基于ahp和模糊综合评判的信息安全风险评估

《基于ahp和模糊综合评判的信息安全风险评估》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据822009．45(22)ComputerEngineeringandApplications计算机工程与应用基于AHP和模糊综合评判的信息安全风险评估肖龙，戚溺，李千目XIAOLong，QIYong，LIQian-mu南京理工大学计算机科学与技术学院，南京210094CoUegeofComputerScience，NanjingUniversityofScienceandTechnology，Nanjing210094，ChinaE-mail：wang@mail．njust．edu．cnXIAOLong，QIYong，LIQi皿--Intl．．Informationsecuri

2、tyriskI鲢sessmentevaluation．ComputerEngineeringandApplications，2009，4s(22)：82-85．Abstract：Thisarticlest．alrtfiwiththetheoryandresearchofinformationsecurityriskassessment．ItproposesinformationsecurityriskassessmentmethodbasedonAnalyticHierarchyProcess(AHP)andfuzzycomprehensiveevaluation．Itsolvesthe

3、difficultywhenconductingquantitativeevaluationofqualitativeassessmentinriskassessment．Finallyitgivesapracticalexampletoprovethatthismethodcanbeappliedverywelltoinformationsecurityriskassessment．Keywords：informationsecurityriskassessment；AnalyticHierarchyProcess(AHP)；fuzzycomprehensiveevaluation摘要

4、：从4---2息安全风险评估的原理和研究现状入手，提出了基于层次分析'／去-(AHP)和模糊综合评判的信息安全风险评估的方法，解决了风险评估中定性指标定量评估的难点。最后给出实例，证明该方法能有效地应用于信息安全风险评估。关键词：信息安全风险评估；层次分析法；模糊综合评判DOI：10．37786．issn．1002—8331．2009．22．028文章编号：1002—8331(2009)22-0082-04文献标识码：A中图分类号：TP3091引言计算机和网络技术在当今社会迅猛发展并且得到广泛应用，使得各行各业对信息系统的依赖日益加深，信息技术几乎渗透到了社会生活的方方面面。信息系统及其

5、所承载信息的安全问题日益突出，信息和服务在保密性、完整性、可用性等方面出现问题，都会给组织机构带来很大的负面影响。由于互联网的存在，组织机构的信息系统不可避免的与外部系统有着复杂的联系。因此信息安全和保密尤其重要。每个信息系统都存在着风险，信息资产与风险是一对矛盾，资产价值越高，面临的风险就越大。通过信息安全风险管理，可以妥善平衡信息资产和信息安全风险之间的矛盾。为了在安全风险的预防、减少、转移、补偿和分散等之间做出决策，需要对网络系统进行信息安全风险评估。2007年颁布的国家标准《信息安全技术信息安全风险评估规范)tlGB／T20984—2007中定义信息安全风险评估是依据有、关信息安

6、全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响【11。通过风险评估，可以识别信息系统安全风险的大小。根据系统的功能用途以及系统承载信息需要的安全程度，可以对系统定级，进行分级保护。在我国，信息安全分级保护是信息安全保障工作的基本制度、基本策略、基本方法，充分体现了“适度安全、保护重点”的目的，可以有效提高信息安全保障工作的整体水平。2信息安全风险评估的研究现状及相关准则信息安全风险是指由于资产的重要性

7、、人为或自然的威胁以及利用信息系统及其管理体系的脆弱性，导致安全事件发生所造成的影响【lJ。要对信息系统进行风险评估，首先要对信息系统进行风险分析f一1。风险分析中涉及资产、威胁、脆弱性及已有安全措施4个基本要素。每个要素有各自的属性，资产的属性是资产价值；威胁的属性是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程度；已有安全措施的属性是实施的各种实践、规程和机制等。风险分析原理如图1所示。由以上分析原理，可以