導航：安全管理網(wǎng)>> 安全論文>> 電力安全論文>>正文

基于信息熵的信息安全風險分析模型

文檔作者：湯永利1 2 徐國愛1 鈕心忻1 楊義先1 文檔來源： 1．北京郵電大學網(wǎng)絡與交換技術(shù)國家重點實驗室信息安全中心 2．河南理工大學計算機科學與技術(shù)學院		點擊數(shù)：	更新時間： 2021年04月20日
下載地址：點擊這里	文件大小： 423.10 KB 共6頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

全屏查看

內(nèi)容預覽 [文件共6頁]

本文件共6頁，如需編輯使用，請下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內(nèi)容顯示不全等問題，下載是正常的。

	文件大小：423.10 KB 共6頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：關(guān)于計算機網(wǎng)絡信息安全及防護

上一篇：計算機網(wǎng)絡信息安全技術(shù)研究

文本預覽

僅提取頁面文字內(nèi)容，供快速閱讀使用。

2008年4月
第31卷第2期
北京郵電大學學報
Joumal of Be幻ing University of P0sts and Telecommunications
Apr．2008
V01．31 No．2
文章編號：1007．5321(2008)02—0050一04
基于信息熵的信息安全風險分析模型
湯永利1一， 徐國愛1， 鈕心忻1， 楊義先1
(1．北京郵電大學網(wǎng)絡與交換技術(shù)國家重點實驗室信息安全中心，北京l00876；
2．河南理工大學計算機科學與技術(shù)學院，焦作410003)
摘要：為解決信息系統(tǒng)風險分析過程中不確定信息難以量化分析的問題，用信息熵度量信息系統(tǒng)風險．引入信息
熵風險分析算法。采用定性分析與定量計算相結(jié)合，構(gòu)建一種信息系統(tǒng)風險分析模型，并以實例分析與驗證基于此
模型的風險分析方法．仿真結(jié)果表明，該方法是一種有效的風險分析算法，較準確地反映了信息系統(tǒng)的風險狀況，
為信息系統(tǒng)風險分析提供了一種新的思路．
關(guān)鍵詞：信息安全；風險分析；熵權(quán)系數(shù)；故障樹分析
中圖分類號：TP393 文獻標識碼：A
Information Security Risk Analysis Model Using
InformatiOn Entropy
TANG Yong—lil一， XU Guo—ail， NIU Xin—xinl， YANG Yi—xianl
(1．Inf∞mti∞Sea商哆Cent盯，St芒lte K印I abora：tory of Ne七帆Irking a11d S研tchlg殛hllolo口，B面i119 Uni峨時of Pc捌瞎aIld 1、d伽m蛐icati∞s，
Be婦ing l00876，chilla；2．COUege of computer&amp;amp;ience&amp;amp;Technobgy’He咖Pol”echnic UrIiversity’Ji批uo 410003，China)
Abstract： According to the characte“stic of uncertainty infomation in the i耐bmation system risk
analysis process， and infomation system risk meaSurement using entropy theory， a risk analysis algo—
rithm usirlg entropy—weight coefficient is presented．When combining qualitative analysis and quantita—
tive calculation，a model of infomation system risk analysis is constructed．Finally，an instance of the
risk anaIysis approach based on the model is analyzed and validated，which demonstrates the rationality
