祝詠升
摘 要:論文提出的信息系統(tǒng)等級(jí)保護(hù)量化定級(jí)方案是在國家標(biāo)準(zhǔn)GB 17859-1999和GB/T 22240-2008指導(dǎo)下,參考其它行業(yè)信息系統(tǒng)等級(jí)保護(hù)定級(jí)方法,利用多目標(biāo)決策理論,旨在提出一種易操作、客觀的信息系統(tǒng)量化定級(jí)模型,用于指導(dǎo)各行業(yè)信息系統(tǒng)等級(jí)保護(hù)定級(jí)和信息安全管理體系建設(shè)工作的有序開展。
關(guān)鍵詞:等級(jí)保護(hù);信息安全;量化定級(jí)
中圖分類號(hào):TN915.08 文獻(xiàn)標(biāo)識(shí)碼:A
1 引言
信息系統(tǒng)定級(jí)工作是等級(jí)保護(hù)評(píng)估的關(guān)鍵環(huán)節(jié),是開展等級(jí)保護(hù)后續(xù)安全建設(shè)、等級(jí)測(cè)評(píng)等工作的前提條件。通過定級(jí)可以全面梳理本行業(yè)或本單位的信息系統(tǒng)類型、重要程度和數(shù)量,宏觀掌握系統(tǒng)的運(yùn)行現(xiàn)狀以及面臨的安全風(fēng)險(xiǎn)和威脅,從而采取有針對(duì)的措施對(duì)系統(tǒng)進(jìn)行重點(diǎn)安全防護(hù)。然而,國家現(xiàn)行的標(biāo)準(zhǔn)體系中對(duì)信息系統(tǒng)定級(jí)只給出了宏觀框架,且主觀因素居多,因此系統(tǒng)定級(jí)結(jié)果會(huì)出現(xiàn)較大偏離,亟需對(duì)系統(tǒng)定級(jí)評(píng)估指標(biāo)進(jìn)一步細(xì)化,使用一種操作性強(qiáng),更科學(xué)準(zhǔn)確的定量定級(jí)方法。
2 可量化的信息系統(tǒng)定級(jí)模型總體框架
按照國家標(biāo)準(zhǔn)GB/T 22240-2008規(guī)定,信息系統(tǒng)等級(jí)保護(hù)定級(jí)主要考慮兩個(gè)方面:系統(tǒng)中所存儲(chǔ)、處理、傳輸?shù)闹饕畔⒑拖到y(tǒng)所提供的主要服務(wù),即業(yè)務(wù)信息安全定級(jí)要素和系統(tǒng)服務(wù)定級(jí)要素。
業(yè)務(wù)信息安全定級(jí)要素:反映信息系統(tǒng)的業(yè)務(wù)信息安全,確保信息系統(tǒng)內(nèi)信息的機(jī)密性、完整性和可用性。定級(jí)主要考慮的要素包括機(jī)密性、完整性、可用性、系統(tǒng)所屬類型和業(yè)務(wù)信息屬性,根據(jù)業(yè)務(wù)信息安全被破壞時(shí)所侵害的業(yè)務(wù)信息類型以及對(duì)相應(yīng)系統(tǒng)的侵害程度來確定。
系統(tǒng)服務(wù)安全定級(jí)要素:反映信息系統(tǒng)的業(yè)務(wù)服務(wù)保證性的程度,即系統(tǒng)提供業(yè)務(wù)連續(xù)性的程度。定級(jí)主要考慮的要素包括社會(huì)影響力、系統(tǒng)服務(wù)規(guī)模與服務(wù)范圍和所提供服務(wù)的重要性與業(yè)務(wù)依賴程度,根據(jù)系統(tǒng)服務(wù)安全被破壞時(shí)所侵害的系統(tǒng)服務(wù)范圍以及對(duì)相應(yīng)系統(tǒng)的侵害程度來確定。
考慮上述定級(jí)因素,采用自下而上、逐步歸約的定級(jí)方式,信息系統(tǒng)等級(jí)保護(hù)量化定級(jí)模型總體框架描述如圖1所示。
3 信息系統(tǒng)定級(jí)指標(biāo)量化標(biāo)準(zhǔn)
