郭錫泉，羅偉其，姚國(guó)祥

（1.暨南大學(xué) 管理學(xué)院，廣東 廣州510632；2.廣州番禺職業(yè)技術(shù)學(xué)院 信息工程學(xué)院，廣東 廣州511483；3.暨南大學(xué) 信息科學(xué)技術(shù)學(xué)院，廣東 廣州510632）

0 引 言

信息安全事故時(shí)刻威脅著企業(yè)的信息安全，甚至可造成不可挽回的經(jīng)濟(jì)損失。除了注重信息安全技術(shù)的合理應(yīng)用，還必須加強(qiáng)信息安全管理的工作。信息安全管理正在向體系化、標(biāo)準(zhǔn)化、定量化方向發(fā)展，ISO與IEC兩大國(guó)際標(biāo)準(zhǔn)組織聯(lián)合推出27000信息安全管理標(biāo)準(zhǔn)族正是在這個(gè)背景下應(yīng)運(yùn)而生。完善的信息安全管理體系 （informa－tion security management system，ISMS），依賴(lài)于信息安全風(fēng)險(xiǎn)評(píng)估［1－3］與信息安全管理測(cè)量?jī)纱蠡?。?guó)內(nèi)外學(xué)者都提出信息安全管理評(píng)價(jià)的問(wèn)題，但信息安全管理測(cè)量、信息安全管理評(píng)價(jià)應(yīng)該如何進(jìn)行、它們之間有沒(méi)有關(guān)系，目前這些問(wèn)題在學(xué)術(shù)界和業(yè)界仍然比較模糊。本文研究信息安全管理的測(cè)量問(wèn)題與評(píng)價(jià)問(wèn)題之間的關(guān)系，以及如何將兩者進(jìn)行有機(jī)的集成，為信息安全管理測(cè)量評(píng)價(jià)的體系化、標(biāo)準(zhǔn)化、定量化奠定基礎(chǔ)。

1 概念和基本思想

1.1 信息安全管理的目標(biāo)

提高信息安全管理水平并不能無(wú)止境地提升信息安全水平，這是技術(shù)本身存在局限所致，但提高管理水平對(duì)提升安全水平是可以有貢獻(xiàn)的。如信息安全漏洞管理 （如圖1（a）所示）中，若放任漏洞的自由增長(zhǎng)，風(fēng)險(xiǎn)水平將快速上升 （R2）；若總能及時(shí)升級(jí)軟件防止漏洞，風(fēng)險(xiǎn)可以不增長(zhǎng) （R0）；更為實(shí)際的情況是升級(jí)軟件有滯后性，風(fēng)險(xiǎn)在低位小幅變化 （R1）。以上實(shí)例反映出在不同的安全領(lǐng)域上都存在一個(gè)技術(shù)基準(zhǔn)水平，而實(shí)際的安全水平可能高于、低于或等于這個(gè)水平 （如圖1（b）所示），信息安全管理的目標(biāo)是使實(shí)際的安全水平能夠逼近或超越技術(shù)基準(zhǔn)水平。明確信息安全管理的目標(biāo)后，信息安全管理的測(cè)量活動(dòng)、評(píng)價(jià)活動(dòng)也都圍繞此目標(biāo)來(lái)進(jìn)行。

圖1 信息安全管理的目標(biāo)

