信息安全风险评估策略研究.pdf

《信息安全风险评估策略研究.pdf》由会员分享，可在线阅读，更多相关《信息安全风险评估策略研究.pdf（5页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、2 0 1 2 年5 月1 日第3 5 卷第9 期现代电子技术M o d e r nE l e c t r o n i c s。F e c h n i q u eM a y2 0 1 2V 0 1 3 5N O 9信息安全风险评估策略研究王涛，陈金仕(南京电子设备研究所，江苏南京2 1 0 0 0 7)摘要：风险评估是当前企事业单位信息化工作的迫切需要和客观的需求，在此结合当前风险评估发展的现状，通过构造风险评估模型，提出了一种以定量方式为主的结构化的风险评估分析方法。该方法通过分析信息资产价值、威胁值、弱点值，合理地计算出风险值后构造出一种结构化的风险评估体系，提高了信息系统的安全防护能力。

2、关键词：风险评估；信息安全 信息资产价值；威胁值；弱点值中图分类号：T N 9 1 5 0 8 3 4文献标识码：A文章编号：1 0 0 4 3 7 3 X(2 0 1 2)0 9 0 0 7 3 一0 4R e s e a r c ho ns t r a t e g yo fi n f o r m a t i o ns e c u r i t yr i s ka s s e s s m e n tW A N GT a o。C H E NJ i n s h i(N a n j i n gI n s t i t u t eo fE l e c t r o n i cE q u i p m e n

3、 t，N a n j i n g2 1 0 0 0 7，C h i n a)A b s t r a c t：R i s ka s s e s s m e n ti st h ec u r r e n tu r g e n tn e e da n do b j e c t i v er e q u i r e m e n to ft h ei n f o r m a t i o n a lw o r ki nt h ei n f o r m a t i o nt e c h n o l o g ye n t e r p r i s e s W i t ht h ec u r r e n ts t

4、 a t u so ft h ed e v e l o p m e n to fr i s ka s s e s s m e n t，as t r u c t u r e dr i s ka s s e s s m e n ta n a l y s i sm e t h o db a s e do nt h eq u a n t i f yi sp r e s e n t e db yc o n s t r u c t i n gar i s ka s s e s s m e n tm o d e l T h em e t h o dc o n s t r u c t e das t r u

5、c t u r e dr i s ka s s e s s m e n ts y s t e ma n di m p r o v e dt h ea b i l i t yo fi n f o r m a t i o ns y s t e m s s e c u r i t yb ya n a l y z i n gt h ev a l u eo fi n f o r m a t i o na s s e t，t h r e a ta n dv u l n e r a b i l i t ya f t e rc a l c u l a t i n gr i s kv a l u e K e y

6、 w o r d s；r i s ka s s e s s m e n t；i n f o r m a t i o ns e c u r i t y；i n f o r m a t i o nn e tw o r t h；t h r e a tf a c t o r；v u l n e r a b i l i t y0引言风险评估宏观上的目标是服务于国家信息化发展，促进信息安全保障体系的建设，提高信息系统的安全保护能力。具体而言，风险评估是帮助企事业单位准确了解单位内部的网络和系统安全现状。明晰单位内信息系统的需求，制定出符合单位内部网络和信息系统的安全策略和安全解决方案，指导单位未来的安全建

7、设和投入，建立安全管理框架c。认清信息安全环境，信息安全状况，有助于达成共识，明确责任，采取和完善安全保障措施，使其更加经济有效，并使信息安全策略保持一致性和持续性口。国外对风险评估越来越重视，在他们看来没有任何事情比解决错误的问题和错误的系统更加有效率。特别是西方国家。他们在信息安全领域大大加强了风险评估安全系统的评估工作睁引，制定了相关的法规标准等，如英国B S7 7 9 9 1：1 9 9 5 信息安全管理实施细则、B S 7 7 9 9 2：2 0 0 2 信息安全管理体系一规范与使用指南等。2 0 世纪7 0 年代，美国政府提出了风险评估的要求，2 0 0 2 年颁布了联邦信息安全管

