（系统分析与集成专业论文）基于灰色理论的网络信息安全评估模型的研究.pdf

学位论文独创性声 明 本人郑重声明 1 、坚持以 “ 求实、创新”的科学精神从事研究工作。 2 、 本论文是我个人在导师指导下进行的研究工作和取得的研 究成 果 。 3、 的 。 4, 本论文中除引文外，所有实验、数据和有关材料均是真实 本论文中除引文和致谢的内容外 。不包含其他人或其它机 构 己经发表或撰写过的研究成果 。 5 、其他同志对本研究所做的贡献均已在论文 中作了声明并表 示 了谢 意 。 作者签名 日期 学位论文使用授权声明 本人完全 了解南京信息工程大学有关保留、使用学位论文 的规定 学校有权保留学位 论文并 向国家主管部门或其指定机构送交论文的电 子版和纸质版:有权将学位论文用于非燕利目的的少量复制并允许论 文进入学校图书馆被查阅;有权将学位论文的内容编入有关数据库进 行检索;有权将学位论文的标题和摘要汇编出版 。保密的学位论文在 解密后适用本规定。 作者签名: 日期: 关于学位论文使用授权的说明 本人完全了解南京信息工程大学有关保留、 使用学位论文的规定， 即: 学校有权保留送交论文的复印件， 允许论文被查阅和借阅; 学校可以公布 论文的全部或部分内容，可以采用影印、缩印或其他复制手段保存论文。 ( 保密的 论文在解密后应遵守此规定 ) u 作者签名: 日期: o t r夕 导师签名: 日期 摘要 信息系统安全问题的解决应该站在系统工程的角度来考虑。 在这项系 统工程中， 信息系统安全风险评估占 有重要的地位， 它是信息系统安全的 基础和前提。 本文利用系统科学的理论和方法建立了一个基于灰色理论的信息安 全评估模型。 在论文的前半部分， 概述了信息安全和灰色理论的基础知识， 紧接着就灰色理论在网络信息安全评估模型的建立中的应用展开论述。 并 对系统指标体系的建立，评价系数及权向量和权矩阵进行了详细的阐述。 论文中的重点在于将灰色理论应用到信息安全评估模型的建立上， 由 于信息安全评估本身就是一个新兴学科， 结合灰色理论来建立信息安全评 估模型， 在国内更是没有多少先例， 进行这方面的探讨， 可以为我国信息 安全领域的研究做一些基础铺垫工作。 本文中解决的技术难点主要在以下两方面: 一个是评估指标的提取和 分析归类。 信息安全评估的对象比 较庞杂， 涉及的点很多， 这些评估对象 可分定性指标和定量指标， 或者分为收益性指标、 成本性指标和区间性指 标等。 在实例模型中提取三个综合指标参与了 模型运算， 分别是物理安全 风险指标、网络安全防护措施指标、 应用安全指标; 另外一个难点是建立 三角白化权函数和隶属度， 涉及到指标的权重的确定， 风险等级的划分和 指标的归一化处理， 隶属度的计算等。结合相关的数学方法，这些问题在 文中已一一解决。 关键字:灰色理论、信息安全、风险评估、灰色建模。 a b s t r a c t t h e p r o b l e m o f i n f o r m a t i o n s y s t e m s e c u r it y s h o u l d b e c o n s i d e r e d a s a s y s t e m e n g i n e e r i n g , i n w h i c h t h e r i s k e v a l u a t i o n t o i n f o r m a t i o n s y s t e m s e c u r i t y p l a y s a n im p o rt a n t r o l e . i t i s t h e b a s e a n d p r e c o n d it i o n o f i n f o r m a t i o n s y s t e m s e c u r i t y . an i n f o r m a t i o ns e c u r i t ye v a l u a t i o n mo d e l b a s e d o n t h e o r y i s e s t a b l i s h e d h e re w i t h t h e t h e o r i e s a n d m e t h o d s o f s y s t e m s s c i e n c e . f i r s t o f a l l , w e s e t b a s e c o n c e p t o f i n f o r ma t i o n s e c u r i t y i n f o r ma t i o n s e c u r i t y a n d t h e o r y . t h e n t h e a p p l i c a t i o n o f g r a y t h e o ry i n n e t w o r k e v a l u a t i o n m o d e l i s d i s c u s s e d . t h e e s t a b l i s h me n t o f s y s t e m i n d e x e s a n d e v a l u a t i o n c o e f