时间：2022-11-18 18:36:18
开篇：写作不仅是一种记录，更是一种创造，它让我们能够捕捉那些稍纵即逝的灵感，将它们永久地定格在纸上。下面是小编精心整理的12篇系统安全风险评估，希望这些内容能成为您创作过程中的良师益友，陪伴您不断探索和进步。
关键词:风险评估;信息安全;评估技术
中图分类号:TP309文献标识码: A 文章编号:1007-9599 (2010) 11-0000-01
Information System Security Risk Assessment Methods StudyChen Liandong1,Lv Chunmei2
(1.Hebei Electric Power Research Institute,Shijiazhuang050000,China;2.North China Electric Power University,Baoding071003,China)
Abstract:The scientific risk assessment is essential to the protection of information systems security,the paper on information security risk management has been introduced,and the variety of risk assessment methods are analyzed and compared.
Keywords:Risk assessment;Information security;Assessment techniques
随着计算机技术的发展,网络攻击、病毒破坏、电脑黑客等信息窃取和破坏事件越来越多,信息安全问题日益突出,因此进行信息系统安全管理具有重要意义。风险评估是信息安全管理的依据,信息系统进行科学的风险分析和评估,发现系统存在问题,对于保护和管理信息系统至关重要。
一、信息安全技术风险管理
信息安全是保护信息系统抵御各种威胁的侵害,确保业务保密性和连续性,使系统遭受风险最小化[1]。信息系统安全包括安全管理技术、风险评估、策略标准以及实施控制等多方面的内容。信息安全管理体系(Information Security Management System,ISMS)是信息系统管理体系的一个部分,包括建立、实施、操作、监测、复查、维护和改进信息安全等一系列的管理活动,涉及策略准则、计划目标、人员责任、过程和方法等诸多因素[1]。ISO27001是英国标准协会的关于建立和维护信息安全管理体系的标准。ISO27001要求建立ISMS框架过程为:确定管理体系范围,制定安全策略,明确管理责任,通过风险评估确定信息安全控制目标和控制方式[2]。当信息管理体系建立起来,则可以循环实施、维护和持续改进ISMS,保持体系运作的有效性。
二、风险评估方法概述
风险评估能够检测系统面临的威胁、潜在的安全漏洞和脆弱性,针对性地提出防护和整改措施,保障系统安全。完整的风险评估过程包括:前期调研,了解需求;制定项目计划,明确范围,确定各项评估指标体系,成立评估小组;识别并评估信息资产;估算威胁发生的可能性;识别脆弱点及其严重成度;进行风险描述,计算风险值,划分风险等级,得出评估分析报告;制定风险控制方法,进行风险处理。
风险计算描述如下:Risk=R(A,T,V)
其中R是安全评估风险函数,A是资产,T是威胁,V是脆弱性。由此公式可以计算风险值,估计信息系统的安全等级,以及风险对系统的破坏程度或者可能造成的损失程度。下面从不同的角度分析风险评估,得到划分如下。
(一)基于技术评估和基于整体评估
基于技术评估是指对信息系统现有的技术水平进行评估,包括信息安全人员技术水平、网络防护技术、信息系统抗攻击能力等方面进行评估。基于整体评估是从信息系统整体分析,确定信息系统所属等级,参照等级保护划分规则,在对系统定级的基础上进行风险评估。
(二)基于知识分析和基于模型分析
基于知识分析的风险评估方法是依靠评估者经验进行,采用获取专家评估经验,对评估指标因素进行分析,评估信息系统安全。基于模型分析的评估方法采用建模的方法,分析系统内部以及和外部交互时可能产生的危险因素,从而完成资产、威胁和脆弱性的分析。
(三)定性评估、定量评估和综合评估
定性评估是指对评估对象各个因素进行相应价值的判断。需要评估者对评估对象进行定性描述,如只关注威胁事件带来的损失,忽略了威胁发生的概率,因此得出的评估结果主观性强,具有数量化水平低等特点。定量评估主要分析资产的价值,威胁发生概率和脆弱点存在的可能性,用量化的数据进行表示,但是量化数据具有不精确特点。综合评估方法采用定量和定性结合的方法,通常是先进行总体性质的确定,然后进行定量分析,在量化基础上再进行定性分析。
三、典型评估方法比较
下面列出几种典型风险评估方法,有故障树分析、事件树分析等,趋于定性分析,BP神经网络、风险评审技术方法趋于定量分析,还有一些综合评估方法,如层次分析法[3]。
(一)故障树分析:通过对可能造成系统危险的各种初始因素进行分析,画出故障树,计算整体风险发生概率。特点是简明形象,逻辑关系复杂,适用于找出各种实效事件之间的关系。
(二)事件树分析:是一种逻辑演绎法,它在给定的一个初因事件的前提下分析此事件可能导致的各种事件序列的结果,可用于找出一种实效引起的后果或各种不同的后果,提高业务影响分析的全面性和系统性。
(三)BP神经网络:是一种按误差逆向传播算法训练的多层前馈网络,具有自学习能力,能够实现输入和输出之间的复杂非线性关系。缺点是风险因素的权值确定较难,优点是有自学能力,问题抽象化,适用于事故预测和方案择优。
(四)风险评审技术方法:通过模拟实际系统研制时间、费用及性能分布,针对不同条件对信息系统的风险进行预测,需多次访问,数据准确性要求高。
(五)层次分析法:是一种多指标综合评价方法。首先将相互关联、相互制约的因素按它们之间的隶属关系排成若干层次,再利用数学方法,对各因素层排序,最后对排序结果进行分析。特点是减少了主观因素中的影响,需求解判断矩阵的最大特征根以及对应的特征向量。适用于为决策者提供定量形式的决策依据。
四、结束语
本文介绍了信息系统安全管理,分析风险评估的流程,对风险评估方法整体从不同角度的进行划分,其中对几种典型的评估方法进行了比较和分析。风险评估对于信息安全管理具有重要的意义,相信以后还会出现新的,更加科学的风险评估方法。
参考文献:
[1]宋晓莉,王劲松.信息安全风险评估方法研究[J].网络安全技术与应用,2006,12:67-68
【 关键词 】 移动智能终端；风险评估；AHP理论
【 中图法分类号 】 TP311 【 文献标识码 】 A
Intelligent Mobile Terminal System Security Risk Assessment Based on AHP Algorithm
Tang Jie Lu Quan-fang Wen Hong
（National Key Laboratory of Science and Technology on Communications of UESTC SichuanChengdu 611731）
【 Abstract 】 With the development of mobile communications technology and terminal technology， mobile intelligent terminal has been widely used in people's daily life and will be integrated into a variety of information system in the future. Therefore， the mobile intelligent terminal system security risk assessment is necessary. This article unifies the related standards and the security threats of current mobile intelligent terminal， which aimed to propose a concept of intelligent terminal system safety risk assessment. Because the intelligent terminal system safety assessment lacks of necessary model description， we design a model based on AHP algorithm to evaluate the security risk of intelligent terminal by calculated each evaluation elements of relative risk aversion and the grade of whole intelligent terminal security risk， which will play an important tool to establish the grade system of risk evaluation.
【 Keywords 】 mobile intelligent terminal； risk assessment； AHP algorithm
1 引言
移动智能终端更多地存储了个人隐私、账户信息、工作文件、商业机密甚至是重要情报等。当前对终端的主要攻击方式还是利用智能终端操作系统安全机制的脆弱性和漏洞制造大量的恶意软件、病毒和远程控制程序，对终端安全构成了巨大的威胁，因此对移动智能终端操作系统安全进行风险评估是保证终端安全的基础。
智能终端操作系统的安全风险评估可以综合定性和定量的方法分析终端系统的安全性，为军队、政府、企业和个人了解某终端系统目前与未来可能存在的威胁、安全风险以及影响程度提供理论依据，对移动信息系统的研发和安全策略的制定提供了重要的参考。
本文参照我国在2007年了专门针对移动终端信息安全的标准YDT1699-2007和安全测评标准YDT1700-2007和风险评估规范 ，借鉴相关安全标准和传统信息系统的安全风险评估方法，结合目前智能终端操作系统面临的主要安全威胁与风险，定义了终端系统安全风险评估的概念，并提出了一种基于AHP算法的移动智能终端系统安全风险评估方法。利用该方法并搭建测评工具对当前流行的智能手机HTC野火进行了安全风险评估。
2 智能终端系统安全风险评估
智能终端操作系统的安全风险评估是指：确定在智能终端系统中每一种资源缺失或遭到破坏时，对智能终端或移动通信网络造成的可能损失和影响，是对威胁、系统安全脆弱性以及由此带来的风险大小和影响程度的评估。
2.1 评估要素
移动智能终端的安全风险评估要素主要分为资产、威胁行为和脆弱性三个方面。
1）资产 资产就是有价值的东西，是一个抽象的概念。资产的类别非常广泛，常见的如物理资产、经济资产、人力资源、知识资源、时间、信誉等。资产是风险存在的根本原因。终端系统的资产主要是存储在智能终端上的信息资产及重要文件、秘密信息等。
2）威胁行为 威胁行为是可能导致不希望事故的潜在起因，是攻击者达到特定目的的手段。不同的威胁行为在不同的环境下的攻击能力是不同的，需要对其进行评估。本文重点研究由智能终端系统某个安全脆弱性所直接导致的威胁行为。
3）脆弱性 脆弱性是评估的对象之一。威胁行为可能利用资产载体存在的薄弱环节和缺陷造成资产的损失。威胁是外因，脆弱性是内因，外因必须通过内因才能起作用。
结合标准GB/T 20984-2007，根据智能终端风险评估要求，本文将上述三种评估要素分为很高、高、中、低、很低五个级别并在1～9数值域内分别划分范围，如表1所示。
2.2 智能终端安全风险分析
与传统的手机不同，移动智能终端更多地存储了个人隐私、账户信息、工作文件、商业机密等等。这些隐私往往直接影响着终端使用个人或单位的财产和信誉。在各大安全厂商提供的安全报告中将终端威胁行为主要分类为远程控制、 资费消耗、隐私窃取、系统或用数据破坏、诱骗欺诈、恶意传播、流氓软件。其中，远程控制、 资费消耗、隐私窃取、系统或用数据破坏这四个关键威胁行为直接针对终端操作系统安全的脆弱性，并直接造成终端系统的安全风险，因此本文将其作为智能终端威胁主要评估对象。终端系统的脆弱性主要包括操作系统的安全机制的缺陷、实现中的漏洞以及用户日常软件管理和不当操作等因素。根据2.1节定义终端系统安全相关的脆弱点，威胁行为和资产如表2所示。
