最優組合賦權法在信息安全風險評估中的應用

劉加伶，付明明,馮　欣,張　紅

(重慶理工大學 計算機科學與工程學院，重慶　400054)

?

最優組合賦權法在信息安全風險評估中的應用

劉加伶，付明明,馮欣,張紅

(重慶理工大學 計算機科學與工程學院，重慶400054)

摘要：在互聯網環境下新運行的信息系統由于運行時間短，通過涉及的數據樣本不足以用定量分析方法量化分析出系統的安全狀況，而定性分析方法又過于依賴評估者的主觀經驗。為提高評估的科學性和有效性，依據拉格朗日條件極值原理，結合G1-法求出的主觀權重和熵權法求出的客觀權重，提出兼顧主客觀因素的最優組合賦權方法，并通過求解模型最優解以確定指標的最優組合權重。實例分析表明：在數據不足的情況下，最優組合賦權法兼顧了主客觀因素，評估結果能更合理地反映信息系統的信息安全現狀。

關鍵詞：信息安全風險評估；最優組合賦權；熵權法；G1-法

隨著電子商務、電子政務、智能城市等一系列信息化工程的快速發展，信息技術的應用一方面使得人們的工作、生活更加便捷和高效，另一方面也導致信息安全事件呈增長趨勢[8]。因此，如何科學、有效地評估出信息系統當前的安全狀況，對信息安全問題的控制和解決有十分重要的意義。

信息安全風險評估是從風險管理角度出發，運用科學的方法和手段，系統地分析信息系統面臨的威脅及存在的脆弱性，評估安全事件發生的可能性和危害程度[1]。其中，風險值的確定是信息安全風險評估的關鍵，而各評估指標權重的確定將直接影響風險值的確定，從而影響評估結果的科學性、合理性。目前，國內外學者對指標權重的確定方法主要有主觀賦權法、客觀賦權法、綜合賦權法[2-3]。主觀賦權法無需樣本數據，但過于依賴評估者的業務經驗，主觀性強[14]。客觀賦權法依賴樣本數據，樣本數據的量和質決定了評估結果的科學性和有效性[15]。付鈺等[4]運用熵權法確定了指標權重，在一定程度上克服了單一賦權法的缺點，然而評估結果中未能體現主客觀的重要程度，且對初始數據的依賴性較大，在信息系統涉及數據的質和量不足的情況下，難以有效地反映出系統的安全狀況。

實際評估工作中風險因素重要程度的差異是客觀存在的。新投入運行的信息系統收集的數據有限，難以用客觀評估方法準確評估出信息系統目前的安全狀況。為了合理解決以上問題，本文將主觀賦權法和客觀賦權法有效結合，使評估結果同時兼顧主觀和客觀信息，通過組合賦權法對新運行的信息系統進行風險評估，使結果能更合理、有效地反映系統此時的安全狀況。

1信息安全風險評估一般過程

根據國家標準《電信網和互聯網信息安全風險評估指南》YD/T 1730—2008[5]，信息安全風險評估一般過程分為5個階段：風險評估準備階段、風險要素識別階段、風險值確定階段、風險分析和風險結果判定階段。風險評估具體流程如圖1所示。風險評估過程的關鍵是風險值的確定，風險值的確定決定了風險分析和實施風險管理的有效性[11]。

圖1　風險評估實施流程

2基于最優組合賦權法的信息安全風險評估模型

基于最優組合賦權法的信息安全風險評估是綜合運用主觀賦權法和客觀賦權法對信息系統進行信息安全風險評估。對于新運行的信息系統，由于運行時間短，使用單一方法很難準確評估出此時的安全狀況，而最優組合賦權法能最大限度地考慮主客觀因素，使評估指標之間的主客觀差異更容易體現。

基于最優賦權法的信息安全風險評估方法如圖2所示。

圖2　基于最優組合賦權法信息安全風險評估

2.1基于G1-法的主觀權重確定

G1-法是指標偏好型法，該方法可以直接表達評價者主觀信息，在一定程度上克服了層次分析法中一致性檢驗、被比較元素個數較多時判斷的準確性難以保證等缺陷，計算過程較簡便[6]。

