染雾信息安全管理测评研究 篇一
信息安全在现代社会中具有重要的意义，为了保护信息资产的安全，许多组织和企业都采取了信息安全管理措施。然而，如何评估和测评信息安全管理的有效性仍然是一个挑战。本篇文章将探讨信息安全管理测评的研究。
为了评估信息安全管理的效果，测评过程需要从多个角度进行，包括技术、组织和人员等方面。首先，技术方面的测评可以通过对系统和网络的安全性进行测试，检测潜在的漏洞和风险。这包括漏洞扫描、渗透测试和安全架构评估等技术手段。通过这些测试，可以发现系统中的弱点，并提供相应的修复建议和改进措施。
其次，组织方面的测评可以评估组织对信息安全的管理和控制能力。这包括信息安全政策和流程的制定和执行情况、安全培训和意识的推广、风险管理和应急响应等方面。通过评估组织的管理水平，可以发现管理上的不足和缺陷，并提供相应的改进意见和措施。
最后，人员方面的测评可以评估员工对信息安全的认知和行为。这包括员工对安全政策和流程的理解和遵守情况、对安全风险的识别和防范能力、以及对安全事件的响应和处理能力等。通过评估员工的安全意识和能力，可以发现人员方面的问题，并提供相应的培训和教育措施。
信息安全管理测评的研究不仅有助于评估和改进组织的信息安全管理水平，还可以为信息安全管理提供指导和建议。通过测评的结果，组织可以了解自身的信息安全风险和薄弱环节，并采取相应的措施加以改进。此外，测评结果还可以为组织提供参考，制定更有效的信息安全策略和措施，提高整体的信息安全水平。
总之，信息安全管理测评是一个重要的研究领域，对于保护信息安全具有重要的意义。通过多方面的评估，可以全面了解信息安全管理的状况，并采取相应的措施加以改进。希望未来能够有更多的研究和实践，进一步推动信息安全管理测评的发展。
信息安全管理测评研究 篇二
信息安全是现代社会中一个重要的问题，随着信息技术的发展和应用，信息安全问题日益复杂和严峻。为了保护信息资产的安全，许多组织和企业都采取了信息安全管理措施。然而，如何评估和测评信息安全管理的有效性仍然是一个挑战。本篇文章将探讨信息安全管理测评的研究。
信息安全管理测评的研究可以通过多种方法和技术进行。首先，可以采用定量方法来评估信息安全管理的效果。通过收集和分析相关的数据和指标，可以对信息安全管理的状况进行量化分析和评估。例如，可以通过测算信息安全事件的数量和损失，评估信息安全管理的效果。此外，还可以采用问卷调查和统计分析的方法，了解员工对信息安全的认知和行为情况，评估信息安全管理的效果。
其次，可以采用定性方法来评估信息安全管理的效果。定性方法主要通过观察和访谈等方式，收集和分析相关的案例和经验，评估信息安全管理的实际效果。通过深入了解组织的信息安全管理实践，可以发现其中存在的问题和挑战，并提供相应的改进意见和措施。此外，还可以借鉴其他组织的成功经验和最佳实践，提高信息安全管理的效果。
信息安全管理测评的研究不仅有助于评估和改进组织的信息安全管理水平，还可以为信息安全管理提供指导和建议。通过测评的结果，组织可以了解自身的信息安全风险和薄弱环节，并采取相应的措施加以改进。此外，测评结果还可以为组织提供参考，制定更有效的信息安全策略和措施，提高整体的信息安全水平。
总之，信息安全管理测评是一个重要的研究领域，对于保护信息安全具有重要的意义。通过多种方法和技术的研究，可以全面了解信息安全管理的状况，并采取相应的措施加以改进。希望未来能够有更多的研究和实践，进一步推动信息安全管理测评的发展。
信息安全管理测评研究 篇三
信息安全管理测评是信息安全管理体系的重要部分，是信息安全管理测量与评价的综合。信息安全管理测量的结果是信息安全绩效评价的依据。信息安全管理测量比较具体，信息安全管理评价则通过具体来反映宏观。 2.1 信息安全管理测评要素及其框架
信息安全管理测评要素包括：测评实体及其属性、基础测评方式、基础测评变量、导出测评制式、导出测评变量、测评方法、测评基线、测评函数、分析模型、指示器、决策准则、测评需求和可测评概念等，其框架如图3.1信息安全测评框架所示，包括：基于什么样的需求来测评（即测评需求），对什么进行测评（即实体及其属性），用什么指标体系来测评（包括测评制式、测评变量和测评尺度），用什么方法来测评（即测评方法），用什么函数来计算测评结果（即测评函数），用什么模型来分析测评结果（即分析模型），用什么方式来使分析结果能够辅助决策（即指示器）等问题。