f i c i e n t s a n d w e i g h t m a t r i x a r e a l s o e x p a t i a t e d i t i s a n i n n o v a t i o n t o a p p l y g r a y t h e o ry t o t h e e s t a b l i s h m e n t o f i n f o r m a t io n s e c u r i t y e v a l u a t i o n m o d e l . t h e r e a r e f e w d o m e s t i c r e s e a r c h e s o n i n f o r m a t i o n s e c u r i t y e v a l u a t i o n m o d e l b a s e d o n g r a y t h e o r y , b e c a u s e i t i s a n e w s t u d y . t h e r e a r e t w o d i f f i c u l t i e s s o l v e d i n t h i s p a p e r : o n e i s t h e e x t r a c t i o n , a n a ly s i s a n d c l a s s i f i c a t i o n o f e v a l u a t i o n i n d e x e s . t h e r e a r e m a n y o b j e c ts i n i n f o r m a t i o n s e c u r i t y e v a l u a t i o n , w h i c h c a n b e c l a s s i f ie d i n t o q u a l i t a t iv e i n d e x a n d q u a n t i t a t iv e i n d e x , p r o f i t a b i l i t y i n d e x , c o s t i n d e x a n d i n t e r v a l i n d e x . t h r e e i n t e g r a t e d i n d e x e s ( p h y s i c a l s e c u r i t y r i s k i n d e x , n e t w o r k s e c u r it y d e f e n c e m e a s u r e i n d e x e s a n d a p p l i c a t i o n s e c u r i t y i n d e x e s ) i n t h e i n s t a n c e m o d e l a r e u s e d i n t h e m o d e l c o m p u t a t i o n . t h e o t h e r i s t h e e s t a b l i s h o f t r i a n g l e a l b i n o f u n c t i o n s a n d m e m b e r s h i p d e g r e e s w h i c h r e l a t i n g t o t h e w e i g h t s o f i n d e x e s , p a rt i t i o n o f r i s k r a n k ， n o r m a l i z a t i o n o f i n d e x e s a n d t h e c o m p u t a t i o n o f m e m b e r s h i p d e g r e e s . a l l t h e s e p r o b l e m s a re re s o l v e d b y r e l a t e d m a t h e m a t i c m e t h o d s 卜 e re . k e y w o r d s : g r a y c ry i n f o r m a t i o n s e c u r i 饥r i s k e v a l u a t i o n , g r a y mo d e l 2 第一章 前 言 1 . 1论文研究背景 信息学科的发展是一个渐进平衡的过程， 现实生活中对信息技术的依赖程度越 来 越高， 人们在追求网 络快速应用发展的过程中， 普遍要求建立一个有序、安全的 氛围， 然而信息系统的脆弱问题也越来越突出。信息系统遭受攻击导致其运转及运 营受负面影响的事件不断出 现， 信息系统安全管理已 经成为政府、行业、企业管理 越来越关键的部分， 信息系统的安全已 成为人们厂泛关注的焦点，同时对信息系统 进行必要的安全评估也是势在必行。然而， 传统的安全评估通常是单一指标的定性 或者定量的分析， 现在已经不是人们所追求的目 标。 