本書(shū)主要研究大數(shù)據(jù)環(huán)境下的信息安全風(fēng)險(xiǎn)管理，首先介紹了信息安全風(fēng)險(xiǎn)管理的概念和信息安全風(fēng)險(xiǎn)管理的主要國(guó)際標(biāo)準(zhǔn)和國(guó)內(nèi)標(biāo)準(zhǔn)；然后介紹了信息安全風(fēng)險(xiǎn)評(píng)估方法——隨機(jī)博弈網(wǎng)模型；最后將隨機(jī)博弈網(wǎng)應(yīng)用于多種不同的場(chǎng)景，驗(yàn)證方法的 可行性和有效性，為大數(shù)據(jù)環(huán)境下信息安全風(fēng)險(xiǎn)評(píng)估提供指導(dǎo)。隨機(jī)博弈網(wǎng)的基本思想是識(shí)別信息安全風(fēng)險(xiǎn)。這些風(fēng)險(xiǎn)都可以通過(guò)風(fēng)險(xiǎn)場(chǎng)景進(jìn)行描述，將隨機(jī)Petri網(wǎng)的圖形化模型方法和相關(guān)理論與博弈論的思想和均衡求解方法有機(jī)結(jié)合，建立攻防模型。通過(guò)仿真，模擬風(fēng)險(xiǎn)事件實(shí)際發(fā)生過(guò)程中的博弈行為，實(shí)現(xiàn)企業(yè)信息安全風(fēng)險(xiǎn)評(píng)估。本書(shū)將這一方法應(yīng)用于普通的信息安全風(fēng)險(xiǎn)場(chǎng)景、大數(shù)據(jù)環(huán)境下的數(shù)字供應(yīng)鏈以及云服務(wù)風(fēng)險(xiǎn)場(chǎng)景。

本書(shū)以隨機(jī)博弈網(wǎng)模型方法及博弈論相關(guān)理論為基礎(chǔ)，通過(guò)仿真模擬風(fēng)險(xiǎn)事件實(shí)際發(fā)生過(guò)程中的博弈行為，建立攻防模型，并將其運(yùn)用于實(shí)際應(yīng)用場(chǎng)景中，實(shí)現(xiàn)信息安全風(fēng)險(xiǎn)評(píng)估。

前言


大數(shù)據(jù)在我國(guó)乃至世界范圍內(nèi)都蓬勃發(fā)展，而且大數(shù)據(jù)的產(chǎn)生催生出“互聯(lián)網(wǎng)+”、在線物流、在線廣告、云計(jì)算等新的領(lǐng)域，大數(shù)據(jù)的發(fā)展雖然為我國(guó)信息安全產(chǎn)業(yè)提供了很多數(shù)據(jù)資源和技術(shù)支持，但同時(shí)也帶來(lái)了很多挑戰(zhàn)。在大數(shù)據(jù)環(huán)境下，探尋科學(xué)、合理、實(shí)用的網(wǎng)絡(luò)信息安全風(fēng)險(xiǎn)評(píng)估和風(fēng)險(xiǎn)管理方法已經(jīng)成為信息安全領(lǐng)域研究的熱點(diǎn)之一。


與信息安全風(fēng)險(xiǎn)管理相關(guān)的國(guó)際標(biāo)準(zhǔn)，為政府、企業(yè)安全工程的實(shí)施提供了一些通用方法。我國(guó)也在國(guó)際標(biāo)準(zhǔn)的基礎(chǔ)上，結(jié)合本國(guó)國(guó)情，制定了安全評(píng)估和認(rèn)證的相關(guān)標(biāo)準(zhǔn)，這些標(biāo)準(zhǔn)比較全面地羅列了信息安全風(fēng)險(xiǎn)評(píng)估的實(shí)施細(xì)則和認(rèn)證重點(diǎn)。


