信息系統“風險熵”計算模型的研究

〔摘 要〕本文基于“熵”的相關理論，從“熵”的角度考慮研究信息系統風險評估定量分析方法，提出信息系統“風險熵”這一概念，依據“熵”的不同定義及應用原理，分別構建兩種信息系統“風險熵”計算模型，旨在能量化信息系統安全狀況。

〔關鍵詞〕信息系統；風險評估；熵；信息系統風險熵

ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１００８－０８２１．２０１１．１２．００８

〔中圖分類號〕Ｇ２０３ 〔文獻標識碼〕Ａ 〔文章編號〕１００８－０８２１（２０１１）１２－００３０－０４

Research of Computational Models of Information System“Risk Entropy”Fan Jianhua Zhao Wen

（International Business School，Shanxi Normal University，Xian 710062，China）

〔Ａｂｓｔｒａｃｔ〕Based on the theories of the“entropy”，this article researched the quantitative analysis of information system risk assessment in the view of“entropy”，proposed the concept of“risk entropy”and built two kinds computational models of information system“risk entropy”，which could give quantitative assessment about the safe of the information system.

〔Ｋｅｙ ｗｏｒｄｓ〕information system;risk assessment;entropy;information system risk entropy

隨著信息化在全球的快速發展，世界對信息的需求快速增長，信息的傳遞、交流和共享已成為現代科技和經濟發展的重要前提，信息產品和信息服務對于各個國家、地區、企業、單位、家庭、個人都不可缺少，信息技術也已成為支撐當今經濟活動和社會生活的基石，然而就在整個信息化不斷深入發展、信息網絡技術為人們不斷帶來驚喜的同時，信息安全所導致的問題也在日益突出，逐漸升級。一方面，已為各類社會組織帶來了前所未有的威脅與破壞。另一方面，迫使計算機信息系統的安全狀況不斷面臨著日趨復雜的挑戰。本文針對當前分析解決信息系統安全問題有效方法之一的信息安全風險評估，在其已有的多種定性、定量分析方法基礎之上考慮用“熵”來對信息系統安全問題再做新視角的定量分析。

１ 信息系統安全研究現狀

為了加強信息系統的安全性，不少科研技術人員，管理人員從技術手段及管理措施都對信息系統做出了相應的努力，也取得了不少成果。

對信息系統安全模型研究較為典型的有：BLP模型：它是專門針對軍方需求設計的訪問控制模型，也是最早的和迄今為止最為常用的安全模型。Bita模型：該模型用完整性等級取代了BLP模型中的安全等級，用一個結構化網絡來表示授權用戶和提供用戶類型級別的劃分。這些屬性可以防止非授權用戶的修改。對信息系統安全技術手段研究較為典型的有：加解密算法，安全協議和安全防護技術等。除此之外，各國許多專家在信息系統安全評估這一重要研究領域，經過多年研究，也已形成了廣泛接受，普遍適用的標準和評估細則。

然而正如引言所述，伴隨著科技的飛速發展，計算機技術不斷的創新升級，信息系統的安全問題勢必愈演愈烈，這就需要我們盡可能的從多方面多角度去觀察問題，描述問題，繼而解決問題。

２ 熵理論

熵作為一個概念，在希臘文中的字義是發展演化。從對熵概念的研究歷史來看，熵是由1865年由德國物理學家克勞休斯（K.Clausius）在熱之唯動說一書中，為了將熱力學第二定律格式化而提出的。他發現，熵（S）是一個狀態函數，用它可以表征熱力學第二定律：

ｄＳ＝ｄＱ／Ｔ

ｄｓ０

上式表明：在孤立系統中，不可逆過程使熵值增加，可逆過程則熵值不變，即為著名的熵增加原理。

除此之外，對熵的認識理解還有兩種主要思路，一種是來自統計力學。1870年玻爾茲曼（L.Boltzmann）研究發現某物質系統的微觀單元的運動狀態共有Ω種，那么該物質系統的ｌｎΩ與熱力學熵S成正比。由此提出：熵是形容分子運動的無序程度和混亂程度的狀態量。公式表示為：

Ｓ＝ＫｌｎΩ

另一種是來自信息論［１－２］。香農（C.E.Shannon）在1948年將熱力學熵引進信息論，在信息論中，熵表示的是不確定性的量度。一個系統X的信息量大小H（即信息熵）與該系統的狀態概率P緊密聯系在一起。若該系統由狀態集｛ａ１，ａ２，…，ａｎ｝組成，每個狀態對應的概率分別為ｐ１，ｐ２，…，ｐｎ，且∑ｎｉ＝１ｐｉ＝１。則系統X的信息熵為：

