前言：尋找寫作靈感？中文期刊網用心挑選的基于結構方程模型信息安全論文，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
1兩類信息安全風險的評估
傳統信息安全風險主要包括3個要素:①資產，它是信息系統內部需要保護的重要資源或信息;②威脅，它是來自攻擊者的惡意攻擊，可能造成信息資產重大損失或外流的潛在因素;③脆弱性，它是信息系統內部容易被攻擊的薄弱環節。實際的信息安全風險評估建立的模型對這3個要素有所深化和發展，并應用于信息安全的標準化制定中。
(1)國際標準ISO15408。
該標準強調人為因素的作用，將信息系統的“屬主”從籠統的“資產”要素中分離出來，將“攻擊者”從籠統的“威脅”要素中分離出來。該標準除了上述3個要素以外，還考慮漏洞、風險和措施這3個要素。
(2)國際標準ISO13335。
該標準細化了風險評估指標體系。它除了考慮“資產”要素以外，還考慮“資產價值”要素;除了考慮“防護措施”要素以外，還考慮“防護需求”要素，進一步強調了系統中要素的屬性。此外，該標準還考慮到威脅、脆弱性、風險等3個一級指標，7個要素。
(3)國務院信息化工作辦公室制定的《信息安全風險評估指南》。
它引入了“使命”要素，從源頭上強調了信息風險管理工作的驅動力;引入了“殘余風險”要素，強調了安全防范不可能一蹴而就，需要不斷改進;同時引入了“事件”要素，強調了對突發事件的預判，比ISO13335擴展了3個要素，建立了適合中國國情的10個要素的信息安全風險評估標準。開展信息安全風險的評估一般分為5個步驟。①評估準備階段，主要是明確風險評估的目的和意義，制定評估方案，確定評估模型等。②要素識別階段，主要是按照上級制定的標準，結合被評估對象的實際情況，識別信息安全風險評估的各個要素，同時根據權威標準的一級指標體系合理擴展為可以測度的二級指標體系。③測度匯總階段，主要是使用二級指標體系進行測度，給出評估分值，并使用合適的數學模型進行匯總評分。④風險分析階段，主要是根據二級指標體系的評分結果和數學模型計算分析結果，綜合進行風險判斷，分析外部威脅和內部漏洞的危險程度，計算各指標蘊含的安全風險。⑤落實整改階段，主要是通過評估工作的匯報驗收，找到風險根源，落實整改措施，不斷調整完善，提高系統抗風險的能力。
2兩類信息安全風險綜合評估指標體系
安全風險評估和預警工作中，指標體系的建立既很重要，也有很強的科學性。構建信息安全風險評估指標體系需要掌握以下7項原則:①目的性原則。建立評估指標體系的根本目的是有效防范信息安全風險。②科學性原則。指標體系必須科學有效地反映信息安全風險的所有特點。③系統性原則。建立的評價指標體系必須協調統一，層次合理，最大限度地反映信息安全風險的基本特點。④重要性原則。抓住反映信息安全風險本質特點的主要因素來設計指標，該指標體系必須能突出主要風險因素，建立重點突出，簡明實用的指標體系。⑤互斥性原則。要求指標間相互獨立，避免太多的涵蓋等出現而導致指標內涵的重復。同時指標相互間又有密切聯系，需要一些不同角度指標的設置來互相檢驗、彌補。⑥層次性原則。對評估的目標進行層次分解，使結構清晰，容易分析，邏輯性和科學性強，提高評估結論的可信度。⑦操作性原則。指標體系的各指標必須是可以采集的和可以量化的，數據應通過可靠來源直接或間接的獲取，評估指標應盡量避免難以獲得的參數。根據上述信息安全風險評估標準和評估原則，結合被評估對象的實際情況，將兩類安全風險綜合起來，建立綜合評估的指標體系。技術風險按照資產/業務、技術脆弱性、威脅3個方面組織指標設計。