基于模糊分析的信息系統風險灰色評估模型

黃劍雄，丁建立

（1.北京工業大學 經濟與管理學院，北京100124；2.中國民航大學 計算機科學與技術學院，天津300300；3.中國民航信息技術科研基地，天津300300）

0 引 言

信息系統給企業帶來的風險日益增強，信息系統風險評估顯得愈發重要。信息系統風險評估的核心是提出風險評估指標體系，對風險的影響因素進行量化，建立風險評估模型。不少學者從不同的角度對這一問題進行了有益的探索，取得了一定的成果。文獻 ［1］研究了信息系統中的重要影響因素。文獻 ［2］對風險評估中的資產識別方法進行了初步的探索。文獻 ［3］通過分析風險與安全事件的關系，提出風險的影響因素指標體系框架。針對典型的信息安全風險評估要求，文獻 ［4］提出了綜合的評估流程，并完成了系統的設計與實現。為了盡可能消減評判過程中主觀性因素對最終評價效果的影響，文獻 ［5］采用灰色評估模型來對信息系統進行風險評估。

這些方法在信息系統風險評估的某些方面取得了一定的效果，但是也存在一些問題。一方面風險評估中評價者對于系統所面臨的風險等級的評分具有很強的主觀性，不同的評價者可能得到差異性很大的結果。另一方面各個評價指標在評價集中權重大小會直接影響風險評價結果，但權重的選擇比較復雜且也具有較強的主觀性，常常需要多次調整。

針對這些情況，本文提出以灰色評估模型為基礎，在權重的選擇過程中引入一種模糊層次分析法。灰色評估模型從 “灰度”這一基本概念出發，避免了對決策目標的精確量化，一定程度上消除評價者的主觀性。而模糊層次法通過在層次分析法中引入模糊數學的概念，弱化了評價者的主觀性，也降低了權重構造難度。兩者結合在一定程度上提高了風險評估的準確性。

1 信息系統風險的度量

風險的度量可以是定性的，比如因素分析法、德爾斐法等。也可以是定量的，比如因子分析法、時序分析法等。還有就是將定性和定量相結合的綜合評估方法。由于信息系統的風險評估是一個非常復雜的過程，涉及到的因素也很多，有些因素可以量化，有些因素難以量化，所以在風險評估中常常將這定性和定量兩種手段結合起來。

要進行風險的度量，首先必須建立起風險評估的指標體系。本文借鑒層次分析法的思想，建立一個分層次的信息系統風險評價指標體系，見圖1。

圖1 信息系統風險評價指標體系

需要說明的是，對于不同的信息系統環境，可以根據實際情況對圖1進行適當的調整。

2 模糊層次分析法

評價指標的權重集反映了各因素對于評價對象影響大小。權重集的確定是信息系統風險評價中關鍵的環節，確定的是否恰當將直接影響到評價結果的好壞。常用的方法有德爾斐法、專家估測法以及層次分析法。其中層次分析法簡單明了，符合一般人的正常思維過程，便于接受并容易計算，同時該方法將定性分析與定量分析有機地結合起來。但是層次分析法中判斷矩陣的構造具有很強的主觀性，且一致性檢驗相對困難。因此本文引入模糊層次分析法［6－8］。這種方法結合了層次分析法與模糊邏輯法的各自優點，能夠相對客觀的確定權重。

首先構造風險因素集，設為U＝ ｛u1，u2，…，un｝。然后建立評價集，針對不同的要求，可以建立不同的評價集，設為V＝ ｛v1，v2，…，vm｝。評價者給出各因素的評語，構造模糊映射f：U→F（V）。其中F （V）是V上的模糊集全體，ui→f（ui）＝ （qi1，qi2，…，qim）∈F （V），映射f表示ui對評價集中各評價的支持程度。令ui對評價集V得隸屬向量Qi＝ （qi1，qi2，…，qim），i＝1，2，…，n。由此得到隸屬度矩陣為

