張明慧 程紅霞

摘 ?要： 信息系統(tǒng)風(fēng)險(xiǎn)變化具有隨機(jī)性、不確定性，傳統(tǒng)方法無法準(zhǔn)確考慮信息系統(tǒng)風(fēng)險(xiǎn)這些變化特點(diǎn)，導(dǎo)致當(dāng)前信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的可靠性差、評(píng)估精度低。為了改善信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估效果，設(shè)計(jì)基于因子分析和神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型。首先，分析當(dāng)前信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的國內(nèi)外研究現(xiàn)狀，構(gòu)建完整的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo);然后，采用因子分析法從原始信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)中提取重要的指標(biāo)，采用神經(jīng)網(wǎng)絡(luò)對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的訓(xùn)練樣本進(jìn)行學(xué)習(xí)，構(gòu)建信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型;最后，通過仿真對(duì)比實(shí)驗(yàn)驗(yàn)證所提模型的合理性和優(yōu)越性。結(jié)果表明，所提模型可以準(zhǔn)確描述信息系統(tǒng)風(fēng)險(xiǎn)變化的隨機(jī)性、不確定性，獲得高精度的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估結(jié)果，改善了信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估效率，信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的整體性能要優(yōu)于當(dāng)前其他信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型。

關(guān)鍵詞： 信息系統(tǒng); 風(fēng)險(xiǎn)評(píng)估; 因子分析; 神經(jīng)網(wǎng)絡(luò); 評(píng)估指標(biāo); 研究現(xiàn)狀分析

中圖分類號(hào)： TN915.08?34; TP391 ? ? ? ? ? ? ? ? ? 文獻(xiàn)標(biāo)識(shí)碼： A ? ? ? ? ? ? ? ? ?文章編號(hào)： 1004?373X（2019）13?0101?05

Information system risk assessment model based on factor analysis and neural network

ZHANG Minghui， CHENG Hongxia

（School of Information Science and Technology， Zhengzhou Normal University， Zhengzhou 450044， China）

Abstract： Changes of information system risk are random and uncertain， and the change characteristics of information system risk aren′t accurately considered in traditional methods， which results in poor reliability and low assessment accuracy of the current information system risk assessment. In order to improve the effectiveness of information system risk assessment， an information system risk assessment model based on factor analysis and neural network is designed. The current research status at home and abroad is analyzed for information system risk assessment， and the complete information system risk assessment indexes are constructed. The factor analysis method is used to extract the important indexes from the original information system risk assessment indexes. The neural network is adopted to learn the training samples of information system risk assessment， and construct the information system risk assessment model. The rationality and superiority of the model are verified with simulation and comparative experiments. The results show that the model can accurately describe the randomness and uncertainty of information system risk changes， obtain high?precision information system risk assessment results， and improve the efficiency of information system risk assessment. The overall performance of the information system risk assessment model is better than that of other information system risk assessment models.

Keywords： information system; risk assessment; factor analysis; neural network; evaluation index; research status analysis

0 ?引 ?言

當(dāng)前大多數(shù)企業(yè)、單位以及部門都構(gòu)建了自己的信息管理系統(tǒng)，信息系統(tǒng)的應(yīng)用價(jià)值越來越高。信息系統(tǒng)安全是危害信息系統(tǒng)正常運(yùn)行最直接的表現(xiàn)。一些非法用戶一旦入侵到信息系統(tǒng)，會(huì)竊取一些重要數(shù)據(jù)，對(duì)企業(yè)、個(gè)人會(huì)造成很大的經(jīng)濟(jì)損失，因此采用各種技術(shù)和手段保證信息系統(tǒng)安全成為信息系統(tǒng)研究領(lǐng)域的焦點(diǎn)[1?3]。

信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估是一種關(guān)鍵信息系統(tǒng)安全保障技術(shù)，它可以對(duì)信息系統(tǒng)將來面臨的風(fēng)險(xiǎn)進(jìn)行估計(jì)，可以幫助信息系統(tǒng)管理人員了解信息系統(tǒng)安全的發(fā)展趨勢。為此，國內(nèi)外學(xué)者和專家對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估問題進(jìn)行了深入的分析和研究，并取得了不錯(cuò)的研究成果，涌現(xiàn)了許多有效的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型[4]。

