導(dǎo)航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

基于信息熵的信息安全風(fēng)險分析模型

文檔作者：湯永利1 2 徐國愛1 鈕心忻1 楊義先1 文檔來源： 1．北京郵電大學(xué)網(wǎng)絡(luò)與交換技術(shù)國家重點實驗室信息安全中心 2．河南理工大學(xué)計算機科學(xué)與技術(shù)學(xué)院		點擊數(shù)：	更新時間： 2021年04月20日
下載地址：點擊這里	文件大小： 423.10 KB 共6頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預(yù)覽 [文件共6頁]

本文件共6頁，如需編輯使用，請下載。

注：預(yù)覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：423.10 KB 共6頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：關(guān)于計算機網(wǎng)絡(luò)信息安全及防護

上一篇：計算機網(wǎng)絡(luò)信息安全技術(shù)研究

文本預(yù)覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

2008年4月
第31卷第2期
北京郵電大學(xué)學(xué)報
Joumal of Be幻ing University of P0sts and Telecommunications
Apr．2008
V01．31 No．2
文章編號：1007．5321(2008)02—0050一04
基于信息熵的信息安全風(fēng)險分析模型
湯永利1一， 徐國愛1， 鈕心忻1， 楊義先1
(1．北京郵電大學(xué)網(wǎng)絡(luò)與交換技術(shù)國家重點實驗室信息安全中心，北京l00876；
2．河南理工大學(xué)計算機科學(xué)與技術(shù)學(xué)院，焦作410003)
摘要：為解決信息系統(tǒng)風(fēng)險分析過程中不確定信息難以量化分析的問題，用信息熵度量信息系統(tǒng)風(fēng)險．引入信息
熵風(fēng)險分析算法。采用定性分析與定量計算相結(jié)合，構(gòu)建一種信息系統(tǒng)風(fēng)險分析模型，并以實例分析與驗證基于此
模型的風(fēng)險分析方法．仿真結(jié)果表明，該方法是一種有效的風(fēng)險分析算法，較準(zhǔn)確地反映了信息系統(tǒng)的風(fēng)險狀況，
為信息系統(tǒng)風(fēng)險分析提供了一種新的思路．
關(guān)鍵詞：信息安全；風(fēng)險分析；熵權(quán)系數(shù)；故障樹分析
中圖分類號：TP393 文獻標(biāo)識碼：A
Information Security Risk Analysis Model Using
InformatiOn Entropy
TANG Yong—lil一， XU Guo—ail， NIU Xin—xinl， YANG Yi—xianl
(1．Inf∞mti∞Sea商哆Cent盯，St芒lte K印I abora：tory of Ne七帆Irking a11d S研tchlg殛hllolo口，B面i119 Uni峨時of Pc捌瞎aIld 1、d伽m蛐icati∞s，
Be婦ing l00876，chilla；2．COUege of computer&amp;amp;ience&amp;amp;Technobgy’He咖Pol”echnic UrIiversity’Ji批uo 410003，China)
Abstract： According to the characte“stic of uncertainty infomation in the i耐bmation system risk
analysis process， and infomation system risk meaSurement using entropy theory， a risk analysis algo—
rithm usirlg entropy—weight coefficient is presented．When combining qualitative analysis and quantita—
tive calculation，a model of infomation system risk analysis is constructed．Finally，an instance of the
risk anaIysis approach based on the model is analyzed and validated，which demonstrates the rationality
and feasibility of the model．Sb it provides a new method f6r infb肌ation system risk analysis．
Key words：info肌ation security；risk analysis；entropy—weight coefficient；fault tree analysis
國內(nèi)外風(fēng)險分析的主要問題在于風(fēng)險分析標(biāo)準(zhǔn)
