一種信息系統安全風險的灰色模糊綜合評估方法＊

羅 佳，楊世平

(1.貴州大學 計算機科學與信息學院，貴州 貴陽 550025；2.貴州大學 明德學院，貴州 貴陽 550004)

隨著信息技術的飛速發展，來自信息領域，網絡世界的威脅頻繁出現，信息系統及所承載的信息和服務的安全性變得尤為重要。信息和信息服務在保密性、完整性、可用性等方面出現漏洞都將給組織帶來不同程度的影響。開展信息安全風險評估，對網絡和信息系統的資產價值、潛在的安全威脅、薄弱環節進行分析，可以做到心中有數，可以發現信息系統中存在的主要安全問題，并找到解決這些問題的方法，有針對性地進行管理。通過識別分析信息系統風險要素的相互關系和層次結構，建立一種信息系統灰色模糊多層風險綜合評估模型。利用專家評判法構造系統風險要素指標評判樣本矩陣，確立風險評價灰類的等級數、灰類的灰數及白化權函數，通過灰色統計法計算出灰色評價權矩陣，即模糊綜合評判矩陣。通過模糊綜合評判法量化評估系統資產面臨威脅發生的可能性及威脅利用脆弱性產生的后果，以此量化系統資產及系統面臨的風險，該方法可以減少評估的主觀性。

1信息安全風險評估方法

目前國內外存在很多風險評估的方法，但還沒有統一的信息安全風險分析的方法。從計算方法上分為定性分析方法、定量分析方法、定性與定量相結合的分析方法[1-2]。

1.1定量評估方法

定量評估方法是指運用數量指標對風險進行評估，定量分析方法的優點是用直觀的數據來表述評估的結果，看起來一目了然，而且比較客觀。但也常常為了量化，容易簡單化、模糊化，會造成誤解和曲解。而且由于數據統計缺乏長期性，計算過程又容易出錯，所以定量分析的細化非常困難。

1.2定性評估方法

定性分析方法主要依據研究者的知識、經驗、歷史教訓、政策走向及特殊變例等非量化資料對系統風險狀況做出判斷。典型的定性分析方法有德爾菲法、矩陣法等。定性分析方法的優點是避免了定量分析方法的缺點，可以挖掘出一些蘊藏很深的思想，使評估的結論更全面深刻，但它的缺點也顯而易見，即主觀性強，對評估者要求很高。

1.3定性與定量結合的評估方法

信息系統風險評估是個復雜的過程，需要考慮的因素很多，有些評估要素是可以用量化的形式來表達，而對有些要素的量化又是很困難甚至是不可能的。定量分析是定性分析的基礎和前提，定性分析應該建立在定量分析的基礎上，不能將定性分析方法與定量分析方法簡單地割裂開來，而是將這兩種方法結合起來，采用綜合分析方法。主要的綜合分析方法有層次分析法、概率風險評估和模糊綜合評價法等。

2 信息安全風險評估的計算方法[3]

風險是威脅發生的可能性，是薄弱點被威脅利用的概率潛在的函數 ，R=R(A，T，V)=R(L(T，V)，P(Ia，Va))其中A為資產；T為威脅；V為脆弱性；Ia為資產的重要程度；Va為資產的脆弱性；L(T，V)為威脅利用資產脆弱性的可能性；P(Ia，Va)為作用的資產價值及其脆弱性的嚴重程度[3]，風險計算原理如圖1所示。

圖1 風險計算原理圖

3信息系統安全風險的模糊綜合評判模型

3.1信息安全風險要素關系

信息安全風險評估是圍繞著資產、脆弱性和威脅展開的。通過信息安全風險要素關系圖可知，風險是潛在的安全事件發生的可能性和后果，評估量化風險，就是量化安全事件發生的可能性和后果。在應用灰色綜合評估方法評估信息系統的風險時，應先建立信息系統風險評估指標體系，通過對信息系統的風險本質進行分析，可建立風險評估指標體系[4]，信息安全風險評估指標體系如表1所示。

3.2確立評價指標集

設評價因素集 u={u1，u2，…，un}，根據所建立的評估指 標 體 系 ， 第 一 級 評 價 指 標 為 ：{u1，u2，u3，u4，u5，u6}， 第二 級 指 標 為 ：u1={u11，u12，u13，u14，u15，u16}，u2={u21，u22}，u3={u31，u32}，u4={u41，u42，u43}，u5={u51，u52，u53}，u6={u61，u62}。

表1 信息安全風險評估指標體系

3.3 評判指標權重的確立[5]