傳統(tǒng)的通用標(biāo)準(zhǔn)和研究方法在處理大數(shù)據(jù)不確定性和復(fù)雜性所帶來(lái)的特有風(fēng)險(xiǎn)時(shí)，也面臨著更多的挑戰(zhàn)。隨機(jī)博弈網(wǎng)模型分析方法為網(wǎng)絡(luò)安全性評(píng)價(jià)提供了可行的新思路和新技術(shù)，這將是一個(gè)重要且充滿(mǎn)前景的研究方向。本書(shū)著重介紹了基于隨機(jī)博弈網(wǎng)的信息安全風(fēng)險(xiǎn)評(píng)估模型，說(shuō)明博弈論的基本構(gòu)架，使讀者進(jìn)一步理解風(fēng)險(xiǎn)事件實(shí)際發(fā)生過(guò)程中的博弈行為。本書(shū)通過(guò)隨機(jī)博弈網(wǎng)研究的整體框架來(lái)描述網(wǎng)絡(luò)安全行為過(guò)程，并在此基礎(chǔ)上提出了隨機(jī)博弈網(wǎng)的一系列建模和分析方法。隨機(jī)博弈網(wǎng)模型分析方法具體應(yīng)用于網(wǎng)絡(luò)的典型案例，證實(shí)了模型理論研究成果的實(shí)用性。隨機(jī)博弈網(wǎng)模型分析方法還應(yīng)用于大數(shù)據(jù)環(huán)境下數(shù)字供應(yīng)鏈信息安全風(fēng)險(xiǎn)評(píng)估和企業(yè)云服務(wù)信息安全風(fēng)險(xiǎn)評(píng)估中。


全書(shū)共分為9章，第1章介紹了大數(shù)據(jù)的基本概念和大數(shù)據(jù)環(huán)境下我國(guó)的信息安全現(xiàn)狀。第2章對(duì)信息安全風(fēng)險(xiǎn)管理的流程進(jìn)行介紹，并詳細(xì)說(shuō)明各風(fēng)險(xiǎn)要素及屬性間的關(guān)系，繼而開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估和管理。第3章介紹了七個(gè)國(guó)內(nèi)外具有代表性的信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)和方法。通過(guò)對(duì)國(guó)內(nèi)外主要標(biāo)準(zhǔn)的詳細(xì)介紹，讀者可初步了解信息安全風(fēng)險(xiǎn)評(píng)估的主要過(guò)程和參照標(biāo)準(zhǔn)。第4章介紹了博弈論的基本構(gòu)架，主要涉及博弈的構(gòu)成要素、博弈的表示方法以及博弈的分類(lèi)等。第5章分析風(fēng)險(xiǎn)事件實(shí)際發(fā)生過(guò)程中的博弈行為，通過(guò)隨機(jī)博弈網(wǎng)研究的整體框架來(lái)描述網(wǎng)絡(luò)安全行為過(guò)程，并在此基礎(chǔ)上提出了隨機(jī)博弈網(wǎng)的一系列建模和分析方法。第6章針對(duì)網(wǎng)絡(luò)系統(tǒng)安全評(píng)測(cè)的具體需求，構(gòu)建基于攻防模型的網(wǎng)絡(luò)攻防實(shí)驗(yàn)環(huán)境，提出基于攻防模型的安全分析技術(shù)，并將其應(yīng)用于實(shí)例，實(shí)現(xiàn)了對(duì)目標(biāo)網(wǎng)絡(luò)的快速建模及量化計(jì)算，以及對(duì)攻防過(guò)程的推演和分析。第7章將本書(shū)提出的隨機(jī)博弈網(wǎng)模型分析方法具體應(yīng)用于網(wǎng)絡(luò)的典型案例中，來(lái)檢驗(yàn)?zāi)Ｐ屠碚撗芯砍晒�的�?shí)用性，證實(shí)本書(shū)提出的分析方法可以被用于指導(dǎo)網(wǎng)絡(luò)系統(tǒng)以及設(shè)計(jì)與配置防御機(jī)制。第8章將隨機(jī)博弈網(wǎng)模型分析方法應(yīng)用于大數(shù)據(jù)環(huán)境下的數(shù)字供應(yīng)鏈信息安全風(fēng)險(xiǎn)評(píng)估。第9章提出利用隨機(jī)博弈網(wǎng)模型分析方法對(duì)企業(yè)云服務(wù)信息安全風(fēng)險(xiǎn)進(jìn)行評(píng)估。


