信息安全管理有效性的测量研究.pdfVIP

第29 期 情 报 杂 志 V0lI．29 No．1 2010 1 年 月 JOURNALOFINTELLIGENCE Jan． 2010 信息安全管理有效性的测量研究* ResearchofMeasuringInformationSecurityManagementEffectiveness 朱英菊 刘红丽 陈长松2 (1．华东理工大学商学院 上海 200237；2．上海三零卫士信息安全有限公司 上海 200232) 摘 要 对信息安全管理的有效性进行测量有助于企业了解信息安全管理的状况，从而发现管理中的不足之处，实 现对信息安全和信息安全管理体系的持续改进。研究了信息安全管理有效性的测量方法和测量实施过程。重点阐 述了信息安全管理有效性测量指标体系的构建和指标值的量化方法。并以某企业为例 ，对其信息安全管理有效性 情况进行了测量。 关键词 信息安全管理 层次分析法 测量 指标体系 中图分类号 TP309 文献标识码 A 文章编号 1002—1965(2010)01—0073—04 随着整个社会信息化程度的不断提高 ，信息系统 对信息安全管理的有效性进行测量有助于了解信 在企业中得到了真正广泛的应用，信息安全所导致的 息安全管理过程中所采取的控制措施的有效性以及控 问题也 日益突出且受到越来越多的重视。在解决信息 制措施的执行情况，为管理者的决策提供依据，达到更 安全问题上，人们从最初偏重于安全技术的开发和利 好地管理信息安全的最终 目的。 用，到逐渐重视信息安全的管理工作。管理学有一个 1 信息安全管理有效性测量指标体系构建 广泛接受的原则：不能被测量的行为是不能被管理的。 随着管理者对信息安全管理越来越重视 ，越来越多的 国际标准 ISO／IEC27002[1J是国际上流行的进行 信息安全管理者提出了对信息安全管理测量的需求， 信息安全管理所参照的标准，目前，全球有超过 10万 比如 “企业信息安全管理过程的有效性如何，相对于往 多家组织基于此标准来实施信息安全管理，它是 目前 年企业的信息安全管理状况今年有没有好转，和竞争 全球最权威和最科学的信息安全管理标准之一。标准 者对比，信息安全管理状况如何呢?” 从信息安全方针、信息安全组织、资产管理等 11个方 目前在信息安全领域的测量研究中大多偏向于对 面，提出了133个控制措施供使用者在信息安全管理 技术产品、系统性能等方面的测量，信息安全风险评 过程中选择适当的控制措施来加强信息安全管理，提 估、信息安全审计等各种主要手段也还不能回答好上 供的控制措施基本能覆盖信息安全管理的各个方面。 述问题。信息安全风险评估可以通过对资产、风险、脆 在建立信息安全管理有效性测量指标体系中，本 弱性的调查、分析和评价，得出信息安全控制是否能够 文参考美国国家标准技术研究院NIS~2]对控制措施 保障信息系统安全的结论，但它并不能对信息安全管 的分类方法，将子 目标层分为管理控制、运行控制和技 理的有效性以及信息安全管理中采取的控制措施的有 术控制三类。指标层以选取有代表性、易测量和可重 效性做出评价 ，另外风险评估 的过程和结果往往较为 复测量指标的原则，以 ISO／IEC27002的控制措施的 主观 ；信息安全审计只是对信息安全相关行为和活动 实施情况作为指标 ，建立预选指标集，通过对预选指标 提供证据，强调的是信息安全控制的符合性。却不能对 集的分