參照《定級(jí)指南》有關(guān)評(píng)估指標(biāo),結(jié)合工作實(shí)際,可以將信息系統(tǒng)等級(jí)保護(hù)定級(jí)指標(biāo)量化指標(biāo)歸納為幾個(gè)方面,如表1至表8所述。
4 信息系統(tǒng)等級(jí)保護(hù)定級(jí)量化模型的設(shè)計(jì)
根據(jù)上述指標(biāo)體系建立模糊評(píng)判關(guān)系矩陣。設(shè)集合U=(U1,U2,…,Un)為信息系統(tǒng)等級(jí)保護(hù)定級(jí)量化模型的因素集合,集合V=(V1,V2,…,Vn)為信息系統(tǒng)等級(jí)保護(hù)定級(jí)量化模型的目標(biāo)集合。則在該定級(jí)模型中,U=(U1,U2),其中,U1為業(yè)務(wù)信息安全性等級(jí),U2為系統(tǒng)服務(wù)安全性等級(jí);V=(V1,V2,V3,V4,V5),其中,V1為第1級(jí)保護(hù),V2為第2級(jí)保護(hù),V3為第3級(jí)保護(hù),V4為第4級(jí)保護(hù), V5為第5級(jí)保護(hù)。
因素Ui又由下面的因素決定:
;
。
在上述描述的信息系統(tǒng)定級(jí)要素中,各個(gè)單因素在總體目標(biāo)的作用范圍會(huì)表現(xiàn)出各自的作用。假設(shè)某系統(tǒng)的定級(jí)因素U11,U12,U13,U14,U15的取值分別為X11,X12,X13,X14,X15;U21,U22,U23的取值分別為X21,X22,X23。其中,Xij∈(V1,V2,V3,V4,V5)。僅就其中某一因素而言,能否根據(jù)其對(duì)應(yīng)的數(shù)據(jù)Xij來判斷該因素屬于V1,V2,V3,V4,V5中的哪一級(jí)?若主觀地確定某一因素uij為j時(shí),表明它對(duì)目標(biāo)vj的隸屬程度高于其它目標(biāo)。因此,如何確定一個(gè)因素對(duì)等級(jí)目標(biāo)的隸屬程度,是信息系統(tǒng)安全定級(jí)的關(guān)鍵。
該定級(jí)模型中,采用模糊數(shù)學(xué)中模糊化算子的方法來確定定級(jí)因素在各個(gè)等級(jí)目標(biāo)上的隸屬程度,即建立合理的隸屬函數(shù) 。隸屬函數(shù)具有如下特性:(1)當(dāng)xi=j時(shí),uRij(xi)=1;(2)當(dāng)xi遠(yuǎn)離j時(shí),隸屬函數(shù)值uRij(xi)變?。唬?)隸屬函數(shù)uRij(xi)相對(duì)于xi=j是對(duì)稱的。隸屬函數(shù)構(gòu)造是否合理很關(guān)鍵,這就需要通過多次驗(yàn)證并結(jié)合主觀經(jīng)驗(yàn)才能構(gòu)造出比較合理的隸屬函數(shù)。因此,我們?cè)陔`屬函數(shù)中加入調(diào)整因子σ,則隸屬函數(shù)描述如下:
為增強(qiáng)評(píng)估的準(zhǔn)確性,將隸屬貼近程度劃分為1至9共9級(jí),并將相鄰j級(jí)的目標(biāo)取值依次為0.1-0.9,以此確定調(diào)整因子 的數(shù)值。根據(jù)隸屬函數(shù)公式,可信程度和隸屬貼近程度取值分布規(guī)律,可得出調(diào)整因子σ 對(duì)應(yīng)隸屬貼近程度分別為(0.659,0.7882,0.9114,1.0447,1.2011,1.3991,1.6744,2.1170,3.0801)。
