信息安全风险评估方法研究_基于_资产_威胁_评价指数矩.pdf

学术.技术
信息安全风险评估方法研究
—基于“资产—威胁”评价指数矩阵风险分析方法研究
程建华，靖继鹏
（吉林大学管理学院，吉林长春130001）
摘要：信息安全风险评估是组织信息安全的基础和前提，也是信息安全保障的重要内容。该文介绍了信息安全及其信息安全
风险评估概念，然后对信息安全风险评估因素、方法进行了分析，并提出基于“资产—威胁/脆弱性”评价指数矩阵风险分析
方法。
关键词：信息安全；风险评估；威胁；脆弱性

StudyonMethodforInformationSecurityRiskEvaluation
CHENGJian-hua,JINGJi-peng
(SchoolofManagement,JiLinUniversity,ChangChun130001,P.R.China)
Abstract:Informationsecurityriskassessmentisthefoundationandthepreconditionofinformationsecurityoforganization,andisimportant
contentofinformationsecurityassurance.Thispaperoutlinestheconceptofinformationsecurityandriskassessment.Then,theelementsand
methodsofinformationsecurityassessmentareanalyzed.RiskAssessmentCodeMatrixofassets_threats_basedmethodisintroducedinthetext.
Keywords:informationsecurity;riskassessment;threats;vulnerabilities

1引言(1)机密性（Confidentiality）资产指对组织有价值的信息资
当今，计算机网络系统已成为大就是确保信息或信息系统仅被授权产。包括：(1)物理资产（例如计算
多数组织获取业务信息的基础，并成用户访问。机硬件、通讯设施和建筑物）；(2)信
为组织提高决策能力和业务工作效率，(2)完整性（Integrity）即指整息或数据（例如文档，数据库）；(3)
增强核心竞争力的关键。但同时，也体性、完全性以及未被篡改或伪造软件；(4)产品生产和提供服务能力；
使信息面临各种新的威胁和风险。组的特性或状态。(5)人；(6)无形资产（例如信誉，形
织业务信息的滥用或被窃，不仅使组(3)可用性（Availability）就是象）。
织收入受到损失，有时甚至会摧毁组保证在需要的时候，被授权用户可3.2威胁
织的核心业务，因此信息安全风险评以毫无障碍地使用信息或信息系统威胁是能够造成对组织资产损坏
估成为组织业务信息安全保障的重要服务。的不期望事件的发生。比如对信息和
内容，也是信息安全的基础和前提。2.2信息安全风险评估信息系统服务的非授权破坏、修改、
风险是遭受损害和损失的可能侵蚀、丢失和不可用。威胁评估是信
2信息安全及信息安全风险性。风险评估是风险管理的一个重息安全风险评估的重要过程。根据威
评估概念要过程，它对组织信息资产面临威胁来源、动机、存取方式、影响力以
2.1信息安全胁和被威胁利用的弱点的风险分析及发生频率，可分为：
本文信息安全的定义是基于和影响分析，从而为组织选择减少(1)主动攻击（利用恶意代码、
美国国家安全系统委员会（CNSS，风险的安全控制措施，制定风险转系统漏洞、协议弱点、拒绝服务、社
CommitteeonNationalSecurity移计划提供事实依据。会工程、中间人、欺骗等攻击目标用
Systems）发布的标准。信息安全户，破坏或企图破坏以及窃取系统重
（InfoSec）就是保护信息及其关键要3信息安全风险因素要信息）；(2)被动攻击（利用口令破
素，包括使用、存储以及传输信息的信息安全风险因素由资产、威解、嗅探等技术对网络传输的数据进
系统和硬件的安全。信息安全具有3胁、脆弱性、影响、风险和安全防行监听或截取，以获取系统内的重要
个最基本特征：机密性、完整性和可护措施组成。信息）；(3)内部攻击（拥有合法身份
用性。3.1资产的内部员工，未经授权非法获取机密

26算机安全2008.3
学术.技术

信息或破坏信息系统；内部员工未经V1，V2，⋯，Tk}4.3定量和定性综合方法
授权，私自与涉密网进行物理连接；3.6安全防护措施定量和定性结合的风险评估方法
内部员工暗自通过非法通道，与外部安全防护措施是保护组织资产免是建立在定性方法上的定量评估方
远程用户传输内部网络上的机密信遭威胁、减少脆弱性、降低不期望事法，客观准确。常用的有故障