沒有區(qū)分各風(fēng)險因素相對權(quán)重，導(dǎo)致對信息系統(tǒng)風(fēng)
險分析主觀隨意性強、誤差較大。不能準(zhǔn)確客觀評價
系統(tǒng)風(fēng)險．目前對系統(tǒng)風(fēng)險的分析方法很多，其分
析側(cè)重點、使用范圍各有不同，如文獻[1]基于效用
的安全風(fēng)險度量模型，引入風(fēng)險函數(shù)和相對損失效
應(yīng)度量風(fēng)險，但此方法不適合對多層次結(jié)構(gòu)模型進
行分析；文獻[2—3]的層次分析法，通過構(gòu)造風(fēng)險矩
陣評價總體風(fēng)險，但此方法不適合分析風(fēng)險因素較
多的多層次結(jié)構(gòu)模型，且由于風(fēng)險因素比較時專家
經(jīng)驗不同易出現(xiàn)一致性檢驗不符合的情況；文獻[4]
的模糊綜合評價法，對各風(fēng)險因素權(quán)值的確定一般
采用專家主觀評定，權(quán)值誤差的積累會導(dǎo)致風(fēng)險分
析結(jié)果偏離實際；文獻[5]提出熵權(quán)系數(shù)的概念，但
其風(fēng)險度計算方法不具普遍性，沒有形成系統(tǒng)化
模型．
信息熵風(fēng)險分析方法是依據(jù)ISO／IEC 27002
標(biāo)準(zhǔn)的體系結(jié)構(gòu)建立故障分析樹，依據(jù)測評實踐獲
收稿日期：2007．11—2l
基金項目：國家‘‘973計劃”項目(2007cB310704)；北京市自然科學(xué)基金項目(4062025)
作者簡介：湯永利(1972一)，男，博士生。E—mail：協(xié)ngzili@163．∞m．
萬方數(shù)據(jù)
第2期湯永利等：基于信息熵的信息安全風(fēng)險分析模型51
取原始數(shù)據(jù)，使用信息熵分析算法計算各風(fēng)險因素
的風(fēng)險值，將定性分析與定量計算相結(jié)合，克服了標(biāo)
準(zhǔn)中控制措施對風(fēng)險的影響程度分析不足的缺點，
保證風(fēng)險分析的結(jié)論可信、可重復(fù)．
1信息熵風(fēng)險分析算法
現(xiàn)在普遍認為信息熵可用來度量系統(tǒng)不確定
性．1948年，Shannon發(fā)表了“通信的數(shù)學(xué)理論”【6】，
提出信息熵的概念H(x)=一ΣP(口{)lb P(口i)，
用來表示信源輸出后每個消息所提供的平均信息
量，或信源輸出前的平均不確定度．1957年，文獻
[7]提出了最大信息熵原理，定義熵為
H(x)=一愚Σ只log只(1)
f=1
式中，o≤只≤1(i=1，2，?，，2)，且有Σ只=1；憊
是比例系數(shù)．如果系統(tǒng)可能存在行種不同的狀態(tài)。
則只表示每種狀態(tài)可能出現(xiàn)的概率．最大信息熵
原理從理論上說明，在信息熵取極大值時，對應(yīng)的一
組狀態(tài)出現(xiàn)的概率占有絕對優(yōu)勢，這就是可用信息
熵表示各風(fēng)險因素權(quán)值的理論依據(jù)．
信息熵H(x)=一ΣPflog Pf表示系統(tǒng)的有
序程度．由熵的極值性知，R越接近相等，熵值越
大，風(fēng)險因素R；對系統(tǒng)風(fēng)險影響的不確定性就越
大．因此，可用信息熵計算各風(fēng)險因素的權(quán)值．
利用信息熵理論計算風(fēng)險因素權(quán)值原理如下．
對風(fēng)險因素Ri的相對重要性進行歸一化處理
后，由下述信息熵表示為
1』巳釅一贏薈‰log扮。J (2)
當(dāng)托，，(歹=l，2，?，優(yōu))取值相等時，熵值吼最大為
1，所以毛的值滿足0≤旬≤1．由于熵值最大時，此
風(fēng)險因素對系統(tǒng)風(fēng)險的貢獻最小，所以確定風(fēng)險因
素Ri的權(quán)值可以由1一吮度量．因此，對其進行歸
一化處理得到風(fēng)險因素R。的權(quán)值屯為
丸=(卜以)／(以一Σ色j (3)
f=1
式中o≤九≤1，且有Σ九=1．
i=l
2風(fēng)險分析模型
2．1建立故障分析樹
故障樹分析法是一種比較適合分析層次結(jié)構(gòu)的
方法．將系統(tǒng)總體風(fēng)險狀況作為頂事件，通過分析
造成頂事件的各種可能原因及彼此間的關(guān)系，構(gòu)造
邏輯關(guān)系圖，即故障分析樹．由分析結(jié)果確定系統(tǒng)
的薄弱環(huán)節(jié)、關(guān)鍵部位、應(yīng)采取的措施、對安全性的
要求等．
本文使用故障樹分析法，依據(jù)ISo／IEC 27002
標(biāo)準(zhǔn)的層次結(jié)構(gòu)建立故障樹，過程如下．
．1)確定故障樹的頂事件，即評估目標(biāo)系統(tǒng)的總
體風(fēng)險．
2)因ISO／IEC 27002標(biāo)準(zhǔn)是典型的3層結(jié)構(gòu)，
即管理要項、控制目標(biāo)和控制措施。各層之間是因果
關(guān)系，下面各層安全要素既是上一層的原因又是下
一層的結(jié)果．根據(jù)這個特點，采取故障樹分析法對
其各層安全要素之間的邏輯關(guān)系進行分析，以實現(xiàn)
