信息安全风险评估模型及方法研究汇.pdfVIP

摘要 信息系统安全管理是一项复杂的系统工程管理，在这项系统工程中，信息系 统安全风险评估具有核心的地位，它是信息系统安全的基础和前提。论文从整体 上可分为三部分：第一部分，论文概述了信息安全以及信息安全风险评估相关标 准(包括技术性标准和管理性标准)的基础知识；第二部分，论文利用系统工程 的理论和方法建立了一个基于层次结构的信息安全评估模型：第三部分，论文着 重研究了一种基于资产、威胁和弱点的信息安全风险评估量化模型。三部分紧密 相连，逐层深入的对信息安全风险评估过程中如何量化风险进行了科学的研究。 论文对于信息安全风险评估方法进行了以下两个方面创新性的研究： 一方面，借鉴灰色理论特性和评估方法，将该理论应用到信息安全风险评价 模型的建立上，综合运用层次分析法、灰色评价方法及模糊评价方法，同时考虑 安全要素间的相互关系和相对重要度，为信息安全评价体系提供了一种简单、实 用、高效的量化评价模型。 另一方面，论文在基于资产、威胁、弱点的信息安全风险评估模型中引入金 正态分布模拟信息安全威胁发生频率。讨论了在一定历史时期威胁发生频率较高 时Poisson分布难于计算的情况下，采用正态分布模拟威胁发生频率，并利用CVaR 模型对风险的尾部进行分析。模型采用实际资产损失值表示信息安全风险值，依 据模型所计算的信息安全风险损失值可直接作为企业决策者关于信息安全风险投 资决策的依据。 CVaR 关键词；信息安全风险评估灰色理论VaR Abstraet 5 Abstract Theinformation is the securitymanagementcomplicatedsystemengineering，and informationrisk isthefoundationand ofthe securityassessment,which premise inthis is information an role security，playsimportant systemengineering．Thispaper madeofthree ftrst introducesthebasic ofthe up parts：Inpart,thepaper knowledge informationandthecommon the standardand security standard(includetechnique informationrisk thesecond to managementstandard)relatessecurityevaluate；In part，a multilevel evaluationmodelofinformationis synthesisquantification security wimthetheoriesandmethodsofthe recommendedbasedon structure layer system third