风险评估中的调查研究

在风险评估的各个环节,调查研究概念和方法的引入,增强了风险评估工作过程的实操性和风险评估结果的完整性、准确性,从而为风险评估工作持续稳定的发展,注入了一针“强心剂”。本文通过作者的风险评估实践经验简单论述了调查研究的各类方法及其在风险评估工作过程中的的应用。     

风险评估“热”了

国务院信息化力公室网络与信息安全组副组长吕诚昭日前指出:“曾强风险意识、加强风险管理是信息安全保障的重要内容。组织机构和企业必须加强信息安全风险评估工作。” 为了引导广大行业用户和企业用户,正确理解和认识信息安全风险评估的意义。内涵、实施策略,以及风险评估的方法论。《高端导刊一安全》栏目以“信息安全风险评估”为话题,邀请专家。厂商和用户代表畅谈各自对风险评估、风险管理、等级保护的观点。 栏目热线;jiez@ccu.com.cn     

旧木桶与新木桶

继7月5日本栏目就我国信息安全风险评估的现状、风险评估的概念、以及风险评估的主要方法作了报道之后,本期《高端导刊-安全》栏目,继续关注信息安全风险评估方面的问题。 风险评估的目的和意义是什么?风险评估是否也存在着“风险”?风险评估的流程及风险的处理方式有哪些?如果您希望就以上问题寻找答案,请看本期专题的文章。 栏目热线:jiez@ccu.com.cn     

信息安全风险评估的定量与定性分析方法

在信息安全领域，时信息系统进行风险评估十分重要．其最终目的就是要指导决策者在“投资成本”和“安全级别”这两者之间找到平衡，从而为等级优化的资产风险制定保护策略和缓和计划。本文基于BS7799的结构特点阐述了定性与定量的分析方法在风险评估过程中的应用。     

对信息安全风险评估中几个重要问题的认识

《国家信息化领导小组关于加强信息安全保障工作的意见》中,提出了要实行信息安全等级保护,并在其中强调,要重视信息安全风险评估工作。2004年1月召开的全国信息安全保障工作会议则进一步深化了对信息安全风险评估工作的要求,将其列为当前需要务必抓好的五方面工作之一,并作了明确部署,要求“开展信息安全风险评估和检查,抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。”     

北京市朝阳区、石景山区、市地税局等三家单位启动风险评估试点工作

本刊北京讯根据“关于印发“信息安全风险评估试点工作方案》的通知”(国信办[2005]5号)精神，北京市被确定为国家信息安全风险评估试点地区之。北京市信息办于4月份在朝阳区、石景山区、市地税局等三家单位启动了风险评估试点工作，试点工作时间定为7个月。     

信息安全风险评估:既要勇于探索,又需谨慎前行

从去年开始，国信办组织了8个试点单位在试点单位所主管或运营的部分网络和信息系统中，围绕不同环节，开展了一次信息安全风险评估试点工作。为了做好试点工作，在国信办安全组领导下，组建了由信息安全主管部门代表和一批业界专家组成的信息安全风险评估课题组，课题组秘书处设在国家信息中心，同时委托国家信息中心牵头负责试点的具体工作，同时明确了课题组的三项任务：进一步完善“全国信息安全风险评估工作意见”，开展信息系统安全风险评估试点，做好信息安全风险评估宣传。     

要培养自己的风险评估队伍

随着国民经济和社会信息化进程的全面加快,网络和重要信息系统的基础性、全局性作用日益增强,由此产生的信息安全问题也越来越突出。《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号文件)分析了我国当前信息安全保障工作的基本状况,提出了加强信息安全保障工作的总体要求和主要原则,对下一步信息安全保障工作做出了全面部署,将系统安全评估作为一种重要的保障手段之一。在全国信息安全保障工作会议上,黄菊同志指出:“加强信息安全基础性工作和基础设施建设是当务之急”,并要求“抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。根据风险评估结果,进行相应等级的安全建设和管理。”信息安全风险评估,是信息安全的一项重要基础性工作,是风险管理理论和方法在信息化中的实际运用,也是等级防护思想的具体体现。目前,国内众多部门和行业都开始投入精力进行风险评估工作。可是对于许多单位而言,如何做好风险评估,风险评估实施过程中应该注意什么问题,却不是很清楚。本期CSO沙龙将和您一起探讨这方面的问题。     

风险评估是用户的事情

随着国民经济和社会信息化进程的全面加快,网络和重要信息系统的基础性、全局性作用日益增强,由此产生的信息安全问题也越来越突出。《国家信息化领导小组关于加强信息安全保障工作的意见》(中办发[2003]27号文件)分析了我国当前信息安全保障工作的基本状况,提出了加强信息安全保障工作的总体要求和主要原则,对下一步信息安全保障工作做出了全面部署,将系统安全评估作为一种重要的保障手段之一。在全国信息安全保障工作会议上,黄菊同志指出:“加强信息安全基础性工作和基础设施建设是当务之急”,并要求“抓紧研究制定基础信息网络和重要信息系统风险评估的管理规范,并组织力量提供技术支持。根据风险评估结果,进行相应等级的安全建设和管理。”信息安全风险评估,是信息安全的一项重要基础性工作,是风险管理理论和方法在信息化中的实际运用,也是等级防护思想的具体体现。目前,国内众多部门和行业都开始投入精力进行风险评估工作。可是对于许多单位而言,如何做好风险评估,风险评估实施过程中应该注意什么问题,却不是很清楚。本期CSO沙龙将和您一起探讨这方面的问题。     

