結(jié)合灰色網(wǎng)絡(luò)分析法的信息系統(tǒng)安全風險評價指標體系研究

◆趙凱麗

（國家工業(yè)信息安全發(fā)展研究中心 北京 100040）

在當今“互聯(lián)網(wǎng)+”時代，網(wǎng)絡(luò)安全威脅的目標更具有針對性，首當其沖的便是各類信息系統(tǒng)[1]，因而有必要對影響信息系統(tǒng)安全運行的風險因素進行深入分析[2]。我們在分析影響信息系統(tǒng)安全運行的基本要素時發(fā)現(xiàn)，眾多影響因素之間不是遞階的層次結(jié)構(gòu)，而是存在著相互影響、相互依賴的復雜網(wǎng)絡(luò)結(jié)構(gòu)關(guān)系。

1 信息系統(tǒng)安全風險指標體系構(gòu)建

1.1 風險因素識別

當信息資產(chǎn)存在脆弱性，相關(guān)安全控制措施缺乏的情況下，威脅就會通過某種具體的途徑，作用到特定的資產(chǎn)之上，對該資產(chǎn)的一個或多個安全屬性造成破壞，進而產(chǎn)生信息安全風險。同時，一種威脅可能對多項資產(chǎn)造成影響，一項資產(chǎn)也會面臨多個威脅。

1.2 指標體系構(gòu)建

通過對信息系統(tǒng)所面臨的各類安全風險進行分析，包括資產(chǎn)評價、威脅評價、脆弱性評價等，已有文獻結(jié)合GB/T 20984-2007《信息安全技術(shù)信息安全風險評估規(guī)范》[3]，將信息系統(tǒng)的威脅因素進行歸納，分為系統(tǒng)環(huán)境威脅、技術(shù)與操作威脅、管理與組織威脅三類[4]。然而，隨著近年來互聯(lián)網(wǎng)的高速發(fā)展，新的風險因素層出不窮，有必要對信息系統(tǒng)安全風險的影響因素的歸類重新進行劃分。因此，本文基于《網(wǎng)絡(luò)空間安全藍皮書：中國網(wǎng)絡(luò)空間安全發(fā)展報告》，結(jié)合當前信息系統(tǒng)安全風險的演變形式，綜合利用頭腦風暴法、Delphi法，最終構(gòu)建出新的安全風險指標體系，包括5個一級指標：系統(tǒng)環(huán)境、數(shù)據(jù)泄漏、信息詐騙、網(wǎng)絡(luò)攻擊和管理組織，19個二級指標，如表1所示。

表1 信息系統(tǒng)安全風險評價指標體系

2 信息系統(tǒng)安全風險指標體系驗證

網(wǎng)絡(luò)分析法（Analytic Process Network，簡稱ANP）[5]，適用于分析元素組內(nèi)部元素和同一層次不同元素組之間存在相互影響、相互依賴的復雜網(wǎng)絡(luò)結(jié)構(gòu)關(guān)系，廣泛地應(yīng)用于各種決策和評價領(lǐng)域[6]。灰色評價法[7]是灰色系統(tǒng)理論中的一種評價方法，通過對原始評價數(shù)據(jù)進行白化權(quán)函數(shù)處理，減少了評價過程中的主觀因素影響。灰色網(wǎng)絡(luò)分析法（Grey-Analytic Network Process，簡稱G-ANP）[8]，將ANP方法極限矩陣中的各二級指標權(quán)重，與灰色評價法得到的灰色評價矩陣結(jié)合起來[9]，得到各一級指標的風險評估價值，最終得出整體的綜合評價等級。已有文獻將GANP方法應(yīng)用于大型化工項目風險評價[10]、企業(yè)核心競爭力評價[11]，本文創(chuàng)新性地將G-ANP方法應(yīng)用于構(gòu)建的信息系統(tǒng)安全風險評價指標體系，在驗證風險指標體系合理性的基礎(chǔ)上，對信息系統(tǒng)的安全風險進行評價研究。

2.1 計算各指標權(quán)重

通過對信息系統(tǒng)安全的影響因素進行具體分析，發(fā)現(xiàn)各指標之間不僅存在內(nèi)部依存性，即元素組內(nèi)部的元素之間存在相互影響、相互依賴的關(guān)系，而且存在外部依存性，即同一層次的不同元素組之間的元素也存在相互聯(lián)系和反饋作用。例如，信息系統(tǒng)數(shù)據(jù)信息的內(nèi)部泄密，不僅直接導致了用戶密碼口令、身份認證信息的直接泄露，還可能被黑客利用，進行撞庫攻擊，也會產(chǎn)生信息篡改的威脅，甚至引起高級持續(xù)性威脅攻擊。類似地，逐一分析其他18個元素可能導致的安全風險威脅，在Super Decisions軟件中建立ANP網(wǎng)絡(luò)結(jié)構(gòu)。利用Saaty提出的1-9標度，依次對元素間和元素組內(nèi)各元素進行兩兩比較，構(gòu)造判斷矩陣，進而計算出極限矩陣，得到各元素組指標的權(quán)重集合：

