孫成林　尚利

摘 要： 隨著信息技術(shù)的發(fā)展，信息系統(tǒng)面對的安全問題越來越突出，這引起了社會的廣泛關(guān)注。而對信息系統(tǒng)安全的風(fēng)險進行評價，是對信息系統(tǒng)安全保護的重要體現(xiàn)。首先對信息系統(tǒng)安全風(fēng)險評估涉及到的4個基本因素進行了闡發(fā)。雖然針對風(fēng)險評估的方法有很多種，但這里在構(gòu)建信息系統(tǒng)安全風(fēng)險評估指標的基礎(chǔ)上，運用層次分析法（AHP）和模糊綜合評判對風(fēng)險進行了有效評估，為信息系統(tǒng)安全風(fēng)險的管理決策提供了科學(xué)依據(jù)。

關(guān)鍵詞： 信息系統(tǒng)安全； 風(fēng)險評估； 指標體系； 風(fēng)險等級； 層次分析法

中圖分類號： TN915.08?34 文獻標識碼： A 文章編號： 1004?373X（2015）01?0087?03

Abstract： With the development of information technology， the security issues of information system become more and more serious， which have aroused widespread concern. Therefore， it is necessary to take risk assessment of information security. The 4 basic elements in risk assessment of information system security are analyzed. The risks are effectively assessed using analytic hierarchy process （AHP） and fuzzy comprehensive evaluation based on risk assessment index of information system security. It provides scientific basis for information system security management.

Keywords： information system security； risk assessment； index system； risk level； AHP

0 引 言

近年來，由于信息技術(shù)的快速發(fā)展和網(wǎng)絡(luò)在全世界范圍內(nèi)的普遍應(yīng)用，網(wǎng)絡(luò)與信息系統(tǒng)的穩(wěn)定運行被更多領(lǐng)域的業(yè)務(wù)實施所依賴，信息技術(shù)幾乎滲透到了社會生活的各方面。信息系統(tǒng)與它所承載的信息和服務(wù)在安全性方面是非常重要的，當(dāng)信息與服務(wù)的保密性、完整性和可用性發(fā)生問題時，會讓組織機構(gòu)產(chǎn)生不利的影響，因此對信息系統(tǒng)安全的需求逐漸受到廣大信息安全人員的特別重視。在2007年公布的國家標準《信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范》[1]GB/T20984?2007 中定義信息安全風(fēng)險評估是根據(jù)有關(guān)信息安全技術(shù)與管理標準，對信息系統(tǒng)和由其處理、傳輸和存儲的信息的機密性、完整性和可用性等安全屬性進行評估的過程。信息系統(tǒng)面臨的風(fēng)險因素不但多而且很復(fù)雜，同時對信息和信息系統(tǒng)的危害程度也存在很大的不同。因此，為了給我國信息化的建設(shè)與信息安全的發(fā)展戰(zhàn)略帶來深遠影響，鉆研一套先進的、可行的、科學(xué)的信息系統(tǒng)安全風(fēng)險分析與評價方法是很有必要的。

根據(jù)信息系統(tǒng)安全風(fēng)險的評估可以知道信息安全所處的環(huán)境和狀況，進而采取相關(guān)措施來提高信息系統(tǒng)安全的保證能力。本研究在對相關(guān)文獻進行查閱的基礎(chǔ)上，提出了信息系統(tǒng)安全風(fēng)險評估的指標體系，并采用層次分析法和模糊綜合評判，構(gòu)建信息系統(tǒng)安全風(fēng)險評估層次結(jié)構(gòu)模型，以提高對風(fēng)險評估的有效性。

1 信息系統(tǒng)安全風(fēng)險的影響因素分析

在對信息系統(tǒng)進行風(fēng)險評估時，首先要對信息系統(tǒng)的風(fēng)險進行分析[1]。在對信息安全風(fēng)險進行分析時，需要考慮資產(chǎn)、威脅、脆弱性和已有安全措施4個根本因素。

1.1 信息資產(chǎn)評估

信息資產(chǎn)的評估由兩部分組成，即識別信息資產(chǎn)和對資產(chǎn)的價值進行估算。識別信息資產(chǎn)是在對信息系統(tǒng)和所涉及的物理資產(chǎn)、軟件資產(chǎn)和數(shù)據(jù)資產(chǎn)等進行識別的基礎(chǔ)上，并給出清單。對資產(chǎn)價值的估算，即對所涉及的信息資產(chǎn)的價值進行估計，這里主要的是考慮資產(chǎn)的重要性，而資產(chǎn)的賬面價值并不是顯得那么重要。在信息資產(chǎn)的評估中，要特別關(guān)注關(guān)鍵資產(chǎn)。關(guān)鍵資產(chǎn)是資產(chǎn)中對系統(tǒng)影響最大的資產(chǎn)。信息系統(tǒng)的關(guān)鍵資產(chǎn)擁有統(tǒng)一的信息平臺、綜合決策指揮系統(tǒng)、信息、數(shù)據(jù)庫、網(wǎng)絡(luò)基礎(chǔ)設(shè)施及網(wǎng)絡(luò)安全設(shè)施、人等。在資產(chǎn)中，主要集中在保密性、完整性和可用性三部分。

