一种基于系统安全性差距分析的风险评估尺度和方法.pdfVIP

第 12A 期 电　　子 　　学 　　报 Vol . 34 　No . 12A 　2006 年 12 月 ACTA ELECTRONICA SINICA Dec . 　2006 　 一种基于系统安全性差距分析的风险评估尺度和方法 1 ,2 1 2 1 江常青 ,张 　利 ,林家骏 ,吴世忠 ( 1. 中国信息安全产品测评认证中心 ,北京 100089 ;2 华东理工大学 ,上海 200237) 　　摘 　要 : 　本文提出一种基于信息系统安全性分析来定量计算信息安全风险的度量尺度 ,差距分析方法及相应的 评估流程. 通过差距分析法 ,可以定量地度量信息安全 目的和安全现状的在安全保障控制措施和安全保障能力两方面 差距 ,从而改进对信息安全的分析和设计以及如何提升信息安全保障能力. 通过本文定义并计算整体信息安全风险度 量尺度 ,还可以计算不同安全控制措施的产生的安全边际效益 ,进行安全投入产出效益分析. 这种可计算的信息安全 风险评估尺度和方法的有效性在实际工程中得到应用与检验. 关键词 : 　差距分析 ; 安全评估 ; 风险评估 ; 安全度量 中图分类号 : 　TN918 　　　文献标识码 : 　A 　　　文章编号 : (2006) 12A255604 A Sy stem Security Gap Analy si s Ba se d Ri sk As se s sment Metric and Metho d J IAN G Changqing1 ,2 ,ZHAN G Li1 ,L IN Jiaj un2 ,WU Shizhong1 ( 1 China Inf ormation Technology Security Certif ication Center , Beij ing 100089 , China ; ) 2. EastChina University of Science and Technology , Shanghai 200237 , China Ab stract : 　This p ap er prop ose a quantitative information security risk metric based on information system security analysis , gap analysis method and its assessment procedure . Through security gap analysis method ,we can compute quantitatively the differ ence between security target and TO E security in security assurance control and security assurance cap ability ,and then improve the information system security architecture design and its assurance level . Using the metric ,