對標(biāo)準(zhǔn)中安全要素完整、有效的提取．通過定性分
析得到風(fēng)險計算模型，如圖1所示．
I目標(biāo)系統(tǒng)的總體風(fēng)險l
鑫蟊肉臼q肉
黼l信息安拿方——針———I』臣======—至一——圃—■==巳===L—豳——一
圖1 基于Is0／IEc 27002的故障分析樹
3)確定故障樹的底事件，即故障樹底層各因素
的選擇，參考ISo／IEC 27002標(biāo)準(zhǔn)中的控制措施選
取，并且各底事件之間不存在交叉，滿足故障樹分析
法的要求．
故障樹建立后，通過信息熵風(fēng)險分析算法計算
目標(biāo)系統(tǒng)的總體風(fēng)險．需要說明的是，圖1分別使
用口、盧和y表示故障樹的第1、2和3層．
2．2信息熵權(quán)值及符合度說明
在故障樹分析的基礎(chǔ)上。根據(jù)Iso／IEC 27002
標(biāo)準(zhǔn)結(jié)構(gòu)特點，首先對每層風(fēng)險因素R；的熵權(quán)值
進行規(guī)定．故障樹中的第1層是p個管理要項，體
現(xiàn)目標(biāo)系統(tǒng)總風(fēng)險所包含的若干個安全要素，其權(quán)
值用口i表示；故障樹中的第2層說明每個管理要項
要通過若干個控制目標(biāo)體現(xiàn)，第f個管理要項下的
第．，個控制目標(biāo)的權(quán)值用屈．i表示；故障樹的第3層
說明每個控制目標(biāo)要通過若干個控制措施的具體落
萬方數(shù)據(jù)
52 北京郵電大學(xué)學(xué)報第3l卷
實體現(xiàn)，第i個管理要項下的第．『個控制目標(biāo)下的
第五個控制措施的權(quán)值(即符合度)用托Ⅲ表示．
然后給出符合度的量化定義，共劃分5個級別，見
表1．
表l符合度定義
在信息系統(tǒng)風(fēng)險分析實踐中，對目標(biāo)信息系統(tǒng)
的安全狀況通過調(diào)查問卷等方式進行收集整理，比
較現(xiàn)有安全措施與必需安全基線的差距，從而定出
符合度量化值．符合度客觀反映了目標(biāo)信息系統(tǒng)的
安全現(xiàn)狀．需要注意的是，符合度的量化值可取2
個級別之間的值，如取介于’，2和y3之間的值
O．45，以更準(zhǔn)確反映客觀情況，且不會影響風(fēng)險分析．
2．3風(fēng)險分析計算
對目標(biāo)信息系統(tǒng)總體風(fēng)險，具體計算過程如下．
步驟l取得符合度的量化值．假設(shè)已有故障
分析樹中第i個管理要項下的第歹個控制目標(biāo)下的
第忌個控制措施所對應(yīng)的符合度扎，j，^(玩J。^來源
信息系統(tǒng)測評實踐中核查表的評分，參見圖1)．
步驟2首先根據(jù)式(2)和(3)，計算第2層各
控制目標(biāo)的熵權(quán)系數(shù)展，』和風(fēng)險權(quán)值屯∥分別為
％一寺；善‰舨‰．t
‰=(卜展，j)／【竹一Σ晟，一
J=l
o≤丸。j≤1，Σ屯。』=1
步驟3同理，計算第1層各管理要項的熵權(quán)
系數(shù)口；及風(fēng)險權(quán)值丸，分別為
口f=一忐Σ展。Jlog屈。j 口f2一面i白肫·Jlog屈·j
屯=(卜口；)／I m一Σ毗)，o≤蟲≤1，Σ屯=1
步驟4 同理，計算目標(biāo)系統(tǒng)總體風(fēng)險的熵權(quán)
系數(shù)P和總體風(fēng)險值乒，分別為
P薩：一一士雨壹芻口；ql10o9g口毗；
廬=1一P，且0≤e，乒≤1
步驟5對照目標(biāo)系統(tǒng)的總體風(fēng)險乒與表2所
示的風(fēng)險等級定義，評價目標(biāo)信息系統(tǒng)的風(fēng)險等級．
表2風(fēng)險等級定義
等級值影響描述
3模型實例分析
3．1實例計算
針對具體的目標(biāo)信息系統(tǒng)，依據(jù)ISO／IEC
27002標(biāo)準(zhǔn)各風(fēng)險因素的要求，認真篩選符合此系
統(tǒng)實際的各層風(fēng)險因素，建立如圖1所示的故障分
析樹，再按2．3節(jié)的風(fēng)險分析計算過程計算，分析并
評價系統(tǒng)的風(fēng)險．為仿真計算方便，本實例簡化了
控制措施的選擇數(shù)目．
步驟1準(zhǔn)備工作．根據(jù)權(quán)值和符合度定義以
及目標(biāo)信息系統(tǒng)的核查表，得到故障分析樹底層7
個控制措施的符合度’，“，^分別為(0．80，0．40，
0．50，0．75，0．75，0．60，0．50)，y“。t的值反映了目
標(biāo)系統(tǒng)的安全現(xiàn)狀與安全控制措施的符合情況．
步驟2根據(jù)式(2)和(3)，計算第2層3個控
制目標(biāo)的熵權(quán)系數(shù)&amp;amp;，j及風(fēng)險權(quán)值丸，』，分別為
J91。l=0．786 3 盧2。1=O．708 3 盧2。2=0．942 2
拳1．1=0．213 7 乒2。l=0．834 6 乒2，2=O．165 4
步驟3同理，計算第l層2個管理要項的熵
權(quán)系數(shù)口；及風(fēng)險權(quán)值噍，分別為
口1=pl。l=O．786 3 口220．433 4
聲l=O．273 9 乒2=O．726 l
