【正文】 系統(tǒng)分析、建模、預(yù)測和控制的理論。在信息世界，由于數(shù)據(jù)的短缺或事物本身的特性，很多現(xiàn)象是 “灰色 ”的，其意義是指其中含有已知的、未知的與非確定的種種信息。 信息安全 風(fēng)險評 估方法 信息安全風(fēng)險評估對象是多指標的復(fù)雜系統(tǒng)，對于多指標系統(tǒng)，評價指標有多個，不同指標有不同的量綱，多指標系統(tǒng)的評價過程中必須解決以下兩個問題：其一是采用什么方法將不同量綱指標無量綱化，其二是采用何種方式確定不同指標的相對重要性，通常是引入權(quán)向量來描述。不同綜合評價方法有不同的處理方法，常用的綜合評價方法有綜合指數(shù)法、功效評分法、TOPSIS法、層次分析法、主成份分析法、聚類分析法等(1)綜合指數(shù)法是多指標系統(tǒng)的一種評價方法。綜合指數(shù)法通過計算各評價對象對每個指標折算指數(shù)值來實現(xiàn)不同指標值的無量綱化，并通過加權(quán)平均方法計算綜合指數(shù)值 信息安全 風(fēng)險評 估方法 (2) 功效評分法通過功效系數(shù)來實現(xiàn)不同指標的無量綱化，然后在利用其他方法來確定功效權(quán)值，如均權(quán)法、層次分析法、離差權(quán)法等。 (3)TOPSIS法 信息安全 風(fēng)險評 估方法 信息安全 風(fēng)險評 估方法(4) 層次分析法是將決策問題的有關(guān)元素分解成目標、準則、方案等層次，在此基礎(chǔ)上進行定量和定性分析的一種決策方法。層次分析法的決策過程如下： a)分析各影響因素間的關(guān)系，建立層次模型 b)構(gòu)建兩兩比較判斷矩陣 c)計算單個判斷矩陣對應(yīng)的權(quán)重向量 d)計算各層元素對目標層的合成權(quán)重向量(5) 主成分分析是一種多元統(tǒng)計分析方法，對于多指標的復(fù)雜評價系統(tǒng)，由于指標多，數(shù)據(jù)處理相當(dāng)復(fù)雜，由于指標之間存在一定的關(guān)系，可以適當(dāng)簡化。主成分分析的思想是通過一定的變換，用較少的指標來代替原先較多的指標，從而達到簡化問題的處理與分析的目的。(6) 聚類分析法是解決 “物以類聚 ”，解決事務(wù)分類的一種數(shù)學(xué)方法。它是在沒有或不用樣品所述類別信息的情況下，依據(jù)對樣品采集的數(shù)據(jù)的內(nèi)在結(jié)構(gòu)以及相互間的關(guān)系，在樣品間相似性度量的基礎(chǔ)上，對樣品進行分類的一種方法 信息安全 風(fēng)險評 估方法 定量方法 定量方法試圖用具體的貨幣表示形式的損失值來分析和度量風(fēng)險，定量方法主要有基于期望損失的風(fēng)險評估方法與基于期望損失效用的風(fēng)險評估方法等。1．基于期望損失的風(fēng)險評估方法 類似的定義還有期望年損失 ALE（ Annual Loss Expectancy），它是以組織在目前安全狀態(tài)下平均年損失作為風(fēng)險度量的標準。若風(fēng)險事件 E造成的相對損失為 loss，其發(fā)生的可能性為 L， loss和 L均為取值在 [0,1]區(qū)間定量值。若依據(jù)期望損失理論，將根據(jù) lossL值大小劃分等級，等級劃分方法結(jié)果如圖 29所示 信息安全 風(fēng)險評 估方法2．基于期望損失效用的風(fēng)險評估方法若經(jīng)過風(fēng)險評估，風(fēng)險事件 E造成的相對損失為 loss，其發(fā)生的可能性為 L， loss和 L均為取值在 [0,1]區(qū)間定量值。建立風(fēng)險等級劃分方法，結(jié)果見圖所示 這種方法的好處就是能夠更好的區(qū)分 “高損失、低可能性 ”及 “低損失、高可能性 ”兩種不同安全事件的風(fēng)險。 信息安全 風(fēng)險評 估方法 定性方法 定性方法不是給出具體的貨幣形式的損失，而是用諸如 “極為嚴重、嚴重、一般、可忽略 ”等定性方法來度量風(fēng)險。定性方法一般基于一定的定量方法，在定量方法的基礎(chǔ)上進行裁剪和簡化。典型的定性風(fēng)險分析與評價方法有風(fēng)險矩陣測量、威脅分級法、風(fēng)險綜合評價等。1．風(fēng)險矩陣測量這種方法的特點是事先建立資產(chǎn)價值、威脅等級和脆弱性等級的一個對應(yīng)矩陣，預(yù)先將風(fēng)險等級進行了確定。然后根據(jù)不同資產(chǎn)的賦值從矩陣中確定不同的風(fēng)險。2．威脅分級法這種方法是直接考慮威脅、威脅導(dǎo)致的安全事件對資產(chǎn)產(chǎn)生的影響以及威脅導(dǎo)致安全事件發(fā)生的可能性來確定風(fēng)險。3．風(fēng)險綜合評價這種方法中風(fēng)險由威脅導(dǎo)致的安全事件發(fā)生的可能性、對資產(chǎn)的影響程度以及已經(jīng)存在的控制措施三個方面來確定。與風(fēng)險矩陣法和威脅分級法不同，本方法將控制措施的采用引入風(fēng)險的評價之中。 