一种基于模型的信息安全风险评估方法  

A Model Driven Information Security Risk Assessment Approach

作　　者：李嵩 孟亚平 孙铁 刘海峰 

机构地区：[1]北京信息安全测评中心,北京100037

出　　处：《计算机工程与应用》2005年第29期159-162,共4页Computer Engineering and Applications

基　　金：北京市科委软课题研究项目(编号:H030130113490)

摘　　要：基于模型的评估方法对信息安全风险评估具有重要的意义。该文提出一种基于统一建模语言、攻击树分析事件树分析模型的信息安全风险评估方法,运用面向对象的、半形式化的方法分析和描述安全风险相关要素,基于ATA模型深入分析评估关键信息资产的安全风险,基于ETA分析安全事件对业务的影响,提高风险评估的精确性和客观性。基于模型的方法还有利于风险评估相关要素模式的抽象和复用,以及评估工具的开发和应用,提高风险评估的生产率。Model-driven assessment approach has significant meaning for information security assessment.This paper presents an information security assessment approach based on UML,ATA and ETA model,which using object-oriented and semi-formally method to analyse and describe the elements related to risk,thoroughly assessing the risk of critical assets based on ATA model,analysing the security incident impacts on business based on ETA,and improving accuracy and objectivity of risk assessment.Model-driven approach is also help fur to abstract and reuse patterns of the elements related to risk,develop and use assessment tools,and increase the productivity of risk assessment.

关 键 词：信息安全风险评估 基于模型 统一建模语言 攻击树分析 事件树分析 

分 类 号：TP393.08[自动化与计算机技术—计算机应用技术]