如何规范日 趋复杂的信息系统的 安全保障体系建设，以 及如何对复杂的 信息系统进行安全评估是信息化进程中 所面 临的巨大挑战因 此，需要及时建立信息安全评估体系模型， 确保网络安全等级的 确 定 和 划 分 p 12 13 1 信息安全保障工作必须加强体系建设。 信息安全保障体系是 信息安全工作的 管 理和物质基础，是加强信息安全保障工作的战略措施。其中， 信息安全风险 评估是 信息安全保障工作的一个重要方法，是风险管理理论和方法在信息化中的 运用， 是 正确确定信息资产，合理分析信息安全风险，科学决策风险、 补偿风险和控制风险 的过 程4 15 1 1 . 2国内外研究现状 国外关于信息系统安全风险评估的研究已 有2 0 多年的历史，美国、加拿大等 i t 发达国家于2 0 世纪7 0 年代和s 0 年代建立了国家认证机构和风险评估认证体系， 负责研究并开发相关的评估标准、 评估认证方法和评估技术，并进行基于评估标准 的 信息安全评估和认证，目 前这些国 家与信息系统风险评估相关的标准体系、 技术 体系、组织架构和业务体系都已 经相当成熟。从已 经建立了信息安全评估认证体系 第一章 前 言 1 . 1论文研究背景 信息学科的发展是一个渐进平衡的过程， 现实生活中对信息技术的依赖程度越 来 越高， 人们在追求网 络快速应用发展的过程中， 普遍要求建立一个有序、安全的 氛围， 然而信息系统的脆弱问题也越来越突出。信息系统遭受攻击导致其运转及运 营受负面影响的事件不断出 现， 信息系统安全管理已 经成为政府、行业、企业管理 越来越关键的部分， 信息系统的安全已 成为人们厂泛关注的焦点，同时对信息系统 进行必要的安全评估也是势在必行。然而， 传统的安全评估通常是单一指标的定性 或者定量的分析， 现在已经不是人们所追求的目 标。 如何规范日 趋复杂的信息系统的 安全保障体系建设，以 及如何对复杂的 信息系统进行安全评估是信息化进程中 所面 临的巨大挑战因 此，需要及时建立信息安全评估体系模型， 确保网络安全等级的 确 定 和 划 分 p 12 13 1 信息安全保障工作必须加强体系建设。 信息安全保障体系是 信息安全工作的 管 理和物质基础，是加强信息安全保障工作的战略措施。其中， 信息安全风险 评估是 信息安全保障工作的一个重要方法，是风险管理理论和方法在信息化中的 运用， 是 正确确定信息资产，合理分析信息安全风险，科学决策风险、 补偿风险和控制风险 的过 程4 15 1 1 . 2国内外研究现状 国外关于信息系统安全风险评估的研究已 有2 0 多年的历史，美国、加拿大等 i t 发达国家于2 0 世纪7 0 年代和s 0 年代建立了国家认证机构和风险评估认证体系， 负责研究并开发相关的评估标准、 评估认证方法和评估技术，并进行基于评估标准 的 信息安全评估和认证，目 前这些国 家与信息系统风险评估相关的标准体系、 技术 体系、组织架构和业务体系都已 经相当成熟。从已 经建立了信息安全评估认证体系 的有关国家来看，风险评估及认证机构都是由国 家的安全、情报、国家标准化等政 府主管部门 授权建立，以 保证评估结果的 可信性和认证的 权威性、公正性。 我国信息系统风险评估的 研究是近几年才起步的，目 前主要工作集中于组织架 构和业务体系的建立，相应的标准体系和技术体系还处于研究阶段，但随着电子政 务、电 子商务的蓬勃发展， 信息系统风险评估领域和以该领域为基础和前提的 信息 系统安全工程在我国已经得到政府、军队、企业、科研机构的高度重视，具有广阔 的研究和发展空间。 无论国外还是国内， 在信息系统的风险评估中， 安全模型的研究、 标准的选择、 要素的提取、 评估方法的 研究、评估实施的过程，一直都是研究的重点 6 7 (7 1 1 . 3本文研究的主要问题 论文中的重点工作在于以 下两点: 1 ) 借鉴灰色理论的灰色建模理论， 将灰色理 论应用到信息安全评估模型的 建立上， 并详细阐述了 建模的各个过程o z ) 结合自 己 的实际工作为， 阐述了构建一个具体的某市公安网络安全防护系统方案的设计过程， 并以这个案例为背景， 对信息系统评估模型进行了验证。 本文中解决的技术难点主要在以下两方面: 一个是评估指标的提取和分析归类， 信息安全评估的对象比 较庞杂，涉及的点很多， 这些对象又分为定性指标和定量指 标， 还可以分为收益性指标、 成本性指标和区间 性指标等， 在文中实际案例分析中， 我分析提取三个指标参与模型运算， 分别是物理安全风险指标、网 络安全防护措施 指标、 应用安全指标:另外一个难点是建立三角白 化权函数和隶属度， 涉及到指标 的权重的确定， 风险等级的 划分和指标的归一化处理等，隶属度的 计算等。 这些问 题在文中结合相关的数学方法已一一解决。 由 于信息安全评估本身就是一个新兴学科，结合灰色理论来建立信息安全评估 模型， 在国内更是没有多少先例，进行这方面的探讨，可以为我国信息安全领域的 研究做一些基础铺垫工作， 但是在资料的收集， 信息的 交流方面也存在很多不便。 的有关国家来看，风险评估及认证机构都是由国 家的安全、情报、国家标准化等政 府主管部门 授权建立，以 保证评估结果的 可信性和认证的 权威性、公正性。 