風(fēng)險評 估 標 準、方法與民航案例p國家標準 《 信息安全風(fēng)險評估規(guī)范 》 GB/T20984解讀p風(fēng)險評估方法與流程典型案例 啟明星辰p民航網(wǎng)絡(luò)信息安全風(fēng)險評估及流程p民航信息安全風(fēng)險評估案例 — 北京首都機場風(fēng)險評估 網(wǎng)御神州 — 重慶江北機場風(fēng)險評估與處置報告 天融信 — 中國國際航空公司信息安全 總體風(fēng)險評估報告 IBM 風(fēng)險評 估案例 案例介紹 多媒體教學(xué)系統(tǒng)是學(xué)校常用的信息系統(tǒng)，它為課堂教學(xué)提供信息化平臺。本節(jié)以多媒體教學(xué)系統(tǒng)這一簡單信息系統(tǒng)為例講述詳細風(fēng)險評估的實施過程。 對多媒體教學(xué)系統(tǒng)，其安全需求主要表現(xiàn)為系統(tǒng)的可用性，而完整性、機密性安全需求很低，通常不會涉及到，因而風(fēng)險評估主要圍繞系統(tǒng)的可用性展開，風(fēng)險評估的目的是通過分析系統(tǒng)面臨的影響系統(tǒng)可用性的安全風(fēng)險，并選取相應(yīng)的安全措施降低風(fēng)險。 資產(chǎn)識別與評估 通過分析多媒體教學(xué)系統(tǒng)在硬件、軟件、信息、有關(guān)人員等方面的資產(chǎn)信息，并考察這些資產(chǎn)的價值以及對信息系統(tǒng)的關(guān)鍵程度。 威脅識別與評估通過對上述各類資產(chǎn)面臨的主要安全威脅進行分析，并依據(jù)其出現(xiàn)的可能性大小對各類威脅進行評估 風(fēng)險評 估案例 脆弱性識別與評估 脆弱性識別應(yīng)對針對已識別的每一類資產(chǎn)，考慮可能存在的脆弱性，它包括技術(shù)脆弱性與管理脆弱性，本例中由于技術(shù)問題簡單，因而主要表現(xiàn)為管理方面的脆弱性。為提高效率，脆弱性識別還應(yīng)結(jié)合威脅識別的結(jié)果，重點考察可能導(dǎo)致安全事件的威脅 脆弱性對，在脆弱性識別后，再依據(jù)脆弱性的嚴重程度對脆弱性進行評估。 風(fēng)險分析與等級劃分 根據(jù)資產(chǎn)識別、威脅識別、脆弱性識別的結(jié)果，通過考察可能出現(xiàn)的資產(chǎn) 威脅 脆弱性三元組，就可獲取系統(tǒng)面臨的安全風(fēng)險。而隨后進行的風(fēng)險分析主要考察風(fēng)險導(dǎo)致的影響及出現(xiàn)的可能性的大小可能性分析主要依據(jù)威脅評估等級。最后根據(jù)影響分析及可能性分析的結(jié)果來進行風(fēng)險評估，此處采用 “風(fēng)險 =可能性 影響 ”的方法來計算風(fēng)險。 安全措施的選取 對風(fēng)險級別為 “高 ”以上的，應(yīng)重點考慮采取相應(yīng)的安全措施，而對風(fēng)險級別為低的可以不用處理，而對風(fēng)險級別為 “中 ”的可有選擇的處理。 本章小 結(jié) 信息安全風(fēng)險評估是指依據(jù)有關(guān)信息安全技術(shù)與管理標準，對信息系統(tǒng)及由其處理、傳輸和存儲的信息的機密性、完整性和可用性等安全屬性進行評價的過程。它要評估資產(chǎn)面臨的威脅以及威脅利用脆弱性導(dǎo)致安全事件的可能性，并結(jié)合安全事件所涉及的資產(chǎn)價值來判斷安全事件一旦發(fā)生對組織造成的影響。狹義的風(fēng)險評估包括：評估前準備、資產(chǎn)識別與評估、威脅識別與評估、脆弱性識別與評估、當(dāng)前安全措施的識別與評估、風(fēng)險分析以及根據(jù)風(fēng)險評估的結(jié)果選取適當(dāng)?shù)陌踩胧┮越档惋L(fēng)險的過程。 本章對信息安全風(fēng)險評估的有關(guān)概念、策略、流程以及方法進行詳細闡述，并通過一簡單案例說明風(fēng)險評估過程。信息安全風(fēng)險評估是新興的研究課題，很多方面還不夠成熟，從事信息安全風(fēng)險評估的學(xué)習(xí)和工作的人員應(yīng)更多的從金融風(fēng)險評估、環(huán)境安全風(fēng)險評估、電力安全風(fēng)險評估等方面借鑒有關(guān)的方法。 習(xí)題1. 什么是信息安全風(fēng)險評估？它由哪些基本步驟組成？2. 信息資產(chǎn)可以分為哪幾類？請分別舉出一兩個例子說明。3. 威脅源有哪些？其常見表現(xiàn)形式分別是什么？4. 請解釋以下名詞：（ 1）資產(chǎn)；（ 2）威脅；（ 3）脆弱性；（ 4）風(fēng)險；（ 5）影響。5. 風(fēng)險評估方法分為哪幾種？其優(yōu)缺點分別是什么？6. 請寫出風(fēng)險計算公式，并解釋其中各項所代表的含義。7. 風(fēng)險評估文件由哪些主要文檔組成？8. 常用的綜合評價方法有哪些，試進行比較。9. 常用的定性與定量的風(fēng)險分析方法有哪些？各有什么特點？