Ｈ［Ｘ］＝Ｈ（ｐ１，ｐ２，…，ｐｎ）＝ｋ∑ｎｉ＝１ＰｉｌｎＰｉ

在自然科學和社會科學的各個領域中存在著大量的不同層次不同類別的隨機事件的集合，由于熵對不確定性和無序度的描述可以不受各個學科內容的限制，因此熵概念能夠廣泛應用于眾多學科［３］。如在物理學領域有量子熵、黑洞熵等；在化學領域有電離熵、遷移熵等；在數學領域有拓撲熵、樣本熵等等［４］。

信息系統“風險熵”計算模型的研究３ 信息系統“風險熵”模型的構建

３.１ 信息系統“風險熵”的提出

在參考了上述對熵的不同認識理解以及將熵應用于眾多學科，定義出多種熵學科的基礎上，本文結合熵原理對信息系統提出“風險熵”的概念和定義，同時構建并分析研究不同角度下的信息系統“風險熵”模型。

３.２ 基于“系統狀態豐富程度”的信息系統“風險熵”模型３.２.１ 模型的引入

從對熵理論的3種成功認識思路中可以看出［５］，雖然它們彼此對應用熵理論的原理不一樣，但是在分析中也有一個共同點，即都涉及對象的狀態。不妨認為熵就是計量狀態的標尺。所謂狀態的多少具體是說狀態的豐富程度。一個系統內部的狀態越多也就是狀態越豐富、越復雜。反之，狀態越少就是狀態越不豐富、越簡單，越單調。

豐富程度這個詞在科學中較為嚴格，但通俗一些而又不歪曲本質的提法是復雜程度。這樣就把熵直接理解為物質系統的狀態的豐富程度或稱為復雜程度的度量。由此這里定義信息系統“風險熵”為對信息系統面臨風險的狀態豐富程度的度量。

根據風險的產生來考慮，只有系統資產本身的脆弱性面臨與之相對應的威脅時，才能構成風險。在這里考慮構建風險熵模型就是找資產脆弱性和威脅的對應關系。這種判斷等同于已有風險評估方法里求風險值。即假設某資產為Ａ１，它面臨2個威脅，其威脅發生頻率值分別為Ｔ１和Ｔ２，Ｔ１可以利用Ａ１存在的2個脆弱性，分別為Ｖ１和Ｖ２；Ｔ２可以利用用Ａ１存在的3個脆弱性，分別為Ｖ３、Ｖ４和Ｖ５，因此資產Ａ１面臨的風險值共有5個。

３.２.２ 模型的定義與計算

根據上述的解釋，構架信息系統“風險熵”數量化模型如下：

Ｈｉ＝ｃｌｎΩｉ①

其中，Ωｉ＝ｆ（Ｖｉ，Ｔｉ），（i=1，2，3…n）

Ωｉ為某信息資產的風險態個數，其數值由威脅與脆弱性決定；

C是一個比例常數；

Ｖｉ是信息資產存在的脆弱性個數；

Ｔｉ是信息資產面臨的威脅個數。

３.２.３ 模型的分析

客觀地說，信息系統之間如果不發生信息的交流，傳遞，即它處于一種相對的靜態時，它所面臨的風險會低于信息在各個信息系統之間交流、傳遞時的狀態，從極限角度分析此模型存在兩個極限狀態值。

H=0：信息系統處于相對靜態，即各實體資產處于無用狀態。

H=ＨＭＡＸ：信息系統處于相對動態，即各資產處在應用當中，同時信息系統處于裸保護。

為了方便對此模型的理解，現選取某公司信息系統的“物理環境”為要評估的資產，對其所面臨的威脅及自身脆弱性識別列舉如下圖１：

威脅脆弱性 斷電靜電灰塵潮濕溫度鼠疫蟲害電磁干擾洪災火災地震雷擊機房場地機房防火機房供配電機房防靜電機房接地與防雷電磁防護通信線路的保護機房區域的防護機房設備圖１ “物理環境”面臨的威脅與自身脆弱性對應關系圖

