對信息系統管理中信息安全風險評估研究

孫成林　尚利

摘 要： 隨著信息技術的發展，信息系統面對的安全問題越來越突出，這引起了社會的廣泛關注。而對信息系統安全的風險進行評價，是對信息系統安全保護的重要體現。首先對信息系統安全風險評估涉及到的4個基本因素進行了闡發。雖然針對風險評估的方法有很多種，但這里在構建信息系統安全風險評估指標的基礎上，運用層次分析法（AHP）和模糊綜合評判對風險進行了有效評估，為信息系統安全風險的管理決策提供了科學依據。

關鍵詞： 信息系統安全； 風險評估； 指標體系； 風險等級； 層次分析法

中圖分類號： TN915.08?34 文獻標識碼： A 文章編號： 1004?373X（2015）01?0087?03

Abstract： With the development of information technology， the security issues of information system become more and more serious， which have aroused widespread concern. Therefore， it is necessary to take risk assessment of information security. The 4 basic elements in risk assessment of information system security are analyzed. The risks are effectively assessed using analytic hierarchy process （AHP） and fuzzy comprehensive evaluation based on risk assessment index of information system security. It provides scientific basis for information system security management.

Keywords： information system security； risk assessment； index system； risk level； AHP

0 引 言

近年來，由于信息技術的快速發展和網絡在全世界范圍內的普遍應用，網絡與信息系統的穩定運行被更多領域的業務實施所依賴，信息技術幾乎滲透到了社會生活的各方面。信息系統與它所承載的信息和服務在安全性方面是非常重要的，當信息與服務的保密性、完整性和可用性發生問題時，會讓組織機構產生不利的影響，因此對信息系統安全的需求逐漸受到廣大信息安全人員的特別重視。在2007年公布的國家標準《信息安全技術 信息安全風險評估規范》[1]GB/T20984?2007 中定義信息安全風險評估是根據有關信息安全技術與管理標準，對信息系統和由其處理、傳輸和存儲的信息的機密性、完整性和可用性等安全屬性進行評估的過程。信息系統面臨的風險因素不但多而且很復雜，同時對信息和信息系統的危害程度也存在很大的不同。因此，為了給我國信息化的建設與信息安全的發展戰略帶來深遠影響，鉆研一套先進的、可行的、科學的信息系統安全風險分析與評價方法是很有必要的。

根據信息系統安全風險的評估可以知道信息安全所處的環境和狀況，進而采取相關措施來提高信息系統安全的保證能力。本研究在對相關文獻進行查閱的基礎上，提出了信息系統安全風險評估的指標體系，并采用層次分析法和模糊綜合評判，構建信息系統安全風險評估層次結構模型，以提高對風險評估的有效性。

1 信息系統安全風險的影響因素分析

在對信息系統進行風險評估時，首先要對信息系統的風險進行分析[1]。在對信息安全風險進行分析時，需要考慮資產、威脅、脆弱性和已有安全措施4個根本因素。

1.1 信息資產評估

信息資產的評估由兩部分組成，即識別信息資產和對資產的價值進行估算。識別信息資產是在對信息系統和所涉及的物理資產、軟件資產和數據資產等進行識別的基礎上，并給出清單。對資產價值的估算，即對所涉及的信息資產的價值進行估計，這里主要的是考慮資產的重要性，而資產的賬面價值并不是顯得那么重要。在信息資產的評估中，要特別關注關鍵資產。關鍵資產是資產中對系統影響最大的資產。信息系統的關鍵資產擁有統一的信息平臺、綜合決策指揮系統、信息、數據庫、網絡基礎設施及網絡安全設施、人等。在資產中，主要集中在保密性、完整性和可用性三部分。

1.2 威脅評估

互聯網的全球性、開放性等的優點，在為人們提供很多方便的同時，也給信息系統的安全帶來很大威脅。威脅可能是人們故意的，或者可能是偶然的事件，也有可能是對系統進行的攻擊。威脅，通過組織的資產引起不希望發生的事件進而給信息安全造成損害的一種潛在的可能性。對信息資產可能受到的危害進行的評估稱為威脅評估。因為每一項資產很有可能同時面臨多種威脅，并且每種威脅利用了資產自身的脆弱性從而發揮不利的影響。而造成信息安全威脅的，不但有環境因素，還有人為因素。因此，需要對于每項資產都要做威脅識別，特別是針對關鍵資產。

1.3 脆弱性評估

脆弱性評估就是通過各種測試方法最終得到信息資產中的弱點和不足，是信息系統風險評估中最重要的部分。資產的脆弱性由技術脆弱性和管理脆弱性兩個部分組成[2]。即使在建設信息系統時，采取了相當好的安全功能和保證措施，也不能說明信息系統中的信息安全不存脆弱點。這些弱點和不足的存在很有可能導致信息資產的泄密、非法訪問、不能使用或失控的現象。只有當進行脆弱性評估時，可以有效地降低脆弱性和提高抗攻擊能力。通過脆弱性評價主要是為了識別和分析信息系統的脆弱性，從而發現信息系統中比較弱的環節，以便為制定安全策略和采取控制措施提供理論依據。

1.4 安全措施

信息系統的安全建立在對風險的規避上，需要采取一定的安全措施來保證信息的安全。安全措施是用來減少風險的控制或對策，這些風險和特定的威脅或者一組威脅相關。只有在全面、正確認識風險后，才能做出正確的判斷，以便在控制風險和降低風險之間進行權衡。同時通過安全措施對資產進行保護和對脆弱性進行彌補，從而達到降低風險的效果。安全措施由預防性的安全措施與保護性的措施兩個方面組成。預防性措施，可以用來減少漏洞與可能發生的威脅。保護性安全措施能夠降低因為威脅從而所造成的影響[3]。

