浅谈高校信息安全风险评估的论文

《浅谈高校信息安全风险评估的论文》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、浅谈高校信息安全风险评估的论文1信息安全风险评估的含义、方法及模型　　1.1信息安全风险评估的含义　　信息安全风险评估是从风险管理角度出发，构建风险评估模型，建立风险评估体系，运用风险评估方法，系统地分析信息系统所面临的风险威胁及系统的脆弱性/漏洞，评估风险发生带来的危害程度，提出应对风险的安全控制措施，规避和控制信息安全风险，降低风险发生的概率，将风险控制在可承受的范围，为信息安全风险评估提供科学依据。　　1.2信息安全风险评估的方法　　随着信息安全风险评估研究工作的不断深入，形成了多种不同的信息安全风险评估方法，这些方法的出现大大

2、缩短了信息安全风险评估的时间，节省了大量的资源，提高了信息安全风险评估的效率和准确性，为防范信息安全中出现的风险提供了理论依据[3]。目前，常用的信息安全风险评估的方法有定量评估方法、定性评估方法和定性与定量相结合的综合评估方法。其中，定量评估方法是根据信息系统中风险相关数据，利用具体的评估算法计算出评估结果，并对结果进行分析，它能够直观地反应评估结果，更容易被人们接受。但是该方法主要依赖于数学模型来描述风险，在量化的过程中将原本复杂的事物理想化，一般适用于风险评估材料齐全且数学理论基础较好的情况，常见的定量评估方法有Markov分析

3、法、聚类分析方法、决策树分析方法、风险审计技术等。定性评估方法是评估者利用自己拥有的专业知识和积累的经验对信息系统存在的风险进行识别和评价，并提出应对风险的安全控制措施。它对评估者知识和经验的要求较高，一般适用于风险评估数据不全或者数学理论基础较为薄弱的情况，常见的定性评估方法有故障树分析法（FTA）、故障模式影响及危害性分析方法（RMECA）、德尔菲法（Delphi）等。在风险评估的实际过程中，采用较多的是定性与定量相结合的综合风险评估方法，该方法可以将复杂问题按照层次化结构分解成多个简单的问题进行分析，大大节省了评估时间、人力和费

4、用，提高了风险评估的准确性和效率，常见的定性与定量相结合的综合评估方法有层次分析法。　　1.3信息安全风险评估的模型　　[4]信息安全风险评估模型是信息安全风险评估的理论基础，是提高信息安全风险评估准确性和效率的重要前提。信息安全风险评估模型如图1所示，造成信息安全风险的主要因素有威胁、信息资产、信息系统的脆弱性及漏洞和未被控制的残余风险，信息系统的威胁越大、脆弱性越暴露、漏洞越多、信息资产的价值越大、未被控制的风险越多，则信息系统面临的风险也越多，风险越多，信息系统的安全性越低。业务系统主要依赖于服务器和软件等信息资产，业务系统越关

5、键，对服务器等硬件和软件资源的要求就越高，被攻击的价值也就越大，面临的风险也就越大。资产的价值和防范风险的意识会导出信息系统的安全需求。当信息系统的安全需求被相应的安全控制措施满足时，就会降低发生风险的概率。然而有些风险由于成本过高、控制难度较大，往往不进行控制，这部分不被控制的风险具有潜在的威胁，应该受到密切监视，它可能会增加信息系统的风险。　　2高校信息安全面临的风险及应对策略分析　　随着高校数字化校园建设和信息化建设的不断推进，高校业务处理对信息系统的依赖性越来越强。由于部分高校缺乏危机意识、防范风险的制度和措施，没有一套完善的

6、信息系统风险评估体系预防风险，当遇到信息安全的突发事件时，只能被动地采用“救火式”的方法处理风险危机，使得信息系统面临的风险不断增加。为了及时应对信息系统面临的各种风险威胁，各个部门、各个环节应密切配合、协调，对高校信息安全面临的各种风险及应对策略应进行调研分析，建立信息安全的风险评估体系，实现风险评估的规范化和制度化，逐步形成监控风险和控制风险的有效机制[5]。　　2.1高校信息安全面临的风险分析　　高校信息安全面临的风险一般可以分为技术脆弱性/漏洞风险和非技术性风险[6]。　　2.1.1技术脆弱性/漏洞风险　　高校信息系统面临的技

7、术性/漏洞风险主要包括数据存储风险、系统权限设置风险、软件编码风险、硬件设备风险和X络安全风险等。其中数据存储风险主要体现在数据存储空间不足、数据备份策略不健全、数据库安全性低容易导致SQL注入篡改数据库中的数据、数据不被加密在传输过程中容易被篡改或删除、数据库结构不合理等方面；系统设置权限风险主要体现在访问控制策略失效、系统访问权限过大、客户身份认证失败等；软件编码风险主要体现在操作失误、系统漏洞、系统接口不安全、代码健壮性差、系统运行环境改变等；硬件设备风险主要体现在服务器配置过低、物理设备损坏、X络带宽不足、X络硬件防护设备不齐

8、全等；X络安全风险主要体现在X络恶意攻击使X络瘫痪、服务劫持、拒绝服务、利用端口漏洞破坏系统、内外X设置缺陷、X站挂马、非法访问系统、窃取和篡改X络传输数据等。　　2.1.2非技术性风险　　高校信息系统面临的非技术性风险