资源描述：
《探析ambra在信息系统安全风险评估中的应用》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。
1、重庆大学硕士学位论文AMBRA在信息系统安全风险评估中的应用硕士研究生：吴东民指导教师：黄勤教授学科、专业：控制理论与控制工程重庆大学自动化学院二OO七年十一月MasterDegreeDissertationofChongqingUniversityAMBRAatInformationSystemsSecurityintheApplicationofRiskAssessmentM.D.Candidate：WuDongmingSupervisor：Prof.HuangQinMajor：ControlTheory&ControlEngineering
2、CollegeofAutomationChongqingUniversityNovember2007摘要信息系统的安全管理是一个复杂的系统工程，在这项系统工程中，信息系统安全风险评估模型的建立具有核心的地位，它是确保信息系统安全的基础和前提。本论文将在一般风险评估架构AMBRA（ArchitecturalframeworkforModel-BasedRiskAnalysis）的基础上研究信息系统安全中的风险评估模型，侧重于从两类利益相关者的角度出发，研究一种基于资产、威胁、脆弱性和风险的综合信息安全风险评估模型。在任何系统的开发和运行期，风险评估
3、都有益于提高系统的安全性，可靠性，鲁棒性和成本效益。在一个具体的问题域或根据系统的需要，通常采用其特定的风险分析方法,但AMBRA强调的是在不同问题域的大多数风险分析术语具有共同之处，即不同域之间的评估方法间具有可互用性，这样在设计某个问题域的风险分析方法时，可以借鉴其它域中评估方法的一部分。AMBRA是一个基于模型的风险评估的体系结构架构，它为基于模型的风险分析方法提供了一个基本的架构。它综合了现有的风险分析方法CORAS和IEEE-1471标准“软件密集型系统体系结构描述的推荐实践”。该架构包含的术语来自于风险分析和基于模型的体系结构描述这两
4、个方面，其系统定义和术语通用于大多数问题领域。AMBRA认为一个好的目标系统的描述对风险评估是极其重要的，风险评估模型将有助于参与者理解信息系统安全方面的抽象本质。论文采用AMBRA的术语分析了信息系统安全要素间的相互关系和相对重要度，然后给出了信息安全的一般风险评估流程。结合AMBRA的术语和信息安全风险评估流程，从两类利益相关者的角度出发，设计了一个基于资产、威胁、弱点的信息安全风险评估模型，该模型为信息安全评价体系提供了一种简单、实用、高效的评价模型。依据模型所计算的信息安全风险值可直接作为企业决策者关于信息安全风险投资决策的依据。关键词：
5、风险评估，体系结构，AMBRA，利益相关者，资产,威胁,脆弱性IABSTRACTTheinformationsecuritymanagementiscomplicatedsystemengineering,andtheinformationsecurityriskassessment,whichisthefoundationandpremiseoftheinformationsecurity,playsanimportantroleinthissystemengineering.Basedonthegeneralriskanalysisarchi
6、tectureAMBRA（ArchitecturalframeworkforModel-BasedRiskAnalysis）,thispaperwillresearchonthemodelofsecurityriskanalysisofinformationsystem.Insecurityriskanalysisofinformationsystem,basedontheviewpointsofdifferentstakeholders,wewillfocusourmodelontheassets,risks,threatsandvulnera
7、bilitiesofthesystem.Thispaperbuildsonthegenerallyacceptedviewthatriskanalysisduringdevelopmentandoperationofsystemsfacilitatessecurity,safety,robustnessandcosteffectiveness.Inaspecialdomain,oraccordingtotherequestofthesystem,AMBRAemphasizesthatmuchoftheriskanalysisterminology
8、iscommonevenifitisusedondifferentdomains,arrangingforinteroperabilit
