信息安全风险评估模型及方法研究

１８信息安全风险评估模型及方法研究

措施；

图３．１ＩＳＯ１７７９９：２００５涉及的１１个领域

Ｉ）安全方针（Ｓ谢ｔｙｐｏｌｉｃｙ）：为信息安全提供管理指导和支持；

２）安全组织（Ｏｒｇａｎｉｚｉｎｇｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙ）：在公司内管理信息安全；

３）资产分类与管理（Ａｓｓｅｔｍａｎａｇｅｍｅｎｔ）：对公司的信息资产采用适当的保护４）人员安全（Ｈｕｍａｎｒｅｓｏｕｒｃｅｓｓｅｃｕｒｉｔｙ）：减少人为错误、偷窃、欺诈或滥用信

息及处理设施的风险；

５）物理和环境安全（Ｐｈｙｓｉｃａｌａｎｄｅｎｖｉｒｏｎｍｅｎｔａｌｓｅｃｕｒｉｔｙ）：防止对商业场所及信息未经授权的访问、损坏及干扰；

６）通信与运作管理（Ｃｏｍｍａｎｉｃａｆｉｏｎｓａｎｄｏｐｅｒａｔｉｏｎｓｍａｎａｇｅｍｅｎｔ）：确保信息处理设施正确和安全运行；

７）访问控制（Ａｃｃｅｓｓｃｏｎｔｒ０１）：管理对信息的访问；

８）系统的开发和维护（Ｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍｓａｃｑｕｉｓｉｔｉｏｎ，ｄｅｖｅｌｏｐｍｅｎｔａｎｄｍａｉｎｔｅｎａｎｃｅ）：确保将安全纳入信息系统；

９）安全事件管理（Ｉｎｆｏｒｍａｔｉｏｎｓｅｃｕｒｉｔｙｉｎｃｉｄｅｎｔｍａｎａｇｅｍｅｎｔ）：对安全事件及应急措施的管理；

１０）业务连续性管理（ＢＵｓｌｎｅｓｓｃｏｎｔｉｎｕｉｔｙｍａｎａｇｅｍｅｎＯ：肪止商业活动的中断，

并保护关键的业务过程免受重大故障或灾难的影响；

第五章基于资产、威胁和弱点的信息安全风险评估模型竺

参数为（１０，ｌＯ）的正态分布图

参数为１０的泊松分布图

图５．５正态分布曲线和泊松分布曲线对比图

具有Ｐｏｉｓｓｏｎ分布的随机变量在实际应用中是很多的，例如电话交换台在指定的事件区间内受到的呼叫次数；某车站在某事件区间内的候车人数；以及论文讨论的某种威胁在某一时间段内发生的次数等都是服从或近似服从Ｐｏｉｓｓｏｎ分布。

Ｐｏｉｓｓｏｎ过程【４３ｌ：称随机过程｛Ⅳ（ｆ），ｔ≥ｏ｝为计数过程，如果Ⅳ（ｆ）代表到时刻ｔ所发生的随机事件数。如果计数过程｛Ⅳ（ｒ），ｔ≥ｏ｝有如下性质：

１）Ⅳ（ｏ）＝０；