信息需求是测评需求方提出的对测评结果信息的需求。信息需求源自于组织的使命和业务目标，与相关利益者的利益诉求密切相关。指示器的生成和分析模型的选择是以信息需求为导向的。
决策准则是一种决定下一步行为的阈值。他有助于解释测评的结果。决策准则可能出自或基于对预期行为在概念上的理解和判断。决策准则可以从历史数据、计划和探索中导出，或作为统计控制限度或统计信心限度计算出来。
可测评概念是实体属性与信息需求之间的抽象关系，体现将可测评属性关联到信息需求以及如何关联的思想。可测评概念的例子有生产力、质量、风险、绩效、能力、成熟度和客户价值等。实体是能通过测评属性描述的对象。一个实体是测评其属性的一个对象，例如，过程、产品、系统、项目或资源。一个实体可能有一个或多个满足信息需求的属性。实践中，一个实体可被归类于多个上述类别。他可以是有形的也可是无形的。信息安全管理测评的实体包括信息安全管理体系建立过程中所有的控制项（信息安全管理测评要素）。属性是实体可测评的、物理的或抽象的性质。一个属性是能被人或自动手段定量或定性区分的一个实体的某一特性或特征。一个实体可能有多个属性，其中只有一些可能对测评有价值。测评模型实例化的第一步是选择与信息需求最相关的属性。一个给定属性可能被结合到支持不同信息需求的多个测评构造中。信息安全管理测评主要测评的是每一项控制措施的属性（信息安全管理测评指标）。
测评是以确定量值为目的的一组操作。信息安全管理测评是确定控制项的每一个具体指标的一组操作，可以有多种测评方法。基础测评是依照属性和定量方法而定义的测评方法，是用来直接测评某一属性的，是根据属性和量化他的方法来定义，他捕获单独属性的信息，其功能独立于其他测评。信息安全管理基础测评是对于控制项的指标可以直接测评出来的量。导出测评是通过测评其他属性来间接地测评某一属性的测评，是根据属性之间的关系来定义，他捕获多个属性或多个实体的相同属性的信息，其功能依赖于基础测评的，是两个或更多基础测评值得函数。
测评尺度是一组连续或离散的数字量值（如小数/百分比/自然数等）或离散的可数量值（如高/中/低/等）。测评尺度是规范测评变量取值的类型和范围。测评方法将所测评属性的量级影射到一个测评尺度上的量值后赋给测评变量。
测评尺度根据尺度上量值之间关系的性质分为四种类型：
名义（Nominal） ：测评值是直呼其名。
序数（Ordinal） ：测评值是有等级的。
间隔（Interval） ：测评值是等距离的，对应于属性的等量，不可能是零值。
比率（Ratio） ：测评值是等距离的，对应于属性的等量，无该属性为零值。
测评单位是作为惯例定义和被广泛接受的一个特定量。他被用作比较相同种类量值的基准，以表达他们相对于此量的量级。只有用相同测评单位表达的量值才能直接比较。测评单位的例子有公尺、公斤和小时等。
测评函数是将两个或更多测评变量结合成导出测评变量的算法。导出测评变量的尺度和单位依赖于作为函数输入的测评变量的尺度和单位以及他们通过函数结合的运算方式。分析模型是将一个或多个测评变量转化为指示器的算法。他是基于对测评变量和/或他们经过一段时间的表现之间的预期关系的理解或假设。分析模型产生与信息需求相关的评估或评价。测评方法和测评尺度影响分析模型的选择。
测评计划定义了测评实施的目标、方法、步骤和资源。测评频率是测评计划的执行频率。测评计划应按规定的频度定期地或在必要的时候不定期地执行。定期执行的规定频度应建立在信息效益的需求与获得他的成本之间的折中，可以是每周、每月、每季度或每年等。不定期执行的必要时候包括ISMS初始规划和实施以及ISMS本身或运行环境发生重大变化。
2.2 信息安全管理测评量表体系
任何测评都必须具备参照点、单位和量表三个要素。信息安全测评指标体系是信息安全测评的基础，是对指定属性的评价，这些属性与测评需求方的信息保障需求相关联，对他们进行评价为测评需求方提供有意义的信息。其总是以满足其信息保障需求和方便易理解的方式呈现给测评需求方的。标准GB/T 22081-2008是进行信息安全管理所参照的标准，其从信息安全方针、信息安全组织、法律法规符合性等11个方面，提出了133个控制措施供使用者在信息安全管理过程中选择适当的控制措施来加强信息安全管理。该标准所提供的控制措施基本能覆盖信息安全管理的各个方面。在建立信息安全管理测评指标体系的实践中，通常以控制措施的实施情况作为指标，建立预选指标集，通过对预选指标集的分析，采用专家咨询的方式筛选出能全面反映信息安全管理有效性的具体指标。
