第七届信息安全漏洞分析与风险评估大会在湖南召开
&&&&来源：&&&&
&&&&&&字号
原标题：第七届信息安全漏洞分析与风险评估大会在湖南召开　　中国经济网北京10月22日讯(记者 郭文鹃)近日，中国信息安全测评中心主办的第七届信息安全漏洞分析与风险评估大会（VARA 2014）在湖南长沙召开。本次会议以“促进安全，保障发展”为主题，面向国家信息安全保障发展与技术进步，围绕信息安全漏洞分析与风险评估、新技术新应用安全、工业控制系统安全、网络安全积极防御等信息安全领域的重点问题，进行了广泛深入交流。与会代表分享了相关领域在理论、方法、技术、标准和实践等方面的最新成果与研究进展。 　　中国信息安全测评中心领导在致辞中表示，要处理好安全与发展的关系，提高对漏洞和隐患危害性的认识，并提出尽快启动“国家级信息安全漏洞消减计划”、“建立法制化、规范性的风险评估制度”，“以创新提高漏洞和风险管控能力”的三点倡议。参会院士围绕漏洞分析、自主可控等相关信息安全问题进行了精彩发言。相关部门领导介绍了国家在加强网络安全管理、提升安全保障能力方面的重点工作。 　　围绕大会主题，本次会议设置了信息安全漏洞分析、风险评估、工控安全和信息安全积极防御等四个分会场，展开专题研讨，从多角度、多层面反映了漏洞分析新技术和新方法，展现了各种网络与系统环境下风险评估的新思路，沟通了工控系统信息安全技术发展与测评工作的新进展，从更宽的视野探讨了信息安全积极防御的新举措。 　　作为信息安全领域业界专家、学术研究人员和政府、行业及用户交流的重要平台，信息安全漏洞分析与风险评估大会为及时、全面反映我国在信息安全漏洞分析和风险评估领域的创新成果和研究能力，探索国家信息安全保障新思路、新方法，推动信息安全技术进步，促进信息安全保障水平提升正发挥着愈来愈重要的作用。
善意回帖，理性发言!
使用其他账号登录:
恭喜你，发表成功!
请牢记你的用户名:，密码:,立即进入修改密码。
s后自动返回
5s后自动返回
恭喜你，发表成功!
5s后自动返回
最新评论热门评论
频道精选|精彩博客
24小时排行&|&
人 民 网 版 权 所 有 ，未 经 书 面 授 权 禁 止 使 用
Copyright &
by .cn all rights reserved
人 民 网 版 权 所 有 ，未 经 书 面 授 权 禁 止 使 用
Copyright &
by .cn. all rights reserved信息安全风险评估综述
&&没有公告
您现在的位置：&&>>&&>>&&>>&正文
信息安全风险评估综述
<FONT color=#3-4-2 18:58:43& 文章来源：
【】【】【】【】【】
&&信息安全风险评估是信息系统安全工程的重要组成部分，是建立信息系统安全体系的基础和前提。本文分析了信息安全风险评估所涉及的主要内容，包括国内外现状、评估体系模型、评估标准、评估方法、评估过程等，探讨了国内外测评体系，指出了目前信息安全风险评估需要解决的问题，展望了信息安全风险评估的发展前景。
1 引言&&&& 在过去的几十年时间里，信息技术已经翻天地覆地改变了整个世界。信息在人们的生产、生活中扮演着越来越重要的角色，人类越来越依赖基于信息技术所创造出来的产品，以信息技术为基础的信息产业已经成为世界经济的重要支柱产业，信息产业的发达程度已经成为一个国家的综合国力和国际竞争力强弱的重要标志。然而人们在尽情享受信息技术带给人类巨大进步的同时，也逐渐意识到它是一把双刃剑，在该领域“潘多拉盒子”已经不止一次被打开，近年来，由于信息系统安全问题所产生的损失、影响不断加剧，信息系统的安全问题越来越受到人们的普遍关注，它已经成为影响信息技术发展的重要因素。然而，传统的事后、被动、单一，针对出现的问题，采用一些安全防护措施，并以某个问题的暂时解决为过程结束标志的信息系统安全建设已经远不能适应信息系统安全防护的发展要求。这种模式往往缺少系统的考虑，就事论事，带有很大盲目性，经常是花费不少、收效甚微，造成资金、人员的巨大浪费。