8、理法，对信息安全收稿日期：Z 0 1 1-1 1-0 2风险评估提出了更加具体的要求。国际上也相应的制定了些标准 5。7 ，如I S 0 1 3 3 3 5 信息安全风险管理指南、I S 0 1 5 4 0 8 信息技术安全性评估准则等。国内近几年也意识到风险评估的重要性，逐渐的加以重视。并且在风险评估领域也做了些工作 8 曲：一是对全国的中小企事业单位信息系统进行了调研，了解信息安全方面存在的问题；二是编制了风险评估的国家标准；三是起草了风险评估的政策性文件。特别是在2 0 0 3 年提出的2 7 号文件(国家信息化领导小组关于加强信息安全保障工作的意见)里专门提到了开展风险评估的要求，2

9、7 号文件的发布，也标志着我国风险评估工作的真正启动。本文结合当前风险评估理论及风险评估工作发展现状，通过构造风险评估模型，提出了一种机构化的风险评估分析方法，从而为信息安全保障体系的建设上做出合理的决策提供了有力的依据。1 风险评估模型风险存在两个属性：损失程度和可能性。最终风险对信息系统的影响。也就是对风险的评估赋值是对上述两个属性权衡作用的结果。风险评估模型如图1 所示。从该模型中可以看出，风险评估过程是要识别出资产本身面临的威胁以及自身存在的能被威胁利用的弱万方数据7 4现代电子技术2 0 1 2 年第3 5 卷点，最后从可能性和影响程度这两个方面来评价资产信息的风险，综合后得到企业所

10、面临的信息安全风险。图1 风险评估模型2 风险值的计算风险值的计算主要采用了矩阵的方法 1 引，矩阵法主要用于两个要素值确定一个要素值的情形。在风险值计算中，通常需要对两个要素确定另一个要素值进行的计算，通常是威胁性和脆弱性确定安全事件发生的可能性值，由资产值和脆弱性确定安全事件的损失值。在计算风险值之前，需要对资产评估、弱点评估、威胁评估，有了上述评估值之后，再进行安全风险事件发生可能性和安全事件损失的计算，最后根据安全风险事件发生可能性值和安全事件损失值进行风险值的计算。2 1资产评估资产评估主要从资产信息收集、系统分类、资产价值赋值等方面加以考虑，然后根据信息资产价值要素对资产进行赋值，

11、并计算其价值的大小，确定资产等级。资产等级表描述如表1 所示。裹1 资产等级裹2 2 弱点评估人们的认识能力和实践能力有一定的局限性，信息系统存在着脆弱性不可避免，因此需要进行弱点评估，弱点评估主要从环境和基础设施脆弱性、系统脆弱性、管理脆弱性、网络脆弱性、业务脆弱性、人员脆弱性等方面进行考虑。2 3威胁评估信息系统的价值及其存在的脆弱性，使得信息系统在现实环境中会存在各种各样的威胁，因此需要进行威胁评估。威胁评估主要从管理不到位、遭受物理攻击、恶意代码和病毒、内部人员泄密、非法修改信息破坏信息的完整性、内部人员攻击等方面进行评估。2 4 计算安全事件发生的可能性在计算安全事件发生的可能性之前

12、，需要构建安全事件发生可能性矩阵。本文中的安全事件发生可能性矩阵和安全风险事件发生可能性等级的构建参考了信息安全风险评估标准中数据，如表2、表3 所示。根据威胁发生的频率值和弱点值在矩阵中进行对照，确定安全事件发生的可能性值，然后对照安全风险事件发生可能性等级划分表进行等级划分。裹2 安全事件发生的可能性矩阵安全事件发生可能值1 56 1 11 2 1 61 7 2 12 2 2 5发生可能性等级123452 5 计算安全事件损失在计算安全事件损失之前，需要构建安全事件损失矩阵，如表4，表5 所示。裹4 安全事件损失矩阵弱点值1234512461 01 3赍23591 21 6春3471 11

