基于风险分析和网络安全框架的信息技术安全体系的决策支持模型

制作和主办：Elsevier埃及信息学杂志23（2022）383全文基于风险分析和网络安全框架的信息技术安全体系设计的网络安全决策支持模型Khairur RazikinSahar，Benfano Soewito计算机科学系，BINUS研究生课程，计算机科学硕士，Bina Nusantara大学，雅加达11480，印度尼西亚阿提奇莱因福奥文章历史记录：收到2021年2022年2月16日修订2022年3月7日接受2022年3月16日网上发售关键词：网络安全信息技术安全风险安全黑客ISO/IEC 27001A B S T R A C T建议的工作是设计网络安全决策支持的推荐模型，在风险分析和ISO/IEC 27001网络安全框架的基础上构建信息技术安全体系。该模型旨在获得最佳的安全系统，减轻安全威胁。本文有助于战略决策者设计网络安全决策支持建议，以确定设计信息技术安全系统的最佳步骤。所建立的模型可以映射的威胁缓解的优先级值的基础上的相对威胁得分对ISO/IEC 27001合规性的实施的相对评估得分缓解优先级值是确定基于ISO/IEC 27001框架构建信息技术安全体系此外，通过直接对正在构建的系统进行安全攻击来测试信息技术安全系统建议的实施结果最后，对根据信息技术安全系统的建议建立的系统进行统计评估。所获得的结果表明，ISO/IEC 27001合规性评估的平均值从36.27增加到82.37，配对T检验的p值为0.002138 0.05，这意味着对实施和不实施信息技术安全系统说明的信息技术安全系统的威胁对ISO/IEC 27001合规性评估指标值有显著影响。此外，基于12种类型的威胁样本，其显示平均威胁严重度水平从8.75下降到4.00，卡方检验的p值为0.0006605 0.05，Fisher检验虽然对实施网络安全攻击缓解相关安全系统建议之间关系的评价结果显示，网络攻击缓解的有效性从平均评分18.32增加到40.74，卡方检验的p值为0.000005221 0.05，Fisher检验的p值为0.0000005658 0.05，这意味着实施和未实施基于ISO/IEC 27001的网络安全攻击缓解相关建议的系统之间存在关联关系。©2022 The Bottoms.由Elsevier BV代表计算机和人工智能学院发布开罗大学法律系这是一篇CC BY-NC-ND许可证下的开放获取文章（http：//creative-commons.org/licenses/by-nc-nd/4.0/）上提供。*通讯作者：Bina Nusantara University，Kampus Anggrek，Jl.拉亚湾Jeruk No.27，RT.2/RW.9，Kb.Jeruk，Kec.KB. Jeruk，Kota Jakarta Barat，Daerah Khusus印度尼西亚，雅加达，11530。电子邮件 地址： khairur. binus.ac.id（K. Razikin），bsoewito@binus.edu（B. Soewito）。开罗大学计算机和信息系负责同行审查https://doi.org/10.1016/j.eij.2022.03.0011110-8665/©2022 THE COURORS.由Elsevier BV代表开罗大学计算机和人工智能学院出版。这是一篇基于CC BY-NC-ND许可证的开放获取文章（http://creativecommons.org/licenses/by-nc-nd/4.0/）。可在ScienceDirect上获得目录列表埃及信息学杂志杂志主页：www.sciencedirect.comK. Razikin和B. 苏维托埃及信息学杂志23（2022）3833841. 介绍安全漏洞大幅增加，公司必须警惕[1]。2020年，网络安全漏洞数量创纪录地增加了360亿次。这是有记录以来信息技术安全最糟糕的一年[2]。网络安全政策制定需要适当进行，以便能够适当地缓解安全威胁和攻击。从技术和信息安全管理的角度来看，风险评估和安全就绪度的测量是一个重要的组成部分。公司需要在信息安全方面实施风险管理，以最大限度地降低安全风险并提供业务连续性[3]。每个关键基础架构都必须实施有效的风险管理流程，以保护利益相关者免受财务、组织和声誉损失[4]。网络安全框架已被证明是构建安全基础设施和组织系统的最佳实践[5]。