各單項(xiàng)指標(biāo)根據(jù)系統(tǒng)類型分別進(jìn)行評(píng)判,以確定隸屬等級(jí)。在確定隸屬等級(jí)的過程中,為減少主觀因素對(duì)系統(tǒng)等級(jí)的影響,引入隸屬貼近程度的概念。隸屬貼近程度是指評(píng)判要素隸屬于隸屬等級(jí)的確信程度,包括向上貼近程度和向下貼近程度,分別用1至9數(shù)字表示,1表示貼近程度最小,9級(jí)表示貼近程度最大。向上隸屬貼近程度是指隸屬等級(jí)的上一個(gè)等級(jí),向下隸屬貼近程度是指隸屬等級(jí)的下一個(gè)等級(jí),如果隸屬等級(jí)為5,則不存在向上隸屬貼近程度;如果隸屬等級(jí)為1,則不存在向下隸屬貼近程度。
針對(duì)各單項(xiàng)指標(biāo)和評(píng)估系統(tǒng)確定隸屬等級(jí)、向上隸屬貼近程度和向下隸屬貼近程度,根據(jù)這三個(gè)值確定該指標(biāo)的行向量。如某系統(tǒng)的機(jī)密性進(jìn)行評(píng)估的隸屬等級(jí)為2,向下隸屬貼近程度為2,向上隸屬貼近程度為5,則機(jī)密性隸屬行向量為(0.2, 1, 0.5, 0.0625, 0.002)。針對(duì)業(yè)務(wù)信息安全的5個(gè)定級(jí)指標(biāo)進(jìn)行評(píng)估,最終形成合理的隸屬矩陣; ,為了避免該隸屬矩陣各行元素之和差異較大的問題,需要再進(jìn)一步歸一化處理。假設(shè):
,則歸一化矩陣可描述為:
5 信息系統(tǒng)等級(jí)確定
在量化定級(jí)中,各個(gè)定級(jí)因素的作用并不相同,相互區(qū)別又相互關(guān)聯(lián),因此其權(quán)重有高低之分。權(quán)重的確定是由各個(gè)專家結(jié)合系統(tǒng)實(shí)際最終確定,對(duì)于不同專家給定的權(quán)重值,需采用求和平均的方法確定系統(tǒng)各定級(jí)因素的權(quán)重值。假設(shè)某系統(tǒng)業(yè)務(wù)信息安全的歸一化矩陣為:
權(quán)重矩陣為:
業(yè)務(wù)信息安全等級(jí)矩陣為:
業(yè)務(wù)信息安全等級(jí)為:
`
同理,系統(tǒng)服務(wù)安全等級(jí)為:
則,系統(tǒng)安全等級(jí)。
6 結(jié)束語
我國信息系統(tǒng)等級(jí)保護(hù)定級(jí)工作開展過程中,定級(jí)量化模型算法和支撐軟件缺乏可量化的定級(jí)指標(biāo)及科學(xué)方法,給開展等級(jí)保護(hù)的實(shí)施工作設(shè)置了重大障礙。本文根據(jù)系統(tǒng)定級(jí)指標(biāo)體系建立模糊評(píng)判關(guān)系矩陣,采用模糊化算子的方法確定系統(tǒng)等級(jí)隸屬程度,通過規(guī)約化處理確定系統(tǒng)最終安全等級(jí),該量化定級(jí)模型是在《定級(jí)指南》所提的等級(jí)計(jì)算模型中引入更客觀合理的判定因子,從而增強(qiáng)了信息系統(tǒng)定級(jí)工作的可操作性,為開展等級(jí)保護(hù)定級(jí)工作提供了科學(xué)方法。
參考文獻(xiàn)
[1] 張建軍,喬宇.信息系統(tǒng)安全等級(jí)保護(hù)的一種量化定級(jí)方法[R].信息網(wǎng)絡(luò)安全,2007年11期:21-23.
[2] 周煥盛,等.一個(gè)多維信息安全指標(biāo)體系及等級(jí)保護(hù)量化模型[R].中國科學(xué)技術(shù)大學(xué)學(xué)報(bào),2012,42(1).
[3] 《計(jì)算機(jī)信息系統(tǒng)安全保護(hù)等級(jí)劃分準(zhǔn)則》GB 17859-1999.
[4] 《信息安全技術(shù)信息系統(tǒng)安全等級(jí)保護(hù)定級(jí)指南》GB/T 22240-2008.