【正文】 脅樹模型 層次分析模型 模糊數學模型 控制反饋模型 保護輪廓模型 綜合應用 評估工具 管理問訊表 技術檢測 標準分解 模型方法庫 評估軟件原形 評估量表體系 評估流程 支持性數據采集、融合、處理流程 核心 OCTAVE流程 量化評估 系統(tǒng)性信息安全 量化評估體系 9 系統(tǒng)性信息安全量化評估體系 評估架構 方法學 系統(tǒng)論 控制論 數學 計算機科學 基礎理論 計算機發(fā)展 信息安全標準發(fā)展 基于過程 基于技術 基于管理 評估模型 威脅樹模型 層次分析模型 模糊數學模型 控制反饋模型 保護輪廓模型 綜合應用 評估工具 管理問訊表 技術檢測 標準分解 模型方法庫 評估軟件原形 評估量表體系 評估流程 支持性數據采集、融合、處理流程 核心 OCTAVE流程 量化評估 系統(tǒng)性信息安全 量化評估體系 技 術 理 念 理 論 組織 管 理理 方法 論 應用 實 現(xiàn) 思 路 念 10 用綜合集成系統(tǒng)思路進行評估體系的建設 評估定義 對象：信息系統(tǒng) 角度：系統(tǒng)性 內涵：保障體系 方法：綜合集成 計算機 基礎理論 信息安全 管理評估 技術評估 過程評估 工程 管理 技術 工具 系統(tǒng)層面 評估模型 評估工具 評估 流程 支 持 要 素 保障 要 素 11 研究思路 ? 信息技術安全管理方針 （ ISO13335） ? ISO17799（ BS7799:1999 ） 12 基于管理的信息安全度量基準 四大評估方法 基準方法 知識經驗方法 詳細量化方法 聯(lián)合方法 assu ran cePro te ct fra m esafeg u ardsur vivab ilit ysecu rit ytr u stsecre t安全過程安全功能安全因素安全過程安全功能安全因素模型對比 13 ? 技術型檢測工具 ? 主機風險評估軟件 ? 網絡風險評估軟件 ? 數據庫掃描器、系統(tǒng)掃描器、互聯(lián)網掃描器 ? COBRA ? ASSET等 ? 管理型評估工具 ? OCTAVE工具 ? 中國國家信息安全測評中心量表 ? 北京市信息安全測評中心量表 14 國內外安全測評工具的現(xiàn)狀 15 量化工具整體模型 評測分析引擎 標準要素庫 CC 標準組件庫 BS 7799組件庫 GB1 7 8 5 9 其它標準 標準處理模塊 問詢類結果處理模塊 管理類 問詢表 技術類 檢查表 其他 檢查表 技術分析模塊 I S S 漏洞 掃描工具 其他 掃描 分析工具 A H P 算法模塊 特征威脅樹模型 威脅因素庫 評測結果報表 16 評估軟件 :安裝登陸 17 評估軟件 :輸入評估 評估流程研究 ? 標準性原則 ? 規(guī)范性原則 ? 可控性原則 ? 整體性原則 ? 最小影響原則 ? 保密性原則 19 風險評估的原則 被評估方安全現(xiàn)狀 報告現(xiàn)狀調查現(xiàn)狀調查資產 / 安全需求 / 關 注 內 容 調查資產 / 安全需求 /20 風險評估邏輯流程 21 風險評估的過程 現(xiàn)場調查現(xiàn)場調查信息系統(tǒng) / 資產 / IT 管理 / 威脅調查信息系統(tǒng)