我们研究了一家上市零售公司，该公司拥有内部部署和基于云的信息技术生态系统，其中包括超过50家子公司。该公司已经实施了一个基本的安全系统，使用防火墙和防病毒。然而，已实施的安全系统未能提供检测和预防网络攻击的最佳解决方案。根据2020年10月的数据，该公司通过电子邮件在公司的一个域名上收到了安全攻击，其中一个月内有46，470个垃圾邮件/网络钓鱼和86个而出站流量发现了14,493个垃圾邮件。网络安全攻击也以蛮力的形式发生，针对该公司的一台服务器进行了143，537次攻击网络安全漏洞的原因之一是安全漏洞-当然，系统/应用程序中的能力将是攻击者执行网络攻击的一种方式。安全漏洞可能是由于在系统/应用程序配置中应用网络安全标准的合规性较低而出现的，这些配置参考CIS基准，为46%。数起网络安全攻击对公司的运营流程产生了影响，例如业务通信系统（电子邮件）中断、因性能下降而另一方面，在其一项业务中，监管机构要求该公司能够为用于提供消费者服务的平台提供安全保证因此，进行风险分析并构建具有网络安全框架标准的安全系统，以获得正确安全系统的建议，作为应对网络安全威胁和攻击的缓解措施，这一点非常重要在以前的研究中，提出了基于风险分析的网络安全，安全决策支持模型方法仅涉及财务因素和威胁机会，而没有将合规性与旨在降低投资成本的网络安全框架相结合。可以预见，这在支持成本导向决策方面是有效的，但所采取的决策并没有满足网络安全框架合规性的需求[6相比之下，基于网络安全框架的决策支持模型方法仅侧重于实施网络安全框架控制，但不涉及现有威胁的严重程度。这使得政策制定者更容易实现对网络安全框架的合规性，但对安全系统开发政策的决策在管理大量投资成本方面产生了问题[11这两种方法模型仍然为政策制定者提供了与先前提出的模型有关的建议的有效性方面的差距。这是由于没有证据表明先前提出的方法模型对采用该模型的系统的影响除了组织需要能够根据威胁严重程度映射优先级的安全系统建议之外在遵循网络安全框架的基础上，针对原有模型的局限性，提出了一种网络安全决策支持模型，该模型能够给出优先级，方便政策相关方根据网络安全框架的实施路线图确定本文提出了一种不同于以往研究的方法所提出的方法结合了风险评估和网络安全框架ISO/IEC 27001，为决策者制定信息技术安全系统开发决策提供最佳和最准确的建议所建立的模型可以将基于相对威胁得分的威胁缓解优先级值与ISO/IEC 27001合规性实施的相对评估得分进行缓解优先级值是确定基于ISO/IEC 27001框架构建信息技术安全体系的优先级建议的关键提议的模型还提供了ISO/IEC 27001域的映射以及威胁缓解优先级，以使决策者更容易做出决策。这一办法的重点是网络安全框架的威胁和应用可在多大程度上影响业务连续性。本文还提供了一个综合分析的结果，实施建议的信息技术安全系统的形式，安全测试的系统正在建设。最后，利用所提出的模型对基于信息技术安全体系建议而构建的体系进行统计评价，以获得信息技术安全体系建议实施前后的系统状况作者提出了两个案例，以找出安全系统建议实施前后系统条件差异之间的关系，这种情况在以往的信息技术安全系统设计研究案例1：信息技术安全威胁系统的风险水平值和安全指数值的影响案例2：基于ISO/IEC 27001的信息安全体系在缓解网络安全攻击方面是否案例以零售业公司的实验和统计分析的形式呈现在这样的公司里，一个有实际步骤的研究计划以前从未本研究有三个贡献，即：1. 信息技术安全系统设计中的网络安全决策支持模型，该模型根据威胁风险级别和网络安全框架合规性评估，生成具有缓解优先级值的安全系统建议2. 所提出的模型在根据业务需求开发风险管理方法和其他网络安全框架方面具有灵活性3. 本研究提供了所使用的分析方法的结果的真实证据，以便可以测量分析方法在实际业务操作中的有效性此外，本文将讨论1。2.介绍定义和相关工作; 3。方法论; 4.结果和讨论，5.结论和进一步的工作。2. 定义和相关工作在以往的研究中，已经开发了几种风险评估方法，但经常使用三种方法，即NIST-SPK. Razikin和B. 苏维托埃及信息学杂志23（2022）383385800同时，有几种类型的国际网络安全框架标准，如ISO 27001[19，20]，NIST[18]，PCI-DSS[21，22]。2.1. 使用OCTAVE Allegro的网络安全风险一般来说，选择使用的方法必须遵循公司的需求。在这些现有的方法中，OCTAVE方法可能是最知名的风险框架，有三种可能的变体，即OCTAVE，OCTAVE-S和OCTAVE Allegro。