因為評價集中各個指標程度的高低直接影響風險大小，所以對評價集中每個指標賦予不同的權重。設權重分

配S＝ （s1，s2，…，sm）。模糊變換得到

C為各風險因素的相對權重，歸一化后得到排序權向量為

WC就是所需的評價指標的權重集。這種模糊積分的方法極大的減少了評價者主觀因素對于指標權重的影響，更加的客觀、準確。

3 基于模糊分析的信息系統風險灰色評估模型

灰色系統理論［9－13］的研究對象是介于信息完全明確的“白色系統”與信息完全不明確的 “黑色系統”之間的 “灰色系統”。灰色評價模型是灰色系統理論的主要應用之一，將該模型應用到信息系統風險評估中主要的步驟如下［5，13］：

（1）信息系統風險等級的劃分［5］

按照GB／T 20984－2007《信息安全技術信息安全風險評估規范》標準的要求，結合企業自身的實際情況，將風險評價等級即極高、高、中、低和極低5個等級。為了便于定量計算，將5個等級所對應的等級分數設為5、4、3、2、1。介于兩個等級之間的風險值也相應的取等級分數的中間值。

（2）建立指標權重集

各個指標對評估結果的決定程度不盡相同，在風險評估中具體表現為不同的指標需要賦予不同的權重。在本文中，采取上面提到的模糊層次分析法來確定權重。但是在風險評價中靠上層次的由于因素較少，所以不一定需要通過模糊層次分析法來確定。比如圖1中第二層只有兩個因素，可以直接通過層次分析法確定權重。這對于最后的結果沒有大的影響且減少了工作量。

（3）確定綜合評價指標體系U

找出評價對象的指標集U＝ ｛u1，u2，…，un｝，也就是n個評價指標集合。這實際上就是上面

模糊層次分析法中提到的風險因素集。

（4）建立評價等級指標V，得到評價樣本矩陣D

根據實際的需要建立相應的評價等級指標V＝ ｛v1，v2，…，vm｝。假設有p位評價者，根據這些評價者的評價結果得到評價樣本矩陣D

式中：dij——第j個評價者對ui個指標的評價結果。

（5）確定評價灰類和白化權函數

設有e個評價灰類，根據步驟 （1）中風險等級的劃分，本文中e＝5。則相應的白化權函數和閾值分別是f1（x），f2（x），…，f5（x）和λ1，λ2，…，λ5。

（6）灰色評價系數［5］

假設對于評價指標ui，評價者給出的評分分別為si1，si2，…，sip。則對于指標ui，第e個評價灰類的評價系數為

對于指標ui，其所在灰類的總灰色評價系數Xi為

（7）確定灰色評價權向量和權矩陣［5］

所有評價者就指標ui，主張其屬于第e個評價灰類的權重為

因此ui對于各個灰類的灰色評價權向量為

由此可以得到灰色評價矩陣R為

（8）灰色綜合評價

由模糊層次分析法得到指標 （c1，c2，…，cn）相對于指標Bi的權重向量WBi，對Bi做綜合評價，可得Bi的灰色綜合評價向量Bi＝WBi×Ri。其中Ri為Bi相對應的灰色評價矩陣。評價目標A由指標B1，B2，…，Bs組成，則權重向量WA＝ （b1，b2，…，bs），故A的綜合評價向量A＝WA×R，其中R＝ （B1，B2，…，Bs）T。

（9）分析灰色綜合評價結果向量

A中最大權決定了受評者所屬的風險等級，即若xi＝max｛x1，x2，…，xe｝，則受評者的定量風險等級為i。

4 實例分析

以某航空公司信息系統為例，對其進行風險評估。評估體系如圖1所示。評估的過程需要有專業的評估者按照要求對相應項進行打分，表1是該公司使用的專家評分表的一個樣例。該表主要針對的是不同指標相對于風險發生概率B1這一內容的。同樣的，針對風險產生影響B2也是類似的表格。需要打分的內容有兩項：相對權重和風險等級。其中權重的范圍是0～1。風險等級采用五分制標準打分。

