信息工程学院学年论文题目信息安全分析及研究方法学生姓名专业班级所在学部管理学部指导教师职称助教摘要信息系统是我国国民经济最重要组成部分，我国信息化建设始于20世纪60年代初，至今已有40多年的历史。
目前，信息与网络技术在信息系统中得到了广泛的应用，已成为各级企业生产、运营与管理的基础设施。
因此，信息系统的安全、可靠和稳定运行也成为企业、机构信息化建设的重要内容。
为了认真贯彻落实中共中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强信息安全保障工作的意见》的通知（中办发［2003］27号）的精神，立足我国信息系统的特性，以我为主，突出重点、整合资源，逐步建成符合信息系统信息安全保障体系是当前信息系统信息安全工作的重点内容。
信息安全风险评估是信息安全等级保护管理的基础工作，是信息系统风险管理的重要环节。
通过风险评估来确定信息系统的安全现状，提取信息系统安全需求，并在此基础上对信息安全保障体系建设进行有序的规划，是各级企业在信息安全工作中避免防护不当、提高防护效果和效益的主要手段。
关键词：信息信息安全信息系统风险AbstractInformation systems are the most important component of China's national economy, China's information construction began in the early20th century,60,has been more than40 years of history.At present,information and network technology in information systems has been widely used,has become at all levels of production,operations and management of infrastructure.Therefore,the information system security,reliability and stable operation has become a business,institution building of an important content of the information.In order to earnestly implement the CPC Central Committee and State Council transmitted the"National Informatization Leading Group on strengthening information security work,the views of"notice(Zhongbanfa[2003]27)the spirit,based on the characteristics of China's information systems,ourselves and focused,integrate resources,and gradually build information systems comply with information security system is the current information system,information security's main focus.Information security risk assessment is the information level of security protection and management of the foundation work,information systems risk management essential. Through risk assessment to determine the security status of information systems to extract information system security requirements,and on this based on the information security system for orderly planning,enterprise information security at all levels work to avoid undue protection to enhance protective effect and effectiveness of the principal means.Keywords:information systems information security information systems risk目录摘要 (I)ABSTRACT (II)一、概述 (2)二、资产评估 (3)1.资产 (3)2.资产属性 (3)三、威胁评估 (3)1.威胁 (3)2.威胁属性 (3)四、弱点评估 (4)1.弱点 (4)2.弱点分类 (4)3.弱点属性 (4)4.获取弱点 (4)五、资产识别和赋值 (5)1.信息资产分类 (5)1.1服务 (5)1.2数据 (6)1.3软件 (6)2.信息资产赋值 (6)2.1机密性（Confidentiality） (6)2.2完整性（Integrity） (7)2.3可用性（Availability） (7)2.4资产价值（Asset Value） (7)六、弱点管理信息的管理 (8)七、结束语 (8)参考文献 (9)一、概述风险评估是开发适当的保护轮廓和安全规范的基础，可以帮助实现更为精确的安全方案。