&&&& 信息系统安全问题单凭技术是无法得到彻底解决的，它的解决涉及到政策法规、管理、标准、技术等方方面面，任何单一层次上的安全措施都不可能提供真正的全方位的安全，信息系统安全问题的解决更应该站在系统工程的角度来考虑。在这项系统工程中，信息系统安全风险评估占有重要的地位，它是信息系统安全的基础和前提。&2 风险评估概述&&&& 信息系统的风险评估是指确定在计算机系统和网络中每一种资源缺失或遭到破坏对整个系统造成的预计损失数量。是对威胁、脆弱点以及由此带来的风险大小的评估。&&&& 对系统进行风险分析和评估的目的就是：了解系统目前与未来的风险所在，评估这些风险可能带来的安全威胁与影响程度，为安全策略的确定、信息系统的建立及安全运行提供依据。同时通过第三方权威或者国际机构评估和认证，也给用户提供了信息技术产品和系统可靠性的信心，增强产品、单位的竞争力。&&&& 信息系统风险分析和评估是一个复杂的过程，一个完善的信息安全风险评估架构应该具备相应的标准体系、技术体系、组织架构、业务体系和法律法规。&3 国内外发展现状&&&& 国外关于信息系统安全风险评估的研究已有20 多年的历史，美国、加拿大等IT发达国家于20 世纪70 年代和80 年代建立了国家认证机构和风险评估认证体系，负责研究并开发相关的评估标准、评估认证方法和评估技术，并进行基于评估标准的信息安全评估和认证，目前这些国家与信息系统风险评估相关的标准体系、技术体系、组织架构和业务体系都已经相当成熟。从已经建立了信息安全评估认证体系的有关国家来看，风险评估及认证机构都是由国家的安全、情报、国家标准化等政府主管部门授权建立，以保证评估结果的可信性和认证的权威性、公正性。&&&& 我国信息系统风险评估的研究是近几年才起步的，目前主要工作集中于组织架构和业务体系的建立，相应的标准体系和技术体系还处于研究阶段，但随着电子政务、电子商务的蓬勃发展，信息系统风险评估领域和以该领域为基础和前提的信息系统安全工程在我国已经得到政府、军队、企业、科研机构的高度重视，具有广阔的研究和发展空间。&&&& 无论国外还是国内，在信息系统的风险评估中，安全模型的研究、标准的选择、要素的提取、评估方法的研究、评估实施的过程、一直都是研究的重点。&4 安全体系模型介绍&&&& 目前国际上普遍认为信息安全应该是一个动态的、不断完善的过程，并做了大量研究工作，产生了各类动态安全体系模型，如基于时间的PDR 模型、P2DR 模型、全网动态安全体系APPDRR 模型、安氏的PADIMEE模型以及我国的WPDRRC 模型等。其中偏重技术的P2DR 模型和偏重管理的PADIMEE模型影响最大，其中PADIMEE模型对系统安全的描述更全面一些，该模型结构如图1 所示。&&&& 该模型通过对客户的技术和业务需求的分析以及对客户信息安全的“生命周期”考虑，在七个核心方面体现信息系统安全的持续循环，它们是：策略（policy）、评估(assessment)、设计(design)、执行(implementation)、管理(management)、紧急响应(emergency response)和教育(education)，并将自身业务和PADIMEE &#8482;周期中的每个环节紧密地结合起来，为客户构建全面的安全管理解决方案，该模型的核心思想是以工程方式进行信息安全工作。更强调管理以及安全建设过程中的人为因素。5 国内外安全标准介绍&&&& “没有规矩，不成方圆”，这句话在信息系统风险评估领域也是适用的，没有标准指导下的风险评估是没有任何意义的。通过依据某个标准的风险评估或者得到该标准的评估认证，不但可为信息系统提供可靠的安全服务，而且可以树立单位的信息安全形象，提高单位的综合竞争力。从美国国防部1985 年发布著名的可信计算机系统评估准则（TCSEC）起，世界各国根据自己的研究进展和实际情况，相继发布了一系列有关安全评估的准则和标准，如美国的TCSEC；英、法、德、荷等国20 世纪90 年代初发布的信息技术安全评估准则(ITSEC);加拿大1993 年发布的可信计算机产品评价准则（CTCPEC）；美国1993 年制定的信息技术安全联邦标准（FC）；由6 国7 方（加拿大、法国、德国、荷兰、英国、美国NIST 及美国NSA）于20 世纪90 年代中期提出的信息技术安全性评估通用准则（CC）；由英国标准协会（BSI）制定的信息安全管理标准BS779(ISO17799)以及最近得到ISO 认可的SSE-CMM(ISO/IEC)等。