信息系统工程中数据安全风险评估模型研究.pdfVIP

信息系统工程中数据安全风险评估模型研究

郭艳萍

摘要：在信息技术与信息系统工程深度融合的背景下，数据安全面临复杂风险态势，传统评估模型因未充分

纳入安全防控措施效能分析，难以精准反映风险真实水平。构建涵盖数据资产重要性、威胁性、脆弱性、安

全防控措施的多要素量化评估模型，基于相乘法原理计算综合风险值，划分高、严重、中等、低四级风险等

级，遵循科学性、系统性、可操作性及动态性原则实现风险科学评估，以期为信息系统工程数据安全风险管

控提供参考。

关键词：信息系统工程；数据安全；风险评估模型

一、前言能力决定风险程度；环境因素包括自然灾害、硬件设备

在信息技术深度融入社会治理与产业发展的背景故障或软件运行异常等，此类威胁的发生具有客观性

下，信息系统工程的数据安全面临复杂威胁格局，传统与不确定性。威胁风险量化需依据威胁事件出现的频

风险评估模型因仅聚焦资产、威胁、脆弱性三要素，难率统计，结合威胁对数据资产脆弱性的利用程度，通

以全面反映动态防护体系的实际效能。忽视安全防控措过构建威胁源能力系数、分析历史攻击数据等方式实

施的量化评估会导致风险值偏离真实水平，而数据安全现。采用相乘法模型计算威胁发生可能性时，需将威

作为信息系统工程的核心维度，其风险评估需纳入预防胁频率、脆弱性严重程度与资产重要性关联，形成系

性、检测性、纠正性措施的综合效能分析。因此，进行统化的威胁风险评估体系，以准确反映威胁对数据安

信息系统工程中数据安全风险评估模型研究具有十分全的实际影响程度[1]。

重要的现实意义。（三）脆弱性风险

脆弱性风险在信息系统工程数据安全评估中占据

二、信息系统工程中的数据安全风险关键地位，存在于技术与管理双层面：技术层面涵盖物

（一）数据资产风险理安全漏洞（如设备访问控制缺失）、网络安全缺陷（如

数据资产重要性需依据机密性、完整性、可用性安路由配置隐患）、系统安全问题（如用户权限管理漏洞）

全属性及实际经济价值综合判定，通过安全需求、访问及应用安全薄弱点（如输入验证不足）；管理层面包括

控制程度等因素界定等级并赋值1至5：等级1表示资产安全策略体系不完善、人员安全培训机制缺失、应急响

三属性值均为最低，面临风险时造成影响最小；等级3体应流程不健全等。评估脆弱性风险需综合考量资产暴

现至少有一个属性值达中等水平，风险影响程度随属性值露程度、漏洞可利用难易度及流行范围。高暴露率、易

升高而递增；等级5则表明至少有一个属性值最高，此类被利用且流行广泛的脆弱性引发安全事件的概率显著提

资产若遭泄露、篡改或不可用，可能引发法律追责、业务升，需通过漏洞扫描、攻击性测试等技术手段结合管理

运转中断或声誉损害等严重后果，不同赋值等级清晰反映流程审计，形成对脆弱性严重程度的量化评估，为风险

资产在信息系统工程中的风险暴露程度与防护优先级。防控提供精准依据。

（二）威胁风险（四）安全防控措施风险

威胁风险评估需针对信息系统工程中数据安全所安全防控措施风险评估需考量预防性、检测性、纠

面临的威胁源实施分类识别与分析。威胁源划分为人正性措施的实际效能。预防性措施通过技术部署与管理

为因素与环境因素两类：人为因素涵盖外部恶意攻击、规范降低安