OCTAVE系列的最新产品是Allegro，与前代产品相比，它感觉更轻，并且采用更专注的方法。虽然OCTAVE Allegro是一个相对较新的过程，但它似乎进展非常迅速[15]。这三种方法不是相辅相成的，也不是相互替代的这三种方法的使用旨在满足希望进行风险评估的OCTAVE用户的特定需求。OCTAVE Allegro要实现的目标是对组织的运营风险环境进行全面评估，以产生更好的结果，而无需广泛的风险评估知识。这种方法与OCTAVE方法的不同之处在于，OCTAVE Allegro侧重于信息资产的使用方式、存储、传输和处理位置，以及它们如何受到威胁、可靠性和中断的影响。有四个阶段在八度快板，即（见图。 1）[15]：1. 建立驱动因素，公司制定与组织驱动因素（推动组织发展的因素）一致的风险衡量标准。2. 创建资产配置文件，其中标识和描述了作为风险评估重点的资产，并标识了容器资产。3. 识别威胁，通过结构化流程识别并记录资产（在其容器范围内）的威胁。4. 识别和缓解风险，根据威胁信息识别和分析风险，并制定缓解计划以应对这些风险。2.2. 网络安全框架ISO/IEC 27001：2013一般来说，使用的标准网络安全框架方法必须适合组织的业务类型。ISO/IEC表1附录ISO/IEC 27001：2013。附件域控制控制5信息安全政策26信息安全77人力资源安全68资产管理109访问控制1410密码学211物理和环境安全12行动安全1413通信安全714系统采购、开发和维护1315供应商关系516信息安全事件管理717业务连续性管理（英语：Business Continuity Management）418遵约. 827001是一个国际标准，提供了信息系统安全管理的最佳实践，可以普遍使用。本标准采用过程方法建立、实施、运行、监控、评估、维护和改进信息安全。ISO/IEC 27001有114个控件，分为14个域组，从附件5到附件18开始。而附件1至附件4是介绍和定义（见表1）[23]。本文将ISO/IEC 27001的14个领域组映射为一个5维框架。这个维度映射是按照组织结构进行的，其中每个部门都有不同的职责。治理因素评估信息安全治理形式的准备情况以及信息安全经理的机构/公司/职能、职责和责任。风险管理因素评估实施信息安全风险管理的准备程度，作为实施信息安全战略的基础。框架因素评价信息安全管理框架（政策、程序）及其实施策略的完备性和就绪性。资产管理因素评估保护信息资产的完整性，包括这些资产的整个使用周期。技术方面因素评估在保护信息资产方面使用技术的完整性、一致性和有效性。Fig. 1. 路线图OCTAVE Allegro。K. Razikin和B. 苏维托埃及信息学杂志23（2022）3833862.3. 网络安全攻击网络安全攻击是虚拟世界犯罪分子对一台或多台计算机或网络进行的攻击玛雅攻击可以是邪恶的，以停用计算机，窃取数据，或使用计算机作为发射点，其他攻击burnedized虚拟世界犯罪分子使用各种方法来发动虚拟世界攻击，例如暴力破解、端口扫描、恶意软件、网络钓鱼、垃圾邮件、勒索软件、拒绝服务（DOS）和其他方法[24]。3. 研究方法在本研究中，我们采用了PDCA循环（计划做检查行动）的阶段，解决问题的问题，其中每个周期包含所有活动的研究。我们将所提出的方法两种分析方法的结合产生了每种安全威胁的缓解优先级值，并映射了网络安全框架ISO/IEC 27001。3.1. 研究阶段在建立信息技术安全系统的建议与最佳实践作为支持正确和准确的网络安全决策，以减轻网络安全威胁，有几个阶段，我们做，即计划，做，检查，行动[25]对研究问题的计划阶段、思路和表述进行了讨论和发展，在此阶段，我们对以往研究中使用的各种相关研究和模型进行了文献研究提出问题所在的组织机构，确定研究范围和组织制图。在这一阶段，我们开始规划用于研究和识别组织资产的模型执行阶段是一个分析阶段，使用建议的方法，通过对每个业务流程所有者（BPO）资产技术进行直接观察和访谈，产生网络安全建议，作为网络安全决策的支持。在此阶段，管理层还应就实施的建议清单做出决定。此阶段结束时，执行/制定安全建议，公司检查阶段是对已建立的实施和开发结果的测试阶段。测试是直接针对组织中存在的问题建立的系统进行的。行动阶段是一个评估阶段，通过研究问题提出假设，用统计分析的方法对建议实施前后的p值进行评估研究结束时得出结论，假设的基础上p值的统计检验。