面向铁路信息网络的资产安全属性量化评估方法

田海波，王一芃，李向阳

（中国铁路信息科技集团有限公司 网信安全处，北京 100038）

随着铁路信息化的快速发展，铁路运输组织、货运营销、经营管理等多个业务领域均已部署信息系统，相关业务流程对信息系统的依赖程度也越来越高[1]。与此同时，信息系统的安全风险也影响着所支撑业务的平稳运行。铁路是涉及国家安全、国计民生和公共利益的行业，信息系统的安全风险更有可能引发社会性问题[2]。因此，针对铁路信息系统及其资产的安全防护工作十分必要。

对信息资产进行价值评估是采取安全防护措施和建立安全防护策略前的基础性工作之一。合理的资产赋值方法不仅需要分析资产本身的配置情况，还应当将资产所属信息系统的业务特点和安全要求纳入考虑。基于对铁路信息系统及信息资产的分析结果，本文提出了一种适用于铁路信息网络的资产安全属性量化评估方法。该方法考虑到信息系统所承担业务的特点，以信息系统的安全要求为基础，结合信息资产个体对信息系统整体的安全影响，计算得出具体信息系统中特定信息资产的安全属性评分。结合通用漏洞评分系统（CVSS ，CommonVulerability Scoring System），可以在评估漏洞威胁时准确衡量信息环境的安全要求，从而获得更客观的漏洞威胁评价。

1 信息资产评估及其方法简述

1.1 信息资产评估内容

信息安全风险评估工作一般包含信息资产评估、脆弱性评估、威胁评估、风险确定和风险处理等阶段[3]。……