基于風(fēng)險(xiǎn)分析的信息系統(tǒng)安全定級(jí)方法.pdf

1、隨著我國(guó)國(guó)民經(jīng)濟(jì)和社會(huì)信息化進(jìn)程全面加快，信息網(wǎng)絡(luò)資源已經(jīng)成為了我們生活中最為活躍的因素。然而，信息網(wǎng)絡(luò)系統(tǒng)固有的缺陷使得信息系統(tǒng)安全面臨嚴(yán)重的威脅，并成為影響整個(gè)社會(huì)信息技術(shù)前進(jìn)的重要方面。鑒于此，我國(guó)提出了對(duì)信息系統(tǒng)進(jìn)行安全等級(jí)保護(hù)的要求，并將等級(jí)保護(hù)作為國(guó)家信息系統(tǒng)安全保障工作的基本制度。等級(jí)保護(hù)工作主要分為信息系統(tǒng)定級(jí)、等級(jí)保護(hù)實(shí)施、等級(jí)測(cè)評(píng)、系統(tǒng)安全運(yùn)維等幾個(gè)環(huán)節(jié)。在整個(gè)實(shí)施流程中，對(duì)信息系統(tǒng)的定級(jí)尤為重要，它是等級(jí)保護(hù)各項(xiàng)工

2、作開展的基礎(chǔ)，是后續(xù)工作順利進(jìn)行的關(guān)鍵。然而，從等級(jí)保護(hù)工作實(shí)際施行情況來看，對(duì)信息系統(tǒng)安全的定級(jí)還不夠細(xì)致，偏于主觀決斷，不能準(zhǔn)確地反映信息系統(tǒng)的實(shí)際情況。因此，為了解決定級(jí)環(huán)節(jié)存在的問題，本文引入了風(fēng)險(xiǎn)分析的方法對(duì)定級(jí)過程做了更細(xì)致深入的工作。
　　論文首先對(duì)國(guó)內(nèi)外信息安全保護(hù)標(biāo)準(zhǔn)的發(fā)展流程做了簡(jiǎn)要介紹，并根據(jù)我國(guó)等級(jí)保護(hù)制度的具體要求，詳細(xì)闡述了信息系統(tǒng)安全定級(jí)的劃分、計(jì)算步驟及其計(jì)算框架。隨后根據(jù)信息系統(tǒng)安全定級(jí)綜合評(píng)價(jià)的

3、要求，結(jié)合基于風(fēng)險(xiǎn)分析的信息系統(tǒng)安全定級(jí)方法，設(shè)計(jì)并實(shí)現(xiàn)了基于風(fēng)險(xiǎn)分析的定級(jí)原型系統(tǒng)。
　　該原型系統(tǒng)通過對(duì)信息系統(tǒng)各子系統(tǒng)的業(yè)務(wù)信息和系統(tǒng)服務(wù)功能進(jìn)行資產(chǎn)識(shí)別、威脅識(shí)別以及脆弱性識(shí)別來計(jì)算資產(chǎn)的風(fēng)險(xiǎn)值，然后通過AHP（AnalyticHierarchyProcess）方法構(gòu)建資產(chǎn)風(fēng)險(xiǎn)對(duì)于客體綜合侵害程度的層次結(jié)構(gòu)模型來獲取資產(chǎn)風(fēng)險(xiǎn)的權(quán)重值，再結(jié)合對(duì)應(yīng)客體和資產(chǎn)風(fēng)險(xiǎn)值得到子系統(tǒng)的業(yè)務(wù)信息以及系統(tǒng)服務(wù)安全等級(jí)，從而可以方便地獲得子系