[發明專利]一種用于計算機信息系統安全等級保護的綜合定級方法

在審

• 申請號: 201410606540.4
• 申請日: 2014-10-30
• 公開（公告）號: CN104376265A
• 公開（公告）日: 2015-02-25
• 發明（設計）人: 王偉;岳強
• 申請（專利權）人: 廣東電子工業研究院有限公司
• 主分類號: G06F21/57
• 分類號: G06F21/57
• 代理公司: 廣東莞信律師事務所 44332
• 代理人: 余倫

1.一種用于計算機信息系統安全等級保護的綜合定級方法，其特征在于：所述的方法包括：

一、確定定級對象

將較大的信息系統劃分為若干個較小的、可能具有不同安全保護等級的定級對象；作為定級對象的信息系統具有唯一確定的安全責任單位、具有信息系統的基本要素、承載單一或相對獨立的業務應用；

二、確定受侵害的客體

定級對象受到破壞時所侵害的客體包括國家安全、社會秩序、公眾利益以及公民、法人和其他組織的合法權益；

三、確定對客體的侵害程度

根據不同的受侵害客體、不同危害后果分別確定其危害程度，將不同危害后果的三種危害程度描述如下：一般損害、嚴重損害、特別嚴重損害；

四、確定定級對象的安全保護等級

根據業務信息安全被破壞時所侵害的客體以及對相應客體的侵害程度，依據業務信息安全保護等級矩陣表，得到業務信息安全保護等級；

根據系統服務安全被破壞時所侵害的客體以及對相應客體的侵害程度，依據系統服務安全保護等級矩陣表，得到系統服務安全保護等級；

作為定級對象的信息系統的安全保護等級由業務信息安全保護等級和系統服務安全保護等級的較高者決定。

2.根據權利要求1所述的綜合定級方法，其特征在于：所述的受侵害的客體確定是首先判斷是否侵害國家安全，然后判斷是否侵害社會秩序或公眾利益，最后判斷是否侵害公民、法人和其他組織的合法權益；從而確定本行業各類信息和各類信息系統受到破壞時所侵害的客體。

3.根據權利要求1所述的綜合定級方法，其特征在于：所述的業務信息安全保護等級如下表所示：

所述的系統服務安全保護等級如下表所示：

4.根據權利要求2所述的綜合定級方法，其特征在于：所述的業務信息安全保護等級如下表所示：

所述的系統服務安全保護等級如下表所示：

5.根據權利要求1至4任一項所述的綜合定級方法，其特征在于：采用層次分析法來進客體被侵害程度的定量確定；包括建立層次分析模型、構造成對比較矩陣和計算客體被侵害的程度；

所述的建立層次分析模型，是在深入分析實際問題的基礎上，將有關的因素按照不同屬性自上而下地劃分為若干層次，同一層的所有因素從屬于上一層的因素或對影響上層因素，同時也支配下一層的因素或被下層因素所影響；

所述的構造成對比較矩陣；

從層次分析模型的第2層開始，對于從屬于或影響上一層每個因素的同一層諸因素，用成對比較法和1-9比較尺度構建成對比較矩陣，直到最下層；

在比較第i個元素與第j個元素相對上一層某個因素的重要性時，使用數量化的相對權重m_ij來描述；設共有n個元素參與比較，則M＝(m_ij)n*n稱為成對比較矩陣；對成對比較矩陣中m_ij的取值可參考按下述標度進行賦值；mij在1-9及其倒數中間取值；

mij＝1，元素i同元素j對上一層次因素的重要性相同；

mij＝3，元素i比元素j略重要；

mij＝5，元素i比元素j重要；

mij＝7，元素i比元素j重要得多；

mij＝9，元素i比元素j極其重要；

mij＝2n，n＝1，2，3，4，元素i與元素j的重要性在mij＝2n-1與mij＝2n+1之間；

mij＝1/n，n＝1，2，...，9，當且僅當mji＝n；

因此，mij>0，mij＝1，mij＝1/mij；

所述的計算客體被侵害的程度，是在計算出每個評價因素的權重后，在同一標準體系下進行評價，將每個評價因素的實際數值采用Decimal?scaling小數定標標準化方法進行歸一化，通過歸一化因子，將每個評價因素的取值范圍限定于[0，1]；

定義：損害值D(Oi)為客體Oi被侵害的分值；

D(Oi)∈(0，0.3]，則定義該客體受到的損害為一般損害；

D(Oi)∈(0.3，0.8]，則定義該客體受到的損害為嚴重損害；

D(Oi)∈(0.8，1]，則該客體受到的損害為特別嚴重損害；

實踐中，可根據需要調整區間大小。