基于電力系統(tǒng)的信息安全風(fēng)險(xiǎn)評(píng)估機(jī)制探析

孫毓鴻

（北京送變電有限公司，北京 102401）

0 引言

當(dāng)前，電力行業(yè)在生產(chǎn)和操作環(huán)節(jié)中會(huì)產(chǎn)生大量的數(shù)據(jù)，電力系統(tǒng)是我國(guó)重要的基礎(chǔ)性工程，在建設(shè)環(huán)節(jié)中常面臨著各類威脅。電力系統(tǒng)信息安全建設(shè)標(biāo)準(zhǔn)還不夠成熟。電力系統(tǒng)的信息安全風(fēng)險(xiǎn)的評(píng)估機(jī)制還沒有完全的建立，在對(duì)風(fēng)險(xiǎn)的評(píng)估環(huán)節(jié)中，其精確度有待于進(jìn)一步完善[1]。

1 信息安全風(fēng)險(xiǎn)評(píng)估現(xiàn)狀分析

信息安全風(fēng)險(xiǎn)評(píng)估是在相關(guān)信息技術(shù)應(yīng)用基礎(chǔ)上，完善對(duì)信息的處理、傳輸和儲(chǔ)存，實(shí)現(xiàn)信息的加密處理。資產(chǎn)評(píng)估常常會(huì)受到安全威脅，要對(duì)安全事故涉及的內(nèi)容進(jìn)行分析，對(duì)資產(chǎn)價(jià)值進(jìn)行合理判斷，分析安全事件對(duì)整個(gè)組織產(chǎn)生的影響。

在對(duì)信息系統(tǒng)進(jìn)行安全風(fēng)險(xiǎn)評(píng)估的環(huán)節(jié)中，要完善系統(tǒng)風(fēng)險(xiǎn)的評(píng)估。在進(jìn)行風(fēng)險(xiǎn)分析中，主要是結(jié)合資產(chǎn)、產(chǎn)生的主要威脅和安全策略進(jìn)行。風(fēng)險(xiǎn)分析中要結(jié)合風(fēng)險(xiǎn)的屬性和資產(chǎn)的性質(zhì)進(jìn)行。威脅分析是對(duì)威脅的對(duì)象進(jìn)行分析，資產(chǎn)的屬性主要包括資產(chǎn)的價(jià)值。脆弱性的屬性結(jié)合資產(chǎn)保護(hù)中產(chǎn)生的盲區(qū)，和資產(chǎn)破壞的嚴(yán)重程度[2-3]。

在進(jìn)行信息安全評(píng)估中，國(guó)際上也做出了相關(guān)的標(biāo)準(zhǔn)，美國(guó)計(jì)算機(jī)系統(tǒng)評(píng)價(jià)準(zhǔn)則中將計(jì)算機(jī)安全等級(jí)劃分成四個(gè)，結(jié)合了完整性和保密性。我國(guó)信息安全風(fēng)險(xiǎn)評(píng)估出臺(tái)比較晚，但是近年來(lái)我國(guó)對(duì)這項(xiàng)內(nèi)容非常重視，現(xiàn)在已經(jīng)出臺(tái)了很多規(guī)范，相關(guān)的評(píng)價(jià)機(jī)制也越來(lái)越規(guī)范。

2 相關(guān)概念

2.1 AHP方法

AHP方法是對(duì)目標(biāo)和準(zhǔn)則進(jìn)行分析，按照層次分析的方式進(jìn)行決策，對(duì)數(shù)據(jù)進(jìn)行定性和定量分析。AHP方法現(xiàn)在使用非常頻繁，但在電力系統(tǒng)信息安全評(píng)估中，本方法存在不足。在傳統(tǒng)的風(fēng)險(xiǎn)評(píng)估環(huán)節(jié)中，進(jìn)行定性分析的評(píng)價(jià)方式比較單一，僅僅是結(jié)合專家的單方面經(jīng)驗(yàn)進(jìn)行評(píng)估，但各類專家的知識(shí)領(lǐng)域存在很大的不同，如果僅僅采用專家評(píng)價(jià)的方式，就會(huì)導(dǎo)致數(shù)據(jù)信息不全面，也會(huì)導(dǎo)致各類風(fēng)險(xiǎn)因子評(píng)價(jià)環(huán)節(jié)中的精確性下降。在對(duì)相關(guān)的評(píng)估機(jī)制進(jìn)行分析中，發(fā)現(xiàn)AHP方法結(jié)合模糊數(shù)學(xué)，可以有效提升風(fēng)險(xiǎn)評(píng)估的可靠性[4]。

