一种信息系统的多层次信息安全风险评估方法与装置制造方法及图纸

本发明专利技术公开了一种信息系统的多层次信息安全风险评估方法及装置，所述方法包括：构建信息系统的资产层次模型；确定子系统的资产价值；确定信息系统的全部已知威胁，通过预先配置的赋值表查询得到威胁的行为能力值、频率值和时机值，再计算得到每个威胁的数值；确定威胁的作用路径的各个子系统的脆弱性影响程度数值和脆弱性被利用难易程度数值；确定面临每种威胁时子系统的第一信息安全风险，再基于每种威胁时子系统的第一信息安全风险确定子系统的综合信息安全风险；确定各个业务系统的信息安全风险，以及信息系统的信息安全风险。解决了多层次信息安全风险评估方法量化计算的问题，填补了行业空白，可指导复杂信息系统的信息安全风险评估工作。信息安全风险评估工作。信息安全风险评估工作。

【技术实现步骤摘要】
一种信息系统的多层次信息安全风险评估方法与装置


[0001]本专利技术涉及信息安全
，具体涉及一种信息系统的多层次信息安全风险评估方法与装置。

技术介绍

[0002]2022年4月，国家标准GB/T 20984
‑
2022《信息安全技术信息安全风险评估方法》正式发布，对GB/T 20984
‑
2007《信息安全技术信息安全风险评估规范》进行了修订，对风险评估方法作出了重大变化。新国家标准GB/T 20984
‑
2022《信息安全技术信息安全风险评估方法》首先将评估对象按照业务系统、子系统、系统组件和单元三个层次进行识别，然后从资产价值、威胁和脆弱性三个维度来评估系统资产风险，最后综合评估业务风险。
[0003]虽然GB/T 20984
‑
2022《信息安全技术信息安全风险评估方法》给出了评估方法的原则、各参数赋值方法，但是没有提供依据各参数如何计算资产价值和威胁的量化方法，也没有提供从系统组件和单元脆弱性如何计算子系统脆弱性的量化方法，更没有提供子系统信息安全风险值和业务系统信息安全风险值的量化计算方法，导致风险评估只能定性分析，不能量化计算。

