基于灰色關聯分析綜合法的信息系統安全管理評價

唐榮華

（廣東金質信息技術有限公司，廣東 廣州 510220）

0 引 言

當前國際形勢下，人們對信息安全越來越重視。沒有信息安全就沒有國家安全。因此，加強信息安全的管理以及對安全管理的評價也日趨重要。目前，對于信息安全管理的評估，許多專家學者結合評估指標，運用模糊數學、灰色理論、層次分析法（Analytic Hierarchy Process，AHP）、熵權理論等多種方法[1-4]，取得了不少研究成果，但仍存在一些不足。

（1）評價對象主要側重于對信息安全和風險的評估，注重從全域的角度對軟硬件環境、網絡運行、應用、數據及管理等方面做安全評價，較少從管理角度進行評價。

（2）在評估方法上面，多傾向于模糊數學、灰色理論、AHP、熵權理論等方法的單獨應用或簡單組合。由于信息系統具有一定的復雜性和模糊性，評價往往帶有較多的主觀性，忽視了客觀性和指標的相互影響等。

（3）在評價指標的選取上有較多的主觀性，采用標準時也做了很多的裁剪，缺少權威性、普適性和客觀性。

本文提出的基于灰色關聯分析綜合法的信息安全管理評價，評價對象是管理層面的評價，因為信息安全的重點在于管理，更多的是從上到下，沒有上層的重視很難得到落實；在評價方法上，綜合應用灰色系統理論的關聯度分析、層次分析法多層遞歸綜合和熵權理論等多種理論和方法，兼顧了指標屬性的主觀權重和客觀權重，使評價更為科學；在評價指標的選取上，選擇了國家標準《信息安全技術 信息系統安全管理要求》（GB/T 20269—2006）[5]中的全部指標，具有很好權威性和實用性。本方法針對性強，對系統等級安全保護的管理的改進具有非常重要的指導意義。

1 基于AHP的評價層級構建信息安全管理指標體系

國家標準《信息安全技術 信息系統安全管理要求》（GB/T 20269—2006）[5]對等級保護提出了具體安全管理要素及其在不同等級保護的執行強度，有利于對安全管理的評價。本文采用此標準對信息系統安全管理的要求，基于AHP的層次分析法建立如表1所示的信息系統安全管理指標體系。該體系分為目標層、準則層和指標層三層。目標層是信息系統安全管理，是評價的目標對象，準則層是8個影響因素，指標層是30個具體的屬性指標。

表1 信息安全管理指標體系

2 信息安全管理評估模型

鄧聚龍教授在1982年3月提出灰色系統理論[6]。它是根據序列曲線幾何形狀的相似程度來判斷其聯系是否緊密。形狀越接近，對應序列之間的關聯度就越大，反之就越小。本文指標體系分為三級，分別是目標層、準則層和指標層，結合主觀權重和客觀權重，先分別計算單個準則的指標關聯度，然后再以各個準則的關聯度結果作為輸入，計算目標層的綜合關聯度。

2.1 運用AHP確定各級指標體系的主觀權重

2.1.1 構建判斷矩陣

利用AHP（層次分析法）[1]建立判斷矩陣A=(aij)，滿足其中，aij表示對上一層比較本層第i個指標和第j個指標的重要程度，其值通過專家打分來確定，分值采用1-9標度法，如表2所示。

表2 層次分析1-9標度取值和含義

2.1.2 主觀權重計算

根據信息安全管理指標體系層次關系，先計算指標層對準則層的權重，再計算準則層對目標層的權重。具體步驟如下。

（1）指標層對準則層的權重。對8個準則分別計算其下一層指標間的權重，每個準則的下一層指標構建判斷矩陣A=(aij)n×n后，經過如下歸一化和一致性評價，計算得出指標層因素對準則的主觀權重向量WA(i)，(i=1,2,…,8)。

（2）歸一化。先將判斷矩陣每一列做歸一化處理：

再對歸一化后的矩陣每一行求和，并進行歸一化處理：

得到向量WA即為相對權重。

（3）一致性檢驗。采用式（3）進行一致性校驗：

式中：CI為一致性指標，其中λmax為判斷矩陣的最大特征根；RI為平均隨機一致性指標，一般當CR<0.1時，一致性可接受，否則需要重新進行專家打分。

（4）準則層對目標層的權重。用同樣方法，準則層8個準則對目標層構建判斷矩陣，經歸一化和一致性評價，求得主觀權重向量。

2.2 運用熵權法確定各級指標體系的客觀權重

熵權法[3]是一種利用信息熵計算出各指標熵權的一種方法。它直接利用無量綱化后的矩陣所給出的信息計算出各指標的權重，而沒有引入決策者的主觀判斷，是一種客觀賦權方法。對于無量綱化后矩陣Xm×n（m個信息系統，n個指標），各指標的相對權重計算式為：

