險(xiǎn)評(píng)估 信息安全風(fēng)

2、險(xiǎn)評(píng)估標(biāo)準(zhǔn) 風(fēng)險(xiǎn)評(píng)估的常用方法 風(fēng)險(xiǎn)評(píng)估過程及存在的問題 ISMS中風(fēng)險(xiǎn)評(píng)估系統(tǒng)的分析與設(shè)計(jì)信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究前言國(guó)外研究概況 第一階段(20世紀(jì)60年代至80年代):信息安全風(fēng)險(xiǎn)管理實(shí)踐與理論發(fā)展的初期階段。 第二階段(20世紀(jì)80年代末至90年代中期):是信息安全風(fēng)險(xiǎn)管理實(shí)踐和理論走向初步成熟的階段 第三階段(20世紀(jì)90年代中一現(xiàn)在):風(fēng)險(xiǎn)評(píng)估實(shí)踐與理論進(jìn)入全球化階段。 國(guó)際上信息安全風(fēng)險(xiǎn)評(píng)估經(jīng)歷了一個(gè)從只重技術(shù)到技術(shù)、管理并重的全面評(píng)估，從單機(jī)到網(wǎng)絡(luò)再到信息系統(tǒng)基礎(chǔ)設(shè)施，從單一安全屬性到多種安全屬性的發(fā)展過程。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究前言國(guó)內(nèi)研究概況 風(fēng)險(xiǎn)評(píng)估在我國(guó)的企業(yè)、組

3、織和部門的普及程度較低，許多領(lǐng)導(dǎo)對(duì)風(fēng)險(xiǎn)評(píng)估的流程不了解，安全風(fēng)險(xiǎn)防范意識(shí)薄弱。 我國(guó)的科學(xué)研究計(jì)劃中，有關(guān)信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的重點(diǎn)科研項(xiàng)目還較少，不足以支撐進(jìn)行科學(xué)的風(fēng)險(xiǎn)評(píng)估理論、方法、技術(shù)和工具研究的需要。 目前我國(guó)的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估還處在僅僅對(duì)信息系統(tǒng)的技術(shù)進(jìn)行安全評(píng)估，來掌握和了解具體行業(yè)、部門的資產(chǎn)、威脅和風(fēng)險(xiǎn)的階段。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究前言國(guó)內(nèi)研究概況 我國(guó)目前缺乏信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的規(guī)范化標(biāo)準(zhǔn) 風(fēng)險(xiǎn)評(píng)估過程中，信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的角色和責(zé)任混亂 目前各信息安全風(fēng)險(xiǎn)評(píng)估服務(wù)廠商大都是根據(jù)自身特點(diǎn)來設(shè)計(jì)開發(fā)風(fēng)險(xiǎn)評(píng)估工具或者管理工具 對(duì)風(fēng)險(xiǎn)評(píng)估本身存在的風(fēng)險(xiǎn)不夠重視 我國(guó)

4、對(duì)信息系統(tǒng)的風(fēng)險(xiǎn)評(píng)估研究雖然取得了一定的成績(jī)，但與國(guó)際研究情況相比，還處在起步階段，存在許多理論和實(shí)踐上的問題和困難。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評(píng)估 用一個(gè)例子來解釋一下信息安全風(fēng)險(xiǎn)評(píng)估中的概念：我口袋里有100塊錢，因?yàn)椴恍⌒?，被小偷偷走了，結(jié)果是我晚上沒飯吃。 用風(fēng)險(xiǎn)評(píng)估的觀點(diǎn)來描述這個(gè)案例，我們可以對(duì)這些概念作如下理解: 資產(chǎn)=100塊錢；脆弱性=不小心；威脅=小偷 風(fēng)險(xiǎn)=錢被偷走；影響=晚上沒飯吃 信息安全風(fēng)險(xiǎn)評(píng)估就是指依據(jù)有關(guān)信息安全測(cè)評(píng)標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)及由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行科學(xué)識(shí)別和評(píng)價(jià)的過程，它要評(píng)估信息系統(tǒng)的脆弱性、信息系