13、 52 0值4581 41 92 2561 01 62 12 5裹5 安全风险事件损失等级表2 6 计算风险值首先构建风险矩阵，然后根据安全事件发生可能性和安全事件损失在矩阵中进行对照，确定安全事件风险。如表6 所示。裹6 风险矩阵可能性等级1损失等级1 21 51 72 02 3万方数据第9 期王涛，等：信息安全风险评估策略研究7 53实例分析有了上述风险值的计算方法，结合企业内部信息安全的实际情况，建立了一套基于自评估的结构化风险评估体系。实例如下：某企业内部有一台文件服务器和数据库服务器，文件服务器上存储和运行着一些绝密文件，数据库服务器上存储着企业重要数据资料。3 1资产赋值如果绝密文

14、件被窃取将会给企业带来比较严重的后果，而数据库被篡改将造成企业运作的瘫痪，造成非常严重的后果，因此结合资产等级表将文件服务器和数据库服务器上的数据资产价值分别赋值为4 和5。3 2 脆弱性识别数据库服务器存在着人员脆弱性、管理的脆弱性和业务上的脆弱性，脆弱性被赋值为3。文件服务器存在着人员脆弱性、管理脆弱性、业务脆弱性和系统脆弱性，脆弱性被赋值为4。3 3 威胁分析数据库服务器和文件服务器均存在着管理不到位、内部人员泄密、非法修改信息破坏信息的完整性、内部人员攻击等威胁，因此威胁值均被赋予4。3 4 结构化评估体系数据库服务器上保存的信息资产其资产价值、威胁值、弱点值被赋予相应的值后，结合安全

15、事件发生的可能性矩阵和安全事件损失矩阵计算出发生可能性等级为2、安全事件损失等级为4，再结合风险矩阵计算出风险值为1 1，这里威胁发生的频率按照实际工作的统计概率均取值为2。同样服务器上的绝密文件安全事件发生可能性等级为3、安全事件损失等级为4，结合风险矩阵计算出风险值为1 6。首次做出的风险评估体系如表7 所示。襄7 首次风险评估体系衰做完第一次风险评估之后，风险值都很高，于是需要加强控制策略，如制定完善的备份和恢复措施，规范的审计流程，建立帐号管理规程，以在员工离职时系统管理员能够及时收回帐号，对操作人员加强了信息安全意识、教育和培训等工作。第二次风险评估体系如表8 所示。表8 二次风险评

16、估体系衰万方数据7 6现代电子技术2 0 1 2 年第3 5 卷从二次评估体系可看出，风险值都有所下降，降到了可以接受的范围内。通过这个实例可以看出，建立了这么一个结构化风险评估体系后，在评价风险评估大小时，风险控制的分解更加科学化，这样就减少了主观判断在风险评估中的负面影响。4 结论风险评估是信息系统安全的基础性工作，信息安全中的风险评估是风险理论和方法在信息系统中的运用，是科学地分析和理解信息系统在保密性、完整性、可用性等方面的工作 1 卜1 2 。本文提出的结构化风险评估体系能够正确、全面地掌握信息系统存在的安全风险，从而为后续决定如何处理安全风险，信息安全的投资，信息安全措施的选择，信

17、息安全的保障体系的建设上做出合理的决策提供有力的依据。风险评估倡导的是一种适度的安全，从理论上讲，风险评估总是客观存在的，不存在绝对的安全。风险评估的最终目的就是要力争做到将企业内的信息系统安全风险降低到可接受的范围内。参考文献 1 范红，冯登国信息安全风险评估方法与应用 M 北京：清华大学出版社，2 0 0 6 2 1 宋如顺基于S S E C M M 的信息系统安全风险评估 J 计算机应用研究，2 0 0 0，1 7(1 1)：1 2 1 4 3 P E L T I E RTR I n f o r m a t i o ns e c u r i t yr i s ka n a l y s i

18、 s M s 1 ：A u e r b a c h。2 0 0 1 4 A L B E R T SCJ，B E H R E N SSG，P E T H I ARD，e ta 1 O p e r a t i o n a l l yc r i t i c a lt h r e a t，a s s e t。a n dv u l n e r a b i l i t ye v a l u-a t i o n(o c t a v e)f r a m e w o r k，v e r s i o n1 0T e c h n i c a lr e p o r t R P i t t s b u r g h，P