步驟4計算目標(biāo)系統(tǒng)總體風(fēng)險的熵權(quán)系數(shù)口
和總體風(fēng)險值拳，分別為
P=0．795 6
拳=1一口=0．2044
需要說明的是，初始符合度數(shù)值采用2位精度
萬方數(shù)據(jù)
第2期湯永利等：基于信息熵的信息安全風(fēng)險分析模型53
足可說明實際情況，但在仿真計算中采用4位精度，
以盡可能避免或降低計算過程中的誤差積累．
3．2實例分析與比較
對風(fēng)險計算結(jié)果進行分析，評價目標(biāo)信息系統(tǒng)
風(fēng)險等級，上述各層要素的風(fēng)險結(jié)果統(tǒng)計見表3．
表3風(fēng)險權(quán)值計算結(jié)果分析
1)結(jié)論分析
①首先判斷總體風(fēng)險，對照風(fēng)險等級定義，可
知目標(biāo)系統(tǒng)的總體風(fēng)險≯=0．204 4介于0～0．25
之間，并接近于0．25，即屬于風(fēng)險較小的范圍，故系
統(tǒng)總體風(fēng)險屬于等級較小級別．
②第1層“安全方針”的風(fēng)險值為0．273 9，屬
于等級較小級別；“資產(chǎn)管理”的風(fēng)險值為0．726 1，
則屬于等級較大級別，是造成總體風(fēng)險的主要因素．
③第2層“對資產(chǎn)負責(zé)”的風(fēng)險值為0．834 6，
屬于較大之上的風(fēng)險等級，說明控制目標(biāo)“對資產(chǎn)負
責(zé)”對上層管理要項“資產(chǎn)管理”的影響很大．
2)模型優(yōu)點
仿真結(jié)果表明，采用信息熵對目標(biāo)信息系統(tǒng)的
風(fēng)險分析與安全專家的人工測評結(jié)果比較吻合，說
明該風(fēng)險分析算法比較科學(xué)合理．該模型在實踐運
用中得到了檢驗，其優(yōu)點體現(xiàn)在以下3個方面．
①既滿足以ISO／IEC 27002標(biāo)準(zhǔn)測量與分析
信息系統(tǒng)風(fēng)險的要求，又克服了ISo／IEC 27002標(biāo)
準(zhǔn)中不區(qū)分多種風(fēng)險因素權(quán)重的缺點，二者兼顧，利
于工具化．
②運用故障樹分析法建立風(fēng)險分析層次結(jié)構(gòu)，
解決了文獻[1]方法不適合多層次風(fēng)險因素分析的
缺憾；同時，仿真數(shù)據(jù)直接來源于測評實踐，避免了
文獻[2．3]層次分析法由于專家經(jīng)驗引起的一致性
檢驗不符合的情況，也避免了文獻[4]中由于專家主
觀評定權(quán)值而引起的誤差積累．
③克服了文獻[5]方法的局限性，對信息系統(tǒng)
的風(fēng)險測量分析具有普遍意義。如在實踐中依據(jù)
IsO／IEC 27002標(biāo)準(zhǔn)的要求對目標(biāo)信息系統(tǒng)進行風(fēng)
險測量與分析；使用故障樹分析法建立目標(biāo)信息系
統(tǒng)風(fēng)險測量與分析的層次結(jié)構(gòu)模型；用信息熵風(fēng)險
分析算法不僅可計算分析目標(biāo)信息系統(tǒng)的總體風(fēng)
險，而且可分析各層次風(fēng)險因素的風(fēng)險大小．
4結(jié)束語
根據(jù)ISo／IEC 27002標(biāo)準(zhǔn)的要求與體系結(jié)構(gòu)，
在定性分析建立故障樹的基礎(chǔ)上，提出一種基于信
息熵的信息系統(tǒng)安全性定量計算方法，并形成完整
的風(fēng)險分析模型．該模型的初始數(shù)據(jù)是真實可靠的
(數(shù)據(jù)來源于對信息系統(tǒng)現(xiàn)場測評的原始資料)，通
過信息熵風(fēng)險分析模型計算目標(biāo)系統(tǒng)的風(fēng)險，較好
解決了初始數(shù)據(jù)的主觀性與風(fēng)險分析客觀性之間的
矛盾，實現(xiàn)了實踐數(shù)據(jù)與理論分析的有機統(tǒng)一．
參考文獻：
[1]彭俊好，徐國愛，楊義先，等．基于效用的安全風(fēng)險
度量模型[J]．北京郵電大學(xué)學(xué)報，2006，29(2)：59—61．
Peng Junhao．Xu Qloai，Yang Yixi孤，et a1．M髓sure
modd of security risk bas．甜on utility[J]．J叫mal of Bei—
jing Ullive礙ity 0f P∞ts曲d Tdecommumcations，2006，
29(2)：59．61．
[2]馮登國，張陽，張玉清．信息安全風(fēng)險評估綜述[J]．
通信學(xué)報，2004，25(7)：10．18．
Feng Dengguo·，Zhng Yang，Zhang Yuqing．suⅣey of
infomation骶!cl|rity risk越埒le鯔ment[J]．Journal of china
I璐titute of CcImmunicatio璐。2004，25(7)：10一18．
[3】Saaty T L-A∞aling met}lod for pdoriti鶴in llierarchical
stmctures[J]．Joumal of Math PSychology，1997(15)：
234—281．
