可操作的关键威胁、资产和漏洞的评估方法（OCTAVE）研究与实践

论文摘要

美国卡耐基·梅隆大学软件工程研究所(CMU/SEI)不仅在软件工程领域声名显赫,同样在信息安全领域也硕果累累,由SEI发布的OCTAVE方法,就是后者的代表性成果之一。本文的课题来源于重庆市信息化领导小组办公室专项“重庆市市级部门信息安全风险评估”(项目编号:200612002)。OCTAVE流程的研究及实施,是该项目的重要专题之一。本文的主要工作及结果包括以下几个方面:OCTAVE方法及其特点的分析。OCTAVE关注被评估组织机构自身,强调影响业务连续性的关键信息资产及其安全需求,并能有效识别出需要保护的信息资产对象;OCTAVE的评估流程实施研究。以电子政务系统信息安全风险评估的实际工程内容为导向、解决相关实施问题为目标,研究了采用OCTAVE进行风险评估的各个重要环节,给出了评估流程在诸方面的剪裁、细化与合并;辅助工具的规划与设计。针对实施流程中资产识别环节人工介入最多、数据采集量极大、资料收集任务繁重的问题,遵循软件工程方法设计开发了相应的辅助工具;案例应用及实践验证。将上述研究成果运用到一个重要电子政务系统的信息安全风险评估中,在给出了一个成功的工程应用案例的同时,验证了上述成果在实践中的有效性和实用性,表明了本文成果具有推广应用价值。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 课题背景及意义
• 1.2 国内外现状
• 1.3 本文工作简介
• 1.4 本文组织结构
• 2 OCTAVE 方法概述
• 2.1 OCTAVE 的背景及相关概念
• 2.2 OCTAVE 的原则
• 2.3 OCTAVE 的实施流程
• 2.4 小结
• 3 OCTAVE 的实施研究
• 3.1 流程的裁剪问题
• 3.2 评估流程的细化
• 3.3 相关方法研究
• 3.4 小结
• 4 辅助工具“风云”及其设计
• 4.1 总体需求
• 4.2 主要功能描述
• 4.3 工具的实现
• 4.4 小结
• 5 案例及结果
• 5.1 案例系统简介
• 5.2 评估的实施
• 5.3 评估结论
• 5.4 小结
• 6 结论
• 6.1 本文工作总结
• 6.2 未来研究展望
• 致谢
• 参考文献
• 附录：作者在校期间的研发情况
• A 发表的论文
• B 参与的项目