19、A：S o f t w a r eE n g i n e e r i n gI n s t i t u t e，C a r n e g i eM e l l o nU n i v e r s i t y，1 9 9 9 5 3I S O I E C1 3 3 3 5；I n f o r m a t i o nT e c h n o l o g y-G u i d e l i n e sf o rt h em a n a g e m e n to fI TS e c u r i t y s I S 1 ；s n ，1 9 9 6 6 I n t e r n a t i o n a lO r g

20、a n i z a t i o nf o rS t a n-d a r d i z a t i o n I s 0 I E C l7 7 9 9c o d eo fp r a c t i s ef o ri n f o r m a t i o ns e c u r i t yr l 阻n-a g e m e n tE s s I ：I S O，2 0 0 0 7 I n f o r m a t i o n a lO r g a n i z a t i o nf o rS t a n d a r d i z a t i o n s I S O I E C l 5 4 0 8c o m m o n

21、c r i t e r i af o ri n f o r m a t i o nt e c h n o l o g ys e c u r i t ye v a l u a t i o n S s 1 ：I S O，1 9 9 9 8 吴亚非，李新友，禄凯信息安全风险评估 M 北京；清华大学出版社，2 0 0 7 9 范红，冯登国信息安全风险评估实施教程 M 北京：清华大学出版社，2 0 0 7 1 0 朱启超，匡兴华，沈永平风险矩阵方法与应用述评 J 中国工程科学，2 0 0 3(1)：8 9 9 4 1 1 郭仲伟风险分析与决策 M 北京：机械工业出版社，1 9 9 2 1 2 冯登国，张

22、阳，张玉清信息安全风险评估综述 J 通信学报，2 0 0 4，2 5(7)：1 0-1 8 作者简介：王涛男，1 9 8 2 年出生，黑龙江人。硕士，工程师。主要研究方向为网构软件、可信软件、网络安全等。陈金仕男，1 9 6 5 年出生，江苏人，硕士，高级工程师。主要研究方向为网络安全、网络通信、仪器测量等。(上接第6 9 页)参考文献 1 P R O A K I SJG 数字通信E M 张力军，译5 版北京；电子工业出版社，2 0 1 1 2 梁侠，任海根，徐先超等8 0 0M b s 高速解调器的定时恢复算法及实现研究 J 现代电子技术，2 0 0 7，3 0(2 3)：1-3 3 许婷婷

23、高速数据传输解调关键技术研究 D 西安：西北工业大学，2 0 0 7 4 张锦钰，闫毅。姚秀娟，等超高速数字解调中Q P S K 信号的符号同步研究 J 电子测量技术，2 0 0 9，3 2(6)：1 2 1 6 5 G A R D N E RFM 锁相环技术 M 3 版，北京：人民邮电出版社，2 0 0 7 6 陈娟，方寿海。陈鑫一种新型的时间域全数字锁相环z 域模型 J 微电子学与计算机，2 0 0 9，2 6(1)：7 2 7 5 7 张月强基于F P G A 的全数字锁相环的研究与设计 D 秦皇岛：燕山大学，2 0 1 1 8 张阿宁，赵萍基于F P G A 的正交数控振荡器(N C

24、0)的设计与实现 J 电子设计工程2 0 1 1，1 9(1 7)：1 4 9 1 5 2 9 白居宪直接数字频率合成 M 西安：西安交通大学出版社，2 0 0 7 1 0 A n a l o gD e v i c e sI n c 1G S P Sd i r e c td i g i t a ls y n t h e s i z e rw i t h1 4 一B i tD A C R U S A：A n a l o gD e v i c e sI n e，2 0 1 0 1 1 G A R D N E RFM AB P S K Q P S Kt i m i n g-e r r o rd e

25、t e c t o rf o rs a m p l er e c e i v e r s J I E E ET r a n s a c t i o n so nC o m m u n i c a t i o n，1 9 8 6，3 4(5)：4 2 3 4 2 9 作者简介：项春萍女，1 9 7 2 年出生，河南息县人，讲师。主要研究方向为机械电子。万方数据信息安全风险评估策略研究信息安全风险评估策略研究作者：王涛，陈金仕，WANG Tao，CHEN Jin-shi作者单位：南京电子设备研究所,江苏南京,210007刊名：现代电子技术英文刊名：Modern Electronics Technique年，卷(期)：2012,35(9)本文链接：http:/