對(duì)信息系統(tǒng)管理中信息安全風(fēng)險(xiǎn)評(píng)估研究

孫成林　尚利

摘 要： 隨著信息技術(shù)的發(fā)展，信息系統(tǒng)面對(duì)的安全問題越來越突出，這引起了社會(huì)的廣泛關(guān)注。而對(duì)信息系統(tǒng)安全的風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)，是對(duì)信息系統(tǒng)安全保護(hù)的重要體現(xiàn)。首先對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估涉及到的4個(gè)基本因素進(jìn)行了闡發(fā)。雖然針對(duì)風(fēng)險(xiǎn)評(píng)估的方法有很多種，但這里在構(gòu)建信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)的基礎(chǔ)上，運(yùn)用層次分析法（AHP）和模糊綜合評(píng)判對(duì)風(fēng)險(xiǎn)進(jìn)行了有效評(píng)估，為信息系統(tǒng)安全風(fēng)險(xiǎn)的管理決策提供了科學(xué)依據(jù)。

關(guān)鍵詞： 信息系統(tǒng)安全； 風(fēng)險(xiǎn)評(píng)估； 指標(biāo)體系； 風(fēng)險(xiǎn)等級(jí)； 層次分析法

中圖分類號(hào)： TN915.08?34 文獻(xiàn)標(biāo)識(shí)碼： A 文章編號(hào)： 1004?373X（2015）01?0087?03

Abstract： With the development of information technology， the security issues of information system become more and more serious， which have aroused widespread concern. Therefore， it is necessary to take risk assessment of information security. The 4 basic elements in risk assessment of information system security are analyzed. The risks are effectively assessed using analytic hierarchy process （AHP） and fuzzy comprehensive evaluation based on risk assessment index of information system security. It provides scientific basis for information system security management.

Keywords： information system security； risk assessment； index system； risk level； AHP

0 引 言

近年來，由于信息技術(shù)的快速發(fā)展和網(wǎng)絡(luò)在全世界范圍內(nèi)的普遍應(yīng)用，網(wǎng)絡(luò)與信息系統(tǒng)的穩(wěn)定運(yùn)行被更多領(lǐng)域的業(yè)務(wù)實(shí)施所依賴，信息技術(shù)幾乎滲透到了社會(huì)生活的各方面。信息系統(tǒng)與它所承載的信息和服務(wù)在安全性方面是非常重要的，當(dāng)信息與服務(wù)的保密性、完整性和可用性發(fā)生問題時(shí)，會(huì)讓組織機(jī)構(gòu)產(chǎn)生不利的影響，因此對(duì)信息系統(tǒng)安全的需求逐漸受到廣大信息安全人員的特別重視。在2007年公布的國(guó)家標(biāo)準(zhǔn)《信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》[1]GB/T20984?2007 中定義信息安全風(fēng)險(xiǎn)評(píng)估是根據(jù)有關(guān)信息安全技術(shù)與管理標(biāo)準(zhǔn)，對(duì)信息系統(tǒng)和由其處理、傳輸和存儲(chǔ)的信息的機(jī)密性、完整性和可用性等安全屬性進(jìn)行評(píng)估的過程。信息系統(tǒng)面臨的風(fēng)險(xiǎn)因素不但多而且很復(fù)雜，同時(shí)對(duì)信息和信息系統(tǒng)的危害程度也存在很大的不同。因此，為了給我國(guó)信息化的建設(shè)與信息安全的發(fā)展戰(zhàn)略帶來深遠(yuǎn)影響，鉆研一套先進(jìn)的、可行的、科學(xué)的信息系統(tǒng)安全風(fēng)險(xiǎn)分析與評(píng)價(jià)方法是很有必要的。

根據(jù)信息系統(tǒng)安全風(fēng)險(xiǎn)的評(píng)估可以知道信息安全所處的環(huán)境和狀況，進(jìn)而采取相關(guān)措施來提高信息系統(tǒng)安全的保證能力。本研究在對(duì)相關(guān)文獻(xiàn)進(jìn)行查閱的基礎(chǔ)上，提出了信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估的指標(biāo)體系，并采用層次分析法和模糊綜合評(píng)判，構(gòu)建信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估層次結(jié)構(gòu)模型，以提高對(duì)風(fēng)險(xiǎn)評(píng)估的有效性。

1 信息系統(tǒng)安全風(fēng)險(xiǎn)的影響因素分析

在對(duì)信息系統(tǒng)進(jìn)行風(fēng)險(xiǎn)評(píng)估時(shí)，首先要對(duì)信息系統(tǒng)的風(fēng)險(xiǎn)進(jìn)行分析[1]。在對(duì)信息安全風(fēng)險(xiǎn)進(jìn)行分析時(shí)，需要考慮資產(chǎn)、威脅、脆弱性和已有安全措施4個(gè)根本因素。