1.2 信息安全管理的運(yùn)籌學(xué)模型

企業(yè)在信息安全管理的過(guò)程中，需要投入人力、物力、財(cái)力，依次記為投入函數(shù)h（），e（），I（），這些資源的投入量可以表示為時(shí)間的函數(shù)。設(shè)S（）為信息安全的水平函數(shù)，則S（）與h（），e（），I（）均相關(guān)。從運(yùn)籌學(xué)的規(guī)劃模型出發(fā)，信息安全管理應(yīng)追求安全水平函數(shù)S（）在h（），e（），I（）約束條件下的最大化，見(jiàn)式 （1）。各投入函數(shù)是時(shí)間的函數(shù)，故S（）也隨時(shí)間不同而變化。設(shè)S＊tj表示時(shí)刻tj安全水平的最優(yōu)值，Stj表示其實(shí)際值。即使人力、物力、財(cái)力的投入均相同，安全水平仍然可以不同，故安全水平函數(shù)S（）是非線性函數(shù)，它與h（），e（），I（）有著復(fù)雜的、不確定的關(guān)系。人力是其中最活躍的因素，管理水平高的企業(yè)可用較低的投入取得較高的安全水平，而投入高的企業(yè)其安全水平不一定很高。maxS（h（O，Ti），e（P，nj），I（Q，mk））

1.3 信息安全管理的測(cè)量問(wèn)題與評(píng)價(jià)問(wèn)題

信息安全管理測(cè)量方面，COBIT［4］從IT治理的角度提出4個(gè)領(lǐng)域共34個(gè)IT過(guò)程，通過(guò)KPI／KGI（關(guān)鍵績(jī)效指標(biāo)／關(guān)鍵目標(biāo)指標(biāo)）來(lái)測(cè)量組織的IT治理水平達(dá)到相應(yīng)成熟度模型 （CMM）的哪一級(jí)。NIST的SP800－53／53A／55系列標(biāo)準(zhǔn)［5］，給出非常詳盡的對(duì)安全控制措施進(jìn)行評(píng)估的模板。ISO／IEC27004［6］正式提出了信息安全管理測(cè)量的概念和模型，并給出了部分指標(biāo)的測(cè)量示例。在信息安全管理評(píng)價(jià)方面，文獻(xiàn) ［7－8］提出基于層次分析法的評(píng)價(jià)模型，文獻(xiàn) ［9－10］依據(jù)ISO／IEC27001給出信息安全管理效力 （Effectiveness）與效率 （Efficiency）的評(píng)估方法?？梢园l(fā)現(xiàn)，目前關(guān)于信息安全管理測(cè)量的研究比較少，并且只關(guān)注于宏觀層面的體系、模型或微觀層面的指標(biāo)定義與測(cè)量，缺乏中間層面對(duì)測(cè)量結(jié)果進(jìn)行分析處理、形成對(duì)信息安全管理進(jìn)行綜合評(píng)價(jià)的研究，難以為管理者提供簡(jiǎn)明扼要、有決策意義的綜合測(cè)量結(jié)果。而信息安全管理評(píng)價(jià)的研究目前還比較粗糙，在評(píng)價(jià)內(nèi)容、指標(biāo)定義、評(píng)價(jià)方法等方面缺乏相應(yīng)的指導(dǎo)。本文將對(duì)測(cè)量過(guò)程與評(píng)價(jià)過(guò)程進(jìn)行有機(jī)結(jié)合，構(gòu)建一個(gè)開(kāi)放、可伸縮的信息安全管理集成測(cè)量評(píng)價(jià)體系。

2 實(shí)現(xiàn)框架

2.1 信息安全管理的集成測(cè)量評(píng)價(jià)模型

按照ISO／IEC27004的定義，信息安全管理測(cè)量是指數(shù)據(jù)的采集、分析與報(bào)告；而系統(tǒng)評(píng)價(jià)是系統(tǒng)工程學(xué)的一個(gè)重要組成部分。從應(yīng)用現(xiàn)狀看，信息安全管理的測(cè)量過(guò)程與評(píng)價(jià)過(guò)程并沒(méi)有什么聯(lián)系 （如圖2（a）所示），兩者往往獨(dú)立進(jìn)行。事實(shí)上，兩者既有聯(lián)系，又有區(qū)別：測(cè)量和評(píng)價(jià)都需要使用指標(biāo)值；測(cè)量是獲得具體的指標(biāo)值，評(píng)價(jià)是通過(guò)指標(biāo)值作出對(duì)事物的總體判斷。兩者可以通過(guò)指標(biāo)值得以聯(lián)系起來(lái)，故本文提出一個(gè)信息安全管理的集成測(cè)量評(píng)價(jià)模型，把測(cè)量過(guò)程與評(píng)價(jià)過(guò)程進(jìn)行有機(jī)結(jié)合 （如圖2（b）所示）。

