最优组合赋权法在信息安全风险评估中的应用

刘加伶，付明明,冯　欣,张　红

(重庆理工大学 计算机科学与工程学院，重庆　400054)



最优组合赋权法在信息安全风险评估中的应用

刘加伶，付明明,冯欣,张红

(重庆理工大学 计算机科学与工程学院，重庆400054)

摘要：在互联网环境下新运行的信息系统由于运行时间短，通过涉及的数据样本不足以用定量分析方法量化分析出系统的安全状况，而定性分析方法又过于依赖评估者的主观经验。为提高评估的科学性和有效性，依据拉格朗日条件极值原理，结合G1-法求出的主观权重和熵权法求出的客观权重，提出兼顾主客观因素的最优组合赋权方法，并通过求解模型最优解以确定指标的最优组合权重。实例分析表明：在数据不足的情况下，最优组合赋权法兼顾了主客观因素，评估结果能更合理地反映信息系统的信息安全现状。

关键词：信息安全风险评估；最优组合赋权；熵权法；G1-法

随着电子商务、电子政务、智能城市等一系列信息化工程的快速发展，信息技术的应用一方面使得人们的工作、生活更加便捷和高效，另一方面也导致信息安全事件呈增长趋势[8]。因此，如何科学、有效地评估出信息系统当前的安全状况，对信息安全问题的控制和解决有十分重要的意义。

信息安全风险评估是从风险管理角度出发，运用科学的方法和手段，系统地分析信息系统面临的威胁及存在的脆弱性，评估安全事件发生的可能性和危害程度[1]。其中，风险值的确定是信息安全风险评估的关键，而各评估指标权重的确定将直接影响风险值的确定，从而影响评估结果的科学性、合理性。目前，国内外学者对指标权重的确定方法主要有主观赋权法、客观赋权法、综合赋权法[2-3]。主观赋权法无需样本数据，但过于依赖评估者的业务经验，主观性强[14]。客观赋权法依赖样本数据，样本数据的量和质决定了评估结果的科学性和有效性[15]。付钰等[4]运用熵权法确定了指标权重，在一定程度上克服了单一赋权法的缺点，然而评估结果中未能体现主客观的重要程度，且对初始数据的依赖性较大，在信息系统涉及数据的质和量不足的情况下，难以有效地反映出系统的安全状况。

实际评估工作中风险因素重要程度的差异是客观存在的。新投入运行的信息系统收集的数据有限，难以用客观评估方法准确评估出信息系统目前的安全状况。为了合理解决以上问题，本文将主观赋权法和客观赋权法有效结合，使评估结果同时兼顾主观和客观信息，通过组合赋权法对新运行的信息系统进行风险评估，使结果能更合理、有效地反映系统此时的安全状况。

1信息安全风险评估一般过程

根据国家标准《电信网和互联网信息安全风险评估指南》YD/T 1730—2008[5]，信息安全风险评估一般过程分为5个阶段：风险评估准备阶段、风险要素识别阶段、风险值确定阶段、风险分析和风险结果判定阶段。风险评估具体流程如图1所示。风险评估过程的关键是风险值的确定，风险值的确定决定了风险分析和实施风险管理的有效性[11]。

图1　风险评估实施流程

2基于最优组合赋权法的信息安全风险评估模型

基于最优组合赋权法的信息安全风险评估是综合运用主观赋权法和客观赋权法对信息系统进行信息安全风险评估。对于新运行的信息系统，由于运行时间短，使用单一方法很难准确评估出此时的安全状况，而最优组合赋权法能最大限度地考虑主客观因素，使评估指标之间的主客观差异更容易体现。

基于最优赋权法的信息安全风险评估方法如图2所示。

图2　基于最优组合赋权法信息安全风险评估

2.1基于G1-法的主观权重确定

G1-法是指标偏好型法，该方法可以直接表达评价者主观信息，在一定程度上克服了层次分析法中一致性检验、被比较元素个数较多时判断的准确性难以保证等缺陷，计算过程较简便[6]。