任何一个机制的缺陷将造成多种可能的威胁行为，而任何一个威胁行为将直接造成多种可能的安全风险。比如终端操作系统机密性机制的缺陷可能造成隐私窃取行为，而访问控制机制的缺陷有可能造成隐私窃取，系统破坏、远程控制等威胁行为。隐私窃取很可能造成终端使用者信誉损失，但也可能造成终端使用者的经济损失，比如攻击者盗取了终端的银行账户信息等。
经以上分析，终端安全风险的各要素之间具有错综复杂的层次结构关系，适合运用AHP算法进行分析。
3 基于AHP算法的移动智能终端系统安全风险评估
3.1 AHP算法
AHP（Analytic Hierarchy Process）层次分析法，是由美国运筹学家T.L.Saaty教授于上世纪 70 年代初期提出的一种简捷、灵活而又实用的多准则决策方法。它把问题分解成层次结构逐步分析，将每层次元素两两比较重要性并进行定量描述，然后利用数学方法计算每一层次元素的相对重要性次序的权值，通过层次之间的总排序计算所有元素的相对权重并做一致性检验。AHP算法的主要有几个步骤。
1）建立层次结构模型。
2）构造判断矩阵。对同一层次的指标两两比较其相对重要性得出相对权值的比值，如公式（1）所示。
公式（1）判断阵A为n×n 的方阵，主对角线元素为1，aij =1/ aij ，i≠j，i ，j =1，2，3，…n ，aij >0，aij为 i 与 j 两因素相对重要性的比值，一般按 1～9 比例标度法对重要性程度赋值。
3）层次单排序。本文利用和法计算权值。
首先将A的每一列向量归一化：
（2）
然后对归一化后的判断矩阵矩阵按行求和：
（3）
再将向量■=[■1，■2，…■n]T归一化：
（4）
归一化后的向量■的分量即为各评估要素的权值。
4）一致性校验。为了保证判断矩阵具有比较高的准确度，需要对矩阵进行一致性校验。计算一致性指标如下：
首先求出矩阵的最大特征根。
然后计算一致性指标。
（6）
最后计算一致性比例。
（7）
如果CR
当CR=0时，判断矩阵具有完全一致性，CR越大则一致性越差。一般认为CR
3.2 移动智能终端系统安全风险评估
本节将上节介绍的AHP算法运用到移动终端安全测评工具模型建立。在测评工具的判断矩阵系数确定中结合问卷调查、专家评分的方式，通过算法调用大量的测试用例对终端系统安全功能进行自动测评，得出终端系统主要安全机制脆弱性的评估值，在此基础上对待测终端系统进行安全风险评估。
1） 建立层次模型 根据表2的分析及AHP算法建立层次模型如图1，分别给各评估要素编号1～7。
2）构造判断矩阵与求解 基于上述模型，对HTC手机野火进行风险评估，该型号手机使用Android 2.3操作系统。利用调查问卷的形式和专家意见咨询方式构造判断矩阵Ai，用1～9比例标度法构造出各个元素的判断矩阵Ai。其中第一层对第二层的判断矩阵为：
分别计算出第一层要素对第二层要素的权值分别为：
W1 =[0.456，0.152，0.068，0.323] T
W2 =[0.076，0.543，0.136，0.244] T
W3 =[0.093，0.093，0594，0.218] T
经计算以上三个矩阵CR
第二层对第三层的判断矩阵为：
计算出第二层要素对第三层要素的权值分别为：
W4 =[0.462，0.073，0.195，0.737，0.195] T
W5 =[0.360，0.071，0.367，0.104，0.095] T
W6 =[0.137，0.400，0.079，0.277，0.106] T
W7 =[0.329，0.090，0.104，0.071，0.404] T
经计算以上四个矩阵CR
3）风险级别 由上述计算得到权重矩阵？棕1 =[W1， W2， W3]T和？棕2 =[ W4， W5， W6， W7]T。利用安全功能测评工具得到第三层各元素脆弱性度？茁 =[2，6，4，2，7]。计算第二层元素的安全风险权重？滓2=？棕2？茁T =[4.98，3.49，4.29，4.58]。第一层元素的安全风险权重？滓1=？棕1？滓2T =[4.57，3.97，4.33]。对照表1判定各威胁对该终端系统的破坏能力为中，该终端系统面临的三个安全风险：资产、名誉、时间损失的等级为中。
4 结束语
移动信息安全工作的重要性和紧迫性得到越来越广泛的重视，本文针对目前移动智能终端信息安全威胁，定义了终端系统安全风险评估的概念并利用AHP算法建立智能终端系统安全风险评估模型，通过此方法可计算出各评估要素的相对风险程度和整个智能终端的安全风险等级，该方法有利于移动智能终端分级安全评估模型的建立，为不同用户对安全的不同需求提供评估的参考。
参考文献
[1] C. Dagon， T. Martin， and T. Starner， Mobile Phones as Computing Devices： the Viruses Are Coming[J].IEEE Pervasive Computing，2004（3）：11-15.
[2] Gong lei， zhou chong， Development and Research of mobile terminal application based on Android[J]. Computer and Modernization.2008：86-89.
[3] 冯登国，张阳，张玉清.信息安全风险评估综[J].通信学报，2004，7（25）：10-18.
[4] YD/T 1699-2007[S].移动终端信息安全技术要求，2006.
[5] YD/T 1700-2007[S].移动终端信息安全测试方法，2006.
[6] GB/T20984-2007[S].信息安全风险评估规范，2007.
[7] GB 17859-1999[S].计算机信息系统安全保护等级划分准则，1999.
[8] Wayne Jansen， Karen Scarfone， Guidelines on Cell Phone and PDA Security. National Institute of Standards and Technology （NIST） Special Publication[S]， October 2010.
[9] Thomas L. Saaty. Axiomatic Foundation of the Analytic Hierarchy Process[J].Management Science， 1986，7（32）：841-855.
[10] 李杨，韦伟，刘永忠.一种基于AHP的信息安全威胁评估模型研究[J].计算机科学， 2012， 1（39）： 61-137.
基金项目：
自然科学基金项目（编号：61032003，61071100和61271172）、四川省科技条件平台项目（ 编号：2011KJPT01）、四川省应用基础研究项目（ 编号：2012JY0001） 和成都市科技计划项目（编号：12DXYB026JH-002）联合资助。
作者简介：
唐杰（1987-），男，电子科技大学通信抗干扰国家级重点实验室硕士研究生；主要研究方向为通信安全与保密。
安全无小事。随着国民经济的发展，信息化程度愈高，信息安全保障工作就愈重要。信息安全风险评估(以下简称“风险评估”)是信息安全保障工作的基础性工作。但是，现在我国在信息系统的风险评估还处于起步阶段，亟待规范和提高。
目前，我国很多政府部门和企业的风险评估工作由于没有与信息系统的生命周期和安全建设联系起来，仅仅是为评估而评估。在风险评估后，没有针对风险评估的结果采取对策，安全状况最终并未取得实质性的增强和改善，这些风险评估工作仅仅起到了应付上级检查的作用，存在的隐患又有可能会导致新的风险。
风险评估是一项全新的工作，涉及信息安全管理部门、信息系统主管部门、建设单位和运营或应用部门，科学的风险评估需要理论、方法、技术来支撑，那么我国应该如何建立起良好的风险评估机制呢？
建立和完善各项制度
风险评估敏感性很强，如果引导不当，管理不到位，有可能给国家、社会和企业带来新的安全隐患，当前最重要就是建立和完善风险评估的各项基本制度。
首先，建立和完善风险评估制度，包括信息系统在设计阶段要确定系统的安全目标；在建设验收阶段要确定系统的安全目标达到与否；在运行维护阶段要针对安全形势和问题定期或不定期地进行风险评估以确定安全措施的有效性，确保安全保障目标始终如一得以实现。
其次，建立起信息安全检查制度与自我评估制度。信息安全检查由信息安全主管机关或信息系统上级主管机关发起，依据国家风险评估的管理规范和技术标准进行检查评估,通过行政手段加强信息安全。同时，各信息系统运营或应用单位依靠自身力量或委托有资质的评估机构，也要对自身信息系统进行风险评估。
同时，按照谁主管谁负责、谁运营谁负责的要求，信息系统上级主管机关依据自评估或信息安全检查的结果，决定是否批准信息系统投入建设或运行。信息系统安全认可和批准工作应纳入基础信息网络和重要信息系统安全管理体系。
最后，建立风险评估机构管理制度。对国家基础信息网络和重要信息系统的风险评估，实行资质准入制度，只允许经国家批准的风险评估机构实施风险评估。国家必须加强风险评估工作的管理，建立服务标准、资质认可与资质核查评估制度。
标准规范也是推广和实施风险评估工作的法律依据和技术保障，要加快风险评估管理与技术标准的制定和完善，尽快出台国家标准的《信息安全风险评估指南》、《信息系统安全批准规范》和《信息安全风险管理指南》。
加大人才培养与基础建设
加强风险评估工作队伍的建设是做好风险评估工作的前提。我国要形成国家基础信息网络和重要信息系统的风险评估的骨干力量，负责实施本系统风险评估工作。同时，积极宣传风险管理的基本知识，增强风险意识，组织开展相关培训，提高对风险管理与评估工作的认识和重视。
在基础建设上，要统筹建设国家基础信息网络和重要信息系统风险评估的基础设施和基础环境，将风险评估国家重点实验室的建设纳入国家信息安全保障基础设施的建设规划，构建风险分析试验环境，组织研制开发科学实用的检查评估工具，开展风险评估技术、理论、标准的研究；建立国家风险评估数据库，积累资料，全面提高国家风险评估水平。
关键词:信息安全;信息资产;风险评估;层次分析法
中图分类号:TP309文献标识码:A 文章编号:1009-3044(2010)19-5129-03
The Research for Information Security Risk Assessment Based on AHP Method
ZENG Li-mei, JIANG Wen-hao
(School of Computer Science and Technology , Chongqing University of Posts and Telecommunications, Chongqing 400065, China)
Abstract: The risk assessment of information security evolves four fundamental elements included information capital, the fragility of information capital, the encountering threats and the possible risk in information capital. The key problem for risk assessment relies on the weight among risk factors. This issue takes an enterprise as an example, introduced a method called Analytic Hierarchy Process (AHP) to evaluate the risk of systems. The results show that this method can be applied well to information security risk assessment.