and feasibility of the model．Sb it provides a new method f6r infb肌ation system risk analysis．
Key words：info肌ation security；risk analysis；entropy—weight coefficient；fault tree analysis
國內(nèi)外風險分析的主要問題在于風險分析標準
沒有區(qū)分各風險因素相對權(quán)重，導致對信息系統(tǒng)風
險分析主觀隨意性強、誤差較大。不能準確客觀評價
系統(tǒng)風險．目前對系統(tǒng)風險的分析方法很多，其分
析側(cè)重點、使用范圍各有不同，如文獻[1]基于效用
的安全風險度量模型，引入風險函數(shù)和相對損失效
應度量風險，但此方法不適合對多層次結(jié)構(gòu)模型進
行分析；文獻[2—3]的層次分析法，通過構(gòu)造風險矩
陣評價總體風險，但此方法不適合分析風險因素較
多的多層次結(jié)構(gòu)模型，且由于風險因素比較時專家
經(jīng)驗不同易出現(xiàn)一致性檢驗不符合的情況；文獻[4]
的模糊綜合評價法，對各風險因素權(quán)值的確定一般
采用專家主觀評定，權(quán)值誤差的積累會導致風險分
析結(jié)果偏離實際；文獻[5]提出熵權(quán)系數(shù)的概念，但
其風險度計算方法不具普遍性，沒有形成系統(tǒng)化
模型．
信息熵風險分析方法是依據(jù)ISO／IEC 27002
標準的體系結(jié)構(gòu)建立故障分析樹，依據(jù)測評實踐獲
收稿日期：2007．11—2l
基金項目：國家‘‘973計劃”項目(2007cB310704)；北京市自然科學基金項目(4062025)
作者簡介：湯永利(1972一)，男，博士生。E—mail：協(xié)ngzili@163．∞m．
萬方數(shù)據(jù)
第2期湯永利等：基于信息熵的信息安全風險分析模型51
取原始數(shù)據(jù)，使用信息熵分析算法計算各風險因素
的風險值，將定性分析與定量計算相結(jié)合，克服了標
準中控制措施對風險的影響程度分析不足的缺點，
保證風險分析的結(jié)論可信、可重復．
1信息熵風險分析算法
現(xiàn)在普遍認為信息熵可用來度量系統(tǒng)不確定
性．1948年，Shannon發(fā)表了“通信的數(shù)學理論”【6】，
提出信息熵的概念H(x)=一ΣP(口{)lb P(口i)，
用來表示信源輸出后每個消息所提供的平均信息
量，或信源輸出前的平均不確定度．1957年，文獻
[7]提出了最大信息熵原理，定義熵為
H(x)=一愚Σ只log只(1)
f=1
式中，o≤只≤1(i=1，2，?，，2)，且有Σ只=1；憊
是比例系數(shù)．如果系統(tǒng)可能存在行種不同的狀態(tài)。
則只表示每種狀態(tài)可能出現(xiàn)的概率．最大信息熵
原理從理論上說明，在信息熵取極大值時，對應的一
組狀態(tài)出現(xiàn)的概率占有絕對優(yōu)勢，這就是可用信息
熵表示各風險因素權(quán)值的理論依據(jù)．
信息熵H(x)=一ΣPflog Pf表示系統(tǒng)的有
序程度．由熵的極值性知，R越接近相等，熵值越
大，風險因素R；對系統(tǒng)風險影響的不確定性就越
大．因此，可用信息熵計算各風險因素的權(quán)值．
利用信息熵理論計算風險因素權(quán)值原理如下．
對風險因素Ri的相對重要性進行歸一化處理
后，由下述信息熵表示為
1』巳釅一贏薈‰log扮。J (2)
當托，，(歹=l，2，?，優(yōu))取值相等時，熵值吼最大為
1，所以毛的值滿足0≤旬≤1．由于熵值最大時，此
風險因素對系統(tǒng)風險的貢獻最小，所以確定風險因
素Ri的權(quán)值可以由1一吮度量．因此，對其進行歸
一化處理得到風險因素R。的權(quán)值屯為
丸=(卜以)／(以一Σ色j (3)
f=1
式中o≤九≤1，且有Σ九=1．
i=l
2風險分析模型
2．1建立故障分析樹
故障樹分析法是一種比較適合分析層次結(jié)構(gòu)的
方法．將系統(tǒng)總體風險狀況作為頂事件，通過分析
造成頂事件的各種可能原因及彼此間的關(guān)系，構(gòu)造
邏輯關(guān)系圖，即故障分析樹．由分析結(jié)果確定系統(tǒng)
的薄弱環(huán)節(jié)、關(guān)鍵部位、應采取的措施、對安全性的
要求等．
本文使用故障樹分析法，依據(jù)ISo／IEC 27002
標準的層次結(jié)構(gòu)建立故障樹，過程如下．
