淺談信息安全管理的有效性測量方法

薛擁華 鄧沖 陳宇 劉板浩 黃剛

【摘要】 隨著信息系統在企業中的廣泛應用，信息安全的問題逐漸突出和嚴峻，這就體現了進行現安全有效性管理的重要性。實現信息安全管理的有效性測量是對企業進行信息安全運行的風險問題進行評估，進而得出企業的信息安全系統能否同企業信息安全的控制水平相一致，體現了對于整體性提高企業信息安全管理水平的重要性。

【關鍵詞】 信息安全管理 有效性測量 方法

在21世紀的社會發展新時代，網絡、計算機、信息技術被大量的企業納入到自身的生產經營管理之中，在基本運行中會涉及到企業眾多的機密文件和信息，直接關系的企業的發展運行，所以，一旦出現安全問題就會對企業產生重要的影響。

所以，在不斷深化的應用中，企業開始注重對信息安全的管理，并通過多樣化的技術手段和方式來進行強化，但是這樣的方式決定了對安全管理的有效性不能進行合理的把握和控制，并且對整體的安全水準也沒有實現準確的衡量。所以，如果企業只是強化了信息安全在技術方面的建設，而并沒有開展有效的安全管理評估工作，就會使信息安全系統在整體的規劃中存在缺陷和漏洞，所以，進行信息安全管理的有效性測量是極為重要的。

企業也逐漸認識到其重要性，使得近年來，我國企業對于信息安全有效性的測量需求不斷增多，但是，在這方面我國起步較晚，存在著很多不足和缺陷，這就需要在有效的研究中尋找適當的方法來提升測量的整體有效性。

一、信息安全管理有效性測量的目的

通過實現有效性的測量，能夠真實評估和反映企業信息安全管理的整體水平，以使企業在后續的信息安全管理中有明確的發展目標和整體方向。企業進行信息系統的建立時，往往會依據企業自身的發展需求、信息組成、安全標準、組織結構、利益關系等方面的需求進行，進而構筑相應的信息安全的整體體系和相關模型。

通過對企業的信息安全管理進行有效性的測量，可以在技術的管理支撐下客觀真實的反映企業信息管理的整體性評估，會能實現對企業信息安全管理目標的運行程度進行說明，并能對企業信息安全管理的系統效能開展準確科學的評測，為企業提供進行信息安全管理考核的基本依據[1]。

就企業的整體發展實際來看，如果不開展信息安全管理的有效性測量，會使企業的整體管理水平只依賴于基本測評狀態下的運行管理水平，難以同真實的信息安全運行環境相脫離，造成企業在安全管理過程中的漏洞和誤差，使得企業在正常的運營和發展中的實際需求同所進行信息安全管理的整體水平不相一致，并且在對基礎環節下的表面數據有所依賴時，并不能發現運行中的不足和缺陷，更遑論進行有效合理的解決，極大化的為企業的發展運行埋下了信息安全的運行隱患。

而通過有效性的測量活動，能夠準確的將企業在信息安全方面的漏洞進行定位，并且還能夠有效指導基本的解決策略，有效保障企業信息管理系統的整體安全和有效。

二、信息安全管理有效性的測量方法

在開展信息安全管理有效性的測量時，需要對進行測量的指標進行量化的處理，并最終形成具有實際可行性的量化測量指標。在測量中，不同的指標則需要不同的測量方法來進行，一般而言，具有風險分析、問卷調查、內部審核、滲透性測試、個人訪談、內外對比、風險評估、報表統計等不同的方法。

通過不同指標的不同測量之后，能夠得得出各個指標的測度結果，在此基礎上再根據不同的技術需要對結果進行科學有效的取值管理，給各個指標賦予不同的安全分險權重，然后綜合計算企業信息安全管理有效性的整體水平[2]。比如在進行信息安全管理整體運行的有效性測量時，在對基本技術要求進行測量評估時，還需要對企業的環境安全、人員安全、業務聯系、安全意識、事件管理等開展管理有效性的評估，以保障最終結果的綜合有效性。

在信息安全管理有效性的測量發展中，相關專業機構提出了同通過整體的系統模型來實現信息系統的整體安全性的方法。通過信息安全測量模型的建立，將信息系統運行中需要進行安全檢測的對象中的某一些屬性在通過一系列的檢測管理過程之后，得出最后的測量結果，其中最為重要的就是測量方法和基本測度。將測量對象的多個屬性應用不同的測量方法之后就能夠得到基本測度，而基本測量方法的獲取是通過多樣化的數據資源進行測量對象的數據獲取，比如風險評估結果、日志報表統計記錄、調查表、測量結果等途徑。

就我國當前進行信息安全管理有效性測量的方式而言，在設定環節相對復雜和冗余，但在基本的項目實踐中得出如下的基本運行方法：

2.1審計監控系統回顧

在進行檢測時，需要盡可能的發現各個環節所存在違反和潛在信息安全的現象和事件，以實現有效的防治，實現影響的最小化[3]。

2.2糾正預防措施驗證

對已經納入整體有效性測量計劃的糾正預防措施，在開展檢測時進行檢查和回顧，以保證檢驗過程中對于信息安全管理系統所采取的各項措施是否合乎當下的現狀和企業具體要求。

2.3信息安全事故統計

主要是對已經發生過的安全事件進行統計和分析，以為檢測的有效性提供更加高效合理的方法指引，以實現進行更高角度的評估以及在控制措施方面的有效性。

這樣的方式是將基本的計劃和檢測方式實現了有效的結合，并在各種方法的支撐下，實現綜合型的檢測，做到有效的預防和糾正，從不同的層面反應了進行信息安全檢測的有效性，并保障整體運行體系的完整有效性，進而形成一個有效的良性循環。

三、結束語

就我國的整體實際而言，信息安全管理有效性的測量方法，還處于基礎的起步階段，而且相關的各項理論研究和測量指標等也均沒有達到完善的階段，這就需要進行不斷的發展和探索，而且實踐證明，進行信息安全管理有效性的研究是有著極為廣闊的發展前景的，在保障整體信息運行管理的安全性基礎上，能夠使企業提升整體的競爭力和自身生存能力，并且能夠將測量中發現的問題和相關數據進行分析，然后具有針對性的使企業所存在的風險得到最大化的控制，最終達到基本業務的正常有效運行。

參 考 文 獻

[1]朱英菊，劉紅麗，陳長松.信息安全管理有效性的測量研究[J].情報雜志，2010，01：73-76+41.

[2]張立偉.信息安全管理有效性的測量研究[J].中國管理信息化，2014，10：78.

[3]閆世杰，閔樂泉，趙戰生.信息安全管理測量研究[J].信息安全與通信保密，2009，05：70-74.