信息安全风险评估ASMI方法论的应用研究

基于信息安全风险评估工作的发展现状,为进一步提高其科学性和实践价值,通过综合分析信息安全风险评估相关标准和实践方法,建立以追求信息安全客观风险为目标的信息安全风险评估思想,并构建了由安全现状（Aactuality）、参考基准（Standard）、测量模型（Model）和工程实施（Implementing）4个方面组成的信息安全风险评估方法论（简称ASMI方法论）。同时,还深入分析了ASMI方法论的组成要素、相互关系、应用方法和实践价值。该方法论有望对信息安全风险评估业务、信息安全保障体系建设和信息安全标准体系的协调发展起到积极的促进作用。     

信息资讯

新书推介为配合国家信息安全风险评估推进工作,清华大学出版社出版了新书《信息安全风险评估方法与应用》,以下是该书的介绍资料:《信息安全风险评估方法与应用》范红冯登国等著书号:ISBN7-302-12581-3/TP.80442006年5月1版,定价:23元国家863高技术研究发展计划资助项目(2004AA147070)本书在准确理解国家信息安全风险评估政策文件的实质,完整解读国家标准所涉及的技术与管理要求的基础上,从国内外发展状况、政策法规、理论与方法、管理框架与流程,以及实践与探索总结的经验等方面,系统和科学地阐述了信息安全风险评估的实际操作方法。全…     

信息安全风险评估标准与方法研究现状

随着信息技术的飞速发展,信息安全问题日趋严重,解决信息安全问题涉及到政策法规、标准、技术、管理等各个层面,是一个系统工程。文章介绍信息安全风险评估的概念、意义和原则;论述国内外典型信息安全风险评估标准的研究情况,指出各标准所做的工作,解决的问题;介绍国内外典型信息安全风险评估方法的研究情况,论述这些方法从哪些方面入手解决了信息安全风险评估中哪些问题。     

信息化建设中的信息安全风险评估

风险评估是发现薄弱环节的基本方法,不仅需在系统建设之前进行,更要贯彻在信息系统从设计到运行乃至到报废的整个生命周期之中。信息安全风险评估是建立信息安全体系的基础,是信息系统安全工程的一个关键组成部分。分析了国内外信息安全风险评估的现状,包括相关的评估标准体系、评估方法和评估过程,针对中国信息安全发展现状,探讨了目前信息安全风险评估工作中急需解决的问题。     

综合信息安全风险评估模型研究

阐述了信息安全风险评估所要解决的问题,分析了目前信息安全风险评估方法局限性,提出了综合进行风险评估的模型,为有效地进行风险评估提供了可行的方法。     

综合信息安全风险评估模型研究

阐述了信息安全风险评估所要解决的问题，分析了目前信息安全风险评估方法局限性，提出了综合进行风险评估的模型，为有效地进行风险评估提供了可行的方法。     

综合信息安全风险评估模型研究

阐述了信息安全风险评估所要解决的问题,分析了目前信息安全风险评估方法局限性,提出了综合进行风险评估的模型,为有效地进行风险评估提供了可行的方法.     

网络攻防实验技术的研究

计算机网络入侵会给系统带来灾难性的后果,为了降低网络入侵带来的风险,可以运用网络攻防实验来模拟网络入侵。阐述了攻防实验是对系统风险评估的有效手段,是信息安全技术的重要组成部分。攻防实验在刚起步的时候仅仅是对信息安全技术的有效提升,而之后它的重要性会逐渐增加并开始成为信息系统风险评估的重要技术补充。重点从技术的角度叙述了攻防实验的主要方法,从而使攻防实验井然有序地进行。     

涉密信息系统中风险评估开展过程的研究

信息安全风险评估是一种保障信息系统正常运行的有效方式,文章阐述了军工企业涉密网络信息安全的特点,分析了军工涉密信息系统中开展风险评估的几个过程,包括：风险评估准备、风险评估调研、风险分析、风险处置。     

