[发明专利]一种信息安全控制措施的效能分析方法

权利要求书

1.一种信息安全控制措施的效能分析方法，如图1所示，其特征在于：

步骤1：确定测量对象O_i，效能分析指标I_i和测量目标值T_i，并记录在数据库中；

步骤2：根据不同的效能分析指标I_i，使用对应的方法F_i进行测量，并构建测量结果R_i；

步骤3：基于测量结果R_i与测量目标值T_i进行测量结果与目标值分析得到符合性检查结果c_i；

步骤4：使用c_i，j表示测量目标O_i在第j年的符合性检查结果，收集每年的符合性检查结果，进行年度间测量结果分析，得到有效性测量结果u_ij；

步骤5：根据业务特点给出阈值φ来表示目标的达到率，并基于符合性u_ij和有效性结果c_i，1，判断得出安全控制措施效能分析结果E_i，j，评估安全控制措施的有效性。

2.根据权利要求1所述的构建测量结果R_i，其特征在于：

将某一个测量对象O_i的属性进行抽象量化并转换为效能分析指标I_i，将该对象的安全需求期望值转化为测量目标值T_i。按照具体的测量方法F_i，可得出测量结果R_i，式(1)表示了两者之间的映射关系。

F_i(O_i，I_i)＝R_i (1)

3.如权利要求1中所述的检查信息安全控制措施的符合性参数c_i，其特征在于：

对象O_i可分解出多个测量指标，该对象的第k个测量指标记为对应的测量目标值为对应的测量结果值为获取某一项信息安全工作的符合性参数c_i，需要将该对象的所有测量结果与目标值进行对比分析，可用式(2)来计算符合性参数。符合性参数c_i满足0≤c_i≤1，c_i越大符合性越差，反之相反。

4.如权利要求1中所述的测量信息安全控制措施的有效性参数u_ij，其特征在于：

约定用c_i，j表示第i个对象在j年的符合性参数，某一项信息安全工作的在第j年的有效性参数u_i，j，需要分析该年度符合性参数c_i，j与起始年度符合性参数c_i，1的变化趋势，用式(3)来考察信息安全措施的有效程度。当u_i，j＜0时，表示第i项信息安全控制措施在第j年的效能有所减弱，需要进行改进控制措施，加强控制措施的实施或修订控制目标。当u_i，j＞0时，表示第i项信息安全控制措施在第j年对信息安全控制目标是有效的。

5.如权利要求1中所述的安全控制措施效能分析结果E_i，j，其特征在于：

组织根据业务特点给出措施符合性阈值φ来表示目标的达到率，阈值满足条件0＜φ＜1。综合符合性参数c_i，j和有效性参数u_i，j的取值，如式(4)所示，分析得出信息安全管理框架中第i项信息安全控制措施在第j年的效能结果E_i，j。