[發明專利]一種信息資產安全的檢測方法及系統

無效

• 申請號: 201110343733.1
• 申請日: 2011-11-03
• 公開（公告）號: CN102402723A
• 公開（公告）日: 2012-04-04
• 發明（設計）人: 溫旭;李華;陳偉;劉敬國
• 申請（專利權）人: 北京谷安天下科技有限公司
• 主分類號: G06Q10/00
• 分類號: G06Q10/00
• 代理公司: 北京派特恩知識產權代理事務所(普通合伙) 11270
• 代理人: 張穎玲;孟桂超

技術領域

本發明涉及信息安全技術，特別是指一種信息資產安全的檢測方法及系統。

背景技術

隨著信息化的快速發展，使得信息網絡使用單位的安全防范意識大大增強，但信息網絡安全的管理人員數量有限、安全防范措施管理不善、安全服務機制缺乏、以及未建立整體的信息安全管理體系的問題仍比較突出，這些問題是近年來信息網絡安全事件持續上升的主要原因。

目前，在進行信息資產安全的檢測時，只局限于網絡、主機及應用的漏洞掃描等方面，換句話說，在檢測時，只注重對外部入侵事件的檢測，而缺乏對內部信息安全事件的檢測。由于對信息資產安全的威脅，不僅包括外部入侵事件，而且還包括內部信息安全事件；并且，根據最新的統計，外部入侵事件僅占所有信息安全事件的20％～30％，內部信息安全事件則占到70％～80％，且隨著時間的推移，內部信息安全事件所占的比例會呈現進一步擴大的趨勢，這樣，會使得信息資產安全受到內部信息安全事件的嚴重威脅，從而損害了信息網絡使用單位的利益。這里，所述信息安全是指：對信息的保護、以及信息所在的信息系統運行的安全及風險的控制，具體地，所述信息是指：信息系統處理、傳輸、以及存儲的信息。

并且，目前，在檢測時，主要采用人工檢測的方式，如此，會造成檢測出的結果缺乏客觀性、準確性和時效性。

發明內容

有鑒于此，本發明的主要目的在于提供一種信息資產安全的檢測方法及系統，能自動、有效地對信息資產的安全性進行檢測。

為達到上述目的，本發明的技術方案是這樣實現的：

本發明提供了一種信息資產安全的檢測方法，該方法包括：

依據選定的信息安全檢測標準，對信息安全相關的信息資產進行資產識別分析；

確定資產識別分析后的每個信息資產的自身脆弱性漏洞及威脅源；

根據所述脆弱性漏洞及威脅源，確定每個信息資產的風險的影響范圍值及發生的可能性值；

依據確定的風險的影響范圍值及發生的可能性值，確定每個信息資產的風險值，并確定風險的級別。

上述方案中，在對信息安全相關的信息資產進行資產識別分析之前，該方法進一步包括：

采集所述信息安全相關的信息資產，并保存。

上述方案中，所述依據選定的信息安全檢測標準，對信息安全相關的信息資產進行資產識別分析，為：

依據選定的信息安全檢測標準，確定所述信息安全相關的信息中每個信息資產所屬的資產類別；

根據每個信息資產所屬的資產類別及所支撐業務的重要性，確定每個信息資產的機密性值、完整性值及可用性值；

根據確定的每個信息資產的機密性值、完整性值及可用性值，確定每個信息資產的資產價值。

上述方案中，所述根據確定的每個信息資產的機密性值、完整性值及可用性值，確定每個信息資產的資產價值，為：

依據確定每個信息資產的資產價值；

其中，V表示信息資產的資產價值，C表示信息資產的機密性值，I表示信息資產的完整性值，A表示信息資產的可用性值。

上述方案中，所述依據確定的風險的影響范圍值及發生的可能性值，確定每個信息資產的風險值，為：

依據R＝V×i×p確定每個信息資產的風險值；

其中，R表示信息資產的風險值，V表示信息資產的資產價值，i表示信息資產的風險的影響范圍值，p表示信息資產的風險發生的可能性值。

上述方案中，所述確定風險的級別，為：

根據所述風險值，確定所述風險的級別。

上述方案中，當所述風險值大于等于設置的閾值后，該方法進一步包括：

變更當前的安全控制措施，以降低信息資產的風險值。

本發明還提供了一種信息資產安全的檢測系統，該系統包括：安全檢測子系統，用于依據選定的信息安全檢測標準，對信息安全相關的信息資產進行資產識別分析；確定資產識別分析后的每個信息資產的自身脆弱性漏洞及威脅源，根據所述脆弱性漏洞及威脅源，確定每個信息資產的風險的影響范圍值及發生的可能性值；依據確定的風險的影響范圍值及發生的可能性值，確定每個信息資產的風險值，并確定風險的級別。

上述方案中，該系統進一步包括：采集子系統，用于采集所述信息相關的信息資產。

上述方案中，該系統進一步包括：控制子系統，用于收到安全檢測子系統的通知后，變更當前的安全控制措施，以降低信息資產的風險值；

所述安全檢測子系統，還用于當所述信息資產的風險值大于等于設置的閾值后，通知控制子系統。