我国根据具体情况，也加快了对信息安全标准化的步伐和力度，相继颁布了如《计算机信息系统安全保护等级划分准则》（GB17859）[6]、《信息技术安全性评估准则》（GB/T18336）以及针对不同技术领域其他的一些安全标准。下面简单介绍其中比较典型的几个标准。&&&& 5.1 CC 标准&&&& 信息技术安全评估公共标准CCITSE（common criteria of information technical securityevaluation），简称CC（ISO/IEC15408-1），是美国、加拿大及欧洲4 国（共6 国7 个组织）经协商同意，于1993 年6 月起草的，是国际标准化组织统一现有多种准则的结果，是目前最全面的评估准则。&&&& CC 源于TCSEC，但已经完全改进了TCSEC。CC 的主要思想和框架都取自ITSEC（欧）和FC（美），它由三部分内容组成：&&&& 1）介绍以及一般模型；&&&& 2）安全功能需求（技术上的要求）；&&&& 3）安全认证需求（非技术要求和对开发过程、工程过程的要求）。&&&& CC 与早期的评估准则相比，主要具有4 大特征：&&&& 1）CC 符合PDR 模型；&&&& 2）CC 评估准则是面向整个信息产品生存期的；&&&& 3）CC 评估准则不仅考虑了保密性，而且还考虑了完整性和可用性多方面的安全特性；&&&& 4)CC 评估准则有与之配套的安全评估方法CEM（commonevaluation methodology）。&&&& 5.2 BS7799(ISO/IEC17799)&&&& BS7799 标准是由英国标准协会(BSI)制定的信息安全管理标准，是国际上具有代表性的信息安全管理体系标准，包括两部分：BS9《信息安全管理实施细则》；&&&& BS2《信息安全管理体系规范》，其中BS9 于2000 年12 月通过国际标准化组织（ISO）认可，正式成为国际标准，即ISO/IEC。&&&& BS9《信息安全管理实施细则》是组织建立并实施信息安全管理体系的一个指导性的准则，BS2 以BS9 为指南，详细说明按照PDCA 模型建立、实施及文件化信息安全管理体系（ISMS）的要求。&&&& 5.3 ISO/IEC (SSE-CMM)&&&& 信息安全工程能力成熟度模型（system security engineering capability maturity model），是关于信息安全建设工程实施方面的标准。&&&& SSE-CMM 的目的是建立和完善一套成熟的、可度量的安全工程过程。该模型定义了一个安全工程过程应有的特征，这些特征是完善的安全工程的根本保证。SSE-CMM 模型通常以下述三种方式来应用：“过程改善”― ―可以使一个安全工程组织对其安全工程能力的级别有一个认识，于是可设计出改善的安全工程过程，这样就可以提高他们的安全工程能力；“能力评估” ― ―使一个客户组织可以了解其提供商的安全工程过程能力；“保证” ― ―通过声明提供一个成熟过程所应具有的各种依据，使得产品、系统、服务更具可信性。&&&& 5.4 我国国家标准《计算机信息系统安全保护等级划分准则》&&&& 我国国家标准《计算机信息系统安全保护等级划分准则》（GB17859）于1999 年9 月正式批准发布，该准则将计算机信息系统安全分为5 级：用户自主保护级、系统审核保护级、安全标记保护级、结构化保护级和访问验证保护级。&&&& 5.5 标准评述&&&& 综合以上几种标准，我们在这里简单地进行一下标准的比较和评价。&&&& BS7799 是侧重于管理理念的最好体现，同BS 7799 相比，信息技术安全性评估准则（CC）和美国国防部可信计算机评估准则（TCSEC）等更侧重于对系统和产品的技术指标的评估，在安全管理要求的全面性和完整性方面不如BS 7799；在对信息系统日常安全管理方面，BS7799 的地位是其他标准无法取代的，BS7799 涵盖了安全管理所应涉及的方方面面，全面而不失可操作性，提供了一个可持续提高的信息安全管理环境,但在安全技术方面不如CC 分析的系统、透彻。