3.2. 提出方法拟议的网络安全决策模型是通过结合风险分析和网络安全框架构建的模型，以产生安全建议，并在基于ISO/IEC 27001的安全的各个方面优先缓解安全威胁在本研究中，使用OCTAVE Alle- gro方法进行风险分析，因为它适用于研究范围，研究重点是管理部门IT基础设施下的公司信息技术资产，并且不需要对实验中的所有部门做出广泛贡献。公司因此，Octave Allegro非常适合了解资产是如何存储、运输和处理的，以及它们如何受到威胁、漏洞和干扰的影响。虽然使用ISO/IEC27001网络安全框架，因为ISO/IEC 27001是从事工业零售的公司最合适的信息系统安全管理认证类型。在其他情况下，所提出的模型可以根据用户该模型有三个层次，旨在提出建议，作为设计基于风险的信息技术安全系统和网络安全框架的网络安全决策的支持者该建议对每种安全威胁都有缓解优先级值，并映射到网络安全框架的各个方面。3.2.1. 需求层该模型需要两种分析方法，即风险分析和网络安全框架合规性分析需要进行风险分析，以便能够找到现有的安全威胁并将其映射到关键级别。虽然需要对网络安全框架进行合规性分析，以确定组织在网络安全框架基础上采用最佳实践进行治理的程度5. 风险分析方法。OCTAVE Allegro方法有8个步骤步骤1：建立风险度量标准。需要定义风险度量建筑物风险测量标准中有几个参数，即：a. 该地区的影响：由于组织的使命和目标的愿景受到威胁，包括声誉、财务、生产力、安全、罚款和处罚。b. 影响值：组织特定风险影响的量化等级，分为低、中、高、很高类别c. 风险衡量标准：一系列定性测量，其中每种风险的影响影响组织的使命和目标的愿景，代表威胁影响的价值。每个资产可以具有相同类型的威胁，但是这些威胁的致命性级别对于每个资产可能不同第2步：编制资产概况信息。需要与直接负责使用和管理信息技术资产的每一方进行面谈，以获得有关资产对组织业务运营的重要程度以及信息技术资产因素的步骤3：识别资产容器信息。这一步的重点是获取有关这些资产如何存储、管理或发送的信息，包括技术、物理和人员因素。第四步：确定关注的领域在此步骤中，信息技术资产通过查找可能威胁所拥有的信息技术资产的情况或条件的威胁组成部分来开发风险开发尽可能详细，并且仍然必须考虑信息资产的特定安全需求，以及在实际情况下这些资产如何受到制定关注领域，并将其作为下一步制定风险简介的起点步骤5：识别威胁的风险在此步骤中，开始构建威胁情景，这是可能受到危险威胁的信息技术资产的条件，以确定是否K. Razikin和B. 苏维托埃及信息学杂志23（2022）383387风险可能影响信息技术资产。威胁情景是从不受欢迎的参与者、动机、工具和结果中编制的第六步：识别风险。对根据第1步中制定的影响衡量标准衡量的风险影响进行评估。任何关注区域都会产生一个或多个后果，并将根据现有区域的影响进行评估。第七步：分析风险。通过计算每个信息资产的每种风险的风险值，衡量组织的哪些部分受到威胁的影响。该评估用于确定需要采取缓解措施的风险并优先考虑缓解行动。风险值是一个定性值，用于描述影响范围，当威胁场景发生时，对组织产生的影响第八步：选择一种还原方法。确定减轻哪些风险以及如何减轻风险，方法是根据公司的因素对风险进行优先级评估并决定减轻风险的方法。风险缓解方法分为3种选择[15]，即：6. 接受，是指在风险分析中作出的决定，在风险处理中不采取行动并接受由此造成的后果。收到的风险通常对公司的影响很小。7. 缓解是在风险分析中做出的决策，通过制定和实施控制措施来应对风险，以应对现有威胁或最大限度地减少所造成的影响。缓解的风险是指对组织有中度至高度影响的风险。8. 延迟是指基于组织收集额外信息和进行额外分析的意愿，不接受或缓解风险的情况。暂停的风险将在未来进行监测和评估。暂停风险通常是对组织没有重大影响的风险9.ISO/IEC 27001网络安全框架合规性评估评估是通过直接采访公司信息技术资产的负责人来完成的有5个部分的采访（见图。 2），其中每个部分有不同数量的问题。每一个面试问题都有一个被赋予权重的答案选择。该部分的评价值是该部分中所有问题的累积加权值，而合规性评价值是整个面试部分的累积评价值第一节是治理。本节评估组织内信息安全治理形式图二、ISO/IEC 27001：2013合规性的评价因子以及信息安全管理的职责。第二部分是风险管理。本节评估实施信息安全风险管理的准备程度，作为实施信息安全战略的基础。