信息技术安全系统的风险评估问题

《信息技术安全系统的风险评估问题》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、信息技术安全系统的风险评估问题计算机：焦世斗物理：宋世巍电子：张弘摘要本文把信息技术安全系统的风险评估问题归为一类优化问题。是学校在以用户效率、机会成本为约束条件下，寻找能使总成本最小的措施的优化组合模型。通过对数据的分析和题中所给条件，我们认为、、影响机会成本，并存在一个经验初始值（均在0到1之间），每项措施会对、、产生影响，进而会对机会成本（和它发生的概率）、总成本产生影响，。在以用户效率、机会成本为约束条件下，求总成本的最小值。因此我们建立这样的模型：和通过对结果的分析，根据事件的独立性，我们把公式（6）、（7）、（8）换成概率并联公式

2、并对用户效率加一考虑，得到一个优化模型。再进一步分析，我们把各个小项独立开来研究它们对系统的影响，首先通过程序剔除了一些明显不符合要求的措施。然后，我们为每一个小项，按其对总成本影响的大小，赋予不同的优先级，进而通过优先选择的方法来求解最佳的组合。模型的公式概括如下：最后，我们将简单讨论此模型的通用性。10一、问题重述一台计算机如果受到黑客或者病毒攻击，其中重要的个人信息和软件就有可能丢失。为减少黑客或病毒造成的损失，需建立相应的信息术安全系统。通过对一个大学的相关IT系统安全措施（包括技术和政策两方面）分析，我们的任务是：1、建立一个模型，

3、该模型可以用来确定一所大学的IT安全系统所采取的政策和技术是否适当。通过计算机会成本、采购及维护设备费用以及培训系统管理员等各项费用总和，评估一个IT安全系统的优劣，从而得到防御措施（政策和技术两方面）的最佳组合。2、试讨论所给模型的通用性。二、基本假设与符号说明1、基本假设：假设1：每一项措施都是独立的，相互之间没有影响；假设2：、、之间是独立的，相互之间没有影响；假设3：、、自身效果可以积累，但不是简单的线性关系；假设4：生产效率对其它的影响我们暂时可以忽略；假设5：由于人员薪金固定，故在评估系统时可以只考虑变动因素（机会成本、措施费用等

4、），而不考虑薪金的因素。2、符号说明：---------总成本（包括机会成本和总费用，不包括雇佣管理员等固定花费）；---------某一项风险事件可能产生的最大机会成本；---------某一项风险事件发生的概率；------采用各项措施的总费用；------采用项措施等价为一个措施后对系统的累计影响值；-----采用项措施等价为一个措施后对系统的累计影响值；------采用项措施等价为一个措施后对系统的累计影响值；，，------分别为第n项措施的、、值；------第项措施的总费用（包括维修费，培训费等）；-------所采取的措施集；

5、-------某一项措施。各项措施明细表：（见下页表（一））10M1Host-basedFirewallM2Network-basedFirewallM3Host-basedAnti-VirusM4Network-basedAnti-VirusM5Network-basedIntrusionDetectionSystemM6Network-basedSPAMFilterM7Network-basedVulnerabilityScanningM8DataRedundancyM9ServiceRedundancyM10StrongPassword

6、sM11NoPasswordPolicyM12FormalSecurityAuditsM13DisallowWirelessM14AllowWirelessM15RestrictRemovableMediaM16UnmonitoredPersonalUseM17RestrictedPersonalUse/DetailedUserTrackingM18UserTrainingRequiredM19SysAdmiTrainingRequired表（一）三、模型的建立（反正切模型）在未采取措施时，C、I、A对机会成本损失的概率有影响，此时C、I、A

7、应存在一个经验初始值、、，从而产生初始的机会成本。每个大项措施中都包含几个小项措施，每个小项措施的采用又都会对系统的C、I、A作用，使它们发生改变，进而影响机会成本损失的发生概率Pi，改变机会成本值。同时，措施也将增加费用，影响用户的效率。把19大项看成是固定的，以机会成本、费用和效率为约束条件，求总成本最小值。图：10图（一）根据以上分析，我们初步建立起一个模型：和在（9）式中选取适当的C0、I0、A0，由（5）—（8）式分别得k项措施确定的C、I、A值，再由（2）—（4）式分别得k项措施引起机会成本概率、措施总费用和总机会成本，由（1）式

8、总成本函数得总成本。其关系可以用下面的框图表示：C，I，A，Cost，F(x,p),Y图（二）四．数据的处理数据分析与选取：对于表中的各个improvement概率