基于AHP方法的我國信息安全政策方案優化決策研究

黃玥 周麗霞 蒲攀

（黑龍江大學信息管理學院，黑龍江哈爾濱150080）

基于AHP方法的我國信息安全政策方案優化決策研究

黃玥 周麗霞 蒲攀

（黑龍江大學信息管理學院，黑龍江哈爾濱150080）

由于網絡化進程的不斷深入，傳統的信息安全政策法規已不能很好地適應當今社會公眾對信息安全政策法規的需求，為此，工信部于2010年起草了《信息安全條例》。本文運用層次分析法（AHP），通過對現行信息安全政策法規的實施績效進行評價，從而產生優選方案，進而為信息安全政策法規的優化決策提供一定的參考。

信息安全；政策；層次分析法；方案；優化

2012年7月國務院發布了《國務院關于大力推進信息化發展和切實保障信息安全的若干意見》（國發〔2012〕23號），該意見將“國家信息安全保障體系基本形成”作為信息化發展的主要目標之一［1］。近年來，隨著國內外信息安全問題的頻繁出現，尤其是去年美國“棱鏡門”事件的披露，使得有關維護信息安全問題再次成為全民熱議的焦點。公共政策的制定是通過一系列行政決策實現的，決策的科學性、及時性、有效性不僅是公共政策制定的基礎，也是政府施行實行有效管理的前提和條件。鑒于我國信息安全政策法律法規的種種現狀及社會對信息安全法律法規的發展需求，本文采用層次分析法（AHP）對我國現行信息安全相關政策法規的施行績效進行定量與定性相結合的綜合評價，在此基礎上進行多指標、多方案的優化決策。

1 層次分析法（AHP）

1.1 AHP的基本思路

層次分析法的基本思路是評價者通過將復雜問題分解若干層次和若干要素，并在同一層次的各要素之間簡單地進行比較、判斷和計算，就可以得出不同替代方案的重要度，從而為選擇最優方案提供決策支持［8］。總的來說，層次分析法最大的優點是提出了層次本身。

AHP是美國著名運籌學家，匹茲堡大學教授托馬斯·薩帝（Thomas L.Saaty）于20世紀70年代初提出的一種層次權重決策分析方法［9］，適用于結構較為復雜、決策準則較多且不易量化的決策問題，具有高度的有效性、可靠性、簡明性和廣泛的適用性。

信息安全政策方案評價是一個多目標、多層次、結構復雜的過程，層次結構分析法正是解決信息安全政策方案評價問題的有效方法。

1.2 AHP的基本步驟

（1）提出尚待決策的復雜問題，將其概念化、層次化，并選擇評判的各個標準；

（2）分析各標準、各因素間的關系，建立層次結構模型；

（3）構建兩兩比較的判斷矩陣；

（4）計算各因素對每一標準的相對權重；

（5）進行判斷矩陣的一致性檢驗；

（6）利用權數或特征向量求出各方案的優劣次序。

2 基于AHP的我國信息安全政策方案優化決策

2.1 AHP評價指標選擇

本文假定選取已頒布的3個實施效果良好的有關信息安全的政策法規，通過AHP方法對各自實施績效進行評價，最終依據評價結果，提供得分最高的信息安全政策方案，在政府擬對有關信息安全政策內容進行修訂時，輔助政府進行優化決策，以使其更加適應如今社會公眾對信息安全政策尤其是網絡信息安全政策的要求。

劉婷婷、馬海群在《我國信息安全政策績效評價指標體系初探》中指出，對信息安全政策的績效評價應該從信息安全政策效應評價、信息安全政策效率評價和信息安全政策回應度評價這3個方面入手，進而圍繞這3個方面來選取評價體系的評價子指標［10］。在其隨后的研究《信息安全政策績效評價的指標體系框架構建》中，為了保障指標體系的科學和理性，在構建了20個指標因子的指標體系基礎上，采用了專家問卷法對指標體系進行完善和優化。問卷的發放對象主要包括了信息政策研究領域內的權威專家、信息企業的負責人、信息安全政策相關的政府部門工作人員等。問卷主要采用了里克特式量表，共分為評價指標評分和請專家對不合理指標進行修訂的開放性問題兩個部分［11］。