1.2 威脅評估

互聯(lián)網(wǎng)的全球性、開放性等的優(yōu)點，在為人們提供很多方便的同時，也給信息系統(tǒng)的安全帶來很大威脅。威脅可能是人們故意的，或者可能是偶然的事件，也有可能是對系統(tǒng)進行的攻擊。威脅，通過組織的資產(chǎn)引起不希望發(fā)生的事件進而給信息安全造成損害的一種潛在的可能性。對信息資產(chǎn)可能受到的危害進行的評估稱為威脅評估。因為每一項資產(chǎn)很有可能同時面臨多種威脅，并且每種威脅利用了資產(chǎn)自身的脆弱性從而發(fā)揮不利的影響。而造成信息安全威脅的，不但有環(huán)境因素，還有人為因素。因此，需要對于每項資產(chǎn)都要做威脅識別，特別是針對關(guān)鍵資產(chǎn)。

1.3 脆弱性評估

脆弱性評估就是通過各種測試方法最終得到信息資產(chǎn)中的弱點和不足，是信息系統(tǒng)風(fēng)險評估中最重要的部分。資產(chǎn)的脆弱性由技術(shù)脆弱性和管理脆弱性兩個部分組成[2]。即使在建設(shè)信息系統(tǒng)時，采取了相當(dāng)好的安全功能和保證措施，也不能說明信息系統(tǒng)中的信息安全不存脆弱點。這些弱點和不足的存在很有可能導(dǎo)致信息資產(chǎn)的泄密、非法訪問、不能使用或失控的現(xiàn)象。只有當(dāng)進行脆弱性評估時，可以有效地降低脆弱性和提高抗攻擊能力。通過脆弱性評價主要是為了識別和分析信息系統(tǒng)的脆弱性，從而發(fā)現(xiàn)信息系統(tǒng)中比較弱的環(huán)節(jié)，以便為制定安全策略和采取控制措施提供理論依據(jù)。

1.4 安全措施

信息系統(tǒng)的安全建立在對風(fēng)險的規(guī)避上，需要采取一定的安全措施來保證信息的安全。安全措施是用來減少風(fēng)險的控制或?qū)Σ撸@些風(fēng)險和特定的威脅或者一組威脅相關(guān)。只有在全面、正確認識風(fēng)險后，才能做出正確的判斷，以便在控制風(fēng)險和降低風(fēng)險之間進行權(quán)衡。同時通過安全措施對資產(chǎn)進行保護和對脆弱性進行彌補，從而達到降低風(fēng)險的效果。安全措施由預(yù)防性的安全措施與保護性的措施兩個方面組成。預(yù)防性措施，可以用來減少漏洞與可能發(fā)生的威脅。保護性安全措施能夠降低因為威脅從而所造成的影響[3]。

2 信息系統(tǒng)安全風(fēng)險評估指標體系的構(gòu)建及權(quán)

重的確定

采用層次分析法（AHP）構(gòu)建信息安全的評價指標體系，從而對其風(fēng)險進行綜合評價。運用AHP評價信息安全風(fēng)險最主要的是評價在信息安全風(fēng)險中所涉及要素之間的相對重要性權(quán)數(shù)，并對各因素權(quán)重排序，做橫向比較，為信息安全風(fēng)險采取相關(guān)措施提供有效的依據(jù)。在信息系統(tǒng)安全風(fēng)險評價中，運用層次分析法和模糊綜合評判進行評估擁有很強的有效性。

下面以具體實例對信息系統(tǒng)安全風(fēng)險進行評價。信息安全風(fēng)險分析包括對4個要素的識別，并且每個要素又有多個子要素。為了顯示信息風(fēng)險評估的重要方面，對指標體系進行了適當(dāng)?shù)暮喕?。包括資產(chǎn)、威脅、脆弱性、安全措施4個評價指標體系，該指標體系主要包括目標層，準則層，指標層。

對江蘇某大學(xué)的一個網(wǎng)站系統(tǒng)進行信息安全風(fēng)險評估。該網(wǎng)站服務(wù)器的IP地址為192.168.2.200，應(yīng)用所構(gòu)建的指標系對系統(tǒng)的信息安全進行評估。邀請了數(shù)位相關(guān)專家依據(jù)因素間的相互重要程度的大小進行打分，并通過幾何平均法進行整理，得出某一層對上一層相對影響排序的成對的比較矩陣。

