試論利用EA建模加強機構信息安全風險管理(doc 15頁)

試論利用EA建模加強機構信息安全風險管理內容提要：
當前很多機構信息係統都普遍存在保護措施與其保護信息價值不匹配的情況,導致過度保護或保護不足。這種情況主要是源於安全目標與機構業務目標不完全符合、安全需求獲取不規範、難以判斷風險管理中是否應用了合適的安全控製以及成本是否平衡。對此,該文提出了在信息係統開發生命周期(information system develop-ment life cycle, SDLC)內利用機構體係結構(enterprise architecture, EA)這一管理工具進行安全目標分析、安全需求獲取、風險管理等,開發符合機構管理目標的安全信息係統,以加強機構的信息安全和風險管理。利用EA模型的方法能提供一種機構層麵的整體性安全描述和分析結果,在整個SDLC內為信息係統的安全開發和管理提供指導和依據,特別是在風險管理中,為進行安全控製選擇和成本平衡的決策提供了一個有效的判斷機製與依據。

..............................