信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究課件

1、信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究 導(dǎo)師：周大水教授信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究摘要 本文首先對信息系統(tǒng)安全風(fēng)險(xiǎn)評估的國內(nèi)外研究現(xiàn)狀進(jìn)行了深入分析，其中對風(fēng)險(xiǎn)評估相關(guān)國際國內(nèi)標(biāo)準(zhǔn)進(jìn)行了分類收集和研究，并對風(fēng)險(xiǎn)評估的方法進(jìn)行了介紹。然后，對資產(chǎn)、威脅、脆弱點(diǎn)等風(fēng)險(xiǎn)要素和控制措施的分類和賦值進(jìn)行了研究，并且在此基礎(chǔ)上總結(jié)了目前風(fēng)險(xiǎn)評估存在的問題和進(jìn)一步的需求。最后，介紹了信息安全管理體系(ISMS)標(biāo)準(zhǔn)及其實(shí)施過程，對控制措施的重要性進(jìn)行了分析，提出了在ISMS中實(shí)施風(fēng)險(xiǎn)評估的方法，討論了ISMS風(fēng)險(xiǎn)評估系統(tǒng)，并給出了完整的評估過程。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究論文主要內(nèi)容 前言 信息安全風(fēng)險(xiǎn)評估 信息安全風(fēng)

2、險(xiǎn)評估標(biāo)準(zhǔn) 風(fēng)險(xiǎn)評估的常用方法 風(fēng)險(xiǎn)評估過程及存在的問題 ISMS中風(fēng)險(xiǎn)評估系統(tǒng)的分析與設(shè)計(jì)信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究前言國外研究概況 第一階段(20世紀(jì)60年代至80年代):信息安全風(fēng)險(xiǎn)管理實(shí)踐與理論發(fā)展的初期階段。 第二階段(20世紀(jì)80年代末至90年代中期):是信息安全風(fēng)險(xiǎn)管理實(shí)踐和理論走向初步成熟的階段 第三階段(20世紀(jì)90年代中一現(xiàn)在):風(fēng)險(xiǎn)評估實(shí)踐與理論進(jìn)入全球化階段。 國際上信息安全風(fēng)險(xiǎn)評估經(jīng)歷了一個從只重技術(shù)到技術(shù)、管理并重的全面評估，從單機(jī)到網(wǎng)絡(luò)再到信息系統(tǒng)基礎(chǔ)設(shè)施，從單一安全屬性到多種安全屬性的發(fā)展過程。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究前言國內(nèi)研究概況 風(fēng)險(xiǎn)評估在我國的企業(yè)、組

3、織和部門的普及程度較低，許多領(lǐng)導(dǎo)對風(fēng)險(xiǎn)評估的流程不了解，安全風(fēng)險(xiǎn)防范意識薄弱。 我國的科學(xué)研究計(jì)劃中，有關(guān)信息系統(tǒng)安全風(fēng)險(xiǎn)評估的重點(diǎn)科研項(xiàng)目還較少，不足以支撐進(jìn)行科學(xué)的風(fēng)險(xiǎn)評估理論、方法、技術(shù)和工具研究的需要。 目前我國的信息系統(tǒng)安全風(fēng)險(xiǎn)評估還處在僅僅對信息系統(tǒng)的技術(shù)進(jìn)行安全評估，來掌握和了解具體行業(yè)、部門的資產(chǎn)、威脅和風(fēng)險(xiǎn)的階段。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究前言國內(nèi)研究概況 我國目前缺乏信息系統(tǒng)安全風(fēng)險(xiǎn)評估的規(guī)范化標(biāo)準(zhǔn) 風(fēng)險(xiǎn)評估過程中，信息系統(tǒng)安全風(fēng)險(xiǎn)評估的角色和責(zé)任混亂 目前各信息安全風(fēng)險(xiǎn)評估服務(wù)廠商大都是根據(jù)自身特點(diǎn)來設(shè)計(jì)開發(fā)風(fēng)險(xiǎn)評估工具或者管理工具 對風(fēng)險(xiǎn)評估本身存在的風(fēng)險(xiǎn)不夠重視 我國

