[发明专利]一种信息安全评估方法

说明书

技术领域

本发明涉及信息安全评估指标树构建技术，属于信息安全评估领域，具体涉及一种信息安全评估方法。

背景技术

现有的信息安全评估技术主要按照《信息技术安全评估通用准则CC(ISO15408)》、ISO17799信息安全管理标准、SSE-CMM(System Security Engineering-Capability Maturity Model)及《信息系统安全等级保护测评准则》等国际、国家准则和标准开展信息安全性的评估，但这些准则和标准，分别是从信息安全的某个侧面，如技术、管理、过程等出发，难以科学、全面和系统地反映信息的安全性。

在现有的信息安全评估技术中，由于尚没有一个统一的评估标准，在信息安全评估过程中，大多数是依据专业人士或专家意见，采用打分汇总的方法，使得评估结果缺乏客观性，常常出现不同的评估者对同一被评估对象得出不同的评估结果，这样就降低了信息系统的安全评估结果的准确性。

此外，受评估标准和评估方法现状的制约，现有的信息安全评估技术中的评估工具软件所涉及的基本数据需要人工的采集和处理，这样就降低了整个评估过程的效率。

发明内容

有鉴于此，本发明提供了一种信息安全评估方法，以达到提高安全评估结果的准确性以及提高安全评估效率的目的。

采用本发明所提供的方法进行信息安全评估的具体过程如下所述：

步骤一、根据目标系统的信息安全属性以及设备参数，建立标准评估指标树。

所建立的标准评估指标树共五层，从上到下依次为：根指标为目标系统信息安全性；第二层指标为安全属性，包括机密性、完整性、可用性和抗抵赖性；第三层指标为每个安全属性的属性子指标，每个安全属性的属性子指标均包括物理环境、拓扑结构、性能及可靠性、安全功能、策略配置和管理制度；第四层指标为每个属性子指标所涉及的设备；第五层指标为每个设备的设备参数，所述设备参数为所属设备在相应属性子指标下的性能指标，相同设备在不同属性子指标下的设备参数的类型是不同的；将每个设备参数作为一个叶子指标。

步骤二、基于所建立的标准评估指标树，采用层次分析法，确定该标准评估指标树中每个指标的权重。

步骤三、将所有的叶子指标的值作为评估源数据，并进行归一化，得到叶子指标的分值。

所述归一化具体为：若评估源数据类型为布尔型，则将该布尔型数据的“真”记为1，“假”记为0；否则，根据该评估源数据与所属设备参数，在知识库中查找该设备参数对应的线性映射关系，线性映射关系用于将设定的设备参数取值范围[a，b]，线性映射到[0，1]，将该评估源数据与a和b分别进行比较，若该评估源数据小于a或该评估源数据大于b，则在知识库中，将所述取值范围的a或b相应地替换为该评估源数据；否则，不进行替换；比较完成后，根据所述评估源数据与所属设备参数，采用所述线性映射关系，得到所述评估源数据映射的归一化结果，并作为叶子指标的分值。

步骤四、根据所述叶子指标的分值，对所述标准评估指标树中叶子指标进行评估，得到所有叶子指标的评估值。

对于目标系统中的关键设备，若同一属性子指标下有两个或两个以上相同类型的关键设备，则对于这种关键设备下的相同叶子指标，将这些相同叶子指标的最低分值作为这些叶子指标的评估值；否则，将所述叶子指标的分值直接作为相应叶子指标的评估值。

对于目标系统中的非关键设备，若同一属性子指标下有两个或两个以上相同类型的非关键设备，则对于这种非关键设备下的相同叶子指标，将这些相同叶子指标的分值作算术平均得到这些叶子指标的评估值；否则，将所述叶子指标的分值直接作为相应叶子指标的评估值。

步骤五、评估计算。

在所述标准评估指标树中，根据叶子指标评估值和该叶子指标的权重，采用加权平均法计算得到相应父指标值，以此从下往上计算，最终可得到根指标值并将该根指标值作为目标系统的安全性评分。

步骤六、生成评估结果。

将所得到的目标系统的安全性评分，与给定的系统标准评估结果进行比对，可得到目标系统的评估结果；给定的评估结果包括安全、不安全和基本安全三个等级，每个等级对应于设定的评分范围。