袁静　任卫红　赵泰

摘要：采用层次分析法构建保护能力的评价指标体系，并以此为基础层层汇总计算各措施层指标的合成权重，作为保护能力得分量化的基础。同时，还在现有等级测评的基础上，创新性提出从“正反”两个不同的角度来度量信息系统的安全状况，安全保护能力评价结合了正向的保护状况和反向的风险情况进行综合判定。

关键词：等级测评；评价指标；权重；风险分析；多对象平均分

中图分类号：TP391文献标识码：A

Abstract：Evaluation Index System of information system protection capabilities was built based on AHP， which was used as the basis to calculate the various layers weights as the synthesis weight of the index of measure layer， and used as the foundation of quantifying security capability score. Meanwhile， based on the existing classified protection testing and evaluating， a new idea was put forward to measure the information system security protection situation from the "pros and cons" of two different views. Information system security capability was evaluated and comprehensively judged by combining with the positive evaluation of the protection situation and reverse risks.

Key words：classified protection testing and evaluating；evaluation index；weight；risk analysis；average score of multiobject

1引言

对信息系统实施等级测评具有重要的现实意义，其中对信息系统的安全保护能力进行评价是等级测评的重要环节。信息系统安全保护能力评价是对等级测评结果进行全面评估、分析与度量。安全保护能力评价虽然不能直接保护信息系统，但其结果可以反映信息系统的安全保护状况，发现信息系统存在的薄弱点，可以作为信息系统安全整改和后期安全规划的依据和基础。

2研究状况分析

在信息安全评价方面，从安全评估模型的着眼点看，目前存在两方面完全不同的模型：一种是从“正面”分析信息系统安全保护能力为出发点的安全评估模型，如闫强等人提出的安全度量评估模型[1]；另一种则是从“反面”以信息系统存在的脆弱性为出发点的安全评估模型，如风险评估模型，从可靠性评定模型中发展过来的故障树模型等。这两种不同的模型，分别从“正反”两个不同的角度来度量信息系统的安全状况。……