技术实现思路

[0004]有鉴于此，本专利技术提供了一种信息系统的多层次信息安全风险评估方法与装置，能够解决如何量化计算子系统信息安全风险值和业务系统信息安全风险值、如何进行多层次信息安全风险评估量化计算的技术问题，可用于复杂信息系统的信息安全风险评估。
[0005]为了解决上述技术问题，本专利技术是这样实现的。
[0006]一种信息系统的可量化的多层次信息安全风险评估方法，所述方法包括如下步骤：
[0007]步骤S1：获取信息系统能够运行的业务系统、支撑业务系统的子系统、支撑所述子系统的系统组件和单元的对应关系，构建所述信息系统的资产层次模型，所述资产为由软件和硬件构成的系统组件和单元、子系统或业务系统；
[0008]步骤S2：基于资产层次模型，获取业务系统的重要性、子系统对业务系统的承载性、子系统的保密性、完整性和可用性的信息，通过预先配置的赋值表查询获得重要性、承载性、保密性、完整性和可用性的数值，再计算得到子系统的资产价值；所述资产价值是指资产的保密性、完整性、可用性、承载性被破坏后造成影响的严重程度；
[0009]步骤S3：根据所述信息系统的日志数据、安全事件、监测数据，确定所述信息系统的全部已知威胁，通过预先配置的赋值表查询得到威胁的行为能力值、频率值和时机值，再计算得到每个威胁的数值；所述威胁是指对信息系统的各个系统组件和单元造成危害的潜在因素；
[0010]步骤S4：基于漏洞扫描报告、安全基线测评报告中的脆弱性检测结果以及威胁作用路径，通过预先配置的赋值表查询得到威胁能够利用的各个脆弱性的影响程度数值和被
利用难易程度数值，并获取安全措施减弱脆弱性的影响程度或增加脆弱性的被利用难易程度的信息，通过预置调减规则对影响程度数值或被利用难易程度数值进行调减；再确定所述威胁作用路径的各个系统组件和单元的综合脆弱性影响程度数值和综合脆弱性被利用难易程度数值；然后确定所述威胁的作用路径的各个子系统的脆弱性影响程度数值和脆弱性被利用难易程度数值；所述脆弱性是指软件、硬件或信息系统在设计、配置、运行、维护过程中，无意或有意产生的、能够被利用的缺陷或薄弱点；所述脆弱性影响程度是指脆弱性被威胁利用造成的损害大小，所述脆弱性被利用难易程度是指脆弱性被威胁利用的难易程度；
[0011]步骤S5：基于所述各子系统的资产价值、脆弱性影响程度、脆弱性被利用难易程度以及所述威胁，确定面临每种威胁时子系统的第一信息安全风险，再基于每种威胁时子系统的第一信息安全风险确定子系统的综合信息安全风险；
[0012]步骤S6：基于资产层次模型、子系统的综合信息安全风险确定各个业务系统的信息安全风险，以及所述信息系统的信息安全风险。
[0013]优选地，所述步骤S2，基于资产层次模型，获取业务系统的重要性、子系统对业务系统的承载性、子系统的保密性、完整性和可用性的信息，通过预先配置的赋值表查询获得重要性、承载性、保密性、完整性和可用性的数值，再计算得到子系统的资产价值，包括：
[0014]步骤S21：根据业务系统、子系统的具体状态信息，获取业务系统的重要性、子系统对业务系统的承载性、子系统的保密性、完整性和可用性，通过预先配置的赋值表查询获得所述重要性值、所述承载性值、所述子系统的保密性值、完整性值和可用性值；所述预选配置的赋值表是通过多次的历史数据统计获得的：
[0015]步骤S22：根据查询到的重要性值、承载性值、子系统的保密性值、完整性值和可用性值，计算得到子系统的资产价值；
[0016][0017]其中，Va
ij
为第i个业务系统的第j个子系统的资产价值，数值越大表示子系统的安全属性被破坏后对组织安全和利益造成的影响越严重，Vb
i
为第i个业务系统的重要性值，CA
ij
为第j个子系统对第i个业务系统的承载性值，Sa
ij
为第i个业务系统的第j个子系统的保密性值，Ia
ij
为第i个业务系统的第j个子系统的完整性值，Ua
ij
为第i个业务系统的第j个子系统的可用性值。
[0018]优选地，所述步骤S3：根据所述信息系统的日志数据、安全事件、监测数据，确定所述信息系统的全部已知威胁，通过预先配置的赋值表查询得到威胁的行为能力值、频率值和时机值，再计算得到每个威胁的数值，包括：
[0019]步骤S31：根据所述信息系统的日志数据、安全事件、监控数据，获取威胁的行为能力、频率和时机的信息，再通过预先配置的赋值表查询得到威胁的行为能力值、频率值和时机值；
[0020]步骤S32，根据每个威胁的行为能力值、频率值和时机值，计算得到每个威胁的威胁值：
[0021][0022]其中，所述T
m
为信息系统面临的第m个威胁的威胁值；假设信息系统面临的威胁数量全集是M个，M≥m≥1，所述TC
m
为第m个威胁的行为能力值，所述TF
m
为第m个威胁的频率值，所述σ
m
为第m个威胁的时机值。
[0023]优选地，所述步骤S4：基于漏洞扫描报告、安全基线测评报告中的脆弱性检测结果以及威胁作用路径，通过预先配置的赋值表查询得到威胁能够利用的各个脆弱性的影响程度数值和被利用难易程度数值，并获取安全措施减弱脆弱性的影响程度或增加脆弱性的被利用难易程度的信息，通过预置调减规则对影响程度数值或被利用难易程度数值进行调减，包括：
[0024]步骤S41：基于漏洞扫描报告、基线测评报告的脆弱性检测结果，获取所述威胁的作用路径涉及的各个系统组件和单元涉及的漏洞或安全基线不符合项作为脆弱性信息；信息系统的脆弱性基于漏洞情况、安全基线不符合情况确定；