我国信息系统风险评估的 研究是近几年才起步的，目 前主要工作集中于组织架 构和业务体系的建立，相应的标准体系和技术体系还处于研究阶段，但随着电子政 务、电 子商务的蓬勃发展， 信息系统风险评估领域和以该领域为基础和前提的 信息 系统安全工程在我国已经得到政府、军队、企业、科研机构的高度重视，具有广阔 的研究和发展空间。 无论国外还是国内， 在信息系统的风险评估中， 安全模型的研究、 标准的选择、 要素的提取、 评估方法的 研究、评估实施的过程，一直都是研究的重点 6 7 (7 1 1 . 3本文研究的主要问题 论文中的重点工作在于以 下两点: 1 ) 借鉴灰色理论的灰色建模理论， 将灰色理 论应用到信息安全评估模型的 建立上， 并详细阐述了 建模的各个过程o z ) 结合自 己 的实际工作为， 阐述了构建一个具体的某市公安网络安全防护系统方案的设计过程， 并以这个案例为背景， 对信息系统评估模型进行了验证。 本文中解决的技术难点主要在以下两方面: 一个是评估指标的提取和分析归类， 信息安全评估的对象比 较庞杂，涉及的点很多， 这些对象又分为定性指标和定量指 标， 还可以分为收益性指标、 成本性指标和区间 性指标等， 在文中实际案例分析中， 我分析提取三个指标参与模型运算， 分别是物理安全风险指标、网 络安全防护措施 指标、 应用安全指标:另外一个难点是建立三角白 化权函数和隶属度， 涉及到指标 的权重的确定， 风险等级的 划分和指标的归一化处理等，隶属度的 计算等。 这些问 题在文中结合相关的数学方法已一一解决。 由 于信息安全评估本身就是一个新兴学科，结合灰色理论来建立信息安全评估 模型， 在国内更是没有多少先例，进行这方面的探讨，可以为我国信息安全领域的 研究做一些基础铺垫工作， 但是在资料的收集， 信息的 交流方面也存在很多不便。 幸好信息时代，网络比 较发达， 在网 上可检索到不少国外的相关文档和技术资料， 如:“ 信息技术安全评价准则”( t i s f c)、美国国家安全局和国家技术标准研究 所、加、英、 法、德、 荷) 共同提出的“ 信息技术安全评价通用准则” ( c c ) 等。 1 . 4论文体系结构 在论文的前半部分， 概述了信息安全和灰色理论的 基础知识，紧接着就灰色理 论在网络信息安全评估模型的建立中的 应用展开论述。并对指标体系的建立， 评价 系数及权向 量和权矩阵进行了 详细的阐述。 论文主要内容如下: 第一章:前言，主要介绍论文的研究背景和动机、国内外研究现状、研究的主 要问题和论文的体系结构: 第二章:信息系统安全风险评估概述， 介绍了信息系统进行评估的目的 及相关 的评估方法; 第三章: 灰色理论建模机理概述， 灰色理论的研究与发展状况和灰色建模过程: 第四章:网络信息安全评估模型的 建立，信息系统评估模型建立中指标的选取 及相应权重的确定，模型的描述与评估步骤。 第五章: 灰色理论在网络信息安全评估模型中的应用，结合灰色理论建立信息 系统的评估模型。 第六章:某市公安局1 1 0 报警处置中心安全评估实例分析，以 一个实例为基础 来验证评估模型。 幸好信息时代，网络比 较发达， 在网 上可检索到不少国外的相关文档和技术资料， 如:“ 信息技术安全评价准则”( t i s f c)、美国国家安全局和国家技术标准研究 所、加、英、 法、德、 荷) 共同提出的“ 信息技术安全评价通用准则” ( c c ) 等。 1 . 4论文体系结构 在论文的前半部分， 概述了信息安全和灰色理论的 基础知识，紧接着就灰色理 论在网络信息安全评估模型的建立中的 应用展开论述。并对指标体系的建立， 评价 系数及权向 量和权矩阵进行了 详细的阐述。 论文主要内容如下: 第一章:前言，主要介绍论文的研究背景和动机、国内外研究现状、研究的主 要问题和论文的体系结构: 第二章:信息系统安全风险评估概述， 介绍了信息系统进行评估的目的 及相关 的评估方法; 第三章: 灰色理论建模机理概述， 灰色理论的研究与发展状况和灰色建模过程: 第四章:网络信息安全评估模型的 建立，信息系统评估模型建立中指标的选取 及相应权重的确定，模型的描述与评估步骤。 第五章: 灰色理论在网络信息安全评估模型中的应用，结合灰色理论建立信息 系统的评估模型。 第六章:某市公安局1 1 0 报警处置中心安全评估实例分析，以 一个实例为基础 来验证评估模型。 第二章 信息系统安全风险评估概述 2 . 1引言 在过去的几十年时间里，信息技术给世界带来天翻地覆的变化。信息在人们的 生产、生活中扮演着越来越重要的角色，人类越来越依赖基于信息技术所创造出来 的产品，以信息技术为基础的 信息产业已 经成为世界经济的重要支柱产业， 信息产 业的发达程度已经成为一个国家的综合国力和国际竞争力强弱的重要标志。然而人 们在尽情享受信息技术带给人类巨大进步的同时，也逐渐意识到它是一把双刃剑， 在该领域 “ 潘多拉盒子”己经不止 一次被打开。近年来，由于信息系统安全问题所 产生的损失、影响不断加剧，信息系统的安全问题越来越受到人们的普遍关注，它 已 经成为影响信息技术发展的重要因素。然而，传统的事后、被动、单一，针对出 现的问题采用一些安全防护措施，并以某个问题的暂时解决为过程结束标志的信息 系统安全建设已 经远不能适应信息系统安全防 护的发展要求。这种模式往往缺少系 统的考虑，就事论事。 