等級保護測試評價方法研究

趙云

摘? ?要：文章分析了現(xiàn)有的信息系統(tǒng)等級保護測試評價方法，針對測試評價結(jié)果易受非技術(shù)因素的影響、存在指標無法反應(yīng)系統(tǒng)真實情況等問題，提出了新的測試評價方法。運用改進層次分析法處理評估中存在的模糊值，簡化評價過程。同時，文章以真實測評數(shù)據(jù)進行實驗，對比了改進后的層次分析法在權(quán)重值的計算結(jié)果對等保測評結(jié)果分析的影響。

關(guān)鍵詞：等級保護;測試評價;層次分析法

中圖分類號：TP309.7? ? ? ? ? 文獻標識碼：A

Abstract： This paper analyses the existing test and evaluation methods of information system hierarchical protection， and proposes a new test and evaluation method to solve the problems that the test and evaluation results are vulnerable to non-technical factors and the indicators can not reflect the real situation of the system. The improved analytic hierarchy process （AHP） is used to deal with the fuzzy values in the evaluation and simplify the evaluation process. This paper compares the influence of the improved analytic hierarchy process on the analysis of the results of peer-to-peer guaranteed assessment with the real data.

Key words： hierarchical protection; test evaluation; analytic hierarchy process

1 引言

隨著我國改革開放進程的進一步深入，信息化建設(shè)步伐大幅度加快，各行業(yè)都逐步建立了服務(wù)于業(yè)務(wù)、用戶的信息化系統(tǒng)。一方面，享受著信息化帶給我們生活、工作的各種便利;另一方面，也不得不面對越來越多的信息安全事件的威脅。近些年來，信息安全已經(jīng)提升至國家安全的高度，意味著信息系統(tǒng)安全已經(jīng)不僅僅是涉及一個行業(yè)、一家單位，或者僅僅是系統(tǒng)的擁有者、用戶等某特定范圍內(nèi)的安全，更是關(guān)系到國計民生，影響國家安全穩(wěn)定、行業(yè)資源安全合理運用、社會安定團結(jié)的安全。我國開展信息安全等級保護工作已經(jīng)近十年，作為信息系統(tǒng)安全的一個重要評價體系，等級保護的各項要求和評估方法也在持續(xù)地改進，如何評價一個信息系統(tǒng)就成了一項重要的研究課題。目前的評價體系，經(jīng)歷了一些改進，但還是存在諸多問題。本文通過對信息系統(tǒng)評價方法的理論性研究，對現(xiàn)有的測試評估方法進行了發(fā)展改進，最終得到了一個較為合理的測試評價方法。

2 發(fā)展歷程

由于信息系統(tǒng)的多樣性和互聯(lián)網(wǎng)環(huán)境的復(fù)雜性，信息系統(tǒng)時刻受到互聯(lián)網(wǎng)上的各種攻擊威脅，為此在等級保護制度發(fā)展方面，我國于1994年頒布的國務(wù)院147號令，確定了在我國信息安全系統(tǒng)保障工作中實行等保制度。公安部作為信息安全等保工作的監(jiān)督、檢查、指導(dǎo)單位，推進著整個等級保護工作。公安部、國家保密局、國家密碼管理局、國務(wù)院信息化領(lǐng)導(dǎo)小組于2007年聯(lián)合頒布了861號文件《關(guān)于開展全國重要信息系統(tǒng)安全等級保護定級工作的通知》和《信息安全等級保護管理辦法》[1]，奠定了信息系統(tǒng)安全基本制度。近幾年，在相關(guān)部委的支持下，公安部陸續(xù)出臺了一系列指導(dǎo)意見和規(guī)范等文件。隨著《網(wǎng)絡(luò)安全法》的實施，等級保護進入了全新階段，等級保護制度從國家的基本制度和基本國策上升到國家法律，更多的行業(yè)、單位的系統(tǒng)開始納入等級保護監(jiān)管對象，等級保護制度進入到深入推進階段。根據(jù)等級劃分準則和現(xiàn)有相關(guān)文件規(guī)定，對信息系統(tǒng)防護要求進行分類，如圖1所示。

從圖1可以看出，“基本要求”是等級保護測評的主要依據(jù)，包括技術(shù)和管理兩個方面，每個方面分別包括五個層面，每個層面下又區(qū)分不同的安全控制點，控制點下還規(guī)定了具體要求項。

近些年來，等級保護評價方法也做了一些改進，但是程度有限，僅僅將各測評項做了權(quán)重的區(qū)分。單項測評結(jié)果從原來的3種增加到6種，即測試結(jié)果采用計分制，分為0至5分，0分即是原來的不符合，5分即為原來的符合，將部分符合做了區(qū)分，可以判1至4分。但是，近年來新增的行業(yè)和領(lǐng)域?qū)е滦畔⑾到y(tǒng)多樣化，專業(yè)化測試評價方法越來越高，以往“一刀切”式的評價方式越來越無法滿足實際需要，無法區(qū)分每個測評點對信息系統(tǒng)的影響程度。

3 信息系統(tǒng)測試評價體系

當前，信息安全等級保護的相關(guān)標準體系已經(jīng)趨于完善，并且正向著專業(yè)化細分發(fā)展。但是，測試評價方法還未跟上標準體系進步的腳步。另外，由于沒有針對行業(yè)做區(qū)分，測試結(jié)果在行業(yè)間存在著較大的偏離值。例如，有的行業(yè)在管理要求上實施情況較好，有比較完整的管理制度和執(zhí)行記錄，但在實際的技術(shù)要求上，欠缺很多的措施，有的還存有較多的安全隱患，但在現(xiàn)有的評價體系上，這樣的系統(tǒng)最終評價分數(shù)可能比較高，與真實的測評結(jié)果比較有明顯差別;再比如，在兩個行業(yè)之間，可能針對某些安全風(fēng)險點本來的要求就因為業(yè)務(wù)應(yīng)用的實際需要不同，標準的要求目前也沒有明顯的行業(yè)區(qū)分，不僅僅需要從測評者的主觀判斷出發(fā)，更應(yīng)該考慮行業(yè)的具體要求和實際的業(yè)務(wù)需要，不能按要求機械的地判斷。此時，制定科學(xué)有效的測試評價體系就更為重要和有意義。