信息安全測評系統(tǒng)開發(fā).pdf

1、信息系統(tǒng)安全測評是一項復(fù)雜的工作,涉及專業(yè)的信息技術(shù)、多變的用戶需求、體系化的安全管理等多個領(lǐng)域的知識和經(jīng)驗,并且隨著時間的推移而動態(tài)變化。保障網(wǎng)絡(luò)與信息安全是一項復(fù)雜的系統(tǒng)工程,進入門檻很高,需要大量的專業(yè)測試工具和設(shè)備、專業(yè)的高級信息安全人才隊伍和規(guī)范的管理體系。從事信息安全測評工作,開發(fā)一套自主知識產(chǎn)權(quán)的信息安全測評系統(tǒng)是相當(dāng)必要的。
　　本論文課題旨在對信息安全測評方法進行研究,建立信息安全測評模型,開發(fā)信息安全測評軟件系

2、統(tǒng),提供一套實用的測評工具,用于指導(dǎo)信息安全測評工作。
　　本文深入研究了工作流管理聯(lián)盟(Workflow Management Coalition,WfMC)提出的工作流參考模型,并在設(shè)計本系統(tǒng)的各個測評模型的同時引入了該工作流的參考模型。
　　本文建立了信息安全測評系統(tǒng),主要包括技術(shù)測評模塊、管理測評模塊。在WfMC的工作流參考模型的基礎(chǔ)上,建立了信息安全測評模型,主要有技術(shù)測評子模型、管理測評子模型。本文從整體性、關(guān)聯(lián)

3、性,等級結(jié)構(gòu)性、動態(tài)平衡性、時序性等基本特征出發(fā),通過對信息安全標(biāo)準(zhǔn)的收集、整理、歸納、分析和總結(jié),形成測評控制框架和要素。
　　本文對信息安全測評系統(tǒng)設(shè)計并建立了較為完整的應(yīng)用數(shù)據(jù)庫,并將信息系統(tǒng)安全測評分為技術(shù)測評和管理測評兩大類,其中技術(shù)測評包括:物理安全、網(wǎng)絡(luò)安全、主機安全、應(yīng)用安全、數(shù)據(jù)安全;管理測評包括:安全管理制度、安全管理機構(gòu)、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運維管理。
　　本文對信息安全測評系統(tǒng)建立了信息系

4、統(tǒng)風(fēng)險測評方法及模型,風(fēng)險計算模型包含信息資產(chǎn)、弱點/脆弱性、威脅等關(guān)鍵要素。每個要素有各自的屬性,信息資產(chǎn)的屬性是資產(chǎn)價值,弱點的屬性是弱點被威脅利用后對資產(chǎn)帶來的影響的嚴重程度,威脅的屬性是威脅發(fā)生的可能性。
　　本系統(tǒng)在設(shè)計的過程中,基于中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局和中國國家標(biāo)準(zhǔn)化管理委員會,于2008年6月19日發(fā)布的中華人民共和國國家標(biāo)準(zhǔn),其中包括GB/T22239-2008《信息安全技術(shù)信息系統(tǒng)安全等級保護基