1.1 信息資產(chǎn)評(píng)估

信息資產(chǎn)的評(píng)估由兩部分組成，即識(shí)別信息資產(chǎn)和對(duì)資產(chǎn)的價(jià)值進(jìn)行估算。識(shí)別信息資產(chǎn)是在對(duì)信息系統(tǒng)和所涉及的物理資產(chǎn)、軟件資產(chǎn)和數(shù)據(jù)資產(chǎn)等進(jìn)行識(shí)別的基礎(chǔ)上，并給出清單。對(duì)資產(chǎn)價(jià)值的估算，即對(duì)所涉及的信息資產(chǎn)的價(jià)值進(jìn)行估計(jì)，這里主要的是考慮資產(chǎn)的重要性，而資產(chǎn)的賬面價(jià)值并不是顯得那么重要。在信息資產(chǎn)的評(píng)估中，要特別關(guān)注關(guān)鍵資產(chǎn)。關(guān)鍵資產(chǎn)是資產(chǎn)中對(duì)系統(tǒng)影響最大的資產(chǎn)。信息系統(tǒng)的關(guān)鍵資產(chǎn)擁有統(tǒng)一的信息平臺(tái)、綜合決策指揮系統(tǒng)、信息、數(shù)據(jù)庫、網(wǎng)絡(luò)基礎(chǔ)設(shè)施及網(wǎng)絡(luò)安全設(shè)施、人等。在資產(chǎn)中，主要集中在保密性、完整性和可用性三部分。

1.2 威脅評(píng)估

互聯(lián)網(wǎng)的全球性、開放性等的優(yōu)點(diǎn)，在為人們提供很多方便的同時(shí)，也給信息系統(tǒng)的安全帶來很大威脅。威脅可能是人們故意的，或者可能是偶然的事件，也有可能是對(duì)系統(tǒng)進(jìn)行的攻擊。威脅，通過組織的資產(chǎn)引起不希望發(fā)生的事件進(jìn)而給信息安全造成損害的一種潛在的可能性。對(duì)信息資產(chǎn)可能受到的危害進(jìn)行的評(píng)估稱為威脅評(píng)估。因?yàn)槊恳豁?xiàng)資產(chǎn)很有可能同時(shí)面臨多種威脅，并且每種威脅利用了資產(chǎn)自身的脆弱性從而發(fā)揮不利的影響。而造成信息安全威脅的，不但有環(huán)境因素，還有人為因素。因此，需要對(duì)于每項(xiàng)資產(chǎn)都要做威脅識(shí)別，特別是針對(duì)關(guān)鍵資產(chǎn)。

1.3 脆弱性評(píng)估

脆弱性評(píng)估就是通過各種測(cè)試方法最終得到信息資產(chǎn)中的弱點(diǎn)和不足，是信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估中最重要的部分。資產(chǎn)的脆弱性由技術(shù)脆弱性和管理脆弱性兩個(gè)部分組成[2]。即使在建設(shè)信息系統(tǒng)時(shí)，采取了相當(dāng)好的安全功能和保證措施，也不能說明信息系統(tǒng)中的信息安全不存脆弱點(diǎn)。這些弱點(diǎn)和不足的存在很有可能導(dǎo)致信息資產(chǎn)的泄密、非法訪問、不能使用或失控的現(xiàn)象。只有當(dāng)進(jìn)行脆弱性評(píng)估時(shí)，可以有效地降低脆弱性和提高抗攻擊能力。通過脆弱性評(píng)價(jià)主要是為了識(shí)別和分析信息系統(tǒng)的脆弱性，從而發(fā)現(xiàn)信息系統(tǒng)中比較弱的環(huán)節(jié)，以便為制定安全策略和采取控制措施提供理論依據(jù)。

1.4 安全措施

信息系統(tǒng)的安全建立在對(duì)風(fēng)險(xiǎn)的規(guī)避上，需要采取一定的安全措施來保證信息的安全。安全措施是用來減少風(fēng)險(xiǎn)的控制或?qū)Σ撸@些風(fēng)險(xiǎn)和特定的威脅或者一組威脅相關(guān)。只有在全面、正確認(rèn)識(shí)風(fēng)險(xiǎn)后，才能做出正確的判斷，以便在控制風(fēng)險(xiǎn)和降低風(fēng)險(xiǎn)之間進(jìn)行權(quán)衡。同時(shí)通過安全措施對(duì)資產(chǎn)進(jìn)行保護(hù)和對(duì)脆弱性進(jìn)行彌補(bǔ)，從而達(dá)到降低風(fēng)險(xiǎn)的效果。安全措施由預(yù)防性的安全措施與保護(hù)性的措施兩個(gè)方面組成。預(yù)防性措施，可以用來減少漏洞與可能發(fā)生的威脅。保護(hù)性安全措施能夠降低因?yàn)橥{從而所造成的影響[3]。

