一種信息安全評(píng)估方法在OA系統(tǒng)中的應(yīng)用

一種信息安全評(píng)估方法在OA系統(tǒng)中的應(yīng)用摘要:針對(duì)信息系統(tǒng)安全風(fēng)險(xiǎn)的特征，把模糊理論和灰色理論結(jié)合起來建立信息系統(tǒng)安全風(fēng)險(xiǎn)的灰色模糊綜合評(píng)估模型，應(yīng)用灰色模糊綜合評(píng)估模型評(píng)估某局的OA系統(tǒng)安全風(fēng)險(xiǎn)，并和OA系統(tǒng)應(yīng)用模糊綜合評(píng)判法的結(jié)果做了對(duì)比，驗(yàn)證了灰色模糊綜合評(píng)估方法的可行性。關(guān)鍵詞:信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估指標(biāo)體系模糊綜合評(píng)判灰色模糊綜合評(píng)判法21世紀(jì)是信息時(shí)代,信息已成為社會(huì)發(fā)展的重要戰(zhàn)略資源,信息技術(shù)改變著人們的生活和工作方式，信息的獲取、處理和信息安全保障能力成為綜合國(guó)力和經(jīng)濟(jì)競(jìng)爭(zhēng)力的重要組成部分，信息安全已成為影響國(guó)家安全、社會(huì)穩(wěn)定和經(jīng)濟(jì)發(fā)展的決定性因素?；ヂ?lián)網(wǎng)的盛行與企業(yè)信息管理系統(tǒng)的發(fā)展正在逐漸成為新的商業(yè)發(fā)展方向，伴隨而來的信息系統(tǒng)安全風(fēng)險(xiǎn)的問題，也同時(shí)成了高度重視的方面。有效的信息安全風(fēng)險(xiǎn)評(píng)估方法能準(zhǔn)確評(píng)估出信息系統(tǒng)風(fēng)險(xiǎn)，使組織采取相應(yīng)的有效措施對(duì)風(fēng)險(xiǎn)進(jìn)行控制，使機(jī)構(gòu)風(fēng)險(xiǎn)被降低到一個(gè)可被接受的水平。由于信息系統(tǒng)風(fēng)險(xiǎn)評(píng)估中存在許多模糊不確定性因素，信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估需要專家參與評(píng)判，因評(píng)判者的能力和偏好不同,使得風(fēng)險(xiǎn)評(píng)價(jià)信息帶有灰色性，以往的信息安全風(fēng)險(xiǎn)評(píng)估方法未同時(shí)考慮到系統(tǒng)風(fēng)險(xiǎn)的模糊性和灰色性，因此評(píng)估結(jié)果不夠準(zhǔn)確。本文將灰色系統(tǒng)理論中的灰色統(tǒng)計(jì)評(píng)估法、模糊綜合評(píng)判法、層次分析法,通過建立反映風(fēng)險(xiǎn)本質(zhì)的信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估體系,構(gòu)建信息系統(tǒng)安全風(fēng)險(xiǎn)的多級(jí)灰色模糊綜合評(píng)判模型，定性與定量結(jié)合評(píng)估信息系統(tǒng)安全風(fēng)險(xiǎn)，使評(píng)估結(jié)果更準(zhǔn)確。最后，利用所建立的灰色模糊綜合評(píng)估模型對(duì)某辦公自動(dòng)化系統(tǒng)進(jìn)行了評(píng)估驗(yàn)證，評(píng)估結(jié)果基本符合該辦公自動(dòng)化系統(tǒng)的實(shí)際狀況，證明所建立的模型優(yōu)于原有模型。