第三部分是框架。本节评估信息安全管理框架（政策、程序）和实施战略的完备性和就绪性。第四节是信息技术资产管理。本节评估安全保障信息的完整性资产，包括这些资产的整个生命周期第五部分是技术和信息安全方面。本节评估了在保护信息资产方面使用技术的完整性、一致性和有效性（见图1）。 2）。3.2.1.1. 结果映射层。 在这一层中，需求层中流程的结果显示为矩阵。首先是风险矩阵，资产中存在的每个威胁都已根据其关键性级别和缓解方法进行了映射第二，网络安全框架合规评估矩阵，其中每个维度都有一个成就值，描述了组织遵守网络安全框架的实施情况3.2.1.2. 相关层。这一层是将网络安全框架的风险分析结果与合规性评估分析结果相为了获得ISO/IEC 27001框架维度的威胁类型的缓解优先级值，需要2个变量，即相对威胁得分和相对评估得分。10. 相对威胁分数是对信息技术资产的威胁可以实现的发生概率的值。威胁的相对威胁分数越大，资产受到威胁的次数越多，本组织受到的影响就越大。相对威胁得分越小，资产受到威胁的发生率越低，组织受到的影响也越小。相对威胁得分是由威胁的权重值除以每个威胁可能具有的最大值获得的。威胁的权重值是通过将受威胁影响的资产数量累积到组织的威胁严重程度级别来获得的。11. 相对评价分数是实施网络安全框架合规性的最高可能分数相对评价分数越高，组织中网络安全框架合规性的实施就越好相对评价分数越低，组织中网络安全框架合规性的实施就越差。相对评估分数从前一层中的网络安全框架合规性评估的结果获得为了验证这两种分析方法的组合可以很好地工作，这两种分析方法的结果必须具有相同的成熟度级别。成熟度等级矩阵由4个等级组成，其中等级1是最低的，即“不可行”，等级2是“基本框架”，等级3是“足够好”，等级4是“合规性”。基于网络安全框架合规性评估的安全评估值越高，成熟度等级值越高，组织收到的威胁风险等级越低。安全评估值越低，成熟度级别越低，公司收到的威胁风险级别越高每个成熟度级别都有一个成就贡献，对于网络安全框架的每种类型的威胁和维度都有不同的百分比值。K. Razikin和B. 苏维托埃及信息学杂志23（2022）3833884. 结果和讨论在规划阶段，针对全球日益增加的安全问题，我们发现，日益增加的安全威胁也发生在实验公司。然后我们开始绘制问题并制定策略。在这一阶段，我们还进行了对以往研究中提供的解决方案进行文献研究。此外，还对组织进行了映射，以获得执行所提出的解决方案的正确来源（见图1）。 3）。4.1. 网络安全决策支持模型在所提出的模型中，必须执行三层流程（见图4），但首先，必须识别公司中的所有资产。所以，从管理层那里得到支持是取得研究成功的重要因素。我们已通过与关联方的访谈获得已识别资产，并对资产直接负责。内部部署数据中心中由IT基础架构部门管理的信息技术资产包括11个硬件资产、6个软件资产、4个系统资产和5个信息资产。4.1.1. 需求层所提出的模型需要2种类型的分析方法作为主要要求，以便能够产生作为网络安全决策支持的安全系统建议。该方法是一种风险评估方法，并对网络安全框架合规性的实施进行评估（见图1）。 4）。4.1.2. 风险分析安全威胁风险评估是通过与IT基础架构部门和公司多个相关部门的多个资产BPO进行了详细的访谈，以获得关于业务活动中重要资产的信息。准备就绪且所需数据支持后，使用OCTAVE Alle-gro方法进行风险评估，该方法包括8个步骤。见图4。网络安全决策支持模型。步骤1风险衡量标准是用于确定每个威胁地区影响程度的在这项研究中，我们采用表2影响风险标准。优先影响区5客户信誉和信任4级财务3法律法规2运算1健康与安全图三. 研究阶段。K. Razikin和B. 苏维托埃及信息学杂志23（2022）383389表3风险影响标准示例。部的风险衡量标准。内部审计并增加了健康和安全影响领域（表2）。有5个影响领域，即声誉和用户信任，财务，罚款和法律制裁，生产力，安全和健康。每个影响区域有4个影响级别，即低、中、高和非常高（见表3）。影响领域有不同的优先级别，优先1是最低优先级别，优先5是最高优先级别。影响区域的优先级越高，区域因素对公司的重要性就越大.第2步关键信息技术资产是企业最重要的技术和信息资产用于确定资产是否为关键资产的标准是公司是否会受到影响，如果（表4）：此外，我们通过与这些资产负责人的访谈收集了公司中存在的关键信息技术资产的数据，我们发现了13项关键资产，即（表5）：确定关键资产后的进一步活动是为每个资产创建资产配置文件。