[發(fā)明專利]一種信息系統(tǒng)風(fēng)險(xiǎn)評估方法及裝置

在審

• 申請?zhí)枺?/td>: 201611264193.7
• 申請日: 2016-12-30
• 公開（公告）號(hào): CN106713333A
• 公開（公告）日: 2017-05-24
• 發(fā)明（設(shè)計(jì)）人: 趙粵征;肖巖軍;李瀛;贠珊
• 申請（專利權(quán)）人: 北京神州綠盟信息安全科技股份有限公司;北京神州綠盟科技有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司11291
• 代理人: 黃志華

1.一種信息系統(tǒng)風(fēng)險(xiǎn)評估方法，其特征在于，該方法包括：

確定信息系統(tǒng)內(nèi)每個(gè)評估對象的各個(gè)風(fēng)險(xiǎn)基本要素的值，所述各個(gè)風(fēng)險(xiǎn)基本要素至少包括資產(chǎn)、威脅、脆弱性三個(gè)基本要素；

針對所述信息系統(tǒng)內(nèi)的任意一個(gè)安全域的任意一個(gè)風(fēng)險(xiǎn)基本要素，將所述安全域內(nèi)的各個(gè)評估對象的所述風(fēng)險(xiǎn)基本要素的值作為模型因子，利用預(yù)設(shè)的概率計(jì)算模型計(jì)算得到所述安全域的所述風(fēng)險(xiǎn)基本要素的值，其中，在所述概率計(jì)算模型中所述安全域內(nèi)的各個(gè)評估對象的所述風(fēng)險(xiǎn)基本要素的最大值對應(yīng)的權(quán)重值最大；

根據(jù)所述安全域的每個(gè)風(fēng)險(xiǎn)基本要素的值，利用風(fēng)險(xiǎn)估算法求得所述安全域的風(fēng)險(xiǎn)值。

2.如權(quán)利要求1所述的方法，其特征在于，還包括：

針對所述信息系統(tǒng)內(nèi)的任意一個(gè)風(fēng)險(xiǎn)基本要素，將所述信息系統(tǒng)內(nèi)的各個(gè)安全域的所述風(fēng)險(xiǎn)基本要素的值作為模型因子，利用預(yù)設(shè)的所述概率計(jì)算模型計(jì)算得到所述信息系統(tǒng)的所述風(fēng)險(xiǎn)基本要素的值，其中，在所述概率計(jì)算模型中所述信息系統(tǒng)內(nèi)的各個(gè)安全域的所述風(fēng)險(xiǎn)基本要素的最大值對應(yīng)的權(quán)重值最大；

根據(jù)所述信息系統(tǒng)的風(fēng)險(xiǎn)基本要素的值，利用風(fēng)險(xiǎn)評估算法求得所述信息系統(tǒng)的風(fēng)險(xiǎn)值。

3.如權(quán)利要求1或2所述的方法，其特征在于，所述預(yù)設(shè)的概率計(jì)算模型如公式一所示，

所述公式一為：

$R^{\′}=R_1+\underset{i=2}{\overset{n}{\mathrm{\Σ}}}\mathrm{\μ}\left(\frac{{R_i}^2}{Max\left(R\right)\×R_1}\right)$

其中，R為資產(chǎn)、威脅、脆弱性三個(gè)風(fēng)險(xiǎn)基本要素中的任意一個(gè)，R的取值范圍為[0,Max(R)]，其中Max(R)為大于等于1的理論最大值，R1為所述風(fēng)險(xiǎn)基本要素R的實(shí)際最大值，u為收斂系數(shù)，取值在0至1/(n+Max(R))之間，n為有n個(gè)待計(jì)算的風(fēng)險(xiǎn)基本要素值，R_i為除了所述最大值之外的風(fēng)險(xiǎn)基本要素的值，R’為求得的風(fēng)險(xiǎn)基本要素的值。

4.如權(quán)利要求1或2所述的方法，其特征在于，所述風(fēng)險(xiǎn)估算法如公式二所示，

所述公式二為：

風(fēng)險(xiǎn)值＝Round1{Log2[(A×2The+B×2Vul+C×2Con)/3]}×Asset(value)

其中，The代表威脅行為權(quán)值；Vul代表脆弱性的權(quán)值；Con代表彌補(bǔ)措施的權(quán)值；Round函數(shù)是按制定位數(shù)，對數(shù)值四舍五入的函數(shù)，Round1表示保留1位小數(shù)；Asset(value)代表資產(chǎn)價(jià)值；A為威脅行為權(quán)值的系數(shù)；B為脆弱性的權(quán)值的系數(shù)；C為彌補(bǔ)措施的權(quán)值的系數(shù)。

5.如權(quán)利要求2所述的方法，其特征在于，利用風(fēng)險(xiǎn)評估算法求得所述信息系統(tǒng)的風(fēng)險(xiǎn)值之后，還包括：

生成所述信息系統(tǒng)的安全風(fēng)險(xiǎn)報(bào)告，其中所述安全風(fēng)險(xiǎn)報(bào)告包括：能夠?qū)е嘛L(fēng)險(xiǎn)的安全事件和安全漏洞的清單，以及各種安全事件和安全漏洞所對應(yīng)的安全風(fēng)險(xiǎn)等級。