G1-法的主要步驟如下：

步驟2給出xj-1與xj間相對重要程度的比較判斷。設專家關于評價指標xj-1與xj的重要程度之比ωk-1/ωk的理性判斷為：

(1)

當m較大時，由序關系可取rm=1。

表1　rk的賦值參考表

步驟3確定主觀權重ωk。由式(2)可求出各個屬性的主觀權重。

(2)

2.2基于信息熵的客觀權重確定

信息熵確定權重的基本思路：首先確定所有方案在每個屬性上的熵，然后由每個屬性上熵的大小來確定權重。如果這個屬性上的熵比較大，則意味著所有方案在這個屬性上的變化較小，因此這個屬性對最后的評價結果貢獻較小。而如果這個屬性的熵較小，則結果正好相反[7]。

信息熵確定權重的主要步驟如下[9-10]：

其中：xij為對j個指標下的第i個評價對象的評價值。

步驟2計算第j項指標下第i個方案的特征比重：

(3)

步驟3計算熵值Ej：

(4)

其中：常數k可以取k=1/lnm。此時0≤Ej≤1，即Ej最大為1。

步驟4歸一化處理確定各屬性權重ωj：

(5)

歸一化的目的是讓所有屬性的權重之和為1。

2.3最優組合權重確定

最優組合賦權的思想是通過求解建立的組合權重模型，確定主客觀權重各自的比重，使得最終確定的組合權重更好地反映被評價系統的真實情況[6]。

(6)

(7)

使綜合評價值盡可能地分散并體現出不同被評對象之間的差異是多指標評價中組合賦權系數確定的原則。最優組合賦權問題可以轉化為求以下最優化問題：

(8)

由拉格朗日條件極值原理，可得：

(9)

2.4風險值確定

風險值與各風險因素的權重ω及其相應的隸屬矩陣P和評價集向量G的轉置正相關，3項相乘即可計算出第1層風險因素的風險值：

(10)

由公式(10)分別求出第1層風險因素：資產、威脅、脆弱性和已有安全措施的風險值Rc,Rt,Rf,Rp。

資產的風險因素有資產價值、威脅頻率、脆弱性價值和已有安全措施，這些因素與風險值都是正相關的。因此，將這些因素的風險值相乘即可得到資產對應某項弱點的風險值：

(11)

由于在風險分析時風險值是整數，所以在最后求得風險值時取整。

風險評估的評價集為

2.5風險分析

對風險值進行等級化處理。《YD/T 1730—2008》標準[5]把風險等級分為5級，風險等級描述如表2所示，每個等級代表了相應風險的嚴重程度，等級越高，風險越高。

結合不同資產已采取的安全措施判斷其風險值是否在可以接受范圍內，如果風險值在可以接受范圍內，則該風險是可接受風險，應保持已有的安全措施；如果風險值在可接受范圍外，則是不可接受風險，需要制定風險處理計劃并采取新的安全措施來降低、控制風險。

綜合考慮資產類別、風險控制成本與風險造成的影響，并結合資產所在網絡或系統的安全等級，提出一個可接受的風險閾值(風險值大于此閾值的風險視為不可接受)。

表2　風險等級判定

3案例分析

應用最優組合賦權法對C市聯通網絡運維部新運行的業務系統實施信息安全風險評估。調研該信息系統的實際情況并結合《電信網和互聯網信息安全風險評估指南》(YD/T 1730—2008)[5]標準，該信息系統的資產可以分為硬件、軟件、數據、服務、紙質和人員6類。由該系統的實際運行情況和相關安全等級要求并結合專家意見制定出該系統所涉及每類資產的風險閾值(表3)。

表3　風險閾值

為了驗證該方法的科學性和有效性，以系統的硬件資產為研究對象，根據相關標準將風險評價集定義如下：G=[很高，高，中等，低，很低]=[5,4,3,2,1]，其含義如表4所示。

風險評估中每個要素都有其特定屬性，資產的屬性是資產價值；威脅的屬性是威脅來源、發生頻率等；脆弱性的屬性是其被威脅利用的程度等；已有安全措施的屬性是已有安全措施有效性。通過實際調研并結合《YD/T 1730—2008》標準[2]，在遵循標準性、可控性、完備性、最小影響、保密性等原則的基礎上，根據業務系統實際運行情況，確定信息安全風險評估體系(見圖3)。

