信息安全风险评估与管理的研究及应用.pdfVIP

要 随着信息技术飞速发展和网络在全球范围内的应用，信息安全事件呈逐年大 幅度上升趋势，信息安全问 开始引起人们的注意。但是仅靠技术、安全设备不 能解决信息安全遇到的所 问题，而且影响信息安全的因素涉及多个方面，其管 理是一个复杂的风险管理过程，而管理的基础在于对风险的评估与分析。 信息安全风险评估是对信息资产存在的脆弱性、面临的威胁及脆弱性被威胁 利用产生的影响和危害事件发生的可能性，进行科学的评价过程。对信息安全风 险而言，脆弱性和威胁是原因，负面影响和可能性是结果。 信息安全风险管理是一个动态的、循环的过程，在风险评估的基础上，还要 对风险控制措施加以落实，并进行有效的监督和控制。安全不是绝对的，而是相 对的，在企业实施信息安全风险管理项目时，要按照成本 效益的原则，有效整 合企业的各种资源。 本文结合国内外信息安全风险评估与风险管理的理论及方法，提出了运用 蒂（T.L.Saaty ）教授的层次分析法AHP （Analytic Hierarchy Process ）对信息安全 风险进行评估，实现从定性分析到定量分析的转化，得到风险因子的权重，并按 照风险因子权重大小进行排序，然后运用戴明(W.Edwards.Deming)博士的 PDCA （Plan-Do-Check-Action ）质量控制环，对这些风险因子进行风险管理。该论文选 用海航学院信息安全风险评估与管理作为案例，对本文提出的信息安全风险评估 与风险管理进行了初步应用，可为国内中小企业信息安全风险管理提供经验和参 考。 关键词：信息安全 风险评估 风险管理 层次分析 风险控制 1 Abstrcat The problems of the information security are trending up year after year with the flying development of information technology and the application of internet in the whole world, in that case, which begin to attract our attentions. We can not solve all of the encountered problems only by the technology or the security equipments, and the factors which affect the information security involve many aspects. So the control of the information security will be an intricate course of risk management. The basic of the management is the estimation and analysis of the risk. The risk estimation of information security is a scientific process of estimating the existing frangibility in information capital, the influence of the encountering menace and the frangibility are made use and the possibility of the harmful events happen. In terms of the information security risk, the menace and the frangibility is the reason while the negative influence and possibility is the result. The information security risk management is a d