羅 佳，楊世平

(1.貴州大學(xué) 計算機(jī)科學(xué)與信息學(xué)院，貴州 貴陽 550025；2.貴州大學(xué) 明德學(xué)院，貴州 貴陽 550004)

隨著信息技術(shù)的飛速發(fā)展，來自信息領(lǐng)域，網(wǎng)絡(luò)世界的威脅頻繁出現(xiàn)，信息系統(tǒng)及所承載的信息和服務(wù)的安全性變得尤為重要。信息和信息服務(wù)在保密性、完整性、可用性等方面出現(xiàn)漏洞都將給組織帶來不同程度的影響。開展信息安全風(fēng)險評估，對網(wǎng)絡(luò)和信息系統(tǒng)的資產(chǎn)價值、潛在的安全威脅、薄弱環(huán)節(jié)進(jìn)行分析，可以做到心中有數(shù)，可以發(fā)現(xiàn)信息系統(tǒng)中存在的主要安全問題，并找到解決這些問題的方法，有針對性地進(jìn)行管理。通過識別分析信息系統(tǒng)風(fēng)險要素的相互關(guān)系和層次結(jié)構(gòu)，建立一種信息系統(tǒng)灰色模糊多層風(fēng)險綜合評估模型。利用專家評判法構(gòu)造系統(tǒng)風(fēng)險要素指標(biāo)評判樣本矩陣，確立風(fēng)險評價灰類的等級數(shù)、灰類的灰數(shù)及白化權(quán)函數(shù)，通過灰色統(tǒng)計法計算出灰色評價權(quán)矩陣，即模糊綜合評判矩陣。通過模糊綜合評判法量化評估系統(tǒng)資產(chǎn)面臨威脅發(fā)生的可能性及威脅利用脆弱性產(chǎn)生的后果，以此量化系統(tǒng)資產(chǎn)及系統(tǒng)面臨的風(fēng)險，該方法可以減少評估的主觀性。

1信息安全風(fēng)險評估方法

目前國內(nèi)外存在很多風(fēng)險評估的方法，但還沒有統(tǒng)一的信息安全風(fēng)險分析的方法。從計算方法上分為定性分析方法、定量分析方法、定性與定量相結(jié)合的分析方法[1-2]。

1.1定量評估方法

定量評估方法是指運(yùn)用數(shù)量指標(biāo)對風(fēng)險進(jìn)行評估，定量分析方法的優(yōu)點(diǎn)是用直觀的數(shù)據(jù)來表述評估的結(jié)果，看起來一目了然，而且比較客觀。但也常常為了量化，容易簡單化、模糊化，會造成誤解和曲解。而且由于數(shù)據(jù)統(tǒng)計缺乏長期性，計算過程又容易出錯，所以定量分析的細(xì)化非常困難。

1.2定性評估方法

定性分析方法主要依據(jù)研究者的知識、經(jīng)驗(yàn)、歷史教訓(xùn)、政策走向及特殊變例等非量化資料對系統(tǒng)風(fēng)險狀況做出判斷。典型的定性分析方法有德爾菲法、矩陣法等。定性分析方法的優(yōu)點(diǎn)是避免了定量分析方法的缺點(diǎn)，可以挖掘出一些蘊(yùn)藏很深的思想，使評估的結(jié)論更全面深刻，但它的缺點(diǎn)也顯而易見，即主觀性強(qiáng)，對評估者要求很高。

1.3定性與定量結(jié)合的評估方法

信息系統(tǒng)風(fēng)險評估是個復(fù)雜的過程，需要考慮的因素很多，有些評估要素是可以用量化的形式來表達(dá)，而對有些要素的量化又是很困難甚至是不可能的。定量分析是定性分析的基礎(chǔ)和前提，定性分析應(yīng)該建立在定量分析的基礎(chǔ)上，不能將定性分析方法與定量分析方法簡單地割裂開來，而是將這兩種方法結(jié)合起來，采用綜合分析方法。主要的綜合分析方法有層次分析法、概率風(fēng)險評估和模糊綜合評價法等。

2 信息安全風(fēng)險評估的計算方法[3]

