【硕士论文】基于系统动力学的信息系统安全风险管理的研究.pdf

《【硕士论文】基于系统动力学的信息系统安全风险管理的研究.pdf》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、哈尔滨工程大学硕士学位论文摘要随着Internet的普及和全球信息化的不断推进，信息系统已经成为组织赖以生存的重要战略资源，保障其信息安全的重要性也受到广泛关注。组织信息系统的安全一旦遭到破坏，不仅会使组织信息的安全属性遭受损害，而且会对组织业务运行造成巨大影响，其损失不仅包括经济方面，还对组织形象、声誉甚至是战略性竞争优势造成致命损伤。因此，对信息系统安全开展风险管理显得十分必要。为了有效地对信息系统安全进行风险管理，本研究从管理科学角度出发，利用擅于解决动态复杂问题的系统动力学方法，建立系统动态模型，针对信息

2、系统安全风险识别、风险评估、风险控制的应用做一系列分析，并提出对策，证明了系统动力学在信息系统安全风险管理领域应用的可行性。本文的创新之处在于：一、将信息系统安全风险进行系统化的研究，并将其构建成包含硬件系统风险、软件系统风险、工作环境风险、人为风险、数据风险5个子系统的大系统。二、通过对信息系统安全风险因素的分析与提炼，构建了信息系统安全风险系统动力学模型。三、通过采用系统动力学仿真分析，得出以下结论：信息系统安全风险是一个随时间变化的动态系统；信息系统的风险影响因素与信息系统风险正相关：人为风险和软件系统风险

3、在信息系统安全风险管理中占有重要的地位。本研究旨在把系统动力学知识引入信息系统风险管理中来，提出一种研究信息系统安全新思路，希望能为从事该领域分析的研究人员及管理决策者提供有益的参考。关键词：信息系统安全；风险管理；系统动力学哈尔滨工程大学硕士学位论文第1章绪论1．1论文选题背景及目的、意义1．1．1论文的写作背景随着以计算机和网络通信为代表的信息技术的迅猛发展，现代政府部门、金融机构、企事业单位和商业组织对信息系统的依赖也日益加重，信息技术几乎渗透到了世界各地和社会生活的方方面面。当前组织机构的正常运行高度依赖

4、信息系统，人们总是希望信息化能够带来更多的便利，但是这些网络和信息系统自身的特点与局限性决定了它们的发展和应用必将遭受网络黑客、木马、病毒、恶意代码、物理故障、人为破坏等各方面的威胁，信息系统安全问题所导致的损失成倍地增长。其所承载的信息和服务在保密性、完整性、可用性、可控性等方面一旦出现缺陷，都将给组织机构带来负面影响。2008年3月，国家计算机网络应急技术处理协调中心(CNCERT／CC)发布2007年网络安全工作报告，报告数据显示：我国2007年植入木马的IP达90万台，比06年增加了21倍，CNCERT／

5、CC共发现在1．7万个控制服务器中，有l万个境外控制服务器对我国大陆地区的主机进行控制。身份证盗窃反应中心(ITRC)是帮助身份证盗窃受害者的一个非盈利组织。据ITRC称2008年第一季度数据突破事件的数量比2007年同期增长了一倍多。ITRC截至到4月1日，这个中心记录的安全突破事件为167起，8，391，871个人员的记录被曝光。特别是HannafordBros商店的安全突破事件造成了大约420万信用卡和借记卡号码处于危险的境地。ITRC总经理JayFoley说，该中心跟踪的数据显示，2006年遭到安全突破的

6、商业企业占21％，这个比例在2007年提高到了29％，在2008年第一季度提高到了36％。可见保护信息系统安全的形式十分严峻。《2006—2020年国家信息化发展战略》和国家“十一五"信息化规划中都明确提出，要尽快构建国家、地、行业、部门等各层次的信息安全保障体系。在这种情况下，对一个信息系统来说，解决信息安全的首要问题就是明白信息系统目前与未来的风险所在，充分评估这些风险可能带来的威胁与影哈尔滨工程大学硕士学位论文响的程度，做到“对症下药”。因而，研究受到越来越多的研究人员的关注，研究方向。1．1．2论文写作目

7、的和意义信息系统安全评估相关方法和技术的成为近年来信息安全领域的一个重要在信息时代，信息化是一把锋利的双刃剑，信息化程度越高，信息安全问题往往也异常严重。怎样确保网络信息系统能够在长时间内处于较高的安全水平，是目前急需解决的问题。信息系统安全管理是一个过程，而不是一个产品，不能期望通过一个安全产品就能把所有的安全问题都解决。安全管理的本质是风险管理，这是因为安全与风险是一对与生俱来又密不可分的矛盾因素，没有绝对的安全，也没有彻底的危险。信息系统安全的风险管理可以看成是一个不断降低安全风险的过程，其最终目的是使安全

8、风险降低到一个可接受的程度，使用户和决策者可以接受剩余的风险。而信息安全的风险评估是风险管理的主要内容。对组织来说，解决信息安全的首要问题就是要对组织自身网络与信息系统所面临的风险，包括这些风险可能带来的安全威胁与影响的程度，进行最充分的分析与评估。只有遵照国际信息安全管理标准，采用科学有效的模型和方法进行全面的安全评估，才能真正掌握组织内部信息系统的整体安全状况，分析各