[4]宋曉莉，余靜，孫海傳，等．模糊綜合評價法在風(fēng)險
評估中的應(yīng)用[J]．微計算機信息，2006，22(12．3)：
71—73。79．
SoIlg)【iaoli，Yu Jing，SuIl Haich啪，et a1．The appli阻-
tion of fuzzy町nth鶴is e、，aluation in risk evaluation[J]．
雌cro嘣nputer Inh加ati∞，2006。22(12—3)：71-73，79．
[5]趙冬梅，蘇紅順，吳敏，等．基于熵理論的無線網(wǎng)絡(luò)
安全的模糊風(fēng)險評估[J]．計算機應(yīng)用與軟件，2006，
23(8)：24-26。42．
ZllaoⅨmgmei，Su HongshuIl，Wu Min，et a1．Fu杞y(tǒng)
risk越潞氆娜=Ilellt of the、而reless network secudty based 0n
entropy th∞r(nóng)y[J]．CImlputer Applications and S0ft、Ⅳare，
2006，23(8)：24．26，42．
[6]Shannon C E．A mathematical theory of communication
[J]．The Beu syst鋤TechnicaI J叫nlal，1948，27：379·
423．623·656．
[7] Jaynes E T．Inf∞nation theory and Statistical mechm娼
[J】．Phy Rev。1957，106(5)：620一630．
萬方數(shù)據(jù)
基于信息熵的信息安全風(fēng)險分析模型
作者： 湯永利， 徐國愛， 鈕心忻， 楊義先， TANG Yong-li， XU Guo-ai， NIU Xin-xin，
YANG Yi-xian
作者單位： 湯永利,TANG Yong-li(北京郵電大學(xué),網(wǎng)絡(luò)與交換技術(shù)國家重點實驗室信息安全中心,北京
,100876;河南理工大學(xué),計算機科學(xué)與技術(shù)學(xué)院,焦作,410003)， 徐國愛,鈕心忻,楊義先,XU
Guo-ai,NIU Xin-xin,YANG Yi-xian(北京郵電大學(xué),網(wǎng)絡(luò)與交換技術(shù)國家重點實驗室信息安
全中心,北京,100876)
刊名：
北京郵電大學(xué)學(xué)報
英文刊名： JOURNAL OF BEIJING UNIVERSITY OF POSTS AND TELECOMMUNICATIONS
年，卷(期)： 2008，31(2)
引用次數(shù)： 5次
參考文獻(7條)
1.彭俊好.徐國愛.楊義先基于效用的安全風(fēng)險度量模型[期刊論文]-北京郵電大學(xué)學(xué)報 2006(02)
2.馮登國.張陽.張玉清信息安全風(fēng)險評估綜述[期刊論文]-通信學(xué)報 2004(07)
3.Saaty T L A scaling method for priorities in hierarchical structures 1997(15)
4.宋曉莉.余靜.孫海傳模糊綜合評價法在風(fēng)險評估中的應(yīng)用[期刊論文]-微計算機信息 2006(12-3)
5.趙冬梅.蘇紅順.吳敏基于熵理論的無線網(wǎng)絡(luò)安全的模糊風(fēng)險評估[期刊論文]-計算機應(yīng)用與軟件 2006(08)
6.Shannon C E A mathematical theory of communication 1948
7.Jaynes E T Information theory and statistical mechanics 1957(05)
相似文獻(10條)
1.學(xué)位論文羅捷 計算機網(wǎng)絡(luò)風(fēng)險分析與風(fēng)險管理 2000
該文闡述了計算機網(wǎng)絡(luò)與信息安全的基本概念,風(fēng)險分析與風(fēng)險管理的理論,信息安全與風(fēng)險管理的關(guān)系.說明了計算機網(wǎng)絡(luò)風(fēng)險分析與管理實現(xiàn)的重
要性.風(fēng)險管理是整個信息安全計劃不可缺少的部分,該文探討了計算機網(wǎng)絡(luò)風(fēng)險管理的實現(xiàn)這一領(lǐng)域,并把風(fēng)險分析作為主要研究內(nèi)容.
2.期刊論文林則夫.陳德泉.LIN Ze-fu.CHEN De-quan 信息安全風(fēng)險分析及其對應(yīng)急管理的啟示 -中國管理科學(xué)
2006,14(z1)
突發(fā)事件應(yīng)急管理是當(dāng)前政府和研究機構(gòu)都關(guān)注的重要問題.本文在前期研究的基礎(chǔ)上,通過對信息安全風(fēng)險分析中的基本理念,安全標(biāo)準(zhǔn)、風(fēng)險分析
的一般模型、方法和工具的分別介紹,并將信息安全風(fēng)險分析與突發(fā)事件應(yīng)急管理進行比較分析,希望已有的信息安全風(fēng)險方面的研究成果能夠擴展到更
廣泛領(lǐng)域的突發(fā)事件應(yīng)急管理中,對突發(fā)事件應(yīng)急管理的研究和實際應(yīng)用有所幫助.
