基于灰色模糊理論的信息系統安全風險評估研究

付沙楊 波李博

〔摘要〕針對信息系統安全風險中信息不完全性和概念不明確性的特點，運用灰色模糊理論探索信息系統的評估問題，在分析信息系統風險因素的基礎上，建立一套較為全面的指標體系對其進行綜合評估。以灰色系統理論和模糊集理論為依據，將隸屬度和灰度綜合到評估過程中，構建信息系統安全風險的灰色模糊綜合評價模型，計算信息系統的風險等級。通過實例分析證明該模型在其應用中的可行性與有效性。

〔關鍵詞〕灰色系統理論；模糊集理論；信息系統；風險評估；指標體系

DOI：10.3969/j.issn.1008-0821.2013.07.007

〔中圖分類號〕TP393；O159〔文獻標識碼〕A〔文章編號〕1008-0821（2013）07-0034-04

Information System Security Risk Assessment Based on Grey Fuzzy TheoryFu ShaYang BoLi Bo

（Hunan University of Finance and Economics，Changsha 410205，China）

〔Abstract〕With the informations incomplete and concepts is not clear of information systems security risk，used grey fuzzy theory to explore the assessment problem of information systems，and on the basis of information systems risk factors analysis，created a more comprehensive index system to give comprehensive assessment.Based on grey system theory and fuzzy set theory，and integrate degree of membership and gray in evaluation process，this paper built the grey fuzzy comprehensive evaluation model of information system security risk，calculated the risk level of the information system.The case analysis proved the feasibility and effectiveness of the model in its application.

〔Key words〕grey system theory；fuzzy set theory；information system；risk assessment；index system

當今，伴隨全球化信息時代的深入，信息的觸角已延伸至國家與社會的各個角落。人們在享受信息所帶來的諸多便利時，亦承受著史無前例的影響與控制。隨著信息技術的飛速發展，以網絡為載體、視信息資源為核心的信息系統規模不斷擴大，緊跟其腳步的信息戰與網絡攻擊事件逐步升級，信息系統所面臨的安全風險及威脅日趨嚴峻。如何為信息系統長期在安全與正常狀態的運行中處于較高水平提供有力保障是當前亟需解決的問題，而解決該問題的有效途徑之一則是對其進行有效的安全風險評估。

信息系統風險評估中，存在著許多模糊不確定因素，亦面臨著評估者對信息掌握的不完全以及收集資料不充分的問題，導致其精確評估困難重重，這就要求在評估過程中綜合考慮模糊性與灰色性兩方面的影響[1]。綜合分析國內外相關文獻，眾多學者運用模糊綜合評判法、灰色系統理論、粗糙集理論、BP神經網絡、貝葉斯網絡、矩陣分析法等多種方法建立信息系統安全風險評估模型，其研究成果目前已有一定收獲[2-6]。但上述單一評估方法并未全面考慮風險信息的模糊性與灰色性，對系統數據較少及條件不滿足統計要求的情況亦有忽視。因此，針對單一評估方法的缺陷，運用灰色系統理論與模糊集理論，構建信息系統安全風險的灰色模糊綜合評價模型，將灰色模糊綜合評價方法引入對風險因素的評估，綜合考慮多種因素的影響并對系統做出綜合評判。目前，將灰色系統理論和模糊集理論應用于信息系統風險評估的研究尚不成熟，期望通過本文提出一種科學、合理的評估方案，并與其他研究者共同探討此類問題。

1灰色模糊理論概述

1.1灰色系統理論

1982年，我國學者鄧聚龍教授首次提出灰色系統理論[7]?；疑到y指的是系統中兼包含有白色參數（己知參數）與黑色參數（未知參數），具體研究內容包括客觀事物的量化、建模、預測、決策、控制等。灰色系統理論以部分信息已知，部分信息未知的小樣本、貧信息不確定性系統為研究對象，通過對已知信息的生成、開發，從而提取有價值的信息，以實現對系統運行行為、演化規律的正確描述與有效監控。

灰色系統理論對于信息不精確、不完全確知的小樣本系統具有明顯的理論分析優勢，但針對事物的不確定性、多變量輸入、離散數據以及數據的不完整性等問題做有效處理，還可以根據現有序列進行預測[8]。該理論從信息的非完備性出發研究和處理復雜系統，它不是從系統內部的特殊規律出發來研究系統，而是通過對系統某一層次的觀測資料加以數學處理，達到在更高層次上了解系統內部變化趨勢、相互關系等機制[9]。

