信息安全风险计算模型的研究与实现

《信息安全风险计算模型的研究与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、电子科技大学UNIVERSITYOFELECTRONICSCIENCEANDTECHNOLOGYOFCHINA工程硕士学位论文ENGINEERINGMASTERDISSERTATION论文题目信息安全风险计算模型的研究与实现工程领域软件工程指导教师李毅超教授作者姓名党莉萍班学号200692314023分类号密级注1UDC学位论文信息安全风险计算模型的研究与实现（题名和副题名）党莉萍（作者姓名）指导教师姓名李毅超教授电子科技大学成都马学林高工宁夏吴忠市水务局宁夏（职务、职称、学位、单位名称及地址）申请专业学位级别硕士专业学位类别工程硕士工程领域名称软件工程提交论文日期2

2、009.3论文答辩日期2009.6.1学位授予单位和日期电子科技大学答辩委员会主席评阅人2009年6月5日注1：注明《国际十进分类法UDC》的类号独创性声明本人声明所呈交的学位论文是本人在导师指导下进行的研究工作及取得的研究成果。据我所知，除了文中特别加以标注和致谢的地方外，论文中不包含其他人已经发表或撰写过的研究成果，也不包含为获得电子科技大学或其它教育机构的学位或证书而使用过的材料。与我一同工作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢意。签名：党莉萍日期：2009年6月4日关于论文使用授权的说明本学位论文作者完全了解电子科技大学有关保留、使用

3、学位论文的规定，有权保留并向国家有关部门或机构送交论文的复印件和磁盘，允许论文被查阅和借阅。本人授权电子科技大学可以将学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存、汇编学位论文。（保密的学位论文在解密后应遵守此规定）签名：党莉萍导师签名：李毅超日期：2009年6月5日摘要摘要信息安全技术自问世以来，已有四十余年的历史。多年来，人们凭借着日益丰富、完善的安全技术解决了一个又一个的安全难题。但随着社会化信息步伐的加快和网络的日趋庞大，安全事件的发生率已远远超出了以往任何时期，纯粹、被动的技术手段已经不能应付日益增长的安全威胁。因此

4、，人们提出了安全风险评估的思想。风险评估采取防患于未然的主观态度，技术与管理并重，通过识别信息系统中导致安全事件发生的各风险因子，评估各安全事件发生的概率及其造成的损失，来确定系统目前面临的安全风险，并针对各风险情况，有针对性、有区别地给出对应的风险控制措施，达到保障系统相对安全的目的。风险计算是风险评估及风险管理的重要前提。本文基于风险评估核心思想，从风险评估及其计算模型的现状入手，介绍了风险评估体系中的评估工作模式、流程、评估标准体系、评估工具等基础理论，重点讨论了基于风险要素的评估模型和风险分析计算方法。在此基础上，建立了一种新的安全风险计算模型。该模型综合考虑

5、了资产价值、安全措施强度、单独安全威胁及其威胁相互作用对整个系统安全带来的影响，并对计算的复杂度作了科学、恰当的控制，有效地提高了评估结果的客观性和准确性，解决了以往计算模型考虑不全面、计算结果不准确的问题。最后，本文以面向对象理论为指导、借助数据库的支持，将该计算模型应用于安全风险评估工具的开发过程中，并通过在实际应用中提取的一组实验数据，来验证其可行性。关键词：信息系统，风险评估，计算模型，风险管理，关联威胁IABSTRACTABSTRACTTherehasbeenmorethanfortyyearssincetheadventofinformationsecur

6、itytechnology.Overtheyears,peoplesolveonesafetyproblemafteranotherbyvirtueofanincreasingrichandsophisticatedsecuritytechnology.However,withtherapiddevelopmentofinformationtechnology,theincidenceofsecurityincidentshasgonefarbeyondanypreviousperiod.Thepure,passivetechniqueshavebeenunablet

7、ocopewiththegrowingsecuritythreat.Therefore,weputtedforwardtheideaofsecurityriskassessment.Riskassessmentconsidernotonlytechnologybutalsomanagement,canassesstheprobabilityofthepotentialdangeranditslossesatthebaseofidentifyingriskfactorsintheinformationsystemwhichmaycoursesecuri