在安全方案花费和安全提升带来的资产获益之间取得平衡。
安全水平的提升和相应的开销不是线性的关系，在较高的安全水平上面，获得微小的提高可能需要巨大的投入，甚至投入超出了所保护资产的价值。
经过精细的资产评估和风险评估，企业就可以在投资提升安全、承受风险、投资保险转移风险等作出正确的选择。
但是，风险的量化是一件非常复杂的工作，风险的来源、表现形式、造成的后果、出现的概率千差万别，需要非常精细的考虑和数学模型。
一个资产（评估对象）可能有多个系统或组件构成，每个系统组件存在各种各样的多个风险，每个风险具有多个不同的属性值（例如：威胁的可能性、损失以及弱点等，参见后面的描述），该属性值可能存在复杂的依赖关系，可能与时间有关，可能与资产的配置环境密切相关（例如：安全控制、策略和实际的运行情况等）。
所以，将所有因素综合考虑在一起，科学地反映资产当前面临的实际风险是一件非常复杂的工作。
接下来将描述、定义适用于信息系统的理论和使用的模型。
根据国际通行的有关信息安全管理与评估标准，笔者给出如下图所示的资产风险评估及量化计算的关系模型。
资产风险评估及量化计算的关系模型图一般来说，风险评估是对信息资产进行的，该信息资产最终的风险状况与该资产的价值，现存的弱点，现有的安全措施，所面对的威胁，威胁发生的概率及风险发生的可能性及预计产生的后果都有关系。
二、资产评估1.资产资产是企业、机构直接赋予了价值因而需要保护的东西。
它可能是以多种形式存在，有无形的、有形的，有硬件，有软件，有文档、代码，也有服务、企业形象等。
它们分别具有不同的价值属性和存在特点，存在的弱点、面临的威胁、需要进行的保护和安全控制都各不相同。
由于资产在企业信息系统中的角色不同，完成使命的重要程度不同，信息资产价值的概念应该更偏重于资产对于企业完成使命的重要程度，而并不是仅仅考虑其设备价值。
2.资产属性信息系统信息资产分别具有不同的安全属性，机密性、完整性和可用性分别反映了资产在3个不同方面的特性。
安全属性的不同通常也意味着安全控制、保护功能需求的不同。
通过考察3种不同安全属性，可以得出一个能够基本反映资产价值的数值。
对信息系统信息资产进行赋值的目的是为了更好地反映资产的价值，以便于进一步考察资产相关的弱点、威胁和风险属性，并进行量化。
三、威胁评估1.威胁威胁是对信息系统的资产引起不期望事件而造成的损害的潜在可能性。
威胁可能源于对信息系统直接或间接的攻击，例如：非授权的泄露、篡改、删除等，在机密性、完整性或可用性等方面造成损害。
威胁也可能源于偶发的或蓄意的事件。
一般来说，威胁总是要利用信息系统中的系统、应用或服务的弱点才可能成功地对资产造成伤害。
从宏观上讲，威胁按照产生的来源可以分为非授权蓄意行为、不可抗力、人为错误以及设施#设备错误等。
2.威胁属性威胁具有两个属性即可能性（Likelihood）、影响（Impact）。
进一步，可能性和损失可以被赋予一个数值，来表示该属性。
分别是：很高（VH）、高（H）、中等（M）、低（L）、可忽略（N），并且从高到低分别赋值为4-0。
可能性属性非常难以度量，它依赖于具体的资产、弱点和影响。
该属性还和时间有关系。
所以，在威胁评估中，评估者的专家经验非常重要。
最终表现出来的威胁是两个属性的共同作用。
四、弱点评估1.弱点弱点和资产紧密相连，它可能被威胁利用、引起信息系统资产损失或伤害。
值得注意的是，弱点本身不会造成损失，它只是一种条件或环境、可能导致被威胁利用而造成资产损失。
弱点的出现有各种原因，例如：可能是软件开发过程中的质量问题，也可能是系统管理员配置方面的，也可能是管理方面的。
但是，它们的共同特性就是给攻击者提供了机会。
2.弱点分类对弱点进行分类的方式有多种多样，最主要的是根据弱点产生的来源和原因。
3.弱点属性参照国际通行做法和专家经验，将资产存在的弱点分为5个等级，分别是很高（VH）、高（H）、中等（M）、低（L）、可忽略（N），并且从高到低分别赋值4-0。
4.获取弱点弱点的获取可以有多种方式，例如：扫描工具扫描（Sacanning）、白客测试（Penetration）、管理规范文件审核、人员面谈审核等。
评审员（专家）可以根据具体的评估对象、评估目的选择具体的弱点获取方式。
五、资产识别和赋值企业中的资产类别不同，资产在企业中所担负的使命不同，不同的资产存在的弱点、面临的威胁、需要进行的保护和安全控制都各不相同。
为此，有必要对企业、机构中的信息资产进行科学分类，以便于进行后期的信息资产抽样、制定风险评估策略、分析安全功能需求等活动。
资产还具有很强的时间特性，它的价值和安全属性都会随着时间的推移发生变化，所以应该根据时间变化的频度制定资产相关的评估和安全策略的频度。