風(fēng)險是威脅發(fā)生的可能性，是薄弱點(diǎn)被威脅利用的概率潛在的函數(shù) ，R=R(A，T，V)=R(L(T，V)，P(Ia，Va))其中A為資產(chǎn)；T為威脅；V為脆弱性；Ia為資產(chǎn)的重要程度；Va為資產(chǎn)的脆弱性；L(T，V)為威脅利用資產(chǎn)脆弱性的可能性；P(Ia，Va)為作用的資產(chǎn)價值及其脆弱性的嚴(yán)重程度[3]，風(fēng)險計算原理如圖1所示。

圖1 風(fēng)險計算原理圖

3信息系統(tǒng)安全風(fēng)險的模糊綜合評判模型

3.1信息安全風(fēng)險要素關(guān)系

信息安全風(fēng)險評估是圍繞著資產(chǎn)、脆弱性和威脅展開的。通過信息安全風(fēng)險要素關(guān)系圖可知，風(fēng)險是潛在的安全事件發(fā)生的可能性和后果，評估量化風(fēng)險，就是量化安全事件發(fā)生的可能性和后果。在應(yīng)用灰色綜合評估方法評估信息系統(tǒng)的風(fēng)險時，應(yīng)先建立信息系統(tǒng)風(fēng)險評估指標(biāo)體系，通過對信息系統(tǒng)的風(fēng)險本質(zhì)進(jìn)行分析，可建立風(fēng)險評估指標(biāo)體系[4]，信息安全風(fēng)險評估指標(biāo)體系如表1所示。

3.2確立評價指標(biāo)集

設(shè)評價因素集 u={u1，u2，…，un}，根據(jù)所建立的評估指 標(biāo) 體 系 ， 第 一 級 評 價 指 標(biāo) 為 ：{u1，u2，u3，u4，u5，u6}， 第二 級 指 標(biāo) 為 ：u1={u11，u12，u13，u14，u15，u16}，u2={u21，u22}，u3={u31，u32}，u4={u41，u42，u43}，u5={u51，u52，u53}，u6={u61，u62}。

表1 信息安全風(fēng)險評估指標(biāo)體系

3.3 評判指標(biāo)權(quán)重的確立[5]

在多層次評估中，各個評估指標(biāo)的重要程度通常是不同的，權(quán)重的確定是否合理、科學(xué)，直接影響著評價的準(zhǔn)確性。權(quán)重的構(gòu)造通過AHP法來確定?？梢詫⑷说闹饔^判斷用數(shù)量形式表達(dá)和處理，可以同時處理可定量和不易定量因素，也可以提示人們對問題的主觀判斷是否一致?？煞譃?個步驟：(1)建立問題的遞階層次結(jié)構(gòu)；(2)構(gòu)造兩兩比較判斷矩陣；(3)由判斷矩陣計算被比較元素的相對權(quán)重；(4)計算各層元的組合權(quán)重。先對第二層次的要素以第一層為準(zhǔn)則進(jìn)行兩兩比較并根據(jù)評定尺度確定其相對重要度，建立判斷矩陣：

其中，n為判斷矩陣的階數(shù)。當(dāng)CI＜0.1時，表明矩陣一致性成立，各項(xiàng)權(quán)重?zé)o邏輯錯誤。通過AHP法可以計算出一級指標(biāo)，二級指標(biāo)權(quán)重向量。

3.4 信息系統(tǒng)風(fēng)險評價等級和評分標(biāo)準(zhǔn)[6]

按照《GB/T 20984-2007信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》的要求，結(jié)合安全保護(hù)等級的分級和國際危機(jī)管理的分級慣例，將風(fēng)險的評價等級分為五級，即很高、高、中、低、很低，為將定性指標(biāo)轉(zhuǎn)換為定量指標(biāo)，應(yīng)相應(yīng)地對各個指標(biāo)賦值。按照5分制原則確定各等級的賦分，則 5 個評定等級分?jǐn)?shù)分別為 5、4、3、2、1，指標(biāo)等級介于兩者之間的相應(yīng)的評分為 4.5、3.5、2.5、1.5、0.5各值。

3.5 評價樣本矩陣及評價灰類的確定[7]