．1)確定故障樹的頂事件，即評估目標系統(tǒng)的總
體風險．
2)因ISO／IEC 27002標準是典型的3層結(jié)構(gòu)，
即管理要項、控制目標和控制措施。各層之間是因果
關(guān)系，下面各層安全要素既是上一層的原因又是下
一層的結(jié)果．根據(jù)這個特點，采取故障樹分析法對
其各層安全要素之間的邏輯關(guān)系進行分析，以實現(xiàn)
對標準中安全要素完整、有效的提取．通過定性分
析得到風險計算模型，如圖1所示．
I目標系統(tǒng)的總體風險l
鑫蟊肉臼q肉
黼l信息安拿方——針———I』臣======—至一——圃—■==巳===L—豳——一
圖1 基于Is0／IEc 27002的故障分析樹
3)確定故障樹的底事件，即故障樹底層各因素
的選擇，參考ISo／IEC 27002標準中的控制措施選
取，并且各底事件之間不存在交叉，滿足故障樹分析
法的要求．
故障樹建立后，通過信息熵風險分析算法計算
目標系統(tǒng)的總體風險．需要說明的是，圖1分別使
用口、盧和y表示故障樹的第1、2和3層．
2．2信息熵權(quán)值及符合度說明
在故障樹分析的基礎(chǔ)上。根據(jù)Iso／IEC 27002
標準結(jié)構(gòu)特點，首先對每層風險因素R；的熵權(quán)值
進行規(guī)定．故障樹中的第1層是p個管理要項，體
現(xiàn)目標系統(tǒng)總風險所包含的若干個安全要素，其權(quán)
值用口i表示；故障樹中的第2層說明每個管理要項
要通過若干個控制目標體現(xiàn)，第f個管理要項下的
第．，個控制目標的權(quán)值用屈．i表示；故障樹的第3層
說明每個控制目標要通過若干個控制措施的具體落
萬方數(shù)據(jù)
52 北京郵電大學學報第3l卷
實體現(xiàn)，第i個管理要項下的第．『個控制目標下的
第五個控制措施的權(quán)值(即符合度)用托Ⅲ表示．
然后給出符合度的量化定義，共劃分5個級別，見
表1．
表l符合度定義
在信息系統(tǒng)風險分析實踐中，對目標信息系統(tǒng)
的安全狀況通過調(diào)查問卷等方式進行收集整理，比
較現(xiàn)有安全措施與必需安全基線的差距，從而定出
符合度量化值．符合度客觀反映了目標信息系統(tǒng)的
安全現(xiàn)狀．需要注意的是，符合度的量化值可取2
個級別之間的值，如取介于’，2和y3之間的值
O．45，以更準確反映客觀情況，且不會影響風險分析．
2．3風險分析計算
對目標信息系統(tǒng)總體風險，具體計算過程如下．
步驟l取得符合度的量化值．假設已有故障
分析樹中第i個管理要項下的第歹個控制目標下的
第忌個控制措施所對應的符合度扎，j，^(玩J。^來源
信息系統(tǒng)測評實踐中核查表的評分，參見圖1)．
步驟2首先根據(jù)式(2)和(3)，計算第2層各
控制目標的熵權(quán)系數(shù)展，』和風險權(quán)值屯∥分別為
％一寺；善‰舨‰．t
‰=(卜展，j)／【竹一Σ晟，一
J=l
o≤丸。j≤1，Σ屯?！?1
步驟3同理，計算第1層各管理要項的熵權(quán)
系數(shù)口；及風險權(quán)值丸，分別為
口f=一忐Σ展。Jlog屈。j 口f2一面i白肫·Jlog屈·j
屯=(卜口；)／I m一Σ毗)，o≤蟲≤1，Σ屯=1
步驟4 同理，計算目標系統(tǒng)總體風險的熵權(quán)
系數(shù)P和總體風險值乒，分別為
P薩：一一士雨壹芻口；ql10o9g口毗；
廬=1一P，且0≤e，乒≤1
步驟5對照目標系統(tǒng)的總體風險乒與表2所
示的風險等級定義，評價目標信息系統(tǒng)的風險等級．
表2風險等級定義
等級值影響描述
3模型實例分析
3．1實例計算
針對具體的目標信息系統(tǒng)，依據(jù)ISO／IEC
27002標準各風險因素的要求，認真篩選符合此系
統(tǒng)實際的各層風險因素，建立如圖1所示的故障分
析樹，再按2．3節(jié)的風險分析計算過程計算，分析并
評價系統(tǒng)的風險．為仿真計算方便，本實例簡化了
控制措施的選擇數(shù)目．
步驟1準備工作．根據(jù)權(quán)值和符合度定義以
及目標信息系統(tǒng)的核查表，得到故障分析樹底層7
個控制措施的符合度’，“，^分別為(0．80，0．40，
0．50，0．75，0．75，0．60，0．50)，y“。t的值反映了目
標系統(tǒng)的安全現(xiàn)狀與安全控制措施的符合情況．
步驟2根據(jù)式(2)和(3)，計算第2層3個控