3 信息安全管理测评方法探讨
测评方法通常影响到用于给定属性的测评尺度类型。例如，主观测评方法通常只支持序数或名义类型的测评尺度。测评方法是使用指定的测评制式量化属性的操作逻辑序列。操作可能包括计算发生次数或观察经过时间等。同样的测评方法可能适用于多个属性。然而，每一个属性和测评方法的独特结合产生一个不同的基础测评。测评方法可能采用多种方式实现。测评规程描述给定机构背景下测评方法的特定实现。 测评方法根据量化属性的操作性质分为两种类型：
主观：含有人为判断的量化。
客观：基于数字规则（如计数）的量化。这些规则可能通过人或自动手段来实现。
测评方法的可能例子有：调查观察、问卷、知识评估、视察、再执行、系统咨询、测试（相关技术有设计测试和操作有效性测试等）、统计（相关技术有描述统计、假设检验、测评分析、过程能力分析、回归分析、可靠性分析、取样、模拟、统计过程控制（SPC， statistical Process control） 图和时序分析等）。
4 结束语
当前，信息安全领域的测评研究多侧重于对技术产品、系统性能等方面的测评，其中信息安全风险评估可通过对重要信息资产面临的风险、脆弱性的评价掌握组织的信息安全状况；信息安全审计则只是对信息安全相关行为和活动提供相关证据；而信息安全管理评审则是符合性审核，他们都不能对信息安全管理的有效性以及信息安全管理中采取的控制措施的有效性做出评价。因此，非常有必要对信息安全管理的有效性进行测评，这将有助于了解信息安全管理过程中所采取的控制措施的有效性以及控制措施的执行情况，为管理者决策提供依据，也能为组织信息安全管理过程的持续改进提供足够的帮助，达到更好地管理信息安全的最终目的。
参考文献：
[1] 闫世杰，闵乐泉，赵战生.信息安全管理测量研究[J].信息安全与通信保密，2009，5：53.
[2] 朱英菊，陈长松.信息安全管理有效性的测量[J].信息网络安全，2009，1：87-88.
[3] Nist N. 800-55. security metrics guide for information technology systems[J]. NIST paper， 2003.
[4] CISWG CS1/05 -0079. Information Security Program Elements with Supporting Management Metrics ， Adapted from the report of the Best Practices and Metrics Teams ， Corporate Information Security Working Group （ CISWG ） ， 2004-11-17 （ Revised 2005-01-10 ）.
[5] ISO/IEC JTCI SC27 N4690 ISSEA Liaison Organization 's cofnfnents on SC27 N4474 ISO/IEC 2nd WD 27004 Information technology-Security techniques-Information Security management metric and measurement （in response to document SC27 N4485revl），2005-08-31
[6] ISSEA （International System Security Engineering ASSociation ） Metrics Contribution Background ， 2005-08-31
[7] 李尧.论ISMS中的有效性测量——基于ISO/IEC27004：2009的ISMS有效性测量浅析[J].电子产品可靠性与环境试验， 2010，28（3）：53-58.