3.5.1評價樣本矩陣的確定

設(shè)有n位專家參與評價，dti表示第t位專家對第i=(1，2，…，m)個指標(biāo)給出的評分，這樣全部專家對評價指標(biāo)的評價數(shù)據(jù)構(gòu)成評價樣本矩陣：

3.5.2確定評價灰類

由于專家水平的局限性及認(rèn)識角度上的差異，只能給出一個灰數(shù)的白化值。為了真正反映屬于某類的程度，需要確定評價灰類，即：要確定評價灰類的等級數(shù)、灰類的灰數(shù)及白化權(quán)函數(shù)。評價灰類要根據(jù)評價等級，通過定性分析確定。這里設(shè)有5個評價灰類分別是很高、高、中、低、很低。第 1 類：j=1，?∈[5，∞)，第 2 類：j=2，?∈(0，4，8)，第 3 類：j=3，?∈(0，3，6)，第 4 類：j=4，?∈(0，2，4)，第 5 類：j=5，?∈(0，1，2)。 以灰類的樣本dij為橫坐標(biāo)，以灰數(shù)確認(rèn)度f為縱坐標(biāo)的最少信息圖像，稱為灰類的白化權(quán)函數(shù)，各類的白化權(quán)函數(shù)分別設(shè)為：f1(dti)，f2(dti)，f3(dti)，f4(dti)，f5(dti)，根 據(jù) 白 化 權(quán) 函 數(shù) 定 義可設(shè)5個白化權(quán)函數(shù)分別為：

3.6計算灰色評價系數(shù)

3.7 綜合計算灰色模糊評價結(jié)果[8]

信息系統(tǒng)風(fēng)險是安全事件發(fā)生概率及其后果的函數(shù)，若已知安全事件發(fā)生概率及后果的函數(shù)，則關(guān)于風(fēng)險的計算為：

可求得風(fēng)險值：R=Lp×Lc。

灰色模糊綜合評判法是將灰色理論與模糊綜合評價法結(jié)合起來，并將定性與定量計算相結(jié)合的一種方法。由于信息系統(tǒng)風(fēng)險的灰色模糊性，通過識別分析信息系統(tǒng)風(fēng)險要素的相互關(guān)系和層次結(jié)構(gòu)，建立一種信息系統(tǒng)灰色模糊多層風(fēng)險綜合評估模型，量化評估系統(tǒng)資產(chǎn)面臨安全事件發(fā)生的可能性及安全事件發(fā)生產(chǎn)生的后果，該方法可以減少評估的主觀性，使系統(tǒng)風(fēng)險量化評估結(jié)果更客觀，從而采取相應(yīng)的措施來降低風(fēng)險，使風(fēng)險降低到一個可接受的水平。

[1]范紅，馮登國，吳亞非.信息安全風(fēng)險評估方法與應(yīng)用[M].北京：清華大學(xué)出版社，2006.

[2]王英梅，王勝開，程湘云.信息安全風(fēng)險評估[M].北京：電子工業(yè)出版社，2007.

[3]吳亞非，李新友，祿凱.信息安全風(fēng)險評估[M].北京：清華大學(xué)出版社，2006.

[4]胡勇.信息系統(tǒng)風(fēng)險量化評估指標(biāo)體系[J].四川大學(xué)學(xué)報(自然科學(xué)版)，2006，43(5)：1048-1052.

[5]史簡，郭山清，謝立.一種實(shí)時的信息安全風(fēng)險評估方法[J].計 算 機(jī) 工 程 與 應(yīng) 用 ，2006(1)：109-110.

[6]馮建湘，唐嶸，王雙維.軟件質(zhì)量的灰色關(guān)聯(lián)分析及其應(yīng)用[J].計算機(jī)工程，2004，30(9)：91-92.

[7]劉思峰，方志耕.灰色系統(tǒng)理論及其應(yīng)用[M].北京：科學(xué)出版，1991.

[8]梁保松，曹殿立．模糊數(shù)學(xué)及其應(yīng)用[M].北京：科學(xué)出版社，2007．

[9]范紅，馮登國.信息安全風(fēng)險評估實(shí)施教程[M].北京：清華大學(xué)出版，2006.