SoS體系多維度分析在信息安全風險評估中的應用

摘 要： 隨著信息技術的發展，社會信息化運作的程度逐漸加深，信息系統的安全風險問題也越來越多。利用風險評估的手段，可以消除安全漏洞，減低破壞程度。首先介紹了當前國內外的信息安全風險評估的現狀，從信息資產價值的角度，運用SoS體系多維度的分析方法，從系統脆弱度、系統控制度和系統破壞度分析風險熵值的計算數值和相應的權重關系，對信息熵的原理進行了闡述，構建了風險評估的模型，最后依據模型的計算公式，應用到電力企業的實際案例中，對風險作出等級量化分級，評估安全風險，通過實驗數據的分析，證明方法的準確性，對該領域研究起到了積極的研究意義。

關鍵詞： 信息安全; 信息熵; 風險評估; SoS體系; 風險要素; 評估模型; 資產價值

中圖分類號： TH 814; TP 212.9 ? ? ?文獻標志碼： A

Abstract： With the development of information technology， the degree of social information operation is gradually deepened， and the security risk of information system is becoming more and more serious. By using the means of risk assessment， we can eliminate security loopholes and reduce the degree of damage. This paper first introduces the current situation of information security risk assessment at home and abroad. From the perspective of information assets value， using the multi-dimensional analysis method of SOS system， it analyzes the calculation value of risk entropy and the corresponding weight relationship from the system vulnerability， system control and system damage. Through the elaboration of the principle of information entropy， it constructs the risk assessment model. Finally， according to the model.The calculation formula is applied to the actual case of electric power enterprises to make a quantitative classification of the risk level and evaluate the safety risk. Through the analysis of experimental data， the accuracy of the method is proved， which has a positive research significance for the research in this field.

Key words： information safety; information entropy; risk assessment; SoS system; risk factors; evaluation model; asset value

0 引言

近年來，隨著信息技術的快速發展，互聯網的普及率超過70%，網民的數量超過10億，手機上網的比例高達98%[1]。并且在線購物、移動支付、共享單車等應用滲透人們生活的方方面面[2]，網站數量增長到544萬個[3]，其中，網絡信息安全存在著巨大的風險，黑客、病毒以及芯片等等技術的破壞。因此非常有必要在信息安全方面進行風險評估，預防潛在的危害。科學的風險評估方法可以得出精確、合理的風險評估結果，一般分為定性分析、定量分析和定性定量相結合分析的3種方式[4]。風險評估是多學科、多領域結合的學科，基于SoS體系的多維度分析可以將這些抽象的變量客觀化[5]，針對復雜系統組合展開研究，其涉及到網絡化、無邊界、自適應等特性，保證風險評估結果的準確性。

1 信息安全風險評估

1.1 理論模型簡介

信息安全風險的評估具有復雜的實現過程，為了計算出風險等級的公式方法，需要討論有關于信息安全風險的理論模型，這涉及到ISO 17799評估模型、ISO 15408評估模型以及GBT 20984-2007評估模型[6]。ISO 17799模型著重體現資產價值與信息安全風險的關系，信息系統中的信息資料以資產價值來體現，風險的發生會損毀信息資產的價值[7]，其模型示意圖如圖1所示。

威脅和系統脆弱性的增加以及安全措施的減少會導致系統風險的增加，進而會提出安全需求來改善。而ISO 15408評估模型則著重于考慮風險的動態變化，在信息安全風險變化中避免資產價值受到影響，它的結構圖如圖2所示。

ISO 15408評估模型分析了信息所有者與攻擊者的狀態，由于各自的動作狀態導致風險的減少或增加，以至于影響到信息資產是否收到破壞。而針對于我國的信息安全風險的國家標準則是GB/T 20984-2007的評估模型，該模型側重于風險的各個要素與風險原理的相互作用，信息系統的脆弱性會將安全威脅演變成安全事件[8]，同時安全措施一旦控制不了殘余風險，也會誘發安全事件[9]。風險評估最后導出到安全需求上，整體的風險評估都依賴于資產價值，要素關系圖如圖3所示。