G1-法的主要步骤如下：

步骤2给出xj-1与xj间相对重要程度的比较判断。设专家关于评价指标xj-1与xj的重要程度之比ωk-1/ωk的理性判断为：

(1)

当m较大时，由序关系可取rm=1。

表1　rk的赋值参考表

步骤3确定主观权重ωk。由式(2)可求出各个属性的主观权重。

(2)

2.2基于信息熵的客观权重确定

信息熵确定权重的基本思路：首先确定所有方案在每个属性上的熵，然后由每个属性上熵的大小来确定权重。如果这个属性上的熵比较大，则意味着所有方案在这个属性上的变化较小，因此这个属性对最后的评价结果贡献较小。而如果这个属性的熵较小，则结果正好相反[7]。

信息熵确定权重的主要步骤如下[9-10]：

其中：xij为对j个指标下的第i个评价对象的评价值。

步骤2计算第j项指标下第i个方案的特征比重：

(3)

步骤3计算熵值Ej：

(4)

其中：常数k可以取k=1/lnm。此时0≤Ej≤1，即Ej最大为1。

步骤4归一化处理确定各属性权重ωj：

(5)

归一化的目的是让所有属性的权重之和为1。

2.3最优组合权重确定

最优组合赋权的思想是通过求解建立的组合权重模型，确定主客观权重各自的比重，使得最终确定的组合权重更好地反映被评价系统的真实情况[6]。

(6)

(7)

使综合评价值尽可能地分散并体现出不同被评对象之间的差异是多指标评价中组合赋权系数确定的原则。最优组合赋权问题可以转化为求以下最优化问题：

(8)

由拉格朗日条件极值原理，可得：

(9)

2.4风险值确定

风险值与各风险因素的权重ω及其相应的隶属矩阵P和评价集向量G的转置正相关，3项相乘即可计算出第1层风险因素的风险值：

(10)

由公式(10)分别求出第1层风险因素：资产、威胁、脆弱性和已有安全措施的风险值Rc,Rt,Rf,Rp。

资产的风险因素有资产价值、威胁频率、脆弱性价值和已有安全措施，这些因素与风险值都是正相关的。因此，将这些因素的风险值相乘即可得到资产对应某项弱点的风险值：

(11)

由于在风险分析时风险值是整数，所以在最后求得风险值时取整。

风险评估的评价集为

2.5风险分析

对风险值进行等级化处理。《YD/T 1730—2008》标准[5]把风险等级分为5级，风险等级描述如表2所示，每个等级代表了相应风险的严重程度，等级越高，风险越高。

结合不同资产已采取的安全措施判断其风险值是否在可以接受范围内，如果风险值在可以接受范围内，则该风险是可接受风险，应保持已有的安全措施；如果风险值在可接受范围外，则是不可接受风险，需要制定风险处理计划并采取新的安全措施来降低、控制风险。

综合考虑资产类别、风险控制成本与风险造成的影响，并结合资产所在网络或系统的安全等级，提出一个可接受的风险阈值(风险值大于此阈值的风险视为不可接受)。

表2　风险等级判定

3案例分析

应用最优组合赋权法对C市联通网络运维部新运行的业务系统实施信息安全风险评估。调研该信息系统的实际情况并结合《电信网和互联网信息安全风险评估指南》(YD/T 1730—2008)[5]标准，该信息系统的资产可以分为硬件、软件、数据、服务、纸质和人员6类。由该系统的实际运行情况和相关安全等级要求并结合专家意见制定出该系统所涉及每类资产的风险阈值(表3)。

表3　风险阈值

为了验证该方法的科学性和有效性，以系统的硬件资产为研究对象，根据相关标准将风险评价集定义如下：G=[很高，高，中等，低，很低]=[5,4,3,2,1]，其含义如表4所示。

风险评估中每个要素都有其特定属性，资产的属性是资产价值；威胁的属性是威胁来源、发生频率等；脆弱性的属性是其被威胁利用的程度等；已有安全措施的属性是已有安全措施有效性。通过实际调研并结合《YD/T 1730—2008》标准[2]，在遵循标准性、可控性、完备性、最小影响、保密性等原则的基础上，根据业务系统实际运行情况，确定信息安全风险评估体系(见图3)。