圖2 信息安全管理測(cè)量與評(píng)價(jià)的關(guān)系

記測(cè)量過(guò)程為函數(shù)f（x），評(píng)價(jià)過(guò)程為函數(shù)g（x），則測(cè)量結(jié)果、評(píng)價(jià)結(jié)果可依次表示為式 （2）、（3）。指標(biāo)測(cè)量結(jié)果xt與評(píng)價(jià)結(jié)果yt用來(lái)逼近安全水平Stj，而安全水平的最優(yōu)值S＊tj則隱含在指標(biāo)的定義中。評(píng)價(jià)提供總體性判斷，為管理者提供決策支持；測(cè)量提供具體的指標(biāo)數(shù)據(jù)，為部門(mén)人員指出改進(jìn)的方向，實(shí)現(xiàn)測(cè)量與評(píng)價(jià)的有機(jī)結(jié)合。

2.2 開(kāi)放可伸縮的集成測(cè)量評(píng)價(jià)體系

信息安全管理涉及管理、技術(shù)、經(jīng)濟(jì)等多個(gè)領(lǐng)域，測(cè)量方面，不同領(lǐng)域的指標(biāo)及其測(cè)量方法的定義存在很大的差別［11］；評(píng)價(jià)方面，信息安全管理的評(píng)價(jià)存在多方面的內(nèi)容，評(píng)價(jià)方法也復(fù)雜多樣，要求測(cè)量評(píng)價(jià)體系有足夠的開(kāi)放性與靈活性。本文提出一個(gè)基于方法集的開(kāi)放、可伸縮的集成測(cè)量評(píng)價(jià)體系 （如圖3所示），主要由評(píng)價(jià)內(nèi)容集、評(píng)價(jià)維度集、指標(biāo)集與測(cè)量方法集、評(píng)價(jià)方法集四大部分組成，每一部分都可以添加新的內(nèi)容進(jìn)去，體系具有開(kāi)放性；組織可根據(jù)自身需求在該體系中選擇一個(gè)測(cè)量評(píng)價(jià)的子集，測(cè)量評(píng)價(jià)的內(nèi)容可多可少，是一個(gè)有伸縮性的體系。在該體系中，測(cè)量過(guò)程由評(píng)價(jià)過(guò)程來(lái)指導(dǎo)，測(cè)量前 （C）先確定評(píng)價(jià)內(nèi)容 （A）與評(píng)價(jià)維度 （B），測(cè)量后選擇合適的評(píng)價(jià)方法 （D）來(lái)處理測(cè)量值，并形成評(píng)價(jià)結(jié)果。

圖3 開(kāi)放可伸縮的集成測(cè)量評(píng)價(jià)體系

3 關(guān)鍵技術(shù)

構(gòu)建開(kāi)放可伸縮的信息安全管理測(cè)量評(píng)價(jià)體系，要求評(píng)價(jià)內(nèi)容、評(píng)價(jià)維度、評(píng)價(jià)方法、測(cè)量指標(biāo)與測(cè)量方法各方面均應(yīng)達(dá)到相對(duì)標(biāo)準(zhǔn)、完善的程度。本文提出基于方法集的途徑，使信息安全管理測(cè)量評(píng)價(jià)的諸方面既有標(biāo)準(zhǔn)性，又具有開(kāi)放性與伸縮性。