带有很大盲目 性， 经常是花费不少、收效甚微，造成资金、 人员的巨大浪费。 信息系统安全问 题单凭技术是无法得到彻底解决的， 它的解决涉及到政策法规、 管理、 标准、技术等方方面面， 任何单一层次 上的安全措施都不可能提供真正的全 方位的安全，信息系统安全问题的解决更应该站在系统工程的角度来考虑。在这项 系统工程中，信息系统安全风险评估占 有重要的地位，它是信息系统安全的基础和 前 提8 19 1 d 0 1 2 . 2风险评估概述 信 息 系 统的 风 险 评 估 是 指 确 定 在 计 算 机 系 统 和网 络中 每 一 种 资 r 缺 失 或 遭 到 破 坏对整个系统造成的 预计损失数量。 是对威胁、 脆弱点以 及由 此带来的 风险大小的 评估。 第二章 信息系统安全风险评估概述 2 . 1引言 在过去的几十年时间里，信息技术给世界带来天翻地覆的变化。信息在人们的 生产、生活中扮演着越来越重要的角色，人类越来越依赖基于信息技术所创造出来 的产品，以信息技术为基础的 信息产业已 经成为世界经济的重要支柱产业， 信息产 业的发达程度已经成为一个国家的综合国力和国际竞争力强弱的重要标志。然而人 们在尽情享受信息技术带给人类巨大进步的同时，也逐渐意识到它是一把双刃剑， 在该领域 “ 潘多拉盒子”己经不止 一次被打开。近年来，由于信息系统安全问题所 产生的损失、影响不断加剧，信息系统的安全问题越来越受到人们的普遍关注，它 已 经成为影响信息技术发展的重要因素。然而，传统的事后、被动、单一，针对出 现的问题采用一些安全防护措施，并以某个问题的暂时解决为过程结束标志的信息 系统安全建设已 经远不能适应信息系统安全防 护的发展要求。这种模式往往缺少系 统的考虑，就事论事。 带有很大盲目 性， 经常是花费不少、收效甚微，造成资金、 人员的巨大浪费。 信息系统安全问 题单凭技术是无法得到彻底解决的， 它的解决涉及到政策法规、 管理、 标准、技术等方方面面， 任何单一层次 上的安全措施都不可能提供真正的全 方位的安全，信息系统安全问题的解决更应该站在系统工程的角度来考虑。在这项 系统工程中，信息系统安全风险评估占 有重要的地位，它是信息系统安全的基础和 前 提8 19 1 d 0 1 2 . 2风险评估概述 信 息 系 统的 风 险 评 估 是 指 确 定 在 计 算 机 系 统 和网 络中 每 一 种 资 r 缺 失 或 遭 到 破 坏对整个系统造成的 预计损失数量。 是对威胁、 脆弱点以 及由 此带来的 风险大小的 评估。 对系统进行风险分析和评估的目 的就是:了 解系统目 前与未来的风险所在， 评 估这些风险可能带来的安全威胁与影响程度，为安全策略的 确定、信息系统的建立 及安全运行提供依据。同时通过第三方权威或者国际机构评估和认证，也给用户提 供了信息技术产品和系统可靠性的信心，增强产品、单位的竞争力。 信息系统风险分析和评估是一个复杂的过程，山个完善的信息安全风险评估架 构应该具备相应的标准体系、技术体系、组织架构、业务体系和法律法规。 2 . 3安全体系模型介绍 目 前国际上普遍认为信息安全应该是一个动态的、不断完善的 过程，并做了 大 量研究工作， 产生了各类动态安全体系模型， 如基于时间的p d r 模型、 p 2 d r 模型、 全 网动态安全体系 a p p d r r模型，安氏的p a d 工 m e e t m 模型以 及我国的 w p d r r c 模型等。 其 中偏重技术的 p 2 d r 模型和偏重管理的 p a d 工 m e e t 模型影响最大，其中 p a d 工 m e e t m 模型 对系统安全的描述更全面一些。该模型结构如图2 - 1 所示: 图2 - 1模型结果图 该模型通过对客户的技术和业务需求的分析以 及对客户信息安全的 “ 生命周期” 考虑， 在七个核 心方面体 现信息 系统安 全的持 续循环， 它 们是: 策略 ( p o l i c y )、 评估( a s s e s s m e n t ) 、 设计( d e s i g n ) 、 执行( i m p l e m e n t a t i o n ) 、 管理( m a n a g e m e n t ) 、 对系统进行风险分析和评估的目 的就是:了 解系统目 前与未来的风险所在， 评 估这些风险可能带来的安全威胁与影响程度，为安全策略的 确定、信息系统的建立 及安全运行提供依据。同时通过第三方权威或者国际机构评估和认证，也给用户提 供了信息技术产品和系统可靠性的信心，增强产品、单位的竞争力。 信息系统风险分析和评估是一个复杂的过程，山个完善的信息安全风险评估架 构应该具备相应的标准体系、技术体系、组织架构、业务体系和法律法规。 2 . 3安全体系模型介绍 目 前国际上普遍认为信息安全应该是一个动态的、不断完善的 过程，并做了 大 量研究工作， 产生了各类动态安全体系模型， 如基于时间的p d r 模型、 p 2 d r 模型、 全 网动态安全体系 a p p d r r模型，安氏的p a d 工 m e e t m 模型以 及我国的 w p d r r c 模型等。 其 中偏重技术的 p 2 d r 模型和偏重管理的 p a d 工 m e e t 模型影响最大，其中 p a d 工 m e e t m 模型 对系统安全的描述更全面一些。