制目標的熵權(quán)系數(shù)&amp;amp;，j及風險權(quán)值丸，』，分別為
J91。l=0．786 3 盧2。1=O．708 3 盧2。2=0．942 2
拳1．1=0．213 7 乒2。l=0．834 6 乒2，2=O．165 4
步驟3同理，計算第l層2個管理要項的熵
權(quán)系數(shù)口；及風險權(quán)值噍，分別為
口1=pl。l=O．786 3 口220．433 4
聲l=O．273 9 乒2=O．726 l
步驟4計算目標系統(tǒng)總體風險的熵權(quán)系數(shù)口
和總體風險值拳，分別為
P=0．795 6
拳=1一口=0．2044
需要說明的是，初始符合度數(shù)值采用2位精度
萬方數(shù)據(jù)
第2期湯永利等：基于信息熵的信息安全風險分析模型53
足可說明實際情況，但在仿真計算中采用4位精度，
以盡可能避免或降低計算過程中的誤差積累．
3．2實例分析與比較
對風險計算結(jié)果進行分析，評價目標信息系統(tǒng)
風險等級，上述各層要素的風險結(jié)果統(tǒng)計見表3．
表3風險權(quán)值計算結(jié)果分析
1)結(jié)論分析
①首先判斷總體風險，對照風險等級定義，可
知目標系統(tǒng)的總體風險≯=0．204 4介于0～0．25
之間，并接近于0．25，即屬于風險較小的范圍，故系
統(tǒng)總體風險屬于等級較小級別．
②第1層“安全方針”的風險值為0．273 9，屬
于等級較小級別；“資產(chǎn)管理”的風險值為0．726 1，
則屬于等級較大級別，是造成總體風險的主要因素．
③第2層“對資產(chǎn)負責”的風險值為0．834 6，
屬于較大之上的風險等級，說明控制目標“對資產(chǎn)負
責”對上層管理要項“資產(chǎn)管理”的影響很大．
2)模型優(yōu)點
仿真結(jié)果表明，采用信息熵對目標信息系統(tǒng)的
風險分析與安全專家的人工測評結(jié)果比較吻合，說
明該風險分析算法比較科學合理．該模型在實踐運
用中得到了檢驗，其優(yōu)點體現(xiàn)在以下3個方面．
①既滿足以ISO／IEC 27002標準測量與分析
信息系統(tǒng)風險的要求，又克服了ISo／IEC 27002標
準中不區(qū)分多種風險因素權(quán)重的缺點，二者兼顧，利
于工具化．
②運用故障樹分析法建立風險分析層次結(jié)構(gòu)，
解決了文獻[1]方法不適合多層次風險因素分析的
缺憾；同時，仿真數(shù)據(jù)直接來源于測評實踐，避免了
文獻[2．3]層次分析法由于專家經(jīng)驗引起的一致性
檢驗不符合的情況，也避免了文獻[4]中由于專家主
觀評定權(quán)值而引起的誤差積累．
③克服了文獻[5]方法的局限性，對信息系統(tǒng)
的風險測量分析具有普遍意義。如在實踐中依據(jù)
IsO／IEC 27002標準的要求對目標信息系統(tǒng)進行風
險測量與分析；使用故障樹分析法建立目標信息系
統(tǒng)風險測量與分析的層次結(jié)構(gòu)模型；用信息熵風險
分析算法不僅可計算分析目標信息系統(tǒng)的總體風
險，而且可分析各層次風險因素的風險大小．
4結(jié)束語
根據(jù)ISo／IEC 27002標準的要求與體系結(jié)構(gòu)，
在定性分析建立故障樹的基礎(chǔ)上，提出一種基于信
息熵的信息系統(tǒng)安全性定量計算方法，并形成完整
的風險分析模型．該模型的初始數(shù)據(jù)是真實可靠的
(數(shù)據(jù)來源于對信息系統(tǒng)現(xiàn)場測評的原始資料)，通
過信息熵風險分析模型計算目標系統(tǒng)的風險，較好
解決了初始數(shù)據(jù)的主觀性與風險分析客觀性之間的
矛盾，實現(xiàn)了實踐數(shù)據(jù)與理論分析的有機統(tǒng)一．
參考文獻：
[1]彭俊好，徐國愛，楊義先，等．基于效用的安全風險
度量模型[J]．北京郵電大學學報，2006，29(2)：59—61．
Peng Junhao．Xu Qloai，Yang Yixi孤，et a1．M髓sure
modd of security risk bas．甜on utility[J]．J叫mal of Bei—
jing Ullive礙ity 0f P∞ts曲d Tdecommumcations，2006，
29(2)：59．61．
[2]馮登國，張陽，張玉清．信息安全風險評估綜述[J]．
通信學報，2004，25(7)：10．18．
Feng Dengguo·，Zhng Yang，Zhang Yuqing．suⅣey of