Key words: information security; information capital; risk assessment; Analytic Hierarchy Process (AHP)
计算机网络技术在当今社会迅猛发展并且得到广泛应用,使得各行各业对信息系统的依赖日益加深,信息技术几乎渗透到了社会生活的方方面面。信息系统及其所承载信息的安全问题日益突出,为了在安全风险的预防、减少、转移、补偿和分散等之间做出决策,需要对网络系统进行信息安全风险评估。
信息安全风险评估,是指依据国家有关信息安全技术标准,对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行科学评价的过程[1]。风险评估是提高系统安全性的关键环节,通过风险评估,了解系统的安全状况,将信息系统的风险控制在可接受的范围内。
1信息系统安全风险评估要素
1.1 风险评估的各要素
信息系统安全风险评估要素及其各要素间的关系如图l所示。
图1中,整个模型的核心是风险,资产、脆弱性和威胁是风险评估的基本要素。风险评估的工作围绕其基本要素展开 。
1.2 风险评估各要素之间的关系
风险评估基本要素之间存在以下关系:
资产是信息系统中需要保护的对象,资产完成业务战略。单位的业务战略越重要,对资产的依赖度越高,资产的价值就越大,资产的价值越大风险则越大。
风险是由威胁引起的,威胁越大风险就越大,并很有可能演变成安全事件。
脆弱性是资产中的弱点。威胁利用脆弱性,脆弱性越大风险就越大。
安全需求由资产的重要性和对风险的意识导出。安全措施可以抗击威胁,降低风险,减弱安全事件的不良影响。
风险不可能也没有必要降为零,在实施了安全措施后还会有残留下来的风险,称为残余风险。残余风险可以接受,但应受到密切监视,因为它可能会在将来诱发新的安全事件[2]。
2 风险评估方法
目前国内外存在很多风险评估的方法,还没有统一的信息安全风险分析的方法。在风险评估过程中根据系统的实际情况,选择合适的风险评估方法。风险评估的方法概括起来可分为三大类:定性分析方法、定量分析方法、定性和定量相结合的分析方法。[3]
2.1定性分析方法
定性分析方法是一种典型的模糊分析方法,可以快捷的对资源、威胁、脆弱性进行系统评估。典型的定性分析方法有逻辑分析法、因素分析法、德尔斐法、历史比较法[4] 。
定性评估方法的优点是全面、深入,缺点是主观性太强,对评估者要求高。
2.2 定量分析方法
定量分析方法是在定性分析的逻辑基础上,通过对风险评估各要素的分析,为信息系统提供系统的分析手段。典型的定量分析方法有决策树法、回归模型、因子分析法。
定量分析方法的优点是直观、明显、客观、对比性强,缺点是简单化、模糊化、会造成误解和曲解。
2.3 定性和定量结合的综合评估方法
定量分析是定性分析的基础和前提,定性分析应该建立在定量分析的基础上才能揭示客观事物的内在规律。不能将定性分析方法与定量分析方割裂,而是将这两种方法融合起来,发挥各自的优势,采用综合分析评估方法。主要的综合分析方法有模糊综合评价方法、层次分析法、概率风险评估等。[5]
3 AHP方法
3.1 层次分析法简介
层次分析法(AHP)是美国运筹学家萨蒂(T.L.Saaty)于20世纪70年代初提出的一种定性与定量分析相结合的多准则决策分析方法,该方法简便、灵活又实用。
层次分析法的基本思想是在决策目标的要求下,将决策对象相对于决策标准的优劣状况进行两两比较,最终获得各个对象的总体优劣状况,从而为决策者提供定量形式的决策依据 [6] 。
3.2 系统分解,建立层次结构模型
层次模型的构造是运用分解法的思想,进行对象的系统分解。它的基本层次包括目标层、准则层、方案层三类。目的是建立系统的评估指标体系。层次结构如图2所示。
3.3 构造判断矩阵
判断矩阵的作用是同层次的两两元素之间的相对重要性进行比较。层次分析法采用1～9标度方法,对不同情况的评比给出数量标度,如表1所示。[7]
构造判断矩阵,判断矩阵A=(aij)n×n有如下性质:①aij>0;②当i≠j时,aji=1/aij;③当i=j时,aij=1。aij为i与j两因素相对权值的比值。
3.4 层次排序
步骤一:将A的每一列向量归一化。
步骤二:对按列归一化的判断矩阵,再按行求和。
步骤三:将向量归一化。
3.5 一致性检验
步骤一:计算判断矩阵的最大特征根。
式中(AW)i表示AW的第i个元素。
步骤二:计算一致性指标。
式中,λmax 表示比较判断矩阵的最大特征根,n表示比较判断矩阵阶数。
步骤三:计算一致性比率。
当 CR
平均随机一致性标度如表2所示。
4.评估方法实际应用
4.1 建立信息安全风险评估模型
为了突出风险评估的重点,对信息系统风险的评价指标进行适当的简化,建立某企业信息安全风险评估层次结构模型,如图3所示。
4.2 风险评估结果
根据图3各评估因素及其相互关系,建立两两比较判断矩阵,如表3、表4、表5、表6所示,用AHP方法求解一致性比率CR,判断矩阵是否具有满意一致性。
表3G-C的判断矩阵
表4C1-P的判断矩阵 表5C2-P的判断矩阵 表6C3-P的判断矩阵
以上结果CR均小于0.1,表明比较判断矩阵都满足一致性检验标准。由以上结果求的最终的总层次排序结果如表7所示。
5 结束语
在信息系统风险评估中,风险评估方法一直都是研究的关键点。本文采用层次分析法对风险评估的指标进行了分析,通过分析研究可得,层次分析法在风险评估和等级划分的实际应用中是一种行之有效、可操作性强的方法,可以很好的应用于信息安全风险评估。
参考文献:
[1] GB/T 20984-2007,信息安全技术信息安全风险评估规[S].中华人民共和国国家标准,2007.
[2] 向宏,傅鹏,詹榜华.信息安全测评与风险评估[M].北京:电子工业出版社,2009:319.
[3] 王伟,李春平,李建彬.信息系统风险评估方法的研究[J].计算机工程与设计,2007,28(14):3473-3474.
[4] 范红,冯登国,吴亚非.信息安全风险评估方法与应用[M].北京:清华大学出版社,2006:49-50.
[5] 吴亚非,李友新,禄凯.信息安全风险评估[M].北京:清华大学出版社,2007:101-109.
关键词：地理信息系统；风险评估
2006年1月国家网络与信息安全协调小组发表了“关于开展信息安全风险评估工作的意见”，意见中指出：随着国民经济和社会信息化进程的加快，网络与信息系统的基础性、全局性作用日益增强，国民经济和社会发展对网络和信息系统的依赖性也越来越大。
1什么是GIS
地理信息系统（GeographicInformationSystem,简称GIS）是在计算机软硬件支持下，管理和研究空间数据的技术系统，它可以对空间数据按地理坐标或空间位置进行各种处理、对数据的有效管理、研究各种空间实体及相互关系，并能以地图、图形或数据的形式表示处理的结果。
2风险评估简介
风险评估是在综合考虑成本效益的前提下，针对确立的风险管理对象所面临的风险进行识别、分析和评价，即根据资产的实际环境对资产的脆弱性、威胁进行识别，对脆弱性被威胁利用的可能性和所产生的影响进行评估，从而确认该资产的安全风险及其大小，并通过安全措施控制风险，使残余风险降低到可以控制的程度。
3地理信息系统面临的威胁
评估开始之前首先要确立评估范围和对象，地理信息系统需要保护的资产包括物理资产和信息资产两部分。
3.1物理资产
包括系统中的各种硬件、软件和物理设施。硬件资产包括计算机、交换机、集线器、网关设备等网络设备。软件资产包括计算机操作系统、网络操作系统、通用应用软件、网络管理软件、数据库管理软件和业务应用软件等。物理设施包括场地、机房、电力供给以及防水、防火、地震、雷击等的灾难应急等设施。
3.2信息资产
包括系统数据信息、系统维护管理信息。系统数据信息主要包括地图数据。系统维护管理信息包括系统运行、审计日志、系统监督日志、入侵检测记录、系统口令、系统权限设置、数据存储分配、IP地址分配信息等。
从应用的角度，地理信息系统由硬件、软件、数据、人员和方法五部分组成:硬件和软件为地理信息系统建设提供环境；数据是GIS的重要内容；方法为GIS建设提供解决方案；人员是系统建设中的关键和能动性因素，直接影响和协调其它几个组成部分。
险评估工作流程
地理信息系统安全风险评估工作一般应遵循如下工作流程。
4.1确定资产列表及信息资产价值
这一步需要对能够收集、建立、整理出来的、涉及到所有环节的信息资产进行统计。将它们按类型、作用、所属进行分类，并估算其价值，计算各类信息资产的数量、总量及增长速度，明确它们需要存在的期限或有效期。同时，还应考虑到今后的发展规划，预算今后的信息资产增长。这里所说的信息资产包括:物理资产(计算机硬件、通讯设备及建筑物等)信息/数据资产(文档、数据库等)、软件资产、制造产品和提供服务能力、人力资源以及无形资产(良好形象等)，这些都是确定的对象。
4.2识别威胁
地理信息系统安全威胁是指可以导致安全事件发生和信息资产损失的活动。在实际评估时，威胁来源应主要考虑这几个方面，并分析这些威胁直接的损失和潜在的影响、数据破坏、丧失数据的完整性、资源不可用等：
（1）系统本身的安全威胁。
非法设备接入、终端病毒感染、软件跨平台出错、操作系统缺陷、有缺陷的地理信息系统体系结构的设计和维护出错。
（2）人员的安全威胁。
由于内部人员原因导致的信息系统资源不可用、内部人员篡改数据、越权使用或伪装成授权用户的操作、未授权外部人员访问系统资源、内部用户越权执行未获准访问权限的操作。
（3）外部环境的安全威胁。
包括电力系统故障可能导致系统的暂停或服务中断。
（4）自然界的安全威胁。
包括洪水、飓风、地震等自然灾害可能引起系统的暂停或服务中断。
4.3识别脆弱性
地理信息系统存在的脆弱性(安全漏洞)是地理信息系统自身的一种缺陷，本身并不对地理信息系统构成危害，在一定的条件得以满足时，就可能被利用并对地理信息系统造成危害。
4.4分析现有的安全措施
对于已采取控制措施的有效性，需要进行确认，继续保持有效的控制措施，以避免不必要的工作和费用，对于那些确认为不适当的控制，应取消或采用更合适的控制替代。
4.5确定风险
风险是资产所受到的威胁、存在的脆弱点及威胁利用脆弱点所造成的潜在影响三方面共同作用的结果。风险是威胁发生的可能性、脆弱点被威胁利用的可能性和威胁的潜在影响的函数，记为：
Rc=(Pt,Pv,I)