该模型结构如图2 - 1 所示: 图2 - 1模型结果图 该模型通过对客户的技术和业务需求的分析以 及对客户信息安全的 “ 生命周期” 考虑， 在七个核 心方面体 现信息 系统安 全的持 续循环， 它 们是: 策略 ( p o l i c y )、 评估( a s s e s s m e n t ) 、 设计( d e s i g n ) 、 执行( i m p l e m e n t a t i o n ) 、 管理( m a n a g e m e n t ) 、 紧急 响应( e m e r g e n c y r e s p o n s e ) 和教育 ( e d u c a t i o n ) ， 并将自 身 业务 和p a d i m e e t m 周期中的每个环节紧密地结合起来， 为客户构建全面的安全管理解决方案， 该模型 的核心思想是以工程方式进行信息安全工作。更强调管理以及安全建设过程中的人 为因 素3 6 1 2 . 4国内外安全标准介绍 “ 没有规矩，不成方圆”， 这句话在信息系统风险评估领域也是适用的，没有 标准指导下的 风险评估是没有任何意义的。 通过依据某个标准的风险评估或者得到 该 标准的评估认证，不但可为信息系统提供可靠的安全服务，而且可以 树立单位的 信 息 安 全 形 象， 提 高 单 位 的 综 合 竞 争 力。 从 美 国 国 防 部 1 9 8 5 年 发 布 著 名 的 可 信 计 算 机系统评估准则 ( t c s e c ) 起， 世界各国根据自 己的 研究进展和实际 情况， 相继发布 了一系列有关安全评估的准则和标准， 如美国的t c s e c ;英、 法、 德、 荷等国2 0 世纪 9 0 年代初发布的信息技术安全评估准则 ( i t s e c ) : 加拿大1 9 9 3 年发布的可信计算机 产品评价准则 ( c t c p e c );美国1 9 9 3 年制定的信息技术安全联邦标准 ( f c );由6 国7 方 ( 加拿大、 法国、德国、 荷兰、英国、美国 n i s t 及美国 n s a ) 于2 0 世纪9 0 年代 中期提出的 信息技术安全性评估通用准则 ( c c ) :由 英国标准协会 ( b s i ) 制定的信 息安全管理标准b s 7 7 9 ( i s o 1 7 7 9 9 ) 以及最近得到i s o 认可的s s e - c m m ( i s o / i e c 2 1 8 2 7 : 2 0 0 2 ) 等 n 1p 2 1 1 3 14 1p s 1 我国 根据具体情况， 也加快了 对信息安全标准化的步伐和力度，相继颁布了 如 计算机信息 系统安 全保护等级划分 准则 ( g b 1 7 8 5 9 ) d 6 1 信息技术安全 性评 估准则( g b / t 1 8 3 3 6 ) 以 及针对不同 技术领域其他的一些安全标准。 一 卜 面简单介绍 其中比 较典型的几个标准。 2 . 4 . 1 c c标准 信息 技术安 全评估公 共标准c c i t s e ( c o m m o n c r i t e r i a o f i n f o r m a t i o n t e c h n i c a l s e c u r i t y e v a l u a t i o n )，简称c c ( i s o / i e c 1 5 4 0 8 - 1 )，是美国、加拿大 紧急 响应( e m e r g e n c y r e s p o n s e ) 和教育 ( e d u c a t i o n ) ， 并将自 身 业务 和p a d i m e e t m 周期中的每个环节紧密地结合起来， 为客户构建全面的安全管理解决方案， 该模型 的核心思想是以工程方式进行信息安全工作。更强调管理以及安全建设过程中的人 为因 素3 6 1 2 . 4国内外安全标准介绍 “ 没有规矩，不成方圆”， 这句话在信息系统风险评估领域也是适用的，没有 标准指导下的 风险评估是没有任何意义的。 通过依据某个标准的风险评估或者得到 该 标准的评估认证，不但可为信息系统提供可靠的安全服务，而且可以 树立单位的 信 息 安 全 形 象， 提 高 单 位 的 综 合 竞 争 力。 从 美 国 国 防 部 1 9 8 5 年 发 布 著 名 的 可 信 计 算 机系统评估准则 ( t c s e c ) 起， 世界各国根据自 己的 研究进展和实际 情况， 相继发布 了一系列有关安全评估的准则和标准， 如美国的t c s e c ;英、 法、 德、 荷等国2 0 世纪 9 0 年代初发布的信息技术安全评估准则 ( i t s e c ) : 加拿大1 9 9 3 年发布的可信计算机 产品评价准则 ( c t c p e c );美国1 9 9 3 年制定的信息技术安全联邦标准 ( f c );由6 国7 方 ( 加拿大、 法国、德国、 荷兰、英国、美国 n i s t 及美国 n s a ) 于2 0 世纪9 0 年代 中期提出的 信息技术安全性评估通用准则 ( c c ) :由 英国标准协会 ( b s i ) 制定的信 息安全管理标准b s 7 7 9 ( i s o 1 7 7 9 9 ) 以及最近得到i s o 认可的s s e - c m m ( i s o / i e c 2 1 8 2 7 : 2 0 0 2 ) 等 n 1p 2 1 1 3 14 1p s 1 我国 根据具体情况， 也加快了 对信息安全标准化的步伐和力度，相继颁布了 如 计算机信息 系统安 全保护等级划分 准则 ( g b 1 7 8 5 9 ) d 6 1 信息技术安全 性评 估准则( g b / t 1 8 3 3 6 ) 以 及针对不同 技术领域其他的一些安全标准。 