信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型可以劃分為兩種類型。一種是基于定性分析的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型，主要有基于攻擊樹的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型、基于風(fēng)險(xiǎn)事件分類的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型、基于威脅傳播的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型等。這些定性分析的模型從理論上對(duì)信息系統(tǒng)風(fēng)險(xiǎn)整體變化態(tài)勢進(jìn)行把握，可以得到信息系統(tǒng)風(fēng)險(xiǎn)所處的等級(jí)，以及可以發(fā)生的后果，但是不能對(duì)信息系統(tǒng)風(fēng)險(xiǎn)進(jìn)行準(zhǔn)確量化處理和分析，很難建立準(zhǔn)確的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型。因此在實(shí)際應(yīng)用中難以推廣，缺陷十分明顯[5?7]。另一種是基于定量分析的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型，主要有層次分析法、模糊理論、貝葉斯方法、灰色理論、神經(jīng)網(wǎng)絡(luò)以及它們的組合方法[8?10]。基于定量分析的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型可以很好地描述信息系統(tǒng)風(fēng)險(xiǎn)變化特點(diǎn)，信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估結(jié)果更加可靠，而且信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估結(jié)果可解釋性更好。

在定量分析的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估建模過程中，理想的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系是獲得高精度評(píng)估結(jié)果的基礎(chǔ)[11?12]。在實(shí)際應(yīng)用中，信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估影響因子（指標(biāo)）相當(dāng)多，如果全部選擇，那么信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)信息重復(fù)大，而且導(dǎo)致輸入向量的維數(shù)過高，出現(xiàn)“維數(shù)災(zāi)”的問題，因此對(duì)評(píng)估指標(biāo)選擇具有重要的意義，可降低輸入向量的維數(shù)，加快信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的速度[12?15]。

為了改善信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的效果，設(shè)計(jì)基于因子分析和神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型（FA?NN）。首先采用因子分析法從原始信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)中提取重要的指標(biāo)，然后采用神經(jīng)網(wǎng)絡(luò)的自適應(yīng)學(xué)習(xí)能力構(gòu)建信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型，通過仿真實(shí)驗(yàn)驗(yàn)證本文模型的合理性和優(yōu)越性。

1 ?信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系的構(gòu)建

信息系統(tǒng)是一個(gè)復(fù)雜的系統(tǒng)，要建立一個(gè)性能優(yōu)異的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型，首先要構(gòu)建一個(gè)完整、科學(xué)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系，信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系直接影響模型能否準(zhǔn)確描述信息系統(tǒng)風(fēng)險(xiǎn)的各種影響因素，對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估時(shí)間也起著決定性的作用。風(fēng)險(xiǎn)評(píng)估指標(biāo)可以直接或間接地反映信息系統(tǒng)風(fēng)險(xiǎn)發(fā)生的影響因子，本文根據(jù)含義清楚、完整、易于量化的原則，參考相關(guān)研究對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)進(jìn)行構(gòu)建，信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系如圖1所示。

圖1 ?信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系

2 ?因子分析和神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型

2.1 ?因子分析法

在信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估過程中，通常情況下，希望能夠全面描述各種影響因素的作用，但是每一種類型的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估影響程度不同，而且各種信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)之間可能存在一定相關(guān)性，這樣信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)數(shù)多，并不代表可以獲得高精度的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估結(jié)果。

因子分析法（Factor Analyze，F(xiàn)A）可以采用幾個(gè)沒有相關(guān)性的綜合因子代表原始信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)，是一種有效的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)降維方法?；竟ぷ髟頌椋菏紫雀鶕?jù)相關(guān)性實(shí)現(xiàn)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)分組，同一組的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)之間相關(guān)性高，反之相關(guān)性較低。每一組信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)表示一個(gè)基本結(jié)構(gòu)，即稱之為公共因子，其可以保留原有信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)的主要信息。

設(shè)共有[p]個(gè)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)，[n]個(gè)樣本數(shù)據(jù)，那么因子分析法可以將[n]個(gè)樣本數(shù)據(jù)描述為[m

式中：[Ti]表示原信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo);[Xi]表示公共因子，因子間相互獨(dú)立、無相關(guān)性;[εi]表示獨(dú)特因子;[ωij]表示因子載荷，描述第[i]個(gè)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)在第[j]個(gè)公共因子上的重要程度。

2.2 ?因子分析法的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)選擇步驟

1） 對(duì)輸入信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)數(shù)據(jù)進(jìn)行標(biāo)準(zhǔn)化處理，消除信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)量綱差異，計(jì)算信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)的相關(guān)系數(shù)矩陣，具體為：