式中：Rc为资产受到威胁的风险系数；Pt为威胁发生的可能性；Pv为脆弱点被威胁利用的可能性；I为威胁的潜在影响(可用资产的相对价值V代替)。为了便于计算，通常将三者相乘或相加，得到风险系数。新晨
4.6评估结果的处置措施
在确定了地理信息系统安全风险后，就应设计一定的策略来处置评估得到的信息系统安全风险。根据风险计算得出风险值，确定风险等级，对不可接受的风险选择适当的处理方式及控制措施，并形成风险处理计划。风险处理的方式包括：回避风险、降低风险(降低发生的可能性或减小后果)、转移风险和接受风险。
究竟采取何种风险处置措施，需要对地理信息系统进行安全需求分析，但采取了上述风险处置措施，仍然不是十全十美，绝对不存在风险的信息系统，人们追求的所谓安全的地理信息系统，实际是指地理信息系统在风险评估并做出风险控制后，仍然存在的残余风险可被接受的地理信息系统。所谓安全的地理信息系统是相对的。
4.7残余风险的评价
对于不可接受范围内的风险，应在选择了适当的控制措施后，对残余风险进行评价，判定风险是否已经降低到可接受的水平，为风险管理提供输入。残余风险的评价可以依据组织风险评估的准则进行，考虑选择的控制措施和已有的控制措施对于威胁发生可能性的降低。某些风险可能在选择了适当的控制措施后仍处于不可接受的风险范围内，应通过管理层依据风险接受的原则，考虑是否接受此类风险或增加控制措施。
关键词 信息工程安全系统 风险评估 控制
中图分类号：X92 文献标识码：A
对项目风险管理来说，风险评估是对信息工程安全资产所面临的威胁、存在的弱点、造成的影响及三者综合作用所带来风险的可能性的评估。作为项目风险管理的基础，风险评估是确定信息工程安全需求的一个重要途径，属于信息工程安全管理体系策划的过程。
1 风险评估概述
风险评估是在综合考虑成本效益的前提下，通过安全措施控制风险，使残余风险降低到可以控制的程度。因为任何信息系统都会有安全风险，所谓安全信息系统，实际上指信息系统在实施了风险评估以后做出了风险控制，仍然存在残余风险是可被接受的信息系统我们就称为安全信息系统。追求信息系统安全就不能脱离全面完整的信息系统安全评估，就必须运用信息系统安全风险评估的思想和规范对信息系统进行安全评估。
风险评估的主要任务包括：（1）识别面临的各种风险。（2）评估风险概率和可能带来的负面影响。（3）确定承受风险的能力。（4）确定风险消减和控制的优先等级。（5）推荐风险消减对策。
1.1 信息工程安全系统项目风险评估概述
信息工程安全系统项目风险管理是围绕信息工程安全系统项目风险而展开的评估、处理和控制的活动。其中最重要的基本要素是风险评估，因为基于风险评估可以对政府部门信息工程安全系统项目有系统全面的了解，找出潜在问题，分析原因，判断严重性和相关影响，以此确定信息工程安全系统建设的需求。项目是一个过程，从项目的开始到结束，风险评估要求风险评估贯穿到信息系统的整个生命周期提出了三个环节要进行风险评估：一是信息系统规划设计阶段，二是系统验收阶段，三是信息系统运维阶段。管理的不确定性，有限的资源和千变万化的危险和漏洞，使得所有的风险不可能完全缓解。一个信息系统的项目专业人员必须要协同用户、项目经理对信息系统各种潜在的影响进行评估，使其达到一个合理水平。
由于种种原因，信息安全系统存在着很多漏洞及缺陷，如黑客攻击或系统本身的原因，会造成系统安全事件，给系统带来不好的影响。因此，要对项目的信息安全风险进行相应的评估，评估的主要内容包括系统的安全漏洞和系统可能带来的负面影响，根据相应的等级来进行划分，评估出可能发生的安全风险。
1.2 信息工程安全系统项目风险评估过程
一般来说，系统信息工程安全项目风险评估分为四个不同的阶段。
第一个阶段：风险评估准备阶段。
（1）根据相应的风险评估准则，调研项目的实际情况，然后制定风险评估的计划表。按照实际操作来看，计划通常要由三个重要的表格组成，这三个表分别是：《信息工程安全系统的描述报告》、《信息工程安全系统的分析报告》和《信息工程安全系统的安全要求报告》。通过这些表格及具体的计划表，要对项目的风险评价进行计划。计划的内容一般要设计如下范围：目的、范围、目标、组织架构、经费预算、进度安排。制定好计划书后要及时汇报给决策层。如果决策层有异议，应该及时根据意见加以修改。只有获得决策层的审核和同意后，计划书才能获得批准，才能够获得相应的资源加以执行。
（2）结合项目的具体实际，对整个风险评估流程加以确定。不同的项目风险评估流程是不一样的，必须要结合具体的项目实际对评估的流程加以确定，如何工作，如何评估，评估结果如何衡量等。这个步骤，通常应该形成一个书面的《风险评估程序》，便于后面工作人员的具体操作。
（3）根据项目具体实际，选择特定的风险评估方法和工具。风险评估方法和工具千差万别，具体的某个项目，有针对性地 选择成本低，效果好，结合项目实际的具体方法和工具。
第二个阶段：风险因素识别。
（1）对所有需要保护的信息资产加以清点。根据上文确定的三个相关报告，对单位或项目所有的资产加以清点，找出重要的、对安全有重大影响的信息资产并造册，形成书面的《需要保护的资产清单》。（2）结合相关工具，识别出可能面临的威胁。一般来说，目前信息安全行业都有相应的较为全面的威胁或漏洞库，结合这些数据库，对单位的具体资产进行详细的清点和评估，就能找出可能面临的威胁，编制书面的《威胁列表》。（3）根据上面的工作，参照漏洞库，可以对整个单位信息资产面临的脆弱性加以评估，形成书面的《脆弱性列表》。
第三个阶段：风险程度分析。
（1）确认单位目前已经采用的安全防范措施。通过书面形式，对单位目前已经有的具体防范措施加以总结，填写到《已有安全措施分析报告》。（2）对可能面临的威胁的动机加以分析。面临的威胁的动机一般分为：涉及利益者的攻击、对系统好奇、对自己的技术自负等，要形成书面的《威胁动机分析报告》。（3）分析单位可能面临的威胁行为的能力。这一步主要是对可能面临威胁的具体评估，包括强度、广度、深度等。（4）分析信息资产的价值。信息自查的价值主要从以下几个方面来评估：关键性，价格，敏感性等。（5）分析可能面临的影响的程度。具体包括：资产损失，任务妨害，人员伤亡等。
第四个阶段：风险等级评价阶段。
（1）对威胁的动机加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（2）对威胁的行为能力加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（3）对系统脆弱性加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（4）对资产价值加以评估，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（5）对影响程度加以评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。（6）对所有因素加以综合评价，采用五级划分，分别是：“很高、较高、中等、较低、很低”。
一般来说，有公认的具体算法。但各单位具体实际情况不一而足。所以，对于公认的算法可以进行修改，或者提出自己认为更符合实际情况的算法。
2 信息工程安全系统项目风险控制
2. 1 风险控制概述
风险评估的目的是进行风险控制，进而最大可能排除系统面临的风险。所以，在信息风险评估之后，就要进行风险控制，其目的是为了尽可能降低系统面临的风险和漏洞。而系统的风险和漏洞，是不可能完全排除的，不论下多么大的成本。只能在一定范围内，尽可能控制在可以接受的范围。一般来说，为了控制可能发生的风险，主要采用以下几种方式：（1）规避风险。规避就是避免使用。例如有一些信息资产面临很大的风险，如果完全消除风险，需要很大的成本，需要更多的经济投入等。那么，一个比较可行的办法就是避免使用这样的资产，或者一些敏感的、需要保密的数据，不在这些资产上使用，从而规避掉可能发生的风险。（2）转移风险。这种方式的思路，就是将已经面临风险的资产转移到风险较低，或者没有风险的资产上。如某单位需要处理技术上足够复杂，没有能力处理的业务时，可以通过寻求外包给第三方专业机构的形式，要求对方做好风险处理，从而达到转移风险的目的。（3）降低风险。降低风险就是在资产面临风险时，通过各种手段和方法来降低其面临的风险。
2.2 信息工程安全系统项目风险控制过程
在信息工程安全项目管理中，风险控制可以划分为四个阶段，分别是：现有风险判断、确定风险控制目标、采取选择和实施具体的风险控制措施。
在不同的阶段，进行不同的工作流程和具体内容，分别如下：
第一阶段：预备阶段。在本阶段，主要是对单位现有的信息资产激进型识别、编号、评估并造册，形成书面报告。
第二阶段：现存风险判断。在本阶段，通过各种工具和方法，对系统信息资产面临的风险加以评级。一般来说，风险的评级主要分为两种：可接受的系统风险和不可接受的系统风险。然后，对系统目前存在的一些风险加以判断，到底是否能够接受。
第三阶段：确定风险控制目标。本阶段主要的工作流程和内容包括：（1）分析风险控制需求。针对上面提出的不可接受的风险，分析其具体需求；并分析哪些是可以做到，哪些不能做到；如果做到，需要具体的成本和措施等。（2）确立风险控制目标。完全搞清楚其具体需求后，就可以确定风险控制的目标。
第四阶段：控制措施选择与实施。
控制措施选择阶段的工作流程和内容如下：（1）选择风险控制方式。确定目标后，就可以采用具体的风险控制方式。选择方式时必须考虑到单位的具体情况，能否实现以及经济投入成本、投入产出比等。（2）选择风险控制措施。控制措施实施阶段的工作流程和内容如下：①制定风险控制实施计划：选择好相应的风险控制方式后，即可制定具体的实施计划。实施计划必须为书面，便于后面的审查以及对照。②实施风险控制措施：采用规避、降低、转移等具体方式来控制。实施过程应该遵循相应的工作流程和标准，并书面记录在案。
3 结语
当前网络信息安全技术发展迅速，任何信息系统都会有安全风险。没有任何一种解决方案可以防御所有危及网络信息安全的攻击。因此我们需要不断跟踪新技术，对所采用的网络信息安全防范技术进行升级完善，以确保相关利益不受侵犯。
参考文献
[1] Stuart McClure 等.黑客大曝光――网络安全机密与解决方案[M].北京：清华大学出版社，2006：140.
[2] 魏仕民等.信息安全概论[M].北京：高等教育出版社，2005：40-41.
[3] 曲平.安全信息管理技术的研发与运用[J].信息通信，2013.
