信息安全风险评估要素量化方法

信息安全风险评估是保障信息系统安全的重要手段之一,也是信息系统安全体系建设的前提和基础。文中在分析信息安全风险评估要素和评估过程的基础上,结合实际经验针对定量风险评估讨论了定量风险评估要素的量化规则、量化方法和风险计算方法,该方法在定量风险评估过程中具有科学性、合理性和实用性特点。     

基于模糊综合和AHP的内联网信息安全风险评估

随着信息化建设步伐的加快,信息安全面临的风险日益增加。为了对信息安全风险进行评估,提出一种基于模糊综合评判和AHP的信息系统安全风险评估方法,分析了系统面临的风险威胁,建立了评估指标体系,通过AHP确定指标权重,对某单位局域网信息系统安全进行了风险评估,确定了风险等级,指出了风险来源,结果表明,该方法能较好地量化评估信息系统安全风险。     

对信息系统管理中信息安全风险评估研究

随着信息技术的发展,信息系统面对的安全问题越来越突出,这引起了社会的广泛关注。而对信息系统安全的风险进行评价,是对信息系统安全保护的重要体现。首先对信息系统安全风险评估涉及到的4个基本因素进行了阐发。虽然针对风险评估的方法有很多种,但这里在构建信息系统安全风险评估指标的基础上,运用层次分析法(AHP)和模糊综合评判对风险进行了有效评估,为信息系统安全风险的管理决策提供了科学依据。     

一个灰色信息安全风险评估应用模型

在信息系统安全风险评估研究方面,现有不少方法是非定量的或者抽象的,它们对系统安全风险只做出定性描述。目前缺乏能够对系统安全风险作出定量描述的评估模型。基于灰色层次模型提出了一个定量的信息系统安全风险评估模型,并结合熵权理论给出了相应的风险值计算方法,以消减主观因素的影响,提高评估结果实用性。最后通过一个应用实例对该模型的实用价值进行验证。     

层次化的信息系统风险评估方法研究

由于当前主流的信息安全风险评估方法仅关注系统组件的风险,很少立足于业务风险视角,难以满足业务人员、组织管理者等不同层面人员对信息安全风险的理解。文中提出了一种层次化风险评估方法来量化风险,该方法将信息系统安全风险分为组件级、系统级和组织级3个层面,分别关注系统单一组件的风险、单个信息系统风险和多个信息系统构成的组织总体风险。通过对3个层次风险的逐层分析,使得风险分析结果更为全面和客观地反映安全风险评估的层次化需求。     

基于先验知识和信息分布的目标威胁估计方法

重点对威胁度评估技术特点进行了分析,通过构建空袭目标威胁度评估模型,来研究相关原理和方法拓展,最后通过若干实例分析检验了模型的实用性和合法性,其中威胁度评估模型采用多属性决策方法,对单因素威胁度的量化用隶属函数描述,权值计算采用层次分析法(AHP)与熵权法相结合的方法,并用TOPSIS排序法(优劣解距离法)对目标威胁度进行了排序.     

基于改进FAHP-BN的信息系统安全态势评估方法

针对信息系统安全态势评估中安全风险等级确定问题,提出了一种利用改进的模糊层次分析法(FAHP)和贝叶斯网络推理评估安全态势的方法.采用改进的FAHP,解决了评估中难以衡量的攻击严重性因素的量化问题;同时,结合专家知识定义了推理规则下各因素的条件概率矩阵,进而建立了态势评估的贝叶斯网络推理模型,并给出了基于此模型的评估方法.实例分析表明,该方法合理有效,可为信息系统安全态势评估提供一种新思路.     

基于SVM的信息系统风险动态识别和评估

风险识别和评估为信息系统的安全决策提供有力的支持工具。信息系统的动态性和复杂性决定了风险识别及评估的难度,本文利用SVM在小样本分类的优越性来适应信息系统的动态性和复杂性特点,实现对动态风险的有效识别。定义了风险因素形式化描述,提出了复杂风险的评估量化模型。通过实际应用验证了在风险识别及评估方面的有效性。风险识别和评估为信息系统的安全决策提供有力的支持工具。信息系统的动态性和复杂性决定了风险识别及评估的难度,本文利用SVM在小样本分类的优越性来适应信息系统的动态性和复杂性特点,实现对动态风险的有效识别。定义了风险因素形式化描述,提出了复杂风险的评估量化模型。通过实际应用验证了在风险识别及评估方面的有效性。     

一种基于STRIDE威胁模型的风险评估方法

信息系统风险评估是信息安全保障机制建立过程中的重要评价方法和决策机制,已成为国际上考察信息系统安全性的一个重要环节.文中针对信息系统风险评估提出了一种基于威胁模型的评估方法,通过对信息系统中涉及关键资产的数据流构建STRIDE威胁模型来识别威胁,并量化威胁发生的可能性和严重程度,从而进一步评估信息系统的安全风险.     

基于危险理论的电子政务系统信息安全风险评估

为了电子政务系统安全信息评估精度,依据资产、脆弱性、威胁等风险评估基本要素,提出一种基于危险理论的电子政务系统信息安全风险评估方法.该方法以威胁为核心,通过威胁分析、梯形模糊数、层次分析法,结合多属性决策理论得到威胁发生的概率、后果属性以及属性值,得到电子政务系统信息安全威胁指数,最后利用威胁指数对风险进行排序,得到系统信息安全的风险等级.仿真结果表明,该方法能够很好地量化电子政务系统信息安全风险指标,有效地提高了风险评估准确性,是一种有效的电子政务系统信息安全评估方法.     

