[發明專利]一種信息資產安全的檢測方法及系統

無效

• 申請號: 201110343733.1
• 申請日: 2011-11-03
• 公開（公告）號: CN102402723A
• 公開（公告）日: 2012-04-04
• 發明（設計）人: 溫旭;李華;陳偉;劉敬國
• 申請（專利權）人: 北京谷安天下科技有限公司
• 主分類號: G06Q10/00
• 分類號: G06Q10/00
• 代理公司: 北京派特恩知識產權代理事務所(普通合伙) 11270
• 代理人: 張穎玲;孟桂超

1.一種信息資產安全的檢測方法，其特征在于，該方法包括：

依據選定的信息安全檢測標準，對信息安全相關的信息資產進行資產識別分析；

確定資產識別分析后的每個信息資產的自身脆弱性漏洞及威脅源；

根據所述脆弱性漏洞及威脅源，確定每個信息資產的風險的影響范圍值及發生的可能性值；

依據確定的風險的影響范圍值及發生的可能性值，確定每個信息資產的風險值，并確定風險的級別。

2.根據權利要求1所述的方法，其特征在于，在對信息安全相關的信息資產進行資產識別分析之前，該方法進一步包括：

采集所述信息安全相關的信息資產，并保存。

3.根據權利要求1或2所述的方法，其特征在于，所述依據選定的信息安全檢測標準，對信息安全相關的信息資產進行資產識別分析，為：

依據選定的信息安全檢測標準，確定所述信息安全相關的信息中每個信息資產所屬的資產類別；

根據每個信息資產所屬的資產類別及所支撐業務的重要性，確定每個信息資產的機密性值、完整性值及可用性值；

根據確定的每個信息資產的機密性值、完整性值及可用性值，確定每個信息資產的資產價值。

4.根據權利要求3所述的方法，其特征在于，所述根據確定的每個信息資產的機密性值、完整性值及可用性值，確定每個信息資產的資產價值，為：

依據確定每個信息資產的資產價值；

其中，V表示信息資產的資產價值，C表示信息資產的機密性值，I表示信息資產的完整性值，A表示信息資產的可用性值。

5.根據權利要求1或2所述的方法，其特征在于，所述依據確定的風險的影響范圍值及發生的可能性值，確定每個信息資產的風險值，為：

依據R＝V×i×p確定每個信息資產的風險值；

其中，R表示信息資產的風險值，V表示信息資產的資產價值，i表示信息資產的風險的影響范圍值，p表示信息資產的風險發生的可能性值。

6.根據權利要求5所述的方法，其特征在于，所述確定風險的級別，為：

根據所述風險值，確定所述風險的級別。

7.根據權利要求1或2所述的方法，其特征在于，當所述風險值大于等于設置的閾值后，該方法進一步包括：

變更當前的安全控制措施，以降低信息資產的風險值。

8.一種信息資產安全的檢測系統，其特征在于，該系統包括：安全檢測子系統，用于依據選定的信息安全檢測標準，對信息安全相關的信息資產進行資產識別分析；確定資產識別分析后的每個信息資產的自身脆弱性漏洞及威脅源，根據所述脆弱性漏洞及威脅源，確定每個信息資產的風險的影響范圍值及發生的可能性值；依據確定的風險的影響范圍值及發生的可能性值，確定每個信息資產的風險值，并確定風險的級別。

9.根據權利要求8所述的系統，其特征在于，該系統進一步包括：采集子系統，用于采集所述信息相關的信息資產。

10.根據權利要求8所述的系統，其特征在于，該系統進一步包括：控制子系統，用于收到安全檢測子系統的通知后，變更當前的安全控制措施，以降低信息資產的風險值；

所述安全檢測子系統，還用于當所述信息資產的風險值大于等于設置的閾值后，通知控制子系統。

11.根據權利要求8所述的系統，其特征在于，該系統進一步包括：漏洞掃描子系統，用于掃描每個信息資產的自身脆弱性漏洞，并發送給安全檢測子系統；

所述安全檢測子系統，在確定資產識別分析后的每個信息資產的自身脆弱性漏洞時，還用于接收漏洞掃描子系統發送的每個信息資產的自身脆弱性漏洞。

12.根據權利要求8所述的系統，其特征在于，該系統進一步包括：數據庫服務器，用于存儲信息安全檢測標準及采集的所述信息相關的信息資產。

13.根據權利要求8至12任一項所述的系統，其特征在于，該系統進一步包括：操作系統及應用服務器，用于為安全檢測子系統、采集子系統、更換子系統、漏洞掃描子系統提供底層支持。