信息安全风险评估模型设计分析

1、信息平安风险评估模型设计分析 摘要：从企业内部业务出发，优化信息平安风险评估根本模型，设计了一个企业信息平安风险自评估施行模型，并深化分析了该模型的内容，使其适用于企业依托自身力量来有效开展自评估活动，从而进步企业信息平安风险防护才能。关键词：信息平安；自评估；风险评估；模型设计企业信息平安风险评估主要有2种形式，即他评估和自评估。相比拟而言，自评估展现出越来越多的优点，比方外部依赖性小、投入费用低、评估周期短、次生风险低和可以进步内部平安意识等。除此之外，信息平安风险的动态化决定信息平安评估工作应是长期持续的，大局部的内部信息平安风险评估内容企业可采用自评估方式来完成。但信息平安风险评估的专

2、业性、技术性、标准性比拟高，企业难以掌握复杂的评估技术和方法。本文以企业业务为出发点，对信息平安风险评估根本模型进展优化，设计了一个更适用于企业依托自身力量来有效开展自评估的施行模型，以进步企业信息平安风险防护才能。1信息平安风险评估根本模型对风险评估模型的研究一直是信息平安风险评估领域的研究热点之一。风险评估根本模型是一种基于资产、威胁和脆弱性的信息平安风险评估模型。其中，资产的评估主要是对资产进展相对估价，估价准那么依赖于对其影响范围的分析；威胁评估是对资产所受威胁发生可能性和威胁严重程度的评估；脆弱性评估是对资产脆弱程度的评估，也是对资产被威胁、利用成功的可能性的评估。信息平安风险评估根

3、本模型的评估过程就是对资产信息、威胁信息和脆弱性信息进展综合分析评估并且生成风险信息的过程，包含确定评估范围、资产识别阶段、平安威胁/脆弱性评估、风险分析和风险管理等阶段。基于信息平安风险评估根本模型，很多学者从不同角度和目的做了优化和完善。但是，信息平安风险评估模型的研究还处于探究和完善阶段，已有的研究存在一些缺陷，主要表现为以下3点：缺乏对评估内容的逐层细化，难以评价和量化各要素，可操作性比拟差；缺乏对风险评估根本要素属性的综合考虑，难以表达评估要素与企业业务的关系；大局部模型比拟复杂，评估方法和流程操作起来费时费力，企业难以采用。2基于根本模型的企业信息平安自评估模型针对信息平安风险评估

4、模型的缺乏，本文综合考虑企业自身的业务和内部约束条件，在根本模型和相关研究成果的根底上，提出更加简单、有效的企业信息平安风险自评估模型。本文认为，企业信息平安风险自评估模型应遵循自主、简单、标准性、可行性和可扩展性的原那么，根本思路是从企业业务出发，多角度研究自评估模型中资产、威胁、脆弱性的关系和指标，应用相关统计分析方法统计，运用层次分析法AHP评价、量化相关要素和风险，最终构建一个科学、合理、可操作的企业自评估模型。在此过程中，需要解决3方面的问题：明确评估的对象、内容和流程；构建评价方法，统一评估和度量风险根本要素；统一不同层面、角度的评估结果。AHPAnalyticHierarchyP

5、rocess，层次分析法是一种定性分析与定量分析相结合的多目的决策分析方法，其根本步骤是：分析问题，建立递阶构造评价模型；构造比拟判断矩阵；层次单排序；一致性检验；层次总排序与一致性检验；选择最优的解决方案。资产、威胁、脆弱性作为信息平安风险自评估模型的3个根本要素，需要分别识别和分析，并提炼出各自的评价指标。本文结合已有的理论和理论成果，从自主性、简单性、可行性和科学性原那么出发，基于相关标准、企业环境和企业业务影响分析，提出信息资产的评价因素应包含经济、声誉、法律法规、业务运营、社会秩序、商业利益和个人利益，等等，威胁可能性评价指标应包含威胁攻击力、威胁动机、资产诱因和威胁频率等，脆弱性严

