一种基于层次分析法的大规模信息系统风险评估方法

《一种基于层次分析法的大规模信息系统风险评估方法》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、第３０卷第１０期计算机应用与软件Ｖｏｌ３０Ｎｏ．１０２０１３年１０月ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅＯｃｔ．２０１３一种基于层次分析法的大规模信息系统风险评估方法李晨张晓梅李媛（北京信息安全测评中心北京１００１０１）摘要大规模信息系统涉及到的资产种类多、数量多、分布范围广且网络结构复杂，在相关风险评估及等级测评实践中遇到了效率低下、结果不全面、灵活性差等问题。提出一种基于层次分析法的大规模信息系统风险评估方法。该方法结合大规模信息系统的特点，以层次分析法为基础，引入节点分类、风险调整等流程实现了定

2、性与定量相结合的风险评估，有效解决了上述问题，为大规模信息系统的风险评估及等级测评工作提供了方法，同时为提高大规模信息系统等级测评的结果判定的准确性提供了思路。关键词大规模信息系统风险评估层次分析法等级测评中图分类号　ＴＰ３１９　　　　文献标识码　Ａ　　　　ＤＯＩ：１０．３９６９／ｊ．ｉｓｓｎ．１０００３８６ｘ．２０１３．１０．０８７ＡＬＡＲＧＥＳＣＡＬＥＩＮＦＯＲＭＡＴＩＯＮＳＹＳＴＥＭＳＥＣＵＲＩＴＹＲＩＳＫＡＳＳＥＳＳＭＥＮＴＭＥＴＨＯＤＢＡＳＥＤＯＮＡＮＡＬＹＴＩＣＨＩＥＲＡＲＣＨＹＰＲＯＣＥＳＳＬｉＣｈｅｎｙａｎｇ　

3、ＺｈａｎｇＸｉａｏｍｅｉ　ＬｉＹｕａｎ（ＢｅｉｊｉｎｇＩｎｆｏｒｍａｔｉｏｎＳｅｃｕｒｉｔｙＴｅｓｔａｎｄＥｖａｌｕａｔｉｏｎＣｅｎｔｅｒ，Ｂｅｉｊｉｎｇ１００１０１，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ　　Ｔｈｅｄｉｖｅｒｓｅｃａｔｅｇｏｒｙ，ｌａｒｇｅｑｕａｎｔｉｔｙａｎｄｗｉｄｅｄｉｓｔｒｉｂｕｔｉｏｎｏｆｔｈｅａｓｓｅｔｓａｒｅｗｈａｔｔｈｅｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍｉｎｖｏｌｖｅｄｉｎ，ｉｔｓｎｅｔｗｏｒｋｓｔｒｕｃｔｕｒｅｉｓｃｏｍｐｌｅｘａｓｗｅｌｌ，ｉｎｔｈｅｐｒａｃｔｉｃｅｏｆｒｅｌａｔｅｄｒ

4、ｉｓｋａｓｓｅｓｓｍｅｎｔｓａｎｄｒａｎｋｅｖａｌｕａｔｉｏｎ，ｉｔｅｎｃｏｕｎｔｅｒｓｔｈｅｐｒｏｂｌｅｍｓｏｆｌｏｗｅｆｆｉｃｉｅｎｃｙ，ｉｎｃｏｍｐｒｅｈｅｎｓｉｖｅｒｅｓｕｌｔａｎｄｐｏｏｒｆｌｅｘｉｂｉｌｉｔｙ，ｅｔｃ．Ｉｎｔｈｉｓｐａｐｅｒ，ｗｅｐｒｅｓｅｎｔａｎＡＨＰｂａｓｅｄｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍｓｒｉｓｋａｓｓｅｓｓｍｅｎｔｍｅｔｈｏｄ．Ｗｉｔｈｔｈｅｃｈａｒａｃｔｅｒｉｓｔｉｃｓｏｆｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍｃｏｍｂｉｎｅｄ，ｔｈｉｓｍｅｔｈｏｄｔ

5、ａｋｅｓａｎａｌｙｔｉｃｈｉｅｒａｒｃｈｙｐｒｏｃｅｓｓａｓｔｈｅｂａｓｉｓ，ａｎｄｉｎｔｒｏｄｕｃｅｓｔｈｅｐｒｏｃｅｓｓｅｓｉｎｃｌｕｄｉｎｇｎｏｄｅｃｌａｓｓｉｆｉｃａｔｉｏｎａｎｄｒｉｓｋａｄｊｕｓｔｍｅｎｔｔｏｈａｖｅｉｍｐｌｅｍｅｎｔｅｄｔｈｅｒｉｓｋａｓｓｅｓｓｍｅｎｔｗｉｔｈｑｕａｌｉｔａｔｉｖｅａｎｄｑｕａｎｔｉｔａｔｉｖｅｃｏｍｂｉｎａｔｉｏｎ．Ｔｈｅｍｅｔｈｏｄｅｆｆｅｃｔｉｖｅｌｙｒｅｓｏｌｖｅｓｔｈｅｐｒｏｂｌｅｍｓｌｉｓｔｅｄａｂｏｖｅａｎｄｐｒｏｖｉｄｅｓａｎａｐｐｒｏａｃｈｆｏｒｒｉｓｋａｓｓｅｓｓｍ

6、ｅｎｔｓａｎｄｒａｎｋｅｖａｌｕａｔｉｏｎｏｆｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍ．Ｍｅａｎｗｈｉｌｅｉｔａｌｓｏｐｒｏｖｉｄｅｓａｔｈｏｕｇｈｔｆｏｒｉｍｐｒｏｖｉｎｇｔｈｅａｃｃｕｒａｃｙｏｆｔｈｅｒｅｓｕｌｔｓｊｕｄｇｅｍｅｎｔｏｎｔｈｅｒａｎｋｅｖａｌｕａｔｉｏｎｏｆｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍ．Ｋｅｙｗｏｒｄｓ　　Ｌａｒｇｅｓｃａｌｅｉｎｆｏｒｍａｔｉｏｎｓｙｓｔｅｍ　Ｒｉｓｋａｓｓｅｓｓｍｅｎｔ　Ａｎａｌｙｔｉｃｈｉｅｒａｒｃｈｙｐｒｏｃｅｓｓ（ＡＨＰ）　Ｒａｎｋｅｖａｌ

7、ｕａｔｉｏｎ模信息系统风险评估方法，该方法结合大规模信息系统的特点，［３］０　引言以层次分析法（ＡＨＰ）为基础，引入节点分类、风险调整等流程实现了定性与定量相结合的风险评估，可为测评机构开展大伴随着网络的高速发展，信息系统特别是大规模信息系统规模信息系统的风险评估及等级测评提供参考。被越来越多地应用到各行各业中，而风险评估作为保障信息系统安全的重要手段，也受到人们的广泛关注。风险评估方法一１　大规模信息系统风险评估中存在的问题般包含资产识别、威胁识别、脆弱性识别及风险分析等过程，而风险评估方法的选择将直接影响评估结果的准确性。常见的

8、评近年来，业务信息系统朝着大规模、分布式的方向发展，许估方法可分为定性的评估方法、定量的评估方法、定性与定量相多大规模信息系统都采用了“骨干节点分支节点”的方式部结合的评估方法。作为等级测评结果判定的重要方法，风险评署，即核心业务应