信息安全保障度量及综合评价研究

论文摘要

随着科学技术的迅猛发展和信息技术的广泛应用，国家和社会对信息化的依赖度越来越大，信息安全已成为国家安全的重要组成部分。然而由于不断增长的复杂性和不安全部件及网络间的互连，信息系统越来越容易受到伤害，即使一些适当的安全方法被发现，其产生的安全水平也不为人所知。因而如何度量信息系统的安全保障水平也就受到了越来越多的关注。信息保障度量作为一个研究领域就提供这样的功能。据相关部门的调查资料，美国和俄罗斯等国家正在研究信息安全保障的综合评价，我国也设立了相应的课题进行研究，和国外处于一个同步研究阶段。本文的主要研究目的就是基于IA度量分类，建立一个信息安全保障综合评价指标体系。论文首先从信息安全的概念入手，将信息安全分为三层模型：信息系统、信息、信息内容（信息内容，本论文不作深入研究）的安全，不同层次的安全属性作用点不一。由此确定了论文研究的基本点：从信息、信息系统入手研究其保密性、完整性、可用性、真实性和不可抵赖性及抗毁性、生存性和有效性的保障。通过回顾和总结，论文对现有信息安全测评标准和方法进行了比较分析，同时对信息安全测度进行了论述。尽管现阶段的标准和方法各有优缺点和局限性，而且没有统一的形式化的测度理论和安全测度方法，不可否认的是，这些标准、方法和具体实践为建立信息安全保障综合评价体系奠定了理论和技术基础，为其研究提供了较为完备的概念架构。在IA度量体系中，最首要的工作是分类。它提供了对IA度量的逻辑分组，并指明了这些分组间的关系。本文认为信息安全保障是一个多维系统，并依据国内目前的现实情况，提出了以技术、管理、战略为三要素的信息保障度量分类模型。在此基础上，构建了多目标的信息安全保障综合评价指标体系，即从技术、管理、战略入手，考察信息、信息系统的静态安全保障措施、动态安全保障能力和安全保障效果。其中静态措施评价主要从要素维：技术、管理、战略三方面考察；动态过程评价主要从能力维：预警、保护、检测、响应、恢复等六个环节来考察。状态效果评价包括从安全属性维来考察、同时包括信息安全保障建设的效益评价。最终，通过评价指标体系反映信息安全保障的整体态势、反映安全与发展的关系、安全与效益的关系。同时论文对评价指标体系建立了一个评价模型，对其进行了形式化描述，并提出了基于目标驱动的指标体系细化方法，对下一级，子指标进行了深入分析和详细阐述。对于在综合评价而言，综合评价方法是极其重要的。结合信息安全保障评价的不确定性和模糊性，本文给出了信息安全保障AHP-FUZZY综合评价方法，并结合工程实例进行了验算。在指标的度量基准问题上，论文引入了基线评价理论。信息系统的安全基线是一个信息系统的最小安全保证，在组织内确定不同的安全基线以对应不同的安全等级，可以使组织得到充分的保护，并降低组织的费用。对此，论文提出了一个安全基线构建模型，并在进行具体的指标实践中，提出了一套具体的综合评价流程。随着人们对信息技术依赖性的增强，可以预见，IA度量将会受到愈来愈多的关注。本文研究了如何建立信息安全保障综合评价指标体系，按照一定的分析框架、评价标准和方法论，为定量化分析和测定信息安全保障的发展进程或实现程度提供了尝试。

论文目录

• 摘要
• Abstract
• 1 前言
• 1.1 论文研究背景
• 1.2 国内外研究现状
• 1.3 本文研究的主要问题及贡献
• 1.4 论文的组织
• 2 信息安全保障概述
• 2.1 信息安全的发展过程
• 2.2 信息安全及其相关概念
• 2.3 本章小结
• 3 信息安全测评的发展
• 3.1 国外及国际性的安全评估标准
• 3.2 我国的安全评估标准
• 3.2.1 基础类测评标准
• 3.2.2 应用类测评标准
• 3.3 各种标准的分析评价
• 3.3.1 对标准的评价
• 3.3.2 各标准的特点及比较
• 3.4 信息安全测度模型与方法
• 3.4.1 安全审计
• 3.4.2 风险分析
• 3.4.2.1 威胁性分析
• 3.4.2.2 脆弱性分析
• 3.4.2.3 潜在影响分析
• 3.4.2.4 潜在损失分析
• 3.4.3 能力成熟度模型
• 3.4.4 安全测评
• 3.4.4.1 测量尺度
• 3.4.4.2 信度
• 3.4.4.3 效度
• 3.4.4.4 常模
• 3.5 本章小结
• 4 信息安全保障度量
• 4.1 现有的信息安全保障度量分类模型
• 4.2 本文提出的信息安全保障度量模型
• 4.3 本章小结
• 5 信息安全保障评价指标体系
• 5.1 信息安全保障评价指标体系的概念
• 5.1.1 基本概念
• 5.1.2 指标体系的研究对象和范围
• 5.2 指标体系的设计
• 5.2.1 设计指标体系的基本原则
• 5.2.2 指标体系的设计
• 5.2.2.1 指标体系的总体架构
• 5.2.2.2 评价指标体系—模型
• 5.2.2.3 各指标的名称、涵义、口径范围及计算方法
• 5.3 本章小结
• 6 指标与综合评价理论
• 6.1 指标度量理论
• 6.1.1 指标的量化和序化
• 6.1.2 指标的无量纲化
• 6.1.3 指标评价权重的确定
• 6.2 综合评价方法
• 6.2.1 综合评价
• 6.2.2 信息安全保障AHP-FUZZY综合评价方法
• 6.2.2.1 层次分析方法（AHP法）
• 6.2.2.2 模糊综合评价
• 6.2.3 模糊综合评价方法的优缺
• 6.3 本章小结
• 7 信息安全保障综合评价过程及个案示例
• 7.1 综合评价过程
• 7.1.1 评价参考模型
• 7.1.2 基线评价
• 7.1.2.1 基线评价方法（理论）
• 7.1.2.2 基线构建模型
• 7.1.3 评价流程
• 7.1.3.1 确定评价研究范围
• 7.1.3.2 指标数据的采集
• 7.2 示例
• 7.3 本章小结
• 8 总结
• 8.1 论文的主要工作总结
• 8.2 不足及进一步的研究
• 参考文献
• 作者在读期间科研成果简介
• 致谢