3.1 評(píng)價(jià)內(nèi)容集

信息安全管理涉及眾多領(lǐng)域，其評(píng)價(jià)存在諸多方面的內(nèi)容。信息安全管理包含的內(nèi)容應(yīng)如何定義，目前比較有代表性的是ISO／IEC27000與NIST的SP800標(biāo)準(zhǔn)系列，而后者也在向前者靠攏?？紤]到上述情況，本文根據(jù)ISO／IEC27001［12－13］關(guān)于ISMS的定義來(lái)確定評(píng)價(jià)內(nèi)容集 （如圖3所示）。有兩點(diǎn)需要說(shuō)明：①表中每一方面的內(nèi)容都可以展開(kāi)，表1為A （6）通信與操作管理的子內(nèi)容；②可以增加新的評(píng)價(jià)內(nèi)容到該體系中，體現(xiàn)體系的開(kāi)放性。

表1 A （6）的子集

3.2 評(píng)價(jià)維度集

對(duì)于同一評(píng)價(jià)內(nèi)容，從管理角度關(guān)心的是管理措施是否得以落實(shí)，從技術(shù)角度關(guān)心的是這些措施有沒(méi)有效果，從經(jīng)濟(jì)角度關(guān)心的是投入的資金有沒(méi)有回報(bào)，不同的角度需要建立與之適應(yīng)的指標(biāo)集與測(cè)量方法集、評(píng)價(jià)方法集。本文用評(píng)價(jià)維度來(lái)區(qū)分這3個(gè)角度：實(shí)施維用來(lái)評(píng)價(jià)管理措施的落實(shí)情況；效力維用來(lái)評(píng)價(jià)管理措施的效果；績(jī)效維用來(lái)評(píng)價(jià)管理的績(jī)效。用yt＿B1，yt＿B2，yt＿B3來(lái)依次標(biāo)記實(shí)施維、效力維、績(jī)效維的評(píng)價(jià)結(jié)果，不同維度的測(cè)量函數(shù)f（x）有所不同，如式 （4）所示。可用一立方體模型來(lái)表示評(píng)價(jià)維度集 （如圖4所示），安全管理的最優(yōu)水平位于圖中標(biāo)記的小方塊區(qū)域。

圖4 評(píng)價(jià)維度的立方體模型

3.3 指標(biāo)集與測(cè)量方法集

從ISO／IEC27004給出的信息安全管理測(cè)量的部分指標(biāo)及其測(cè)量方法（如表2所示）可以看出，指標(biāo)的定義及其測(cè)量方法是緊密聯(lián)系的。不同的指標(biāo)，其測(cè)量方法可能存在非常大的差別，故難以對(duì)測(cè)量方法進(jìn)行細(xì)致的分類(lèi)。

表2 ISO／IEC27004的指標(biāo)與測(cè)量方法示例

信息安全管理的指標(biāo)可分成管理、技術(shù)、經(jīng)濟(jì)3個(gè)大類(lèi)，而測(cè)量方法也可據(jù)此劃分成這3類(lèi)。指標(biāo)的定義非常關(guān)鍵，因?yàn)樾畔踩降淖顑?yōu)值隱含在指標(biāo)的定義之中。與管理類(lèi)、經(jīng)濟(jì)類(lèi)的指標(biāo)相比，技術(shù)類(lèi)的指標(biāo)因信息技術(shù)本身的復(fù)雜多樣性顯得更難于定義。管理類(lèi)指標(biāo)的測(cè)量，可以通過(guò)文件審閱、面談、現(xiàn)場(chǎng)檢查等手段進(jìn)行；經(jīng)濟(jì)類(lèi)指標(biāo)的測(cè)量，可以通過(guò)分析財(cái)務(wù)數(shù)據(jù)來(lái)實(shí)現(xiàn)；技術(shù)類(lèi)指標(biāo)的測(cè)量，則可以采用各種技術(shù)手段來(lái)進(jìn)行，包括工具掃描、人工分析、滲透測(cè)試、數(shù)據(jù)挖掘、入侵檢測(cè)、歷史數(shù)據(jù)采集與分析、安全審計(jì)、安全測(cè)評(píng)、風(fēng)險(xiǎn)評(píng)估等。