在一般計算機系統中，其脆弱性方面也可以進行展開。之所以列出兩個表格，旨在指出這方面的指標系統設計不是唯一的，可以根據上述原則，結合具體環境和條件進行設計。非傳統的信息安全風險的評估，主要是指利用人的弱點產生的風險，一般體現在內部管理上的疏忽與過失，以及外部的蓄意攻擊和陰謀策劃。一般計算機系統可以進行展開。建立兩類信息安全評估二級指標體系是一個方面，運用數學模型進行安全風險分析是更重要的一個方面。李成耀很早就研究了多層協議和多層結構的網絡信息安全分層模型;羅帆等運用N－K模型分析了安全耦合風險;楊亞東等使用一般層次分析法(AHP)為安全監管系統建立了風險評價指標體系和綜合評估模型。結構方程模型在這些模型中獨樹一幟，它既可以進行指標體系的匯總與路徑影響分析，還可以深入分析某些因素之間的中介效應、調和效應和交互效應。筆者采用結構方程模型(SEM)進行兩類信息安全風險綜合評估，其數學表達和計算可以參見文獻［13］。其提出了一種新的確定性算法，克服了傳統的偏最小二乘算法與協方差擬合算法需要反復迭代的弱點，并且可以使用DASC軟件實現計算。結構方程模型是針對一般信息系統的非傳統信息安全風險評估而設立的，它很容易改寫為適應其他二級指標體系的模型，使用DASC軟件很容易實現數學計算。
3兩類信息安全風險的綜合防范
信息安全風險評估的目的在于防范，不同的信息系統在不同的環境下，風險防范措施很不一樣。最近制定的信息系統安全風險評估的國內標準(GB/T9387－2)以及國際標準(ISO7498－2)都明確規定，信息安全實現主要以構筑防火墻、建立入侵檢測系統、災難備份和應急響應系統、物理隔離系統、殺毒軟件包等方式實現。物理隔離系統是絕對的隔離，效果比較理想。防火墻以及網關主要應用于專用網絡與公用網絡的互聯環節，技術復雜并在不斷改進更新。入侵檢測系統把系統的安全管理能力擴展到新的范圍，引入了模式匹配、實時檢測與響應等技術，使得信息系統建設得越來越復雜和龐大。非傳統信息安全風險的防范，從宏觀管理的角度主要考慮如下幾個方面:①健全法規標準，加強高層對于信息安全的統一協調，加快安全標準制定。②建立信任機制，建立服務商之間、服務商與用戶之間的信任關系，將是解決信息系統外部交流安全問題的根本。③發展關鍵技術，建立保證信息安全的技術體系，包括數據安全、可信計算和隱私保護技術等關鍵技術。④加強監督管理，著眼長效監管，完善應急機制，強化日志審計管理，提高溯源審查能力。非傳統信息安全風險的防范，從個體心理的角度主要考慮如下幾個方面:①加強心理防范，主要克服攻擊者往往利用人的好奇心和虛榮心等弱點。②定期安全培訓，讓全體員工熟悉了解新的攻擊者利用社會工程學的伎倆，學會防范非傳統信息安全風險。③區分友誼責任，明確友誼必須有一定的信任基礎。④提高安全意識，管理部門要制定更為嚴格的安全方案，同時落實到每一個員工。⑤實時事故響應，一旦發生信息安全事故，立即啟動應急方案，除了檢查技術漏洞和損失以外，特別要對利用社會工程學的攻擊做出實時反應。
4結論
傳統的信息安全技術和昂貴的信息安全系統是確保信息安全的必不可少的物質基礎，而針對非傳統信息安全的防范措施是保證信息安全的又一個重要方面。及時的安全風險評估可以為防范措施提供正確的決策參考，而建立科學的信息風險評估指標體系是安全風險評估最基礎性的工作。指標體系評估結果的匯總具有科學性，值得重視，而結構方程模型及其確定性新算法是指標匯總的新方法，值得推廣。基于信息安全評估的風險防范可以提供最大的安全保障，而將兩類信息安全風險結合起來考慮，綜合評估，綜合防范，是正確的決策方向。
作者：丁倩 劉天楨 單位：武漢大學城市設計學院