2 信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系的構(gòu)建及權(quán)

重的確定

采用層次分析法（AHP）構(gòu)建信息安全的評(píng)價(jià)指標(biāo)體系，從而對(duì)其風(fēng)險(xiǎn)進(jìn)行綜合評(píng)價(jià)。運(yùn)用AHP評(píng)價(jià)信息安全風(fēng)險(xiǎn)最主要的是評(píng)價(jià)在信息安全風(fēng)險(xiǎn)中所涉及要素之間的相對(duì)重要性權(quán)數(shù)，并對(duì)各因素權(quán)重排序，做橫向比較，為信息安全風(fēng)險(xiǎn)采取相關(guān)措施提供有效的依據(jù)。在信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)價(jià)中，運(yùn)用層次分析法和模糊綜合評(píng)判進(jìn)行評(píng)估擁有很強(qiáng)的有效性。

下面以具體實(shí)例對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)進(jìn)行評(píng)價(jià)。信息安全風(fēng)險(xiǎn)分析包括對(duì)4個(gè)要素的識(shí)別，并且每個(gè)要素又有多個(gè)子要素。為了顯示信息風(fēng)險(xiǎn)評(píng)估的重要方面，對(duì)指標(biāo)體系進(jìn)行了適當(dāng)?shù)暮?jiǎn)化。包括資產(chǎn)、威脅、脆弱性、安全措施4個(gè)評(píng)價(jià)指標(biāo)體系，該指標(biāo)體系主要包括目標(biāo)層，準(zhǔn)則層，指標(biāo)層。

對(duì)江蘇某大學(xué)的一個(gè)網(wǎng)站系統(tǒng)進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估。該網(wǎng)站服務(wù)器的IP地址為192.168.2.200，應(yīng)用所構(gòu)建的指標(biāo)系對(duì)系統(tǒng)的信息安全進(jìn)行評(píng)估。邀請(qǐng)了數(shù)位相關(guān)專家依據(jù)因素間的相互重要程度的大小進(jìn)行打分，并通過幾何平均法進(jìn)行整理，得出某一層對(duì)上一層相對(duì)影響排序的成對(duì)的比較矩陣。

在正互反矩陣中，如果出現(xiàn)[aik?akj=aij，]那么該矩陣為一致陣。在上面的判斷矩陣[A]中，[a21?a13≠a23，]所以該矩陣不是一致陣。在非一致陣上，通常采用矩陣最大特征根所對(duì)應(yīng)的歸一化特征向量作為權(quán)向量[W。]通過計(jì)算對(duì)比矩陣[A]的最大特征值[λ=]4.000 9，該特征值所對(duì)應(yīng)的歸一化向量[W=][0.414 2，0.132 3，0.258 7，0.194 8]T。接下來通過計(jì)算一致性指標(biāo)CI值的大小，來判別矩陣的一致性，它的公式為：[CI=（λmax-n）（n-1）。]此時(shí)的特征值為最大值，[n]是矩陣的階數(shù)。根據(jù)矩陣[A]計(jì)算可得[CI=（4.000 9-4）（4-1）=0.000 3。] 一致性比率與矩陣隨機(jī)平均一致性指標(biāo)RI的值有關(guān)，它的值與矩陣階數(shù)有關(guān)。當(dāng)階數(shù)[n=4]時(shí)，RI=0.9。通常來說，當(dāng)一致性比率：[CR=CIRI<0.1]時(shí)，就能夠判斷矩陣的不一致度在可允許范圍以內(nèi)，同時(shí)它的最大特征值所對(duì)應(yīng)的歸一化特征向量作為權(quán)向量，不然就要對(duì)矩陣[A]進(jìn)行調(diào)整，重新構(gòu)造成對(duì)比較矩陣。依據(jù)以上數(shù)據(jù)可得矩陣[A]對(duì)應(yīng)的[CR=0.000 30.9=]0.000 33<0.1，所以，最大特征值對(duì)應(yīng)的歸一化向量[W]可以作為準(zhǔn)則層對(duì)目標(biāo)層的權(quán)重。