infomation骶!cl|rity risk越埒le鯔ment[J]．Journal of china
I璐titute of CcImmunicatio璐。2004，25(7)：10一18．
[3】Saaty T L-A∞aling met}lod for pdoriti鶴in llierarchical
stmctures[J]．Joumal of Math PSychology，1997(15)：
234—281．
[4]宋曉莉，余靜，孫海傳，等．模糊綜合評價法在風險
評估中的應用[J]．微計算機信息，2006，22(12．3)：
71—73。79．
SoIlg)【iaoli，Yu Jing，SuIl Haich啪，et a1．The appli阻-
tion of fuzzy町nth鶴is e、，aluation in risk evaluation[J]．
雌cro嘣nputer Inh加ati∞，2006。22(12—3)：71-73，79．
[5]趙冬梅，蘇紅順，吳敏，等．基于熵理論的無線網(wǎng)絡
安全的模糊風險評估[J]．計算機應用與軟件，2006，
23(8)：24-26。42．
ZllaoⅨmgmei，Su HongshuIl，Wu Min，et a1．Fu杞y(tǒng)
risk越潞氆娜=Ilellt of the、而reless network secudty based 0n
entropy th∞r(nóng)y[J]．CImlputer Applications and S0ft、Ⅳare，
2006，23(8)：24．26，42．
[6]Shannon C E．A mathematical theory of communication
[J]．The Beu syst鋤TechnicaI J叫nlal，1948，27：379·
423．623·656．
[7] Jaynes E T．Inf∞nation theory and Statistical mechm娼
[J】．Phy Rev。1957，106(5)：620一630．
萬方數(shù)據(jù)
基于信息熵的信息安全風險分析模型
作者： 湯永利， 徐國愛， 鈕心忻， 楊義先， TANG Yong-li， XU Guo-ai， NIU Xin-xin，
YANG Yi-xian
作者單位： 湯永利,TANG Yong-li(北京郵電大學,網(wǎng)絡與交換技術(shù)國家重點實驗室信息安全中心,北京
,100876;河南理工大學,計算機科學與技術(shù)學院,焦作,410003)， 徐國愛,鈕心忻,楊義先,XU
Guo-ai,NIU Xin-xin,YANG Yi-xian(北京郵電大學,網(wǎng)絡與交換技術(shù)國家重點實驗室信息安
全中心,北京,100876)
刊名：
北京郵電大學學報
英文刊名： JOURNAL OF BEIJING UNIVERSITY OF POSTS AND TELECOMMUNICATIONS
年，卷(期)： 2008，31(2)
引用次數(shù)： 5次
參考文獻(7條)
1.彭俊好.徐國愛.楊義先基于效用的安全風險度量模型[期刊論文]-北京郵電大學學報 2006(02)
2.馮登國.張陽.張玉清信息安全風險評估綜述[期刊論文]-通信學報 2004(07)
3.Saaty T L A scaling method for priorities in hierarchical structures 1997(15)
4.宋曉莉.余靜.孫海傳模糊綜合評價法在風險評估中的應用[期刊論文]-微計算機信息 2006(12-3)
5.趙冬梅.蘇紅順.吳敏基于熵理論的無線網(wǎng)絡安全的模糊風險評估[期刊論文]-計算機應用與軟件 2006(08)
6.Shannon C E A mathematical theory of communication 1948
7.Jaynes E T Information theory and statistical mechanics 1957(05)
相似文獻(10條)
1.學位論文羅捷 計算機網(wǎng)絡風險分析與風險管理 2000
該文闡述了計算機網(wǎng)絡與信息安全的基本概念,風險分析與風險管理的理論,信息安全與風險管理的關(guān)系.說明了計算機網(wǎng)絡風險分析與管理實現(xiàn)的重
要性.風險管理是整個信息安全計劃不可缺少的部分,該文探討了計算機網(wǎng)絡風險管理的實現(xiàn)這一領(lǐng)域,并把風險分析作為主要研究內(nèi)容.
