CN107563639A - 基于故障树的信息系统风险评估装置及方法 - Google Patents

Abstract

本公开提供了一种基于故障树的信息系统风险评估方法，包括：以客户信息泄露事件为顶事件，确定中间事件及基本事件，建立故障树；以及基于故障树分析法对所述信息系统进行风险评估。本公开还提供了一种基于故障树的信息系统风险评估装置。本公开基于故障树的信息系统风险评估方法及装置，实现了通用的定量分析，提高了评估的精准性和稳定性，便于定位风险、分级保护。

Description

基于故障树的信息系统风险评估装置及方法

技术领域

本公开涉及信息安全技术领域，具体涉及一种基于故障树的信息系统风险评估装置及方法。

背景技术

大型信息系统中，例如金融信息系统，往往存在海量的客户信息。随着计算机应用及互联网技术的飞速发展，信息泄露问题也显得越来越突出，安全信息泄露事件可能导致巨大的经济损失，同时信息泄露会造成隐私侵犯、身份假冒及金属诈骗等各种问题，带来不良社会影响。因此，如何对信息系统进行风险评估，一直是信息系统安全技术领域的研究重点。

然而，目前，在信息系统安全领域，主要是针对信息系统的运行风险这一主体进行评估；另外，虽然在工业生产安全评估领域存在采用故障树分析方法进行生产安全评估，但是对于客户信息泄露风险的评估，尚未出现有效、精准、定量的评估装置及方法。

也就是说，在客户信息系统风险评估领域，现有的客户信息系统的设计、使用者对于信息系统的客户信息泄漏风险，普遍采用的是主观定性判断方法，仅仅停留在直观感觉上，缺乏客观性和准确性，缺乏有效的量化方法。

发明内容

(一)要解决的技术问题

鉴于上述技术问题，本公开提供了一种基于故障树的信息系统风险评估装置及方法，实现了通用的定量分析，提高了评估的精准性和稳定性，便于定位风险、分级保护。

(二)技术方案

根据本公开的一个方面，提供了一种基于故障树的信息系统风险评估方法，包括：以客户信息泄露事件为顶事件，确定中间事件及基本事件，建立故障树；以及基于故障树分析法对所述信息系统进行风险评估。

在本公开的一些实施例中，所述顶事件与中间事件之间，中间事件彼此之间，中间事件与底事件之间，底事件彼此之间的事件关系为逻辑与或逻辑或关系。

在本公开的一些实施例中，所述基于故障树分析法对信息系统进行风险评估的步骤包括：对所述故障树的基本事件进行赋值；根据基本事件的赋值，及各事件之间的事件关系，通过故障树的逻辑算法计算信息系统的风险值。

在本公开的一些实施例中，所述中间事件为导致顶事件发生的原因事件，所述基本事件为导致顶事件发生的最初始的原因事件；基于事故案例搜集、事故统计确定所述中间事件及基本事件；通过调查或模糊分析确定所述基本事件的取值大小。

在本公开的一些实施例中，所述中间事件包括：物理泄露事件，以物理存储介质方式承载的客户信息被泄露；网络泄露事件，客户信息通过网络被泄露；以及系统泄露事件，在系统使用时，由于权限过大或功能展现内容或数量过多造成客户信息泄露事件。

在本公开的一些实施例中，所述基本事件包括：A类基本事件，与所述物理泄露事件相关，包括：无监控、允许打印、允许拷贝、允许转移、允许截屏、系统可导出客户信息文件、临时文件存放了客户信息；B类基本事件，与所述网络泄露事件相关，包括：联通互联网、使用安全扫描程序发现漏洞、内部网络用户存在安全威胁；以及C类基本事件，与所述系统泄露事件相关，包括：可以查询任一客户的客户信息、存在某一功能能够展现较多客户信息、存在超级用户可以访问任意客户信息、无操作记录。