表4　風險評價集描述

圖3　信息安全風險評估體系

采用德爾菲法，邀請10位專家根據信息安全風險評估體系與風險評價集，對信息系統硬件資產的風險因素進行打分，將打分結果進行規范化處理得到隸屬矩陣(見表5)。

表5　隸屬矩陣

3.1主觀權重下的風險值

評估小組認為信息系統硬件資產的風險因素Xc1、Xc2、Xc3之間的重要性程度關系式為Xc3>Xc2>Xc1，且給出此時的r2=1.2,r3=1.4；Xt1、Xt2、Xt3風險因素之間的重要性程度關系式為Xt3>Xt2>Xt1，且給出此時的r2=1.2,r3=1.2；Xf1、Xf2風險因素之間的重要性程度關系式為Xf2>Xf1，且給出此時的r2=1.2；Xp1、Xp2風險因素之間的重要性程度關系式為Xp2>Xp1，且給出此時的r2=1.0。

利用序關系法，由式(2)可求出各屬性的主觀權重為：

(0.245,0.343,0.412)

(0.275,0.329,0.396)

由公式(10)求出第1層主觀權重下各要素的風險值：

(2.484,2.388,2.637,2.250)

將上述結果代入式(11)求出主觀權重下系統的硬件資產的風險值為35。

3.2客觀權重下的風險值

由熵權法的主要步驟計算出各風險因素的客觀權重為：

ω″c=(ω″c1,ω″c1,ω″c1)=

(0.654,0.149,0.197)

ω″t=(ω″t1,ω″t2,ω″t3)=

(0.631,0.290,0.079)

ω″f=(ω″f1,ω″f2)=(0.737,0.263)

ω″p=(ω″p1,ω″p2)=(0.572,0.428)

由式(10)求出第1層客觀權重下各要素的風險值為

(2.278,2.087,2.721,2.257)

將上述結果代入式(11)求出客觀權重下系統硬件資產的風險值為29。

3.3組合權重下的風險值

將上述求得的ω′,ω″代入式(9)和(10)，歸一化后得到每個屬性的主客觀相應系數為：

kc1= 0.566 0, kc2= 0.434 0

kp1= 0.500 0, kp2= 0.500 0

kt1= 0.499 3, kt2= 0.500 7

kf1= 0.474 0, kf2= 0.525 6

由式(6)求出第一層最優組合權重為：

ωc=(ωc1,ωc2,ωc3)=

(0.422 6, 0.258 7,0.318 7)

ωt=(ωt1,ωt2,ωt3)=

(0.453 2, 0.309 3, 0.237 5)

ωf=(ωf1,ωf2)=(0.603 3, 0.396 7)

ωp=(ωp1,ωp2)=(0.536 2, 0.463 8)

由式(10)求出第一層最優組合權重下各要素的風險值為

(2.395,2.238,2.681,2.254)

將上述結果代入式(11)，得出最優組合權重下系統硬件資產的風險值為32。

3.4結果分析

通過最優組合賦權法求得C市聯通網絡運維部新運行的業務信息系統涉及的硬件資產風險值為32，風險等級為3級。與只采用單一賦權模型得出的評估結果的對比見表6。

表6　組合賦權法和單一賦權法結果對比

根據得到的風險值并結合硬件資產的風險閾值，可以認為采用G1-法求得的風險值是不可接受風險，就此判斷應對硬件資產已有的安全措施進行相應改進，從而增加了風險控制成本。然而，實際上已有的安全措施可以控制現存風險，此結果可能受專家主觀經驗不足影響[12-13]。熵權法和最優組合賦權法求得的風險值都是可接受風險，然而熵權法求得的風險值相對偏低，可能受到數據量少的影響，而最優組合賦權法求得的風險值更客觀。

4結束語

綜合主觀權重和客觀權重各自的優缺點，在基于拉格朗日條件極值原理的基礎上，建立最優組合賦權模型，求得組合權重。通過實例驗證表明，該方法有效避免了人為因素對評價結果的影響，解決了因數據少而難以客觀反映系統信息安全狀況的問題。

參考文獻：

[1]楊玉明.淺析信息安全風險評估在企業信息化建設中的應用[J].中國電子商務,2012(2):218-218.

