文档介绍：万方数据
AHP肖龙,戚溺,李千目,Qi--IntlInformation1)tlGBT2098420072要对信息系统进行风险评估,首先要对信息系统进行风险计算机工程与应用南京理工大学计算机科学与技术学院,南京TechnologyNanjingE-******@Applications20094s(22)82-85Process(AHP)fuzzy摘要:从踩ǚ缦掌拦赖脑砗脱芯肯肿慈胧郑岢隽嘶诓愦畏治/去和模糊综合评判的信息安全风险评估的方法,解决了风险评估中定性指标定量评估的难点。最后给出实例,证明该方法能有效地应用于信息安全风险评估。关键词:信息安全风险评估;层次分析法;模糊综合评判DOI1037786issn10028331200922028文章编号:—ATP309计算机和网络技术在当今社会迅猛发展并且得到广泛应用,使得各行各业对信息系统的依赖日益加深,信息技术几乎渗透到了社会生活的方方面面。信息系统及其所承载信息的安全问题日益突出,信息和服务在保密性、完整性、可用性等方面出现问题,都会给组织机构带来很大的负面影响。由于互联网的存在,组织机构的信息系统不可避免的与外部系统有着复杂的联系。因此信息安全和保密尤其重要。每个信息系统都存在着风险,信息资产与风险是一对矛盾,资产价值越高,面临的风险就越大。通过信息安全风险管理,可以妥善平衡信息资产和信息安全风险之间的矛盾。为了在安全风险的预防、减少、转移、补偿和分散等之间做出决策,需要对网络系统进行信息安全风险评估。年颁布的国家标准《信息安全技术信息安全风险评、关信息安全技术与管理标准,对信息系统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性,并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响【。通过风险评估,可以识别信息系统安全风险的大小。根据系统的功能用途以及系统承载信息需要的安全程度,可以对系统定级,进行分级保护。在我国,信息安全分级保护是信息安全保障工作的基本制度、基本策略、基本方法,充分体现了“适度安全、保护重点”的目的,可以有效提高信息安全保障工作的整体水平。信息安全风险是指由于资产的重要性、人为或自然的威胁以及利用信息系统及其管理体系的脆弱性,导致安全事件发生所造成的影响【。f14个基本要素。每个要素有各自的属性,资产的属性是资产价值;威胁的属性是威胁主体、影响对象、出现频率、动机等;脆弱性的属性是资产弱点的严重程度;已有安全措施的属性是实施的1(1)所示:琓,,,只,其中,硎景踩ǚ缦占扑愫籄表示资产;硎就玻籚表nVa严重程度;￡表示威胁利用资产的脆弱性导致安全事件发生的.;;(tIIe划项目作者筒介:肖龙,男,;戚滂,通讯作者,男,博士后,副教授,硕士生导师,主要研究领域为信息安全风险评估、数据挖掘;李千目,男,博士后,副教授,硕士生导师。主要研究领域为信息安全。132008-4)4-30132008-0721210094China:..篿NoCX08S_009Z).
万方数据
周⋯面我国在信息安全风翻砰牯方面起步相对较晚,但重视程度可能性;