2） 構(gòu)造因子變量。對(duì)特征方程[λI-R=0]進(jìn)行求解，[I]表示全1矩陣，得到第[i]個(gè)指標(biāo)的特征值[λi（i=1，2，…，p）]，計(jì)算方差貢獻(xiàn)率和累積方差貢獻(xiàn)率。

3） 確定因子，根據(jù)累積方差貢獻(xiàn)率得到前[m]個(gè)因子，通常情況下累積方差貢獻(xiàn)率超過85%就行，前[m]個(gè)因子可以反映原始信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)的大部分信息。

4） 構(gòu)建因子載荷矩陣，具體為：

5） 將因子變量表示為原始信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)的線性組合，即：

利用原始信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)的線性組合計(jì)算因子變量的得分，增強(qiáng)因子的可解釋性。

2.3 ?BP神經(jīng)網(wǎng)絡(luò)

BP神經(jīng)網(wǎng)絡(luò)具有自適應(yīng)能力，可以較好地描述信息系統(tǒng)風(fēng)險(xiǎn)變化的隨機(jī)性和不確定性。BP神經(jīng)網(wǎng)絡(luò)通常有3層：輸入層、隱含層、輸出層，各層之間通常采用S型傳遞函數(shù)，具體為：

2.4 ?構(gòu)建信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型

BP神經(jīng)網(wǎng)絡(luò)克服了傳統(tǒng)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法對(duì)決策性判斷的依賴等缺陷，為此，本文選擇BP神經(jīng)網(wǎng)絡(luò)構(gòu)建信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型，該模型不需要事先準(zhǔn)確地知道信息系統(tǒng)風(fēng)險(xiǎn)等級(jí)與其指標(biāo)間的聯(lián)系，可以通過對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的訓(xùn)練樣本進(jìn)行學(xué)習(xí)，建立信息系統(tǒng)風(fēng)險(xiǎn)等級(jí)與其指標(biāo)之間的非線性關(guān)系，可以很好地模擬不同指標(biāo)和信息系統(tǒng)風(fēng)險(xiǎn)等級(jí)間的復(fù)雜映射?；贐P神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型工作過程主要包括2個(gè)階段，具體如下：

1） BP神經(jīng)網(wǎng)絡(luò)訓(xùn)練階段。根據(jù)信息系統(tǒng)風(fēng)險(xiǎn)等級(jí)，利用訓(xùn)練樣本進(jìn)行BP神經(jīng)網(wǎng)絡(luò)的學(xué)習(xí)，對(duì)BP神經(jīng)網(wǎng)絡(luò)進(jìn)行訓(xùn)練，建立信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型。

2） 評(píng)估階段。輸入未知等級(jí)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估樣本，根據(jù)建立的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型輸出信息系統(tǒng)風(fēng)險(xiǎn)等級(jí)。

因子分析和BP神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型流程如圖2所示。

圖2 ?信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型流程

3 ?信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的實(shí)例分析

3.1 ?信息系統(tǒng)風(fēng)險(xiǎn)樣本數(shù)據(jù)

為了評(píng)價(jià)因子分析和神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型的效果，采用一個(gè)企業(yè)的信息系統(tǒng)作為研究目標(biāo)，采集其一段時(shí)間內(nèi)的信息系統(tǒng)風(fēng)險(xiǎn)樣本數(shù)據(jù)，共獲得信息系統(tǒng)風(fēng)險(xiǎn)樣本數(shù)據(jù)200個(gè)。隨機(jī)選擇50個(gè)作為驗(yàn)證樣本，分析本文所構(gòu)建的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型的性能，信息系統(tǒng)風(fēng)險(xiǎn)共劃分為5個(gè)等級(jí)，具體如表1所示。

表1 ?信息系統(tǒng)風(fēng)險(xiǎn)的等級(jí)劃分

3.2 ?提取信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)的重要公共因子

采用因子分析對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)進(jìn)行處理，計(jì)算公共因子的方差貢獻(xiàn)率以及累積方差貢獻(xiàn)率，前5個(gè)公共因子的累積方差貢獻(xiàn)率達(dá)到了92.03%，那么表示這5個(gè)公共因子就可以描述圖1中9個(gè)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)的能力，它們的累積方差貢獻(xiàn)率具體如表2所示。