1.2模糊集理論

模糊集理論亦稱模糊集合論，或稱為模糊集。美國學者L.A.扎德（L.A.Zadeh）于1965年在數學上創立了一種用于描述模糊現象的方法——模糊集合論，從而開創了對模糊系統與模糊控制理論的研究。該方法將待考察的對象及反映它的模糊概念作為模糊集合，建立適當的隸屬函數，通過一系列運算與變換，對模糊對象進行分析。它以模糊數學為基礎，研究關于非精確的現象。

基于灰色模糊理論的信息系統安全風險評估研究2信息系統安全風險評估模型

2.1信息系統風險評估指標體系的構建

信息系統的安全風險涉及物理安全、邏輯安全以及安全管理等多方面，根據ISO/IEC 15408和信息技術安全通用要求（GJB5095-2002），本文從物理環境安全、網絡運行安全、信息安全保密和安全保密管理4個層面對信息系統進行安全風險評估[10-11]，其層次結構模型如圖1所示。圖1信息系統安全風險評估指標體系

2.2信息系統安全風險的模糊性和灰色性

模糊性指的是客觀事物在歸屬和狀態上的不分明性。在風險評估過程中，信息系統越復雜則模糊性愈大；評價因素越多，則綜合評判愈模糊。該情況下，模糊數學則可彌補統計數學的不足?；疑灾傅氖钦J識的不完全性或未確定性。信息系統安全風險中的諸多因素難以用確切的數學語言描述，這些信息存在不完全性與不確定性，即風險評價信息為灰色的[12]。

上文在探討信息系統安全風險評估指標時，不難發現其模糊性與灰色性并存的特點，評估過程中同時考慮這兩個特性必然比只考慮其中之一更能反映實際情況。因此，本文針對其信息的模糊性與灰色性，結合模糊集理論與灰色系統理論，采用灰色模糊綜合評價方法進行風險評估并建立相應模型。該做法體現了模糊集理論在處理評價這類模糊問題的長處，亦發揮了灰色系統理論對于信息不精確、不完全確知的小樣本系統的優勢。

2.3灰色模糊綜合評價模型

類似于模糊綜合評判，灰色模糊綜合評判的數學模型也分為一級模型和多級模型兩類，亦稱為單層次模型與多層次模型，其本質是相同的。設被評價對象因素集U={u1，u2，…，un}，相關因素有n個；對各因素的評語集V={v1，v2，…，vm}，出現的評語有m個。

Step 1確定權重集

權重集用于描述評價對象與因素集之間的灰色模糊關系。根據圖1所示的影響因素遞階層次關系，給出同一層次中各因素關于上一層準則的權重及相應的點灰度，構成權重集。邀請多位專家對各級指標因素的權重值進行分散評定，并根據自身對指標因素的熟悉程度給出權重賦值的對應灰度值，依據信息的充分程度劃分出5個等級，分別對應灰度值{0～0.2，0.2～0.4，0.4～0.6，0.6～0.8，0.8～1.0}[13]，如表1所示。表1信息量對應灰度的取值

序號信息量灰度值序號信息量灰度值1充分0～0.24較貧乏0.6～0.82較充分0.2～0.45貧乏0.8～1.03一般0.4～0.6

對收集到的所有權重賦值數據求均值并作歸一化處理，同時將權重值所對應的灰度賦值求均值，得到各級指標因素權重對應的灰色模糊集合：

Step 3逐層進行灰色模糊綜合評價

在得到某層級指標的灰色模糊評判矩陣及相應指標權重的灰色模糊集合后，通過合成運算可得到該層指標對上一層指標因素的灰色模糊綜合評價結果，且評價結果集（1，2，…，i）可組成上層指標因素的灰色模糊評判矩陣=（1，2，…，i）T。逐層向上做合成運算，得到頂層因素的灰色模糊綜合評價結果值。為了盡可能多的保留評價信息，以使評價結果最貼近實際，合成運算在模部運算中采用M（·，+）算子，在灰部運算中采用M（⊙，+）算子[14]。由此，得到灰色模糊綜合評價結果：

==[（bj，vj）]n

=∑mk=1（ak·μkj），∏mk=1（1∧（vk+vkj））n（1）

Step 4評價結果的處理

對于灰色模糊綜合評價的結果=[（bj，vj）]n，綜合考慮其模糊性和灰色性，根據最大隸屬度和最小灰色度原則，可將轉化為結果集[15]：

=bj×（1-vj）∑nj=1bj×（1-vj）=（B1，B2，…，Bn）（2）

考慮評價的可操作性和準確性，將評語集中評語等級定標準分，即等級值向量為V=（4，3，2，1），由此得到清晰化的評價結果：H=VT，根據H的大小判斷評價結果的優劣。綜上，灰色模糊綜合評價計算步驟如圖2所示。

