| |
考察定量分析的過程，從中就能看到這幾個(gè)概念之間的關(guān)系：
（1） 首先，識(shí)別資產(chǎn)并為資產(chǎn)賦值；
（2） 通過威脅和弱點(diǎn)評(píng)估，評(píng)價(jià)特定威脅作用于特定資產(chǎn)所造成的影響，即EF（取值
在0％~100%之間）；
�。�3） 計(jì)算特定威脅發(fā)生的頻率，即ARO；
�。�4） 計(jì)算資產(chǎn)的SLE：
SLE = Asset Value × EF
�。�5） 計(jì)算資產(chǎn)的ALE：
ALE = SLE × ARO
這里舉個(gè)例子：假定某公司投資500,000 美元建了一個(gè)網(wǎng)絡(luò)運(yùn)營(yíng)中心，其最大的威脅是火災(zāi)，一旦火災(zāi)發(fā)生，網(wǎng)絡(luò)運(yùn)營(yíng)中心的估計(jì)損失程度是45％。根據(jù)消防部門推斷，該網(wǎng)絡(luò)運(yùn)營(yíng)中心所在的地區(qū)每5 年會(huì)發(fā)生一次火災(zāi)，于是我們得出了ARO 為0.20 的結(jié)果�；谝陨蠑�(shù)據(jù)，該公司網(wǎng)絡(luò)運(yùn)營(yíng)中心的ALE 將是45,000 美元。
我們可以看到，對(duì)定量分析來說，有兩個(gè)指標(biāo)是最為關(guān)鍵的，一個(gè)是事件發(fā)生的可能性（可以用ARO 表示），另一個(gè)就是威脅事件可能引起的損失（用EF 來表示）。
理論上講，通過定量分析可以對(duì)安全風(fēng)險(xiǎn)進(jìn)行準(zhǔn)確的分級(jí)，但這有個(gè)前提，那就是可供參考的數(shù)據(jù)指標(biāo)是準(zhǔn)確的，可事實(shí)上，在信息系統(tǒng)日益復(fù)雜多變的今天，定量分析所依據(jù)的數(shù)據(jù)的可靠性是很難保證的，再加上數(shù)據(jù)統(tǒng)計(jì)缺乏長(zhǎng)期性，計(jì)算過程又極易出錯(cuò)，這就給分析的細(xì)化帶來了很大困難，所以，目前的信息安全風(fēng)險(xiǎn)分析，采用定量分析或者純定量分析方法的已經(jīng)比較少了。
定性分析
定性分析方法是目前采用最為廣泛的一種方法，它帶有很強(qiáng)的主觀性，往往需要憑借分析者的經(jīng)驗(yàn)和直覺，或者業(yè)界的標(biāo)準(zhǔn)和慣例，為風(fēng)險(xiǎn)管理諸要素（資產(chǎn)價(jià)值，威脅的可能性，弱點(diǎn)被利用的容易度，現(xiàn)有控制措施的效力等）的大小或高低程度定性分級(jí)，例如“高”、“中”、“低”三級(jí)。
定性分析的操作方法可以多種多樣，包括小組討論（例如Delphi 方法）、檢查列表（Checklist）、問卷（Questionnaire）、人員訪談（Interview）、調(diào)查（Survey）等。
定性分析
操作起來相對(duì)容易，但也可能因?yàn)椴僮髡呓?jīng)驗(yàn)和直覺的偏差而使分析結(jié)果失準(zhǔn)。
與定量分析相比較，定性分析的準(zhǔn)確性稍好但精確性不夠，定量分析則相反；定性分析沒有定量分析那樣繁多的計(jì)算負(fù)擔(dān)，但卻要求分析者具備一定的經(jīng)驗(yàn)和能力；定量分析依賴大量的統(tǒng)計(jì)數(shù)據(jù)，而定性分析沒有這方面的要求；定性分析較為主觀，定量分析基于客觀；
此外，定量分析的結(jié)果很直觀，容易理解，而定性分析的結(jié)果則很難有統(tǒng)一的解釋。
組織可以根據(jù)具體的情況來選擇定性或定量的分析方法。 本新聞共 2頁(yè),當(dāng)前在第 2頁(yè) 1 2 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
