基于BS7799标准风险评估实施性研究.pdfVIP

·42 · 计算机应用研究 2005 年 基于 BS7799 标准风险评估实施性研究* l l，2 2 李 杨 ，聂晓伟 ，杨鼎才 （l. 北京电子科技学院通信工程系，北京l00070 ；2. 燕山大学 信息科学与工程学院，河北 秦皇岛066004 ） 摘 要：英国信息安全管理标准BS7799 是很有代表性的国际风险评估标准，在深入分析BS7799 标准的基础 上，探讨了基于该标准的风险评估流程和在该流程下风险评估工具的研制，力求做到对BS7799 科学、有效的实 施。 关键词：风险评估；BS7799 ；评估流程；评估工具 中图法分类号：TP393 文献标识码：A 文章编号：l00l- 3695（2005 ）07- 0042- 03 Research on Risk Assessment ImpIementation Based on BS7799 LI Yangl ，NIE Xiao-weil，2 ，YANG Ding-cai2 （l. Dep t. of Communication Engineering ，Beij ing Electronic Science Technology Institute ，Beij ing l00070 ，China ；2. School of Inf ormation Science Engineering ，Yanshan Uniuersity ，Oinhuangdao Hebei 066004 ，China ） Abstract ：British Standard 7799 is a representative internationaI risk assessment standard. The domestic risk assessment work based on BS7799 is at initiaI stage. On the base of profound research into BS7799 ，the paper expIores the risk assessment fIow based on the standard and the deveIopment of a risk assessment tooI under the fIow ，aiming to impIement BS7799 scientificaIIy and effectiveIy. Key words ：Risk Assessment ；BS7799 ；Assessment FIow ；Assessment TooI BS7799 的工作刚刚起步，还没有建立起科学、有效的风险评估 1 引言 流程，评估工作主要采取手动进行，相应的风险评估工具匮乏。 随着信息技术的发展，信息系统的安全状况也越来越得到 由此带来的缺陷是：工作量大、周期长、主观性强，不能准确、及 重视。传统的信息安全建设往往单一依靠技术手段，暴露出了 时地为系统的安全建设提供有效的指导与改进。所以国内迫切 很大的局限性。人们逐渐认识到信息系统的安全应从系统工 需要规范评估流程，开发出自动化程度较高的风险评估工具。 程的角度来看待，风险评估在这项系统工程中占有很重要的地 基于以上几点，本文探讨了基于BS7799 的风险评估流程 位，它是该项工程的前提和基础。风险评估是对系统的所有安 以及在该评估流程下工具的设计与开发，力求做到对BS7799 全要素的多种评测数据进行分析、统计，以确定系统存在的安 的有效、灵活应用，丰富我国风险评估体系。