式中：Ej為第j個指標值的信息熵，j=1,2,…,n，其 計 算 公 式為若Pi(j)=0，則Ej=0。Pi(j)為計算第i個系統第j個指標值的比重，計算公式為

對相對權重進行歸一化，即得到各指標的權重系數wB(j)：

根據信息安全管理指標體系層次關系，先計算準則層各指標的權重，再計算目標層各準則的權重。

（1）準則層各指標的權重。對8個準則分別計算其下一層指標間的權重，每個準則的下一層指標無量綱化矩陣Xm×n（m個信息系統，n個指標）經相對權重公式（4）、式（5）求得客觀權重wB(j)，(j=1,2,…,8)。

（2）目標層各準則的權重。以同樣方法，目標層下一層8個準則構建無量綱化矩陣Xm×8，經相對權重式（4）、式（5）求得客觀權重。

2.3 采集各信息系統評價構建初始矩陣

采集指標層各個指標的得分，按準則分別構建初始矩陣：

2.4 單準則關聯度評價

2.4.1 無量綱化處理

對于單個準則指標值初始矩陣，指標得分越大越好。規范化采用以下公式進行無量綱化：

規范化變換后，式（6）變為

2.4.2 確定參考數列和比較數列

選取比較矩陣X中各項評估指標的最大值作為參考數列：

比較數列：

為第i個系統的比較數列。

2.4.3 建立關聯系數矩陣

計算比較數列與參考數列的相對差值，定義如下關聯系數計算公式：

式中：ρ為分辨系數，取值在0到1之間，一般取0.5，分 別表示|x0(k)-xi(k)|矩陣的最小值和最大值，式中ζi(k)為第i個系統的第k個影響因素對于參考系統x0的關聯系數。

2.4.4 計算各影響屬性的權重

采用客觀的熵權法和帶主觀性的專家打分法對信息系統安全管理影響因素指標權重進行計算，分別得到影響因素指標k的權重系數：

式中：wA(k)和wB(k)分別為熵權法和專家打分法得到的權重，α為主觀系數，0≤α≤1，通常取0.5。

2.4.5 計算灰色關聯度

為了得到系統xi與x0的灰色關聯度，需要將各影響因素的灰色關聯系數進行加權求和求得灰色關聯度向量，如式（13）所示：

2.5 綜合關聯度評價

先分別計算單個準則層準則的指標的關聯度向量，然后把8個準則關聯度向量合并作為初始矩陣計算目標層的關聯度，方法同單準則關聯度評價（1）-（5）的遞歸計算。

3 應用實例

本文以某集團公司10個信息系統的信息安全管理評價為例，分別以S1—S10表示10個系統，采集樣本參數如下。

3.1 AHP確定各級指標體系的主觀權重專家打分情況

指標層對準則層的權重判斷矩陣：

準則層對目標層的判斷矩陣：

3.2 按準則分別構建初始矩陣

通過對各信息系統的信息安全管理8個準則的指標進行打分（10分制），整理獲得相應指標的評判情況，分別對8個準則構建8個初始矩陣。

3.2.1 主觀權重和客觀權重計算

根據采集的樣本數據，運用式（1）—式（5）計算得各級指標的主觀和客觀權重，如表3所示。

表3 各級指標的主觀和客觀權重

3.2.2 單項準則計算關聯度

根據各準備采集的樣本數據，經式（7）—式（13）計算各準則的關聯度，結果如表4所示。

3.2.3 綜合評價

以表4各單項準則關聯度為初始矩陣X0，結合準則層的主觀權重和客觀權重，經單項準則計算關聯中（1）-（5）計算得出如下綜合評價關聯度：[0.91 0.47 0.40 0.51 0.55 0.47 0.50 0.49 0.58 0.65]T。把綜合的評價關聯度和8個準則的關聯度合并并排序，得到表5的結果。

表4 各單項準則關聯度

由表5可以得到10個信息系統的評價結果。綜合評價得分最高的是S1號信息系統，管理能力最優；得分最低的是S6號，管理能力有待進一步提高。根據綜合關聯度的高低，可以確定總體排名情況。根據單項準備的關聯度高低，也可以找到在哪些指標和準則存在不足，從而采取有針對性的改進措施，有效提升管理能力。

表5 各單項準則關聯度和綜合評價排序表

4 結 語

本文針對信息安全管理評價存在的問題，首先采用國家標準基于AHP的評價層級構建信息安全管理指標體系，然后借助灰色理論、層次分析法和熵權法論述了信息安全管理評估模型的綜合評估建模過程，最后通過實例完成了對某集團公司10個信息系統的信息安全管理評價，具有以下創新點。

（1）從管理層面進行評價，抓住管理層面這個關鍵要素，有利于對管理人員的績效考核和信息安全的推動和落地。

（2）從目標、準則和指標三個層次，先分層、分準則進行灰色關聯度分析，再綜合遞歸計算，自下而上，簡化了問題處理復雜度，避免了同一層指標過多時指標權重的設置困難。

（3）采用AHP專家打分確定各級指標體系的主觀權重和熵權法確定各級指標體系的客觀權重相結合的方法，克服了評價中的主觀偏差。

（4）選用與等級保護相關的國家標準作為評價指標體系，保證了評價指標的權威性和實用性問題。