3.學(xué)位論文賈斌 企業(yè)信息安全風(fēng)險分析與控制 2006
隨著信息技術(shù)的迅速發(fā)展，企業(yè)越來越依賴于信息技術(shù)和服務(wù)，因此，企業(yè)所依賴的信息的保密性、完整新和可用性成為企業(yè)信息安全所要保障的
內(nèi)容。企業(yè)的信息安全涉及到多個方面，其控制是一個復(fù)雜的過程，風(fēng)險評估為風(fēng)險控制提供了基礎(chǔ)。本文運用風(fēng)險評估理論，引入了模糊綜合評估法
，將一個多目標(biāo)、多層次、多準(zhǔn)則的問題進行綜合的評價，并將評估方法應(yīng)用于實際的企業(yè)風(fēng)險評估中，對該企業(yè)的信息安全狀況進行了詳細的分析和
判別，最終得到總體風(fēng)險等級。
在獲得了企業(yè)信息安全風(fēng)險分析結(jié)果之后，應(yīng)對企業(yè)的風(fēng)險進行控制。依照業(yè)界成熟的P2DR模型，為企業(yè)建立了完整的風(fēng)險控制體系，包括風(fēng)險管
理體系和實現(xiàn)管理目標(biāo)的所需要的技術(shù)支持，并結(jié)合企業(yè)的實際加以實施，將管理和技術(shù)兩個因素有機的結(jié)合起來，使企業(yè)的信息安全達到較高的水平
。
本文所選取的應(yīng)用案例中，企業(yè)的業(yè)務(wù)通信系統(tǒng)運行、網(wǎng)絡(luò)平臺設(shè)置和管理維護在行業(yè)內(nèi)具有一定的典型性，通過對其信息安全的評估與管理，可
為同類型企業(yè)的信息安全建設(shè)提供可借鑒的經(jīng)驗和參考。
4.會議論文林則夫.陳德泉信息安全風(fēng)險分析及其對應(yīng)急管理的啟示 2006
突發(fā)事件應(yīng)急管理是當(dāng)前政府和研究機構(gòu)都關(guān)注的重要問題.本文在前期研究的基礎(chǔ)上,通過對信息安全風(fēng)險分析中的基本理念,安全標(biāo)準(zhǔn)、風(fēng)險分析
的一般模型、方法和工具的分別介紹,并將信息安全風(fēng)險分析與突發(fā)事件應(yīng)急管理進行比較分析,希望已有的信息安全風(fēng)險方面的研究成果能夠擴展到更
廣泛領(lǐng)域的突發(fā)事件應(yīng)急管理中,對突發(fā)事件應(yīng)急管理的研究和實際應(yīng)用有所幫助.
5.學(xué)位論文賈曉桑 中國繭絲綢交易市場ERP系統(tǒng)信息安全的研究 2006
企業(yè)資源計劃(ERP)作為企業(yè)管理軟件的主要代表自產(chǎn)生之日至今，在企業(yè)信息管理中起著中流砥柱的作用。然而隨著Internet技術(shù)的迅猛發(fā)展及電
子商務(wù)應(yīng)用的逐漸普及，傳統(tǒng)ERP也在不斷的尋找著能適合網(wǎng)絡(luò)時代的新的模式。支持Internet/Intranet的ERP系統(tǒng)便在這種需求下應(yīng)運而生。支持
Internet/Intranet的ERP系統(tǒng)給企業(yè)帶來方便和高效益的同時，企業(yè)也將面臨網(wǎng)絡(luò)所帶來的信息安全問題。
中國繭絲綢交易市場是一個典型的Internet/Intranet企業(yè)，為用戶提供信息交易平臺服務(wù)，它的ERP系統(tǒng)不僅提供給內(nèi)部用戶使用，來管理內(nèi)部資
源，而且集成了電子商務(wù)平臺供外部用戶訪問，這樣就帶來了傳統(tǒng)企業(yè)ERP系統(tǒng)所沒有遇到的更加嚴峻的信息安全問題。針對這個問題，本研究課題提出
了在ERP系統(tǒng)中集成信息安全子系統(tǒng)來解決信息安全問題的思想并將其具體實現(xiàn)。
本文首先分析了國內(nèi)外ERP及信息安全的研究和發(fā)展現(xiàn)狀；通過現(xiàn)狀分析指出了目前ERP系統(tǒng)特別是一般期貨市場ERP系統(tǒng)(相對于中國繭絲綢交易市
場ERP系統(tǒng)，我們將集成了電子商務(wù)平臺的期貨市場ERP系統(tǒng)統(tǒng)稱為一般期貨市場ERP系統(tǒng))在信息安全方面存在的威脅，提出在ERP系統(tǒng)中集成信息安全子
系統(tǒng)來解決信息安全威脅的思想；其次闡述了信息安全概念和現(xiàn)有信息安全技術(shù)；討論了一般期貨市場ERP系統(tǒng)主要存在的來自系統(tǒng)內(nèi)部和外部的信息安
