bs7799标准分析供参习.docVIP

一个基于BS7799标准的风险分析方法* 聂晓伟1 2, 张玉清1, 杨鼎才2, 韩权印13 (1中科院研究生院国家计算机网络入侵防范中心，北京 100043) (2 燕山大学信息科学与工程学院，河北秦皇岛 066004) (3西安电子科技大学计算机学院，陕西西安 710071） niexw@ 摘要：英国信息安全管理标准BS7799是国际上有代表性的风险评估标准。本文首先分析了BS7799的结构特点，进而研究了当前主要的风险评估分析方法，旨在探讨一套能够对BS7799标准进行改进、定性和定量相结合的风险分析方法，以克服单一分析方法的不足。在具体设计风险分析方法时，采取故障树和风险模式影响分析相结合的方式对BS7799进行了实施与应用。并将该套方法在实际的风险评估工具的设计中进行实现，收到了较好的效果，从而验证了方法的科学性和可行性。 关键词：风险评估；BS7799；风险分析方法； 1 引言 随着信息系统的发展，系统规模不断扩大。单一依靠技术手段的传统网络安全暴露出了很大的局限性。人们逐渐认识到，信息系统的安全应从系统工程的角度来看待。风险评估在信息安全系统工程中占有很重要的地位，它是信息系统安全的基础和前提。当前信息安全对风险的科学定义[1]是：特定的威胁利用资产的一种或一组薄弱点，导致资产的丢失或损害的潜在可能性。即特定威胁事件发生的可能性与后果的结合。风险评估就是对系统的所有安全要素的多种评测数据进行分析、统计、以确定系统存在的安全隐患和风险级别。根据评估结果向系统管理员提供周密可靠的安全性分析报告，为提高系统安全整体水平提供重要依据。当前风险评估研究的重点在于标准的制定和评估工具的开发与应用。 目前关于风险评估的标准很多，如CC[2]、SSE-CMM[3]、BS7799[4]等，其中英国标准机构（BSI）制定的BS7799是目前国际上具有代表性的信息安全管理标准。 BS7799围绕风险评估从管理和技术两方面建立了一整套信息安全评估体系。国外已针对该标准开发出相应的风险评估工具，比较著名的有Cobra、Panach等。但国内目前还没有开发出类似的评估工具，针对该标准的评估工作还是采用手工进行。风险评估工具首先要完整、有效的体现BS7799标准，然后依据标准对评估系统进行行之有效的风险分析。这些都需要一套科学、可行的风险分析方法。它是评价一个评估工具质量的重要方面[6]。 本文围绕BS7799标准设计了一套定性、定量相结合的风险分析方法，并将其应用到评估工具的设计中，力求实现对BS7799标准科学、有效的应用。 2 BS7799标准 BS7799标准包括两部分：BS7799-1:1999《信息安全管理实施细则》；BS7799-2:2002《信息安全管理体系规范》。其中BS7799-1:1999于2000年12月通过国际标准化组织（ISO）认证正式成为国际标准，即ISO/IEC 17799:2000。它是被ISO认可速度最快的一个标准，由此也可看出风险评估是信息安全的一个重要发展方向。 在BS7799标准的两部分内容中，第二部分明确提出了安全控制要求，第一部分则对应给出了通用的控制措施。可以说，BS7799第一部分为第二部分的具体实施提供了指南。由于第二部分主要在认证时使用，因此主要基于BS7799 -1：1999《信息安全管理实施细则》来设计风险评估工具。BS7799-1:1999(ISO/IEC 17799) 是一个非常详尽、复杂的信息安全管理标准层次体系，共分为四层内容：首先按照信息安全的十个核心领域组织为十个管理要项，其中既包含偏重于管理的信息安全方针、安全组织、人员安全、业务连续性等方面，也有偏重于技术的通信和操作管理、系统访问控制、系统开发和维护等内容，每一部分都针对不同的主题或范围。在这十大管理要项中，BS7799又细分了36个管理目标、127个控制措施，若干个控制要点。从而涵盖了当前信息安全应该考虑的各个主要方面。 BS7799的科学性和有效性在具体的风险评估中得到了充分验证，但还存在一些不足之处。其中一个重要不足就是对标准中每个安全要素风险事件发生的危害程度分析不足，没有建立对系统整体风险贡献程度系数，容易让人误解各个安全要素同等重要，而事实并非如此。 另外尽管BS7799完整覆盖了当前信息安全中的所有内容，提供了统一的规范和要求。但标准中并没有如何对该标准进行实施的说明，同时标准自身也具有很鲜明的特点，所以很有必要针对该标准设计一套分析方法和评估工具，从而做到对其有效、灵活的应用与实施。 3 风险分析方法 风险分析方法一般可分为定性分析、定量分析方法。 定性分析方法是一种典型的模糊分析方法。其主要依据研究者的知识及经验、历史教训、政策走向以及特殊变例等非量化资料对系统风险状况做出判断。定性分析方法的优点