2.期刊論文林則夫.陳德泉.LIN Ze-fu.CHEN De-quan 信息安全風險分析及其對應急管理的啟示 -中國管理科學
2006,14(z1)
突發(fā)事件應急管理是當前政府和研究機構(gòu)都關(guān)注的重要問題.本文在前期研究的基礎(chǔ)上,通過對信息安全風險分析中的基本理念,安全標準、風險分析
的一般模型、方法和工具的分別介紹,并將信息安全風險分析與突發(fā)事件應急管理進行比較分析,希望已有的信息安全風險方面的研究成果能夠擴展到更
廣泛領(lǐng)域的突發(fā)事件應急管理中,對突發(fā)事件應急管理的研究和實際應用有所幫助.
3.學位論文賈斌 企業(yè)信息安全風險分析與控制 2006
隨著信息技術(shù)的迅速發(fā)展，企業(yè)越來越依賴于信息技術(shù)和服務，因此，企業(yè)所依賴的信息的保密性、完整新和可用性成為企業(yè)信息安全所要保障的
內(nèi)容。企業(yè)的信息安全涉及到多個方面，其控制是一個復雜的過程，風險評估為風險控制提供了基礎(chǔ)。本文運用風險評估理論，引入了模糊綜合評估法
，將一個多目標、多層次、多準則的問題進行綜合的評價，并將評估方法應用于實際的企業(yè)風險評估中，對該企業(yè)的信息安全狀況進行了詳細的分析和
判別，最終得到總體風險等級。
在獲得了企業(yè)信息安全風險分析結(jié)果之后，應對企業(yè)的風險進行控制。依照業(yè)界成熟的P2DR模型，為企業(yè)建立了完整的風險控制體系，包括風險管
理體系和實現(xiàn)管理目標的所需要的技術(shù)支持，并結(jié)合企業(yè)的實際加以實施，將管理和技術(shù)兩個因素有機的結(jié)合起來，使企業(yè)的信息安全達到較高的水平
。
本文所選取的應用案例中，企業(yè)的業(yè)務通信系統(tǒng)運行、網(wǎng)絡平臺設置和管理維護在行業(yè)內(nèi)具有一定的典型性，通過對其信息安全的評估與管理，可
為同類型企業(yè)的信息安全建設提供可借鑒的經(jīng)驗和參考。
4.會議論文林則夫.陳德泉信息安全風險分析及其對應急管理的啟示 2006
突發(fā)事件應急管理是當前政府和研究機構(gòu)都關(guān)注的重要問題.本文在前期研究的基礎(chǔ)上,通過對信息安全風險分析中的基本理念,安全標準、風險分析
的一般模型、方法和工具的分別介紹,并將信息安全風險分析與突發(fā)事件應急管理進行比較分析,希望已有的信息安全風險方面的研究成果能夠擴展到更
廣泛領(lǐng)域的突發(fā)事件應急管理中,對突發(fā)事件應急管理的研究和實際應用有所幫助.
5.學位論文賈曉桑 中國繭絲綢交易市場ERP系統(tǒng)信息安全的研究 2006
企業(yè)資源計劃(ERP)作為企業(yè)管理軟件的主要代表自產(chǎn)生之日至今，在企業(yè)信息管理中起著中流砥柱的作用。然而隨著Internet技術(shù)的迅猛發(fā)展及電
子商務應用的逐漸普及，傳統(tǒng)ERP也在不斷的尋找著能適合網(wǎng)絡時代的新的模式。支持Internet/Intranet的ERP系統(tǒng)便在這種需求下應運而生。支持
Internet/Intranet的ERP系統(tǒng)給企業(yè)帶來方便和高效益的同時，企業(yè)也將面臨網(wǎng)絡所帶來的信息安全問題。
中國繭絲綢交易市場是一個典型的Internet/Intranet企業(yè)，為用戶提供信息交易平臺服務，它的ERP系統(tǒng)不僅提供給內(nèi)部用戶使用，來管理內(nèi)部資
源，而且集成了電子商務平臺供外部用戶訪問，這樣就帶來了傳統(tǒng)企業(yè)ERP系統(tǒng)所沒有遇到的更加嚴峻的信息安全問題。針對這個問題，本研究課題提出
了在ERP系統(tǒng)中集成信息安全子系統(tǒng)來解決信息安全問題的思想并將其具體實現(xiàn)。
本文首先分析了國內(nèi)外ERP及信息安全的研究和發(fā)展現(xiàn)狀；通過現(xiàn)狀分析指出了目前ERP系統(tǒng)特別是一般期貨市場ERP系統(tǒng)(相對于中國繭絲綢交易市