全威脅，在比較了幾種風(fēng)險分析方法的基礎(chǔ)上提出選擇采用復(fù)合方法來進行風(fēng)險分析，并給出了分析風(fēng)險的具體步驟；接著在前幾章討論的基礎(chǔ)上提出
了解決一般期貨市場ERP系統(tǒng)信息安全問題的策略，該策略的重點在于將一個信息安全子系統(tǒng)集成到企業(yè)ERP系統(tǒng)中，形成S-ERP系統(tǒng)(安全ERP)，這種信
息安全子系統(tǒng)集基于狀態(tài)檢測的防火墻技術(shù)、基于角色訪問的控制技術(shù)、VPN技術(shù)于一身，來全面保障ERP系統(tǒng)的信息安全；然后，本文以中國繭絲綢交
易市場為實際案例，通過對中國繭絲綢交易市場ERP系統(tǒng)的信息安全分析，明確中國繭絲綢交易市場ERP系統(tǒng)信息安全的現(xiàn)狀和具體的信息安全需求，在
此基礎(chǔ)上，提出了能夠解決中國繭絲綢交易市場ERP系統(tǒng)信息安全問題的具體方案，并對該方案進行了詳細的設(shè)計：包括防火墻設(shè)計、RBAC設(shè)計及VPN設(shè)
計；論文最后，根據(jù)中國繭絲綢交易市場ERP系統(tǒng)實施過程中的信息安全需要，探討了市場ERP系統(tǒng)運行內(nèi)部和運行過程中進行風(fēng)險控制的措施。
6.期刊論文張琨 發(fā)電企業(yè)信息安全風(fēng)險分析及控制策略 -電力信息化2008,6(7)
分析了信息化發(fā)展到一定階段,發(fā)電企業(yè)所面臨的信息安全風(fēng)險,提出了改進企業(yè)信息安全狀態(tài)、防范信息風(fēng)險,提升信息系統(tǒng)安全保護等級的技術(shù)控
制策略和管理控制策略.
7.學(xué)位論文范夢雪 信息安全風(fēng)險分析方法及應(yīng)用 2005
計算機網(wǎng)絡(luò)已經(jīng)成為人們生活的重要組成部分，它在給人們生活帶來便利的同時，也帶來了很多安全問題。并且隨著信息技術(shù)的廣泛深入應(yīng)用，信
息安全問題變得越來越復(fù)雜。目前，國際上普遍采用信息安全風(fēng)險管理來解決組織的安全問題。信息系統(tǒng)運行的可靠性，與信息安全保障的準(zhǔn)備工作水
平相適應(yīng)。信息安全風(fēng)險管理是信息安全保障的基礎(chǔ)性工作。國內(nèi)外許多專家認為，信息安全風(fēng)險管理是解決組織安全問題最有效的、科學(xué)的方法。而
信息安全風(fēng)險評估是信息安全風(fēng)險管理的基礎(chǔ)，如何對組織進行信息安全風(fēng)險評估，確認組織存在的安全漏洞并及時修補，最大限度地降低組織的安全
風(fēng)險，已經(jīng)成為信息安全領(lǐng)域研究的一個重要內(nèi)容。
本文介紹了信息安全的相關(guān)概念和組織實施信息安全風(fēng)險評估的流程，在國內(nèi)外常見的幾種信息安全準(zhǔn)則的基礎(chǔ)上，構(gòu)造了基于資產(chǎn)、威脅、弱點
的風(fēng)險評估模型，并對風(fēng)險評估模型中的風(fēng)險分析階段進行詳細分析。本文中給出的信息安全風(fēng)險分析方法是基于資產(chǎn)的、定量分析與定性分析相結(jié)合
的風(fēng)險分析方法。
信息安全通常強調(diào)CIA三元組的目標(biāo)，即機密性、完整性和可用性，本文對資產(chǎn)采取CIA賦值。對資產(chǎn)、弱點以及威脅可能性采取定性分析，對威脅
的影響分析采取定量化。本文重點對資產(chǎn)、威脅和弱點的識別和賦值進行了詳細的介紹，提出將層次分析法這一傳統(tǒng)的分析方法應(yīng)用在風(fēng)險分析中，作
為組織威脅影響性這樣一個多目標(biāo)、多層次、多準(zhǔn)則、因素眾多的問題進行科學(xué)評估的有效方法，提高威脅影響性評估的準(zhǔn)確性。最后，將該風(fēng)險分析
方法應(yīng)用于移動BOSS中的計費帳務(wù)子系統(tǒng)。
8.會議論文張琨 發(fā)電企業(yè)信息安全風(fēng)險分析及控制策略 2008
分析了信息化發(fā)展到一定階段，發(fā)電企業(yè)所面臨的信息安全風(fēng)險，提出了改進企業(yè)信息安全狀態(tài)、防范信息風(fēng)險，提升信息系統(tǒng)安全保護等級的技
術(shù)控制策略和管理控制策略。
