一种实用可行的信息资产登记及风险评估方法研究.pdfVIP

第28卷．第l!期 情报杂志 Vd．28No．11 2009年11月 OF Nov．2009 JOURNALINTELLIGENCE 一种实用可行的信息资产登记及风险评估方法研究 APracticalandFeasibleInformationAssets andRiskAssessmentMethods Register 赵锋赵首花 (陕西师范大学西安710062) 摘要信息资产的识别、评估是信息安全风险评估和信息系统运行维护管理的基础。简述信息资产层级关系的 标识、登记，全面概述信息资产的公共管理属性，进而实现对信息资产的关联管理。基于信息系统的业务安全需求 分析，研究每项信息资产在业务系统中的重要程度等级，据此分析整个系统的安全需求和信息资产对其贡献程度， 计算该信息资．产的的安全需求，并对其进行自身脆弱性分析和威胁分析，从而计算信息资产的风险值并进行风险控 制。 关键词层次化模型信息资产管理 信息资产评估风险评估 中图分类号G203 文献标识码A 文章编号1002—1965(2009)1l一0097一04 信息资产管理是信息安全管理的基础，传统的对 化的信息资产识别登记方法，可以将各个信息资产关 信息资产的管理一般为资产登记、资产分类、资产安全 联起来，能够合理有效地识别、登记组织的信息资产； 属性赋值等管理内容，这种对信息资产的管理过于简 并在此模型基础上通过多种角度研究信息资产的公共 单，管理方法多为平面化管理，仅仅实现了信息资产的 管理属性，进而研究信息资产的业务安全需求以及资 登记管理和顺序编号，缺乏物理分布层次化和系统承 产的重要程度评估、脆弱性评估和威胁评估，定量地计 载逻辑层次化的管理，缺乏对信息资产管理属性的抽 算信息资产的风险值，有效地对信息资产进行风险控 象性和特殊性的管理，缺乏对信息资产完备性的识别 制，为信息安全风险评估及信息系统运行维护管理提 方案，缺乏信息资产在组织业务中的重要地位以及信 供良好的方法和手段旧J。 息资产的重要程度等级评估，缺乏风险评估控制在组 1 信息资产的风险评估方法 织应用中适度性标准的把握；不能反映信息资产的关 联关系以及信息资产的历史及当前状态等管理属性； 信息资产的风险评估是以资产、威胁、脆弱性和安 不能有效地分析资产的脆弱性、威胁；不能科学定量地 全措施这些基本要素展开，在对基本要素的评估过程 计算资产的重要程度属性赋值；不能有效地对组织内 中，需要充分考虑业务战略、资产价值、安全需求、安全 的每项资产进行安全需求分析及风险识别控制…。 事件．残余风险等与这些基本要素相关的各类属性HJ。 目前对信息资产识别评估的研究文献较少，大多 信息资产的安全评估是建立在首先对信息系统中 是在信息安全管理及风险评估等相关文献中有所提 的资产识别，明确资产之间的层次及逻辑承载关系，在 到，也主要是从类别、威胁和安全等属性进行描述，其 此关系下全面地研究资产的管理属性，明确每项资产 它的一些研究也只突出了信息资产的分类特殊属性研 在组织中所承担的业务，根据其业务系统确定资产的 究，缺乏对信息资产重要程度的等级划分和风险评估 重要程度，并对其属性进行赋值，从而有利于组织管理 研究【2|。随着信息系统运行维护管理需求的日益增 人员根据此模型方法研究组织的各项资产的重要程度 长，对信息资产管理的要求也越来越高，这种平面化的 及其脆弱性和所面临的威胁，采取有效的安全措