6、重程度赋值的评价因素应包含可用性、机密性和完好性。根据资产受到损害时对其评价因素带来的损失为资产价值赋值比方从14取值，数值越大，说明资产价值越高。得到各评价因素的综合分值后，分值最大的为该资产的价值，即资产价值为Amaxi。根据威胁评价指标和脆弱性评价因素，利用AHP方法建立威胁、脆弱性评价体系，体系由目的层、准那么层和指标层方案层构成。为了方便对不同威胁发生可能性概率、不同脆弱性的严重程度进展类比、度量，使用统一的度量标准，采用相对等级的方式处理评价结果比方从14取值，数值越大，威胁发生的可能性越高，带来的损害越大。通过AHP用数量形式表达和处理个人主观判断结果，采用专家和团队评分进一步比

7、拟各要素的重要性，并做一致性检验，最终确定各要素的值。在对资产价值、威胁、脆弱性分析和量化后，还要确定各要素之间的组合方式和详细的计算方法。?信息平安风险评估标准?2022对风险值的计算提出了如下函数：风险值RA，T，VRLT，V，FIa，Va.1式1中：R为平安风险计算函数；A为资产；T为威胁；V为脆弱性；L为威胁利用资产的脆弱性导致平安事件的可能性；F为平安事件发生后造成的损失；Ia为平安事件所作用的资产价值；Va为脆弱性严重程度。信息平安风险值的计算方法主要有矩阵法、相乘法和预先价值矩阵查表法等，并且可以将多种方法结合使用。因为相乘法操作简单，所以，在风险分析中的应用比拟广泛。该方法是一

8、种定量的计算方法，主要思路是利用2个相关要素值的乘积计算出结果要素的值。按照简单性、科学性原那么，对于企业自评估，本文认为，相乘法比拟合适企业使用，但不限于该方法。根据相乘法，企业信息平安风险值的计算过程是：计算威胁利用资产的脆弱性导致平安事件的可能性，即LLT，VTxV；计算平安事件发生后造成的损失，即FFIa，VaIaxVa；计算风险值，即RRL，FLxF.企业信息平安风险自评估的根本目的是根据企业自身业务，识别出信息系统中存在的主要平安风险，并排列优先级，为风险信息计算提供数据支撑，进而为提出风险应对措施提供建议。基于上述方法，本文提出了企业信息平安风险自评估模型，如图1所示。企业信息平

9、安风险自评估模型的施行分为范围确定、资产识别与量化、威胁分析、脆弱性分析、风险分析与计算、风险应对建议6个阶段，每个阶段的详细任务如图2所示。本文提出的自评估模型综合了企业自评估的约束条件、风险评估的根本原理、关键环节与流程、根本要素度量等，具有以下5个特点：模型提供了统一的资产、威胁、脆弱性3个根本要素的度量和评价方法，根据模型中的评价指标可以进展量化和排序。模型将企业业务与风险评估结合起来，表达了IT效劳企业、效劳业务的理念，在一定程度上反映出了信息平安风险评估对业务的影响程度和对企业的价值。模型满足信息平安的动态性要求，适应企业业务不断开展和调整的需要。当业务调整时，企业仅需分析业务信息流，识别出相关资产、威胁和脆弱性等。模型满足信息平安的持续性要求，企业可建立相关制度，将自评估设立为日常性工作。当业务无法调整时，自评估活动仅需识别和分析新的脆弱性和威胁信息，从而节省大量资源。模型具有较强的适应性，适用于不同类型的企业，企业可根据实际情况裁减和优化，根据各自的偏好选择风险计算方法。3完毕语本文在研究国内外风险评估模型、风险分析方法的根底上，结合企业内部进展信息平安风险自评估的需求和难点，提出了一种适用于企业内部自评估的信息平安风