系統(tǒng)環(huán)境W1=｛0.04604，0.05016，0.01264｝

數(shù)據(jù)泄漏W2=｛0.02271，0.06085，0.03050，0.12508｝

信息詐騙W3=｛0.02174，0.07143，0.05223，0.06639｝

網(wǎng)絡(luò)攻擊W4=｛0.04078，0.09606，0.06789，0.09527｝

管理組織W5=｛0.03334，0.05171，0.03080，0.02438｝

2.2 計算灰色評價矩陣

考慮各影響因素對信息系統(tǒng)造成風險的程度，將評語集分為五個等級：V=｛低風險，較低風險，中等風險，較高風險，高風險｝=｛1，3，5，7，9｝。請十名對信息系統(tǒng)安全有研究經(jīng)驗的同學，對同一個信息系統(tǒng)各影響因素的風險程度進行評價，評分范圍設(shè)置為0-10。根據(jù)風險評價集五個評價等級，確定五類經(jīng)典灰色白化權(quán)函數(shù)，對原始打分數(shù)據(jù)進行白化權(quán)函數(shù)處理，得到灰色評價矩陣。

2.3 風險評價結(jié)果及分析

2.3.1 一級指標風險評價結(jié)果及分析

根據(jù)各組安全風險影響因素指標的權(quán)重集合 Wi，以及灰色評價矩陣Mi，由公式，可以分別求出五個一級指標Ui的風險權(quán)重向量，其中 i=1，2，3，4，5。再利用求得的風險權(quán)重 Bi，結(jié)合風險等級向量V，由公式即可得出各一級指標的風險狀況評價值，即：系統(tǒng)環(huán)境 Z1=0.5461，數(shù)據(jù)泄漏Z2=0.8854，信息詐騙Z3=0.9444，網(wǎng)絡(luò)攻擊Z4=1.2430，管理組織Z5=0.7104。

通過 Zi的值可以看出，該信息系統(tǒng)遭受網(wǎng)絡(luò)攻擊的風險最大，其次，遭受信息詐騙和數(shù)據(jù)泄漏的風險較大，受管理組織不利的影響次之，受系統(tǒng)環(huán)境的威脅最小。因此，應(yīng)該高度重視可能發(fā)生網(wǎng)絡(luò)攻擊的風險隱患，防患于未然；同時注意提防由于數(shù)據(jù)泄漏等原因造成的信息詐騙事件，加強電子商務(wù)網(wǎng)絡(luò)平臺的信息安全管控；重視對信息系統(tǒng)的管理工作，將安全制度落實到位。

2.3.2 綜合風險等級評價結(jié)果及分析

由3 ＜ 4.3293 ＜ 5，可知該信息系統(tǒng)的安全風險等級為接近中等水平，整體上可以接受，但也要注意落實相關(guān)的安全管理工作。其中，要特別注意防范網(wǎng)絡(luò)攻擊給該信息系統(tǒng)帶來的安全風險。防止非授權(quán)訪問現(xiàn)象的發(fā)生，要加強網(wǎng)絡(luò)加密技術(shù)的研發(fā)和應(yīng)用；建議安裝先進的業(yè)務(wù)數(shù)據(jù)防泄漏系統(tǒng)，以此來保護網(wǎng)內(nèi)的數(shù)據(jù)、口令和控制信息；加強對用戶身份信息的驗證，針對不同級別的用戶設(shè)置不同的訪問權(quán)限，防止用戶發(fā)生越權(quán)操作；及時對系統(tǒng)的安全漏洞進行修復，以防范高級持續(xù)性威脅攻擊。此外，應(yīng)該從防御模式轉(zhuǎn)變到利用大數(shù)據(jù)進行分析和檢測，了解高級持續(xù)性威脅攻擊鏈，尋找感染指標。同時，注意防范信息詐騙和數(shù)據(jù)泄漏風險，加強對內(nèi)部工作人員的管理要求，嚴禁售賣用戶個人數(shù)據(jù)信息的行為發(fā)生；加強在數(shù)據(jù)保密層面上的技術(shù)防護水平，采取必要的技術(shù)手段和管理措施，維護信息系統(tǒng)安全穩(wěn)定運行，從整體上提高信息系統(tǒng)的安全水平。