羅 佳，楊世平

(1.貴州大學(xué) 計(jì)算機(jī)科學(xué)與信息學(xué)院，貴州 貴陽(yáng) 550025；2.貴州大學(xué) 明德學(xué)院，貴州 貴陽(yáng) 550004)

隨著信息技術(shù)的飛速發(fā)展，來自信息領(lǐng)域，網(wǎng)絡(luò)世界的威脅頻繁出現(xiàn)，信息系統(tǒng)及所承載的信息和服務(wù)的安全性變得尤為重要。信息和信息服務(wù)在保密性、完整性、可用性等方面出現(xiàn)漏洞都將給組織帶來不同程度的影響。開展信息安全風(fēng)險(xiǎn)評(píng)估，對(duì)網(wǎng)絡(luò)和信息系統(tǒng)的資產(chǎn)價(jià)值、潛在的安全威脅、薄弱環(huán)節(jié)進(jìn)行分析，可以做到心中有數(shù)，可以發(fā)現(xiàn)信息系統(tǒng)中存在的主要安全問題，并找到解決這些問題的方法，有針對(duì)性地進(jìn)行管理。通過識(shí)別分析信息系統(tǒng)風(fēng)險(xiǎn)要素的相互關(guān)系和層次結(jié)構(gòu)，建立一種信息系統(tǒng)灰色模糊多層風(fēng)險(xiǎn)綜合評(píng)估模型。利用專家評(píng)判法構(gòu)造系統(tǒng)風(fēng)險(xiǎn)要素指標(biāo)評(píng)判樣本矩陣，確立風(fēng)險(xiǎn)評(píng)價(jià)灰類的等級(jí)數(shù)、灰類的灰數(shù)及白化權(quán)函數(shù)，通過灰色統(tǒng)計(jì)法計(jì)算出灰色評(píng)價(jià)權(quán)矩陣，即模糊綜合評(píng)判矩陣。通過模糊綜合評(píng)判法量化評(píng)估系統(tǒng)資產(chǎn)面臨威脅發(fā)生的可能性及威脅利用脆弱性產(chǎn)生的后果，以此量化系統(tǒng)資產(chǎn)及系統(tǒng)面臨的風(fēng)險(xiǎn)，該方法可以減少評(píng)估的主觀性。

1信息安全風(fēng)險(xiǎn)評(píng)估方法

目前國(guó)內(nèi)外存在很多風(fēng)險(xiǎn)評(píng)估的方法，但還沒有統(tǒng)一的信息安全風(fēng)險(xiǎn)分析的方法。從計(jì)算方法上分為定性分析方法、定量分析方法、定性與定量相結(jié)合的分析方法[1-2]。

1.1定量評(píng)估方法

定量評(píng)估方法是指運(yùn)用數(shù)量指標(biāo)對(duì)風(fēng)險(xiǎn)進(jìn)行評(píng)估，定量分析方法的優(yōu)點(diǎn)是用直觀的數(shù)據(jù)來表述評(píng)估的結(jié)果，看起來一目了然，而且比較客觀。但也常常為了量化，容易簡(jiǎn)單化、模糊化，會(huì)造成誤解和曲解。而且由于數(shù)據(jù)統(tǒng)計(jì)缺乏長(zhǎng)期性，計(jì)算過程又容易出錯(cuò)，所以定量分析的細(xì)化非常困難。

1.2定性評(píng)估方法

定性分析方法主要依據(jù)研究者的知識(shí)、經(jīng)驗(yàn)、歷史教訓(xùn)、政策走向及特殊變例等非量化資料對(duì)系統(tǒng)風(fēng)險(xiǎn)狀況做出判斷。典型的定性分析方法有德爾菲法、矩陣法等。定性分析方法的優(yōu)點(diǎn)是避免了定量分析方法的缺點(diǎn)，可以挖掘出一些蘊(yùn)藏很深的思想，使評(píng)估的結(jié)論更全面深刻，但它的缺點(diǎn)也顯而易見，即主觀性強(qiáng)，對(duì)評(píng)估者要求很高。

1.3定性與定量結(jié)合的評(píng)估方法

信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估是個(gè)復(fù)雜的過程，需要考慮的因素很多，有些評(píng)估要素是可以用量化的形式來表達(dá)，而對(duì)有些要素的量化又是很困難甚至是不可能的。定量分析是定性分析的基礎(chǔ)和前提，定性分析應(yīng)該建立在定量分析的基礎(chǔ)上，不能將定性分析方法與定量分析方法簡(jiǎn)單地割裂開來，而是將這兩種方法結(jié)合起來，采用綜合分析方法。主要的綜合分析方法有層次分析法、概率風(fēng)險(xiǎn)評(píng)估和模糊綜合評(píng)價(jià)法等。

2 信息安全風(fēng)險(xiǎn)評(píng)估的計(jì)算方法[3]