关键词：信息安全；风险评估；脆弱性；威胁
中图分类号：TP393.08 文献标识码：A 文章编号：1007—9599 （2012） 14—0000—02
一、引言
随着信息技术的飞速发展，关系国计民生的关键信息资源的规模越来越大，信息系统的复杂程度越来越高，保障信息资源、信息系统的安全是国民经济发展和信息化建设的需要。信息安全的目标主要体现在机密性、完整性、可用性等方面。风险评估是安全建设的出发点，它的重要意义在于改变传统的以技术驱动为导向的安全体系结构设计及详细安全方案的制定，以成本一效益平衡的原则，通过评估信息系统面临的威胁以及脆弱性被威胁源利用后安全事件发生的可能性，并结合资产的重要程度来识别信息系统的安全风险。信息安全风险评估就是从风险管理角度，运用科学的分析方法和手段，系统地分析信息化业务和信息系统所面临的人为和自然的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，以防范和化解风险，或者将残余风险控制在可接受的水平，从而最大限度地保障网络与信息安全。
二、网络信息安全的内容和主要因素分析
“网络信息的安全”从狭义的字面上来讲就是网络上各种信息的安全，而从广义的角度考虑，还包括整个网络系统的硬件、软件、数据以及数据处理、存储、传输等使用过程的安全。
网络信息安全具有如下5个特征：1.保密性。即信息不泄露给非授权的个人或实体。2.完整性。即信息未经授权不能被修改、破坏。3.可用性。即能保证合法的用户正常访问相关的信息。4.可控性。即信息的内容及传播过程能够被有效地合法控制。5.可审查性。即信息的使用过程都有相关的记录可供事后查询核对。网络信息安全的研究内容非常广泛，根据不同的分类方法可以有多种不同的分类。研究内容的广泛性决定了实现网络信息安全问题的复杂性。
而通过有效的网络信息安全风险因素分析，就能够为此复杂问题的解决找到一个考虑问题的立足点，能够将复杂的问题量化，同时，也为能通过其他方法如人工智能网络方法解决问题提供依据和基础。
网络信息安全的风险因素主要有以下6大类：1.自然界因素，如地震、火灾、风灾、水灾、雷电等；2.社会因素，主要是人类社会的各种活动，如暴力、战争、盗窃等；3.网络硬件的因素，如机房包括交换机、路由器、服务器等受电力、温度、湿度、灰尘、电磁干扰等影响；4.软件的因素，包括机房设备的管理软件、机房服务器与用户计算机的操作系统、各种服务器的数据库配置的合理性以及其他各种应用软件如杀毒软件、防火墙、工具软件等；5.人为的因素，主要包括网络信息使用者和参与者的各种行为带来的影响因素，如操作失误、数据泄露、恶意代码、拒绝服务、骗取口令、木马攻击等；6.其他因素，包括政府职能部门的监管因素、有关部门对相关法律法规立法因素、教育部门对相关知识的培训因素、宣传部门对相关安全内容的宣传因素等。这些因素对于网络信息安全均会产生直接或者间接的影响。
三、安全风险评估方法
（一）定制个性化的评估方法
虽然已经有许多标准评估方法和流程，但在实践过程中，不应只是这些方法的套用和拷贝，而是以他们作为参考，根据企业的特点及安全风险评估的能力，进行“基因”重组，定制个性化的评估方法，使得评估服务具有可裁剪性和灵活性。评估种类一般有整体评估、IT安全评估、渗透测试、边界评估、网络结构评估、脆弱性扫描、策略评估、应用风险评估等。
（二）安全整体框架的设计
风险评估的目的，不仅在于明确风险，更重要的是为管理风险提供基础和依据。作为评估直接输出，用于进行风险管理的安全整体框架。但是由于不同企业环境差异、需求差异，加上在操作层面可参考的模板很少，使得整体框架应用较少。但是，企业至少应该完成近期1～2年内框架，这样才能做到有律可依。
（三）多用户决策评估
不同层面的用户能看到不同的问题，要全面了解风险，必须进行多用户沟通评估。将评估过程作为多用户“决策”过程，对于了解风险、理解风险、管理风险、落实行动，具有极大的意义。事实证明，多用户参与的效果非常明显。多用户“决策”评估，也需要一个具体的流程和方法。
（四）敏感性分析
由于企业的系统越发复杂且互相关联，使得风险越来越隐蔽。要提高评估效果，必须进行深入关联分析，比如对一个老漏洞，不是简单地分析它的影响和解决措施，而是要推断出可能相关的其他技术和管理漏洞，找出病“根”，开出有效的“处方”。这需要强大的评估经验知识库支撑，同时要求评估者具有敏锐的分析能力。
（五）集中化决策管理
安全风险评估需要具有多种知识和能力的人参与，对这些能力和知识的管理，有助于提高评估的效果。集中化决策管理，是评估项目成功的保障条件之一，它不仅是项目管理问题，而且是知识、能力等“基因”的组合运用。必须选用具有特殊技能的人，去执行相应的关键任务。如控制台审计和渗透性测试，由不具备攻防经验和知识的人执行，就达不到任何效果。
（六）评估结果管理
安全风险评估的输出，不应是文档的堆砌，而是一套能够进行记录、管理的系统。它可能不是一个完整的风险管理系统，但至少是一个非常重要的可管理的风险表述系统。企业需要这样的评估管理系统，使用它来指导评估过程，管理评估结果，以便在管理层面提高评估效果。
四、风险评估的过程
（一）前期准备阶段
主要任务是明确评估目标，确定评估所涉及的业务范围，签署相关合同及协议，接收被评估对象已存在的相关资料。展开对被评估对象的调查研究工作。
（二）中期现场阶段
编写测评方案，准备现场测试表、管理问卷，展开现场阶段的测试和调查研究阶段。
（三）后期评估阶段
撰写系统测试报告。进行补充调查研究，评估组依据系统测试报告和补充调研结果形成最终的系统风险评估报告。
五、风险评估的错误理解
1.不能把最终的系统风险评估报告认为是结果唯一。
2.不能认为风险评估可以发现所有的安全问题。
3.不能认为风险评估可以一劳永逸的解决安全问题。
4.不能认为风险评估就是漏洞扫描。
5.不能认为风险评估就是 IT部门的工作，与其它部门无关。
6.不能认为风险评估是对所有信息资产都进行评估。
六、结语
总之，风险评估可以明确信息系统的安全状况和主要安全风险。风险评估是信息系统安全技术体系与管理体系建设的基础。通过风险评估及早发现安全隐患并采取相应的加固方案是信息系统安全工程的重要组成部分，是建立信息系统安全体系的基础和前提。加强信息安全风险评估工作是当前信息安全工作的客观需要和紧迫需求，但是，信息安全评估工作的实施也存在一定的难题，涉及信息安全评估的行业或系统各不相同，并不是所有的评估方法都适用于任何一个行业，要选择合适的评估方法，或开发适合于某一特定行业或系统的特定评估方法，是当前很现实的问题，也会成为下一步研究的重点。
参考文献：
[1]刚，吴昌伦.信息安全风险评估的策划[J].信息技术与标准化，2004，09
[2]贾颖禾.信息安全风险评估[J].中国计算机用户，2004，24
[3]杨洁.层次化的企业信息系统风险分析方法研究[J].软件导刊，2007，03
关键词：信息系统；风险；评估；管理
在当前迅猛的科技信息技术传播更新下，对于信息安全管理的工作也发生了重大的改变，其从传统单一的技术管理手段改变为技术与管理两者相结合的较全面综合管理手段；其从局部的管理模式改变到对于全局管理的系统管理模式；从最初存在较多问题的不完善经验式管理改变到目前具有着分明的安全等级科学管理模式等。在风险评估上也从评估对象的综合评估转变到个因评估、从目前的现今评估发展到对未来趋势的评估；又从静态的评估方式转变到动态评估方式；从最初的手动风险评估转变到今天的全自动技术自动评估；从信息风险的定量评估改变到定性与定量两者相结合等，以上的改变都证实了我国在信息安全管理上不断努力的成效。结合目前我国信息系统的现状来说，在现有基础上对于相关信息系统科学理论、方法的更进一步完善与创新，是势在必行的，也是确保信息系统风险评估与管理工作不断完善的必要前提。
一、信息系统风险评估方法的研究现状
1.基于专家系统的风险评估工具
这种方法经常利用专家系统建立规则和外部知识库，通过调查问卷的方式收集组织内部信息安全的状态。对重要资产的威胁和脆弱点进行评估，产生专家推荐的安全控制措施。这种工具通常会自动形成风险评估报告，安全风险的严重程度提供风险指数，同时分析可能存在的问题，以及处理办法。
2.基于定性或定量算法的风险分析工具。
风险评估根据对各要素的指标量化以及计算方法不同分为定性和定量的风险分析工具。风险分析作为重要的信息安全保障原则已经很长时间。信息安全风险分析算法在很久以前就提出来，而且一些算法被作为正式的信息安全标准。这些标准大部分是定性的――也就是，他们对风险产生的可能性和风险产生的后果基于“低/中/高”这种表达方式，而不是准确的可能性和损失量。随着人们对信息安全风险了解的不断深入，获得了更多的经验数据，因此人们越来越希望用定量的风险分析方法反映事故方式的可能性。
二、信息系统风险评估方法
1.对于定性评估来说，其主要的评估途径是根据研究者在其所掌握的知识和所具备的经验吸取以及政策走向等非量化的资料来对信息系统的状况做出不同风险情况等级的判断。在信息系统风险的评测中，定性分析乃是被使用较多的分析方法，其特点主要是只关注那些构成危险事件可能会带来的损失，而不计算该威胁是否会发生。在实施定性评估的过程中并不使用具体的数据进行评测，而是使用指定期望值来进行评测，如，假设每一种存在的风险其风险影响度和预期风险的发生概率为低等、中等和高等，而不是确切的数字。总的来说，定性评估的优点在于其可以使评估的结果更加深入、广泛，但是很大的一个缺点在于其具有较强的主观性，因此，对于定性评估来说，对评估者自身的专业素养和分析能力的要求是非常高的。
2.其次是定量评估，它去定性评估的区别是：定量评估是使用数量指标来对风险进行评测的，它在评估过程中，重点分析风险可能发生的概率和发生的风险危害程度所形成的比值，这与定性来说是截然相反的。因此，定量评估在进行评测的同时大大增加了运行机制和各项规范、制度等紧密结合的可操作性。定量评估的特点在于其使分析评估的目标的对目标采取的补救措施更加明确，在一目了然、清晰的数据中看到直观的评测数据。美中不足的是，定量评估在其量化过程中容易将复杂的事物简单化，容易造成疏漏。
3.就目前来说，将定性评估与定量评估两者的有机结合是得到客观、公正的评估结果最合适不过的方法，而且通过其两者的相互融入，此消彼长，取长补短是非常科学的。因此，在对于信息系统的风险评估中，需要因地制宜，做到具体问题具体分析，如，在进行风险评估时，遇到关于结构化问题相对很强的时候可采用定量分析；反之，可使用定性分析；如问题的显示既兼有结构化又带有非结构化时，就可以采用定性评估与定量评估两者结合的评测；这样就能使遇到的问题复杂变简单，简单变迎刃而解。
三、信息系统动态风险管理模型与对策建议
1.基于态势评估的风险预警、防范与控制
信息系统安全风险态势评估值表示系统当前是否安全，即通过当前态势值和正常情况下的态势值比较可以判断系统是否安全;也可以提供可能收到的信息系统威胁程度有多大的信息。通过评估己能够得到过去和当前的信息系统安全状况，能给信息系统管理者预警。这些使得信息系统管理员能明确获知信息系统攻击的威胁程度，清晰的把握信息系统安全状态，从而对信息系统现实的情况做出相应的防范与控制措施。基于态势评估的信息系统风险预警、防范与控制模型图如下:
2.信息系统风险评估信息安全保障体系的建立
为有效控制信息系统面临的安全风险，确保信息系统的安全、高效和可靠运行，迫切需要构建基于信息系统风险评估的整体信息安全保障体系，建立贯穿信息系统各个应用环节的立体式安全防护，使其得到有效的安全保障，从而确保信息系统业务的顺利进行。
信息安全管理体系是组织整个管理体系的一部分，它基于业务风险方法，来建立、实施、运行、监视、评审、保持和改进信息安全的。建立信息安全管理体系是“需求导向型的信息安全解决方案”的典型体现，通过体系的建设，可以有效解决组织面临的信息安全问题，提高组织的信息安全防护能力。
风险评估是等级保护的出发点，也是安全建设的出发点，风险评估的结果可作为实施等级保护、等级安全建设的出发点和参考点，它为信息安全管理体系的控制目标和控制措施的选择提供依据，也是安全控制效果进行测量评估的主要方法。等级保护是指导我国信息安全保障体系建设的一项基本管理制度，它是安全管理体系建设的基本原则，它的核心内容是对信息系统安全分等级、按标准进行建设、管理和监督。
3.信息系统风险评估对于保护对象的有效识别
从目前国内外信息系统的安全实践看，信息系统存在许多威胁和潜在的风险。这些潜在的风险属于信息安全管理范畴的问题。实施信息系统风险评估能够有效识别需要保护的对象，知道了要保护什么，就会分析保护对象的特点、属性，分析保护对象存在的脆弱性(既包括技术脆弱性，也包括管理脆弱性)和面临的安全威胁，从而有针对性地选择控制措施来应对具体的风险，尤其对于管理脆弱性，可以通过制定相应的策略和程序来加以控制，这正适合于解决信息系统中存在的信息安全问题。
总结：
1、提高企业信息系统的策略及措施解决企业信息安全方案分析