對潛在的風險問題進行評估分析是十分必要的，在此基礎上才能得出準確、合理的風險原因，風險評估的步驟一般由評估前期準備、風險因素評估、風險確定、風險評級以及風險控制來組成[10]，如圖4所示。

1.2 SoS體系理論基礎

SoS體系是指實現復雜任務系統的組合，SoS體系意味著該復雜系統是由多個獨立的實現單一目的系統組成，這些分離的系統組合在一起有機地形成具有整體能力的體系。該體系的特征十分豐富，具有大規模、復雜接口、動態性、網絡化等等特點[11]，各個子系統會包含人員、設備、原料、環境、管理等因素。由此可以知道SoS整體具備操作獨立性、管理獨立性、地理分布、涌現行為[12]。采用多維度的思維分解復雜組合系統，對這些子系統的歸納總結從而得到全面的風險評估結果。從傳統的定性方式，層次分析法與模糊綜合評價法上，已經不足以滿足復雜信息系統的跨區域影響，且考慮因素不全面，容易導致評估結果不正確。

2 基于SoS體系的多維度分析

2.1 熵的原理

熵的概念是由德國物理學家克勞修斯提出的[13]，主要是為了解決熱力學的問題，后續玻爾茲曼又闡述了物理熵的統計學意義[14]，隨后香農在此基礎上又將其推廣到了信息技術領域，稱為信息熵，信息熵的意義在于測量信息源的不確定度，信息源的不確定性與信息熵值保持一致性，即熵增加，不確定性也隨之增加。信息熵具有對稱性、非負性、確定性、可加性和極值性[15]。信息熵的定義如下所示，假設系統具有n種狀態，分別為S1，S2，S3，…，Sn。每種狀態的概率為pi，如式（1）。

傳統的風險評估方式依據風險威脅的來源或者威脅的破壞性來劃分，在引入SoS體系后，應按照SoS體系的特征，考慮系統操作性、系統管理性和地理分布特性[16]。從多個維度出發，依據系統受眾的差異，分析這些方法。根據這3個維度的權重和影響，得到誤差更低的分析結果。熵值是度量不確定性和無序性的變量[17]，當系統遇到系統威脅，風險性增加后，熵值就會增加，安全性也會降低。在這個過程中涉及信息流的縱向流動和橫向流動。依據這些理論思想的研究，可以做出熵值的分析方法示意圖，具體如圖5所示。

為了量化指標，對信息系統安全的風險評估可采用風險度來衡量，為了有利于熵值的計算，引入系統破壞度、可控制度以及脆弱程度。其取值如表1所示。

3 基于SoS體系的多維度分析的應用

3.1 多維度分析模型構建

從上述的分析中，將風險度的衡量分成3個維度，依次是指脆弱度F、破壞度D和可控度C，那么對于信息系統的安全風險度的公式如公式（4）所示，其范圍數值是2～50，共49個數值，按照7等分，分成7個風險等級，每個風險等級可以囊括風險要素出現的可能性，并且能夠保證每個等級的范圍寬度是相同的，有利于模型的構建。事件的風險度等級值表格，如表2所示。

3.3 風險熵的計算

將上述矩陣的權重向量值依據公式（8）進行風險熵值和熵權重的計算。為了比較出本文中改進方法的有效性，對發電廠的信息系統進行傳統信息熵方法的風險評估，將其結果同本文改進方法的風險評估結果進行比較，便于分析。該種方法是對傳統信息熵的簡單應用[18]本文中不再詳細介紹該方法的具體步驟，僅進行該類方法的計算。利用該方法對發電廠信息系統進行風險評估得到的熵值結果和權重，如表7所示。