圖１中連線表示左側威脅與右側脆弱性相對應的關系，可以看出“物理環境”的Ω＝ｆ（Ｖ，Ｔ）＝１４，Ｈ＝ＣｌｎΩ＝Ｃｌｎ１４＝３Ｃ。因為Ｃ是比例常數，可以根據不同的信息系統需要確定數值，由此可計算出信息系統里每一個需要評估的信息資產的風險熵值。由熵的基本原理知道，信息系統內某資產熵值越大，即其所呈現“風險態”的豐富程度就越高，相比其它資產來說越危險，從做好信息系統安全管理的角度來看，可依據此模型求出的風險熵值高低有主次的采取相應保護措施降低信息系統內熵值高的資產，將資產的風險弱化，故而達到降低信息系統風險目的。

這種模型要求計算出需要判別的信息資產的風險熵值，而熵值計算的模型中需要識別列舉所關注信息資產面臨的威脅和自身脆弱性，而目前在信息安全管理研究進展中，威脅的窮舉是個暫時還未解決的難題，導致該模型公式計算信息系統風險熵集中表現在對信息資產的主要風險態的豐富程度做到定量計算，不能窮盡資產的所有風險態，自然計算結果并非完全精確。所以只有對信息系統資產面臨的威脅和自身脆弱性認識越全面詳盡，其“風險熵”計算結果越能準確反映該資產“風險態”的豐富程度，繼而為后續信息系統的安全管理提供更可靠依據。

３.３ 基于“信息系統損失分析數量度量”的信息系統“風險熵”模型 與上述的信息系統“風險熵”模型的含義理解不同的是，以下建立的信息系統的“風險熵”模型是從另一角度研究的。即構建數量化模型力求計算出信息系統內實體資產與信息資產的熵值，旨在對信息系統遭遇風險的損失有個數量度量。

３.３.１ 信息系統安全的考量因素

有文獻［６］定義信息系統是指用于采集、處理、存儲、傳輸、分布和部署信息的整個基礎設施、組織結構、人員和組件的總和。其基本構成元素如下：計算機硬件、軟件、網絡、人員和信息流程。這些元素彼此合作，為組織的運營和管理提供有價值的信息，因此信息系統的安全性分析是基于上述元素以及其提供信息的綜合分析。

從信息安全的屬性來看，被學術界普遍認可的是信息安全金三角CIA的框架，而與CIA三元組相反的是DAD三元組的概念，即泄漏（Disclosure）、篡改（Alteration）和破壞（Destruction），實際上DAD就是信息安全面臨的最普遍的3類風險，是信息安全實踐活動最終應該解決的問題［７］。

文獻［８］對信息系統安全的定義：信息系統安全是指確保信息系統結構安全、與信息系統相關的元素安全以及與此相關的各項安全技術、安全服務和安全管理的總和。由此分析信息系統的安全從以下兩項內容考慮：（1）信息系統各實體資產安全；（2）信息系統所傳遞的信息安全。

３.３.２ 模型的定義與計算

在有了前述對“熵”、信息系統安全相關考量因素的認識理解后，從計算信息系統遭遇風險損失后的數量表征結果出發，構建信息系統“風險熵”計算模型，以定期時間為檢測單位，對信息系統安全所涉及的對象分別計算出“風險熵”值，用數量結果分析信息系統遭遇風險損失情況，為信息系統安全管理的后續研究提供某些數量化參考對象，提高信息系統安全管理工作效率。

在此模型中，一個相對完整的信息系統“風險熵”從構成來講包括：信息系統實體資產風險熵：ＳＡ和信息系統信息風險熵：ＳＲ。同時定義信息系統資產風險熵是指對信息系統中信息實體資產發生風險導致安全損益的度量；信息系統風險熵是對信息系統中的信息遭遇的最普遍的3類風險的影響的度量。

其中ＳＡ、ＳＲ計算公式分別如下：

ＳＡ：信息系統實體資產風險熵

ＳＡ＝∑ｎｉ＝１ｄｌｉ／ｐ②

ｄｌｉ：信息系統各信息資產的損益比，其中ｄｌｉ＝ｖｉ／ｃｉ，ｖｉ為信息系統實體資產的意義價值，ｃｉ為信息系統實體資產的實際購買價值。

P：信息系統中實體資產抵御風險最低防護能力等級。

對②式的含義理解如下：分子、分母分別代表廣延量和強度量，即廣延量與強度量之比得廣義熵，由于廣義熵具有勢函數的品格，故可作為系統的判據。（廣延量：整體的值是2個或2個以上部分值的和，如：長度 ；強度量：整體和部分相同，如：壓強）。例如信息系統中實體資產“液晶顯示器”的購買價格為1 000元，它的意義價值為200元（在信息系統的運作中，液晶顯示器不能正常工作并不影響硬盤里的數據信息，故其意義價值低于出售價格），損益比ｄｌ１＝0.2，ｐ的取值決定于信息系統實體資產中防護能力最弱的資產，即信息系統的防護能力由防護能力最弱的資產定。依據相對取值的原理：一個信息系統當中總有抵御風險能力最薄弱的實體資產，這個薄弱處資產的取值在本信息系統中量化取1，即②式中的P值為1。