&&&& SSE-CMM 是系统安全工程领域里成熟的方法体系，在理论研究和实际应用方面具有举足轻重的作用，SSE-CMM 模型适用于所有从事某种形式安全工程的组织，而不必考虑产品的生命周期、组织的规模、领域及特殊性。它已经成为西方发达国家政府、军队和要害部门组织和实施安全工程的通用方法，我们国家也已准备将SSE-CMM 作为安全产品和信息系统安全性检测、评估和认证的标准之一。&&&& 我国的标准体系基本上是采取等同、等效的方式借鉴国外的标准,如GB/T 18336 等同于ISO/IEC 15408。6 风险评估方法&&&& 标准在信息系统风险评估过程中的指导作用不容忽视，而在评估过程中使用何种方法对评估的有效性同样占有举足轻重的地位。评估方法的选择直接影响到评估过程中的每个环节，甚至可以左右最终的评估结果，所以需要根据系统的具体情况，选择合适的风险评估方法。风险评估的方法有很多种，概括起来可分为三大类：定量的风险评估方法、定性的风险评估方法、定性与定量相结合的评估方法。&&&& 6.1 定量评估方法&&&& 定量的评估方法是指运用数量指标来对风险进行评估。典型的定量分析方法有因子分析法、聚类分析法、时序模型、回归模型、等风险图法、决策树法等。&&&& 定量的评估方法的优点是用直观的数据来表述评估的结果，看起来一目了然，而且比较客观，定量分析方法的采用，可以使研究结果更科学，更严密，更深刻。有时，一个数据所能够说明的问题可能是用一大段文字也不能够阐述清楚的；但常常为了量化，使本来比较复杂的事物简单化、模糊化了，有的风险因素被量化以后还可能被误解和曲解。&&&& 6.2 定性评估方法&&&& 定性的评估方法主要依据研究者的知识、经验、历史教训、政策走向及特殊变例等非量化资料对系统风险状况做出判断的过程。它主要以与调查对象的深入访谈做出个案记录为基本资料，然后通过一个理论推导演绎的分析框架，对资料进行编码整理，在此基础上做出调查结论。典型的定性分析方法有因素分析法、逻辑分析法、历史比较法、德尔斐法。&&&& 定性评估方法的优点是避免了定量方法的缺点，可以挖掘出一些蕴藏很深的思想，使评估的结论更全面、更深刻；但它的主观性很强，对评估者本身的要求很高。
&&& 6.3 定性与定量相结合的综合评估方法
&&& 系统风险评估是一个复杂的过程，需要考虑的因素很多，有些评估要素是可以用量化的形式来表达，而对有些要素的量化又是很困难甚至是不可能的，所以我们不主张在风险评估过程中一味地追求量化，也不认为一切都是量化的风险评估过程是科学、准确的。我们认为定量分析是定性分析的基础和前提，定性分析应建立在定量分析的基础上才能揭示客观事物的内在规律。定性分析则是灵魂，是形成概念、观点，做出判断，得出结论所必须依靠的，在复杂的信息系统风险评估过程中，不能将定性分析和定量分析两种方法简单的割裂开来。而是应该将这两种方法融合起来，采用综合的评估方法。&&&& 6.4 典型的风险评估方法&&&& 在信息系统风险评估过程中，层次分析法 (AHP)经常被用到，它是一种综合的评估方法。该方法是由美国著名的运筹学专家萨蒂TL 于20 世纪70 年代提出来的，是一种定性与定量相结合的多目标决策分析方法。这一方法的核心是将决策者的经验判断给予量化，从而为决策者提供定量形式的决策依据。目前该方法已被广泛地应用于尚无统一度量标尺的复杂问题的分析，解决用纯参数数学模型方法难以解决的决策分析问题。该方法对系统进行分层次、拟定量、规范化处理，在评估过程中经历系统分解、安全性判断和综合判断三个阶段。它的基本步骤是：&&&& 1) 系统分解，建立层次结构模型：层次模型的构造是基于分解法的思想，进行对象的系统分解。它的基本层次有三类：目标层、准则层和指标层，目的是基于系统基本特征建立系统的评估指标体系。