关于项目风险管理方法论在企业信息安全管理体系中的应用

论文摘要

随着信息技术的高速发展,全球各行业日常业务的开展高度依赖于信息技术的应用,如何有效地识别并控制随之上升的信息安全风险得到高度重视。为此,我们希望将风险评估与信息安全管理紧密结合在一起,进行充分有效的风险分析、评估和控制,从而将系统的风险降到一个可以接受的程度。根据上述要求,本文从信息资产的角度出发,结合项目风险管理的思想提出了一套适合某集装箱运输企业实际操作、步骤清晰、标准明确的安全管理指南和风险评估方法论,以此指导和控制组织风险,从而建立持续改进的信息安全管理体系。文章首先介绍项目管理、信息安全和风险评估等相关概念和历史发展概况,在对国内外各类标准及风险管理的方法论研究后,分析了信息安全与安全风险评估的关系以及安全风险评估在信息安全中的重要性。其次,详细分析了某集装箱运输企业的信息化特点和信息系统风险分析中的各种难点,同时提出将项目风险管理的思想应用在信息安全管理风险管理中的思路,以及分阶段工作任务和具体过程。之后,根据公司业务特点提出了一套简单易行的信息安全管理指南,并在此基础上优化了资产估值和威胁影响分析的模型,设计出一套适用于该公司、易操作和客观全面的风险评估标准。最后,详细阐述了该风险评估标准和流程在企业的应用实践,并通过各类数据实例证明该标准的合理性、有效性和可操作性。

论文目录

• 摘要
• ABSTRACT
• 第一章 绪论
• 1.1 引言
• 1.2 研究背景
• 1.2.1 项目管理中的风险管理
• 1.2.2 信息安全管理体系与风险评估
• 1.2.3 课题的提出
• 1.2.4 课题研究的目的和意义
• 1.3 论文主要内容
• 1.4 本章小结
• 第二章 相关标准及理论的研究
• 2.1 国内外常用标准
• 2.1.1 国外标准的历史发展
• 2.1.2 国外现行常用标准
• 2.1.3 国内的有关信息安全标准
• 2.2 风险管理的方法论研究
• 2.2.1 ISO/IEC 27001 和27002
• 2.2.2 ISO/IEC TR 13335
• 2.2.3 OCTAVE 方法
• 2.2.4 CC 与GB/T 18336
• 2.2.5 NIST SP800-30
• 2.2.6 GB/T 20984-2007
• 2.3 本章小结
• 第三章 集装箱运输企业信息安全管理体系的研究
• 3.1 建设信息安全管理体系的背景
• 3.2 信息安全风险管理的管理框架
• 3.3 集装箱运输企业的信息化特点
• 3.4 企业风险管理指南的设计要点
• 3.5 项目风险管理思想的引入
• 3.6 信息安全风险评估方法设计
• 3.6.1 风险管理规划：信息安全风险管理指南
• 3.6.2 风险识别：识别威胁和漏洞
• 3.6.3 定性与定量风险分析：通过资产价值、影响和可能性对风险进行估值
• 3.6.4 风险应对：选择风险控制措施
• 3.6.5 风险监控：计算剩余风险
• 3.7 本章小结
• 第四章 集装箱运输企业信息安全管理指南的设计
• 4.1 信息安全管理体系运转流程
• 4.2 信息安全风险评估指南
• 4.3 评估计划
• 4.4 信息收集
• 4.5 资产确定与估值
• 4.5.1 对信息资产进行确认并分类
• 4.5.2 对分类的资产进行估值
• 4.6 威胁与漏洞分析
• 4.7 影响与可能性分析
• 4.8 风险建模与分析
• 4.9 风险接受准则
• 4.10 推荐并确定控制措施
• 4.11 发布年度风险评估报告
• 4.12 控制措施的实施及监督
• 4.13 本章小结
• 第五章 集装箱运输企业信息安全管理指南的应用实践
• 5.1 安全现状调研
• 5.1.1 现场访谈
• 5.1.2 安全扫描
• 5.1.3 问卷调研
• 5.2 风险评估指南的应用
• 5.2.1 资产确定与估值
• 5.2.2 威胁与漏洞分析
• 5.2.3 影响与可能性分析
• 5.2.4 风险建模与分析
• 5.2.5 确定控制措施
• 5.2.6 年度风险评估报告
• 5.2.7 控制措施的实施与监督
• 5.3 本章小结
• 第六章 全文总结
• 6.1 主要结论
• 6.2 研究展望
• 参考文献
• 致谢
• 攻读硕士学位期间已发表或录用的论文