表4　风险评价集描述

图3　信息安全风险评估体系

采用德尔菲法，邀请10位专家根据信息安全风险评估体系与风险评价集，对信息系统硬件资产的风险因素进行打分，将打分结果进行规范化处理得到隶属矩阵(见表5)。

表5　隶属矩阵

3.1主观权重下的风险值

评估小组认为信息系统硬件资产的风险因素Xc1、Xc2、Xc3之间的重要性程度关系式为Xc3>Xc2>Xc1，且给出此时的r2=1.2,r3=1.4；Xt1、Xt2、Xt3风险因素之间的重要性程度关系式为Xt3>Xt2>Xt1，且给出此时的r2=1.2,r3=1.2；Xf1、Xf2风险因素之间的重要性程度关系式为Xf2>Xf1，且给出此时的r2=1.2；Xp1、Xp2风险因素之间的重要性程度关系式为Xp2>Xp1，且给出此时的r2=1.0。

利用序关系法，由式(2)可求出各属性的主观权重为：

(0.245,0.343,0.412)

(0.275,0.329,0.396)

由公式(10)求出第1层主观权重下各要素的风险值：

(2.484,2.388,2.637,2.250)

将上述结果代入式(11)求出主观权重下系统的硬件资产的风险值为35。

3.2客观权重下的风险值

由熵权法的主要步骤计算出各风险因素的客观权重为：

ω″c=(ω″c1,ω″c1,ω″c1)=

(0.654,0.149,0.197)

ω″t=(ω″t1,ω″t2,ω″t3)=

(0.631,0.290,0.079)

ω″f=(ω″f1,ω″f2)=(0.737,0.263)

ω″p=(ω″p1,ω″p2)=(0.572,0.428)

由式(10)求出第1层客观权重下各要素的风险值为

(2.278,2.087,2.721,2.257)

将上述结果代入式(11)求出客观权重下系统硬件资产的风险值为29。

3.3组合权重下的风险值

将上述求得的ω′,ω″代入式(9)和(10)，归一化后得到每个属性的主客观相应系数为：

kc1= 0.566 0, kc2= 0.434 0

kp1= 0.500 0, kp2= 0.500 0

kt1= 0.499 3, kt2= 0.500 7

kf1= 0.474 0, kf2= 0.525 6

由式(6)求出第一层最优组合权重为：

ωc=(ωc1,ωc2,ωc3)=

(0.422 6, 0.258 7,0.318 7)

ωt=(ωt1,ωt2,ωt3)=

(0.453 2, 0.309 3, 0.237 5)

ωf=(ωf1,ωf2)=(0.603 3, 0.396 7)

ωp=(ωp1,ωp2)=(0.536 2, 0.463 8)

由式(10)求出第一层最优组合权重下各要素的风险值为

(2.395,2.238,2.681,2.254)

将上述结果代入式(11)，得出最优组合权重下系统硬件资产的风险值为32。

3.4结果分析

通过最优组合赋权法求得C市联通网络运维部新运行的业务信息系统涉及的硬件资产风险值为32，风险等级为3级。与只采用单一赋权模型得出的评估结果的对比见表6。

表6　组合赋权法和单一赋权法结果对比

根据得到的风险值并结合硬件资产的风险阈值，可以认为采用G1-法求得的风险值是不可接受风险，就此判断应对硬件资产已有的安全措施进行相应改进，从而增加了风险控制成本。然而，实际上已有的安全措施可以控制现存风险，此结果可能受专家主观经验不足影响[12-13]。熵权法和最优组合赋权法求得的风险值都是可接受风险，然而熵权法求得的风险值相对偏低，可能受到数据量少的影响，而最优组合赋权法求得的风险值更客观。

4结束语

综合主观权重和客观权重各自的优缺点，在基于拉格朗日条件极值原理的基础上，建立最优组合赋权模型，求得组合权重。通过实例验证表明，该方法有效避免了人为因素对评价结果的影响，解决了因数据少而难以客观反映系统信息安全状况的问题。

参考文献：

[1]杨玉明.浅析信息安全风险评估在企业信息化建设中的应用[J].中国电子商务,2012(2):218-218.