在多層次評估中，各個評估指標的重要程度通常是不同的，權重的確定是否合理、科學，直接影響著評價的準確性。權重的構造通過AHP法來確定。可以將人的主觀判斷用數量形式表達和處理，可以同時處理可定量和不易定量因素，也可以提示人們對問題的主觀判斷是否一致。可分為4個步驟：(1)建立問題的遞階層次結構；(2)構造兩兩比較判斷矩陣；(3)由判斷矩陣計算被比較元素的相對權重；(4)計算各層元的組合權重。先對第二層次的要素以第一層為準則進行兩兩比較并根據評定尺度確定其相對重要度，建立判斷矩陣：

其中，n為判斷矩陣的階數。當CI＜0.1時，表明矩陣一致性成立，各項權重無邏輯錯誤。通過AHP法可以計算出一級指標，二級指標權重向量。

3.4 信息系統風險評價等級和評分標準[6]

按照《GB/T 20984-2007信息安全技術信息安全風險評估規范》的要求，結合安全保護等級的分級和國際危機管理的分級慣例，將風險的評價等級分為五級，即很高、高、中、低、很低，為將定性指標轉換為定量指標，應相應地對各個指標賦值。按照5分制原則確定各等級的賦分，則 5 個評定等級分數分別為 5、4、3、2、1，指標等級介于兩者之間的相應的評分為 4.5、3.5、2.5、1.5、0.5各值。

3.5 評價樣本矩陣及評價灰類的確定[7]

3.5.1評價樣本矩陣的確定

設有n位專家參與評價，dti表示第t位專家對第i=(1，2，…，m)個指標給出的評分，這樣全部專家對評價指標的評價數據構成評價樣本矩陣：

3.5.2確定評價灰類

由于專家水平的局限性及認識角度上的差異，只能給出一個灰數的白化值。為了真正反映屬于某類的程度，需要確定評價灰類，即：要確定評價灰類的等級數、灰類的灰數及白化權函數。評價灰類要根據評價等級，通過定性分析確定。這里設有5個評價灰類分別是很高、高、中、低、很低。第 1 類：j=1，?∈[5，∞)，第 2 類：j=2，?∈(0，4，8)，第 3 類：j=3，?∈(0，3，6)，第 4 類：j=4，?∈(0，2，4)，第 5 類：j=5，?∈(0，1，2)。 以灰類的樣本dij為橫坐標，以灰數確認度f為縱坐標的最少信息圖像，稱為灰類的白化權函數，各類的白化權函數分別設為：f1(dti)，f2(dti)，f3(dti)，f4(dti)，f5(dti)，根 據 白 化 權 函 數 定 義可設5個白化權函數分別為：

3.6計算灰色評價系數

3.7 綜合計算灰色模糊評價結果[8]

信息系統風險是安全事件發生概率及其后果的函數，若已知安全事件發生概率及后果的函數，則關于風險的計算為：

可求得風險值：R=Lp×Lc。

灰色模糊綜合評判法是將灰色理論與模糊綜合評價法結合起來，并將定性與定量計算相結合的一種方法。由于信息系統風險的灰色模糊性，通過識別分析信息系統風險要素的相互關系和層次結構，建立一種信息系統灰色模糊多層風險綜合評估模型，量化評估系統資產面臨安全事件發生的可能性及安全事件發生產生的后果，該方法可以減少評估的主觀性，使系統風險量化評估結果更客觀，從而采取相應的措施來降低風險，使風險降低到一個可接受的水平。

[1]范紅，馮登國，吳亞非.信息安全風險評估方法與應用[M].北京：清華大學出版社，2006.

[2]王英梅，王勝開，程湘云.信息安全風險評估[M].北京：電子工業出版社，2007.

[3]吳亞非，李新友，祿凱.信息安全風險評估[M].北京：清華大學出版社，2006.

[4]胡勇.信息系統風險量化評估指標體系[J].四川大學學報(自然科學版)，2006，43(5)：1048-1052.

[5]史簡，郭山清，謝立.一種實時的信息安全風險評估方法[J].計 算 機 工 程 與 應 用 ，2006(1)：109-110.

[6]馮建湘，唐嶸，王雙維.軟件質量的灰色關聯分析及其應用[J].計算機工程，2004，30(9)：91-92.

[7]劉思峰，方志耕.灰色系統理論及其應用[M].北京：科學出版，1991.

[8]梁保松，曹殿立．模糊數學及其應用[M].北京：科學出版社，2007．

[9]范紅，馮登國.信息安全風險評估實施教程[M].北京：清華大學出版，2006.