浅析信息安全方法中的测、评、估、审、查、量

通过对国内、外流行的信息安全方法进行研究与分析,从不同角度对信息系统的安全测试、产品与系统的安全性测评、信息安全风险评估、安全审计、安全检查与信息安全度量等概念进行对比,进一步解析信息安全相关的最佳实践类、基本要求类、通用准则类和合规审计类方法,阐明了信息安全的观念与发展方向。     

军工行业信息系统安全风险分析与评估

安全风险评估是信息系统安全工程的重要组成部分,是建立信息系统安全保障体系的基础和前提。文中对军工行业信息系统安全风险评估的主要内容、关键环节和评估准则进行了阐述,并结合实际风险评估工作给出了风险评估的基本方法和经验性策略,最后对军工行业信息系统的典型安全威胁和系统脆弱性进行了分析和归纳。     

信息安全风险评估要素量化方法

信息安全风险评估是保障信息系统安全的重要手段之一,也是信息系统安全体系建设的前提和基础。文中在分析信息安全风险评估要素和评估过程的基础上,结合实际经验针对定量风险评估讨论了定量风险评估要素的量化规则、量化方法和风险计算方法,该方法在定量风险评估过程中具有科学性、合理性和实用性特点。     

层次化的信息系统风险评估方法研究

由于当前主流的信息安全风险评估方法仅关注系统组件的风险,很少立足于业务风险视角,难以满足业务人员、组织管理者等不同层面人员对信息安全风险的理解。文中提出了一种层次化风险评估方法来量化风险,该方法将信息系统安全风险分为组件级、系统级和组织级3个层面,分别关注系统单一组件的风险、单个信息系统风险和多个信息系统构成的组织总体风险。通过对3个层次风险的逐层分析,使得风险分析结果更为全面和客观地反映安全风险评估的层次化需求。     

信度向量正交投影分解的网络安全风险评估方法

传统安全风险评估方法大都存在着主观性和片面性问题,该文针对网络节点的漏洞和攻击层面的风险分析需求,提出了漏洞信度和攻击信度的概念,设计了一种信度向量正交投影分解的网络安全风险评估方法。该方法首先将攻击所依赖的漏洞信息和节点本身漏洞信息相关联,结合网络中各节点自身的权重,量化从节点至全网的安全风险分析;其次,在漏洞信度计算时,为了排除漏洞扫描工具自身的不确定因素和数据源的单一性,将多个扫描工具的检测结果融合,构成数据源;最后,基于欧式空间向量投影的思想提出了一个信度向量投影分解算法。实验结果验证了该文方法的有效性。     

军事信息系统信息安全风险评估方法研究

信息安全风险评估是构建信息安全保障体系的重要手段,文章在分析当前信息安全风险评估方法的基础上,针对军事信息系统的特点,提出了适用于军事信息系统的信息安全风险评估方法,该方法能够较好地对军事信息系统进行信息安全风险评估。     

信息安全风险评估在贵州移动的应用

论文通过对信息安全风险评估的概念及评估方法的介绍,并以贵州移动2008年网管系统的风险评估为例,结合风险评估在贵州移动的应用和成果,说明了风险评估对于贵州移动信息安全工作的重要性。同时,也希望对其他企事业单位进行信息安全建设提供一些有益的思路。     

面向“业务安全”的全生命周期风险管理

各种威胁主体将不同威胁类型的攻击矛头指向信息化系统,为及时规避风险带来的影响,信息化系统正逐步进行安全建设,但事后的修补仍会存在残余风险.文中提出了以信息系统生命周期为基础,根据信息系统不同阶段的风险特征进行信息系统风险控制的方法,并据此提出了相应的业务安全各阶段安全工作.     

信息系统安全风险评估研究

介绍信息系统安全风险分析的概念,分析安全风险评估的基本要素和常见的系统风险评估模式。文章在此基础上,系统性考虑了信息系统所面临的安全威胁、存在的脆弱性以及已经确知的安全控制策略等因素,提出一种信息系统安全风险评估的流程,从而提高风险评估的准确性。提出的安全风险评估流程,综合考虑了信息系统所面临安全威胁、潜在脆弱性以及安全防护确知等因素,可以在一定程度上提高安全风险评估的有效性和准确性。