一 卜 面简单介绍 其中比 较典型的几个标准。 2 . 4 . 1 c c标准 信息 技术安 全评估公 共标准c c i t s e ( c o m m o n c r i t e r i a o f i n f o r m a t i o n t e c h n i c a l s e c u r i t y e v a l u a t i o n )，简称c c ( i s o / i e c 1 5 4 0 8 - 1 )，是美国、加拿大 及欧洲4 国 ( 共6 国7 个组织)经协商同意，于1 9 9 3 年6 月起草的，是国际标准化组织 统一现有多种准则的结果，是目 前最全面的评估准则。 c c源于 t c s e c ，但已 经完全改进了t c s e c . c c的主要思想和框架都取自 工 t s e c 欧)和f c 美)，它由 三部分内容组成:1 )介绍以 及一般模型:2 )安全功能需 求 ( 技术上的要求): 3 安全认证需求 非技术要求和对开发过程、 工程过程的要 求)。 c c与早期的评估准则 相比， 主要具有4大特征:1 ) c c 符合p d r 模型:2 ) c c 评 估准则是面向整个信息产品生存期的; 3 ) c c 评估准则不仅考虑了保密性， 而且还考 虑了 完整性和可用性多方面的安全特性; 4 ) c c 评估准则有与之配套的安全评估方法 c e m ( c o m m o n e v a l u a t i o n m e t h o d o l o g y )。 2 . 4 . 2 i s o / i e c 2 1 8 2 7 : 2 0 0 2 ( s s e - c m m ) 信息安 全工程能力成熟度模型 ( s y s t e m s e c u r i t y e n g i n e e r i n g c a p a b i l i t y m a t u r i t y m o d e l )， 是关于信息安 全建设工程实施方面的 标准。 s s e - c m m 的目 的是建立和完善一套成熟的、 可度量的安全工程过程。 该模型定义 了 一个安全工程过程应有的特征， 这些特征是完善的安全工程的根本保证。 s s e - c m m 模型通常以下述三种方式来应用; “ 过程改善” 可以 使一个安全工程组织对其 安全工程能力的级别有一个认识，于是可设计出改善的安全工程过程，这样就可以 提高他们的安全工程能力;“ 能力评估”使一个客户组织可以了 解其提供商的 安全工程过程能力;“ 保证” 通过声明 提供一个成熟过程所应具有的各种依据， 使得产品、系统、服务更具可信性。 2 . 4 . 3我国国家标准 计算机信息系统安全保护等级划分准则 我国国 家标准 计算机 信息系 统安全 保护等级划分 准则 ( g b 1 7 8 5 9 ) 于1 9 9 9 年9 月正式批准发布，该准则将计算机信息系统安全分为5 级:用户自 主保护级、系 统审核保护级、安全标记保护级、 结构化保护级和访问 验证保护级。 9 我国的标准体系基本上是采取等同、 等效的方式借鉴国外的标准， 如g b / t 1 8 3 3 6 等同于i s o / i e c 1 5 4 0 8 a 2 . 5风险评估方法 标准在信息系统风险评估过程中的指导作用不容忽视，而在评估过程中使用何 种方法对评估的有效性同 样占 有举足轻重的 地位. 评估方法的选择直接影响到评估 过程中的每个环节， 甚至可以 左右最终的 评估结果。 所以 需要根据系统的具体情况， 选择合适的风险评估方法。 风险评估的方法有很多种，概括起来可分为三大类;定量的风险评估方法、定 性的风险评估方法、定性与定量相结合的评估方法。 2 . 5 . 1定量评估方法 定量的评估方法是指运用数量指标来对风险进行评估。典型的定量分析方法有 因子分析法、聚类分析法、时序模型、回归模型、等风险图法、决策树法等。 定量的 评估方法的优点是用直观的数据来表述评估的结果， 看起来一目 了 然， 而且比 较客观，定量分析方法的采用，可以使研究结果更科学，更严密， 更深刻。 有时一个数据所能够说明的问题可能是用一大段文字也不能够阐述清楚的:但常常 为了量化，使本来比 较复杂的事物简单化、模糊化了，有的风险因素被量化以 后还 可能被误解和曲 解。 2 . 5 . 2定性评估方法 定性的评估方法主要依据研究者的知识、经验、历史教训、政策走向及特殊变 例等非量化资料对系统风险状况做出 判断的过程。 它主要以 与调查对象的深入访谈 做出个案记录为基本资料，然后通过一个理论推导演绎的分析框架，对资料进行编 码整理， 在此基础上做出 调查结论。