[发明专利]一种信息安全评估方法

摘要

本发明公开了一种信息安全评估方法，能够达到提高安全评估结果的准确性以及提高安全评估效率的目的；具体步骤为：根据目标系统的信息安全属性以及设备参数，建立标准评估指标树；基于所建立的标准评估指标树，采用层次分析法，确定该标准评估指标树中每个指标的权重；将所有的叶子指标的值作为评估源数据，并进行归一化，得到叶子指标的分值；根据所述叶子指标的分值，对所述标准评估指标树中叶子指标进行评估，得到所有叶子指标的评估值；基于所建立的标准评估指标树，根据叶子指标的评估值和权重，进行评估计算；生成目标系统的信息安全评估结果。

主权项

一种信息安全评估方法，其特征在于，该方法的具体步骤如下所述：步骤一、根据目标系统的信息安全属性以及设备参数，建立标准评估指标树；所建立的标准评估指标树共五层，从上到下依次为：根指标为目标系统信息安全性；第二层指标为安全属性，包括机密性、完整性、可用性和抗抵赖性；第三层指标为每个安全属性的属性子指标，每个安全属性的属性子指标均包括物理环境、拓扑结构、性能及可靠性、安全功能、策略配置和管理制度；第四层指标为每个属性子指标所涉及的设备；第五层指标为每个设备的设备参数，所述设备参数为所属设备在相应属性子指标下的性能指标，相同设备在不同属性子指标下的设备参数的类型是不同的；将每个设备参数作为一个叶子指标；步骤二、基于所建立的标准评估指标树，采用层次分析法，确定该标准评估指标树中每个指标的权重；步骤三、将所有的叶子指标的值作为评估源数据，并进行归一化，得到叶子指标的分值；所述归一化具体为：若评估源数据类型为布尔型，则将该布尔型数据的“真”记为1，“假”记为0；否则，根据该评估源数据与所属设备参数，在知识库中查找该设备参数对应的线性映射关系，线性映射关系用于将设定的设备参数取值范围[a，b]，线性映射到[0，1]，将该评估源数据与a和b分别进行比较，若该评估源数据小于a或该评估源数据大于b，则在知识库中，将所述取值范围的a或b相应地替换为该评估源数据；否则，不进行替换；比较完成后，根据所述评估源数据与所属设备参数，采用所述线性映射关系，得到所述评估源数据映射的归一化结果，并作为叶子指标的分值；步骤四、根据所述叶子指标的分值，对所述标准评估指标树中叶子指标进 行评估，得到所有叶子指标的评估值；对于目标系统中的关键设备，若同一属性子指标下有两个或两个以上相同类型的关键设备，则对于这种关键设备下的相同叶子指标，将这些相同叶子指标的最低分值作为这些叶子指标的评估值；否则，将所述叶子指标的分值直接作为相应叶子指标的评估值；对于目标系统中的非关键设备，若同一属性子指标下有两个或两个以上相同类型的非关键设备，则对于这种非关键设备下的相同叶子指标，将这些相同叶子指标的分值作算术平均得到这些叶子指标的评估值；否则，将所述叶子指标的分值直接作为相应叶子指标的评估值；步骤五、评估计算；在所述标准评估指标树中，根据叶子指标评估值和该叶子指标的权重，采用加权平均法计算得到相应父指标值，以此从下往上计算，最终可得到根指标值并将该根指标值作为目标系统的安全性评分；步骤六、生成评估结果；将所得到的目标系统的安全性评分，与给定的系统标准评估结果进行比对，可得到目标系统的评估结果；给定的评估结果包括安全、不安全和基本安全三个等级，每个等级对应于设定的评分范围。