[发明专利]个体网络安全意识分级量化评价方法

说明书

针对当前网络安全意识定义模糊，缺少有效评估体系和方法的问题，本发明提出个体网络安全意识分级量化评价方法。该方法包括三个部分，主观意识评估、行为本体评估和评估决策。主观意识评估部分通过问卷调查获取个体信息，通过层次分析法对各信息安全认知、信息法律伦理、信息安全知识、信息安全能力4个维度打分，获取个体用户在这4个维度的得分。行为本体评估部分，扫描电脑和手机用户行为，计算与最优的用户行为直接的距离，通过随机森林算法判别用户行为安全等级。融合主观意识评估和行为本体评估，评估个体网络空间安全意识水平。实验结果表明，该方法能够结合机器学习方法实现个体网络安全意识分级量化，粒度从强到弱不小于4级，其分级准确率在95％以上。该方法可以用于提高个体网络安全意识分级量化模型的全面性和普适性，具有一定的实用价值。

技术领域

本发明涉及个体网络安全意识分级量化评价方法，属于计算机与信息科学技术领域。

背景技术

现有的网络安全意识评估方法，大多依赖于主观评判和统计方法。评价因素单一，缺乏客观性；单纯的统计，不能刻画问题内部复杂的结构特征。针对这些问题，以信息安全基础理论、信息攻防博弈论为基础，结合最新信息安全攻防对抗方法和网络安全意识评估特征集合，构建一种评估数据维度广、评估内容全面、评估结果具有指导价值的网络安全意识评估模型，评估结果分为由强到弱多个级别，提出个体网络安全意识分级量化评价方法，并能够返回人群进行模型验证。

当前网络安全意识评估所涉及的评估属性(数据类型)尚未明确。信息安全是一个包含范围极其广泛的话题，而网络安全意识所涉及的各种安全知识、原则、方法同样复杂繁琐，因此需要总结提取系统、全面的网络安全意识评估的主要影响因素，构建个体网络安全意识分级量化评价体系，这些都需要丰富的信息安全研究和从业经验，以及大量信息安全数据的挖掘与分析。目前主要采取的方法分为两种：基于主观意向分析的评价方法和基于行为本体分析的评价方法。

1.基于主观意向分析的评估方法

基于主观意向分析的评估方法是目前网络安全意识评估的主要方法。它是通过向被测者发送调查问卷或者进行线上测评采集用户的相关信息。然后对采集的信息进行量化。对信息的量化实际上是一种确定评价指标权重的过程。通过对个人采集的相关信息进行加权计算从而得到全面多维的评价结果。

基于主观意向分析的评估方法中最常用的分析方法是层次分析法。例如2013年，董李鹏将学员信息安全保密素养作为目标层，设计三次指标，作为准成层，根据Satty提出的1～9比例标度，采用专家评判的方式，构建各项指标的相对重要性判断矩阵。从而计算出各指标的权重。对每一个评测对象评分，评估网络安全意识水平。层次分析法对分析人员的要求比较高，且一般需要比较长的时间。另一方面，经验判断很大程度上依赖于通过对结果数据的逆向分析获取个体网络安全意识信息。但是，人为因素主观复杂，使人工分析的代价变得非常大，最重要的是不能刻画数据内部复杂的结构特征。

量表法是主观意向分析的另一重要方法。例如2014年，高东怀等人提出使用量表来评估安全意识。按照李克特量表来编制量表，针对每一陈述有“非常同意”、“同意”、“不一定”、“不同意”、“非常不同意”五种回答，分别记为5分、4分、3分、2分、1分。每个被调查者的态度总分为各道题分数的总和，这一总分可说明被调查者的态度强弱或他在这一量表上的不同状态。评级量表法也有缺陷，使用这种量表，考核者很容易产生晕圈误差和趋中误差。过于宽大的或中庸的考核者，就会把每个人的每个项目很快地评为高分或平均分。多数评级量表并不针对某一特别岗位，而是适用于组织的所有单位，因而不具有针对性。评级表也容易使考核者的偏见或晕圈效应进入评估考核中。评估模型指标体系的构建依赖于调查问卷，主观性较强，忽略了客观行为因素特征，影响了模型的客观性和准确性。

2.基于行为本体的评估方法