&&&& 2) 构造判断矩阵，通过单层次计算进行安全性判断：判断矩阵的作用是在上一层某一元素约束条件下，对同层次的元素之间相对重要性进行比较，根据心理学家提出的“人区分信息等级的极限能力为7±2”的研究结论，AHP 方法在对评估指标的相对重要程度进行测量时，引入了九分位的相对重要的比例标度，构成判断矩阵。计算的中心问题是求解判断矩阵的最大特征根及其对应的特征向量；通过判断矩阵及矩阵运算的数学方法，确定对于上一层次的某个元素而言，本层次中与其相关元素的相对风险权值。&&&& 3) 层次总排序，完成综合判断：计算各层元素对系统目标的合成权重，完成综合判断，进行总排序，以确定递阶结构图中最底层各个元素在总目标中的风险程度。&7 风险评估工具&&&& 在进行安全模型、评估标准、评估方法研究的同时，各大安全公司也相应推出自己的评估工具来体现以上的研究成果。下面介绍几个典型的评估工具。&&&& 7.1 SAFESuite 套件&&&& SAFESuite 套件是Internet Security Systems（简称ISS）公司开发的网络脆弱点检测软件，它由Internet 扫描器、系统扫描器、数据库扫描器、实时监控和SAFESuite 套件决策软件构成，是一个完整的信息系统评估系统。&&&& 7.2 WebTrends Security Analyzer 套件&&&& WebTrends Security Analyzer 套件主要针对Web 站点安全的检测和分析软件，它是NetIQ-WebTrends 公司的系列产品。其系列产品为企业提供一套完整的、可升级的、模块式的、易于使用的解决方案。产品系列包括: WebTrends Reporting Center、Analysis Suite、WebTrends Log Analyzer、Security Analyzer、WebTrends、Firewall Suite and WebTrends Live等，它可以找出大量隐藏在Linux 和Windows 服务器、防火墙、路由器等软件中的威胁和脆弱点，并可针对Web 和防火墙日志进行分析，由它生成的HTML 格式的报告被认为是目前市场上做得最好的。报告里对找到的每个脆弱点进行了说明，并根据脆弱点的优先级进行了分类，还包括一些消除风险、保护系统的建议。&&&& 7.3 Cobra&&&& Cobra 是一套专门用于进行风险分析的工具软件，其中也包含促进安全策略执行、外部安全标准（ISO 17799）评定的功能模块。&&&& 用Cobra 进行风险分析时，分3 个步骤：调查表生成、风险调查、报告生成。&&&& Cobra 的操作过程简单而灵活，安全分析人员只需要清楚当前的信息系统状况，并对之作出正确的解释即可，所有繁琐的分析工作都交由Cobra 来自动完成。&&&& 7.4 CC tools&&&& CC tools 是针对CC 开发的工具，它帮助用户按照CC 标准自动生成PP(保护轮廓)和ST（安全目标）报告。&&&& 以上这些工具有的是通过技术手段，如漏洞扫描、入侵检测等来维护信息系统的安全；有的是依据评估标准而开发的，如Cobra。不可否认，这些工具的使用会丰富评估所需的系统脆弱、威胁信息、简化评估的工作量，减少评估过程中的主观性，但无论这些工具功能多么强大，由于信息系统风险评估的复杂性，它在信息系统的风险评估过程中也只能作为辅助手段，代替不了整个风险评估过程。&&&8 风险评估过程&&&& 风险评估过程就是在评估标准的指导下，综合利用相关评估技术、评估方法、评估工具，针对信息系统展开全方位的评估工作的完整历程。对信息系统进行风险评估，首先应确保风险分析的内容与范围应该覆盖信息系统的整个体系，应包括：系统基本情况分析、信息系统基本安全状况调查、信息系统安全组织、政策情况分析、信息系统弱点漏洞分析等。风险评估具体评估过程如下：&&&& 8.1 确定资产&&&& 安全评估的第一步是确定信息系统的资产，并明确资产的价值，资产的价值是由对组织、供应商、合作伙伴、客户和其他利益相关方在安全事件中对保密性、完整性和可用性的影响来衡量的。资产的范围很广，一切需要加以保护的东西都算作资产，包括：信息资产、纸质文件、软件资产、物理资产、人员、公司形象和声誉、服务等。