在本書(shū)的編寫(xiě)和出版過(guò)程中，我得到了很多專(zhuān)家和學(xué)者的指導(dǎo)與幫助，在此表示由衷的感謝！感謝楊浩雄教授和孫永波教授促成了本書(shū)的出版。感謝北京工商大學(xué)電商與物流學(xué)院物流管理系的同事們給予了我大力的支持和幫助，并提出了很多寶貴的建議。感謝我的研究生們，趙宸、榮聚嶺、王銅、王子辰、楊如鈺等，在文獻(xiàn)整理、數(shù)值分析等方面付出了辛勤的勞動(dòng)。同時(shí)，感謝中國(guó)財(cái)富出版社有限公司的張茜編輯、黃正麗編輯、于名玨編輯和相關(guān)工作人員，為本書(shū)的出版付出了大量的勞動(dòng)。


本書(shū)的編寫(xiě)參考了大量的相關(guān)文獻(xiàn)，包括國(guó)內(nèi)外專(zhuān)家、學(xué)者的著作和論文等，我將這些文獻(xiàn)盡可能地列在了書(shū)后的參考文獻(xiàn)中，但難免會(huì)有遺漏，在此特向所有的作者表示最誠(chéng)摯的感謝。




作者

呂俊杰，博士，北京工商大學(xué)教授，博士生導(dǎo)師。主要研究方向：信息安全風(fēng)險(xiǎn)管理、供應(yīng)鏈與物流管理、在線消費(fèi)網(wǎng)絡(luò)分析等。在國(guó)內(nèi)外期刊上發(fā)表了30余篇論文，多篇文章被SCI 收錄；承擔(dān)并參與了省部級(jí)以上項(xiàng)目10余項(xiàng)、企事業(yè)單位委托課題10余項(xiàng)。


王元卓，博士，中國(guó)科學(xué)院計(jì)算技術(shù)研究所研究員，博士生導(dǎo)師，中科大數(shù)據(jù)研究院院長(zhǎng)，中國(guó)科普作家協(xié)會(huì)副理事長(zhǎng)，中國(guó)計(jì)算機(jī)學(xué)會(huì)常務(wù)理事。國(guó)家科技進(jìn)步二等獎(jiǎng)獲得者，被譽(yù)為2019年度“中國(guó)十大科學(xué)傳播人物”。


魯小凡，中國(guó)科學(xué)院大學(xué)經(jīng)濟(jì)與管理學(xué)院博士，北京市海淀區(qū)教育科學(xué)研究院教師，北京市骨干教師，北京市教育學(xué)會(huì)中小學(xué)教育文獻(xiàn)信息研究分會(huì)副理事長(zhǎng)，中國(guó)發(fā)明創(chuàng)造協(xié)會(huì)教育分會(huì)常務(wù)理事。曾獨(dú)立承擔(dān)北京市規(guī)劃課題2項(xiàng)、海淀區(qū)規(guī)劃課題3項(xiàng)，并發(fā)表文章40余篇。

目錄


第一部分基本概念 
1大數(shù)據(jù)環(huán)境下的信息安全
1��1大數(shù)據(jù)介紹
1��2大數(shù)據(jù)催生新應(yīng)用
1��3大數(shù)據(jù)環(huán)境下我國(guó)信息安全現(xiàn)狀
1��4本章小結(jié)
2信息安全風(fēng)險(xiǎn)管理流程
2��1基本概念
2��2信息安全風(fēng)險(xiǎn)管理的流程
2��3本章小結(jié)
第二部分信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)
3信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)
3��1ISO/IEC 27001 & ISO/IEC 27002
3��2ISO/IEC 15408（CC）
3��3OCTAVE
3��4SSE-CMM
3��5GB/T 20984
3��6GB/Z 24364
3��7GB/T 18336
3��8本章小結(jié)
第三部分信息安全風(fēng)險(xiǎn)評(píng)估模型
4博弈與隨機(jī)博弈
4��1博弈
4��2隨機(jī)博弈
4��3本章小結(jié)
5隨機(jī)博弈網(wǎng)
5��1基本概念與性質(zhì)
5��2模型建立方法
5��3效用描述方法
5��4均衡策略計(jì)算方法
5��5層次化分析方法
5��6基于隨機(jī)博弈網(wǎng)的安全性評(píng)價(jià)
5��7本章小結(jié)
6基于隨機(jī)博弈網(wǎng)的信息安全風(fēng)險(xiǎn)評(píng)估
6��1引言
6��2相關(guān)工作
6��3基于攻防模型的網(wǎng)絡(luò)攻防實(shí)驗(yàn)環(huán)境
6��4網(wǎng)絡(luò)安全攻防模型
6��5基于攻防模型的安全分析技術(shù)
6��6應(yīng)用實(shí)例與分析
6��7本章小結(jié)
第四部分應(yīng)用案例
7基于隨機(jī)博弈網(wǎng)模型的網(wǎng)絡(luò)安全分析
7��1企業(yè)網(wǎng)機(jī)密性與完整性分析
7��2企業(yè)網(wǎng)防御機(jī)制分析
7��3電子商務(wù)中的安全分析
7��4網(wǎng)上銀行中的安全分析
7��5本章小結(jié)




