信息安全风险评估模型及方法研究.pdf

硕士学位论文帚普它手辩毅兜警题c中、英文，目⋯⋯⋯⋯一一信息寰全风险谔估燕型承直沏}究⋯⋯⋯⋯一⋯⋯⋯!_he尽esearchof__Info_rma_“on—Ses_n_rity_盹k-⋯⋯一．学科门类⋯筻理学⋯学科、专业⋯⋯⋯筻理科堂皇王程⋯⋯⋯．作者姓名⋯一扬继华⋯一指导教师姓名、职务⋯⋯许蠢蚕．熬援⋯．一提交论文日期⋯⋯⋯⋯⋯⋯⋯⋯三99主圭-旦⋯⋯⋯⋯⋯⋯⋯⋯ModeIMethod代Assessment号分类号TP309学号0423421496密级公开and10701
摘要信息系统安全管理是一项复杂的系统工程管理，在这项系统工程中，信息系统安全风险评估具有核心的地位，它是信息系统安全的基础和前提。论文从整体上可分为三部分：第一部分，论文概述了信息安全以及信息安全风险评估相关标准(包括技术性标准和管理性标准)的基础知识；第二部分，论文利用系统工程的理论和方法建立了一个基于层次结构的信息安全评估模型：第三部分，论文着重研究了一种基于资产、威胁和弱点的信息安全风险评估量化模型。三部分紧密相连，逐层深入的对信息安全风险评估过程中如何量化风险进行了科学的研究。论文对于信息安全风险评估方法进行了以下两个方面创新性的研究：一方面，借鉴灰色理论特性和评估方法，将该理论应用到信息安全风险评价模型的建立上，综合运用层次分析法、灰色评价方法及模糊评价方法，同时考虑安全要素间的相互关系和相对重要度，为信息安全评价体系提供了一种简单、实用、高效的量化评价模型。另一方面，论文在基于资产、威胁、弱点的信息安全风险评估模型中引入金融风险度量领域常用的风险价值模型，即VaR、CVaR模型，采用Poisson分布和正态分布模拟信息安全威胁发生频率。讨论了在一定历史时期威胁发生频率较高时Poisson分布难于计算的情况下，采用正态分布模拟威胁发生频率，并利用CVaR模型对风险的尾部进行分析。模型采用实际资产损失值表示信息安全风险值，依据模型所计算的信息安全风险损失值可直接作为企业决策者关于信息安全风险投资决策的依据。关键词；信息安全风险评估灰色理论VaRCVaR
informationnormalmethod．TheAbstractanengineering；InsimulatedCanstandard(includestandard)relatesandevaluationRisk(vag)modelRisk(CVaR)model，usuallyPaperusesmanagementcomplicatedsystemassessment,whichimportantpart,thebasicthecommonsecuritymultilevelsynthesismodelofrecommendedlayerwimtheoriesmethodspart，theemphasizesassessmentbasedassets，threatsotherresearchedereativitiesmethodhand，thetheorythisAHP，掣ayamongfactors．Assimple，effectivehand,theriskassessment．Atsametime，thecalculatewhensimulatesmeasureinvestmentsKeywords：InformationSecurityAssessmentCVaRTheisengineering，andfoundationpremisesecurity，playsroleinengineering．Thispapermadeupthreeparts：Inftrstintroducesknowledgetechniquestandardevaluate；Insecondpart，aquantificationthirdstudyweaknesses．Thesepartsrelateeachcloselydeeply．aboutliefollowingtwofactors：Ongrayappliedproposedestablishedapplyingfuzzysynthetically，whileconsideringrelativeimportanceinterrelationresult，theoffersreliableforsystem．appliesValueConditionalatusedfinanceanalysisfield，intotkreatenfrequenciesbyPoissondistributionpaper．Becausehardthreatenfrequently，theinsteaddistribution．Sotailrisksar