基于Markov链的信息安全风险评估模型.pdf

第!"卷第!期铁!!道!!学!!报#$%&!"!’$&!
!(()年*月+,-.’/0,1234536’/./607/89,56428/:;<%!(()

文章编号!=((=>?@A(!!(()"(!>((B(>(*
基于!"#$%&链的信息安全风险评估模型

李鹤田!!刘!云!!何德全
!北京交通大学电子信息工程学院#北京!=(((**"

摘!要!风险评估是信息系统安全保证的核心和关键$本文对现有的信息安全风险评估方法进行分析评价#比
较包含12/%1C45/%3DE,:等在内的传统风险评估技术和以5,./9为代表的现代风险评估技术#将基于
CD;F$G链的评估模型引入到信息系统安全风险评估中#完善了基于模型的信息安全风险评估方法!5,./9"$
首先#利用CD;F$G链对信息系统进行建模&其次#构建基于CD;F$G链的风险转移矩阵#定量计算信息系统的安
全风险指标&最后#以网上银行信息系统为例进行了数值计算#量化了网上交易任务的风险指标$通过这种风险
评估方法#能够确定信息系统中高风险的活动或子系统#为信息安全风险评估工作的开展提供了方法和实践基
础$
关键词!风险评估&CD;F$G链&信息系统&信息安全
中图分类号!2H@("&!!!文献标志码!/

’()*#+,-.+/$0&"1*",+%23%#45’-/,(6/7"/(8%2,9(!"#$%&:9"+2

063I>J<DK#!06-8LK#!34MI>NLDK
!9OP$$%$Q4%IOJ;$K<ORDKS<KQ$;TDJ<$K4KU<KII;<KU#VI<W<KU+<D$J$KU-K<GI;R<JX#VI<W<KU=(((**#5P<KD"

;</,#"),’.<RFDRRIRRTIKJ<RJPIFIXDKSO$;IJIOPK$%$U<IRIKRL;<KU62RXRJITRIOL;<JX&6KJP<R:D:I;#JPIIY>
<RJ<KU;<RFDRRIRRTIKJTIJP$SRDKSJIOPK$%$U<IR<KO%LS<KUJPIO$KGIKJ<$KD%12/%1C45/DKS3DE,:DKSJPI
T$SI;KJIOPK$%$U<IR;I:;IRIKJISZX5,./9D;IDKD%XEIS&/CD;F$G>OPD<KZDRISRIOL;<JX;<RFIGD%LDJ<$KT$SI%
<R<KJ;$SLOISJ$<T:;$GIJPIT$SI%>ZDRISRIOL;<JX;<RFIGD%LDJ<$KTIJP$S!5,./9"&1<;RJ%X#DT$SI%ZDRIS$K
JPICD;F$G>OPD<K<RO$KRJ;LOJISJ$SIRO;<ZI62RXRJITRIOL;<JXZIPDG<$;R&9IO$KS%X#DCD;F$GJ;DKR<J<$KTD>
J;<Y<RQ$LKSISJ$NLDKJ<JDJ<GI%XDRRIRRRIOL;<JX;<RFQDOJ$;R&1<KD%%X#JPI;<RFDRRIRRTIKJTIJP$S$%$UX<RD::%<IS
<KJPIODRI$QJPI<KJI;KIJ>ZDKF<KURXRJITJ$O$T:LJIJPI;<RFGD%LIRQ$;$K%<KIJ;DKRDOJ<$KR$QJPIRXRJIT&2PI
T$SI%IK;<OPISJPIRJDJI>$Q>JPI>D;J;<RFDKD%XR<RTIJP$S$%$UX5,./9&3<UP>;<RFDOJ<G<J<IRDKSRLZ>RXRJITR$Q
JPI62RXRJITODKZI<SIKJ<Q<ISZXTIDKR$QJP<RTIJP$S$%$UX&2PI;IRL%JR:;$G<SIZDR<RQ$;JPI62RXRJITRIOL>
;<JXJP;$LUP$LJ%<QIOXO%I&
=(->%#8/’;<RFDRRIRRTIKJ&CD;F$GOPD<K&62RXRJIT&<KQ$;TDJ<$KRIOL;<JX

!!信息安全风险评估是风险评估理论在计算机信息法#已经过飞机制造和化工行业的检验#现扩展到信息
系统领域的延伸$风险评估理论产生于安全实践#广技术领域$另一类是现代风险评估方法#如以5,>
泛应用于经济国防和化工等行业主要是为保证人类)=*
%#./9为代表基于模型的信息安全风险评估方法#在
生命和财产的安全$而信息安全由于其固有的保密建立环境%风险识别%风险分析%风险评估和风险处理
性完整性和可用性风险评估内容与方法有别于传统
%#这五个评估环节中#选用了12/%1C45/%3DE,:等
行业#在信息安全实践过程中逐步确立%发展和完善$几种传统风险评估方法$
目前关于信息安全风险评估的方法分为两类一类
#5,./9!5$KRL%JDJ<GI,ZWIOJ<GI.<RF/