8大數(shù)據(jù)環(huán)境下數(shù)字供應(yīng)鏈信息安全風(fēng)險(xiǎn)評(píng)估
8��1數(shù)字供應(yīng)鏈基本概念介紹
8��2數(shù)字供應(yīng)鏈風(fēng)險(xiǎn)識(shí)別
8��3數(shù)字供應(yīng)鏈風(fēng)險(xiǎn)場(chǎng)景
8��4數(shù)字供應(yīng)鏈風(fēng)險(xiǎn)評(píng)估
8��5數(shù)字供應(yīng)鏈風(fēng)險(xiǎn)管理
8��6本章小結(jié)
9大數(shù)據(jù)環(huán)境下企業(yè)云服務(wù)信息安全風(fēng)險(xiǎn)評(píng)估
9��1企業(yè)云服務(wù)基本概念介紹
9��2企業(yè)云服務(wù)風(fēng)險(xiǎn)識(shí)別
9��3企業(yè)云服務(wù)虛擬化安全風(fēng)險(xiǎn)場(chǎng)景
9��4企業(yè)云服務(wù)虛擬化安全風(fēng)險(xiǎn)評(píng)估
9��5企業(yè)云服務(wù)隱私風(fēng)險(xiǎn)場(chǎng)景
9��6企業(yè)云服務(wù)隱私風(fēng)險(xiǎn)評(píng)估
9��7本章小結(jié)
參考文獻(xiàn)

創(chuàng)新點(diǎn)主要體現(xiàn)在以下幾個(gè)方面。


（1）介紹了大數(shù)據(jù)環(huán)境下我國(guó)信息安全現(xiàn)狀，描述了目前大數(shù)據(jù)的發(fā)展情況。不僅指出了由大數(shù)據(jù)的產(chǎn)生而催生出的“互聯(lián)網(wǎng)+”、在線物流、在線廣告、云計(jì)算等新的應(yīng)用領(lǐng)域，同時(shí)本書(shū)還對(duì)我國(guó)近幾年的大數(shù)據(jù)發(fā)展政策、信息安全發(fā)展情況及存在的信息安全問(wèn)題進(jìn)行了收集整理，明確了大數(shù)據(jù)在我國(guó)總體信息安全方面的重要性并認(rèn)識(shí)了其帶來(lái)的挑戰(zhàn)，進(jìn)一步分析了大數(shù)據(jù)環(huán)境下我國(guó)的信息安全發(fā)展總體情況。


（2）對(duì)信息安全風(fēng)險(xiǎn)管理的流程進(jìn)行介紹，并詳細(xì)說(shuō)明各風(fēng)險(xiǎn)要素及屬性間的關(guān)系，繼而開(kāi)展信息安全風(fēng)險(xiǎn)評(píng)估和管理。最后提出信息安全風(fēng)險(xiǎn)管理一般包括對(duì)象確立、風(fēng)險(xiǎn)評(píng)估、風(fēng)險(xiǎn)控制、審核批準(zhǔn)四個(gè)基本內(nèi)容，其思路充分體現(xiàn)了過(guò)程方法和持續(xù)改進(jìn)方法的特點(diǎn)，達(dá)成事前、事中、事后全程控制。


（3）介紹了七個(gè)國(guó)內(nèi)外具有代表性的信息安全風(fēng)險(xiǎn)評(píng)估標(biāo)準(zhǔn)和方法。國(guó)際標(biāo)準(zhǔn)有ISO/IEC 27001、ISO/IEC 27002、ISO/IEC 15408（CC）等。國(guó)內(nèi)標(biāo)準(zhǔn)有GB/T 20984、GB/Z 24364和GB/T 18336。通過(guò)對(duì)國(guó)內(nèi)外主要標(biāo)準(zhǔn)的詳細(xì)介紹，讀者可對(duì)信息安全風(fēng)險(xiǎn)評(píng)估的主要過(guò)程和參照標(biāo)準(zhǔn)有一個(gè)初步的了解。


