基于配置管理和用戶自助的信息安全風(fēng)險(xiǎn)評(píng)估研究.pdf

1、本文主要以信息安全風(fēng)險(xiǎn)評(píng)估方法為研究對(duì)象，主要是為了能研究出一個(gè)可行性高的、準(zhǔn)確性較好的，適合一般企業(yè)的信息安全風(fēng)險(xiǎn)評(píng)估方法。以應(yīng)對(duì)日益復(fù)雜的信息安全風(fēng)險(xiǎn)和環(huán)境。
　　本文先介紹了前人對(duì)于信息安全風(fēng)險(xiǎn)評(píng)估的研究，并選擇了最適合企業(yè)的信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)GB/T22080和GB/T20984方法進(jìn)行研究，在結(jié)合現(xiàn)實(shí)范例分析后，展示了傳統(tǒng)方法的不足，比如難以進(jìn)行客觀的定量分析，風(fēng)險(xiǎn)值計(jì)算過程中存在漏洞，評(píng)價(jià)人主觀操控評(píng)估結(jié)果等。并分析

2、出造成這一切后果的主要原因，那就是GB/T20984方法沒有在資產(chǎn)之間建立起有效的邏輯關(guān)系，也很難對(duì)用戶的風(fēng)險(xiǎn)進(jìn)行度量。為了改進(jìn)此風(fēng)險(xiǎn)評(píng)估方法，本研究引入了ITIL中的配置管理理念，要求將所有的資產(chǎn)之間的管理清理出來并加入數(shù)據(jù)庫，再加上故障樹分析、CORAS等方法的思想，設(shè)計(jì)出了一套基于配置管理數(shù)據(jù)庫CMDB的信息資產(chǎn)模型，以及與之相配套的風(fēng)險(xiǎn)傳遞算法，先將所有的資產(chǎn)信息和關(guān)系信息輸入數(shù)據(jù)庫后，再根據(jù)相互之間的關(guān)系進(jìn)行計(jì)算，某項(xiàng)資產(chǎn)受到