基于SCP~2DR~2的信息安全风险控制排序模型研究

论文摘要

随着步入科技创新时代及全球一体化进程的推进,信息技术的应用得到了迅速的普及,信息已经成为我国众多行业和领域的神经中枢,信息产业已成为世界经济发展的重要驱动力,信息化在调整经济结构、改造传统产业和提高人民生活质量等方面发挥着不可替代的作用。但随着我国信息产业和信息化建设高速的发展,企业经营的环境日趋复杂,竞争日益激烈,风险也伴随而生,黑客入侵加剧,病毒肆虐,信息泄露事件更是时有发生,这已成为困扰企业和企业管理人员的一个重要问题。信息的安全直接影响到这些企业和领域的日常工作和生产的正常运转,信息的可靠性和完整性将直接关系到企业的生存力和竞争力。因此,企业为了能够更好地利用信息并在市场竞争中占据有利地位,在信息化进一步发展的过程中必须考虑信息安全的风险控制。对于企业而言,不同的行业,不同的应用甚至同一个企业的不同部门,对于信息安全的要求都有所不同,信息安全建设也并不是“越安全越好”。在信息安全领域进行风险控制是根据不同的安全需求尽可能的保护信息安全,保护信息的完整性、可用性、保密性,在可接受的成本范围内,识别并控制风险。企业只有掌握信息安全风险识别、评估、控制的方法,根据面临的不同风险,选出最有效的应对控制措施,才能保证信息的安全使用并充分享用信息技术带来的方便与快捷。面对全球一体化的互联网环境,绝大多数安全问题并不是因为技术的落后而是管理方面的缺陷,所以单靠技术不能解决所有信息安全问题,需要通过管理、技术、文化、法律等综合要素对风险进行控制。在企业面对错综复杂的威胁时,如何快速选择控制措施以提高安全防护和保障能力,这也是目前需要深入研究和亟待解决的重要课题。本文写作的主要目的是使企业管理者能够更全面、更具体地了解信息安全风险,通过信息安全风险控制排序模型可以清晰地了解各种控制措施的优先级并选择相应的控制措施,从而有针对性地控制相关风险,降低风险给企业带来的损失,有效的保证企业生产经营的正常进行,提高企业核心竞争力,为企业的管理提供有力的保证,最终使企业能够实现预期的战略目标。本文的研究框架主要包含以下六部分：第一部分绪论。主要阐述了论文的研究背景和研究意义,介绍了国内外现状及本论文的研究框架。第二部分信息安全风险控制理论。介绍了信息安全含义及特征,信息安全风险的含义、特征及构成要素。其次介绍了信息安全风险管理体系,其中包含信息安全风险评估方法——模糊数学理论、信息安全风险的识别等。为文章的进一步研究奠定了理论基石。第三部分信息安全风险控制体系。重点阐述了信息安全风险控制流程,并对每一环节进行了详细的解释,其中包括：信息安全风险控制方式、信息安全风险控制措施等。第四部分信息安全风险控制措施排序。该部分是论文的核心,首先介绍了安全控制P2DR模型、SCP2DR2模型,详细分析了两者的特点,并基于SCP2DR2模型对信息安全风险控制措施进行分类,在此基础上提出了信息安全风险控制措施排序模型,根据专家对每一种资产面临每一种威胁的同一类控制措施排序结果及倒数赋值法,对控制措施进行赋值,再利用资产权重及通过三角模糊数序理论、威胁与脆弱性的关系、脆弱性对资产的影响来计算威胁的权重,最终得到信息安全风险控制措施的综合排序。第五部分排序模型在企业中的应用。选取了防护型控制措施,结合企业的具体实例,演绎了信息安全风险控制措施排序的过程。第六部分结语。对全文的研究内容和研究成果总结,同时对论文研究过程中的不足及未来研究方向作以分析论述。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 研究背景和意义
• 1.1.1 研究背景
• 1.1.2 研究意义
• 1.2 国内外研究概况
• 1.2.1 国外研究现状
• 1.2.2 国内研究现状
• 1.2.3 发展趋势
• 1.3 论文结构
• 1.4 创新点
• 2 信息安全风险控制理论
• 2.1 信息安全与信息安全风险
• 2.1.1 信息安全的内涵
• 2.1.2 信息安全的特性
• 2.1.3 信息安全风险
• 2.1.4 信息安全风险的构成要素
• 2.2 信息安全风险管理体系
• 2.2.1 信息安全风险管理体系结构
• 2.2.2 信息安全风险管理过程
• 3 信息安全风险控制体系
• 3.1 信息安全风险控制的框架
• 3.2 信息安全风险控制方式
• 3.2.1 接受风险
• 3.2.2 转移风险
• 3.2.3 避免风险
• 3.2.4 减少风险
• 3.3 信息安全风险控制措施
• 3.3.1 管理控制措施
• 3.3.2 技术控制措施
• 3.3.3 法律控制措施
• 3.3.4 文化控制措施
• 4 信息安全的风险控制
• 2DR模型'>4.1 P²DR模型
• 2DR模型的内容'>4.1.1 P²DR模型的内容
• 2DR模型的特点'>4.1.2 P²DR模型的特点
• 2DR²模型'>4.2 关于SCP²DR²模型
• 2DR²模型的提出'>4.2.1 SCP²DR²模型的提出
• 2DR²模型的内容'>4.2.2 SCP²DR²模型的内容
• 2DR²模型的信息安全风险控制措施分类'>4.2.3 基于SCP²DR²模型的信息安全风险控制措施分类
• 4.3 信息安全风险控制措施排序模型的提出
• 4.3.1 倒数赋值法
• 4.3.2 资产权重
• 4.3.3 威胁权重
• 4.3.4 信息安全风险控制措施排序
• 4.4 信息安全风险控制措施的排序过程
• 5 信息安全风险控制措施排序模型在企业中的应用
• 5.1 背景介绍
• 5.2 排序模型的应用
• 5.2.1 企业信息风险要素的识别
• 5.2.2 资产权重
• 5.2.3 威胁权重
• 5.2.4 控制措施有效性的排序
• 5.2.5 结论
• 6 结语
• 6.1 工作总结
• 6.2 进一步的工作与展望
• 附录
• 参考文献
• 后记