在本公开的一些实施例中，风险值r＝a1×[a2×(a5+a6)+a3×(a5+a6+a7)+a4×(a5+a6+a7)]+b1+b2+b3+(c1+c2+c3)×c4；式中，a1为无监控基本事件的取值；a2为允许打印基本事件的取值、a3为允许拷贝基本事件的取值；a4为允许转移基本事件的取值；a5为允许截屏基本事件的取值；a6为系统可导出客户信息文件基本事件的取值；a7为临时文件存放了客户信息基本事件的取值；b1为联通互联网基本事件的取值；b2为使用安全扫描程序发现漏洞基本事件的取值；b3为内部网络用户存在安全威胁基本事件的取值；c1为可以查询任一客户的客户信息基本事件的取值；c2为存在某一功能能够展现较多客户信息基本事件的取值；c3为存在超级用户可以访问任意客户信息基本事件的取值；c4为无操作记录基本事件的取值。

根据本公开的另一个方面，还提供了一种基于故障树的信息系统风险评估装置，包括：处理模块，用于以客户信息泄露事件为顶事件，确定中间事件及基本事件，建立故障树，并基于故障树分析法对所述信息系统进行风险评估。

在本公开的一些实施例中，所述基于故障树的信息系统风险评估装置还包括：赋值模块，用于接收所述处理模块发送的故障树信息，对所述故障树的基本事件进行赋值；以及计算模块，用于根据基本事件的赋值，及各事件之间的事件关系，通过故障树的逻辑算法计算信息系统的风险值。

根据本公开的另一个方面，还提供了一种机器可读的记录介质，其中，当所述机器可执行指令被执行时，使得机器实施所述的方法。

(三)有益效果

从上述技术方案可以看出，本公开基于故障树的信息系统风险评估装置及方法至少具有以下有益效果其中之一：

(1)通过将故障树分析方法应用于客户信息系统风险评估领域，有效的实现了对客户信息系统的风险评估。

(2)通过故障树分析法，建立故障树，并通过对基本事件进行赋值，从而准确的计算信息系统风险值，实现了通用的定量分析，与现有的主观定性判断法相比较，提高了评估的精准性，便于定位风险、分级保护。

(3)本公开基于故障树的信息系统风险评估装置及方法，采用故障树分析法，在确定各事件及取值时，充分考虑评估对象特点与客户信息泄漏之间的关系，提高了风险评估的准确性、实用性。

(4)本公开基于故障树的信息系统风险评估装置及方法，在输入不变的情况下，输出结果不变，具有较高的稳定性。

(5)本公开基于故障树的信息系统风险评估装置及方法，适用于任意存在客户信息泄露隐患的信息系统，不同系统体现为故障树的叶节点初始化赋值不同，因此具有普遍适用性。

附图说明

通过附图所示，本公开的上述及其它目的、特征和优势将更加清晰。在全部附图中相同的附图标记指示相同的装置。并未刻意按实际尺寸等比例缩放绘制附图，重点在于示出本公开的主旨。

图1为依据本公开实施例基于故障树的信息系统风险评估方法流程图。

图2为依据本公开实施例故障树示意图。

图3为依据本公开实施例基于故障树的信息系统风险评估装置模块示意图。

具体实施方式

为使本公开的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本公开进一步详细说明。

需要说明的是，在附图或说明书描述中，相似或相同的部分都使用相同的图号。附图中未绘示或描述的实现方式，为所属技术领域中普通技术人员所知的形式。另外，虽然本文可提供包含特定值的参数的示范，但应了解，参数无需确切等于相应的值，而是可在可接受的误差容限或设计约束内近似于相应的值。实施例中提到的方向用语，例如“上”、“下”、“前”、“后”、“左”、“右”等，仅是参考附图的方向。因此，使用的方向用语是用来说明并非用来限制本公开的保护范围。

本公开提供了一种基于故障树的信息系统风险评估装置。图1为依据本公开实施例基于故障树的信息系统风险评估方法流程图。如图1所示，所述基于故障树的信息系统风险评估方法，包括：