表2 ?信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估公共因子的貢獻(xiàn)率

從表2可以看出，因子分析可以省略對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估結(jié)果影響較小的指標(biāo)，達(dá)到了優(yōu)化信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)的目的，消除了信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)中的冗余信息，有效地簡化了信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)，為后續(xù)對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估建模效率的提高起到一定的作用。

3.3 ?本文方法的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估結(jié)果

為了增強(qiáng)本文模型的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估測試結(jié)果的說服力，進(jìn)行5次評(píng)估測試實(shí)驗(yàn)。每一次的訓(xùn)練樣本和驗(yàn)證樣本采用隨機(jī)方式進(jìn)行選擇，統(tǒng)計(jì)每一次測試的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估正確率，具體如圖3所示。

圖3 ?本文模型的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估正確率

對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估正確率進(jìn)行分析可知，本文模型的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估正確率均超過了95%，信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估誤差遠(yuǎn)低于應(yīng)用控制范圍，表明本文模型是一種結(jié)果可信、性能穩(wěn)定、正確率較高的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型。

3.4 ?與當(dāng)前其他信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型的綜合性能對(duì)比

選擇文獻(xiàn)[13?15]的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型進(jìn)行對(duì)比測試，統(tǒng)計(jì)各種信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的正確率以及評(píng)估的建模時(shí)間，結(jié)果如表3所示。

表3 ?信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的整體性能比較

從表3可知，本文模型信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估正確率得到了一定提升，而且減少了信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的建模時(shí)間，這是因?yàn)橐肓艘蜃臃治龇p少了信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型的輸入向量數(shù)量，降低了信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估建模的計(jì)算復(fù)雜度，使整個(gè)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估整體性能更優(yōu)。

4 ?結(jié) ?論

針對(duì)當(dāng)前信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估過程存在的難題，提出因子分析和神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型，具體過程為：

1） 在分析現(xiàn)有信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估相關(guān)研究的基礎(chǔ)上，構(gòu)建相應(yīng)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系。

2） 引入因子分析對(duì)信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)進(jìn)行處理，簡化了信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估的輸入，提升了信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型的工作效率。

3） 利用神經(jīng)網(wǎng)絡(luò)擬合信息系統(tǒng)風(fēng)險(xiǎn)的變化特點(diǎn)，建立性能優(yōu)異的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型。

4） 通過具體的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估實(shí)例驗(yàn)證了本文模型的性能。本文模型的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型整體性能要明顯優(yōu)于對(duì)比的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型，解決了當(dāng)前信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估模型的復(fù)雜性和正確率低的問題?？蔀橛嘘P(guān)部門估計(jì)信息系統(tǒng)風(fēng)險(xiǎn)、選擇合理的信息系統(tǒng)風(fēng)險(xiǎn)防范措施提供科學(xué)的參考依據(jù)，具有較高的實(shí)際應(yīng)用價(jià)值。

參考文獻(xiàn)

[1] 宋艷，陳冬華.信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估綜述[J].情報(bào)理論與實(shí)踐，2009，32（5）：114?116.

SONG Yan， CHEN Donghua. Summary of information system security risk assessment [J]. Information studies： theory & application， 2009， 32（5）： 114?116.

[2] 謝麗霞，孫偉博.B2C電子商務(wù)信息系統(tǒng)操作風(fēng)險(xiǎn)評(píng)估方法研究[J].計(jì)算機(jī)應(yīng)用與軟件，2016，33（9）：43?45.

XIE Lixia， SUN Weibo. On operational risk assessment of B2C e?commerce information system [J]. Computer applications and software， 2016， 33（9）： 43?45.

[3] 畢東旭，林家駿.復(fù)雜信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估框架與流程[J].計(jì)算機(jī)工程，2015，41（4）：156?160.

BI Dongxu， LIN Jiajun. Risk assessment framework and process of complex information system [J]. Computer engineering， 2015， 41（4）： 156?160.

[4] 王楨珍，武小悅，謝永強(qiáng).基于面向?qū)ο蟮男畔⑾到y(tǒng)風(fēng)險(xiǎn)評(píng)估方法[J].計(jì)算機(jī)工程與應(yīng)用，2009，45（30）：92?94.

WANG Zhenzhen， WU Xiaoyue， XIE Yongqiang. Object?oriented based method of information system risk evaluation [J]. Computer engineering and applications， 2009， 45（30）： 92?94.

[5] 王娜，張健，王晉東，等.單調(diào)指標(biāo)空間在信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估中的應(yīng)用研究[J].計(jì)算機(jī)工程與科學(xué)，2015，37（3）：486?491.

