信息安全管理与风险评估

本书通过对信息安全风险评估领域的研究，在汲取国内外研究成果的基础上，总结信息安全风险评估的发展趋势与研究要点，对常用风险评估方法进行分析，提出几种改进的信息安全风险评估方法，详细介绍了所提出的改进评估方法的评估流程与特点，并通过评估实例与代码实现，加深读者对所介绍的评估方法的认识。
本书可供信息安全专业及相关专业本科生、技术人员、研究人员参考，方便此类人员抓住风险评估的要点，掌握风险评估方法与使用步骤，为进一步的风险评估研究与使用打下坚实的基础。

第1章 信息安全风险评估的基本概念 1
1.1 信息安全 1
1.1.1 信息安全技术 1
1.1.2 信息安全管理 2
1.2 信息安全风险评估的概念 4
1.2.1 信息安全风险的相关概念 4
1.2.2 信息安全风险的基本要素 4
1.3 信息安全风险管理体系 7
1.3.1 ISMS的范围 8
1.3.2 信息安全管理体系的作用 8
1.3.3 PDCA原则 9
1.3.4 ISMS的PDCA 10
1.3.5 ISMS建设整体思路 11
1.4 信息安全风险评估现状 15
1.4.1 国内现状 15
1.4.2 国外现状 16
第2章 信息安全风险评估的流程与分析方法
18
2.1 信息安全风险评估的分类 18
2.1.1 基本风险评估 18
2.1.2 详细风险评估 19
2.1.3 联合风险评估 19
2.2 信息安全风险评估的四个阶段 19
2.2.1 评估准备阶段 19
2.2.2 评估识别阶段 20
2.2.3 风险评价阶段 22
2.2.4 风险处理阶段 22
2.3 信息安全风险分析方法 23
2.4 信息安全风险分析流程 24
2.4.1 资产识别 25
2.4.2 威胁识别 26
2.4.3 脆弱性识别 26
2.4.4 已有安全措施确定 27
2.4.5 风险分析 27
2.4.6 风险处置 30
第3章 信息风险相关技术标准和工具 31
3.1 信息风险相关技术标准 31
3.1.1 BS 7799/ISO 17799/ISO 27002 31
3.1.2 ISO/IEC TR 13335 32
3.1.3 OCTAVE 2.0 34
3.1.4 CC/ISO 15408/GB/T 18336 35
3.1.5 等级保护 36
3.2 信息安全风险评估工具 38
3.2.1 风险评估与管理工具 38
3.2.2 系统基础平台风险评估工具 51
3.2.3 风险评估辅助工具 52
第4章 基于层次分析法的信息安全风险评估 54
4.1 层次分析法 54
4.1.1 AHP概述 54
4.1.2 AHP流程 54
4.1.3 算例 55
4.2 基于层次分析法的信息安全风险评估模型案例 57
4.2.1 CUMT校园无线局域网安全分析 58
4.2.2 构造判断矩阵并赋值 58
4.2.3 层次单排序（计算权向量）与检验 60
4.2.4 计算一致性检验值和最大特征值λmax 61
4.2.5 权值整合比较 62
4.2.6 案例实现 63
4.2.7 结论 64
4.3 代码 65
4.3.1 C 实现计算一致性检验值和最大特征值λmax代码 65
4.3.2 C 实现计算总排序代码 69
第5章 基于网络层次分析法的信息安全风险分析研究 71
5.1 网络层次分析法 71
5.1.1 ANP与AHP的特征比较 71
5.1.2 网络层次分析法的网络层次结构 72
5.1.3 优势度 72
5.1.4 一致性 73
5.1.5 超矩阵 73
5.1.6 网络层次分析法的运用步骤 75
5.2 基于网络层次分析法的信息安全风险分析 75
5.2.1 控制层 76
5.2.2 网络层 76
5.2.3 整体网络结构 77
5.3 基于ANP的某保密系统风险分析 79
5.3.1 某保密系统概况 79
5.3.2 威胁、脆弱性、安全措施识别 80
5.3.3 构建网络层次分析法模型 81
5.3.4 建立两两比较的判断矩阵 83
5.3.5 计算超矩阵 92
5.3.6 风险分析 96
第6章 基于风险因子的信息安全风险评估模型 98
6.1 风险因子概述 98
6.2 基于风险因子的信息安全评估方法计算 98
6.2.1 风险度及因子的基本要素 98
6.2.2 熵系数法 100
6.3 基于风险因子的信息安全评估模型构建 102
6.4 综合风险因子评估案例 107
6.4.1 资产的识别与赋值 107
6.4.2 资产依赖与调整 108
6.4.3 脆弱性识别与赋值 109
6.4.4 脆弱性依赖识别与调整 109
6.4.5 威胁评估 109
6.4.6 风险因子的提取与计算 110
6.4.7 综合风险因子的计算 110
6.5 系统风险评估案例 111
6.5.1 资产评估 111
6.5.2 脆弱性评估 112
6.5.3 威胁评估 114
6.5.4 风险因子的提取与计算 115
6.5.5 风险度的隶属矩阵 116
6.5.6 风险因子的权重 116
6.5.7 系统风险值的计算 117
6.5.8 代码实现（Matlab） 118
6.5.9 代码实现（Java） 120
第7章 基于三角模糊数信息安全风险评估模型 128
7.1 模糊数及其相关运算 128
7.1.1 模糊数的产生 128
7.1.2 模糊数的应用 128
7.1.3 相关运算 130
7.2 三角模糊数及其相关性质 130
7.2.1 三角模糊数定义 130
7.2.2 三角模糊数的算术运算 131
7.3 基于三角模糊数的信息安全风险评估模型构建 131
7.3.1 集结专家权重 131
7.3.2 语言评价值转成三角模糊数 133
7.3.3 集结矩阵并规范化风险矩阵 134
7.3.4 计算风险值并排序 134
7.4 案例实现 135
7.5 模型构建 137
7.5.1 Matlab介绍 137
7.5.2 Matlab建模 138
7.6 代码实现 140
7.6.1 计算可能性矩阵 140
7.6.2 计算损失矩阵 142
7.6.3 计算风险矩阵 144
7.6.4 计算风险值 145
7.6.5 风险评价 147
第8章 基于灰关联分析方法的风险评估 148
8.1 方法简介 148
8.1.1 灰色系统简介 148
8.1.2 方法适用范围 148
8.1.3 方法的运用 149
8.1.4 关联度计算实例 150
8.2 DS证据理论分析方法 151
8.2.1 方法背景 151
8.2.2 适用范围 151
8.2.3 基本概念 151
8.2.4 组合规则 152
8.2.5 计算步骤 152
8.2.6 优缺点 153
8.2.7 实践案例——Zadeh悖论 153
8.3 案例分析 154
8.3.1 建立风险评估模型 154
8.3.2 收集信息系统的数据 154
8.3.3 风险评估 155
8.3.4 风险评估代码实现流程图 156
8.4 代码实现 157
8.4.1 Java代码 157
8.4.2 运行结果 161
8.4.3 C 代码 162
8.4.4 运行结果 164
8.5 结论 164
参考文献 165