信息安全的风险评估技术方法研究

信息安全的风险评估技术方法研究

熊辉夏晓荣

熊辉夏晓荣（荆门供电公司，湖北荆门448000）

摘要:该文阐述了信息安全风险评估所要解决的问题，介绍了目前在信息安全风险评估领域的主要方法以及今后的发展方向。

[关键词]信息安全评估技术方法

随着我国经济的高速发展及社会信息化程度的迅速提高，计算机网络不断深入人们的生活、学习及工作中，同时伴随而来的网络信息安全问题也逐渐呈现出类型多样、应对困难、危害较大等特点，这不仅给人们的生活带来了极大不便，还会造成经济损失甚至危及人身，因此，对信息安全进行风险评估便成为一个十分重要且很有必要的课题。

1.信息安全风险评估概述安全风险是指安全事件发生的可能性及事件会造成的影响。信息安全风险评估指的是从风险管理的角度出发，采用科学的方法及手段，对网络信息系统存在的脆弱性及面临的威肋进行系统地分析，对安全事件发生可能带来的危害程度进行评估，同时提出有针对的防护对策及整改措施，从而有效地防范或化解信息安全的风险，或把风险控制在能够接受的范围内，这样能够最大限度地为信息安全及网络保障提供相关的科学依据。

2.信息安全的风险评估原则、风险计算模型及评估方法2.1信息安全的风险评估原则信息安全的风险评估原则主要包括可控性、保密性、最小影响及完整性四个原则。可控性原则包含人员、项目过程及工具的可控性，人员的可控性是指凡是参与信息的安全评估人员都应该进行资格的审查及备案，要对职责进行明确的分工，当人员的工作岗位发生变更时，要严格执行审批手续，从而确定人员的可控；项目过程的可控是指运用项目管理的方法进行评估，从而有效地实现评估过程的可控；工具的可控是指对风险评估工具进行多方的性能比对及精心挑选，同时取得相关部门及相关专家的论证及认证。保密原则指的是要跟相关的评估对象签订行为协议及保密协议。最小影响原则指的是对信息系统进行风险评估，将其对正常运行的影响降到最低。完整性原则指的是严格依照委托单位的制定范围及评估要求进行有效而全面的评估。

2.2信息安全风险计算模型风险计算模型指的是对风险进行分析及计算风险值过程的抽象，包括脆弱性评估、威胁评估、资产评估及风险分析，如图所示。

风险计算模型图风险计算过程为:对资产进行识别，且对资产进行赋值；对威肋分析且对其威肋的可能性给予赋值；对资产的脆弱性进行识别，且对其严重程度给予赋值；依据脆弱及威胁性来计算安全事件发生的可能性；同时依据资产重要性来评估发生安全事件的风险值；通过指标体系中的指标风险值进行定性及定量的评估方法来综合分析，从而得出信息安全风险的评估值。

3.信息安全风险评估方法信息安全的风险评估方法按照计算方法可以分为三种：定量、定性及定量和定性相结合。

定量风险评估方法是一种较为精确的风险评估法，常用数学形式来进行表达。当风险评估对象的信息或者资料比较充足且易于量化时，可运用定量方法评估风险。进行定量评估的优点是能够用较为直观的数据进行表述，这样评估的结果较为客观，研究结果更为科学。

其缺点是:在量化中，一些较为复杂的事物被模糊及简单化了，一些风险因素可能被曲解或者误解，再加上对资产价值及发生概率的量化通常较为困难，这种方法使用起来其难度较高。定量评估法中的分析方法有回归模型、聚类分析法、因子分析法、决策树法、时序模型及等风险图法等。

定性风险评估法是指根据研究者的经验、知识、政策走向、特殊变例及历史教训等非量化的资料对系统的风险状况作出相应判断的过程。主要对调查对象进行深入访谈并作出个案记录作为基本的资料，运用理论对分析框架进行推导演绎，并编码整理资料，以作出结论。定性分析法有历史比较法、因素分析法、德尔菲法及逻辑分析法。

这种方法的优点是所需要的时间、人力资源及费用比较少，缺点是主观性太强，往往不太准确。

在进行风险评估中，有些评估的要素是能够用量化形式进行表达的，有些要素用量化则比较困难，因此，在信息安全风险评估中一味地采用量化或完全采用定性分析都是不准确、不科学的。定量风险分析是进行定性风险分析的前提和基础，定性分析是灵魂，在进行信息安全的风险评估时，不应该将定量分析与定性分析简单割裂，而是将这两种评估方法有机的结合起来，进行定量与定性的综合评估。按照实施手段可以区分为动态系统技术和基于树的技术。动态系统技术有马尔可夫分析方法、尝试法、动态事件树的分析法及动态事件逻辑分析法等，其中马尔可夫分析法又称为马尔可夫转移矩阵法，所指的是在马儿可夫的过程之下，运用随机变量的变化情况对变量的未来变化情况进行预测的一种方法。基于树技术的方法主要有事件树分析法、故障树分析法及因果树分析法等。

4.信息安全分风险评估的发展方向4.1由单纯技术风险评估向一体化风险评估的转变单纯技术评估所强调的是技术的脆弱性，信息安全的一体化风险评估则拓展了技术风险评估的范围，它所强调的是业务风险分析，其核心是业务过程层次中的风险识别，能够有效地保证业务组织的持续性。一体化风险评估所着眼的是和安全相关的风险，按照对目标或者组织业务的影响大小来进行安全风险排序。

4.2运用信息安全风险评估的辅助工具来加速评估的进程在风险评估工具运用之前，所采用的是手工劳动，劳动量大并且易出现纰漏，而且还不可避免的带有风险评估人员的主观性。风险评估工具的运用则有效地解决了手工评估所带来的局限性，像英国的CRAMM评估，能够用于商业影响评估及识别、资产的建模、威胁与弱点的评估、安全需求的定义、风险等级的评估等，它所依据的是专家系统及知识库问卷系统，能够有效地对脆弱点及威胁点的相对重要性进行评估，且给出相应的解决方案。风险评估工具还有很多，在进行信息安全的风险评估时，要运用多种辅助工具来加速评估的进程。

5.总结对信息安全进行风险评估是对信息安全的有效保障，进行风险评估不仅能够提高相关人员的信息安全的风险及防范意识，还能够进行信息系统的等级建设及对性能保护提供技术支持，对影响信息安全的不确定性因素进行风险评估，并采取不同的措施进行处理，从而保证信息系统的安全有效运行。

参考文献[1]赵冬梅.信息安全风险评估量化方法研究[D].西安电子科技大学.2007.[2]谢文.信息安全风险评估方法研究与应用[D].武汉理工大学.2009.[3]张菊玲.信息系统安全风险评估方法研究[J].黑龙江科技信息.2012.