使用的资产配置文件遵循OCTAVE Allegro提供的工作表。此工作表是基于基本原理方面的资产详细说明表4威胁的标准没有威胁的标准1泄露给未经授权的个人2被修改过，3第三方造成的问题4自然灾害或人为因素（洪水、火灾、爆炸）5永久毁坏或暂时遗失表5关键资产。类别资产ID资产硬件HW1HW2HW3HW4HW5防火墙Sophos SG330防火墙Sophos XG防火墙MIKROTIK边缘核心交换机路由器PBRSANGFORHW6HW7主机虚拟机存储软件SW1防病毒Sophos系统S1和S2数据库系统信息I1I2I3信息访问服务器信息访问数据库信息访问电子邮件帐户选择、描述、所有者、安全要求和最重要的安全要求（表6）。步骤3写入器标识信息资产容器，信息资产容器是存储、移动或处理资产的在这个阶段，我们使用了容器信息资产风险环境地图，其中容器资产分为3类，即：技术：在公司控制之下（内部）或在公司控制之外（外部）的硬件、软件或系统。物理：在公司控制之下（内部）或在公司控制之外（外部）的物理位置或文档。人员：了解公司控制（内部）或公司控制之外（外部）信息的任何人第四章：确定关注的领域作者开始记录可能威胁公司信息技术资产的所有可能情况。以下是界定关切领域的步骤：1. 对每个注册集装箱进行审查，以发现潜在的关注领域。2. 记录信息资产风险工作表中定义的每个关注领域。3. 扩大关注区域以生成威胁情景。4. 记录威胁如何影响每个信息技术资产的安全要求。5. 继续为信息资产风险环境图上的每个容器执行步骤1在这一步中，我们得到了硬件资产的9个关注领域，软件资产的6个关注领域，系统资产的7个关注领域和资产信息的5个关注领域（表8）。步骤5 -确定威胁情景在这个阶段，创建了一个威胁场景，并且更详细地描述了财产而不是威胁。所需的活动是：1. 为每个已识别的威胁情形2. 将概率确定到根据信息资产风险工作表创建的威胁情景描述中。每个关注领域都是为了获取可能与威胁有关的信息。表9中的一个关注领域的示例是将访问权限泄露给未经授权的个人，K. Razikin和B. 苏维托埃及信息学杂志23（2022）383表6390资产配置文件示例。Allegro 108关键硬件资产配置文件关键资产选择依据描述防火墙Sophos SG可能的访问泄漏、错误配置和网络攻击会破坏网络性能和流量。包含允许或拒绝进出服务器网络和Internet的规则，可以访问VPN的用户/员工列表成为专用隧道的网关与云上数据中心网络和合作伙伴的VPN互连所有者控股集团安全需求保密性完整性可用性只有授权人员才能查看资产信息只有授权人员才能修改资产信息此资产必须在24小时×7天内始终可用×1个月×1年最重要的安全要求保密性完整性可用性表7容器资产示例Sophos SG.Allegro Risk 9a信息资产风险环境地图（技术）内部集装箱描述所有人应用程序：Web访问管理，设备管理在设备访问管理Web应用程序中进行管理和存储。Web访问管理与物理资产硬编码。外部部IT基础设施集装箱描述所有人固件：操作系统它是一个操作系统，作为一个安全设备，由Sophos Labs和Sophos AI的威胁情报、AI和机器学习提供支持，以保护用户、网络和端点免受勒索软件、恶意软件、漏洞利用、网络钓鱼和各种其他网络攻击。Sophos原则Allegro 19b信息资产风险环境地图（物理）内部集装箱描述所有人Sophos SG：数据中心，要进入数据中心机房，您必须拥有权限并在电子钥匙系统中注册VPN隧道参数文档，通过VPN隧道在公司或合作伙伴数据中心之间互连需要VPN隧道参数。这些参数存储在VPN隧道参数文档备份配置文件，备份过程中进行，并通过电子邮件发送自动在每天的时间范围内。在资产设备上注册备份配置文档的接收者的电子邮件帐户外部部IT基础设施部IT基础设施部IT基础设施集装箱描述所有人–信息资产风险环境地图（人物）内部人员部门或单位IT网络与服务器部IT基础设施IT安全与合规部IT基础设施IT基础设施支持部IT基础设施外部人员容器描述组织IT支持供应商是由管理层任命的人员，为设备维护PT提供支持。移位如果IT员工作为参与者仍然在设备管理中使用默认用户名和密码，则可能会发生威胁。这可能是因为官员没有正确遵循硬件强化安全标准，从而可能导致访问泄漏，访问泄漏的影响可能会中断，甚至由于未经授权方的配置更改或修改而停止设备功能。