信息系统安全风险评估

《信息系统安全风险评估》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、信息系统安全风险评估陈鍊文巨峰韩冰青（南京审计学院计算机科学与技术系，南京210029）E-mail：l.chen@jlonline.com摘要文章在介绍有关信息系统安全风险评估概念基础上，提出了一种以人为定性评估与灰类综合定量评判相结合的信息系统安全风险评估模型，并分析了该评估模型的优缺点。关键词信息系统安全风险灰色系统评估模型文章编号1002-8331-（2006）04-0145-04文献标识码A中图分类号TP309；N945.16TheEvaluationofInformationSystemSecurityRisk

2、ChenLianWenJufengHanBingqing（DepartmentofComputerScienceandTechnology，NanjingAuditUniversity，Nanjing210029）Abstract：Introducingtheconceptionofinformationsystemsecurityrisk，followingtheinternationalandnationalstandardsaboutthat，ameasuringmodelforinformationsystemse

3、curityriskisproposedinthispapercombinedthesubjectivequalitativeevaluationwiththequantitativesyntheticdecisionbasedongraysystem，theadvantageandweaknessforthatassessingmodelisalsoputatlast.Keywords：informationsystem，securityrisk，graysystem，measuringmodel1引言（2）降低风险——

4、针对潜在产生的风险，采取相应的保障信息和信息系统对于人类社会的生存发展变得越来越重措施降低风险影响。要了，信息给人类社会创造了无限的财富，以至于信息和信息（3）转移风险——将潜在的风险改变到其它资产、其它过系统本身已经毫无争议地成为一个组织、一个国家资产的一部程、其它组织机构去承受。分，而且还是重要的资产；信息和信息系统如同人类历史上其（4）接受风险——信息系统风险事件的损失价值低于采取它先进技术，也是一把双刃剑，在造福于人类社会的同时，也给防范措施的成本，与该风险相关的信息资产不值得保护。这是人类社会带来越来越多的损失和

5、危害。人们越来越意识到信息需要谨慎采取的消极决策。和信息系统安全的重要性——从通信保密到计算机主机安信息系统安全和安全风险的主要特性：全[1]，从信息安全到信息保障[2]，逐步完善对信息和信息系统安（1）系统性。不同于产品的安全性，信息系统的安全性是一全的全面认识。信息系统安全评估在这其中就占有举足轻重的个多维空间且相互关联的系统概念，信息系统的安全及其风险地位。国内外有关信息产品安全的检测相对已经比较成熟，而控制是由产品、过程、技术、管理、基础设施、法规、人员等多因信息系统的安全评估还有待深入研究。一个信息系统是否安素、

6、多成分组成的复杂系统工程；一方面，任何一部分的疏忽漏全？安全程度如何？信息系统安全风险可以作为一个较理想的洞都可以构成整个信息系统的安全风险事件，另一方面，其它测度。部分的有效控制措施又可以反过来降低该薄弱部分的风险等级，即系统各个部分是有机关联的整体。2信息系统安全风险评估概念（2）动态性。信息系统的安全风险存在于系统的开发、运行信息系统安全风险（Risk）就是信息系统潜在的安全危险、整个生命周期，直至系统消亡，而且安全风险还随着系统运行、可能发生影响信息和信息系统安全导致系统资产损失的事件。时间推移不断变化，因此信息系

7、统安全保障本身就是一个逐步显然，信息和信息系统安全风险与信息和信息系统安全是相对完善的过程。于同一信息系统的互补概念，风险越大安全性越小，反之，风险（3）相对/绝对性。在采取风险应对策略措施后，风险只能越小安全性越大；换句话说，信息系统安全风险就是信息系统暂时或在一定程度上避免，不可能完全消除，这是安全的相对安全的一个测度。性、风险的绝对性。信息系统也不例外。信息系统安全风险的应对策略与一般风险的应对策略一由于风险的动态性、绝对性，不可能也不必要完全消除风样，基本有四种[3]：险——风险越小，安全成本越高；反之，安全成本越

8、低，风险越（1）规避风险——针对风险事件的产生原因，设法避免风高。在采取应对策略安全保障措施后，信息系统存在的风险就是残余风险（ResidualRisk）[4]。正因为不存在绝对的安全，所险可能成为事件现实、降低风险发生的概率（可能性）。基金项目：江苏省高校自然科学资助项目（编号：02KJD120001