WANG Na， ZHANG Jian， WANG Jindong， et al. Application research of monotonic index space in information system risk evaluation [J]. Computer engineering & science， 2015， 37（3）： 486?491.

[6] 任秋潔，潘剛，白永強(qiáng)，等.基于FAHP和攻擊樹的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估[J].電子技術(shù)應(yīng)用，2018，44（8）：113?117.

REN Qiujie， PAN Gang， BAI Yongqiang， et al. Security risk assessment of information system based on FAHP and attack tree [J]. Application of electronic technique， 2018， 44（8）： 113?117.

[7] 馬剛，杜宇鴿，榮江，等.基于威脅傳播的復(fù)雜信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估[J].清華大學(xué)學(xué)報(bào)（自然科學(xué)版），2014，54（1）：35?43.

MA Gang， DU Yuge， RONG Jiang， et al. Risk assessment of complex information system security based on threat propagation [J]. Journal of Tsinghua University （Science and technology）， 2014， 54（1）： 35?43.

[8] 袁光輝，樊重俊，熊紅林，等.基于貝葉斯方法的信息系統(tǒng)整合風(fēng)險(xiǎn)評(píng)估研究[J].上海理工大學(xué)學(xué)報(bào)，2014，36（1）：60?64.

YUAN Guanghui， FAN Chongjun， XIONG Honglin， et al. Risk assessment of information system integration based on Bayesian method [J]. Journal of University of Shanghai for Science and Technology， 2014， 36（1）： 60?64.

[9] 李晨旸，張曉梅，李媛.一種基于層次分析法的大規(guī)模信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估方法[J].計(jì)算機(jī)應(yīng)用與軟件，2013，30（10）：322?325.

LI Chenyang， ZHANG Xiaomei， LI Yuan. A large?scale info?rmation system security risk assessment method based on analytic hierarchy process [J]. Computer applications and software， 2013， 30（10）： 322?325.

[10] 黃劍雄，丁建立.基于模糊分析的信息系統(tǒng)風(fēng)險(xiǎn)灰色評(píng)估模型[J].計(jì)算機(jī)工程與設(shè)計(jì)，2012，33（4）：1285?1289.

HUANG Jianxiong， DING Jianli. Evaluation model for information system risk based on fuzzy analysis [J]. Computer engineering and design， 2012， 33（4）： 1285?1289.

[11] 付鈺，吳曉平，宋業(yè)新.模糊推理與多重結(jié)構(gòu)神經(jīng)網(wǎng)絡(luò)在信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估中的應(yīng)用[J].海軍工程大學(xué)學(xué)報(bào)，2011，23（1）：10?15.

FU Yu， WU Xiaoping， SONG Yexin. Application of fuzzy reasoning and multi?layer neural network to security risk assessment of information system [J]. Journal of Naval University of Engineering， 2011， 23（1）： 10?15.

[12] 付鈺，吳曉平，王甲生.基于模糊?組合神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估[J].海軍工程大學(xué)學(xué)報(bào)，2010，22（1）：18?23.

FU Yu， WU Xiaoping， WANG Jiasheng. An approach to information systems security risk assessment based on fuzzy?combinatorial neural network [J]. Journal of Naval University of Engineering， 2010， 22（1）： 18?23.

[13] 李廷元，范成瑜，秦志光，等.基于風(fēng)險(xiǎn)事件分類的信息系統(tǒng)評(píng)估模型研究[J].計(jì)算機(jī)應(yīng)用，2009，29（10）：2806?2808.

LI Tingyuan， FAN Chengyu， QIN Zhiguang， et al. Risk assessment model for information system based on classification of risk events [J]. Journal of computer applications， 2009， 29（10）： 2806?2808.

[14] 馬佶.基于灰色模糊理論的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估[J].情報(bào)雜志，2009，28（4）：56?59.

MA Ji. Information system risk assessment based on grey fuzzy theory [J]. Journal of intelligence， 2009， 28（4）： 56?59.

[15] 趙保華.層次分析法和神經(jīng)網(wǎng)絡(luò)的信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估[J].微電子學(xué)與計(jì)算機(jī)，2015，32（10）：163?166.

ZHAO Baohua. Risk evaluation of information system security based on neural network and analytic hierarchy process [J]. Microelectronics & computer， 2015， 32（10）： 163?166.