用同樣方法計(jì)算出各指標(biāo)層對(duì)相應(yīng)準(zhǔn)則層的權(quán)重，并通過了各指標(biāo)層對(duì)準(zhǔn)則層的一致性比率的驗(yàn)證。綜合準(zhǔn)則層及指標(biāo)層的權(quán)值，信息安全風(fēng)險(xiǎn)綜合評(píng)價(jià)指標(biāo)的總排序權(quán)值見表1。

通過計(jì)算得到準(zhǔn)則層指標(biāo)的相對(duì)權(quán)重和其排序，并通過調(diào)查問卷，請(qǐng)25位專家對(duì)各指標(biāo)的權(quán)重進(jìn)行評(píng)判和對(duì)某等級(jí)評(píng)價(jià)的次數(shù)。通過整理如表2所示。

準(zhǔn)則層各指標(biāo)所對(duì)應(yīng)權(quán)重構(gòu)成的矩陣[W=][0.414 20.132 30.258 70.194 8，]因此最后總的模糊綜合評(píng)價(jià)結(jié)果為[B=W?R=][0.11，0.14，0.31，0.41，0.17] 。按照所計(jì)算的結(jié)果，五個(gè)數(shù)值中最大的值是 0.41，根據(jù)判斷等級(jí)來看，是“中”。因此，按照最大隸屬度的原則，可以認(rèn)為江蘇某高校網(wǎng)站的信息安全風(fēng)險(xiǎn)的評(píng)估等級(jí)屬于“中”。

3 結(jié) 語

在對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估中，采用層次分析法與模糊綜合評(píng)判，很好地解決了對(duì)于在定性指標(biāo)定量評(píng)估中所遇到的困難。該方法在信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估與等級(jí)劃分的實(shí)際應(yīng)用中很有效，操作性也很強(qiáng)。不僅能夠計(jì)算出要素之間的相對(duì)風(fēng)險(xiǎn)程度和信息網(wǎng)絡(luò)系統(tǒng)所處的風(fēng)險(xiǎn)等級(jí)，而且還可以提高對(duì)其風(fēng)險(xiǎn)的認(rèn)識(shí)，以便可以在風(fēng)險(xiǎn)方面做出正確的判斷，達(dá)到控制并降低風(fēng)險(xiǎn)的效果。同時(shí)通過對(duì)因素的重要性進(jìn)行排序，不僅能找到信息系統(tǒng)安全的薄弱部分，還可以根據(jù)這點(diǎn)對(duì)安全性措施進(jìn)行改善，使其在保護(hù)信息系統(tǒng)的安全性方面更有效。

參考文獻(xiàn)

[1] 全國(guó)信息安全標(biāo)準(zhǔn)化技術(shù)委員會(huì). GB/T 20984?2007 信息安全技術(shù) 信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范[S].北京：中華人民共和國(guó)國(guó)家質(zhì)量監(jiān)督檢驗(yàn)檢疫總局，2007.

[2]張立濤，應(yīng)力，錢省三.信息安全風(fēng)險(xiǎn)評(píng)估中若干操作問題的研究[J].山東理工大學(xué)學(xué)報(bào)：自然科學(xué)版，2006，20（1）：79?83.

[3]王標(biāo)，胡勇，戴宗坤.風(fēng)險(xiǎn)評(píng)估要素關(guān)系模型的改進(jìn)[J].四川大學(xué)學(xué)報(bào)：工程科學(xué)版，2005，37（3）：110?114.

[4] 王偉，李春平，李建彬.信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法的研究[J].計(jì)算機(jī)工程與設(shè)計(jì)，2007，28（14）：3473?3474.

[5] JONES J A. An introduction to factor analysis of information risk （FAIR） [R]. [S.l.]： [s.n.]， 2005.

[6] 張澤虹，趙冬梅.信息安全管理與風(fēng)險(xiǎn)評(píng)估[M].北京：電子工業(yè)出版社，2010.

[7] 韓利，梅強(qiáng)，陸玉梅，等.AHP?模糊綜合評(píng)價(jià)方法的分析與研究[J].中國(guó)安全科學(xué)學(xué)報(bào)，2004，14（7）：86?89.

[8] 吳亞非，李新友，祿凱，等.信息安全風(fēng)險(xiǎn)評(píng)估[M].北京：清華大學(xué)出版社，2007.

[9] GLEASON J M. Fuzzy set compudetational processes in risk analysis [J]. IEEE Transactions on Engineering Management， 1991， 38（2）： 177?178.

[10] 李鶴田，劉云，何德全.信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估研究綜述[J].中國(guó)安全科學(xué)學(xué)報(bào)，2006（1）：108?113.