2.2 模糊數(shù)學(xué)

采用模糊數(shù)學(xué)，可以針對(duì)現(xiàn)實(shí)中界限不是特別清楚的對(duì)象進(jìn)行分析，采用模糊邏輯的方式，使事物的分析更加有層次感。在電力系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估機(jī)制的研究中，在應(yīng)用AHP方法的同時(shí)，還結(jié)合模糊數(shù)據(jù)方式，在進(jìn)行系統(tǒng)分析中，首先建立了構(gòu)造層次模型，針對(duì)風(fēng)險(xiǎn)評(píng)估的主要內(nèi)容，從而建立滿足實(shí)際應(yīng)用需求的評(píng)價(jià)指標(biāo)，將指標(biāo)劃分成三個(gè)不同的層次，其一是目標(biāo)層，其二是指標(biāo)層，其三是規(guī)范層，從而在評(píng)價(jià)中可以更加客觀和精確。

在相同的層次中，各個(gè)因子可以獲得可觀的權(quán)重，從而使各個(gè)因子之間的關(guān)系更加密切，形成上下層所屬的關(guān)系，下層因子對(duì)上層因子起到很好的約束效果[5]。

其次，可以建立三角模糊數(shù)學(xué)互補(bǔ)計(jì)算矩陣的方式，結(jié)合模糊邏輯理論，對(duì)計(jì)算矩陣進(jìn)行建立。假設(shè)三角模糊計(jì)算矩陣，然后對(duì)各個(gè)因子的重要程度進(jìn)行對(duì)比，根據(jù)專家提出的經(jīng)驗(yàn)，計(jì)算出對(duì)比關(guān)系。

再次，確定好單層因子模糊權(quán)重，在本環(huán)節(jié)中，對(duì)單層因子的信息進(jìn)行分析，從而計(jì)算出目標(biāo)權(quán)重。最后，結(jié)合公式，建立符合度比較矩陣，結(jié)合各個(gè)因子的權(quán)重和模糊數(shù)值，建立矩陣。

3 AF-RA風(fēng)險(xiǎn)評(píng)估模型

3.1 風(fēng)險(xiǎn)評(píng)估和定量分析

在進(jìn)行風(fēng)險(xiǎn)評(píng)估中，主要是結(jié)合資產(chǎn)、脆弱性和威脅三個(gè)方面進(jìn)行，對(duì)電力系統(tǒng)的安全風(fēng)險(xiǎn)機(jī)制進(jìn)行定量分析。

（1）核心資產(chǎn)。在進(jìn)行核心資產(chǎn)分析的環(huán)節(jié)中，評(píng)估項(xiàng)目組應(yīng)該先對(duì)相關(guān)的資料進(jìn)行調(diào)研，從而將整個(gè)系統(tǒng)的信息獲取，對(duì)信息的整體情況進(jìn)行把握。其二，對(duì)信息資料進(jìn)行分析，通過列舉和劃分的方式，將資料中的核心資產(chǎn)信息進(jìn)行分析。在整體資產(chǎn)信息分析中，應(yīng)該完善核心資產(chǎn)的評(píng)估，確保資產(chǎn)的類別非常清晰，從而對(duì)資產(chǎn)信息進(jìn)行詳細(xì)的分析。

在信息系統(tǒng)應(yīng)用環(huán)節(jié)中，其主要的目的在于提升資產(chǎn)的價(jià)值，在資產(chǎn)價(jià)值提升中，要了解資產(chǎn)的歸屬特征，從而對(duì)資產(chǎn)信息充分的了解。在資產(chǎn)評(píng)估環(huán)節(jié)中，才層次分析的方式，結(jié)合行業(yè)專家的經(jīng)驗(yàn)，對(duì)歸屬特征進(jìn)行分析，對(duì)核心資產(chǎn)的評(píng)分進(jìn)行分析。按照項(xiàng)目組的情況，采用三個(gè)層次和三角模糊數(shù)學(xué)的方式構(gòu)建矩陣[6]。

（2）安全威脅。在電力系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估的環(huán)節(jié)中，應(yīng)該找到關(guān)鍵的銀子，在進(jìn)行威脅的評(píng)估和定量分析的環(huán)節(jié)中，應(yīng)該找到主要的威脅點(diǎn)，從而完善層次分析。按照威脅評(píng)估的層次結(jié)構(gòu)進(jìn)行分析，專家對(duì)相關(guān)的概率進(jìn)行賦分，建立三個(gè)不同的矩陣。