资产的评估应当从关键业务开始，最终覆盖所有的关键资产。&&&& 8.2 脆弱性和威胁分析&&&& 对资产进行细致周密的分析，发现它的脆弱点及由脆弱点所引发的威胁，统计分析发生概率、被利用后所造成的损失等。&&&& 8.3 制定及评估控制措施&&&& 在分析各种威胁及它们发生可能性基础上，研究消除/减轻/转移威胁风险的手段。这一阶段不需要做出什么决策，主要是考虑可能采取的各种安全防范措施和它们的实施成本。制定出的控制措施应当全面，在有针对性的同时，要考虑系统地、根本性的解决方法，为下一阶段的决策作充足的准备，同时将风险和措施文档化。&&&& 8.4 决策&&&& 这一阶段包括评估影响，排列风险，制定决策。应当从3 个方面来考虑最终的决策：接受风险、避免风险、转移风险。对安全风险决策后，明确信息系统所要接受的残余风险。在分析和决策过程中，要尽可能多地让更多的人参与进来，从管理层的代表到业务部门的主管，从技术人员到非技术人员。&&&& 8.5 沟通与交流&&&& 由上一阶段所做出的决策，必须经过领导层的签字和批准，并与各方面就决策结论进行沟通。这是很重要的一个过程，沟通能确保所有人员对风险有清醒地认识，并有可能在发现一些以前没有注意到的脆弱点。&&&& 8.6 监督实施&&&& 最后的步骤是安全措施的实施。实施过程要始终在监督下进行，以确保决策能够贯穿于工作之中。在实施的同时，要密切注意和分析新的威胁并对控制措施进行必要的修改。另外，由于信息系统及其所在环境的不断变化，在信息系统的运行过程中，绝对安全的措施是不存在的：攻击者不断有新的方法绕过或扰乱系统中的安全措施；系统的变化会带来新的脆弱点；实施的安全措施会随着时间而过时等等，所有这些表明，信息系统的风险评估过程是一个动态循环的过程，应周期性的对信息系统安全进行重评估。&9 各国测评认证体系&&&& 测评认证是现代质量认证制度的重要内容。其实质，是由一个中立的权威机构，依据国际、国内标准、行业标准或认证机构确认的技术规范，通过科学、规范、公正的测试对产品、系统的质量保障能力进行检查评审，以及事后定期监督；它的性质是由具有检验技术能力和政府授权认证资格的权威机构，按照严格程序进行的科学公正的评价活动；它的表示方式是颁发认证证书和认证标志。&&&& 随着信息技术应用与发展，各国政府对信息安全测评认证十分重视，将信息安全列为其国家安全的重要内容之一，建立了与自身的信息化发展相适应的测评认证体系，从事信息安全产品的测评认证工作。信息安全的评估认证已成为信息化进程中的一个重要领域，受到广泛关注。&&&& 英国安全评估认证体系（CB）是1991 年由商业工业部和通信电子安全小组共同建立的；德国于1991 年建立德国信息安全局(BSI)，主要进行安全风险、开发准则、评估技术的研究，并负责颁发安全证书；日本1998 年在信息推进局建立CC 特种部，开发新的安全评估方法、评估工具，研究安全评估机制。&&&& 美国于1997 年由国家标准技术研究所和国家安全局共同组建了国家信息保证伙伴（NIAP），负责基于CC 信息安全测试和评估，图2 为美国评估认证体系结构。&&&图2 美国评估认证体系结构&&&& 我国的国家信息安全测评认证体系正处于建设和发展阶段。&
10 信息系统风险评估发展存在的问题&&&& 目前“信息系统安全是一项系统工程”的观点已得到广泛的认可、接受，作为该工程的基础和前提的风险评估也越来越受到大家的重视，但在该领域的研究、发展过程中还需要纠正和解决一些模糊概念和问题：&&&& 第一，安全评估体系所应包括的相应组织架构、业务、标准和技术体系还不完善。&&&& 第二，不能简单的将系统风险评估理解为是一个具体的产品、工具，系统的风险评估更应该是一个过程，是一个体系。完善的系统风险评估体系应包括相应的组织架构、业务体系、标准体系和技术体系。&&&& 第三，在评估标准的采用上，没有统一的标准，由于各种标准的侧重点不同，导致评估结果没有可比性，甚至会出现较大的差异，而且目前国内还缺乏具有自主知识产权、比较系统的信息系统评估标准。