在正互反矩陣中，如果出現(xiàn)[aik?akj=aij，]那么該矩陣為一致陣。在上面的判斷矩陣[A]中，[a21?a13≠a23，]所以該矩陣不是一致陣。在非一致陣上，通常采用矩陣最大特征根所對應(yīng)的歸一化特征向量作為權(quán)向量[W。]通過計算對比矩陣[A]的最大特征值[λ=]4.000 9，該特征值所對應(yīng)的歸一化向量[W=][0.414 2，0.132 3，0.258 7，0.194 8]T。接下來通過計算一致性指標CI值的大小，來判別矩陣的一致性，它的公式為：[CI=（λmax-n）（n-1）。]此時的特征值為最大值，[n]是矩陣的階數(shù)。根據(jù)矩陣[A]計算可得[CI=（4.000 9-4）（4-1）=0.000 3。] 一致性比率與矩陣隨機平均一致性指標RI的值有關(guān)，它的值與矩陣階數(shù)有關(guān)。當(dāng)階數(shù)[n=4]時，RI=0.9。通常來說，當(dāng)一致性比率：[CR=CIRI<0.1]時，就能夠判斷矩陣的不一致度在可允許范圍以內(nèi)，同時它的最大特征值所對應(yīng)的歸一化特征向量作為權(quán)向量，不然就要對矩陣[A]進行調(diào)整，重新構(gòu)造成對比較矩陣。依據(jù)以上數(shù)據(jù)可得矩陣[A]對應(yīng)的[CR=0.000 30.9=]0.000 33<0.1，所以，最大特征值對應(yīng)的歸一化向量[W]可以作為準則層對目標層的權(quán)重。

用同樣方法計算出各指標層對相應(yīng)準則層的權(quán)重，并通過了各指標層對準則層的一致性比率的驗證。綜合準則層及指標層的權(quán)值，信息安全風(fēng)險綜合評價指標的總排序權(quán)值見表1。

通過計算得到準則層指標的相對權(quán)重和其排序，并通過調(diào)查問卷，請25位專家對各指標的權(quán)重進行評判和對某等級評價的次數(shù)。通過整理如表2所示。

準則層各指標所對應(yīng)權(quán)重構(gòu)成的矩陣[W=][0.414 20.132 30.258 70.194 8，]因此最后總的模糊綜合評價結(jié)果為[B=W?R=][0.11，0.14，0.31，0.41，0.17] 。按照所計算的結(jié)果，五個數(shù)值中最大的值是 0.41，根據(jù)判斷等級來看，是“中”。因此，按照最大隸屬度的原則，可以認為江蘇某高校網(wǎng)站的信息安全風(fēng)險的評估等級屬于“中”。

3 結(jié) 語

在對信息系統(tǒng)安全風(fēng)險評估中，采用層次分析法與模糊綜合評判，很好地解決了對于在定性指標定量評估中所遇到的困難。該方法在信息系統(tǒng)安全風(fēng)險評估與等級劃分的實際應(yīng)用中很有效，操作性也很強。不僅能夠計算出要素之間的相對風(fēng)險程度和信息網(wǎng)絡(luò)系統(tǒng)所處的風(fēng)險等級，而且還可以提高對其風(fēng)險的認識，以便可以在風(fēng)險方面做出正確的判斷，達到控制并降低風(fēng)險的效果。同時通過對因素的重要性進行排序，不僅能找到信息系統(tǒng)安全的薄弱部分，還可以根據(jù)這點對安全性措施進行改善，使其在保護信息系統(tǒng)的安全性方面更有效。

參考文獻

[1] 全國信息安全標準化技術(shù)委員會. GB/T 20984?2007 信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范[S].北京：中華人民共和國國家質(zhì)量監(jiān)督檢驗檢疫總局，2007.

[2]張立濤，應(yīng)力，錢省三.信息安全風(fēng)險評估中若干操作問題的研究[J].山東理工大學(xué)學(xué)報：自然科學(xué)版，2006，20（1）：79?83.

[3]王標，胡勇，戴宗坤.風(fēng)險評估要素關(guān)系模型的改進[J].四川大學(xué)學(xué)報：工程科學(xué)版，2005，37（3）：110?114.

[4] 王偉，李春平，李建彬.信息系統(tǒng)風(fēng)險評估方法的研究[J].計算機工程與設(shè)計，2007，28（14）：3473?3474.

[5] JONES J A. An introduction to factor analysis of information risk （FAIR） [R]. [S.l.]： [s.n.]， 2005.

[6] 張澤虹，趙冬梅.信息安全管理與風(fēng)險評估[M].北京：電子工業(yè)出版社，2010.

[7] 韓利，梅強，陸玉梅，等.AHP?模糊綜合評價方法的分析與研究[J].中國安全科學(xué)學(xué)報，2004，14（7）：86?89.

[8] 吳亞非，李新友，祿凱，等.信息安全風(fēng)險評估[M].北京：清華大學(xué)出版社，2007.

[9] GLEASON J M. Fuzzy set compudetational processes in risk analysis [J]. IEEE Transactions on Engineering Management， 1991， 38（2）： 177?178.

[10] 李鶴田，劉云，何德全.信息系統(tǒng)安全風(fēng)險評估研究綜述[J].中國安全科學(xué)學(xué)報，2006（1）：108?113.