AMBRA在信息系統(tǒng)安全風(fēng)險(xiǎn)評估中的應(yīng)用.pdf

1、信息系統(tǒng)的安全管理是一個(gè)復(fù)雜的系統(tǒng)工程,在這項(xiàng)系統(tǒng)工程中,信息系統(tǒng)安全風(fēng)險(xiǎn)評估模型的建立具有核心的地位,它是確保信息系統(tǒng)安全的基礎(chǔ)和前提。本論文將在一般風(fēng)險(xiǎn)評估架構(gòu)AMBRA(Architectural framework for Model-Based Risk Analysis)的基礎(chǔ)上研究信息系統(tǒng)安全中的風(fēng)險(xiǎn)評估模型,側(cè)重于從兩類利益相關(guān)者的角度出發(fā),研究一種基于資產(chǎn)、威脅、脆弱性和風(fēng)險(xiǎn)的綜合信息安全風(fēng)險(xiǎn)評估模型。在任何系統(tǒng)的開發(fā)

2、和運(yùn)行期,風(fēng)險(xiǎn)評估都有益于提高系統(tǒng)的安全性,可靠性,魯棒性和成本效益。在一個(gè)具體的問題域或根據(jù)系統(tǒng)的需要,通常采用其特定的風(fēng)險(xiǎn)分析方法,但AMBRA強(qiáng)調(diào)的是在不同問題域的大多數(shù)風(fēng)險(xiǎn)分析術(shù)語具有共同之處,即不同域之間的評估方法間具有可互用性,這樣在設(shè)計(jì)某個(gè)問題域的風(fēng)險(xiǎn)分析方法時(shí),可以借鑒其它域中評估方法的一部分。AMBRA是一個(gè)基于模型的風(fēng)險(xiǎn)評估的體系結(jié)構(gòu)架構(gòu),它為基于模型的風(fēng)險(xiǎn)分析方法提供了一個(gè)基本的架構(gòu)。它綜合了現(xiàn)有的風(fēng)險(xiǎn)分析方法CO

3、RAS和IEEE-1471標(biāo)準(zhǔn)“軟件密集型系統(tǒng)體系結(jié)構(gòu)描述的推薦實(shí)踐”。該架構(gòu)包含的術(shù)語來自于風(fēng)險(xiǎn)分析和基于模型的體系結(jié)構(gòu)描述這兩個(gè)方面,其系統(tǒng)定義和術(shù)語通用于大多數(shù)問題領(lǐng)域。AMBRA認(rèn)為一個(gè)好的目標(biāo)系統(tǒng)的描述對風(fēng)險(xiǎn)評估是極其重要的,風(fēng)險(xiǎn)評估模型將有助于參與者理解信息系統(tǒng)安全方面的抽象本質(zhì)。論文采用AMBRA的術(shù)語分析了信息系統(tǒng)安全要素間的相互關(guān)系和相對重要度,然后給出了信息安全的一般風(fēng)險(xiǎn)評估流程。結(jié)合AMBRA的術(shù)語和信息安全風(fēng)險(xiǎn)評