基于TOPSIS的信息安全风险评估应用研究.pdfVIP

■名家观察 ■现代管理科学 ■2014 年第 2 期 基于TOPSIS的信息安全风险评估应用研究 ●杨姗媛 朱建明 摘要 信息安全风险评估是一个多属性群决策问题，文章针对目前信息系统安全风险评估中风险值难以量化、主观因 ： 素影响大的问题，提出了一种基于TOPSIS的多属性群决策方法。该方法决策者权重采用成对比较判断获得，各评估指标 的权重采用熵权法求解，最后用TOPSIS对信息安全风险评估进行排序。实例分析表明，该方法合理有效，可为信息系统安 全风险评估提供新思路，且该方法较适合指导安全工程实践与评估软件系统的开发。 关键词：多属性群决策；熵权法；TOPSIS；信息安全；风险评估 一 、 引言 的威胁 进行评估以及 确 定 威胁利 用 脆弱 性 导致 安全事 件 从 20 世纪 90 年代后期起 ，我国信息化建设得到飞速 的可能性 ，并 结合相应安全事 件所涉 及的 资产价值来 判 定 发展 ，金融 、电力 、能源 、交通等各种网络及信息系统成为 当安全事件 发 生 时对组织会 造 成的 影响 。 文献 中提出 了一 了国家非常重要的基础设施 。 随着信息化应用的逐渐深 种 改进的风险分析 流程及 原 理 ，该模型对风险分 析基本 流 入 ，越来越多领域的业务实施依赖于网络及 相应信息系统 程的属性进行了 细分 ，如图 1 所示 。 的稳定而可靠的运行 ，因此 ，有效保障国家重要信息系统 根 据 上 述 原 理 ， 总 结 出信息安全 风 险 评 估 的 基 本 步 的安全 ，加强信息安全风险管 理成为国家政治稳定 、社会 骤 ，可以 描 述 如下 ： （1）首先调查组织 的相关业务 ，分析 识 安定 、经济有序运行的全局性问题 。 别出组织需 要保 护 的重要资产 ，以及资产本身 存在 的脆弱 信息安全风险评估方法 主要分为定性评估方法 、定量 性 、面 临 的威胁 ，形 成风险 集 。 （2 ）组织 各领域专家对风险 评估方法和定性与 定量相结合的评估方法三 大类 。 定性评 集 中各属性进行评估并赋 权 值 ， 得 到 每个 风险的属性值 。 估方法的优点是使评估 的结论更全面 、深刻 ；缺点是主观 （3 ）通过 一 定的 算 法对 所 有属性进行综合分析 ，得 到 最 后 性很强 ，对评估者本身的要求高 。 典型的定性评估方法有 ： 的结果 ，进 一步推算出组织 面 临 的风险值 。 因素分析法 、逻辑分析法 、历史比较法 、德尔斐法等 。 定量 2. 多属性群决策理论 。 多属性群决策 ，是指决策主 体 的评估方法是运用相应的数量指标来对风险进行评估 。 其 是群 体 的多属性决策 。 多属性决策是 利 用 已有的 决 策信 优点是用直观数据来表 述评估结果 ，非常清晰 ，缺点是量 息 ，通过 一 定的方 式 对 一组 （这 一组 是有 限个 ）备择 方 案 进 化过程中容易将本来复杂的事物简单化 。 典型的定量分析 行 排 序 并选择 ， 群决策是多 个 决策者 根 据 自己的专 业水 方法有 ：聚类分析法 、时序模型 、回归模型等。 定性与定量 平 、知 识 面 、经 验 和综合能力等对方 案 的重要性程度 进行 相结合的评估方法就是将定性分析方法和定 量分析方法 评 价 。 在 多属性群决策过程中 ，需 要事 先确 定各专家权重 这两种方法有机结合起来 ，做到彼此之间扬长避短 ，使评 和属性权重 ，再 通过 不同集 结 算 法 计算 各方 案 的综合属性 估结果更加客观 公正 值 从 而对方案进行评 价或择优 、 。 ， 。 本文针对风险评估主观 性强 ，要素众多 ，各因素 较