基于業(yè)務(wù)流程的層次化信息安全風(fēng)險評估方法研究.pdf

1、信息安全風(fēng)險評估是對特定信息系統(tǒng)目前的安全狀況，以及該系統(tǒng)所擁有的信息資產(chǎn)的價值給予定性或定量的評估。它是信息系統(tǒng)安全風(fēng)險管理的前提和基礎(chǔ)。風(fēng)險評估方法的合理性、準(zhǔn)確性直接影響著需求分析結(jié)果和安全策略的準(zhǔn)確性。沒有信息安全風(fēng)險評估過程，或者沒有恰當(dāng)?shù)娘L(fēng)險評估方法，就不可能實(shí)現(xiàn)系統(tǒng)安全風(fēng)險控制的最優(yōu)化。因此，隨著信息化進(jìn)程的發(fā)展,信息安全風(fēng)險評估作為技術(shù)應(yīng)用基礎(chǔ)研究課題，在信息安全領(lǐng)域的前列有著越來越重要的意義。 系統(tǒng)的風(fēng)險評估工

2、作包括了管理和技術(shù)兩大方面，然而怎樣將兩方面有效地結(jié)合起來是目前風(fēng)險評估中的一大難題。現(xiàn)在通用的風(fēng)險評估方法和工具總是存在管理和技術(shù)結(jié)合不緊密的缺陷，從總體上可以將他們劃分為兩大類：偏向技術(shù)類和偏向管理類。偏向技術(shù)類的方法和工具不能全面有效的識別各種隱藏在系統(tǒng)管理組織、人員安全等方面的安全風(fēng)險，同時，其風(fēng)險評估的結(jié)果也缺乏可比性；偏向管理類的方法和工具缺乏技術(shù)指導(dǎo)和支持，其評估結(jié)果也缺乏準(zhǔn)確性和有效性。因此，目前風(fēng)險評估領(lǐng)域內(nèi)的研究熱點(diǎn)

3、是建立一種管理與技術(shù)相結(jié)合的具體的風(fēng)險評估方法，該方法需要具有通用性和普遍性。 為解決上述問題，本文建立了一個獨(dú)立完整的風(fēng)險評估方法——基于業(yè)務(wù)流程的層次化信息安全風(fēng)險評估方法。該方法通過對被評估系統(tǒng)進(jìn)行層次化分解，建立層次化系統(tǒng)特征描述模型，將系統(tǒng)中涉及的各種因素（組織管理、應(yīng)用系統(tǒng)、基礎(chǔ)設(shè)施等）進(jìn)行抽象化地描述，并根據(jù)系統(tǒng)具體的業(yè)務(wù)流程進(jìn)行層次化地風(fēng)險分析，結(jié)合信息資產(chǎn)價值量的評價實(shí)現(xiàn)對系統(tǒng)可能存在的種種風(fēng)險的整體預(yù)測和評估