基于随机博弈网的企业信息安全风险管理模型方法研究

Information has become the necessary basis for enterprises with the rapid development of computer and communications technology. As they communicate more with others, computer systems have become increasingly vulnerable to hostile intruders that create network security problems. However, information security cannot be attained only by using technical methods, so integrating management models with technology in the study of information security has been extensively studied by academics and industry..This project is based on a new stochastic game nets model to depict and analyze enterprises’ information security risks, which is more adaptable to solve dynamic game problems. Thus, information risks can be carefully and accurately evaluated and control measures could be adopted accordingly to reduce the risk to an acceptable level. And it is helpful to help enterprises to find a balance between services providing and security assurance..Main study includes enterprises oriented information security stochastic game net method, enterprises information security model based on stochastic game net, information security risk evaluation and decision method and enterprises information security risk evaluation and forecasting analysis technology and tools. The major contribution of this work is to propose a series of model and method to analyze and manage enterprises information security risks quantitatively and to provide theoretical guideline for decisions about risk controls and invasion tolerance mechanism..

随着企业信息系统逐渐复杂和庞大，威胁企业信息安全的攻击和恶意行为日益普遍和多样，企业信息安全的风险管理面临严峻的挑战。基于模型的信息安全风险管理方法近年来受到国内外学者的广泛关注。本项目基于一种新的、更适于解决动态博弈问题的随机博弈网模型来描述并分析企业信息安全的风险，以期有效地对企业信息安全风险进行全局量化评估和管理决策，帮助企业在“提供服务”和“保证安全”之间找到平衡。主要研究包括：面向企业信息安全的随机博弈网模型方法；基于随机博弈网的企业信息安全模型；信息安全风险量化评估及风险决策方法；企业信息安全风险评估与预测分析技术及工具等。研究成果将提供一套较为完善的企业信息安全风险管理模型与分析方法，量化各种安全属性，分析存在的问题。并为企业中容侵机制和风险控制措施的分析、设计与评估提供科学的理论依据和指导。

随着企业信息系统逐渐复杂和庞大，威胁企业信息安全的攻击和恶意行为日益普遍和多样，企业信息安全的风险管理面临严峻的挑战。本项目基于一种新的、更适于解决动态博弈问题的随机博弈网模型来述并分析企业信息安全的风险。选取了数字供应链、企业云服务系统作为研究对象，梳理其应用场景中典型的风险，结合随机博弈网建立企业信息安全模型，根据模型模拟数据对风险进行模拟仿真，完成对风险的评估，主要在在线数字商品交易系统风险管理、企业云服务虚拟化风险管理、企业云服务隐私风险管理等方面取得了一定的研究进展，对于应用场景中的其他风险亦可以参照本课题的研究成果进行分析处理。依据本课题的研究成果，针对企业应用的具体业务场景验证了随机博弈网用于企业信息安全风险的评估和分析的可行性与有效性，同时结合真实的企业需求来验证本课题所研究的信息安全模型与风险管理方法，设计并实现了“企业信息安全风险评估和预测分析（原型）系统”，为企业信息安全风险管理工作提供一定的理论指导。