[發明專利]信息安全風險評估方法、裝置、終端設備及存儲介質

有效

• 申請號: 202310042513.8
• 申請日: 2023-01-28
• 公開（公告）號: CN116050841B
• 公開（公告）日: 2023-06-13
• 發明（設計）人: 趙增振;陳永剛;祿凱;任金強;劉豐;葛曉囡
• 申請（專利權）人: 國家信息中心
• 主分類號: G06Q10/0635
• 分類號: G06Q10/0635;G06Q50/26;G06Q50/30
• 代理公司: 北京秉文同創知識產權代理事務所(普通合伙) 11859
• 代理人: 陳少麗;孫富利

1.一種信息安全風險評估方法，其特征在于，所述方法包括：

獲取拒絕服務的威脅主體、威脅路徑和威脅頻率；其中，所述威脅路徑和所述威脅頻率與所述威脅主體相對應；

根據所述威脅主體、所述威脅路徑和所述威脅頻率，確定與所述拒絕服務對應的威脅值；

獲取不同資產對應的安全措施的脆弱性參數；

根據所述與所述拒絕服務對應的威脅值和所述不同資產對應的安全措施的脆弱性參數，進行風險等級評估，所述脆弱性參數至少包括：可防護等級、可利用等級、資產重要性、脆弱性的危害等級和數目；

所述根據所述與所述拒絕服務對應的威脅值和所述不同資產對應的安全措施的脆弱性參數，進行風險等級評估，包括：

對各個資產的脆弱性的可防護等級和可利用等級進行加權計算，得到脆弱性被利用難易程度；

根據所述與所述拒絕服務對應的威脅值與所述脆弱性被利用難易程度，確定安全事件發生的可能性；

對各個資產的資產重要性、脆弱性的危害等級和數目進行加權計算，得到安全事件發生的損失；

根據所述安全事件發生的可能性和所述安全事件發生后的損失，計算風險值；

根據所述風險值，確定風險等級。

2.根據權利要求1所述的信息安全風險評估方法，其特征在于，所述根據所述威脅主體、所述威脅路徑和所述威脅頻率，確定與所述拒絕服務對應的威脅值，包括：

根據與所述威脅主體對應的威脅能力值和所述威脅頻率值，分別確定網絡流量消耗威脅值、連接數消耗威脅值和漏洞利用威脅值；

對所述網絡流量消耗威脅值、所述連接數消耗威脅值和所述漏洞利用威脅值進行加權計算，并根據時機調整因子進行調整，得出與所述拒絕服務對應的威脅值。

3.根據權利要求2所述的信息安全風險評估方法，其特征在于，所述根據與所述威脅主體對應的所述威脅能力值和所述威脅頻率值，分別確定網絡流量消耗威脅值、連接數消耗威脅值和漏洞利用威脅值，包括：

在與所述威脅主體對應的威脅能力值和所述威脅頻率值的取值范圍一致的情況下，對所述威脅能力值和所述威脅頻率值采用歸一計算法，分別計算所述網絡流量消耗威脅值、連接數消耗威脅值和漏洞利用威脅值。

4.根據權利要求2所述的信息安全風險評估方法，其特征在于，所述根據與所述威脅主體對應的所述威脅能力值和所述威脅頻率值，分別確定網絡流量消耗威脅值、連接數消耗威脅值和漏洞利用威脅值，包括：

在與所述威脅主體對應的威脅能力值和所述威脅頻率值的取值范圍不一致的情況下，采用查表計算法，確定網絡流量消耗威脅值、連接數消耗威脅值和漏洞利用威脅值。

5.一種信息安全風險評估裝置，其特征在于，所述裝置包括：

第一獲取模塊，用于獲取拒絕服務的威脅主體、威脅路徑和威脅頻率；其中，所述威脅路徑和所述威脅頻率與所述威脅主體相對應；

確定模塊，用于根據所述威脅主體、所述威脅路徑和所述威脅頻率，確定與所述拒絕服務對應的威脅值；

第二獲取模塊，用于獲取不同資產對應的安全措施的脆弱性參數；

評估模塊，用于根據所述與所述拒絕服務對應的威脅值和所述不同資產對應的安全措施的脆弱性參數，進行風險等級評估，所述脆弱性參數至少包括：可防護等級、可利用等級、資產重要性、脆弱性的危害等級和數目，所述評估模塊，具體用于：

對各個資產的脆弱性的可防護等級和可利用等級進行加權計算，得到脆弱性被利用難易程度；

根據所述與所述拒絕服務對應的威脅值與所述脆弱性被利用難易程度，確定安全事件發生的可能性；

對各個資產的資產重要性、脆弱性的危害等級和數目進行加權計算，得到安全事件發生的損失；

根據所述安全事件發生的可能性和所述安全事件發生后的損失，計算風險值；

根據所述風險值，確定風險等級。