（3）系統(tǒng)脆弱性。在信息系統(tǒng)核心資產(chǎn)的固態(tài)特征分析中，脆弱性常與外界風(fēng)險(xiǎn)因子有密切聯(lián)系，在進(jìn)行強(qiáng)制性操作環(huán)節(jié)中，如果核心資產(chǎn)受到波動(dòng)，就會(huì)導(dǎo)致資產(chǎn)出現(xiàn)不穩(wěn)定，在電力系統(tǒng)信息安全風(fēng)險(xiǎn)評(píng)估環(huán)節(jié)中，這個(gè)因素被定為最關(guān)鍵的。應(yīng)從管理和技術(shù)兩個(gè)方面對(duì)系統(tǒng)的脆弱性進(jìn)行分析，脆弱性不僅僅包括物理層和傳輸層，也包括應(yīng)用層和管理層等。在進(jìn)行項(xiàng)目評(píng)估的環(huán)節(jié)中，應(yīng)該結(jié)合電力系統(tǒng)的實(shí)際情況對(duì)信息進(jìn)行調(diào)研，從而列舉脆弱性清單[7]。

在進(jìn)行脆弱性層次評(píng)估環(huán)節(jié)中，其一，要對(duì)評(píng)估對(duì)象的弱點(diǎn)因子進(jìn)行分析，找出脆弱點(diǎn)，并且分析脆弱點(diǎn)的嚴(yán)重程度。其二，要對(duì)評(píng)估對(duì)象面臨的外界影響進(jìn)行評(píng)估，評(píng)估威脅在脆弱點(diǎn)產(chǎn)生了哪些破壞。其三，針對(duì)電力系統(tǒng)實(shí)際的運(yùn)行情況，對(duì)各個(gè)脆弱點(diǎn)進(jìn)行分析。

借助層分析的方式，對(duì)脆弱性進(jìn)行深入分析，準(zhǔn)確分析脆弱點(diǎn)發(fā)生的概率，專家對(duì)其進(jìn)行估分。

3.2 風(fēng)險(xiǎn)計(jì)算

在對(duì)電力系統(tǒng)穩(wěn)定性分析的基礎(chǔ)上，要結(jié)合核心資產(chǎn)、安全威脅和脆弱性等特征，確保各個(gè)層次結(jié)構(gòu)相互聯(lián)系，各個(gè)結(jié)構(gòu)密不可分。在對(duì)風(fēng)險(xiǎn)計(jì)算結(jié)構(gòu)構(gòu)架的環(huán)節(jié)中，要結(jié)合資產(chǎn)和脆弱性等分析，找出安全價(jià)值和風(fēng)險(xiǎn)參數(shù)，并且對(duì)參數(shù)進(jìn)行計(jì)算，找到核心資產(chǎn)的風(fēng)險(xiǎn)因子，從而可以對(duì)整體風(fēng)險(xiǎn)進(jìn)行評(píng)估。對(duì)不同的風(fēng)險(xiǎn)因子結(jié)合的基礎(chǔ)上，結(jié)合專家賦分信息，借助公式對(duì)安全風(fēng)險(xiǎn)參數(shù)值進(jìn)行分析，結(jié)合多值數(shù)據(jù)，找到風(fēng)險(xiǎn)集合[8-10]。

3.3 風(fēng)險(xiǎn)級(jí)別的確定

在對(duì)風(fēng)險(xiǎn)計(jì)算的環(huán)節(jié)中要結(jié)合各類核心資產(chǎn)的風(fēng)險(xiǎn)數(shù)據(jù)，對(duì)風(fēng)險(xiǎn)按照重要程度進(jìn)行排序，按照風(fēng)險(xiǎn)評(píng)估結(jié)果的分析，結(jié)合電力系統(tǒng)的安全應(yīng)用特征，對(duì)安全風(fēng)險(xiǎn)級(jí)別進(jìn)行處理，從而減少系統(tǒng)脆弱點(diǎn)。

4 結(jié)語(yǔ)

本文針對(duì)電力系統(tǒng)特征，結(jié)合安全性要求，結(jié)合模糊數(shù)學(xué)方式，建立信息安全風(fēng)險(xiǎn)評(píng)價(jià)機(jī)制，完善風(fēng)險(xiǎn)評(píng)估模型的制定。