[00本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种信息系统的多层次信息安全风险评估方法，其特征在于，所述方法包括如下步骤：步骤S1：获取信息系统能够运行的业务系统、支撑业务系统的子系统、支撑所述子系统的系统组件和单元的对应关系，构建所述信息系统的资产层次模型，所述资产为由软件和/或硬件构成的系统组件和单元、子系统或业务系统；步骤S2：基于资产层次模型，获取业务系统的重要性、子系统对业务系统的承载性、子系统的保密性、完整性和可用性的信息，通过预先配置的赋值表查询获得重要性、承载性、保密性、完整性和可用性的数值，再计算得到子系统的资产价值；所述资产价值是指资产的保密性、完整性、可用性、承载性被破坏后造成影响的严重程度；步骤S3：根据所述信息系统的日志数据、安全事件、监测数据，确定所述信息系统的全部已知威胁，通过预先配置的赋值表查询得到威胁的行为能力值、频率值和时机值，再计算得到每个威胁的数值；所述威胁是指对信息系统的各个系统组件和单元造成危害的潜在因素；步骤S4：基于漏洞扫描报告、安全基线测评报告中的脆弱性检测结果以及威胁作用路径，通过预先配置的赋值表查询得到威胁能够利用的各个脆弱性的影响程度数值和被利用难易程度数值，并获取安全措施减弱脆弱性的影响程度或增加脆弱性的被利用难易程度的信息，其中，通过预置调减规则对影响程度数值或被利用难易程度数值进行调减；再确定所述威胁作用路径的各个系统组件和单元的综合脆弱性影响程度数值和综合脆弱性被利用难易程度数值；然后确定所述威胁的作用路径的各个子系统的脆弱性影响程度数值和脆弱性被利用难易程度数值；所述脆弱性是指软件、硬件或信息系统在设计、配置、运行、维护过程中，无意或有意产生的、能够被利用的缺陷或薄弱点；所述脆弱性的影响程度是指脆弱性被威胁利用造成的损害大小，所述脆弱性被利用难易程度是指脆弱性被威胁利用的难易程度；步骤S5：基于所述各子系统的资产价值、脆弱性影响程度、脆弱性被利用难易程度以及所述威胁，确定面临每种威胁时子系统的第一信息安全风险，再基于每种威胁时子系统的第一信息安全风险确定子系统的综合信息安全风险；步骤S6：基于资产层次模型、子系统的综合信息安全风险确定各个业务系统的信息安全风险，以及所述信息系统的信息安全风险。2.如权利要求1所述的方法，其特征在于，所述步骤S2，基于资产层次模型，获取业务系统的重要性、子系统对业务系统的承载性、子系统的保密性、完整性和可用性的信息，通过预先配置的赋值表查询获得重要性、承载性、保密性、完整性和可用性的数值，再计算得到子系统的资产价值，包括：步骤S21：根据业务系统、子系统的具体状态信息，获取业务系统的重要性、子系统对业务系统的承载性、子系统的保密性、完整性和可用性，通过预先配置的赋值表查询获得所述重要性值、所述承载性值、所述子系统的保密性值、完整性值和可用性值；所述预选配置的赋值表是通过多次的历史数据统计获得的：步骤S22：根据查询到的重要性值、承载性值、子系统的保密性值、完整性值和可用性值，计算得到子系统的资产价值；
其中，Va
ij
为第i个业务系统的第j个子系统的资产价值，数值越大表示子系统的安全属性被破坏后对组织安全和利益造成的影响越严重，Vb
i
为第i个业务系统的重要性值，CA
ij
为第j个子系统对第i个业务系统的承载性值，Sa
ij
为第i个业务系统的第j个子系统的保密性值，Ia
ij
为第i个业务系统的第j个子系统的完整性值，Ua
ij
为第i个业务系统的第j个子系统的可用性值。3.如权利要求1
‑
2中任一项所述的方法，其特征在于，所述步骤S3：根据所述信息系统的日志数据、安全事件、监测数据，确定所述信息系统的全部已知威胁，通过预先配置的赋值表查询得到威胁的行为能力值、频率值和时机值，再计算得到每个威胁的数值，包括：步骤S31：根据所述信息系统的日志数据、安全事件、监控数据，获取威胁的行为能力、频率和时机的信息，再通过预先配置的赋值表查询得到威胁的行为能力值、频率值和时机值；步骤S32，根据每个威胁的行为能力值、频率值和时机值，计算得到每个威胁的威胁值：其中，所述T
m
为信息系统面临的第m个威胁的威胁值；假设信息系统面临的威胁数量全集是M个，M≥m≥1，所述TC
m
为第m个威胁的行为能力值，所述TF
m
为第m个威胁的频率值，所述σ
m
为第m个威胁的时机值。4.如权利要求1所述的方法，其特征在于，所述步骤S4：基于漏洞扫描报告、安全基线测评报告中的脆弱性检测结果以及威胁作用路径，通过预先配置的赋值表查询得到威胁能够利用的各个脆弱性的影响程度数值和被利用难易程度数值，并获取安全措施减弱脆弱性的影响程度或增加脆弱性的被利用难易程度的信息，其中，通过预置调减规则对影响程度数值或被利用难易程度数值进行调减，包括：步骤S41：基于漏洞扫描报告、基线测评报告的脆弱性检测结果，获取所述威胁的作用路径涉及的各个系统组件和单元涉及的漏洞或安全基线不符合项作为脆弱性信息；信息系统的脆弱性基于漏洞情况、安全基线不符合情况确定；步骤S42：基于资产层次模型，获取所述威胁的作用路径涉及的各个系统组件和单元、威胁与脆弱性的关联关系信息，筛选出系统组件和单元存在的能够被威胁利用的脆弱性，丢弃与某一威胁不相关的脆弱性，来减少对信息安全风险评估结果的干扰；步骤S43：基于漏洞或安全基线不符合项信息通过预先配置的赋值表查询得到漏洞、安全基线不符合项两类脆弱性的脆弱性影响程度数值和脆弱性被利用难易程度数值；步骤S44：获取安全措施减小脆弱性的影响程度或增加脆弱性的被利用难易程度的信息，通过预置调减规则对脆弱性的影响程度数值或脆弱性的被利用难易程度数值进行调减。5.如权利要求1中所述的方法，其特征在于，所述步骤S4，还包括确定所述威胁T
m
的作用路径的各个系统组件和单元的综合脆弱性影响程度数值和综合脆弱性被利用难易程度数
值，确定方式为：基于每个系统组件和单元存在的多个可被所述威胁T
m
利用的脆弱性，将最大的脆弱性影响程度数值和脆弱性被利用难易程度数值作为威胁T
m
的作用路径的系统组件和单元的综合脆弱性影响程度数值和综合脆弱性被利用难易程...

【专利技术属性】
技术研发人员：金达，张益，刘润一，刘健，霍珊珊，
申请(专利权)人：中国电子科技集团公司第十五研究所，
类型：发明
国别省市：