5、統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的實(shí)際負(fù)面影響，并根據(jù)安全事件發(fā)生的可能性和負(fù)面影響的程度來識(shí)別信息系統(tǒng)的安全風(fēng)險(xiǎn)。 信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)uCC標(biāo)準(zhǔn) 信息技術(shù)安全評(píng)估公共標(biāo)準(zhǔn)CCITSE (Common Criteria of Information Technical security Evaluation)，簡(jiǎn)稱CC(ISO/IEC15408-1)，是美國(guó)、加拿大及歐洲四國(guó)(共6國(guó)7個(gè)組織)經(jīng)協(xié)商同意，于1993年6月起草的，是國(guó)際標(biāo)準(zhǔn)化組織統(tǒng)一現(xiàn)有多種準(zhǔn)則的結(jié)果，是目前最全面的評(píng)估準(zhǔn)則。 由三部分內(nèi)容組成:l)介紹以及一般模型;2)安全功能需求(技術(shù)上

6、的要求);3)安全認(rèn)證需求(非技術(shù)要求和對(duì)開發(fā)過程、工程過程的要求)。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)uBS7799(ISO/IEC17799) BS7799標(biāo)準(zhǔn)是由英國(guó)標(biāo)準(zhǔn)協(xié)會(huì)(BSI)制定的信息安全管理標(biāo)準(zhǔn)，是國(guó)際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)，標(biāo)準(zhǔn)包括兩部分 :B 57799-l:1999信息安全管理實(shí)施細(xì)則，BS7799-2:2002信息安全管理體系規(guī)范uISO/IEC 21827:2002(SSE-CMM) 信息安全工程能力成熟度模型、 System Security Engineering Capability Maturity Model，是關(guān)于信息安全建設(shè)工程

7、實(shí)施方面的標(biāo)準(zhǔn)信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)u國(guó)家標(biāo)準(zhǔn)(計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則 我國(guó)國(guó)家標(biāo)準(zhǔn)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則 GB 17859于1999年9月正式批準(zhǔn)發(fā)布，該準(zhǔn)則將計(jì)算機(jī)信息系統(tǒng)安全分為五級(jí):用戶自主保護(hù)級(jí)、系統(tǒng)審核保護(hù)級(jí)、安全標(biāo)記保護(hù)級(jí)、結(jié)構(gòu)化保護(hù)級(jí)和訪問驗(yàn)證保護(hù)級(jí)信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究風(fēng)險(xiǎn)評(píng)估的常用方法 風(fēng)險(xiǎn)評(píng)估的方法有很多種，概括起來可分為三大類:定量的風(fēng)險(xiǎn)評(píng)估方法、定性的風(fēng)險(xiǎn)評(píng)估方法、定性與定量相結(jié)合的評(píng)估方法。 層次分析法 模糊綜合評(píng)判法 BP神經(jīng)網(wǎng)絡(luò) 灰色系統(tǒng)預(yù)測(cè)模型定量評(píng)估方法 安全檢查表法 專家評(píng)價(jià)法 事故樹分析法（FTA） 事

8、件樹分析法（ETA） 潛在問題分析法(PPA) 因果分析法(CCA) 作業(yè)安全分析法（WSA）定性評(píng)估方法信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究風(fēng)險(xiǎn)評(píng)估過程及存在的問題風(fēng)險(xiǎn)評(píng)估的基本步驟：(l)按照組織商務(wù)運(yùn)作流程進(jìn)行信息資產(chǎn)識(shí)別，并根據(jù)估價(jià)原則對(duì)信息資產(chǎn)進(jìn)行估價(jià);(2)信息資產(chǎn)所處的環(huán)境進(jìn)行威脅識(shí)別與評(píng)價(jià);(3)對(duì)應(yīng)每一威脅，對(duì)信息資產(chǎn)或組織存在的薄弱點(diǎn)進(jìn)行識(shí)別與評(píng)價(jià);(4)對(duì)已采取的安全控制進(jìn)行確認(rèn);(5)建立風(fēng)險(xiǎn)測(cè)量的方法及風(fēng)險(xiǎn)等級(jí)評(píng)價(jià)原則，確定風(fēng)險(xiǎn)的大小與等級(jí)。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究資產(chǎn)風(fēng)險(xiǎn)評(píng)估模型資產(chǎn)風(fēng)險(xiǎn)計(jì)算公式 安全風(fēng)險(xiǎn)存在于要保護(hù)的資產(chǎn)中，因此本文將針對(duì)資產(chǎn)評(píng)估

