一種信息安全評估方法在OA系統(tǒng)中的應用

1、一種信息安全評估方法在0A系統(tǒng)中的應用摘要:針對信息系統(tǒng)安全風險的特征，把模糊理論和灰色理論結(jié)合起來建立信息系統(tǒng)安全風險的灰色模糊綜合評估模型，應用灰色模糊綜合評估模型評估某局的0A系統(tǒng)安全風險，并和0A系統(tǒng)應用模糊綜合評判法的結(jié)果做了對比，驗證了灰色模糊綜合評估方法的可行性。關(guān)鍵詞:信息系統(tǒng)安全風險評估指標體系模糊綜合評判灰色模糊綜合評判法21世紀是信息時代，信息已成為社會發(fā)展的重要戰(zhàn)略資源，信息技術(shù)改變著人們的生活和工作方式，信息的獲取、處理和信息安全保障能力成為綜合國力和經(jīng)濟競爭力的重要組成部分，信息安全已成為影響國家安全、社會穩(wěn)定和經(jīng)濟發(fā)展的決定性因素?；ヂ?lián)網(wǎng)的盛行與企業(yè)信息管理系統(tǒng)的

2、發(fā)展正在逐漸成為新的商業(yè)發(fā)展方向，伴隨而來的信息系統(tǒng)安全風險的問題，也同時成了高度重視的方面。有效的信息安全風險評估方法能準確評估出信息系統(tǒng)風險，使組織米取相應的有效措施對風險進行控制，使機構(gòu)風險被降低到一個可被接受的水平。由于信息系統(tǒng)風險評估中存在許多模糊不確定性因素，信息系統(tǒng)安全風險評估需要專家參與評判，因評判者的能力和偏好不同，使得風險評價信息帶有灰色性，以往的信息安全風險評估方法未同時考慮到系統(tǒng)風險的模糊性和灰色性，因此評估結(jié)果不夠準確。本文將灰色系統(tǒng)理論中的灰色統(tǒng)計評估法、模糊綜合評判法、層次分析法，通過建立反映風險本質(zhì)的信息系統(tǒng)安全風險評估體系，構(gòu)建信息系統(tǒng)安全風險的多級灰色模糊綜

3、合評判模型，定性與定量結(jié)合評估信息系統(tǒng)安全風險，使評估結(jié)果更準確。最后，利用所建立的灰色模糊綜合評估模型對某辦公自動化系統(tǒng)進行了評估驗證，評估結(jié)果基本符合該辦公自動化系統(tǒng)的實際狀況，證明所建立的模型優(yōu)于原有模型。1信息系統(tǒng)安全風險的灰色模糊綜合評估模型信息系統(tǒng)安全風險的灰色模糊綜合評估框架，如下所示：信息安全風險因素識別與分析T分別構(gòu)建安全事件發(fā)生可能性和安全事件發(fā)生后影響的評估指標體系T建立評估指標集T確定評價指標權(quán)重T劃分信息系統(tǒng)風險評價等級T評價樣本矩陣及評價灰類的確定f計算灰色評價系數(shù)f計算灰色評價權(quán)值及模糊權(quán)矩陣f計算模糊綜合評價結(jié)果”。2OA系統(tǒng)評估實例深圳市A局的OA系統(tǒng)是一個基

4、于B/S架構(gòu)的辦公自動化系統(tǒng)，系統(tǒng)建設目標是將傳統(tǒng)手工，紙面，封閉的運作方式轉(zhuǎn)換成自動、電子、開放的方式，提高行政管理及相關(guān)業(yè)務的工作質(zhì)量和效率，并為全面信息化建設做好準備工作。深圳市A局的OA系統(tǒng)是一個基于B/S架構(gòu)的辦公自動化系統(tǒng)，系統(tǒng)建設目標是將傳統(tǒng)手工，紙面,封閉的運作方式轉(zhuǎn)換成自動、電子、開放的方式，提高行政管理及相關(guān)業(yè)務的工作質(zhì)量和效率，并為全面信息化建設做好準備工作。該系統(tǒng)主要功能包括各部門協(xié)同辦公系統(tǒng)，主要功能包括非涉密電子公文交換、公文流轉(zhuǎn)、通知公告、資料交換、事務呈簽等日常辦公功能；綜合資料管理系統(tǒng)，實現(xiàn)文檔的一體化管理，各種類型的信息按分類和分級管理，提供完善的查詢檢索功

5、能；若干輔助辦公系統(tǒng)，主要包括請示報告處理系統(tǒng)、簡易發(fā)文系統(tǒng)、短信、電子郵件、局領導日程安排、個人日程安排等。0A系統(tǒng)的資產(chǎn)分為：硬件資產(chǎn)、軟件和數(shù)據(jù)資產(chǎn)，人力資源等。硬件資產(chǎn)主要有0A數(shù)據(jù)庫服務器、0A應用服務器、文件服務器、路由器CISCO7206、CISCO4506交換機、NetScreenFW防火墻、CISCO6506交換機、QuidWayNE20路由器。軟件和數(shù)據(jù)資產(chǎn)主要包括：各種應用軟件和OA相關(guān)的電子數(shù)據(jù)，檔案資料等。物理環(huán)境是主要設備的機房。人力管理資源主要是網(wǎng)絡系統(tǒng)管理員。2.1OA系統(tǒng)安全風險的灰色模糊綜合評估根據(jù)信息系統(tǒng)安全風險的灰色模糊綜合評估框架，運用灰色模糊綜合評估

6、方法，（由于計算過程復雜，具體過程在此忽略）,綜合OA系統(tǒng)資產(chǎn)風險的分析結(jié)果，可以得到關(guān)于OA系統(tǒng)各項資產(chǎn)的風險等級值，灰色模糊綜合評估法的評估結(jié)果基本符合OA系統(tǒng)資產(chǎn)的實際狀況。OA系統(tǒng)資產(chǎn)風險統(tǒng)計圖，如圖1所示。2.2應用模糊綜合評判法評估OA系統(tǒng)資產(chǎn)，風險等級統(tǒng)計如圖2所示2.3信息安全模糊評估方法和灰色模糊綜合評估法的對比結(jié)果如表1所示3結(jié)語應用模糊綜合評判法評估系統(tǒng)資產(chǎn)風險沒有灰色模糊綜合評估法有效，灰色模糊綜合評判法的評估結(jié)果更接近于系統(tǒng)資產(chǎn)實際風險狀況。其主要原因在于專家的主觀性在模糊綜合評判法中沒有減少在灰色模糊綜合評判法中利用灰色理論建立的白化函數(shù)在一定程度上減少了專家在評估過程中的主觀性，對0A系統(tǒng)資產(chǎn)的風險評估值更接近于系統(tǒng)實際情況，從而對信息系統(tǒng)風險管理決策