解决信息系统安全要有以下几点认识:要解决信息系统要有统筹全局的观念。解决信息系统的安全问题要树立系统观念,不能光靠一个面。从系统的角度分析信息系统是由用户和计算机系统两者组成,这包括人和技术两点因素。使用和维护计算机安全信息系统可以根据信息系统具有动态性和变化性等特点进行调整。信息系统是一项长期属于相对安全的工作,必须制订长销机制,绝不能以逸待劳。企业信息系统安全可以采取的策略是采用一套先进、科学及适用的安全技术系统,在对系统进行监控和防护,及时适当的分析信息系统的安全因素,使这套系统具有灵敏性和迅速性等响应机制,配合智能型动态调整功能体系。需要紧记的是系统安全来自于风险评估、安全策略、自我防御、实时监测、恢复数据、动态调整七个方面。其中,通过风险评估可以找出影响信息系统安全存在的技术和管理等因素产生的问题。在经过分析对即将产生问题的信息系统进行报告。
安全策略体现着系统安全的总体规划指导具体措施的进行。是保障整个安全体系运行的核心。防御体系根据系统中出现的问题采用相关的技术防护措施,解决各种安全威胁和安全漏洞是保障安全体系的重心。并且通过监测系统实时检测运行各种情况。在安全防护机制下及时发现并且制止各种对系统攻击的可能性,假设安全防护机制失效必须进行应急处理,立刻实现数据恢复。尽量缩小计算机系统被攻击破坏的程度。可以采取自主备份,数据恢复,确保恢复,快速恢复等手段。并且分析和审理安全数据,适时跟踪,排查系统有可能出现的违归行为,检查企业信息系统的安全保障体系是否超出违反规定。
通过改善系统性能引入一套先进的动态调整智能反馈机制,可以促进系统自动产生安全保护,取得良好的安全防护效果。可以对一台安全体系模型进行分析,在管理方面,对安全策略和风险评估进行测评,在技术层面,实时监测和数据恢复形成一套防御体系。在制度方面,结合安全跟踪进行系统排查工作。系统还应具备一套完整的完整的动态自主调整的反馈机制,促进该体系模型更好的与系统动态性能结合。
信息安全管理在风险评估和安全策略中均有体现,将这些管理因素应用与安全保障体系保护信息安全系统十分重要。企业必须设立专门的信息系统安全管理部门,保障企业信息系统的安全。由企业主要领导带头,组织信息安全领导小组,专门负责企业的信息安全实行总体规划及管理。在设立信息主管部门实施具体的管理步骤。企业应该制订关于保证信息系统安全管理的标准。标准中应该明确规定信息系统中各类用户的职责和权限、必须严格遵守操作系统过程中的规范、信息安全事件的报告和处理流程、对保密信息进行严格存储、系统的帐号及密码管理、数据库中信息管理、中心机房设备维护、检查与评估信息安全工作等等信息安全的相关标准。而且在实际运用过程中不断地总结及完善信息系统安全管理的标准。
相关部门应该积极开展信息风险评估工作。通过维护信息网的网络基础设施有拓扑、网络设备和安全设备,对系统安全定期的进行评估工作,主动发现系统存在的安全问题。主要针对企业支撑的信息网和应用IT系统资产进行全方位检查,对管理存在的弱点进行技术识别。对于企业的信息安全现状进行全面的评估,可以制作一张风险视图表现企业全面存在的问题。为安全建设提供指导方向和参考价值。为企业信息安全建设打下坚实的基础。
最后,加强信息系统的运行管理。可以通过以下措施进行:规范系统电子台帐、设备的软件及硬件配置管理、建立完善的设备以及相关的技术文档。系统日常各项工作进行闭环管理,系统安装、设备运营管理等。还要对用户工作进行规范管理,分配足够的资源和应用权限。防御体系、实时检测和数据恢复三方面都体现了技术因素,信息安全管理系统技术应用于安全保障体系中。在建设和维护信息安全保障体系过程中,需要多方面,多角度的进行综合考虑。采用分步实施,逐步实现的手法。在信息安全方面采取必要的技术手段,加强系统采取冗余的配置,提高系统的安全性。
对中心数据库系统、核心交换机、数据中心的存储系统、关键应用系统服务器等。为了避免重要系统的单点故障可以采取双机甚至群集的配置。另外,加强对网络系统的管理。企业信息系统安全的核心内容之一是网络系统。同样也是影响系统安全因素最多的环节。网络系统的不安全给系统安全带来风险。接下来重点谈网络安全方面需要采取的技术手段。网络安全的最基础工作,是加强网络的接入管理。
与公用网络系统存在区别的是,企业在网络系统中有专门的网络,系统只准许规定的用户接入,因此必须实现管理接入。在实际操作过程中,可以采取边缘认证的方式。笔者在实际工作经验总结出公司的网络系统是通过对网络系统进行改造实现支持802.1X或MAC地址两种安全认证的方式。不断实现企业内网络系统的安全接入管理。网络端口接入网络系统时所有的工作站设备必须经过安全认证,从而保证只有登记的、授权记录在册的设备才能介入企业的网络系统,从而保证系统安全。根据物理分布可以利用VLAN技术及使用情况划分系统子网。这样的划分有以下益处:首先,隔离了网络广播流量,整个系统避免被人为或者系统故障引起的网络风暴。其次是提高系统的管理性。通过划分子网可以实现对不同子网采取不同安全策略,可以将故障缩小到最低范围。根据一些应用的需要实现某些应用系统中的相对隔离。
2、结语
本文结合了笔者实际工作经验对企业信息系统的安全问题提出了系统性的思考,对长期存在相对动态的信息系统安全解决的方法进行探讨。可以用一句话进行概括总结:系统安全六要素是组成的系统安全的必要因素。同时,抓好规范管理,实现信息系统的安全技术。
[关键词] 信息系统安全风险评估故障树分析法
一、商场信息系统的风险及其评估
信息系统风险评估的方法主要有故障树分析法、故障模式影响及危害性分析、层次分析法、线性加权评估和德尔斐法等。
商场信息系统是一个由服务器和商场各部门的客户机构成的计算机网络系统，它庞大，复杂，风险事件更是纷繁多样。如果采用故障树分析法可以把商场的信息系统的风险事件分门别类的找出来，并根据各个风险的逻辑关系，构造出故障树。这样，庞大的商场信息系统中最严重的风险以及引起这些风险发生的源头都一目了然。管理基层就能够相应的从最底层最小的疏漏开始加以防范，责任到每一个操作的部门或人，防微杜渐，以免小的疏忽造成大错。
信息系统安全风险分析主要针对信息系统中各种不同范畴、不同性质、不同层次的威胁问题，通过归纳、分析、比较、综合最后形成对信息系统分析风险的认识过程。大多数风险分析方法最初都要进行对资产的识别和评估，在此以后，采用不同的方法进行损失计算。
首先对于影响信息安全的要素进行分析，引起信息安全风险的要素有，然后运用故障树分析法计算出风险因子。
二、故障树分析法
故障树分析法（Fault Tree Analysis- FTA)是由Bell电话实验室的WASTON H A 于1961年提出的一种分析系统可靠性的数学模型，现在已经是比较完善的系统可靠性分析方法。
1.故障树分析法基本原理
故障树就是通过求出故障树的最小割集，得到引起发生顶事件的所有故障事件，以发现信息系统中的最薄弱环节或最关键部位，由此对最小割集所发现的关键部位进行强化风险管理。
2.故障树分析法的步骤
(1)建造故障树。故障树分析法就是把信息系统中最不严重的故障状态作为故障分析的目标，然后一级一级寻找导致这一故障发生的全部事件，一直追查到那些最原始的、都是已知的、勿需深究的因素为止。并且按照它们发生的因果关系，把最严重的事件称为顶事件，勿需深究的事件称为底事件，介于顶事件和底事件的事件称为中间事件用相应的符号代表这些事件，用适当的逻辑门把顶事件、底事件、中间事件连接成一个倒立的树状的逻辑因果关系图，这样的图就称为故障树。
(2)求最小割集。
定义1:在由故障树的某几个底事件组成的集合中，如果该集合的底事件同时发生时将引起顶事件的发生，这个集合就称为割集 （cut sets. CS)。
定义2:假设故障树中存在这样一个割集，如果任意去掉一个底事件后，就不再是割集，则这个割集被称为最小割集(minimal cut sets. MCS)。
(3)定量定性分析。首先我们来计算顶事件的失效概率，在掌握了“底事件”的发生概率的情况下，“顶事件”即所分析的重大风险事件的发生概率（用Pf表示）就可以通过逻辑关系得到。
设底事件xi对应的失效概率为qi(i =1,2,..,n)，n为底事件个数最小割集的失效概率为各个底事件失效概率的积P(mcs)=P(x1∩x2∩…∩xn)=，其中m为最小割集阶数，而顶事件发生概率为各个底事件失效概率的和:Pf(top)=P(y1∪y2∪…∪yk)其中，yi为最小割集，k为最小割集个数。而由于最小割集时事件的关系，Pf(top)的计算要分为以下三种情况:
①当y1,y2m,yk为独立事件时则有:
其中，Pi为最小割集yi的失效概率。
②当y1,y2m,yk为互斥事件时，则有;。
③当Pf(top)为相容事件时，则有:
我们根据以上公式可知，如果阶数越少的最小割级就是越重要的，而在这些阶数少的最小割级里出现的底事件也是比较重要的底事件，而在阶数相同的最小割级中，重复次数越多的底事件越重要。
(4)各顶事件危害等级。则可用:风险因子:r=Pf+Cf-PfCf来定量的表示风险的大小。
三、商场信息系统实例分析
1.建造故障树
(1)管理不善带来的风险。
X11.由于系统管理员的无意错误，直接危害到了系统安全。
X12.管理员没有按照安全操作规程启动系统安全的保护体系。
X13.管理员没有按照安全操作规程启动关键性的系统组件。
X14.由于管理员的疏忽或是管理员自己利用系统物理环境的脆弱点，物理破坏网络硬件资源。
X15.攻击者利用社会关系学原理，非法获取进入和控制系统资源的方法和手段。
X16.某些未授权用户非法使用资源和授权用户越权使用资源造成对系统资源的误用，滥用或使系统运行出现混乱，而危及或破坏系统。
(2)被动威胁。
X21.非法截取（获）用户数据，攻击者通过对通信线路窃听等非法手段获取用户信息或交易数据等。
X22.密码分析，攻击者通过非法手段获取了信息后，通过破译加密的数据获得敏感性和控制信息。
X23.信息流和信息流向分析，攻击者通过对信息或其流向的分析，获到信息。
(3)主动威胁。
X31. 使网络资源拒绝服务，攻击者通过对系统和系统中的一些资源的频繁存取甚至非法占有，使系统资源对系统丧失或减低正常的服务能力。使之不能正常工作。
X32.假冒合法用户或系统进程欺骗系统，攻击者假冒成已经授权的用户行使一些受权限控制的操作，使系统混乱。
X33.篡改信息内容，攻击者篡改一些确定的信息或者数据，使用户因为获得篡改过的信息而受骗。
X34.恶意代码攻击，假冒授权用户的身份执行恶意代码，是系统产生异常进程，破坏系统资源。
X35.抵赖，在接受到信息数据后，为了因避免接受信息所要承担的责任而否认接受过信息，或者在发送一条信息后，为了因避免发送信息所要承担的责任而否认发送过信息。
X36.信息重放，非法获取用户的识别和鉴别等数据后，攻击者使用这些安全控制数据欺骗系统或访问系统资源。
X37.伪造合法系统服务，攻击者伪造系统服务与授权用户交互。
2.故障树的定量分析
电子商务模块出现故障为顶事件，管理不善，被动威胁，主动威胁为中间事件，余下的为底事件，设顶事件和底事件发生的概率分别为Pf，q,q2,Λq16,则最小割集的失效概率为:P(mcs)=P(x1∩x2∩Λ∩x16)，而顶事件发生的概率:Pf(top)=P(y1∪y2∪y3)。
然后可由前面的系统分析知道，y1,y2,y3是相互独立的事件，则有
其中，Pi为最小割集yi的失效概率。
我们假设yi在每一年或不到一年发生的概率Pi分别是0.2，0.3，0.4。计算出Pf(top)=0.024。我们假设Cf=0.1，再根据r=Pf+Cf-PfCf进行计算，可以得到r=0.1216。r＜0.3，说明我们所假设的仓储式商场的信息系统电子商务模块中的风险评估为低风险。
〔关键词〕信息系统；风险评估；熵；信息系统风险熵
DOI：10．3969／j．issn．1008－0821．2011．12．008
〔中图分类号〕G203 〔文献标识码〕A 〔文章编号〕1008－0821（2011）12－0030－04
Research of Computational Models of Information System“Risk Entropy”Fan Jianhua Zhao Wen
（International Business School，Shanxi Normal University，Xian 710062，China）
〔Abstract〕Based on the theories of the“entropy”,this article researched the quantitative analysis of information system risk assessment in the view of“entropy”,proposed the concept of“risk entropy”and built two kinds computational models of information system“risk entropy”,which could give quantitative assessment about the safe of the information system.