[2]OUYANG Y P,SHIEH H M,TZENG G H.A VIKOR technique with applications based on DEMATEL and ANP[Z].MCDM 2009,Communications in Computer and Information Science (CCIS).2009,35:780-799.

[3]BEREZINA KATERINA,COBANOGLU CIHAN,MILLER BRIAN L.The impact of information security breach on hotel guest perception of service quality,satisfaction,revisit intentions and word-of-mouth[J].Internation Journal of Contemporary Hospitality Management,2012,24(7):99-101.

[4]付钰,吴晓平,叶清,等.基于模糊集与熵权理论的信息系统安全风险评估研究[J].电子学报,2010(7):1489-1494.

[5]YD/T 1730—2008.电信网和互联网安全风险评估实施指南[S].北京:中华人民共和国信息产业部，2008.

[6]郭亚军.综合评价理论、方法及拓展[M].北京:科学出版社,2012.

[7]赵刚,刘换.基于多层次模糊综合评判及熵权理论的实用风险评估[J].清华大学学报(自然科学版),2012(10):1382-1387.

[8]杨珂.浅谈网络信息安全现状[J].数字技术与应用,2013(2):172.

[9]张璇,廖鸿志,李彤,等.基于信息熵和攻击面的软件安全度量[J].计算机应用,2013(1):19-22,48.

[10]付沙.一种基于信息熵的信息系统安全风险分析方法[J].情报科学,2013(6):38-42.

[11]陈颂,王光伟,刘欣宇,等.信息系统安全风险评估研究[J].通信技术,2012(1):128-130.

[12]刘佳,徐赐文.信息安全风险评估方法的比较分析[J].中央民族大学学报(自然科学版),2012(2):91-96.

[13]宋彪,朱建明.基于业务流程的ERP信息安全进化熵的风险评估[J].通信学报,2012(S1):210-215.

[14]SHA FU,YEZHI XIAO.An Effective Process of Information Security Risk Assessment[J].Energy Procedia,

2011.

[15]张弢,慕德俊,任帅,等.一种基于风险矩阵法的信息安全风险评估模型[J].计算机工程与应用,2010(5):93-95.

(责任编辑杨黎丽)

Application of Optimal Combined Weights Method in Information Security Risk Assessment

LIU Jia-ling, FU Ming-ming, FENG Xin, ZHANG Hong College of Computer Science and Engineering,

(Chongqing University of Technology, Chongqing 400054, China)

Abstract:The new on-line information system under the internet environment, due to the short running time, the data are insufficient to quantitative analyze the system’s security situation using the quantitative analysis method,while the qualitative analysis is too dependent on subjective assessment of the experience. To improve the scientificity and effectiveness of the assessment, Lagrange conditioned extreme value was presented, combined subjective weights confirmed by G1-Law and objective weights confirmed by entropy method, an optimal combination determining considering both subjective and objective weight information was put forward. The result show that， in the case of insufficient data, an optimal combination determining takes into account the objective and subjective factors and makes the evaluation results more reasonably reflect the information security status of the information system.

Key words:information security risk assessment; optimal combination weight; entropy method; G1-law

中图分类号：TP309

文献标识码：A 1674-8425(2016)03-0087-07

doi:10.3969/j.issn.1674-8425(z).2016.03.015

作者简介：刘加伶(1963—)，女，硕士，教授，主要从事信息管理与数据库技术等方面研究。

基金项目：国家自然科学基金青年科学基金项目(61202348)

收稿日期：2015-10-20

引用格式：刘加伶，付明明,冯欣,等.最优组合赋权法在信息安全风险评估中的应用[J].重庆理工大学学报(自然科学)，2016(3):87-93.

Citation format：LIU Jia-ling, FU Ming-ming, FENG Xin, ZHANG Hong.Application of Optimal Combined Weights Method in Information Security Risk Assessment [J].Journal of Chongqing University of Technology(Natural Science)，2016(3):87-93.