圖2灰色模糊綜合評價計算步驟圖

3應用實例

以C市高新區某企業信息系統為例，邀請10名專家組成決策專家組，根據專家的專業知識與經驗，確定該信息系統安全風險因素各項指標的權重，然后對各指標信息量評分求均值以得到其灰度，由此確定各級指標的權重集。

Step 1確定各級指標權重

目標層U各項指標的權重集：

Step 2建立評判矩陣

邀請多名專家對風險因素集U進行評定，評價指標層Ui（i=1，2，3，4）各項指標的狀況，依據其專家意見建立灰色模糊評判矩陣。將給定信息系統的安全等級分為4級，構造評語集V={優秀，良好，中等，較差}。如：以“物理環境安全U1”中“環境安全U11”因素為例進行模糊評判，若有10%的人員評價為優秀，30%的人員評價為良好，50%的人員評價為中等，10%的人員評價為較差，于是有關U11因素對應的隸屬度為（0.1，0.3，0.5，0.1）；同理，可得到U1中其它因素的隸屬度以及指標層其它各指標的隸屬度，對于其灰度的確定仍采用多位專家打分評判求均值的方法。

4結束語

針對信息系統評價指標的模糊性及其評價信息的不確定性，結合灰色模糊理論研究信息系統的評估問題，構建其風險評估指標體系。通過灰色模糊綜合評價方法對隸屬度與灰度加以綜合，以隸屬度衡量定性指標的優劣程度，以灰度描述指標信息的不充分度，采用灰色系統理論得到灰色統計量，構造灰色模糊矩陣，最后運用灰色模糊算法求得信息系統的風險等級。在此基礎上，提出信息系統安全風險的灰色模糊綜合評價模型，并通過實例驗證該模型能充分綜合群組專家評價意見，可有效結合定性與定量分析，亦能較好地量化評估信息系統風險，為信息系統的風險評估提供一種行之有效的方法與途徑。

參考文獻

[1]胡勇，吳少華，胡朝浪.信息系統風險灰色評估方法[J].計算機應用研究，2008，25（8）：2477-2479.

[2]Mats Danielson.Generalized evaluation in decision analysis[J].European Journal of Operational Research，2005，162（7）：442-449.

[3]付鈺，吳曉平，葉清，等.基于模糊集與熵權理論的信息系統安全風險評估研究[J].電子學報，2010，38（7）：1489-1494.

[4]趙俊閣，張琪，付鈺.貝葉斯網絡在信息安全風險評估中的應用[J].海軍工程大學學報，2007，19（6）：67-70.

[5]付鈺，吳曉平，嚴承華.基于貝葉斯網絡的信息安全風險評估方法研究[J].武漢大學學報：理學版，2006，（5）：631-634.

[6]章文輝，杜百川，楊盈昀.模糊層次分析法在廣播電視信息安全保障評價指標體系中的應用研究[J].電子學報，2008，36（10）：2061-2064.

[7]鄧聚龍.漢英對照灰色系統基本方法（第2版）[M].武漢：華中科技大學出版社，2005.8.

[8]劉莎，曹錦丹.基于灰色模糊理論的病人滿意度測評信息系統設計[J].情報科學，2011，29（10）：1580-1584.

[9]郇正軍，盧剛夫，周大水.灰色理論在入侵檢測技術中的應用研究[J].計算機工程與設計，2007，28（23）：5610-5612.

[10]王甲生，付鈺，吳曉平.基于改進FAHP法的信息系統安全風險評估[J].火力與指揮控制，2011，36（4）：33-36.

[11]王甲生，付鈺，吳曉平.基于模糊神經網絡的信息系統安全風險評估研究[J].武漢理工大學學報：交通科學與工程版，2011，35（1）：51-54，58.

[12]馬佶.基于灰色模糊理論的信息系統風險評估[J].情報雜志，2009，28（4）：56-59.

[13]陳雯，張強.第三方物流客戶服務績效的灰色模糊綜合評價模型[J].模糊系統與數學，2007，21（2）：148-154.

[14]邵汝軍，胡斌.基于灰色模糊理論的企業創新活力評價研究[J].科技管理研究，2008，（4）：131-133，136.

[15]張哲，馮宗憲.基于灰色模糊理論的技術路線圖實施效果評價[J].統計與決策，2012，（6）：182-185.

（本文責任編輯：馬卓）Web2.0環境下物流企業知識共享模式研究

收稿日期：2013-04-26

基金項目：本文系國家社會科學基金項目“領域本體的自動構建和應用研究”（項目編號：08CTQ014）的研究成果之一。

作者簡介：李曉艷（1989-）女，碩士研究生，研究方向：企業信息管理。