吕金娜,麻信洛,张志军

（1.河南科技学院,河南新乡453003；2.空军95824部队,北京100195）

信息安全风险评估通用模型研究

吕金娜1,麻信洛2,张志军2

（1.河南科技学院,河南新乡453003；2.空军95824部队,北京100195）

信息安全风险评估是信息安全系统工程的重要组成部分,是建立信息系统安全体系的基础与前提.针对目前风险计算缺乏统一的标准和具体的计算方法,结合实际的风险评估工作,提出了一种信息安全风险评估的通用模型.通过分析系统的资产、弱点和威胁,根据安全设备产生的安全事件,实时地评估信息系统风险的方法,为有效地进行风险评估提供了通用可行的方案.

信息安全；风险评估；决策模型；风险计算；量化分析

建立信息安全管理体系已成为目前保证信息安全建设的首要任务,风险评估是信息安全管理的最根本依据,也是信息安全领域内最重要的内容之一[1].风险评估的目标是结合信息安全的实际情况,评估各项威胁对信息系统造成的影响,综合现有的防护措施,采取适当的控制,可使风险被避免、转移或降至一个可以接受的水平.因而建立一套信息安全风险评估体系,辅助企业实现信息安全策略,是信息化建设的迫切需求[2].

信息安全是一个整体性概念,涉及多个层面、多个因素,具有不确定性和复杂性.评估需要从多种相互矛盾的指标,定性、模糊的认识,用户实际应用的感知等中提取可用于评判的关键因素.而在实际应用中,有些指标容易……