一种于层次分析法的大规模信息系统风险评估方法.pdfVIP

第３０卷第１０期　　　 计算机应用与软件 Ｖｏｌ３０Ｎｏ．１０ ２０１３年１０月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ｏｃｔ．２０１３ 一种基于层次分析法的大规模信息系统风险评估方法  李晨 　张晓梅　李　媛 （北京信息安全测评中心　北京 １００１０１） 摘　要　　大规模信息系统涉及到的资产种类多、数量多、分布范围广且网络结构复杂，在相关风险评估及等级测评实践中遇到了 效率低下、结果不全面、灵活性差等问题。提出一种基于层次分析法的大规模信息系统风险评估方法。该方法结合大规模信息系统 的特点，以层次分析法为基础，引入节点分类、风险调整等流程实现了定性与定量相结合的风险评估，有效解决了上述问题，为大规 模信息系统的风险评估及等级测评工作提供了方法，同时为提高大规模信息系统等级测评的结果判定的准确性提供了思路。 关键词　　大规模信息系统　风险评估　层次分析法　等级测评 中图分类号　ＴＰ３１９　　　　文献标识码　Ａ　　　　ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００３８６ｘ．２０１３．１０．０８７ ＡＬＡＲＧＥＳＣＡＬＥＩＮＦＯＲＭＡＴＩＯＮＳＹＳＴＥＭＳＥＣＵＲＩＴＹＲＩＳＫＡＳＳＥＳＳＭＥＮＴＭＥＴＨＯＤ ＢＡＳＥＤＯＮＡＮＡＬＹＴＩＣＨＩＥＲＡＲＣＨＹＰＲＯＣＥＳＳ  ＬｉＣｈｅｎｙａｎｇ　ＺｈａｎｇＸｉａｏｍｅｉ　ＬｉＹｕａｎ （ＢｅｉｊｉｎｇＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙＴｅｓｔａｎｄＥｖａｌｕａｔｉｏｎＣｅｎｔｅｒ，Ｂｅｉｊｉｎｇ１００１０１，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　Ｔｈｅｄｉｖｅｒｓｅｃａｔｅｇｏｒｙ，ｌａｒｇｅｑｕａｎｔｉｔｙａｎｄｗｉｄｅｄｉｓｔｒｉｂｕｔｉｏｎｏｆｔｈｅａｓｓｅｔｓａｒｅｗｈａｔｔｈｅｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍｉｎｖｏｌｖｅｄｉｎ， ｉｔｓｎｅｔｗｏｒｋｓｔｒｕｃｔｕｒｅｉｓｃｏｍｐｌｅｘａｓｗｅｌｌ，ｉｎｔｈｅｐｒａｃｔｉｃｅｏｆｒｅｌａｔｅｄｒｉｓｋａｓｓｅｓｓｍｅｎｔｓａｎｄｒａｎｋｅｖａｌｕａｔｉｏｎ，ｉｔｅｎｃｏｕｎｔｅｒｓｔｈｅｐｒｏｂｌｅｍｓｏｆｌｏｗ ｅｆｆｉｃｉｅｎｃｙ，ｉｎｃｏｍｐｒｅｈｅｎｓｉｖｅｒｅｓｕｌｔａｎｄｐｏｏｒｆｌｅｘｉｂｉｌｉｔｙ，ｅｔｃ．Ｉｎｔｈｉｓｐａｐｅｒ，ｗｅｐｒｅｓｅｎｔａｎＡＨＰｂａｓｅｄｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍｓｒｉｓｋ ａｓｓｅｓｓｍｅｎｔｍｅｔｈｏｄ．Ｗｉｔｈｔｈｅｃｈａｒａｃｔｅｒｉｓｔｉｃｓｏｆｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍｃｏｍｂｉｎｅｄ，ｔｈｉｓｍｅｔｈｏｄｔａｋｅｓａｎａｌｙｔｉｃｈｉｅｒａｒｃｈｙｐｒｏｃｅｓｓａｓｔｈｅ ｂａｓｉｓ，ａｎｄｉｎｔｒｏｄｕｃｅｓｔｈｅｐｒｏｃｅｓｓｅｓｉｎｃｌｕｄｉｎｇｎｏｄｅｃｌａｓｓｉｆｉｃａｔｉｏｎａｎｄｒｉｓｋａｄｊｕｓｔｍｅｎｔｔｏｈａｖｅｉｍｐｌｅｍｅｎｔｅｄｔｈｅｒｉｓｋａｓｓｅｓｓｍｅｎｔｗｉｔｈｑｕａｌｉｔａｔｉｖｅ ａｎｄｑｕａｎｔｉｔａｔｉｖｅｃｏｍｂｉｎａｔｉｏｎ．Ｔｈｅｍｅｔｈｏｄｅｆｆｅｃｔｉｖｅｌｙｒｅｓｏｌｖｅｓｔｈｅｐｒｏｂｌｅｍｓｌｉｓｔｅｄａｂｏｖｅａｎｄｐｒｏｖｉｄｅｓａｎａｐｐｒｏａｃｈｆｏｒｒｉｓｋａｓｓｅｓｓｍｅｎｔｓａｎｄ ｒａｎｋｅｖａｌｕａｔｉｏｎｏｆｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍ．Ｍｅａｎｗｈｉｌｅｉｔａｌｓｏｐｒｏｖｉｄｅｓａｔｈｏｕｇｈｔｆｏｒｉｍｐｒｏｖｉｎｇｔｈｅａｃｃｕｒａｃｙｏｆｔｈｅｒｅｓｕｌｔｓｊｕｄｇｅｍｅｎｔｏｎ ｔｈｅｒａｎｋｅｖａｌｕａｔｉｏｎｏｆｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍ． Ｋｅｙｗｏｒｄｓ　　Ｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍ　Ｒｉｓｋａｓｓｅｓｓｍｅｎｔ　Ａｎａｌｙｔｉｃｈｉｅｒａｒｃｈｙｐｒｏｃｅｓｓ（ＡＨＰ