〔Key words〕information system;risk assessment;entropy;information system risk entropy
随着信息化在全球的快速发展，世界对信息的需求快速增长，信息的传递、交流和共享已成为现代科技和经济发展的重要前提，信息产品和信息服务对于各个国家、地区、企业、单位、家庭、个人都不可缺少，信息技术也已成为支撑当今经济活动和社会生活的基石，然而就在整个信息化不断深入发展、信息网络技术为人们不断带来惊喜的同时，信息安全所导致的问题也在日益突出，逐渐升级。一方面，已为各类社会组织带来了前所未有的威胁与破坏。另一方面，迫使计算机信息系统的安全状况不断面临着日趋复杂的挑战。本文针对当前分析解决信息系统安全问题有效方法之一的信息安全风险评估，在其已有的多种定性、定量分析方法基础之上考虑用“熵”来对信息系统安全问题再做新视角的定量分析。
1 信息系统安全研究现状
为了加强信息系统的安全性，不少科研技术人员，管理人员从技术手段及管理措施都对信息系统做出了相应的努力，也取得了不少成果。
对信息系统安全模型研究较为典型的有：BLP模型：它是专门针对军方需求设计的访问控制模型，也是最早的和迄今为止最为常用的安全模型。Bita模型：该模型用完整性等级取代了BLP模型中的安全等级，用一个结构化网络来表示授权用户和提供用户类型级别的划分。这些属性可以防止非授权用户的修改。对信息系统安全技术手段研究较为典型的有：加解密算法，安全协议和安全防护技术等。除此之外，各国许多专家在信息系统安全评估这一重要研究领域，经过多年研究，也已形成了广泛接受，普遍适用的标准和评估细则。
然而正如引言所述，伴随着科技的飞速发展，计算机技术不断的创新升级，信息系统的安全问题势必愈演愈烈，这就需要我们尽可能的从多方面多角度去观察问题，描述问题，继而解决问题。
2 熵理论
熵作为一个概念，在希腊文中的字义是发展演化。从对熵概念的研究历史来看，熵是由1865年由德国物理学家克劳休斯（K.Clausius）在热之唯动说一书中，为了将热力学第二定律格式化而提出的。他发现，熵（S）是一个状态函数，用它可以表征热力学第二定律：
dS＝dQ／T
ds0
上式表明：在孤立系统中，不可逆过程使熵值增加，可逆过程则熵值不变，即为著名的熵增加原理。
除此之外，对熵的认识理解还有两种主要思路，一种是来自统计力学。1870年玻尔兹曼（L.Boltzmann）研究发现某物质系统的微观单元的运动状态共有Ω种，那么该物质系统的lnΩ与热力学熵S成正比。由此提出：熵是形容分子运动的无序程度和混乱程度的状态量。公式表示为：
S＝KlnΩ
另一种是来自信息论［1－2］。香农（C.E.Shannon）在1948年将热力学熵引进信息论，在信息论中，熵表示的是不确定性的量度。一个系统X的信息量大小H（即信息熵）与该系统的状态概率P紧密联系在一起。若该系统由状态集｛a1，a2，…，an｝组成，每个状态对应的概率分别为p1，p2，…，pn，且∑ni＝1pi＝1。则系统X的信息熵为：
H［X］＝H（p1，p2，…，pn）＝k∑ni＝1PilnPi
在自然科学和社会科学的各个领域中存在着大量的不同层次不同类别的随机事件的集合，由于熵对不确定性和无序度的描述可以不受各个学科内容的限制，因此熵概念能够广泛应用于众多学科［3］。如在物理学领域有量子熵、黑洞熵等；在化学领域有电离熵、迁移熵等；在数学领域有拓扑熵、样本熵等等［4］。
信息系统“风险熵”计算模型的研究3 信息系统“风险熵”模型的构建
3.1 信息系统“风险熵”的提出
在参考了上述对熵的不同认识理解以及将熵应用于众多学科，定义出多种熵学科的基础上，本文结合熵原理对信息系统提出“风险熵”的概念和定义，同时构建并分析研究不同角度下的信息系统“风险熵”模型。
3.2 基于“系统状态丰富程度”的信息系统“风险熵”模型3.2.1 模型的引入
从对熵理论的3种成功认识思路中可以看出［5］，虽然它们彼此对应用熵理论的原理不一样，但是在分析中也有一个共同点，即都涉及对象的状态。不妨认为熵就是计量状态的标尺。所谓状态的多少具体是说状态的丰富程度。一个系统内部的状态越多也就是状态越丰富、越复杂。反之，状态越少就是状态越不丰富、越简单，越单调。
丰富程度这个词在科学中较为严格，但通俗一些而又不歪曲本质的提法是复杂程度。这样就把熵直接理解为物质系统的状态的丰富程度或称为复杂程度的度量。由此这里定义信息系统“风险熵”为对信息系统面临风险的状态丰富程度的度量。
根据风险的产生来考虑，只有系统资产本身的脆弱性面临与之相对应的威胁时，才能构成风险。在这里考虑构建风险熵模型就是找资产脆弱性和威胁的对应关系。这种判断等同于已有风险评估方法里求风险值。即假设某资产为A1，它面临2个威胁，其威胁发生频率值分别为T1和T2，T1可以利用A1存在的2个脆弱性，分别为V1和V2；T2可以利用用A1存在的3个脆弱性，分别为V3、V4和V5，因此资产A1面临的风险值共有5个。
3.2.2 模型的定义与计算
根据上述的解释，构架信息系统“风险熵”数量化模型如下：
Hi＝clnΩi①
其中，Ωi＝f（Vi，Ti），（i=1，2，3…n）
Ωi为某信息资产的风险态个数，其数值由威胁与脆弱性决定；
C是一个比例常数；
Vi是信息资产存在的脆弱性个数；
Ti是信息资产面临的威胁个数。
3.2.3 模型的分析
客观地说，信息系统之间如果不发生信息的交流，传递，即它处于一种相对的静态时，它所面临的风险会低于信息在各个信息系统之间交流、传递时的状态，从极限角度分析此模型存在两个极限状态值。
H=0：信息系统处于相对静态，即各实体资产处于无用状态。
H=HMAX：信息系统处于相对动态，即各资产处在应用当中，同时信息系统处于裸保护。
为了方便对此模型的理解，现选取某公司信息系统的“物理环境”为要评估的资产，对其所面临的威胁及自身脆弱性识别列举如下图1：
威胁脆弱性 断电静电灰尘潮湿温度鼠疫虫害电磁干扰洪灾火灾地震雷击机房场地机房防火机房供配电机房防静电机房接地与防雷电磁防护通信线路的保护机房区域的防护机房设备图1 “物理环境”面临的威胁与自身脆弱性对应关系图
图1中连线表示左侧威胁与右侧脆弱性相对应的关系，可以看出“物理环境”的Ω＝f（V，T）＝14，H＝ClnΩ＝Cln14＝3C。因为C是比例常数，可以根据不同的信息系统需要确定数值，由此可计算出信息系统里每一个需要评估的信息资产的风险熵值。由熵的基本原理知道，信息系统内某资产熵值越大，即其所呈现“风险态”的丰富程度就越高，相比其它资产来说越危险，从做好信息系统安全管理的角度来看，可依据此模型求出的风险熵值高低有主次的采取相应保护措施降低信息系统内熵值高的资产，将资产的风险弱化，故而达到降低信息系统风险目的。
这种模型要求计算出需要判别的信息资产的风险熵值，而熵值计算的模型中需要识别列举所关注信息资产面临的威胁和自身脆弱性，而目前在信息安全管理研究进展中，威胁的穷举是个暂时还未解决的难题，导致该模型公式计算信息系统风险熵集中表现在对信息资产的主要风险态的丰富程度做到定量计算，不能穷尽资产的所有风险态，自然计算结果并非完全精确。所以只有对信息系统资产面临的威胁和自身脆弱性认识越全面详尽，其“风险熵”计算结果越能准确反映该资产“风险态”的丰富程度，继而为后续信息系统的安全管理提供更可靠依据。
3.3 基于“信息系统损失分析数量度量”的信息系统“风险熵”模型 与上述的信息系统“风险熵”模型的含义理解不同的是，以下建立的信息系统的“风险熵”模型是从另一角度研究的。即构建数量化模型力求计算出信息系统内实体资产与信息资产的熵值，旨在对信息系统遭遇风险的损失有个数量度量。
3.3.1 信息系统安全的考量因素
有文献［6］定义信息系统是指用于采集、处理、存储、传输、分布和部署信息的整个基础设施、组织结构、人员和组件的总和。其基本构成元素如下：计算机硬件、软件、网络、人员和信息流程。这些元素彼此合作，为组织的运营和管理提供有价值的信息，因此信息系统的安全性分析是基于上述元素以及其提供信息的综合分析。
从信息安全的属性来看，被学术界普遍认可的是信息安全金三角CIA的框架，而与CIA三元组相反的是DAD三元组的概念，即泄漏（Disclosure）、篡改（Alteration）和破坏（Destruction），实际上DAD就是信息安全面临的最普遍的3类风险，是信息安全实践活动最终应该解决的问题［7］。
文献［8］对信息系统安全的定义：信息系统安全是指确保信息系统结构安全、与信息系统相关的元素安全以及与此相关的各项安全技术、安全服务和安全管理的总和。由此分析信息系统的安全从以下两项内容考虑：（1）信息系统各实体资产安全；（2）信息系统所传递的信息安全。
3.3.2 模型的定义与计算
在有了前述对“熵”、信息系统安全相关考量因素的认识理解后，从计算信息系统遭遇风险损失后的数量表征结果出发，构建信息系统“风险熵”计算模型，以定期时间为检测单位，对信息系统安全所涉及的对象分别计算出“风险熵”值，用数量结果分析信息系统遭遇风险损失情况，为信息系统安全管理的后续研究提供某些数量化参考对象，提高信息系统安全管理工作效率。
在此模型中，一个相对完整的信息系统“风险熵”从构成来讲包括：信息系统实体资产风险熵：SA和信息系统信息风险熵：SR。同时定义信息系统资产风险熵是指对信息系统中信息实体资产发生风险导致安全损益的度量；信息系统风险熵是对信息系统中的信息遭遇的最普遍的3类风险的影响的度量。