現參照層次分析法的步驟對假定的3個信息安全政策進行基于AHP的優化決策。依據劉婷婷、馬海群對信息安全政策績效評價指標體系的構建，本文根據績效評價結果進行方案的優選，則評價指標的選取參照其研究結果，即評價參考因素有：①接受信息安全教育培訓的人數、成功實現個人信息保護的人數、成功實現實體信息保護的實體數目、信息保護設備的投入使用數（“目標實現度”子標準）；②信息安全單位部門的建成數、信息安全相關企業平均資產額、信息安全相關企業平均利潤額、信息安全產品市場占有率（“經濟效應”子標準）；③對激發信息保護意愿的影響、對信息安全技術推動的影響、對社會和諧穩定減少犯罪的影響、對人員就業的影響（“社會效應”子標準）；④政策的成本效益比率（“經濟效率”子標準）；⑤政策了解程度、政策滿意度、與其他政策協調性（“政府政策”子標準）；⑥政府部門的工作態度、政府部門的工作效率（“政府服務”子標準）。

將以上所有指標概念化、層次化后，可將信息安全政策績效評價的指標歸納為4個參考標準：（1）目標實現度（包括第①項）；（2）經濟效益（包括第②④項）；（3）政府回應度（包括第⑤⑥項）；（4）社會效應（包括第③項）。

2.2 層次結構模型圖

該問題的層次結構模型圖分為3個層次，即目標層、標準層和決策層，如圖1所示。

圖1 信息安全政策方案優選的層次結構模型圖

2.3 構建兩兩比較的判斷矩陣

以下引入相對重要性的標度，如表1所示。

表1 相對重要性標度

下面以單一標準——信息安全政策的“社會效應”為例（其它標準同理），來評判3個政策，假定通過調查社會公眾和相關專家的意見得到結論，即政策A的社會效應比政策B較好，根據表1知a12＝5；政策A比政策C非常好有余，絕對好不足，則a13＝8；政策B比政策C略好，則a23＝3。每個政策與自己比都是同等重要，則a11＝a22＝a33＝1。其余標度則由倒數的定義得出。則兩兩比較的判斷矩陣如表2所示。

表2 兩兩比較的判斷矩陣

同理，求得在目標實現度、經濟效益及政府回應度方面的兩兩比較的判斷矩陣如表3所示。

表3 判斷矩陣比對

2.4 各因素的相對權重

基于以上判斷矩陣，通過以下步驟求出政策A、政策B、政策C在“社會效應”標準下的相對權重。

（1）先求出判斷矩陣每一列的總和，如表5所示。

表4 判斷矩陣各列和

（2）建立標準兩兩比較的判斷矩陣，如表5所示。

表5 標準比對判斷矩陣

（3）計算標準判斷矩陣的權重，如表6所示。

表6 標準權重計算

從表6可以看出選擇政策A、B、C的3個方案在“社會效應”方面的權重分別為0.737，0.186，0.077，其權重之和為1。我們稱［0.737，0.186，0.077］為信息安全政策方案選擇問題中社會效應方面的特征向量。

同理，由表3的判斷矩陣求得在目標實現度、經濟效益、政府回應度方面的權重，即這三方面的特征向量如表7所示。

表7 標準權重分析

（4）通過標準的兩兩比較的判斷矩陣，計算每個標準在總目標滿意的信息安全政策方案上的相對重要程度，即求得每個標準的權重，得到標準的特征向量，如表8所示。并通過以上標準的判斷矩陣，求得標準的特征向量［0.481，0.199，0.072，0.248］。

表8 標準重要程度比對

2.5 判斷矩陣的一致性檢驗

仍以選擇政策的“社會效應”這一標準為例（其它標準同理），進行一致性檢驗，步驟如下：

（1）由被檢驗的兩兩比較的判斷矩陣乘以其特征向量，所得向量稱之為賦權和向量，在本文中即

（2）每個賦權和向量的分量分別除以對應的特征向量的分量，本文中為：

（3）計算出第2步結果中的平均值，記為λmax，本文中為：（4）計算一致性指標

說明：n為比較因素的數目，在本文中即為可供選擇的信息安全政策的數目3，則CI

說明：這里的RI是自由度指標，見表9。

表9 自由度指標RI的值

同理，通過計算“目標實現度”，“經濟效益”，“政府回應度”以及“4個標準”的兩兩比較的判斷矩陣的一致性CR值，可得它們都小于等于0.01。因此，這些判斷矩陣都滿足一致性要求，即其相應的特征向量都有效。

