一種基于熵權和模糊集理論的信息系統風險評估方法

〔摘 要〕針對信息系統安全風險評估的準確性問題，提出一種熵權理論與模糊集理論相結合的信息系統安全風險評估方法。該方法通過模糊集理論對信息系統所涉及的風險因素進行分析，構造各因素所對應評判集的隸屬度矩陣；然后采用熵權系數法確定風險因素權重以減少主觀偏差并輸出信息系統安全風險等級。通過實例分析，證明該方法能較準確地量化評估信息系統風險，是一種有效、可行的評估方法。

〔關鍵詞〕熵權；信息系統；風險評估；模糊集合；指標權重

信息系統作為國家信息化建設的重要組成部分，其安全問題涉及國家和信息系統用戶的根本利益，然而就在整個信息化程度日益加深、技術進步為大家帶來驚喜的同時，信息系統所面臨的安全風險和威脅亦日趨嚴重。為保障信息系統安全與正常運行，則須找出可能導致其癱瘓的重大缺陷，而解決該問題的有效途徑之一則是對其進行安全風險評估。綜合國內外研究文獻來看，信息系統風險評估主要依靠層次分析法、模糊綜合評判法、BP神經網絡法、灰色綜合評價法和矩陣分析法等多種方法，目前已取得了一些研究成果[1-4]。信息系統的安全風險評估涉及資產識別、威脅識別、脆弱性識別、風險識別和風險大小的量化等，工作極富艱巨性。其中，風險的量化是非常重要的環節，直接關系到對風險狀況的正確認識、安全投入的多少和安全措施部署的優先順序[5]。由于信息系統風險包含大量模糊的、不確定性的影響因素且相互關聯，相應信息不完全，使得運用傳統方法評估其安全風險存在很大困難，極易降低評估的準確性。因此，針對該問題，在已有的多種評估方法基礎上結合信息論中的熵權理論來對信息系統安全問題進行新視角的定量分析[6]。

1 信息系統安全風險評估基礎信息系統的安全風險是客觀存在的，其源自自然或人為的威脅利用信息系統存在的脆弱性造成安全事件的發生。風險評估的目的是運用科學的方法和手段系統地分析網絡與信息系統所面臨的威脅及其存在的脆弱性，評估安全事件一旦發生可能造成的危害程度，提供有針對性的、有效的防護對策和整改措施[7]。根據BS7799標準[8]定義，風險是指威脅主體利用資產的脆弱性對其造成損失或破壞的可能性。信息安全風險R被表示為資產、威脅和脆弱性的函數，即R=g（a，t，v），其中：a為資產影響；t為對系統的威脅頻度；v為脆弱性嚴重程度。GB/T20984-2007將資產影響、威脅頻度、脆弱性嚴重程度均定義為5個等級[9]，具體表述為：很高、高、中、低、很低。