場ERP系統(tǒng)，我們將集成了電子商務平臺的期貨市場ERP系統(tǒng)統(tǒng)稱為一般期貨市場ERP系統(tǒng))在信息安全方面存在的威脅，提出在ERP系統(tǒng)中集成信息安全子
系統(tǒng)來解決信息安全威脅的思想；其次闡述了信息安全概念和現(xiàn)有信息安全技術(shù)；討論了一般期貨市場ERP系統(tǒng)主要存在的來自系統(tǒng)內(nèi)部和外部的信息安
全威脅，在比較了幾種風險分析方法的基礎(chǔ)上提出選擇采用復合方法來進行風險分析，并給出了分析風險的具體步驟；接著在前幾章討論的基礎(chǔ)上提出
了解決一般期貨市場ERP系統(tǒng)信息安全問題的策略，該策略的重點在于將一個信息安全子系統(tǒng)集成到企業(yè)ERP系統(tǒng)中，形成S-ERP系統(tǒng)(安全ERP)，這種信
息安全子系統(tǒng)集基于狀態(tài)檢測的防火墻技術(shù)、基于角色訪問的控制技術(shù)、VPN技術(shù)于一身，來全面保障ERP系統(tǒng)的信息安全；然后，本文以中國繭絲綢交
易市場為實際案例，通過對中國繭絲綢交易市場ERP系統(tǒng)的信息安全分析，明確中國繭絲綢交易市場ERP系統(tǒng)信息安全的現(xiàn)狀和具體的信息安全需求，在
此基礎(chǔ)上，提出了能夠解決中國繭絲綢交易市場ERP系統(tǒng)信息安全問題的具體方案，并對該方案進行了詳細的設計：包括防火墻設計、RBAC設計及VPN設
計；論文最后，根據(jù)中國繭絲綢交易市場ERP系統(tǒng)實施過程中的信息安全需要，探討了市場ERP系統(tǒng)運行內(nèi)部和運行過程中進行風險控制的措施。
6.期刊論文張琨 發(fā)電企業(yè)信息安全風險分析及控制策略 -電力信息化2008,6(7)
分析了信息化發(fā)展到一定階段,發(fā)電企業(yè)所面臨的信息安全風險,提出了改進企業(yè)信息安全狀態(tài)、防范信息風險,提升信息系統(tǒng)安全保護等級的技術(shù)控
制策略和管理控制策略.
7.學位論文范夢雪 信息安全風險分析方法及應用 2005
計算機網(wǎng)絡已經(jīng)成為人們生活的重要組成部分，它在給人們生活帶來便利的同時，也帶來了很多安全問題。并且隨著信息技術(shù)的廣泛深入應用，信
息安全問題變得越來越復雜。目前，國際上普遍采用信息安全風險管理來解決組織的安全問題。信息系統(tǒng)運行的可靠性，與信息安全保障的準備工作水
平相適應。信息安全風險管理是信息安全保障的基礎(chǔ)性工作。國內(nèi)外許多專家認為，信息安全風險管理是解決組織安全問題最有效的、科學的方法。而
信息安全風險評估是信息安全風險管理的基礎(chǔ)，如何對組織進行信息安全風險評估，確認組織存在的安全漏洞并及時修補，最大限度地降低組織的安全
風險，已經(jīng)成為信息安全領(lǐng)域研究的一個重要內(nèi)容。
本文介紹了信息安全的相關(guān)概念和組織實施信息安全風險評估的流程，在國內(nèi)外常見的幾種信息安全準則的基礎(chǔ)上，構(gòu)造了基于資產(chǎn)、威脅、弱點
的風險評估模型，并對風險評估模型中的風險分析階段進行詳細分析。本文中給出的信息安全風險分析方法是基于資產(chǎn)的、定量分析與定性分析相結(jié)合
的風險分析方法。
信息安全通常強調(diào)CIA三元組的目標，即機密性、完整性和可用性，本文對資產(chǎn)采取CIA賦值。對資產(chǎn)、弱點以及威脅可能性采取定性分析，對威脅
的影響分析采取定量化。本文重點對資產(chǎn)、威脅和弱點的識別和賦值進行了詳細的介紹，提出將層次分析法這一傳統(tǒng)的分析方法應用在風險分析中，作
為組織威脅影響性這樣一個多目標、多層次、多準則、因素眾多的問題進行科學評估的有效方法，提高威脅影響性評估的準確性。最后，將該風險分析
方法應用于移動BOSS中的計費帳務子系統(tǒng)。
8.會議論文張琨 發(fā)電企業(yè)信息安全風險分析及控制策略 2008
