基于模糊综合评判和AHP信息安全风险评估模型

吴文刚，张志文，王庆生

(1.山西经济管理干部学院， 太原 030024; 2.公安部第三研究所， 上海 201204；3.太原理工大学， 太原 030024)



基于模糊综合评判和AHP信息安全风险评估模型

吴文刚1，张志文2，王庆生3

(1.山西经济管理干部学院， 太原 030024; 2.公安部第三研究所， 上海 201204；3.太原理工大学， 太原 030024)

考虑到定性分析信息安全风险评估具有一定的主观性，基于层次分析法和模糊综合评判法，构建信息安全风险评估数学模型，对信息安全风险评估进行定性与定量相结合的方法进行分析，将该模型应用于信息安全风险评估实例，验证了模型的有效性。

信息安全风险评估；层次分析法；定量分析

随着信息技术的讯速发展，信息安全问题变得日益复杂。近年来，利用信息安全风险评估识别系统风险存在的位置及其大小而制定相应风险控制对策，已成为信息安全问题中一个重要的环节。

ISO27001提出了风险评估实施的基本过程，但并未给出风险评估详细的实施方法。风险存在的2个基本属性为导致资产损失和威胁发生的可能性。为此对系统资产、威胁、脆弱性进行评估并计算威胁利用脆弱性造成安全事件发生的可能性以及评估安全事件发生对资产造成的损害程度，即可得到系统风险。

定性评估风险事件发生的概率和所产生的影响上带有较强的主观性，对评估者的要求也相对较高。定量分析虽然比较客观，研究结果更为科学、合理，但是对资产价值和威胁的量化数据要求较高。鉴……