2.6 利用權數或特征向量求出各政策的優劣次序

根據以上求出的4個標準的特征向量，以及4個在單一標準下的3個可供選擇的信息安全政策的特征向量，整理如表10所示。

表10 各元素的特征向量

利用以上權數或向量可以計算出每個政策的總得分，即總權重。

信息安全政策A在“社會效應”中權數為0.737，而“社會效應”在實施績效較高的信息安全政策的總目標中所占的重要性（即權數）為0.481，故政策A由于其社會效應情況在總目標中的得分為0.481×0.737；同理可得政策A由于其目標實現度情況在總目標中的得分為0.199×0.123；由于其經濟效益情況在總目標中的得分為0.072×0.087；由于其政府回應度情況在總目標中的得分為0.248×0.265，則政策A在總目標中總得分（即總權重）為0.481×0.737＋0.199×0.123＋0.072×0.087＋0.248×0.265＝0.450。同理可得政策B在總目標中總得分為0.481×0.186＋0.199× 0.320＋0.072×0.274＋0.248×0.655＝0.335。政策C在總目標中總得分為0.481×0.077＋0.199×0.557＋0.072× 0.639＋0.248×0.080＝0.214。

通過比較可知政策A的得分（即權重）為0.450最高，政策B的得分次之，而政策C的得分最低。故通過權衡可知，在已頒布實施的3個信息安全政策中，政策A是績效評價得分最高的方案，即最優方案。當政府需要對現行實施效果良好的信息安全政策方案進行修改執行時，政策A將是最優選擇，即選擇政策A能夠更高效地輔助政府進行信息安全政策方案修訂的優化決策。

此外，根據表10中各單一標準下的權數可以看出，政策A在社會效應方面遠遠優于政策B和C，但在目標實現度、經濟效益方面均比政策B和C低，在政府回應度方面處于中間位置。據此可以在對政策A進行修訂時，有一個較為明確的方向，即在提高目標實現度和經濟效益方面可以參考政策C，在加強政府回應度方面可以參考政策B的模式。

3 結論

2010年工業和信息化部完成的《信息安全條例（報送稿）》對信息網絡環境下法律主體的權利、義務，各種危害網絡與信息系統安全行為等內容作了規定［13］。2012年3月舉行的十一屆全國人大五次會議期間，王東洲等36位代表提出議案認為，當前信息化的發展面臨著安全問題突出、管理體制和機制改革滯后等問題。全國人大財經委員會建議通過制定完善相關法規、規章，解決代表議案所提的問題［14］。2014年2月27日，中央網絡安全和信息化領導小組召開第一次會議，習近平在會議中把網絡安全保障有力列為網絡強國戰略部署的目標之一［15］。

可以看出，由于網絡化進程的不斷深入，傳統的信息安全政策法規已經顯現出一定的局限性與滯后性，但是網絡信息安全政策法規又屬于信息政策法規的組成部分，它的制定不能完全脫離傳統的信息安全政策法規，因此對現行實施績效良好的信息安全政策法規進行適當地補充和完善，不失為一種行之有效的方法。本文運用AHP方法對現行實施績效良好的信息安全政策法規進行了優選，可以為相關政策法規的修訂提供一定的參考。

［1］中華人民共和國國務院.國務院關于大力推進信息化發展和切實保障信息安全的若干意見［Z］.2012－07－17.

［2］層次分析法［EB／OL］.http：∥baike.baidu.com／subview／364279／5071768.htm，2014－12－09.

［3］李志勇.基于AHP的數字圖書館績效評價指標體系研究［J］.圖書館工作與研究，2012，（9）：46－48.

［4］劉婷婷，馬海群.我國信息安全政策績效評價指標體系初探

Study on The Optimizing of Information Security Policy Based on AHP

Huang YueZhou LixiaPu Pan
（College of Information Management，Heilongjiang University，Harbin 150080，China）

Due to the deepening of the network process，the traditional information security policies and regulations were not well adapted to today's society the public demand for information security policies and regulations，to this end，the Ministry drafted the“information security regulations”in 2010.This article used the method of analytic hierarchy process（AHP），by means of evaluating the performance of the existing information security policies and regulations，so as to produce a preferred embodiment，and then provided certain reference for optimizing decision－making of information security policies and regulations.

information security policy；analytic hierarchy process；AHP；policy program optimization

10.3969／j．issn．1008－0821．2015．03．014

G203

A

1008－0821（2015）03－0077－05

2014－12－09

本文為國家社科項目“面向數字圖書館信息網絡傳播的政策法規研究”（項目編號：12BTQ010）階段成果。

黃癑（1988－），女，碩士研究生，研究方向：情報學理論。