[發(fā)明專利]基于故障樹的信息系統(tǒng)風(fēng)險評估裝置及方法

有效

• 申請?zhí)枺?/td>: 201710769756.6
• 申請日: 2017-08-31
• 公開（公告）號: CN107563639B
• 公開（公告）日: 2021-03-12
• 發(fā)明（設(shè)計）人: 賈麗;譚曉輝;楊旭
• 申請（專利權(quán)）人: 中國農(nóng)業(yè)銀行股份有限公司
• 主分類號: G06Q10/06
• 分類號: G06Q10/06
• 代理公司: 中科專利商標(biāo)代理有限責(zé)任公司 11021
• 代理人: 任巖

1.一種基于故障樹的信息系統(tǒng)風(fēng)險評估方法，包括：

以客戶信息泄露事件為頂事件，確定中間事件及基本事件，建立故障樹；以及

基于故障樹分析法對所述信息系統(tǒng)進行風(fēng)險評估。

2.根據(jù)權(quán)利要求1所述的基于故障樹的信息系統(tǒng)風(fēng)險評估方法，其中，所述頂事件與中間事件之間，中間事件彼此之間，中間事件與底事件之間，底事件彼此之間的事件關(guān)系為邏輯與或邏輯或關(guān)系。

3.根據(jù)權(quán)利要求2所述的基于故障樹的信息系統(tǒng)風(fēng)險評估方法，其中，所述基于故障樹分析法對信息系統(tǒng)進行風(fēng)險評估的步驟包括：

對所述故障樹的基本事件進行賦值；

根據(jù)基本事件的賦值，及各事件之間的事件關(guān)系，通過故障樹的邏輯算法計算信息系統(tǒng)的風(fēng)險值。

4.根據(jù)權(quán)利要求3所述的基于故障樹的信息系統(tǒng)風(fēng)險評估方法，其中，所述中間事件為導(dǎo)致頂事件發(fā)生的原因事件，所述基本事件為導(dǎo)致頂事件發(fā)生的最初始的原因事件；基于事故案例搜集、事故統(tǒng)計確定所述中間事件及基本事件；通過調(diào)查或模糊分析確定所述基本事件的取值大小。

5.根據(jù)權(quán)利要求1所述的基于故障樹的信息系統(tǒng)風(fēng)險評估方法，其中，所述中間事件包括：

物理泄露事件，以物理存儲介質(zhì)方式承載的客戶信息被泄露；

網(wǎng)絡(luò)泄露事件，客戶信息通過網(wǎng)絡(luò)被泄露；以及

系統(tǒng)泄露事件，在系統(tǒng)使用時，由于權(quán)限過大或功能展現(xiàn)內(nèi)容或數(shù)量過多造成客戶信息泄露事件。

6.根據(jù)權(quán)利要求1所述的基于故障樹的信息系統(tǒng)風(fēng)險評估方法，其中，所述基本事件包括：

A類基本事件，與所述物理泄露事件相關(guān)，包括：無監(jiān)控、允許打印、允許拷貝、允許轉(zhuǎn)移、允許截屏、系統(tǒng)可導(dǎo)出客戶信息文件、臨時文件存放了客戶信息；

B類基本事件，與所述網(wǎng)絡(luò)泄露事件相關(guān)，包括：聯(lián)通互聯(lián)網(wǎng)、使用安全掃描程序發(fā)現(xiàn)漏洞、內(nèi)部網(wǎng)絡(luò)用戶存在安全威脅；以及

C類基本事件，與所述系統(tǒng)泄露事件相關(guān)，包括：可以查詢?nèi)我豢蛻舻目蛻粜畔ⅰ⒋嬖谀骋还δ苣軌蛘宫F(xiàn)較多客戶信息、存在超級用戶可以訪問任意客戶信息、無操作記錄。

7.根據(jù)權(quán)利要求6所述的基于故障樹的信息系統(tǒng)風(fēng)險評估方法，其中，風(fēng)險值r＝a1×[a2×(a5+a6)+a3×(a5+a6+a7)+a4×(a5+a6+a7)]+b1+b2+b3+(c1+c2+c3)×c4；式中，a1為無監(jiān)控基本事件的取值；a2為允許打印基本事件的取值、a3為允許拷貝基本事件的取值；a4為允許轉(zhuǎn)移基本事件的取值；a5為允許截屏基本事件的取值；a6為系統(tǒng)可導(dǎo)出客戶信息文件基本事件的取值；a7為臨時文件存放了客戶信息基本事件的取值；b1為聯(lián)通互聯(lián)網(wǎng)基本事件的取值；b2為使用安全掃描程序發(fā)現(xiàn)漏洞基本事件的取值；b3為內(nèi)部網(wǎng)絡(luò)用戶存在安全威脅基本事件的取值；c1為可以查詢?nèi)我豢蛻舻目蛻粜畔⒒臼录娜≈担籧2為存在某一功能能夠展現(xiàn)較多客戶信息基本事件的取值；c3為存在超級用戶可以訪問任意客戶信息基本事件的取值；c4為無操作記錄基本事件的取值。

8.一種基于故障樹的信息系統(tǒng)風(fēng)險評估裝置，包括：

處理模塊，用于以客戶信息泄露事件為頂事件，確定中間事件及基本事件，建立故障樹，并基于故障樹分析法對所述信息系統(tǒng)進行風(fēng)險評估。

9.根據(jù)權(quán)利要求8所述的基于故障樹的信息系統(tǒng)風(fēng)險評估裝置，還包括：

賦值模塊，用于接收所述處理模塊發(fā)送的故障樹信息，對所述故障樹的基本事件進行賦值；以及

計算模塊，用于根據(jù)基本事件的賦值，及各事件之間的事件關(guān)系，通過故障樹的邏輯算法計算信息系統(tǒng)的風(fēng)險值。

10.一種機器可讀的記錄介質(zhì)，其中，當(dāng)所述機器可執(zhí)行指令被執(zhí)行時，使得機器實施權(quán)利要求1至7中任意一項所述的方法。