4、對信息系統(tǒng)的風(fēng)險(xiǎn)評估研究雖然取得了一定的成績，但與國際研究情況相比，還處在起步階段，存在許多理論和實(shí)踐上的問題和困難。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評估 用一個例子來解釋一下信息安全風(fēng)險(xiǎn)評估中的概念：我口袋里有100塊錢，因?yàn)椴恍⌒?，被小偷偷走了，結(jié)果是我晚上沒飯吃。 用風(fēng)險(xiǎn)評估的觀點(diǎn)來描述這個案例，我們可以對這些概念作如下理解: 資產(chǎn)=100塊錢；脆弱性=不小心；威脅=小偷 風(fēng)險(xiǎn)=錢被偷走；影響=晚上沒飯吃 信息安全風(fēng)險(xiǎn)評估就是指依據(jù)有關(guān)信息安全測評標(biāo)準(zhǔn)，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行科學(xué)識別和評價的過程，它要評估信息系統(tǒng)的脆弱性、信息系

5、統(tǒng)面臨的威脅以及脆弱性被威脅源利用后所產(chǎn)生的實(shí)際負(fù)面影響，并根據(jù)安全事件發(fā)生的可能性和負(fù)面影響的程度來識別信息系統(tǒng)的安全風(fēng)險(xiǎn)。 信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)uCC標(biāo)準(zhǔn) 信息技術(shù)安全評估公共標(biāo)準(zhǔn)CCITSE (Common Criteria of Information Technical security Evaluation)，簡稱CC(ISO/IEC15408-1)，是美國、加拿大及歐洲四國(共6國7個組織)經(jīng)協(xié)商同意，于1993年6月起草的，是國際標(biāo)準(zhǔn)化組織統(tǒng)一現(xiàn)有多種準(zhǔn)則的結(jié)果，是目前最全面的評估準(zhǔn)則。 由三部分內(nèi)容組成:l)介紹以及一般模型;2)安全功能需求(技術(shù)上

6、的要求);3)安全認(rèn)證需求(非技術(shù)要求和對開發(fā)過程、工程過程的要求)。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)uBS7799(ISO/IEC17799) BS7799標(biāo)準(zhǔn)是由英國標(biāo)準(zhǔn)協(xié)會(BSI)制定的信息安全管理標(biāo)準(zhǔn)，是國際上具有代表性的信息安全管理體系標(biāo)準(zhǔn)，標(biāo)準(zhǔn)包括兩部分 :B 57799-l:1999信息安全管理實(shí)施細(xì)則，BS7799-2:2002信息安全管理體系規(guī)范uISO/IEC 21827:2002(SSE-CMM) 信息安全工程能力成熟度模型、 System Security Engineering Capability Maturity Model，是關(guān)于信息安全建設(shè)工程

7、實(shí)施方面的標(biāo)準(zhǔn)信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評估標(biāo)準(zhǔn)u國家標(biāo)準(zhǔn)(計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則 我國國家標(biāo)準(zhǔn)計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級劃分準(zhǔn)則 GB 17859于1999年9月正式批準(zhǔn)發(fā)布，該準(zhǔn)則將計(jì)算機(jī)信息系統(tǒng)安全分為五級:用戶自主保護(hù)級、系統(tǒng)審核保護(hù)級、安全標(biāo)記保護(hù)級、結(jié)構(gòu)化保護(hù)級和訪問驗(yàn)證保護(hù)級信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究風(fēng)險(xiǎn)評估的常用方法 風(fēng)險(xiǎn)評估的方法有很多種，概括起來可分為三大類:定量的風(fēng)險(xiǎn)評估方法、定性的風(fēng)險(xiǎn)評估方法、定性與定量相結(jié)合的評估方法。 層次分析法 模糊綜合評判法 BP神經(jīng)網(wǎng)絡(luò) 灰色系統(tǒng)預(yù)測模型定量評估方法 安全檢查表法 專家評價法 事故樹分析法（FTA） 事

