[發(fā)明專利]信息安全風(fēng)險評估方法、裝置、終端設(shè)備和存儲介質(zhì)

有效

• 申請?zhí)枺?/td>: 202210620942.4
• 申請日: 2022-06-02
• 公開（公告）號: CN115022041B
• 公開（公告）日: 2023-04-07
• 發(fā)明（設(shè)計）人: 陳一博;張浩
• 申請（專利權(quán)）人: 河南農(nóng)業(yè)大學(xué)
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京秉文同創(chuàng)知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11859
• 代理人: 陳少麗;張文武

1.一種信息安全風(fēng)險評估方法，其特征在于，所述方法包括：

確定待評估對象對應(yīng)的威脅行為；

根據(jù)所述威脅行為的特性，確定與所述威脅行為對應(yīng)的影響因素；

根據(jù)所述威脅行為和所述影響因素，確定所述威脅行為對應(yīng)的安全防護(hù)措施；

根據(jù)所述安全防護(hù)措施的重要程度，確定每個所述安全防護(hù)措施的權(quán)重；

根據(jù)每個安全防護(hù)措施的現(xiàn)場查驗結(jié)果，確定每個安全防護(hù)措施的有效性值；

根據(jù)所述安全防護(hù)措施的權(quán)重和所述安全防護(hù)措施的有效性值，確定所述待評估對象的脆弱值，所述脆弱值用于對所述待評估對象進(jìn)行風(fēng)險評估，包括：

對于一個威脅行為，確定所述威脅行為對應(yīng)的每個影響因素對應(yīng)的第一脆弱值，其中，所述第一脆弱值是根據(jù)各個影響因素對應(yīng)的安全防護(hù)措施的權(quán)重和與所述安全防護(hù)措施對應(yīng)的有效性值確定的；其中，所述各個影響因素對應(yīng)的安全防護(hù)措施的權(quán)重至少包括保密性影響因素對應(yīng)的安全防護(hù)措施的權(quán)重、可用性影響因素對應(yīng)的安全防護(hù)措施的權(quán)重和完整性影響因素對應(yīng)的安全防護(hù)措施的權(quán)重中的一種；

根據(jù)所述各個影響因素對應(yīng)的第一脆弱值和與所述第一脆弱值對應(yīng)的權(quán)重值，確定所述威脅行為的第二脆弱值；

根據(jù)多個所述威脅行為的第二脆弱值，確定所述待評估對象的與所述影響因素對應(yīng)的第一整體脆弱值；

根據(jù)所述第一整體脆弱值，確定所述待評估對象的第二整體脆弱值。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述確定待評估對象對應(yīng)的威脅行為，包括：

根據(jù)預(yù)設(shè)威脅行為標(biāo)準(zhǔn)、待評估對象的屬性和威脅行為統(tǒng)計信息，確定所述待評估對象對應(yīng)的威脅行為，其中，所述預(yù)設(shè)威脅行為標(biāo)準(zhǔn)包括威脅類型和與所述威脅類型對應(yīng)的威脅行為；所述威脅行為統(tǒng)計信息是根據(jù)歷史威脅行為類型和所述歷史威脅行為的發(fā)生的頻率值確定的。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述影響因素包括保密性、可用性和完整性，所述根據(jù)所述威脅行為的特性，確定與所述威脅行為對應(yīng)的影響因素，包括：

根據(jù)所述威脅行為的特性，確定所述威脅行為對所述待評估對象產(chǎn)生的保密性影響因素；

或

根據(jù)所述威脅行為的特性，確定所述威脅行為對所述待評估對象產(chǎn)生的可用性影響因素；

或

根據(jù)所述威脅行為的特性，確定所述威脅行為對所述待評估對象產(chǎn)生的完整性影響因素。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述根據(jù)所述威脅行為和所述影響因素，確定所述威脅行為對應(yīng)的安全防護(hù)措施，包括：

根據(jù)所述待評估對象的領(lǐng)域和行業(yè)特性，確定與所述待評估對象對應(yīng)的預(yù)設(shè)安全要求信息；

根據(jù)所述預(yù)設(shè)安全要求信息和預(yù)先設(shè)置的安全防護(hù)措施列表，確定所述待評估對象的一個或多個威脅行為對應(yīng)的保密性影響因素對應(yīng)的安全防護(hù)措施；

和/或

根據(jù)所述預(yù)設(shè)安全要求信息和預(yù)先設(shè)置的安全防護(hù)措施列表，確定所述待評估對象的一個或多個威脅行為對應(yīng)的可用性影響因素對應(yīng)的安全防護(hù)措施；

和/或

根據(jù)所述預(yù)設(shè)安全要求信息和預(yù)先設(shè)置的安全防護(hù)措施列表，確定所述待評估對象的一個或多個威脅行為對應(yīng)的完整性影響因素對應(yīng)的安全防護(hù)措施；

其中，所述安全防護(hù)措施列表包括威脅行為和與所述威脅行為對應(yīng)的保密性影響因素的安全防護(hù)措施、可用性影響因素對應(yīng)的安全防護(hù)措施和完整性影響因素對應(yīng)的安全防護(hù)措施。