合成分队目标综合排序方法研究

综合分析目标的各项属性并进行排序,是合成分队辅助决策的核心问题。针对传统目标排序方法的不足,提出了一种改进层次分析法与熵权法相结合的模糊综合排序方法。在充分借鉴以往评判指标的基础上,将目标的心理价值纳入评估指标体系,提升了评估的全面性;在评估指标权重计算过程中,使用改进层次分析法与熵权法相结合的方法,综合考虑专家打分的主观与客观特性,提升了权值求解的合理性;基于评估指标及权值,采用一种多层次模糊评判算法进行目标综合排序。采用上述方法,对想定中的8个重要目标进行排序,结果表明:所提方法得出的排序结果符合指挥员认知,提高了决策的科学性和有效性。     

风险评估方法在企业信息安全管理中的应用探讨

本文以企业信息安全管理为背景,利用风险评估理论,将企业信息管理的风险评估方法进行了探讨,将风险因素进行量化。最后给出了以风险评估数值为基础的企业信息系统的评估等级。     

基于概率模型的多因素风险量化方法研究

电力行业是关系到国计民生的基础性行业。为防范电力信息系统风险,提出了一种基于概率模型的多因素风险量化方法。通过全面考虑资产、威胁、脆弱性、已有的安全防护措施等因素的内在关系,能够更准确评估安全风险;通过概率模型将资产风险量化为整体系统的风险,能够更准确地体现风险的含义。实际运行结果表明,该方法能够有效评估电力系统信息安全工作水平。     

基于风险矩阵的电力公司信息安全风险评估

随着信息化的发展,电力企业信息安全风险管理日益凸显出其重要性.基于某电力公司八个信息安全风险要素分析,运用风险矩阵法对信息安全风险进行评估.建立了包含了专家二维矩阵、运用Borda序值法和层次分析法的评估模型.运用实例计算信息安全风险等级并找出主要安全风险要素,证明了模型的有效性和合理性.研究结果对电力公司加强信息安全风险管理有一定的参考价值.     

关于通信系统风险的研究

信息系统作为运营商网络中的一个核心组成部分,有必要对其风险问题进行研究,以确保通信安全。对通信系统中可能引起风险的因素以及评估方法进行了总结,并运用基于熵权系数法的模糊评判方法对通信系统的风险进行评估,结合实际的通信系统并利用此方法得出的评估结果与实际通信系统相一致,从而证实了此方法的评估可以得到更加公正客观的评价结果。     

基于改进层次分析法的舰载信息系统作战效能评估

舰载信息系统作战效能评估是一个多指标评价过程。利用基于最优传递矩阵的改进层次分析怯对此非定量事件作定量分析,确定了各指标的重要性排序权值,能够在作战中为指挥员决策提供依据,起到优化作战资源的作用。效能分析实例验证了此方法的有效性。     

信息系统漏洞风险定量评估模型研究

为解决信息系统漏洞风险的科学定量问题,针对当前漏洞风险评估忽略漏洞之间关联性的现状,提出了一种信息系统漏洞风险评估的定量方法与实现步骤.首先,讨论了基于漏洞关联网络(VCN,vulnerability connection network)的漏洞风险评估模型,引入了路径风险与主体风险的概念;其次,提出了以层次分析法定量主体风险性中的主体重要性要素,结合主观分析与攻击重现定量转移风险中的关联后果值的具体方法;最后,对电力调度管理信息系统运用此漏洞风险定量方法进行评估,得出了客观的漏洞风险评估结果.评估示例表明,基于漏洞关联网络的漏洞风险定量评估模型实现了漏洞风险科学、客观的定量评估.     

安全评估法中要素量化标准的建立与探讨

应用安全评估方法对企业进行整体测评时,常常由于企业间的生产运行模式不同,安全风险来源不一,难以运用同一评估模型进行计算。加之评估过程中专家经验、实测数据修正等人为因素比重占据较大,重要要素量化计算缺乏统一标准,往往造成测评结果不够精准,没有完全反映出企业的真实安全运行状况。在此通过在安全评估法中引入海因里希安全理论,探讨和建立一种评估要素的统一量化标准,使不同企业间能够使用同一数学模型进行测评,评估误差控制在统一容差范围,测评结果更加准确反映评估对象的安全生产运行状况,能够在不同企业间进行横、纵向相互比较,在现代安全管理中具有非常重要的现实意义。     

信息安全风险评估量化方法研究

在互联网日益普及和信息化进程的过程中,信息已相继在不同的行业中获得应用,信息的重要性越来越突出。但是无论安全保护措施多么完善,信息安全风险始终存在。基于此就需要对信息安全封信进行分析和量化评估,继而才可采取有效的保护措施,促使信息系统能够正常、安全的运行。本文就信息安全风险评估量化方法进行简单分析。     

一种量化的移动智能终端风险评估方法

当前由移动智能终端潜在风险引发的安全威胁日益严峻,且目前尚不存在有效的量化风险评估方法。针对上述问题,依据ISO/IEC 27002：2005标准（GB/T 22081-2008）,提出一种适合移动智能终端风险量化评估的方法。该方法结合移动智能终端的特性,采用层次分析法（analytic hierarchy process,AHP）,建立4层风险评估指标体系,构造出判断矩阵,求出各项评估指标的权重及综合权重。对终端风险指标因素进行系统模糊综合评判,并给出隶属度矩阵的计算方法。举例说明基于层次分析法的模糊综合评估方法 （analytic hierarchy process and fuzzy synthetic evaluation method,Fuzzy-AHP）在移动智能终端风险评估中的应用。通过对比实例验证：该方法能够有效反映不同的安全配置下智能终端的安全等级。