&&&& 第四，评估过程的主观性也是影响评估结果的一个相当重要而又是最难解决的方面，在信息系统风险评估中，主观性是不可避免的，我们所要做的是尽量减少人为主观性，目前在该领域利用神经网络、专家系统、分类树等人工智能技术进行的研究比较活跃。&&&& 第五，风险评估工具比较缺乏，市场上关于漏洞扫描、防火墙等都有比较成熟的产品，但与信息系统风险评估相关的工具却很匮乏。&11 结束语&&&& 安全评估作为信息系统安全工程重要组成部分，已经不仅仅是个别企业的问题，而是关系到国民经济的每一方面的重大问题，它将逐渐走上规范化和法制化的轨道上来，国家对各种配套的安全标准和法规的制定将会更加健全，评估模型、评估方法、评估工具的研究、开发将更加活跃，信息系统及相关产品的风险评估认证将成为必需环节。
上一篇文章： 下一篇文章： 没有了
&&&&&&&&&&&&&&&&信息安全管理与风险评估_百度百科
关闭特色百科用户权威合作手机百科
收藏 查看&信息安全管理与风险评估本词条缺少概述、名片图，补充相关内容使词条更完整，还能快速升级，赶紧来吧！作&&&&者张泽虹出版时间&日
书 名: 信息安全管理与风险 评估
作　者：张泽虹
出版时间： 日
开本： 16开
定价: 20.00元
《信息安全管理与风险评估》以信息安全管理为主线，以信息安全风险评估为重点，对近年来国内外信息安全管理与风险评估的研究成果和应用实践，进行系统归纳和总结，全面介绍信息安全管理、信息安全风险管理、信息安全风险评估的基本知识、相关标准或指南，以及信息安全风险评估的工具、方法、过程等。
《信息安全管理与风险评估》层次分明，结构合理，叙述严谨，重点突出，注重实验环节。根据章节内容，适量安排实验内容，并且将实验与习题分开，独立编写。
《信息安全管理与风险评估》可作为高等学校信息安全、信息管理与信息系统、计算机科学与技术等专业本、专科学生的教材，也可作为从事信息化相关工作的领导、技术与管理人员的参考书。第1章 信息安全管理概述
1.1 信息与信息安全
1.1.1 信息
1.1.2 信息安全
1.2 信息安全管理
1.3 信息安全管理的目的
1.4 信息安全管理遵循的原则
第2章 信息安全管理标准
2.1 国外信息安全管理标准
2.1.1 信息安全管理标准BS7799
2.1.2 ISO/IEC13335
2.1.3 ISO/IEC
2.1.4 CC准则
2.2 我国的信息安全管理标准
2.2.1 我国的信息安全管理标准概述
2.2.2 GB/T19715标准
2.2.3 GB/T
第3章 信息安全管理的实施
3.1 信息安全管理标准BS7799实施中的问题
3.1.1 企业信息安全管理的现状
3.1.2 信息安全管理标准实施的误区
3.1.3 灵活使用BS7799
3.2 BS7799信息安全管理实施案例
3.2.1 信息安全管理体系认证实施案例
3.2.2 BS7799框架下安全产品与技术的具体实现
第4章 信息安全风险管理
4.1 信息安全风险管理概述
4.1.1 信息安全风险管理的概念
4.1.2 相关要素及概念
4.1.3 信息安全风险管理各要素间的关系
4.2 AS/NZS
4.2.1 AS/NZS简介
4.2.2 AS/NZS的内容
4.2.3 AS/NZS风险管理流程
4.3 NISTSP800-30
4.3.1 NISTSP800-30简介
4.3.2 NISTSP800-30的内容
4.3.3 NISTSP800-30风险管理流程
4.4 TheSecurityRiskManagementGuide
4.4.1 TheSecurityRiskManagementGuide简介
4.4.2 TheSecurityRiskManagementGuide的内容
4.4.3 微软风险管理流程
4.5.1 GB/T简介
4.5.2 GB/T的内容
4.5.3 GB/T风险管理
第5章 信息安全风险评估概述
5.1 信息安全风险评估发展概况
5.1.1 国外信息安全风险评估发展概况
5.1.2 我国信息安全风险评估的发展现状
5.2 信息安全风险评估的目的和意义
5.3 信息安全风险评估的原则
5.4 信息安全风险评估的相关概念
5.4.1 信息安全风险评估的概念
