随着信息技术的发展,尤其是网络的普及,信息系统的安全问题开始引起人们的注意。但是仅仅依靠技术、安全设备远远不能够解决信息安全中遇到的所有问题。信息系统的安全应站在系统工程的高度上来看待,对信息系统进行安全风险管理。 决策驱动的安全风险模型,使用了以决策为中心的、量化的分析技术。它的分析过程是首先进行安全措施选择,对每个不同的安全策略选择不同的安全措施组合;其次计算每个安全策略的成本;第三步,分析评估在某个安全策略下,有害事件的影响程度和爆发频率的具体缩减值;第四步,根据安全专家的判断或对历史事件数据的分析,估测出有害事件的初始影响程度和爆发频率;最后根据这些数据计算出某个安全措施带来的纯效益,在所有安全策略中进行比较,得出最佳策略。 本论文主要的工作是:根据信息安全风险基本理论以及决策分析技术建立了决策驱动的安全风险模型,然后根据模型框架给出了安全策略的纯效益算法以及有害事件爆发频率和影响程度的评估方法,最后阐述了决策驱动的风险模型在安全管理平台中的具体实现。