3.4 評(píng)價(jià)方法集

系統(tǒng)評(píng)價(jià)是系統(tǒng)工程學(xué)的重要分支，綜合評(píng)價(jià)方法的發(fā)展已經(jīng)達(dá)到比較成熟的階段，目前已有多種評(píng)價(jià)方法應(yīng)用到不同的領(lǐng)域［14］（如表3所示）。信息安全管理評(píng)價(jià)涉及管理、技術(shù)、經(jīng)濟(jì)等領(lǐng)域，可以根據(jù)需要選擇合適的評(píng)價(jià)方法。有兩點(diǎn)需要注意：①評(píng)價(jià)方法的選擇要與評(píng)價(jià)維度相適應(yīng)，盡量選擇簡(jiǎn)單有效的評(píng)價(jià)方法；②可以對(duì)某種評(píng)價(jià)方法進(jìn)行改進(jìn)，或把多種評(píng)價(jià)方法進(jìn)行集成以適應(yīng)信息安全管理評(píng)價(jià)的應(yīng)用需求。

4 應(yīng)用實(shí)驗(yàn)

4.1 應(yīng)用實(shí)例

網(wǎng)絡(luò)安全管理效力維需要采用技術(shù)類(lèi)指標(biāo)進(jìn)行測(cè)量，可通過(guò)人工分析、滲透測(cè)試、數(shù)據(jù)挖掘等多種技術(shù)方法實(shí)現(xiàn)，且測(cè)量值比較客觀，量化程度也較高。但安全水平是人力、物力、財(cái)力多種資源投入的非線性函數(shù)，各種指標(biāo)對(duì)信息安全管理效力的貢獻(xiàn)存在復(fù)雜的、不確定的關(guān)系。人工神經(jīng)網(wǎng)絡(luò) （ANN）方法適用于非線性系統(tǒng)［15］，故本例采用它作為評(píng)價(jià)方法。上述處理方法可記作A （6－6）－B2－C2－D （9－1）子集，實(shí)施過(guò)程如下：

（1）定義網(wǎng)絡(luò)安全管理效力維的指標(biāo)與測(cè)量方法；

（2）取得網(wǎng)絡(luò)安全管理效力維指標(biāo)的測(cè)量值，并進(jìn)行歸一化；

（3）采用ANN進(jìn)行綜合評(píng)價(jià)。

表3 評(píng)價(jià)方法集

本例中，網(wǎng)絡(luò)安全管理效力維的指標(biāo)定義如下：網(wǎng)絡(luò)安全管理的人力投入、網(wǎng)絡(luò)管理員的專(zhuān)業(yè)水平、網(wǎng)絡(luò)安全設(shè)備配置的有效性、網(wǎng)絡(luò)安全風(fēng)險(xiǎn)減少率、網(wǎng)絡(luò)安全事故減少率、滲透測(cè)試結(jié)果的改進(jìn)、日志利用率、網(wǎng)絡(luò)安全檢測(cè)的頻度。這8個(gè)指標(biāo)依次記為V1～V8。ANN方法需要采集樣本對(duì)人工神經(jīng)網(wǎng)絡(luò)進(jìn)行訓(xùn)練，現(xiàn)提供10個(gè)樣本值（S1～S10）及3個(gè)組織的指標(biāo)測(cè)量值 （P1～P3），其中，S1～S8供訓(xùn)練網(wǎng)絡(luò)用，S9～S10供測(cè)試網(wǎng)絡(luò)用，數(shù)據(jù)見(jiàn)表4（E為樣本的評(píng)價(jià)結(jié)果值）。

用Matlab進(jìn)行仿真，構(gòu)建一個(gè)三級(jí)的BP神經(jīng)網(wǎng)絡(luò)，有8輸入節(jié)點(diǎn)、1個(gè)輸出節(jié)點(diǎn)，中間隱層單元取17個(gè)。從輸入到輸出的傳遞函數(shù)依次為tansig與logsig函數(shù)，訓(xùn)練函數(shù)為traingdx函數(shù)。神經(jīng)網(wǎng)絡(luò)的誤差要求不大于0.001，經(jīng)過(guò)訓(xùn)練神經(jīng)網(wǎng)絡(luò)對(duì)S9、S10、P1、P2、P3的預(yù)測(cè)值依次為0.70、0.89、0.87、0.85、0.73。

