面向铁路信息网络的资产安全属性量化评估方法.docx资源-CSDN文库

版权申诉

39 浏览量 2022-11-29 17:38:32 上传评论收藏 177KB DOCX 举报

资源推荐

资源详情

资源评论

随着铁路信息化的快速发展，铁路运输组织、货运营销、经营管理等多个业务领域均

已部署信息系统，相关业务流程对信息系统的依赖程度也越来越高

[1]

。与此同时，信息系

统的安全风险也影响着所支撑业务的平稳运行。铁路是涉及国家安全、国计民生和公共利

益的行业，信息系统的安全风险更有可能引发社会性问题

[2]

。因此，针对铁路信息系统及

其资产的安全防护工作十分必要。

对信息资产进行价值评估是采取安全防护措施和建立安全防护策略前的基础性工作之

一。合理的资产赋值方法不仅需要分析资产本身的配置情况，还应当将资产所属信息系统

的业务特点和安全要求纳入考虑。基于对铁路信息系统及信息资产的分析结果，本文提出

了一种适用于铁路信息网络的资产安全属性量化评估方法。该方法考虑到信息系统所承担

业务的特点，以信息系统的安全要求为基础，结合信息资产个体对信息系统整体的安全影

响，计算得出具体信息系统中特定信息资产的安全属性评分。结合通用漏洞评分系统

（CVSS ，Common Vulerability Scoring System），可以在评估漏洞威胁时准确衡量信息环

境的安全要求，从而获得更客观的漏洞威胁评价。

1. 信息资产评估及其方法简述

1.1 信息资产评估内容

信息安全风险评估工作一般包含信息资产评估、脆弱性评估、威胁评估、风险确定和

风险处理等阶段

[3]

。信息资产是指信息系统中具有价值并需要保护的对象，主要包括网络

系统、主机系统、平台系统、应用软件、数据资产、物理环境和人员组织

[4]

。由于脆弱性

评估、威胁评估、风险确定和风险处理等工作均围绕信息资产开展，因此信息资产评估是

风险评估工作中的基础工作。

1.2 信息资产评估方法概述

根据《信息安全风险评估规范》，信息资产价值主要由资产在保密性、完整性和可用

性 3 个安全属性的赋值决定

[3]

。由于《信息安全风险评估规范》未提供具体的赋值评估方

法，如果完全凭借主观打分进行资产评估将产生较大偏差。为了尽量减少主观判断带来的

偏差，业内已提出若干种针对信息资产安全属性的评估方法。以文献[5]和文献[6]为代表的

研究提出从信息资产的具体配置对相应安全属性进行评估。例如，文献[5]从信息资产的服

务功能、网络位置和安全防护措施 3 方面对安全属性进行评定，利用层次分析法（AHP ，

Analytic Hierarchy Process ）得到信息资产的安全属性估值。以文献[7]和文献[8]为代表的

研究则提出将信息资产所属信息系统将保密性、完整性和可用性的要求作为主要依据，对

信息资产本身的安全属性进行评定。例如，文献[7]通过分析工控系统的业务特点，总结出

工控系统的安全属性权重分配不同于传统信息系统。因此认为在对工控系统信息资产进行

赋值时也应当遵循工控系统的安全属性权重。

本内容试读结束，登录后可阅读更多

下载后可阅读完整内容，剩余9页未读，立即下载

内容反馈

版权申诉

罗伯特之技术屋

粉丝: 3868
资源: 1万+

最新资源

资源上传下载、课程学习等过程中有任何疑问或建议，欢迎提出宝贵意见哦~我们会及时处理！点击此处反馈

feedback-tip