表1 專家評分表樣例

整個風險評估的基本過程如下：

（1）確定各層指標的權重

圖1中第二層只有兩個指標，相對簡單，直接用層次分析法確定其權重WA＝ （0.42，0.58）。

第三層比較復雜，采用模糊層次分析法確定權重。

首先計算第三層指標相對于第二層指標風險發生概率B1的權重。設模糊集U＝ ｛C1，C2，…，C7｝，評價集V＝｛V1，V2，…，V5｝，其中V1表示風險發生概率最低，幾乎可以忽略，V5表示風險發生概率極大。V1到V5，風險發生概率逐漸增大。選定專業的評價者，讓其對U進行概率評價，得到隸屬度矩陣為

確定V1到V5的權重依次為1／15，2／15，1／5，4／15，1／3。按照公式C＝S·QT求得各指標在風險發生概率B1下的相對權重為（0.2067，0.1867，0.2267，0.2333，0.2667，0.2533，0.1667），歸一化之后得到權重向量為WB1＝ （0.1342，0.1212，0.1472，0.1515，0.1731，0.1645，0.1083）。按照同樣的過程，使用同樣的方法就可以求得各指標在風險產生影響B2下的歸一化權重向量為WB1＝ （0.1358，0.1252，0.1464，0.1499，0.1675，0.1605，0.1147）。

（2）評價者打分，得到樣本矩陣D

評價等級按照前面所述的五分制打分，選定5位專業的評價者進行評判。得到兩個樣本矩陣D1和D2，分別對應于風險發生概率和風險產生影響。得到的矩陣如下所示

（3）確定灰類的白化權函數，計算灰色評價權向量和權矩陣

本文的評價體系設定了5個評價灰類，則相應的白化權函數［5］為

根據前面敘述的灰色評估計算方法，得到對應于風險發生概率和風險產生影響的灰色評價矩陣R1和R2分別如下

（4）風險等級的灰色綜合評價

根據步驟 （1）中計算到的權重和前面所述的計算方法，可以得到

B1＝WB1×R1＝ （0.2697，0.2413，0.2024，0.1872，0.0997）

B2＝WB2×R2＝ （0.2636，0.2348，0.2121，0.1720，0.1175）

最后總的綜合評價為

取A中最大值確定整個信息系統的風險等級，由于0.2662所對應的風險等級是 “極高”，

因此該系統最后的風險等級評價為 “極高”，需要及時的采取措施進行保護。

5 結束語

在灰色評估模型的基礎上，本文提出利用模糊層次分析法來改進權重的確定方法。通過灰色評估模型和模糊層次分析法的融合，建立了一個新的風險評估模型。該模型在一定程度上消減了評價過程中的主觀性，提升了風險評估計算結果的客觀性。如何準確的建立權重集是風險評估的關鍵性問題且極具主觀性，模糊層次分析法一定程度上解決了主觀性問題，但仍存在缺陷，下一步的研究將嘗試對模糊層次分析法再做改進，盡可能的消除主觀性。

［1］NIU Fang，LI Dong，SHAO Jinghong，et al.The factors influencing the way of motivating information systems planning［J］.Journal of Management Science，2009，22 （6）：64－70（in Chinese）.［牛芳，李東，邵景虹，等.信息系統規劃發起方式 的 影 響 因 素 研 究 ［J］.管 理 科 學，2009，22 （6）：64－70.］

［2］FAN Jianhua，XUE Yanlong.Information property recognition based on level systems ［J］.Standard Science，2009 （9）：64－68（in Chinese）.［范建華，薛巖龍.基于層面劃分法的信息資產識別方法 ［J］.標準科學，2009 （9）：64－68.］

［3］HU Yong，QI Gang，CHEN Lin，et al.The quantitative assessment indexes of risk evaluation in information system ［J］.Journal of Sichuan University （Natural Science Edition），2006，43 （5）：1048－1052 （in Chinese）.［胡勇，漆剛，陳麟，等.信息系統風險量化評估指標體系 ［J］.四川大學學報，2006，43 （5）：1048－1052.］

［4］KUANG Jieyan，DANG Depeng，LI Shuren，et al.Research and development of information security risk assessment system based on XML ［J］.Computer Engineering and Design，2010，31 （13）：2943－2965 （in Chinese）.［曠潔燕，黨德鵬，李樹仁，等.基于XML的信息安全風險評估系統研究與開發［J］.計算機工程與設計，2010，31 （13）：2943－2965.］