为了防止这种情况，变更管理程序需要确保发生的任何更改都得到适当的执行和准备。第6步-识别风险此阶段是确认或确定方案对组织影响的威胁的凭据。所需的活动是：K. Razikin和B. 苏维托埃及信息学杂志23（2022）383391表8关注的领域示例没有资产关切领域1硬件因暂时停电或供电设备故障而失去电力供应2器械组件因使用时间而损坏3软件由于不支持的用户设备兼容性4缺乏对工作设备上应用程序使用的控制和监督5系统由于应用程序/操作系统版本更新导致6由于用户7信息由于在公众容易看到的物理/数字文档上写入用户名和密码而导致的用户疏忽8使用泄露的密码表9威胁场景的示例。快板11威胁场景1关注的信息资产领域1. 演员Sophos SG访问泄露的IT员工2. 意味3. 动机使用默认的用户名和密码不符合硬件安全标准4. 结果披露修改销毁中断5.安全需求是是否是变更管理和安全配置评估工具1. 描述当威胁发生时，组织将受到怎样的影响。2. 在资产风险信息工作表上记录至少一个潜在后果。如果重要的话可以记录下来。记录的后果必须非常具体。在检查后果时，应考虑区域影响标准的风险评估（表10）。第七步：分析风险这一步的重点是如何识别风险水平。这一阶段需要开展的活动是：1. 衡量风险的影响，并对每个关键资产的严重程度（非常高、高、中等或低）进行分类。2. 在这一步中，需要计算相对风险分数，并将其用于进一步分析，以帮助组织决定处理风险的最佳策略ia：c1i=影响评分a=影响区域优先级c=影响区域关键性表11是一个相对风险得分矩阵，用于计算所有影响区域发生的影响的总体价值，表10风险识别示例。Allegro 12风险识别关键资产Sophos SG关注区域通路泄漏风险后果●性能下降导致设备作为互联网网关的功能中断● 无法访问或使用● 生产服务器网络Internet连接断开● 终止业务服务● 生产服务器● 滥用互联网接入● 对第三方的非侵略性支持服务的依赖导致问题处理过程受阻● 网络安全工具● 公司收入● 降低客户信任度客户声誉和信任对一个客户群的重大服务失败财务25，000，001法律法规完整的信息和文档操作操作活动关闭;整个过程手动完成12小时。健康与安全由于员工工作时间增加，员工健康问题可在2天内得到解决K. Razikin和B. 苏维托埃及信息学杂志23（2022）383392××××××表12风险分析的例子。表11矩阵相对风险分数影响区域。关键资产关切领域风险1Sophos SG向未经授权的个人后果严重性滥用访问权限，冲击区域公司数据泄露值评分客户声誉和信任高15金融介质8法律监管低3业务高6健康和安全低1相对分数33威胁场景影响区域的矩阵值由影响区域的优先级值与影响临界度值的权重值相乘获得。例如，声誉和客户信任的影响区域的优先级值为5，因此，如果威胁的影响具有“非常高”的关键度值表13矩阵风险核心。风险评分风险池重要性水平缓解办法其权重值为4，对具有非常高的危险性的撞击的威胁的得分为5 4 = 20。对于每个影响区域，对资产影响的关键度值采用相同的方法i=影响评分a=影响区域优先级c=影响区域关键性表12是显示如何获得相对分数的示例。相对分数是通过资产上的威胁情景的风险值与公司在威胁发生时所受到的每个影响区域的累积来获得的。风险值根据表11中所述，将区域影响权重值的威胁矩阵乘以其关键性权重值。在表12中，有一个泄漏威胁的情景未经授权的个人的访问。该威胁对信誉和客户信任区域的影响的评分为5 3 = 1 5，其中5是影响区域的优先级权重，3是权重为3的高威胁风险值。虽然影响财务领域的得分为4 2 = 8，在罚款和法律制裁领域的影响得分为3 1 = 3，在生产力领域的影响得分为2 3 = 6，而在安全和健康领域的影响得分为1 1= 1，因此，未经授权的个人访问Sophos SG关键资产的泄漏威胁场景的相对风险得分为15 + 8 + 3 + 6 +1 = 33。步骤8-选择缓解办法在这一步中，作者根据他们的风险评级对每个发现的风险进行排序。已识别风险乃根据其相对风险评分分类表13是风险类别与步骤7中获得的相对风险评分以及针对威胁的缓解方法步骤的映射。相对风险分数范围为46至60的资产威胁属于极端风险类别的风险池1，相对分数范围为31至45的资产威胁属于在具有主要风险类别的风险池2中，4030160威胁的风险是缓解，这意味着将对威胁进行控制，可以消除或减少威胁影响后果的可能性。相对评分范围为16至30的威胁属于风险池3，中等风险类别仍在考虑缓解或推迟，如果执行缓解，将在下一个IT项目采购计划中执行。