[2]OUYANG Y P,SHIEH H M,TZENG G H.A VIKOR technique with applications based on DEMATEL and ANP[Z].MCDM 2009,Communications in Computer and Information Science (CCIS).2009,35:780-799.

[3]BEREZINA KATERINA,COBANOGLU CIHAN,MILLER BRIAN L.The impact of information security breach on hotel guest perception of service quality,satisfaction,revisit intentions and word-of-mouth[J].Internation Journal of Contemporary Hospitality Management,2012,24(7):99-101.

[4]付鈺,吳曉平,葉清,等.基于模糊集與熵權理論的信息系統安全風險評估研究[J].電子學報,2010(7):1489-1494.

[5]YD/T 1730—2008.電信網和互聯網安全風險評估實施指南[S].北京:中華人民共和國信息產業部，2008.

[6]郭亞軍.綜合評價理論、方法及拓展[M].北京:科學出版社,2012.

[7]趙剛,劉換.基于多層次模糊綜合評判及熵權理論的實用風險評估[J].清華大學學報(自然科學版),2012(10):1382-1387.

[8]楊珂.淺談網絡信息安全現狀[J].數字技術與應用,2013(2):172.

[9]張璇,廖鴻志,李彤,等.基于信息熵和攻擊面的軟件安全度量[J].計算機應用,2013(1):19-22,48.

[10]付沙.一種基于信息熵的信息系統安全風險分析方法[J].情報科學,2013(6):38-42.

[11]陳頌,王光偉,劉欣宇,等.信息系統安全風險評估研究[J].通信技術,2012(1):128-130.

[12]劉佳,徐賜文.信息安全風險評估方法的比較分析[J].中央民族大學學報(自然科學版),2012(2):91-96.

[13]宋彪,朱建明.基于業務流程的ERP信息安全進化熵的風險評估[J].通信學報,2012(S1):210-215.

[14]SHA FU,YEZHI XIAO.An Effective Process of Information Security Risk Assessment[J].Energy Procedia,

2011.

[15]張弢,慕德俊,任帥,等.一種基于風險矩陣法的信息安全風險評估模型[J].計算機工程與應用,2010(5):93-95.

(責任編輯楊黎麗)

Application of Optimal Combined Weights Method in Information Security Risk Assessment

LIU Jia-ling, FU Ming-ming, FENG Xin, ZHANG Hong College of Computer Science and Engineering,

(Chongqing University of Technology, Chongqing 400054, China)

Abstract:The new on-line information system under the internet environment, due to the short running time, the data are insufficient to quantitative analyze the system’s security situation using the quantitative analysis method,while the qualitative analysis is too dependent on subjective assessment of the experience. To improve the scientificity and effectiveness of the assessment, Lagrange conditioned extreme value was presented, combined subjective weights confirmed by G1-Law and objective weights confirmed by entropy method, an optimal combination determining considering both subjective and objective weight information was put forward. The result show that， in the case of insufficient data, an optimal combination determining takes into account the objective and subjective factors and makes the evaluation results more reasonably reflect the information security status of the information system.

Key words:information security risk assessment; optimal combination weight; entropy method; G1-law

中圖分類號：TP309

文獻標識碼：A 1674-8425(2016)03-0087-07

doi:10.3969/j.issn.1674-8425(z).2016.03.015

作者簡介：劉加伶(1963—)，女，碩士，教授，主要從事信息管理與數據庫技術等方面研究。

基金項目：國家自然科學基金青年科學基金項目(61202348)

收稿日期：2015-10-20

引用格式：劉加伶，付明明,馮欣,等.最優組合賦權法在信息安全風險評估中的應用[J].重慶理工大學學報(自然科學)，2016(3):87-93.

Citation format：LIU Jia-ling, FU Ming-ming, FENG Xin, ZHANG Hong.Application of Optimal Combined Weights Method in Information Security Risk Assessment [J].Journal of Chongqing University of Technology(Natural Science)，2016(3):87-93.