［5］HU Yong，WU Shaohua，HU Chaolang，et al.Multilevel grey comprehensive evaluation for information system risk ［J］.Application Research of Computers，2008，25 （8）：2477－2479（in Chinese）.［胡勇，吳少華，胡朝浪，等.信息系統風險灰色 評 估 方 法 ［J］. 計 算 機 應 用 研 究，2008，25 （8）：2477－2479.］

［6］ZHAO Dongmei，MA Jianfeng，WANG Yuesheng.Model of fuzzy risk assessment of the information system ［J］.Journal on Communications，2007，28 （4）：51－56 （in Chinese）.［趙冬梅，馬建峰，王躍生.信息系統的模糊風險評估模型 ［J］.通信學報，2007，28 （4）：51－56.］

［7］HUA Yao，YU Mingchuan.Comprehensive evaluation of enterprise information service ability based on FAHP ［J］.Information Science，2009，29 （9）：1390－1393 （in Chinese）. ［華瑤，俞明傳.基于模糊層次分析法的企業信息服務能力綜合評價 ［J］.情報科學，2009，29 （9）：1390－1393.］

［8］XU Xukan，DUAN Zhenzhong，HAO Jian.Building the model of the performance evaluation of enterprise information system based on fuzzy analytical hierarchy ［J］.Journal of Intelligence，2009，28 （2）：11－13 （in Chinese）.［徐緒堪，段振中，郝建.基于模糊層次分析法的企業信息系統績效評價模型構建 ［J］.情報雜志，2009，28 （2）：11－13.］

［9］LI Zhongkai，FENG Yixiong，TAN Jianrong，et al.Analysis and prediction for dynamic requirements in house of quality based on grey theory ［J］.Computer Integrated Manufacturing Systems，2009，15 （11）：2272－2279 （in Chinese）. ［李中凱，馮毅雄，譚建榮，等.基于灰色系統理論的質量屋中動態需求的分析與預測 ［J］.計算機集成制造系統，2009，15（11）：2272－2279.］

［10］ZHAO Jinlou，KANG Zheng.A model based on the grey system for multi－objective decision－making and its application in the shipbuilding project［J］.Chinese Journal of Management Science，2008，25 （S1）：568－573 （in Chinese）. ［趙金樓，康正.基于灰色理論的項目多目標決策模型及在造船工程中的應用 ［J］.中國管理科學，2008，25 （S1）：568－573.］

［11］ZHANG Fengqin，SHEN Di.Conceptual clustering algorithm based on grey model［J］.Computer Engineering and Design，2011，32 （3）：1040－1042 （in Chinese）.［張鳳琴，沈迪.基于灰色模型的概念簇聚類算法 ［J］.計算機工程與設計，2011，32 （3）：1040－1042.］

［12］YIN Hang，LI Baizhou.Evaluation of high new－tech outcome’s transformative comprehensive value based on AHP－GCA method［J］.Operations Research and Management Science，2009，18（5）：256－26 （in Chinese）.［尹航，李柏洲.基于 AHP－灰色聚類分析的高新技術成果綜合轉化價值評價 ［J］.運籌與管理，2009，18 （5）：256－260.］

［13］YANG Hongyu，XIE Lixia，ZHU Dan.A vulnerability severity grey hierarchy analytic evaluation model［J］.Journal of University of Electronic Science and Technology of China，2010，39 （5）：778－782 （in Chinese）.［楊宏宇，謝麗霞，朱丹.漏洞嚴重性的灰色層次分析評估模型 ［J］.電子科技大學學報，2010，39 （5）：778－782.］

［14］Abbas Asosheh，Biijan Dehmoubed，Amir Khani.A new quantitative approach for information security risk assessment［C］.Dallas，USA：IEEE International Conference on Intelligence and Security Informatics，2009：229－230.

［15］CHAI Wenguang.Optimization method for strengthening information system risk assessment decision making on common case ［J］.Computer Engineering and Design，2009，30 （15）：3504－3506（in Chinese）.［柴文光.基于經常性事件的信息系統風險評估優化決策 ［J］.計算機工程與設計，2009，30（15）：3504－3506.］