風(fēng)險(xiǎn)是威脅發(fā)生的可能性，是薄弱點(diǎn)被威脅利用的概率潛在的函數(shù) ，R=R(A，T，V)=R(L(T，V)，P(Ia，Va))其中A為資產(chǎn)；T為威脅；V為脆弱性；Ia為資產(chǎn)的重要程度；Va為資產(chǎn)的脆弱性；L(T，V)為威脅利用資產(chǎn)脆弱性的可能性；P(Ia，Va)為作用的資產(chǎn)價(jià)值及其脆弱性的嚴(yán)重程度[3]，風(fēng)險(xiǎn)計(jì)算原理如圖1所示。

圖1 風(fēng)險(xiǎn)計(jì)算原理圖

3信息系統(tǒng)安全風(fēng)險(xiǎn)的模糊綜合評(píng)判模型

3.1信息安全風(fēng)險(xiǎn)要素關(guān)系

信息安全風(fēng)險(xiǎn)評(píng)估是圍繞著資產(chǎn)、脆弱性和威脅展開的。通過信息安全風(fēng)險(xiǎn)要素關(guān)系圖可知，風(fēng)險(xiǎn)是潛在的安全事件發(fā)生的可能性和后果，評(píng)估量化風(fēng)險(xiǎn)，就是量化安全事件發(fā)生的可能性和后果。在應(yīng)用灰色綜合評(píng)估方法評(píng)估信息系統(tǒng)的風(fēng)險(xiǎn)時(shí)，應(yīng)先建立信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估指標(biāo)體系，通過對(duì)信息系統(tǒng)的風(fēng)險(xiǎn)本質(zhì)進(jìn)行分析，可建立風(fēng)險(xiǎn)評(píng)估指標(biāo)體系[4]，信息安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系如表1所示。

3.2確立評(píng)價(jià)指標(biāo)集

設(shè)評(píng)價(jià)因素集 u={u1，u2，…，un}，根據(jù)所建立的評(píng)估指 標(biāo) 體 系 ， 第 一 級(jí) 評(píng) 價(jià) 指 標(biāo) 為 ：{u1，u2，u3，u4，u5，u6}， 第二 級(jí) 指 標(biāo) 為 ：u1={u11，u12，u13，u14，u15，u16}，u2={u21，u22}，u3={u31，u32}，u4={u41，u42，u43}，u5={u51，u52，u53}，u6={u61，u62}。

表1 信息安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系

3.3 評(píng)判指標(biāo)權(quán)重的確立[5]

在多層次評(píng)估中，各個(gè)評(píng)估指標(biāo)的重要程度通常是不同的，權(quán)重的確定是否合理、科學(xué)，直接影響著評(píng)價(jià)的準(zhǔn)確性。權(quán)重的構(gòu)造通過AHP法來確定?？梢詫⑷说闹饔^判斷用數(shù)量形式表達(dá)和處理，可以同時(shí)處理可定量和不易定量因素，也可以提示人們對(duì)問題的主觀判斷是否一致?？煞譃?個(gè)步驟：(1)建立問題的遞階層次結(jié)構(gòu)；(2)構(gòu)造兩兩比較判斷矩陣；(3)由判斷矩陣計(jì)算被比較元素的相對(duì)權(quán)重；(4)計(jì)算各層元的組合權(quán)重。先對(duì)第二層次的要素以第一層為準(zhǔn)則進(jìn)行兩兩比較并根據(jù)評(píng)定尺度確定其相對(duì)重要度，建立判斷矩陣：

其中，n為判斷矩陣的階數(shù)。當(dāng)CI＜0.1時(shí)，表明矩陣一致性成立，各項(xiàng)權(quán)重?zé)o邏輯錯(cuò)誤。通過AHP法可以計(jì)算出一級(jí)指標(biāo)，二級(jí)指標(biāo)權(quán)重向量。

3.4 信息系統(tǒng)風(fēng)險(xiǎn)評(píng)價(jià)等級(jí)和評(píng)分標(biāo)準(zhǔn)[6]

按照《GB/T 20984-2007信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范》的要求，結(jié)合安全保護(hù)等級(jí)的分級(jí)和國(guó)際危機(jī)管理的分級(jí)慣例，將風(fēng)險(xiǎn)的評(píng)價(jià)等級(jí)分為五級(jí)，即很高、高、中、低、很低，為將定性指標(biāo)轉(zhuǎn)換為定量指標(biāo)，應(yīng)相應(yīng)地對(duì)各個(gè)指標(biāo)賦值。按照5分制原則確定各等級(jí)的賦分，則 5 個(gè)評(píng)定等級(jí)分?jǐn)?shù)分別為 5、4、3、2、1，指標(biāo)等級(jí)介于兩者之間的相應(yīng)的評(píng)分為 4.5、3.5、2.5、1.5、0.5各值。

3.5 評(píng)價(jià)樣本矩陣及評(píng)價(jià)灰類的確定[7]

