基于风险传播的信息安全评估方法研究与应用

摘要

信息系统的安全问题已从单纯的技术性问题变成事关国家安全的全球性问题，如何判断信息系统是否满足安全需要，如何科学地加强安全管理已到了迫在眉睫的时刻，因此科学地评估信息系统的安全性十分必要，是所有涉及安全的系统所面临的重要课题。 通过风险评估能够清楚信息系统的安全需求，了解信息系统的脆弱性，从而为达到信息安全建设的最终目的——满足信息系统的安全需求和降低信息系统的安全风险提供必要的依据。因此，只有在风险评估中正确、全面地了解和理解信息系统的安全风险，组织才能在信息安全措施的选择、信息安全保障体系的建设等问题中做出合理的决策。 本文研究了当前比较主流的信息安全风险评估基本理论、框架、评估流程、常用评估方法，和相关的信息安全标准。在此基础上，本文研究了风险评估常用方法的分类，以及现有信息安全标准在适用场合、侧重点等方面的异同。 根据上述研究和分析，笔者提出了现有信息安全风险评估理论体系在风险计算方面的一个不足，即未能将风险的传播性考虑在内。本文介绍了风险传播理论的起源及其在信息安全评估中的定义。随后，笔者据此提出对现有风险评估流程进行改进，并提出了一种改进的风险计算方法。该计算方法综合考量了由资产本身的脆弱性和受到的威胁引发的信息安全风险，和从其它资产传播而来的风险，由此得到更为接近客观事实的计算结果。同时考虑到风险对资产的保密性、完整性和可用性的影响程度并不相同，本文在改计算方法中使用判断矩阵确定不同威胁和脆弱性对资产保密性、完整性和可用性破坏程度的权重值。 为了使该风险计算方法更具可操作性，笔者分别对计算所需的三大要素——资产、威胁和脆弱性进行了分类，并根据分类进行了赋值，对使该风险计算方法具有可操作性。 在最后的实践部分，笔者将改进的流程和计算方法应用于一个真实的评估项目。该项目的主要目标是建立基于ISO27001的信息安全体系。在体系建立过程中，风险评估是一个重要环节，以确保资源能够集中于风险较大的资产。笔者根据设计的风险评估流程和计算方法，对该的相关人员进行了大量的访谈，引导组织相关人员根据设计确定的分类赋值标准对组织的资产、威胁和脆弱性进行了评估和赋值。最后根据设计的计算方法对组织资产的风险进行了量化评估，得到了较好的量化评估效果，比较客观地反映了组织资产的信息安全风险水平。