9.學(xué)位論文劉一潁 基于模糊概率的動態(tài)信息風(fēng)險評估模型研究 2009
本文的研究以山東省教育廳國家助學(xué)貸款管理信息系統(tǒng)為背景，在對信息安全風(fēng)險評估計算模型研究的基礎(chǔ)上，對信息安全和安全風(fēng)險評估的相關(guān)
發(fā)展概況、研究背景、風(fēng)險理論相關(guān)的概念和方法進行了深入研究。本文具體內(nèi)容分為以下幾方面：
(1)提出一種基于模糊概率的風(fēng)險分析方法
貝葉斯概率風(fēng)險分析模型能有效的解決風(fēng)險量化過程中的不確定性問題，包括風(fēng)險發(fā)生概率和造成損失的不確定性，為有效實施風(fēng)險管理提供依據(jù)
。在改進其計算所得的較粗粒度的風(fēng)險分析值所產(chǎn)生的度量結(jié)果的不確定性的基礎(chǔ)上提出了一種基于模糊概率區(qū)間的評估模型，提高了分析結(jié)果的準(zhǔn)確
性和風(fēng)險評估的有效性。
(2)使用進化算法對風(fēng)險評估模型進行優(yōu)化
針對評估過程中出現(xiàn)的似然值，建立了信息安全風(fēng)險分析的模糊多目標(biāo)優(yōu)化模型及該模型的求解框架，使用進化算法對風(fēng)險評估模型進行優(yōu)化；該
算法基于模糊算子進行約束處理，小生境技術(shù)和優(yōu)秀解培育過程的操作保證了解的多樣性，加速了解的收斂過程。最后給出了在模型解集合中求解最滿
意安全方案的模糊多屬性決策方法。基于信息系統(tǒng)安全評估整體框架，可以最終求解出一個整合所有安全決策人員意見、充分考慮多個決策目標(biāo)且能將
信息安全風(fēng)險控制在可接受范圍之內(nèi)的理想安全方案。
(3)本文設(shè)計并實現(xiàn)了一個基于模糊概率的動態(tài)信息風(fēng)險評估模型并且將該模型成功的引入山東省教育廳助學(xué)代理信息管理系統(tǒng)中。實驗證明，該模
塊能夠及時、合理地分析系統(tǒng)存在的風(fēng)險威脅并根據(jù)威脅等級進行不同的響應(yīng)預(yù)警，減小了風(fēng)險威脅，達到了設(shè)計的目標(biāo)，取得了滿意的效果。
針對目前研究工作中還存在不少的缺憾和不足，仍有許多可擴展的后續(xù)工作可作，信息安全風(fēng)險模型和評估方法還有待于進一步的發(fā)展和完善。雖
然目前已經(jīng)有很多的安全模型提出，但是關(guān)于風(fēng)險評估方面的模型還不多，而且目前的評估方法適應(yīng)性不強。我國已經(jīng)提出實施信息安全等級保護制度
，研究和提出適合安全等級保護制度的風(fēng)險評估模型和風(fēng)險評估方法對信息安全和風(fēng)險評估的發(fā)展將具有重要的意義。
10.期刊論文張鑒.范紅信息安全風(fēng)險分析中的故障樹方法研究 -信息網(wǎng)絡(luò)安全2006,""(10)
信息安全風(fēng)險分析方法目前是信息安全管理領(lǐng)域的熱點問題之一.其中故障樹分析方法自20世紀60年代提出以來,在許多大型復(fù)雜系統(tǒng)的安全可靠性
分析中得到了廣泛應(yīng)用,被公認為是對復(fù)雜系統(tǒng)可靠性、安全性進行分析的一種有效的方法.本文簡要介紹了信息安全風(fēng)險分析方法,并對基于故障樹的風(fēng)
險分析的建模方式和分析原理進行了詳盡的闡述.
引證文獻(4條)
1.陳天平.張新源.鄭連清基于模糊綜合評判的網(wǎng)絡(luò)安全風(fēng)險評估[期刊論文]-海軍工程大學(xué)學(xué)報 2009(3)
2.陳天平.喬向東.鄭連清.羅赟騫圖論在網(wǎng)絡(luò)安全威脅態(tài)勢分析中的應(yīng)用[期刊論文]-北京郵電大學(xué)學(xué)報 2009(1)
3.呂鎮(zhèn)邦.周波基于Shapley熵和Choquet積分的層次化風(fēng)險評估[期刊論文]-北京郵電大學(xué)學(xué)報 2009(6)
4.吳長彬.燕喬.許小東水利工程項目境外投資風(fēng)險分析及預(yù)防措施的研究[期刊論文]-西北水電 2009(6)
本文鏈接：http://d.g.wanfangdata.com.cn/Periodical_bjyddx200802012.aspx
下載時間：2010年5月28日

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

05-01