5.4.2 信息安全风险评估和风险管理的关系
5.4.3 信息安全风险评估的两种方式
5.4.4 信息安全风险评估的分类
5.5 国外信息安全风险评估标准
5.5.1 OCTAVE
5.5.2 SSE-CMM
5.5.3 GAO/AIMD-99-139
5.6 我国信息安全风险评估标准GB/T
5.6.1 GB/T简介
5.6.2 GB/T的内容
5.6.3 GB/T的风险评估实施过程
5.7 信息安全风险评估方法
5.7.1 概述
5.7.2 典型的信息安全风险评估方法
5.8 信息系统生命周期各阶段的风险评估
5.8.1 规划阶段的信息安全风险评估
5.8.2 设计阶段的信息安全风险评估
5.8.3 实施阶段的信息安全风险评估
5.8.4 运维阶段的信息安全风险评估
5.8.5 废弃阶段的信息安全风险评估
第6章 信息安全风险评估工具
6.1 风险评估与管理工具
6.1.1 MBSA
6.1.2 COBRA
6.1.3 CRAMM
6.1.4 ASSET
6.1.5 RiskWatch
6.1.6 其他风险评估与管理工具
6.1.7 常用风险评估与管理工具对比
6.2 系统基础平台风险评估工具
6.2.1 脆弱性扫描工具
6.2.2 流光（Fluxay）脆弱性扫描工具
6.2.3 Nessus脆弱性扫描工具
6.2.4 极光远程安全评估系统
6.2.5 天镜脆弱性扫描与管理系统
6.2.6 渗透测试工具
6.2.7 Metasploit渗透工具
6.2.8 ImmunityCANVAS渗透测试工具
6.3 风险评估辅助工具
6.3.1 调查问卷
6.3.2 检查列表
6.3.3 人员访谈
6.3.4 入侵检测工具
6.3.5 安全审计工具
6.3.6 拓扑发现工具
6.3.7 其他：评估指标库、知识库、漏洞库、算法库、模型库
6.4 信息安全风险评估工具的发展方向和最新成果
第7章 信息安全风险评估的基本过程
7.1 信息安全风险评估的过程
7.2 评估准备
7.2.1 确定信息安全风险评估的目标
7.2.2 确定信息安全风险评估的范围
7.2.3 组建适当的评估管理与实施团队
7.2.4 进行系统调研
7.2.5 确定信息安全风险评估的依据和方法
7.2.6 制定信息安全风险评估方案
7.2.7 获得最高管理者对信息安全风险评估工作的支持
7.3 识别并评价资产
7.3.1 识别资产
7.3.2 资产分类
7.3.3 资产赋值
7.3.4 输出结果
7.4 识别并评估威胁
7.4.1 威胁识别
7.4.2 威胁分类
7.4.3 威胁赋值
7.4.4 输出结果
7.5 识别并评估脆弱性
7.5.1 脆弱性识别
7.5.2 脆弱性分类
7.5.3 脆弱性赋值
7.5.4 输出结果
7.6 识别安全措施和输出结果
7.6.1 识别安全措施
7.6.2 输出结果
7.7 分析可能性和影响
7.7.1 分析可能性
7.7.2 分析影响
7.8 风险计算
7.8.1 使用矩阵法计算风险
7.8.2 使用相乘法计算风险
7.9 风险处理
7.9.1 现存风险判断
7.9.2 控制目标确定
7.9.3 控制措施选择
7.10 编写信息安全风险评估报告
第8章 信息安全风险评估实例
8.1 评估准备
8.1.1 确定信息安全风险评估的目标
8.1.2 确定信息安全风险评估的范围
8.1.3 组建适当的评估管理与实施团队
8.1.4 进行系统调研
8.1.5 评估依据
8.1.6 信息安全风险评估项目实施方案
8.1.7 获得最高管理者对信息安全风险评估工作的支持
8.2 识别并评价资产
8.2.1 识别资产
8.2.2 资产赋值
8.2.3 资产价值
8.3 识别并评估威胁
8.4 识别并评估脆弱性
8.5 分析可能性和影响
8.5.1 分析威胁发生的频率
8.5.2 分析脆弱性严重程度
8.6 风险计算
8.6.1 使用矩阵法计算风险
8.6.2 使用相乘法计算风险
8.7 风险处理
8.7.1 现存风险判断
8.7.2 控制目标确定
8.7.3 控制措施选择
8.8 编写信息安全风险评估报告
新手上路我有疑问投诉建议参考资料 查看}