新舊熵值的對比差異度十分明顯，傳統熵值的計算方式變化幅度較小，當面對不同權重的風險事件時，無法體現出安全威脅的破壞程度，而通過合理地改進后，熵值的變化復合客觀規律，對不同等級的事件體現出合理性。

4 總結

信息安全風險評估的構建應滿足系統性的要求，將風險事件的影響程度進行量化，量化的要求應滿足專家的專業知識和相關的經驗，體現出信息安全作為資產價值的衡量價值，將系統的可控度、破壞度和脆弱度合理劃分，將其歸納出風險熵值，建立起風險評估模型。創新性地將多維度分析方法與SoS體系結合在一起，用以研究風險評估。通過對實際的某電力企業生產提供有力的風險評估分析，依據實驗數據的對比，分析出安全威脅的破壞程度，驗證方法的準確性。本項研究有助于系統建設者在后續的建設發展中開展有效的工作。在后續的研究中，進一步地細化層次結構，引入風險權重的考量，建立相應學科的知識庫，滿足不同領域下的風險評估。

參考文獻

[1] 張元天， 劉福強， 陳泱. 基于等級保護體系的信息安全風險評估方法研究[J]. 信息安全與通信保密， 2016（8）：78-81.

[2] 梁智強， 林丹生. 基于電力系統的信息安全風險評估機制研究[J]. 信息網絡安全， 2017（4） ：94-96.

[3] 吳富偉董文潤黃益昌.多介質和多類型氣體流量計數學模型的應用[J].自動化儀表， 2018，39（7）： 74-77.

[4] 魏寶林. 淺談電力系統中信息安全風險評估的技術應用[J]. 科技創新與應用， 2016（17）：178.

[5] 王剛. 基于風險分析矩陣的非銀行業金融機構信息安全風險評估研究[J]. 金融科技時代， 2016（4）：41-43.

[6] 李永波. 項目管理在信息安全風險評估項目中的應用[J]. 物流技術， 2015， 34（12）：193-197.

[7] 孫成林， 尚利. 對信息系統管理中信息安全風險評估研究[J]. 現代電子技術， 2015（1）：87-89.

[8] 方俊偉. 基于AHP和攻擊圖的工控系統信息安全風險評估研究[J]. 數字技術與應用， 2019（4）：200-201.

[9] 祝旭. 故障診斷及預測性維護在智能制造中的應用[J]. 自動化儀表， 2019（7）：66-69.

[10] 曾夏玲，王沖. 網絡安全的維度與企業安全評估體系構建[J].商業經濟研究，2016（19）：103-104.

[11] 張民磊， 李星. 顧及灰色層次分析法的多維信息安全指標體系[J]. 信息技術， 2019（3）：43-44..

[12] 鄭成容. 信息安全風險評估在構筑信息安全保障體系中的作用與地位[J]. 信息安全與技術， 2015（4）：12-14.

[13] 呂虹. 信息安全風險評估關鍵技術研究與實現[J]. 通訊世界， 2019（3）：226-227.

[14] 何宏偉， 屈德建， 楊永興. 解析云計算環境下信息安全風險評估方法[J]. 數碼世界， 2018（7） ：36-38.

[15] Chen H S， Fiscus J. The inhospitable vulnerability： A need for cybersecurity risk assessment in the hospitality industry[J]. Journal of Hospitality and Tourism Technology， 2018（15）：32-34.

[16] 韓霞， 郭易鑫， 王暉南. 基于AHP的電力運行信息安全管理風險評估的研究[J]. 國外電子測量技術， 2018（5）：27-30.

[17] 姚翠艷. 基于信息安全風險評估的檔案信息安全保障體系構架與構建流程[J]. 經營管理者， 2016（18）：278-285.

[18] 孫慶波， 姚國祥. 基于風險因子的信息安全風險評估方法研究[J]. 計算機工程與設計， 2012（1）：91-95.

（收稿日期： 2020.02.25）