（4）介紹博弈論的基本構(gòu)架，主要涉及博弈的構(gòu)成要素、博弈的表示方法以及博弈的分類(lèi)等。從而使讀者進(jìn)一步了解風(fēng)險(xiǎn)事件實(shí)際發(fā)生過(guò)程中的博弈行為，并通過(guò)隨機(jī)博弈網(wǎng)研究的整體框架來(lái)描述網(wǎng)絡(luò)安全行為過(guò)程，在此基礎(chǔ)上提出了隨機(jī)博弈網(wǎng)的一系列建模和分析方法�；�于隨機(jī)博弈網(wǎng)模型的計(jì)算結(jié)果，提出了通過(guò)網(wǎng)絡(luò)安全性的評(píng)價(jià)方法來(lái)分析網(wǎng)絡(luò)中的安全隱患，該結(jié)果為網(wǎng)絡(luò)信息系統(tǒng)中的容侵機(jī)制、策略的分析、設(shè)計(jì)與評(píng)估提供了科學(xué)的理論依據(jù)和指導(dǎo)。


（5）針對(duì)網(wǎng)絡(luò)系統(tǒng)安全評(píng)測(cè)的具體需求，構(gòu)建基于攻防模型的網(wǎng)絡(luò)攻防實(shí)驗(yàn)環(huán)境，提出基于攻防模型的安全分析技術(shù)，并將其應(yīng)用于實(shí)例，實(shí)現(xiàn)了對(duì)目標(biāo)網(wǎng)絡(luò)的快速建模及量化計(jì)算，以及對(duì)攻防過(guò)程的推演和分析。本書(shū)提出的隨機(jī)博弈網(wǎng)模型分析方法將具體應(yīng)用于網(wǎng)絡(luò)的典型案例中，從而檢驗(yàn)?zāi)Ｐ屠碚撗芯砍晒�的�?shí)用性，證實(shí)本書(shū)提出的分析方法可以被用于指導(dǎo)網(wǎng)絡(luò)系統(tǒng)以及設(shè)計(jì)與配置防御機(jī)制。


（6）將隨機(jī)博弈網(wǎng)方法應(yīng)用于大數(shù)據(jù)環(huán)境下的數(shù)字供應(yīng)鏈信息安全風(fēng)險(xiǎn)評(píng)估�？偨Y(jié)數(shù)字供應(yīng)鏈的特點(diǎn)和風(fēng)險(xiǎn)因素，對(duì)數(shù)字供應(yīng)鏈進(jìn)行風(fēng)險(xiǎn)識(shí)別，并以網(wǎng)絡(luò)拓?fù)涞姆绞竭M(jìn)行數(shù)字供應(yīng)鏈風(fēng)險(xiǎn)場(chǎng)景虛擬，利用隨機(jī)博弈網(wǎng)的方法構(gòu)建數(shù)字供應(yīng)鏈風(fēng)險(xiǎn)攻防模型，根據(jù)模型模擬結(jié)果及數(shù)字供應(yīng)鏈評(píng)價(jià)體系完成數(shù)字供應(yīng)鏈的風(fēng)險(xiǎn)評(píng)估工作。


（7）提出利用隨機(jī)博弈網(wǎng)方法對(duì)企業(yè)云服務(wù)信息安全風(fēng)險(xiǎn)進(jìn)行評(píng)估。在介紹云服務(wù)等基本概念的基礎(chǔ)上，結(jié)合企業(yè)云服務(wù)的應(yīng)用場(chǎng)景，給出企業(yè)云服務(wù)的應(yīng)用流程并進(jìn)行風(fēng)險(xiǎn)識(shí)別。對(duì)虛擬化安全風(fēng)險(xiǎn)和隱私風(fēng)險(xiǎn)這兩種主要風(fēng)險(xiǎn)因素進(jìn)行分析，并分別刻畫(huà)其風(fēng)險(xiǎn)場(chǎng)景，建立企業(yè)云服務(wù)虛擬化安全風(fēng)險(xiǎn)攻防模型和企業(yè)云服務(wù)隱私風(fēng)險(xiǎn)攻防模型。