分析了信息化發(fā)展到一定階段，發(fā)電企業(yè)所面臨的信息安全風險，提出了改進企業(yè)信息安全狀態(tài)、防范信息風險，提升信息系統(tǒng)安全保護等級的技
術(shù)控制策略和管理控制策略。
9.學位論文劉一潁 基于模糊概率的動態(tài)信息風險評估模型研究 2009
本文的研究以山東省教育廳國家助學貸款管理信息系統(tǒng)為背景，在對信息安全風險評估計算模型研究的基礎(chǔ)上，對信息安全和安全風險評估的相關(guān)
發(fā)展概況、研究背景、風險理論相關(guān)的概念和方法進行了深入研究。本文具體內(nèi)容分為以下幾方面：
(1)提出一種基于模糊概率的風險分析方法
貝葉斯概率風險分析模型能有效的解決風險量化過程中的不確定性問題，包括風險發(fā)生概率和造成損失的不確定性，為有效實施風險管理提供依據(jù)
。在改進其計算所得的較粗粒度的風險分析值所產(chǎn)生的度量結(jié)果的不確定性的基礎(chǔ)上提出了一種基于模糊概率區(qū)間的評估模型，提高了分析結(jié)果的準確
性和風險評估的有效性。
(2)使用進化算法對風險評估模型進行優(yōu)化
針對評估過程中出現(xiàn)的似然值，建立了信息安全風險分析的模糊多目標優(yōu)化模型及該模型的求解框架，使用進化算法對風險評估模型進行優(yōu)化；該
算法基于模糊算子進行約束處理，小生境技術(shù)和優(yōu)秀解培育過程的操作保證了解的多樣性，加速了解的收斂過程。最后給出了在模型解集合中求解最滿
意安全方案的模糊多屬性決策方法?；谛畔⑾到y(tǒng)安全評估整體框架，可以最終求解出一個整合所有安全決策人員意見、充分考慮多個決策目標且能將
信息安全風險控制在可接受范圍之內(nèi)的理想安全方案。
(3)本文設計并實現(xiàn)了一個基于模糊概率的動態(tài)信息風險評估模型并且將該模型成功的引入山東省教育廳助學代理信息管理系統(tǒng)中。實驗證明，該模
塊能夠及時、合理地分析系統(tǒng)存在的風險威脅并根據(jù)威脅等級進行不同的響應預警，減小了風險威脅，達到了設計的目標，取得了滿意的效果。
針對目前研究工作中還存在不少的缺憾和不足，仍有許多可擴展的后續(xù)工作可作，信息安全風險模型和評估方法還有待于進一步的發(fā)展和完善。雖
然目前已經(jīng)有很多的安全模型提出，但是關(guān)于風險評估方面的模型還不多，而且目前的評估方法適應性不強。我國已經(jīng)提出實施信息安全等級保護制度
，研究和提出適合安全等級保護制度的風險評估模型和風險評估方法對信息安全和風險評估的發(fā)展將具有重要的意義。
10.期刊論文張鑒.范紅信息安全風險分析中的故障樹方法研究 -信息網(wǎng)絡安全2006,""(10)
信息安全風險分析方法目前是信息安全管理領(lǐng)域的熱點問題之一.其中故障樹分析方法自20世紀60年代提出以來,在許多大型復雜系統(tǒng)的安全可靠性
分析中得到了廣泛應用,被公認為是對復雜系統(tǒng)可靠性、安全性進行分析的一種有效的方法.本文簡要介紹了信息安全風險分析方法,并對基于故障樹的風
險分析的建模方式和分析原理進行了詳盡的闡述.
引證文獻(4條)
1.陳天平.張新源.鄭連清基于模糊綜合評判的網(wǎng)絡安全風險評估[期刊論文]-海軍工程大學學報 2009(3)
2.陳天平.喬向東.鄭連清.羅赟騫圖論在網(wǎng)絡安全威脅態(tài)勢分析中的應用[期刊論文]-北京郵電大學學報 2009(1)
3.呂鎮(zhèn)邦.周波基于Shapley熵和Choquet積分的層次化風險評估[期刊論文]-北京郵電大學學報 2009(6)
4.吳長彬.燕喬.許小東水利工程項目境外投資風險分析及預防措施的研究[期刊論文]-西北水電 2009(6)
本文鏈接：http://d.g.wanfangdata.com.cn/Periodical_bjyddx200802012.aspx
下載時間：2010年5月28日

網(wǎng)友評論 more

電力安全論文最新內(nèi)容

03-05