与此同时，相对风险评分范围为0的资产的威胁到15属于风险池4，属于次要组的风险类别被接受，这意味着公司不会为IT项目采购提供萌芽，作为替代方案，部门可以减轻基于内部的项目采购增强。4.1.3. 实施ISO/IEC 27001：2013的ISO/IEC 27001：2013网络安全标准的实施评估直接通过与跨部门流程业务负责人会面进行。ISO/IEC 27001标准的控制域分为5个因素，即治理、风险管理、框架、资产管理和技术方面。此外，每个因素都有不同数量的问题，分为3个部分。每个问题有4个答案选项，每个部分中的每个答案都有不同的权重值（表14）。将问题数量映射为3个部分的目的是确定每个维度上ISO 27001的合规性水平，其中问题A部分是安全框架应用的最低限度，B部分是安全框架应用的中间限度，C部分是安全框架应用的最高限度（表15）。K. Razikin和B. 苏维托埃及信息学杂志23（2022）383393表14答案选择权重得分。受访者一BC还没完000在规划123应用或部分应用246全部应用369每个维度的评价分数第四季第12集des=wawcxaxbxcyaybyczazbzcdes=尺寸评价评分w;x;y;z=每个选项和部分a;b;c= A、B和C如果A部分和B部分的评价分数之和>阈值（t），则C部分可用，其中t<$2a 4b3一=阿拉伯联合酋长国B=孟加拉湾表16显示了受访者对ISO/IEC 27001每个维度的每个答案选项的回答数量结果4.1.4. 分析结果图层在我们提出的模型中，分析结果层是需求层之后的第二层（见图3）。在这一层中，两种需求方法的分析结果以风险矩阵和ISO/IEC27001维度评估值的形式呈现。4.1.5. 风险分析在表17中，我们根据资产ID映射了每个资产的威胁和风险级别（参见表5），其中每个资产ID已经有了威胁类型和风险级别。风险分析结果的可视化可以显示基于风险级别的资产威胁类型（见图5）。每个资产可以有相同类型的威胁，但具有不同的致命性水平。因此，随着威胁场景的构建，每个关键资产将有5种类型的威胁场景。4.1.6. ISO/IEC 27001合规符合ISO/IEC 27001的评估结果是组织实施基于ISO/IEC 27001的信息技术管理控制的程度的说明。ISO/IEC 27001信息技术人员控制在ISO/ IEC 27001框架的维度内进行映射（见图2）（表18）。每个维度都有一个组织可以达到的最高分数，以便可以通过网络安全差距来描述差距（见图1）。（六）。4.1.7. 相关层基于映射和威胁缓解优先级的安全建议（作为网络安全决策的支持）是风险分析结果和前一阶段执行的ISO/IEC 27001标准实施评估评分的组合。缓解优先级值的COM-表15问题矩阵。尺寸治理风险管理框架部分一BC一BC一BC问题886104212107总221629尺寸资产管理技术方面部分一BC一BC问题2410414102总3826表16回答者K. Razikin和B. 苏维托埃及信息学杂志23（2022）383表17394¼X1-X2按资产映射威胁和风险级别。轻度中度重度极重度2 2434335入路泄漏修改问题第三方原因威胁灾难毁灭或暂时毁灭失去图五. 风险分析结果。表18实施ISO/IEC 27001：2013的结果评估见图6。 网络安全漏洞。分析然后，可以通过以下方式公式：用我们建立的公式计算了两种分析方法的组合RTSTSMTSð5ÞMPS¼RTS显示屏RTS：相对威胁分数MPS：缓解优先级评分RTS：相对威胁评分RES：相对评估评分4.1.8. 计算相对威胁分数通过使用图1中的风险分析数据， 3、获得在每个风险级别具有威胁的资产的数量，其中每个风险级别具有在先前风险中确定的权重，TS：威胁评分MTS：最大威胁分数其中，威胁得分是对资产有影响的每个威胁相对于所有风险关键程度级别的权重值。nTS AAi RWj6i;j61611111102总资产ISO/IEC 27001问题总数ISO/IEC认证治理（G）2232风险管理（RM）1631框架（F）2944资产管理（AM）3875技术方面（TA）2657总131239K. Razikin和B. 苏维托埃及信息学杂志23（2022）383395nP1005n表19相对威胁值。TS：威胁评分AAi：威胁i=1到n的受影响资产RWj：风险等级j=1至n的风险权重为了获得最大威