8、件樹分析法（ETA） 潛在問題分析法(PPA) 因果分析法(CCA) 作業(yè)安全分析法（WSA）定性評估方法信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究風(fēng)險(xiǎn)評估過程及存在的問題風(fēng)險(xiǎn)評估的基本步驟：(l)按照組織商務(wù)運(yùn)作流程進(jìn)行信息資產(chǎn)識別，并根據(jù)估價原則對信息資產(chǎn)進(jìn)行估價;(2)信息資產(chǎn)所處的環(huán)境進(jìn)行威脅識別與評價;(3)對應(yīng)每一威脅，對信息資產(chǎn)或組織存在的薄弱點(diǎn)進(jìn)行識別與評價;(4)對已采取的安全控制進(jìn)行確認(rèn);(5)建立風(fēng)險(xiǎn)測量的方法及風(fēng)險(xiǎn)等級評價原則，確定風(fēng)險(xiǎn)的大小與等級。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究資產(chǎn)風(fēng)險(xiǎn)評估模型資產(chǎn)風(fēng)險(xiǎn)計(jì)算公式 安全風(fēng)險(xiǎn)存在于要保護(hù)的資產(chǎn)中，因此本文將針對資產(chǎn)評估

9、風(fēng)險(xiǎn)的大小。在評估范圍內(nèi)會存在若干資產(chǎn)，我們設(shè)資產(chǎn)i的風(fēng)險(xiǎn)值為RVi。由于單個資產(chǎn)會存在多個威脅-脆弱性對與其對應(yīng)，因此RVi的大小取決于多個威脅-脆弱性對的風(fēng)險(xiǎn)值，本文中我們采用最大值法求取RVi的值，即: RVi=MaxRVik（k=0m-1) 其中，RVik表示資產(chǎn)i針對威脅-脆弱性對k的風(fēng)險(xiǎn)值，m表示資產(chǎn)i面臨的威脅-脆弱性的數(shù)量。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究資產(chǎn)風(fēng)險(xiǎn)評估模型 風(fēng)險(xiǎn)值可通過指定的計(jì)算方法由風(fēng)險(xiǎn)的影響和發(fā)生的可能性求得，在本文中使用以下公式: Rvik=EikPik其中，Eik表示威脅-脆弱性對k對資產(chǎn)i導(dǎo)致的風(fēng)險(xiǎn)的影響; Pik表示風(fēng)險(xiǎn)發(fā)生的可能性。Eik用AHP層次分析

10、法求得， Pik用貝葉斯網(wǎng)絡(luò)模型求得。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究ISMS中風(fēng)險(xiǎn)評估系統(tǒng)的分析與設(shè)計(jì) 信息安全管理體系(Information Security Management System,簡稱ISMS)是九八年由英國提出的一個信息安全領(lǐng)域的新概念，是管理體系方法在信息安全領(lǐng)域的運(yùn)用。隨著ISMS標(biāo)準(zhǔn)的制修訂， ISMS迅速被全球接受和認(rèn)可，成為組織解決信息安全問題的一個有效方法。風(fēng)險(xiǎn)評估是ISMS建立、運(yùn)行階段的必備步驟，評估方法的好壞也直接影響ISMS的運(yùn)行效率和效果。 本文通過對ISMS標(biāo)準(zhǔn)及實(shí)施的研究，結(jié)合ISMS的特點(diǎn)和實(shí)踐經(jīng)驗(yàn)，提出了ISMS運(yùn)行階段基于控制措施的風(fēng)險(xiǎn)評估方法，另外還給出了風(fēng)險(xiǎn)評估在體系建立和運(yùn)行階段的完整實(shí)施過程。信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究ISMS中風(fēng)險(xiǎn)評估系統(tǒng)的分析與設(shè)計(jì) 國際標(biāo)準(zhǔn)化組織ISO已頒布了兩個ISMS標(biāo)準(zhǔn):信息安全管理實(shí)用規(guī)則ISO/IEC17799:2005和信息安全管理體系要求ISO/IEC27001:2005 ISO/IEC27001給出了體系實(shí)施的模型:信息安全風(fēng)險(xiǎn)評估系統(tǒng)的研究ISMS中風(fēng)險(xiǎn)評估系統(tǒng) 根據(jù)IS