“软件人”群网络安全风险评估模型的研究

通过对人工智能、“软件人”和网络安全风险评估技术的深入研究,提出一种基于“软件人”群的网络安全风险评估模型,能够动态地反应、评估网络系统的安全性,有效地解决了传统风险评估系统中检测和评估模块不能在网络中动态移动、随需分布,并限制评估速度、效率和应用范围等问题。使风险评估系统结构具有良好的自治性、灵活性、扩展性、适应性、分布式控制和应急响应能力,同时降低对网络系统带宽的依赖程度,提高了系统的服务能力和工作效率。     

风险评估中威胁发生可能性的定量分析方法

信息系统面临着大量的威胁,各种威胁发生的可能性是不一样的。为了对信息系统采取有效的安全策略和安全措施,就要对信息系统进行风险评估,就要对威胁发生的可能性做评价。本文首先对信息系统受到威胁的指标体系作了介绍,然后提出一种综合运用层次分析法和模糊综合评判法来对信息安全风险评估中威胁发生可能性作定量分析的方法。本文最后以一个应用实例来阐述该方法在实践中的应用。     

信息安全风险的分析和计算原理

研究信息安全风险评估的基本规律,完善其理论基础,从而根本上提高信息安全风险评估的实践水平是目前急需解决的课题。本文以清晰的信息安全风险的概念模型,导出信息安全风险的分析原理和计算原理,为信息安全风险评估提供理论指导。     

网络安全的风险分析

随着计算机网络的发展,网络安全问题日益突出,对网络安全进行风险分析就变得日益重要。本文从古典的风险分析入手,提出了网络安全风险分析的一种方法,并应用该方法,对某个证券公司营业部局域网中一种资产进行了分析。     

数据仓库技术及其应用浅析

随着社会的发展,信息化已经成为当今社会一个重要的特点,大量的信息数据都需要有一个科学的技术来研究和分析,数据库技术便应运而生,是计算机发展的产物,在商业等各个领域都发挥着至关重要的作用。本文从数据库技术的特点和发展来分析,浅析数据库在各个领域中的应用。     

基于OLAP技术的实验室分析系统的设计与实现

OLAP通过快速、一致、交互地访问各种可能的信息视图,帮助数据分析人员、管理人员、决策人员洞察数据的奥秘.掌握隐于其中的规律.在实验室分析系统中采用OLAP技术,能够协助处理数据库中庞大的数据,并将之转化为有用的信息,从而实现对数据的归纳、分析和处理.     

基于数据仓库技术的决策分析系统概念设计

以数据仓库技术为基础的决策分析是数据处理的发展方向,目前正得到很多行业的应用。为提高科学决策能力,增强在市场经营等方面的正确判断能力,需要充分利用已经积累的大量的业务数据,以数据仓库技术为基础,构建数据处理和决策分析平台,进一步开发数据中蕴涵的信息,形成决策需要的对策方案和应对市场的反应策略。本文从数据仓库技术及数据分析技术出发,概念性地构建了可应用的数据仓库和分析系统,为今后在相关领域应用奠定了基础。     

基于安全案例推理的网络安全分析方法研究与应用

当前,对复杂网络环境下容易产生的安全漏洞关联与传播问题进行分析与推理是网络安全研究的一个重要方面,文中对网络漏洞关联问题进行了分析,提出了多点漏洞的概念,采用图论的方法对多点漏洞问题进行了数学模型描述;通过对网络安全攻击案例进行建模分析,然后将网络漏洞信息组织成案例的知识表示形式,采用案例推理方法对多点之间的漏洞传播进行分析检测,并对漏洞检测中的风险进行了分析。     

随机振动多窗口谱分析法模型建立及统计分析

针对随机振动中谱估计算法,分析了周期图估计算法对噪声系列的功率谱相关系数及加窗造成的信息损失,在此基础上分析了由直接谱估计算法构建的多窗口谱分析法,建立了其噪声模型,推导了估计方差减小与参与运算的窗口数的关系。针对白噪声序列,得到MTSA估计器避免加窗而造成信息损失时窗口数与信号序列的关系,最后推出了MTSA估计器的统计特征。     

网络安全协议分析方法研究

随着网络速率增加以及网络应用的日益复杂多样,网络环境下每天都可能有海量数据,如何从这些数据中提取隐藏的重要信息,以便从中发现异常,人们将目光投向数据挖掘技术,通过关联分析、序列模式分析等算法,发掘数据间潜在的模式,找出某些容易被忽略的信息,以便于理解和观察的方式返回给用户作为决策依据。本文通过对安全协议分析各个方向研究现状的阐述和分析,为安全协议分析领域相关研究提供参考和借鉴。     

风险分析方法研究

风险分析是信息系统风险管理的重要组成部分,是建立信息系统安全管理体系的重要前提。试图探讨一套可用于定性及定量风险分析的模型,即用风险树分析法对信息系统安全事件发生概率以及导致安全事件的必要条件－－风险模式进行分析,进而用风险模式,影响及危害度分析法对风险模式的危害度及风险损失进行分析,最后用风险矩阵对风险作出最后的评估与决策。