4.2 實(shí)驗(yàn)與分析

用Matlab進(jìn)行仿真時(shí)，經(jīng)過(guò)130次訓(xùn)練網(wǎng)絡(luò)誤差已下降到0.001（如圖5所示）。神經(jīng)網(wǎng)絡(luò)對(duì)S9、S10的預(yù)測(cè)值依次為0.70、0.89，而它們的實(shí)際值依次為0.65、0.85，S9、S10的預(yù)測(cè)值與實(shí)際值之間的預(yù)測(cè)誤差很小 （如圖6所示），故把P1、P2、P3的預(yù)測(cè)值作為評(píng)價(jià)值是可以接受的。

表4 效力維的測(cè)量數(shù)據(jù)

網(wǎng)絡(luò)安全管理是信息安全管理的重點(diǎn)問(wèn)題與難點(diǎn)問(wèn)題。信息化程度高的企業(yè)往往在網(wǎng)絡(luò)安全方面投入巨大的人力、物力與財(cái)力，購(gòu)置諸如防火墻、入侵檢測(cè)系統(tǒng)IDS、統(tǒng)一威脅網(wǎng)關(guān)管理UTM、虛擬專(zhuān)用網(wǎng)VPN等網(wǎng)絡(luò)安全設(shè)備。然而，這些設(shè)備有沒(méi)有發(fā)揮應(yīng)有的功能和作用，企業(yè)信息技術(shù)人員有沒(méi)有相應(yīng)的技術(shù)素質(zhì)去配置和使用這些設(shè)備，企業(yè)在網(wǎng)絡(luò)安全方面的投資有沒(méi)有價(jià)值、有沒(méi)有效率，這些問(wèn)題目前學(xué)術(shù)界和業(yè)界都不能提供完善的技術(shù)手段來(lái)準(zhǔn)確回答。

本文提出開(kāi)放可伸縮的信息安全管理測(cè)量評(píng)價(jià)體系，在該體系內(nèi)選擇合適的子集便能提供有效的技術(shù)手段來(lái)測(cè)量、評(píng)價(jià)企業(yè)信息安全管理的水平。在實(shí)踐中，還可進(jìn)行網(wǎng)絡(luò)安全管理實(shí)施維的測(cè)量與AHP模糊評(píng)價(jià) （記作A （6－6）－B1－C1－D （6－2｜7－1）子集）、網(wǎng)絡(luò)安全管理績(jī)效維的測(cè)量與 DEA評(píng)價(jià) （記作 A （6－6）－B3－C （1＋2＋3）－D （4－1）子集），可對(duì)信息安全管理的11個(gè)方面進(jìn)行總體評(píng)價(jià)或單項(xiàng)評(píng)價(jià)，可從實(shí)施維、效力維、績(jī)效維任一維度或所有維度進(jìn)行評(píng)價(jià)，評(píng)價(jià)方法可以使用方法集中的一種或多種，體現(xiàn)了測(cè)量評(píng)價(jià)體系的開(kāi)放性與伸縮性。

5 結(jié)束語(yǔ)

