bs统一标准分析.doc

一种基于BS7799原则风险分析办法*

*基金项目：=1\*GB3①国家高技术研究发展筹划（863筹划）项目（课题编号：AA142151）=2\*GB3②国家计算机网络与信息安全管理中心项目（课题编号：-研1-A-007）

作者简介：聂晓伟，（1980—），男，研究生研究生，重要研究方向：数字信号解决、网络安全。张玉清，男，副研究员，重要研究领域为网络与信息安全。杨鼎才，男，副专家，重要研究领域为数字信号解决韩全印，男，研究生，重要研究领域为网络与信息安全

聂晓伟12，张玉清1，杨鼎才2，韩权印13

(1中科院研究生院国家计算机网络入侵防范中心，北京100043)

(2燕山大学信息科学与工程学院，河北秦皇岛066004)

(3西安电子科技大学计算机学院，陕西西安710071）

摘要：英国信息安全管理原则BS7799是国际上有代表性风险评估原则。本文一方面分析了BS7799PAGE\#页：#

PAGE\#页：#

“它”改为“BS7799”较好

核心词：风险评估；BS7799；风险分析办法；PAGE

PAGE\#页：#

这两个核心词需要考虑

1引言

随着信息系统发展，系统规模不断扩大。单一依托技术手段老式网络安全暴露出了很大局限性。人们逐渐结识到，信息系统安全应从系统工程角度来看待。风险评估在信息安全系统工程中占有很重要地位，它是信息系统安全基本和前提。当前信息安全对风险科学定义[1]是：特定威胁运用资产一种或一组薄弱点，导致资产丢失或损害潜在也许性。即特定威胁事件发生也许性与后果结合。风险评估就是对系统所有安全要素各种评测数据进行分析、记录、以拟定系统存在安全隐患和风险级别。依照评估成果向系统管理员提供周密可靠安全性分析报告，为提高系统安全整体水平提供重要根据。当前风险评估研究重点在于原则制定和评估工具开发与应用。

当前关于风险评估原则诸多，如CC[2]、SSE-CMM[3]、BS7799[4]等，其中英国原则机构（BSI）制定BS7799是当前国际上具备代表性信息安全管理原则。

BS7799环绕风险评估从管理和技术两方面建立了一整套信息安全评估体系。国外已针对该原则开发出相应风险评估工具，比较知名有Cobra、Panach等。但国内当前还没有开发出类似评估工具，针对该原则评估工作还是采用手工进行。风险评估工具一方面要完整、有效体现BS7799原则，然后根据原则对评估系统进行行之有效风险分析。这些都需要一套科学、可行风险分析办法。它是评价一种评估工具质量重要方面[6]。

本文环绕BS7799原则设计了一套定性、定量相结合风险分析办法，并将其应用到评估工具设计中，力求实现对BS7799原则科学、有效应用。

2BS7799原则

BS7799原则涉及两某些：BS7799-1:1999《信息安全管理实行细则》；BS7799-2:《信息安全管理体系规范》。其中BS7799-1:1999于12月通过国际原则化组织（ISO）认证正式成为国际原则，即ISO/IEC17799:。它是被ISO承认速度最快一种原则，由此也可看出风险评估是信息安全一种重要发展方向PAGE\#页：#

PAGE\#页：#

是“趋势”还是“方向”

在BS7799原则两某些内容中，第二某些明确提出了安全控制规定，第一某些则相应给出了通用控制办法。可以说，BS7799第一某些为第二某些详细实行提供了指南。由于第二某些重要在认证时使用，因而重要基于BS7799PAGE\#页：#

去掉更清晰-1：1999《信息安全管理实行细则》来设计风险评估工具。BS7799-1:1999(ISO/IEC17799)是一种非常详尽、复杂信息安全管理原则层次体系，共分为四层内容：一方面按照信息安全十个核心领域组织为十个管理要项，其中既包括偏重于管理信息安全方针、安全组织、人员安全、业务持续性等方面，也有偏重于技术通信和操作管理、系统访问控制、系统开发和维护等内容，每一某些都针对不同主题或范畴。在这十大管理要项中，BS7799又细分了36

PAGE\#页：#

去掉更清晰

BS7799科学性和有效性在详细风险评估中得到了充分验证，但还存在某些局限性之处。其中一种重要局限性就是对原则中每个安全要素风险事件发生危害限度分析局限性，没有建立对系统整体风险贡献限度系数，容易让人误解各个安全要素同等重要，而事实并非如此。

此外尽管BS7799完整覆盖了当前信息安全中所有内容，提供了统一规范和规定。但原则中并没有如何对该原则进行实行阐明，同步原则自身也具备很鲜明特点，因此很有必要针对该原则设计一套分析办法和评估工具，从而做到对其有效、灵活应用与实行。

3风险分析办法

风险分析办法普通可分为定性分析、定量分析办