典型的定性分析方法有因素分析法、 逻辑分析 法、历史比较法、德尔斐法。 我国的标准体系基本上是采取等同、 等效的方式借鉴国外的标准， 如g b / t 1 8 3 3 6 等同于i s o / i e c 1 5 4 0 8 a 2 . 5风险评估方法 标准在信息系统风险评估过程中的指导作用不容忽视，而在评估过程中使用何 种方法对评估的有效性同 样占 有举足轻重的 地位. 评估方法的选择直接影响到评估 过程中的每个环节， 甚至可以 左右最终的 评估结果。 所以 需要根据系统的具体情况， 选择合适的风险评估方法。 风险评估的方法有很多种，概括起来可分为三大类;定量的风险评估方法、定 性的风险评估方法、定性与定量相结合的评估方法。 2 . 5 . 1定量评估方法 定量的评估方法是指运用数量指标来对风险进行评估。典型的定量分析方法有 因子分析法、聚类分析法、时序模型、回归模型、等风险图法、决策树法等。 定量的 评估方法的优点是用直观的数据来表述评估的结果， 看起来一目 了 然， 而且比 较客观，定量分析方法的采用，可以使研究结果更科学，更严密， 更深刻。 有时一个数据所能够说明的问题可能是用一大段文字也不能够阐述清楚的:但常常 为了量化，使本来比 较复杂的事物简单化、模糊化了，有的风险因素被量化以 后还 可能被误解和曲 解。 2 . 5 . 2定性评估方法 定性的评估方法主要依据研究者的知识、经验、历史教训、政策走向及特殊变 例等非量化资料对系统风险状况做出 判断的过程。 它主要以 与调查对象的深入访谈 做出个案记录为基本资料，然后通过一个理论推导演绎的分析框架，对资料进行编 码整理， 在此基础上做出 调查结论。典型的定性分析方法有因素分析法、 逻辑分析 法、历史比较法、德尔斐法。 定性评估方法的优点是避免了 定量方法的缺点， 可以 挖掘出一些蕴藏很深的思 想， 使评估的结论更全面、 更深刻: 但它的主观性很强， 对评估者本身的要求很高。 2 . 5 . 3定性与定量相结合的综合评估方法 系统风险评估是一个复杂的过程，需要考虑的因 素很多， 有些评估要素是可以 用量化的形式来表达，而对有些要素的量化又是很困难甚至是不可能的，所以我们 不主张在风险评估过程中一味地追求量化，也不认为一切都是量化的风险评估过程 是科学、 准确的。我们认为定量分析是定性分析的基础和前提，定性分析应建立在 定量分析的基础上才能揭示客观事物的内 在规律。 定性分析则是灵魂， 是形成概念、 观点，做出判断，得出结论所必须依靠的，在复杂的信息系统风险评估过程中，不 能将定性分析和定量分析两种方法简单的割裂开来。而是应该 将这两种方法融合起 来，采用综合的评估方法。 2 . 6风险评估过程 风险评估过程就是在评估标准的指导下， 综合利用相关评估技术、评估方法、 评估工具， 针对信息系统展开全方位的 评估工作的完整历程。 对信息系统进行风险 评估， 首先应确保风险分析的内 容与范围应该覆盖信息系统的整个体系， 应包括: 系统基本情况分析、信息系统基本安全状况调查、信息系统安全组织、政策情况分 析、 信息系统弱点漏洞分析等。风险评估具体评估过程如下 : 2 . 6 . 1确定资产 安全评估的 第一步是 确定 信息系统的资产，并明确资产的价值，资产的价值是 由 对组织、 供应商、合作伙伴、客户和其他利益相关方在安全事件中对保密性、完 鞍性和可用性的影响来衡量的。资产的范围很广，一切需要加以保护的东西都算作 资 产， 包括: 信息资产、 纸质文 件、 软件资 产、 物理资 产、 人员、 公司形象和声 誉、 服务等。资产的 评估应当 从关键业务开始，最终覆盖所有的关键资产。 定性评估方法的优点是避免了 定量方法的缺点， 可以 挖掘出一些蕴藏很深的思 想， 使评估的结论更全面、 更深刻: 但它的主观性很强， 对评估者本身的要求很高。 2 . 5 . 3定性与定量相结合的综合评估方法 系统风险评估是一个复杂的过程，需要考虑的因 素很多， 有些评估要素是可以 用量化的形式来表达，而对有些要素的量化又是很困难甚至是不可能的，所以我们 不主张在风险评估过程中一味地追求量化，也不认为一切都是量化的风险评估过程 是科学、 准确的。我们认为定量分析是定性分析的基础和前提，定性分析应建立在 定量分析的基础上才能揭示客观事物的内 在规律。 定性分析则是灵魂， 是形成概念、 观点，做出判断，得出结论所必须依靠的，在复杂的信息系统风险评估过程中，不 能将定性分析和定量分析两种方法简单的割裂开来。而是应该 将这两种方法融合起 来，采用综合的评估方法。 2 . 6风险评估过程 风险评估过程就是在评估标准的指导下， 综合利用相关评估技术、评估方法、 评估工具， 针对信息系统展开全方位的 评估工作的完整历程。 对信息系统进行风险 评估， 首先应确保风险分析的内 容与范围应该覆盖信息系统的整个体系， 应包括: 系统基本情况分析、信息系统基本安全状况调查、信息系统安全组织、政策情况分 析、 信息系统弱点漏洞分析等。风险评估具体评估过程如下 : 2 . 6 . 1确定资产 安全评估的 第一步是 确定 信息系统的资产，并明确资产的价值，资产的价值是 由 对组织、 供应商、合作伙伴、客户和其他利