本文明確信息安全管理的目標(biāo)是使組織的信息安全水平能夠逼近或超越技術(shù)基準(zhǔn)水平；給出信息安全管理的運(yùn)籌學(xué)模型，指出信息安全管理應(yīng)追求安全水平函數(shù)在人力、物力、財(cái)力這些約束條件下的最大化；通過(guò)合理定義指標(biāo)有機(jī)結(jié)合信息安全管理的測(cè)量、評(píng)價(jià)兩個(gè)過(guò)程，提出信息安全管理的集成測(cè)量評(píng)價(jià)模型，其數(shù)學(xué)描述指出測(cè)量評(píng)價(jià)結(jié)果應(yīng)逼近組織的實(shí)際安全水平，而最優(yōu)水平則隱含在指標(biāo)的定義中；構(gòu)建了基于方法集的開(kāi)放、可伸縮的信息安全管理集成測(cè)量評(píng)價(jià)體系。上述工作使信息安全管理的測(cè)量與評(píng)價(jià)能夠進(jìn)行有機(jī)的集成，也實(shí)現(xiàn)了信息安全管理從定性到定量的綜合集成。下一步工作是完善此測(cè)量評(píng)價(jià)體系，在實(shí)踐中發(fā)展和檢驗(yàn)這些方法集。

［1］Humphreys E.Information security management standards：Compliance governance and risk management ［J］.Information Security Technical Report，2008，13 （4）：247－255.

［2］Igli T，Solange G.Information security management is not only risk management［C］.Fourth International Conference on Internet Monitoring and Protection，2009：116－123.

［3］Edson S，Luciana A，Antonio J.Ontologies for information security management and governance ［J］.Information Management ＆Computer Security，2008，16 （2）：150－165.

［4］ISACA.COBIT Online ［EB／OL］.［2011－05－10］.http：／／www.isaca.org／cobit.

［5］NIST.Special publications ［EB／OL］.［2011－05－10］.http：／／csrc.nist.gov.

［6］ISO／IEC27004，Information technology－security techniques－information security management measurements［S］.2006.

［7］TANG Yongli，XU Guoai，NIU Xinxin，et al.Information security management measurement model based on AHP ［J］.Journal of Liaoning Technical University，2008，27 （4）：575－578（in Chinese）. ［湯永利，徐國(guó)愛(ài)，鈕心忻，等.基于AHP的信息安全管理測(cè)量模型 ［J］.遼寧工程技術(shù)大學(xué)學(xué)報(bào)，2008，27 （4）：575－578.］

［8］HUANG S，LEE C，KAO A.Balancing performance measures for information security management ［J］.Industrial Management ＆ Data Systems，2006，106 （2）：242－255.

［9］Boehmer W.Appraisal of the effectiveness and efficiency of an information security management system based on ISO 27001［C］.Proceedings of 2nd Int Conf Emerging Security Inf Systems and Technologies，2008：224－231.

［10］Mohammad S，Abadullah A，Saad H.Using ISO 17799：2005 information security management：A STOPE view with six sigma approach ［J］.International Journal of Network Management，2007，17 （1）：85－97.

［11］LI Gang，CHEN Ping，QI Ershi.Design of index system for comprehensive evaluation ＆its application in enterprise infor－mationization ［J］.Computer Integrated Manufacturing Systems，2008，14 （1）：96－101 （in Chinese）. ［李鋼，陳萍，齊二石.綜合評(píng)價(jià)指標(biāo)體系設(shè)計(jì)及其在企業(yè)信息化中的應(yīng)用［J］.計(jì)算機(jī)集成制造系統(tǒng)，2008，14 （1）：96－101.］

［12］ISO／IEC27001，Information technology－security techniques－information security management systems requirements［S］.2005.

［13］CHOI K，LEE D，KIM J.A study on the optimal model for information security management level ［C］.International Conference on Information Science and Security，2008：238－244.

［14］ZHAO Wen.Research on information assurance metrics and comprehensive evaluation modern evaluation methods and case studies［D］.Chengdu：Math Department of Sichuan University，2006（in Chinese）.［趙文.信息安全保障度量及綜合評(píng)價(jià)研究 ［D］.成都：四川大學(xué)數(shù)學(xué)學(xué)院，2006.］

［15］DU Dong，PANG Qinghua，WU Yan.Modern evaluation methods and case studies［M］.Beijing：Tsinghua University Press，2008（in Chinese）.［杜棟，龐慶華，吳炎.現(xiàn)代綜合評(píng)價(jià)方法與案例精選 ［M］.北京：清華大學(xué)出版社，2008.］