9、風(fēng)險(xiǎn)的大小。在評(píng)估范圍內(nèi)會(huì)存在若干資產(chǎn)，我們?cè)O(shè)資產(chǎn)i的風(fēng)險(xiǎn)值為RVi。由于單個(gè)資產(chǎn)會(huì)存在多個(gè)威脅-脆弱性對(duì)與其對(duì)應(yīng)，因此RVi的大小取決于多個(gè)威脅-脆弱性對(duì)的風(fēng)險(xiǎn)值，本文中我們采用最大值法求取RVi的值，即: RVi=MaxRVik（k=0m-1) 其中，RVik表示資產(chǎn)i針對(duì)威脅-脆弱性對(duì)k的風(fēng)險(xiǎn)值，m表示資產(chǎn)i面臨的威脅-脆弱性的數(shù)量。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究資產(chǎn)風(fēng)險(xiǎn)評(píng)估模型 風(fēng)險(xiǎn)值可通過指定的計(jì)算方法由風(fēng)險(xiǎn)的影響和發(fā)生的可能性求得，在本文中使用以下公式: Rvik=EikPik其中，Eik表示威脅-脆弱性對(duì)k對(duì)資產(chǎn)i導(dǎo)致的風(fēng)險(xiǎn)的影響; Pik表示風(fēng)險(xiǎn)發(fā)生的可能性。Eik用AHP層次分析

10、法求得， Pik用貝葉斯網(wǎng)絡(luò)模型求得。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究ISMS中風(fēng)險(xiǎn)評(píng)估系統(tǒng)的分析與設(shè)計(jì) 信息安全管理體系(Information Security Management System,簡(jiǎn)稱ISMS)是九八年由英國(guó)提出的一個(gè)信息安全領(lǐng)域的新概念，是管理體系方法在信息安全領(lǐng)域的運(yùn)用。隨著ISMS標(biāo)準(zhǔn)的制修訂， ISMS迅速被全球接受和認(rèn)可，成為組織解決信息安全問題的一個(gè)有效方法。風(fēng)險(xiǎn)評(píng)估是ISMS建立、運(yùn)行階段的必備步驟，評(píng)估方法的好壞也直接影響ISMS的運(yùn)行效率和效果。 本文通過對(duì)ISMS標(biāo)準(zhǔn)及實(shí)施的研究，結(jié)合ISMS的特點(diǎn)和實(shí)踐經(jīng)驗(yàn)，提出了ISMS運(yùn)行階段基于控制措施的風(fēng)險(xiǎn)評(píng)估方法，另外還給出了風(fēng)險(xiǎn)評(píng)估在體系建立和運(yùn)行階段的完整實(shí)施過程。信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究ISMS中風(fēng)險(xiǎn)評(píng)估系統(tǒng)的分析與設(shè)計(jì) 國(guó)際標(biāo)準(zhǔn)化組織ISO已頒布了兩個(gè)ISMS標(biāo)準(zhǔn):信息安全管理實(shí)用規(guī)則ISO/IEC17799:2005和信息安全管理體系要求ISO/IEC27001:2005 ISO/IEC27001給出了體系實(shí)施的模型:信息安全風(fēng)險(xiǎn)評(píng)估系統(tǒng)的研究ISMS中風(fēng)險(xiǎn)評(píng)估系統(tǒng) 根據(jù)IS