其中SA、SR计算公式分别如下：
SA：信息系统实体资产风险熵
SA＝∑ni＝1dli／p②
dli：信息系统各信息资产的损益比，其中dli＝vi／ci，vi为信息系统实体资产的意义价值，ci为信息系统实体资产的实际购买价值。
P：信息系统中实体资产抵御风险最低防护能力等级。
对②式的含义理解如下：分子、分母分别代表广延量和强度量，即广延量与强度量之比得广义熵，由于广义熵具有势函数的品格，故可作为系统的判据。（广延量：整体的值是2个或2个以上部分值的和，如：长度 ；强度量：整体和部分相同，如：压强）。例如信息系统中实体资产“液晶显示器”的购买价格为1 000元，它的意义价值为200元（在信息系统的运作中，液晶显示器不能正常工作并不影响硬盘里的数据信息，故其意义价值低于出售价格），损益比dl1＝0.2，p的取值决定于信息系统实体资产中防护能力最弱的资产，即信息系统的防护能力由防护能力最弱的资产定。依据相对取值的原理：一个信息系统当中总有抵御风险能力最薄弱的实体资产，这个薄弱处资产的取值在本信息系统中量化取1，即②式中的P值为1。
SR：信息系统信息风险熵
SR＝∑ni＝1p（xi）log1p（xi）＝－∑ni＝1p（xi）logp（xi） （i＝1，2，3）③
③式中，令B（x1，x2，x3）为信息系统中信息可能遭遇的3类风险，其中xi为对应某类风险的相关信息，P（xi）是关于此类风险的相关信息的确知度，在实际信息系统计算应用时，P（xi）是信息在一定时间内发生上述3类风险的统计概率值，且P（xi）≤1。
3.3.3 模型的分析
如同前述熵理论中所说的，在热力学中，物理系统的熵在不可逆过程中随着时间的变化总是在单调递增的，除非有外界能量介入才会导致它的熵值减小。信息系统也是如此，随着各种实体资产的增加以及数据信息的不断产生、传递，信息系统实体资产风险熵和信息系统信息风险熵的熵值是逐步单调增加的，只有借助外界的防护措施，才有可能降低各熵值。
一旦信息系统发生风险势必造成损失，而即便最大程度的弥补信息系统的损失，从某种意义上讲也不能使其恢复如初，即发生风险导致损失决定了信息系统运行的不可逆。此模型求得的各熵值在量化表述信息系统风险损失程度的前提下也反映出信息系统运行过程不可逆性的大小，亦即可作为不可逆性的量度。但是正如“一枚硬币的两面性”一样，此种模型在其具有创新性意义的前提下也有些许不足，例如对信息系统实体资产意义价值的确定还有待精确化、客观化等。
4 结 语
由于信息系统所面临的安全问题的复杂性，多样性，不可预见性等特征，决定了对一个实际信息系统进行安全分析是一项艰巨的任务。本文是在对“熵”基本原理的理解上，从本着最大限度保护信息系统安全这一原则出发，从不同角度，不同侧重点出发构建本质意义不同的信息系统“风险熵”模型，这不仅是对信息安全风险评估增加定量分析的评估方法，也是对信息系统实体资产与数据信息在遭遇风险后损失的数量化度量，更是对“熵”这一概念广泛应用的又一跨越。但由于熵理论本身十分丰富和复杂，信息系统遭遇风险也有众多不可估量的因素，故上述两个信息系统“风险熵”模型也都分别存在一些未考虑完善的问题。需要在后续研究中，不断努力，理论上更好的诠释代表不同意义的信息系统“风险熵”熵值分析方法，解决模型存在的某些不足，实证上更好的验证不同信息系统“风险熵”的实用性，方便不同企业依据各自系统特点、业务需求等做好按需选取分析模型，以求有效，经济的做好信息系统安全管理。
参考文献
［1］贾世楼，等.信息论理论基础（第二版）［M］.哈尔滨：哈尔滨工业大学出版社，2004．
［2］傅祖芸.信息论――基础理论与应用［M］.北京：电子工业出版社，2001．
［3］朱耀铠.信息系统安全熵值分析方法研究［D］．国防科学技术大学，2008．
［4］何西培，何坤振.信息熵辨析与熵的泛化［J］.情报杂志,2006,(1):110-112．
［5］张学文.熵究竟是什么.熵与交叉学科［M］.北京：气象出版社，1988．
［6］全国信息安全标准化技术委员会，TC260 N0001，信息技术安全技术信息系统安全保障等级评估准则第一部分：简介和一般模型［S］．2004．
［7］戴宗坤,罗万伯，等.信息系统安全［M］.北京:电子工业出版社,2002．
【关键词】数字化 医院 信息管理系统 安全风险
伴随着信息化技术的飞速发展，数字化开始受到了人们的普遍关注，在越来越多的领域得到了应用。现阶段，医院普遍都建立起了相应的信息管理系统，并且其正逐渐由单纯的信息管理向其它业务延伸，在医院正常运转中发挥着越来越重要的作用。针对当前医院信息管理系统中存在的安全风险，管理人员应该制定切实可行的风险应对策略，保障系统的运行的安全性和可靠性。
一、医院信息管理系统的安全风险
医院信息管理系统是指在医院管理以及医疗活动中，进行信息管理和联机操作的计算机应用系统，同时也是覆盖医院所有业务以及业务所有流程的信息管理系统，能够利用计算机以及通讯设备，为医院各部门提供病人诊疗信息、行政管理信息等，实现信息的收集、存储、整理、提取以及交换，可以满足授权用户功能需求的平台。医院信息管理系统的安全直接影响着医院网络服务的质量，关系着医院的正常运转，其重要性不言而喻。
从目前来看，在医院信息管理系统中，存在着大量的安全风险，包括了硬件风险、软件风险、管理风险以及环境风险四个方面的内容，之所以会如此，一方面，医院管理人员并没有认识到信息管理系统安全的重要性，将目光更多的放在了系统的实用性而非安全性上，因此并没有投入相应的经费去进行系统安全防护模块的建设及维护，导致系统中存在着较大的缺陷和漏洞，给系统安全带来很大的隐患；另一方面，医院病没有制定与信息管理系统密切相关的制度和措施，导致在系统管理方面缺乏严谨性与可靠性，加上缺乏先进的技术支撑，在系统的安全维护方面相对薄弱，影响了系统的运行安全。
二、医院信息管理系统安全风险的应对策略
（一）提高系统安全意识
只有意识到了信息管理系统安全的重要性，树立起了相应的系统安全意识，才能够真正确保风险防范措施的有效落实。因此，对于医院而言，应该加强信息系统的安全教育，成立相应的安全领导小组，对任务进行分配和落实，确保其都能够认识到系统安全的重要性。同时，应该制定出切实可行的管理制度，对领导小组和管理团队的行为进行约束，确保其能够全身心地投入到各自的工作中去，强化责任意识。另外，医院财政管理部门应该设置专门的系统安全管理资金，对一些影响系统安全的薄弱环节进行统计，增大设备、技术以及管理方面的资金投入力度，避免由于设备缺陷、技术不足以及管理漏洞影响系统安全管理工作的成效。
（二）构筑风险评估机制
相关统计数据显示，在医院信息管理系统中，多数安全风险都可能会带来难以估量和弥补的损失，严重时甚至可能会间接导致病患的伤亡。而对安全风险进行分析，其多数都是由于没有能够及时发现和排除风险因素。对此，医院应该结合自身实际，构筑相应的风险评估与检测机制，及时做好系统检测工作，发现其中存在的不足和漏洞，寻找问题的解决策略。对于一些尚未表现出的问题，应该通过系统的日常维护管理，发现其潜在风险，做好必要的预防和规避措施，尽可能消除其对于医院的影响[2]。从机制的落实层面考虑，应该设置完整的安全检测计划，安排专门的计划执行人员，成立系统安全管理小组，确保其能够在医院各部门的配合下，对安全检测计划进行有效落实，确保各项工作的有序、规范进行。
（三）选择可靠硬件设备
硬件设备的质量在很大程度上关系着系统的运行安全，要想确保医院信息管理系统的安全运行，离开了高稳定、高可靠和高性能的硬件设备的支持是不可能的。对于医院而言，应该认识到这一点，不能为了缩减资金而使用一些缺乏保障的产品。对于一些关键性设备，如交换机等，不仅需要确保其可靠性，还必须设置备用，确保设备出现突发性故障时可以迅速替换，保障信息管理系统的正常运行。应该做好硬件设备的维护管理和检测工作，及时对一些老化的设备和部件进行更换，对设备内部的积尘进行清理，对设备运行的环境进行优化，确保硬件设备的稳定可靠运行。
（四）重视数据备份管理
数据备份在应对系统风险方面发挥着非常关键的作用，可以有效减少数据丢失对于医院运转造成的影响。当前，许多医院在数据备份上往往只能做到定期备份或者针对某个时点的备份，而无法做到实时备份，这样并不能有效规避风险。从目前的技术条件分析，数据库的实时备份包括了硬件同步和软件同步两种，可以在同一时刻将数据写在两个甚至多个不同的位置，从而避免了数据的损坏或者丢失。对于系统管理人员而言，应该对数据库备份策略做到心中有数，并在模拟机上进行数据恢复试验，以确保备份数据的有效性。
（五）完善网络防护措施
在当前数字化、网络化的环境下，医院信息管理系统面临着病毒、木马以及非法入侵的威胁，必须设置完善的网络防护系统。从目前来看，比较有效的防护措施，一是物理隔离，将医院信息管理系统运行的网络独立出来，切断病毒传播的途径；二是防毒软件，减少和预防病毒的传播与扩散；三是端口控制，防止设备非法接入网络，减少网络遭受攻击的机率。
三、结语
医院信息管理系统的安全关系着医院的信息安全，也关系着医院自身的运行安全，应该得到足够的重视，做好相应的风险评估和检测，及时发现系统中存在的安全风险和风险隐患，采取切实有效的预防和应对措施，对风险进行规避和处理，保障医院信息管理系统的安全可靠运行。
参考文献：
[1]陈宁，李成华，李晖，曾永杰.医院信息系统安全风险规避管理策略研究[J].电脑知识与技术，2015，（28）.