2 信息系統安全風險評估指標體系的構建及權

重的確定

采用層次分析法（AHP）構建信息安全的評價指標體系，從而對其風險進行綜合評價。運用AHP評價信息安全風險最主要的是評價在信息安全風險中所涉及要素之間的相對重要性權數，并對各因素權重排序，做橫向比較，為信息安全風險采取相關措施提供有效的依據。在信息系統安全風險評價中，運用層次分析法和模糊綜合評判進行評估擁有很強的有效性。

下面以具體實例對信息系統安全風險進行評價。信息安全風險分析包括對4個要素的識別，并且每個要素又有多個子要素。為了顯示信息風險評估的重要方面，對指標體系進行了適當的簡化。包括資產、威脅、脆弱性、安全措施4個評價指標體系，該指標體系主要包括目標層，準則層，指標層。

對江蘇某大學的一個網站系統進行信息安全風險評估。該網站服務器的IP地址為192.168.2.200，應用所構建的指標系對系統的信息安全進行評估。邀請了數位相關專家依據因素間的相互重要程度的大小進行打分，并通過幾何平均法進行整理，得出某一層對上一層相對影響排序的成對的比較矩陣。

在正互反矩陣中，如果出現[aik?akj=aij，]那么該矩陣為一致陣。在上面的判斷矩陣[A]中，[a21?a13≠a23，]所以該矩陣不是一致陣。在非一致陣上，通常采用矩陣最大特征根所對應的歸一化特征向量作為權向量[W。]通過計算對比矩陣[A]的最大特征值[λ=]4.000 9，該特征值所對應的歸一化向量[W=][0.414 2，0.132 3，0.258 7，0.194 8]T。接下來通過計算一致性指標CI值的大小，來判別矩陣的一致性，它的公式為：[CI=（λmax-n）（n-1）。]此時的特征值為最大值，[n]是矩陣的階數。根據矩陣[A]計算可得[CI=（4.000 9-4）（4-1）=0.000 3。] 一致性比率與矩陣隨機平均一致性指標RI的值有關，它的值與矩陣階數有關。當階數[n=4]時，RI=0.9。通常來說，當一致性比率：[CR=CIRI<0.1]時，就能夠判斷矩陣的不一致度在可允許范圍以內，同時它的最大特征值所對應的歸一化特征向量作為權向量，不然就要對矩陣[A]進行調整，重新構造成對比較矩陣。依據以上數據可得矩陣[A]對應的[CR=0.000 30.9=]0.000 33<0.1，所以，最大特征值對應的歸一化向量[W]可以作為準則層對目標層的權重。

用同樣方法計算出各指標層對相應準則層的權重，并通過了各指標層對準則層的一致性比率的驗證。綜合準則層及指標層的權值，信息安全風險綜合評價指標的總排序權值見表1。

通過計算得到準則層指標的相對權重和其排序，并通過調查問卷，請25位專家對各指標的權重進行評判和對某等級評價的次數。通過整理如表2所示。

準則層各指標所對應權重構成的矩陣[W=][0.414 20.132 30.258 70.194 8，]因此最后總的模糊綜合評價結果為[B=W?R=][0.11，0.14，0.31，0.41，0.17] 。按照所計算的結果，五個數值中最大的值是 0.41，根據判斷等級來看，是“中”。因此，按照最大隸屬度的原則，可以認為江蘇某高校網站的信息安全風險的評估等級屬于“中”。

3 結 語

在對信息系統安全風險評估中，采用層次分析法與模糊綜合評判，很好地解決了對于在定性指標定量評估中所遇到的困難。該方法在信息系統安全風險評估與等級劃分的實際應用中很有效，操作性也很強。不僅能夠計算出要素之間的相對風險程度和信息網絡系統所處的風險等級，而且還可以提高對其風險的認識，以便可以在風險方面做出正確的判斷，達到控制并降低風險的效果。同時通過對因素的重要性進行排序，不僅能找到信息系統安全的薄弱部分，還可以根據這點對安全性措施進行改善，使其在保護信息系統的安全性方面更有效。

參考文獻

[1] 全國信息安全標準化技術委員會. GB/T 20984?2007 信息安全技術 信息安全風險評估規范[S].北京：中華人民共和國國家質量監督檢驗檢疫總局，2007.

[2]張立濤，應力，錢省三.信息安全風險評估中若干操作問題的研究[J].山東理工大學學報：自然科學版，2006，20（1）：79?83.

[3]王標，胡勇，戴宗坤.風險評估要素關系模型的改進[J].四川大學學報：工程科學版，2005，37（3）：110?114.

[4] 王偉，李春平，李建彬.信息系統風險評估方法的研究[J].計算機工程與設計，2007，28（14）：3473?3474.

[5] JONES J A. An introduction to factor analysis of information risk （FAIR） [R]. [S.l.]： [s.n.]， 2005.

[6] 張澤虹，趙冬梅.信息安全管理與風險評估[M].北京：電子工業出版社，2010.

[7] 韓利，梅強，陸玉梅，等.AHP?模糊綜合評價方法的分析與研究[J].中國安全科學學報，2004，14（7）：86?89.

[8] 吳亞非，李新友，祿凱，等.信息安全風險評估[M].北京：清華大學出版社，2007.

[9] GLEASON J M. Fuzzy set compudetational processes in risk analysis [J]. IEEE Transactions on Engineering Management， 1991， 38（2）： 177?178.

[10] 李鶴田，劉云，何德全.信息系統安全風險評估研究綜述[J].中國安全科學學報，2006（1）：108?113.