卢挺陈多思

（1.常州出入境检验检疫局　　江苏常州　213022；2.中国信息安全认证中心江苏中心）

信息安全管理体系有效性测量与评价指标研究

卢挺1陈多思2

（1.常州出入境检验检疫局江苏常州213022；2.中国信息安全认证中心江苏中心）

将信息安全目标分解为11个方面、39个子目标，每个子目标作为一个测量的对象，设置一个或若干个测量指标。再通过权重分析、综合评价，提出信息安全管理的集成测量评价模型，将信息安全目标的有效性量化为一个百分比的数值，帮助管理者更好地掌握组织信息安全管理现状，考核信息安全管理绩效，计算信息安全管理措施的投资回报率，以及发现信息安全管理中的关键不足，积极采取有效控制措施，有利于组织的信息安全管理体系更加完善。

信息安全量化管理；有效性测量；测量模型；指标体系；权重分析；综合评价

1　前言

随着信息化技术的发展，信息安全问题变得日益突出，全社会对于信息安全的认识也逐步提高。一方面，国家成立了中央网络安全和信息化领导小组，并由总书记亲自挂帅；另一方面，企业对于信息安全的认证展现了极大的热情。自2005年信息安全管理体系标准ISO27001：2005［1］发布以来，短短10年间，中国就后来居上，通过ISO27001认证的企业数量在全球排名前列。这些都充分说明了信息安全在中国，不论是官方还是民间，都越来越受到重视。

但是，在信息安全领域投入了大量人力、物力、财力，最终的效果如何？许多企业通过了信息安全管理体系认证，其实际信息安全管理水平如何？……