3.5.1評(píng)價(jià)樣本矩陣的確定

設(shè)有n位專家參與評(píng)價(jià)，dti表示第t位專家對(duì)第i=(1，2，…，m)個(gè)指標(biāo)給出的評(píng)分，這樣全部專家對(duì)評(píng)價(jià)指標(biāo)的評(píng)價(jià)數(shù)據(jù)構(gòu)成評(píng)價(jià)樣本矩陣：

3.5.2確定評(píng)價(jià)灰類

由于專家水平的局限性及認(rèn)識(shí)角度上的差異，只能給出一個(gè)灰數(shù)的白化值。為了真正反映屬于某類的程度，需要確定評(píng)價(jià)灰類，即：要確定評(píng)價(jià)灰類的等級(jí)數(shù)、灰類的灰數(shù)及白化權(quán)函數(shù)。評(píng)價(jià)灰類要根據(jù)評(píng)價(jià)等級(jí)，通過定性分析確定。這里設(shè)有5個(gè)評(píng)價(jià)灰類分別是很高、高、中、低、很低。第 1 類：j=1，?∈[5，∞)，第 2 類：j=2，?∈(0，4，8)，第 3 類：j=3，?∈(0，3，6)，第 4 類：j=4，?∈(0，2，4)，第 5 類：j=5，?∈(0，1，2)。 以灰類的樣本dij為橫坐標(biāo)，以灰數(shù)確認(rèn)度f為縱坐標(biāo)的最少信息圖像，稱為灰類的白化權(quán)函數(shù)，各類的白化權(quán)函數(shù)分別設(shè)為：f1(dti)，f2(dti)，f3(dti)，f4(dti)，f5(dti)，根 據(jù) 白 化 權(quán) 函 數(shù) 定 義可設(shè)5個(gè)白化權(quán)函數(shù)分別為：

3.6計(jì)算灰色評(píng)價(jià)系數(shù)

3.7 綜合計(jì)算灰色模糊評(píng)價(jià)結(jié)果[8]

信息系統(tǒng)風(fēng)險(xiǎn)是安全事件發(fā)生概率及其后果的函數(shù)，若已知安全事件發(fā)生概率及后果的函數(shù)，則關(guān)于風(fēng)險(xiǎn)的計(jì)算為：

可求得風(fēng)險(xiǎn)值：R=Lp×Lc。

灰色模糊綜合評(píng)判法是將灰色理論與模糊綜合評(píng)價(jià)法結(jié)合起來，并將定性與定量計(jì)算相結(jié)合的一種方法。由于信息系統(tǒng)風(fēng)險(xiǎn)的灰色模糊性，通過識(shí)別分析信息系統(tǒng)風(fēng)險(xiǎn)要素的相互關(guān)系和層次結(jié)構(gòu)，建立一種信息系統(tǒng)灰色模糊多層風(fēng)險(xiǎn)綜合評(píng)估模型，量化評(píng)估系統(tǒng)資產(chǎn)面臨安全事件發(fā)生的可能性及安全事件發(fā)生產(chǎn)生的后果，該方法可以減少評(píng)估的主觀性，使系統(tǒng)風(fēng)險(xiǎn)量化評(píng)估結(jié)果更客觀，從而采取相應(yīng)的措施來降低風(fēng)險(xiǎn)，使風(fēng)險(xiǎn)降低到一個(gè)可接受的水平。

[1]范紅，馮登國(guó)，吳亞非.信息安全風(fēng)險(xiǎn)評(píng)估方法與應(yīng)用[M].北京：清華大學(xué)出版社，2006.

[2]王英梅，王勝開，程湘云.信息安全風(fēng)險(xiǎn)評(píng)估[M].北京：電子工業(yè)出版社，2007.

[3]吳亞非，李新友，祿凱.信息安全風(fēng)險(xiǎn)評(píng)估[M].北京：清華大學(xué)出版社，2006.

[4]胡勇.信息系統(tǒng)風(fēng)險(xiǎn)量化評(píng)估指標(biāo)體系[J].四川大學(xué)學(xué)報(bào)(自然科學(xué)版)，2006，43(5)：1048-1052.

[5]史簡(jiǎn)，郭山清，謝立.一種實(shí)時(shí)的信息安全風(fēng)險(xiǎn)評(píng)估方法[J].計(jì) 算 機(jī) 工 程 與 應(yīng) 用 ，2006(1)：109-110.

[6]馮建湘，唐嶸，王雙維.軟件質(zhì)量的灰色關(guān)聯(lián)分析及其應(yīng)用[J].計(jì)算機(jī)工程，2004，30(9)：91-92.

[7]劉思峰，方志耕.灰色系統(tǒng)理論及其應(yīng)用[M].北京：科學(xué)出版，1991.

[8]梁保松，曹殿立．模糊數(shù)學(xué)及其應(yīng)用[M].北京：科學(xué)出版社，2007．

[9]范紅，馮登國(guó).信息安全風(fēng)險(xiǎn)評(píng)估實(shí)施教程[M].北京：清華大學(xué)出版，2006.