1信息系統(tǒng)安全風(fēng)險(xiǎn)的灰色模糊綜合評(píng)估模型信息系統(tǒng)安全風(fēng)險(xiǎn)的灰色模糊綜合評(píng)估框架，如下所示:“信息安全風(fēng)險(xiǎn)因素識(shí)別與分析-分別構(gòu)建安全事件發(fā)生可能性和安全事件發(fā)生后影響的評(píng)估指標(biāo)體系一建立評(píng)估指標(biāo)集-確定評(píng)價(jià)指標(biāo)權(quán)重-劃分信息系統(tǒng)風(fēng)險(xiǎn)評(píng)價(jià)等級(jí)一評(píng)價(jià)樣本矩陣及評(píng)價(jià)灰類的確定-計(jì)算灰色評(píng)價(jià)系數(shù)-計(jì)算灰色評(píng)價(jià)權(quán)值及模糊權(quán)矩陣-計(jì)算模糊綜合評(píng)價(jià)結(jié)果”。2OA系統(tǒng)評(píng)估實(shí)例深圳市A局的OA系統(tǒng)是一個(gè)基于B/S架構(gòu)的辦公自動(dòng)化系統(tǒng),系統(tǒng)建設(shè)目標(biāo)是將傳統(tǒng)手工，紙面，封閉的運(yùn)作方式轉(zhuǎn)換成自動(dòng)、電子、開放的方式，提高行政管理及相關(guān)業(yè)務(wù)的工作質(zhì)量和效率，并為全面信息化建設(shè)做好準(zhǔn)備工作。深圳市A局的OA系統(tǒng)是一個(gè)基于B/S架構(gòu)的辦公自動(dòng)化系統(tǒng)，系統(tǒng)建設(shè)目標(biāo)是將傳統(tǒng)手工，紙面，封閉的運(yùn)作方式轉(zhuǎn)換成自動(dòng)、電子、開放的方式，提高行政管理及相關(guān)業(yè)務(wù)的工作質(zhì)量和效率，并為全面信息化建設(shè)做好準(zhǔn)備工作。該系統(tǒng)主要功能包括各部門協(xié)同辦公系統(tǒng)，主要功能包括非涉密電子公文交換、公文流轉(zhuǎn)、通知公告、資料交換、事務(wù)呈簽等日常辦公功能;綜合資料管理系統(tǒng)，實(shí)現(xiàn)文檔的一體化管理，各種類型的信息按分類和分級(jí)管理,提供完善的查詢檢索功能;若干輔助辦公系統(tǒng)，主要包括請(qǐng)示報(bào)告處理系統(tǒng)、簡(jiǎn)易發(fā)文系統(tǒng)、短信、電子郵件、局領(lǐng)導(dǎo)日程安排、個(gè)人日程安排等。OA系統(tǒng)的資產(chǎn)分為:硬件資產(chǎn)、軟件和數(shù)據(jù)資產(chǎn)，人力資源等。硬件資產(chǎn)主要有OA數(shù)據(jù)庫(kù)服務(wù)器、OA應(yīng)用服務(wù)器、文件服務(wù)器、路由器CISCO7206、CISCO4506交換機(jī)、NetScreenFW防火墻、CISCO6506交換機(jī)、QuidWayNE20路由器。軟件和數(shù)據(jù)資產(chǎn)主要包括:各種應(yīng)用軟件和OA相關(guān)的電子數(shù)據(jù),檔案資料等。物理環(huán)境是主要設(shè)備的機(jī)房。人力管理資源主要是網(wǎng)絡(luò)系統(tǒng)管理員。OA系統(tǒng)安全風(fēng)險(xiǎn)的灰色模糊綜合評(píng)估根據(jù)信息系統(tǒng)安全風(fēng)險(xiǎn)的灰色模糊綜合評(píng)估框架，運(yùn)用灰色模糊綜合評(píng)估方法,（由于計(jì)算過程復(fù)雜，具體過程在此忽略），綜合OA系統(tǒng)資產(chǎn)風(fēng)險(xiǎn)的分析結(jié)果,可以得到關(guān)于OA系統(tǒng)各項(xiàng)資產(chǎn)的風(fēng)險(xiǎn)