ＳＲ：信息系統信息風險熵

ＳＲ＝∑ｎｉ＝１ｐ（ｘｉ）ｌｏｇ１ｐ（ｘｉ）＝－∑ｎｉ＝１ｐ（ｘｉ）ｌｏｇｐ（ｘｉ） （ｉ＝１，２，３）③

③式中，令Ｂ（ｘ１，ｘ２，ｘ３）為信息系統中信息可能遭遇的3類風險，其中ｘｉ為對應某類風險的相關信息，Ｐ（ｘｉ）是關于此類風險的相關信息的確知度，在實際信息系統計算應用時，Ｐ（ｘｉ）是信息在一定時間內發生上述3類風險的統計概率值，且Ｐ（ｘｉ）≤１。

３.３.３ 模型的分析

如同前述熵理論中所說的，在熱力學中，物理系統的熵在不可逆過程中隨著時間的變化總是在單調遞增的，除非有外界能量介入才會導致它的熵值減小。信息系統也是如此，隨著各種實體資產的增加以及數據信息的不斷產生、傳遞，信息系統實體資產風險熵和信息系統信息風險熵的熵值是逐步單調增加的，只有借助外界的防護措施，才有可能降低各熵值。

一旦信息系統發生風險勢必造成損失，而即便最大程度的彌補信息系統的損失，從某種意義上講也不能使其恢復如初，即發生風險導致損失決定了信息系統運行的不可逆。此模型求得的各熵值在量化表述信息系統風險損失程度的前提下也反映出信息系統運行過程不可逆性的大小，亦即可作為不可逆性的量度。但是正如“一枚硬幣的兩面性”一樣，此種模型在其具有創新性意義的前提下也有些許不足，例如對信息系統實體資產意義價值的確定還有待精確化、客觀化等。

４ 結 語

由于信息系統所面臨的安全問題的復雜性，多樣性，不可預見性等特征，決定了對一個實際信息系統進行安全分析是一項艱巨的任務。本文是在對“熵”基本原理的理解上，從本著最大限度保護信息系統安全這一原則出發，從不同角度，不同側重點出發構建本質意義不同的信息系統“風險熵”模型，這不僅是對信息安全風險評估增加定量分析的評估方法，也是對信息系統實體資產與數據信息在遭遇風險后損失的數量化度量，更是對“熵”這一概念廣泛應用的又一跨越。但由于熵理論本身十分豐富和復雜，信息系統遭遇風險也有眾多不可估量的因素，故上述兩個信息系統“風險熵”模型也都分別存在一些未考慮完善的問題。需要在后續研究中，不斷努力，理論上更好的詮釋代表不同意義的信息系統“風險熵”熵值分析方法，解決模型存在的某些不足，實證上更好的驗證不同信息系統“風險熵”的實用性，方便不同企業依據各自系統特點、業務需求等做好按需選取分析模型，以求有效，經濟的做好信息系統安全管理。

參考文獻

［１］賈世樓，等.信息論理論基礎（第二版）［Ｍ］.哈爾濱：哈爾濱工業大學出版社，2004．

［２］傅祖蕓.信息論——基礎理論與應用［Ｍ］.北京：電子工業出版社，2001．

［３］朱耀鎧.信息系統安全熵值分析方法研究［Ｄ］．國防科學技術大學，2008．

［４］何西培，何坤振.信息熵辨析與熵的泛化［Ｊ］.情報雜志，2006，(1):110-112．

［５］張學文.熵究竟是什么.熵與交叉學科［Ｍ］.北京：氣象出版社，1988．

［６］全國信息安全標準化技術委員會，TC260 N0001，信息技術安全技術信息系統安全保障等級評估準則第一部分：簡介和一般模型［Ｓ］．2004．

［７］戴宗坤，羅萬伯，等.信息系統安全［Ｍ］.北京:電子工業出版社，2002．

［８］（美）M.達塔．熵的一百年［Ｊ］．今日物理，1968，21（1）．譯文載《摘譯——外國自然科學哲學》，1976，（1）．

［９］C，E.Shannon，A Mathematical Theory of Communication［Ｊ］．Bell System Technical Journal，1948，27．