信息安全的主观定量和客观定性-论文.pdf

《信息安全的主观定量和客观定性-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、观点Vi，()iJ】f●蒋■宁始胜璇郭觏赴o●■隧■Ⅱ企业信息安全管理者总是希望能有些具象化的信息安全于主观，故仍可能会在数值刻画的外衣之下，掩盖着风险指标来评判其关注范同内信息安全的状态，如果存在有效的判定地主观臆断。为了克服这个缺陷，需要借助量化部分机制来度量信息安全，那么就能有效地做出信息安全相关的来控制主观部分。例如，对每类风险要素的量化指标给L叶I决策。例如，若能确切地刻画出企业信息资产的风险状态，明晰的准则，对风险要素的赋值采用某种投票和争辩机就不会无的放矢地采用数据资产保护策略和安全控制。在管制，对风

2、险计算采取某种基于业务的系数平衡，如采用按理上常讲，没有度量就没有控制，没有控制就没有管理，这业务人员的理解对信息安全风险的加权或调权等。总而言对信息安全管理也不例外。但长期以来，在企业信息安全管之，主观量化的关键在于要设法控制量化部分的随意．以理实践中没有发现类似“库存”、“现金流”这样有效地运降低无依据的风险评定。用于企业管理并可进行横向比较的评价指标。客观定性评估模式更多地用在宏观的信息安全态势判定对企业信息安全状态的评价或度量，有四种基本的模上，对风险程度的刻画往往是描述性的。例如，“信息安式：主观定性、主

3、观定量、客观定性和客观定量。主观定全面临着严峻的挑战”，“信息安全取得了根本f生的改观”性即信息安评估人员凭借个人意识来判断信息安全“好”等。但客观定陛方法要求这些判定是需要有着充分的证据作或“坏”，这基本属于拍脑袋决策，判断是随性地主观臆为支持的(Evidenee--ba~'：x1)。充分的证据意味着要有客观存在的断。除t1~i．3z估人员经验丰富并对评估环境有着深刻的理事实、这些事实与结论直接相关、并且这些事实不是~-0．4N。解，否则很难相信他们的判断。这种决策方式完全不是工例如“由于采用某种安全技术，故相关

4、的风险得到有效的控程方法，而是一种赌博。客观定量是依据客观有效的信息制”这样的表述客观定『生的角度就存在着问题。首先安全安全指标来量化信息安全状态，显然这是一种理想的模技术依托于安全产品，有可能技术是有效的，但产品无效或式，但如前所述，信息安全领域尚无通用、有效的量化指存在缺陷，因此事实与结论不直接相关；其次很少有风险控标。这是风险要素的不确定性和缺乏充分了解历史风险数制仅仅依赖一项技术，更多的情形是风险控制需要人员、过据造成的困境，可能还需走很长的路才能使得信息安全的程和技术的结合才能有效，故有可能是特例。客观量

5、化成为可行的工程实践。面对这样的情形，只有从随着信息和通信技术(ICT)的高速发展，基于ICT的二者之问(即主观定量和客观定性)来求得一定程度的应用已渗入到社会各个方面，成为了个人生活、企业使解。在一定条件下，主观定量和客观定性确实可以成为帮命和国家关键基础高度依赖的技术，为其提供保障的信息助企业确定信息安全风险状态的工程手段。安全自然成为万众瞩目的领域。网络空间敌对势力和恶意主观定量(或主观量化)在风险评估中常常会用到，分子的种种行为，也将我们的网络空间变成一个谈虎色变例如将风险要素(如威胁、资产价值等)划分为1

6、～3或的场所，但缺乏客观基础的问题评估对问题解决无济于1～5-I"-等级，在实际评估过程中将具体风险要素赋值，事；凭借拍脑袋来判断风险、处置风险也同样无济于事。然后根据赋值来计算最终的风险值(如将风险要素值相因此，无论目前信息安全挑战有多大，我们的技术基石={；如加)。这样的风险评估过程是个量化过程，可方便利用各何，首先需要的是客观和冷静的风险判断。这样才能将稀种图表来展示各类风险的大小、分布和对比关系，也可方缺资源有效地用在关键风险的控制上，才能脚踏实地不断便地基于量化结果来决定风险处置策略。但由于量化来自提升我

7、们的信息安全能力。(本栏责编：晨阳)201409／115