基于模糊评估的等级保护风险评估模型.pdf

2013年2月计算机工程与设计Feb．2013
第34卷第2期COMPUTERENGINEERINGANDDESIGNV0I．34No．2

基于模糊评估的等级保护风险评估模型

刘一丹，董碧丹，崔中杰，李永立

(1．中国航天工程咨询中心，北京100037；2．哈尔滨工业大学管理学院，黑龙江哈尔滨150001)
摘要：针对信息系统风险评估中模糊性、不确定性的问题，提出了一种基于模糊评估的等级保护风险评估模型。依据等
级保护标准，建立起层次化评估体系，规范风险因素的选取。同时，考虑到评估值可能出现模糊值、残缺值等情况，重新
定义了模糊评语集合，使模型能够应对更复杂的风险评估问题。在此基础上，引入基于证据理论的模糊评估方法对各风险
因素进行合成，减小不确定性并量化评估结果。通过实例表明该模型的有效性和广泛的应用价值。
关键词：风险评估模型；模糊评估；等级保护；层次化评估体系；证据理论
中图法分类号：TP309文献标识号：A文章编号：1000—7024(2013)02—0452—06

Riskassessmentmodelofclassifiedprotectionbasedonfuzzyevaluation

LIUYi—dan，DONGBi—dan，CUIZhong-jie，LIYong-li’
(1．ChinaAerospaceEngineeringConsultationCenter，Bering100037，China；
2．SchoolofManagement，HarbinInstituteofTechnology，Harbin150001，China)

Abstract：AriskassessmentmodelofclassifiedprotectionbasedonfuzzyevaluationisputforwardtOobjectivelyrepresentfuzzinessand
uncertaintyintheinformationsystemriskassessment．Firstly，accordingtoclassifiedprotection，thehierarchicalevaluationsystem

isproposedtonormalizetheselectionofriskfactors．Secondly，consideringthatthecommentfromexpertsmightbeuncertainor

incomplete．thefuzzycommentsetiSdefinedSOthattheassessmentmodelcandealwithmorecomplexsituation．Moreover，the

fuzzyevaluationmethodbasedonevidencetheoryisintroducedtOreducetheuncertaintyandquantifytheresultoftheassess—

ment．Finally，acasestudyisgivenandtheresultshowsthatthemodeliseffectiveandiswidelyused．

Keywords：riskassesssmentmodel；fuzzyevaluation；classifiedprotection；hierarchicalevaluationsystem；evidencetheory

糊综合评价法(FCE)，建立风险评估的量化模式_3；
0引言
Huang等以灰色评估模型为基础，在权重的选择过程中引
信息系统风险评估是信息系统安全工程的重要组成部入模糊层次分析法，弱化了评价的主观性[4；Gao等人应
分，是建立信息系统安全体系的基础和前提_1]。信息安全用灰色关联决策算法，给出了评估值缺失的先验估计，能
风险评估规范_2]中明确了信息系统风险评估的基本工作形够有效地处理参数评估值的不确定性问题[5；Huang等人
式是自评估与检查评估。根据国家有关管理规定，基础性、利用不确定推理技术推导由脆弱性可能引发的系统安全事
重要的信息系统采用等级保护标准进行防护和测评。信息件并计算损失大小和风险值_6]。
系统使用单位应结合自身情况，依照国家标准，开展风险证据理论作为对贝叶斯概率方法的推广，是一种重要
评估工作。的不确定性推理方法，能够较好地解决目标问题中的模糊
目前，信息系统的复杂性和动态性给风险评估带来了性和不确定性_7。已有的相关工作存在以下问题：一方
很大困难，评估工作多是由专家根据定性的评价指标进行面，没有规范的评估体系和恰当的评价准则；另一方面，
评估。因此，最终的评估结果易受主观因素的影响，具有缺少对评估中模糊值的处理。