信息安全保障度量及綜合評(píng)價(jià)研究.pdf

1、隨著科學(xué)技術(shù)的迅猛發(fā)展和信息技術(shù)的廣泛應(yīng)用，國家和社會(huì)對(duì)信息化的依賴度越來越大，信息安全已成為國家安全的重要組成部分。然而由于不斷增長(zhǎng)的復(fù)雜性和不安全部件及網(wǎng)絡(luò)間的互連，信息系統(tǒng)越來越容易受到傷害，即使一些適當(dāng)?shù)陌踩椒ū话l(fā)現(xiàn)，其產(chǎn)生的安全水平也不為人所知。因而如何度量信息系統(tǒng)的安全保障水平也就受到了越來越多的關(guān)注。信息保障度量作為一個(gè)研究領(lǐng)域就提供這樣的功能。據(jù)相關(guān)部門的調(diào)查資料，美國和俄羅斯等國家正在研究信息安全保障的綜合評(píng)價(jià)，我國

2、也設(shè)立了相應(yīng)的課題進(jìn)行研究，和國外處于一個(gè)同步研究階段。本文的主要研究目的就是基于IA度量分類，建立一個(gè)信息安全保障綜合評(píng)價(jià)指標(biāo)體系。 論文首先從信息安全的概念入手，將信息安全分為三層模型：信息系統(tǒng)、信息、信息內(nèi)容(信息內(nèi)容，本論文不作深入研究)的安全，不同層次的安全屬性作用點(diǎn)不一。由此確定了論文研究的基本點(diǎn)：從信息、信息系統(tǒng)入手研究其保密性、完整性、可用性、真實(shí)性和不可抵賴性及抗毀性、生存性和有效性的保障。 通過回顧和

3、總結(jié)，論文對(duì)現(xiàn)有信息安全測(cè)評(píng)標(biāo)準(zhǔn)和方法進(jìn)行了比較分析，同時(shí)對(duì)信息安全測(cè)度進(jìn)行了論述。盡管現(xiàn)階段的標(biāo)準(zhǔn)和方法各有優(yōu)缺點(diǎn)和局限性，而且沒有統(tǒng)一的形式化的測(cè)度理論和安全測(cè)度方法，不可否認(rèn)的是，這些標(biāo)準(zhǔn)、方法和具體實(shí)踐為建立信息安全保障綜合評(píng)價(jià)體系奠定了理論和技術(shù)基礎(chǔ)，為其研究提供了較為完備的概念架構(gòu)。 在IA度量體系中，最首要的工作是分類。它提供了對(duì)IA度量的邏輯分組，并指明了這些分組間的關(guān)系。本文認(rèn)為信息安全保障是一個(gè)多維系統(tǒng)，并依

4、據(jù)國內(nèi)目前的現(xiàn)實(shí)情況，提出了以技術(shù)、管理、戰(zhàn)略為三要素的信息保障度量分類模型。在此基礎(chǔ)上，構(gòu)建了多目標(biāo)的信息安全保障綜合評(píng)價(jià)指標(biāo)體系，即從技術(shù)、管理、戰(zhàn)略入手，考察信息、信息系統(tǒng)的靜態(tài)安全保障措施、動(dòng)態(tài)安全保障能力和安全保障效果。其中靜態(tài)措施評(píng)價(jià)主要從要素維：技術(shù)、管理、戰(zhàn)略三方面考察；動(dòng)態(tài)過程評(píng)價(jià)主要從能力維：預(yù)警、保護(hù)、檢測(cè)、響應(yīng)、恢復(fù)等六個(gè)環(huán)節(jié)來考察。狀態(tài)效果評(píng)價(jià)包括從安全屬性維來考察、同時(shí)包括信息安全保障建設(shè)的效益評(píng)價(jià)。最終，通

5、過評(píng)價(jià)指標(biāo)體系反映信息安全保障的整體態(tài)勢(shì)、反映安全與發(fā)展的關(guān)系、安全與效益的關(guān)系。同時(shí)論文對(duì)評(píng)價(jià)指標(biāo)體系建立了一個(gè)評(píng)價(jià)模型，對(duì)其進(jìn)行了形式化描述，并提出了基于目標(biāo)驅(qū)動(dòng)的指標(biāo)體系細(xì)化方法，對(duì)下一級(jí)，子指標(biāo)進(jìn)行了深入分析和詳細(xì)闡述。 對(duì)于在綜合評(píng)價(jià)而言，綜合評(píng)價(jià)方法是極其重要的。結(jié)合信息安全保障評(píng)價(jià)的不確定性和模糊性，本文給出了信息安全保障AHP-FUZZY綜合評(píng)價(jià)方法，并結(jié)合工程實(shí)例進(jìn)行了驗(yàn)算。在指標(biāo)的度量基準(zhǔn)問題上，論文引入了基

6、線評(píng)價(jià)理論。信息系統(tǒng)的安全基線是一個(gè)信息系統(tǒng)的最小安全保證，在組織內(nèi)確定不同的安全基線以對(duì)應(yīng)不同的安全等級(jí)，可以使組織得到充分的保護(hù)，并降低組織的費(fèi)用。對(duì)此，論文提出了一個(gè)安全基線構(gòu)建模型，并在進(jìn)行具體的指標(biāo)實(shí)踐中，提出了一套具體的綜合評(píng)價(jià)流程。 隨著人們對(duì)信息技術(shù)依賴性的增強(qiáng)，可以預(yù)見，IA度量將會(huì)受到愈來愈多的關(guān)注。本文研究了如何建立信息安全保障綜合評(píng)價(jià)指標(biāo)體系，按照一定的分析框架、評(píng)價(jià)標(biāo)準(zhǔn)和方法論，為定量化分析和測(cè)定信息安