S1、以客户信息泄露事件为顶事件，确定中间事件及基本事件，建立故障树；

S2、对所述故障树的基本事件进行赋值；

S3、根据基本事件的赋值，及各事件之间的事件关系，通过故障树的逻辑算法计算信息系统的风险值。

具体的，所述中间事件为导致所述顶事件发生的原因事件。

所述基本事件为导致顶事件发生的最初始的原因事件，所述中间事件为所述基本事件造成的结果。

另外，所述中间事件及基本事件可依据事故案例搜集、事故统计确定。

更具体而言，所述中间事件主要包括：

物理泄露事件：是指以物理存储介质方式承载的客户信息被泄露。其主要包括：纸质介质、可移动存储介质、系统本机存储介质三种泄露形式。三种介质泄露风险之和为物理存储介质泄露风险初始值，若存在实时监控，则会降低物理泄露事件的风险概率。

网络泄露事件：是指客户信息通过网络被泄露。造成网络泄露的原因主要有三个方面：一是联通互联网，可引发主动或被动的客户信息泄露事件。二是存在网络安全漏洞，可导致被动的客户信息泄露事件。三是内部网络其他用户存在安全威胁，可导致主动或被动的客户信息泄露事件。

系统泄露事件：是指在系统使用时，由于权限过大或某些功能展现内容或数量过多(权限超过一阈值或功能展现的信息量超过一阈值)造成客户信息泄露事件。系统泄漏主要包括两个方面：一是精准定位泄露，是指存在某些功能可根据客户的唯一标识类的关键信息精准定位到客户，并展现该客户的客户信息。以金融信息系统为例，通过客户身份证号，查询到该客户的账号余额、交易信息、家庭住址、手机号、姓名等等。二是批量泄露，是指客户信息的大量泄露事件。

图2为依据本公开实施例故障树示意图，如图2所示，所述顶事件为客户信息泄露事件。所述中间事件包括：物理泄露事件、网络泄露事件及系统泄露事件。所述基本事件包括：A类基本事件，与所述物理泄露事件相关，包括：A1无监控、A2允许打印、A3允许拷贝、A4允许转移、A5允许截屏、A6系统可导出客户信息文件、A7临时文件存放了客户信息；B类基本事件，与所述网络泄露事件相关，包括：B1联通互联网、B2使用安全扫描程序发现漏洞、B3内部网络用户存在安全威胁；C类基本事件，与所述系统泄露事件相关，包括：C1可以查询任一客户的客户信息、C2存在某一功能能够展现较多客户信息、C3存在超级用户可以访问任意客户信息、C4无操作记录。相应的，无监控基本事件的取值记为a1；允许打印基本事件的取值记为a2、允许拷贝基本事件的取值记为a3；允许转移基本事件的取值记为a4；允许截屏基本事件的取值记为a5；系统可导出客户信息文件基本事件的取值记为a6；临时文件存放了客户信息基本事件的取值记为a7；联通互联网基本事件的取值记为b1；使用安全扫描程序发现漏洞基本事件的取值记为b2；内部网络用户存在安全威胁基本事件的取值记为b3；可以查询任一客户的客户信息基本事件的取值记为c1；存在某一功能能够展现较多客户信息基本事件的取值记为c2；存在超级用户可以访问任意客户信息基本事件的取值记为c3；无操作记录基本事件的取值记为c4。请进一步参考图2所示，所述顶事件与中间事件之间，中间事件彼此之间，中间事件与底事件之间，底事件彼此之间的事件关系为逻辑与或逻辑或关系。

具体各基本案件的定义及取值如下表1所示。

表1基本事件的定义及取值

注：表格中的客户信息均指具有保护价值，泄露可能造成风险的客户信息，不包括系统自定义的标记类等脱离系统无意义的客户信息。

其中，故障树的各基本事件的取值为各事件发生的权重值，通过分析各事件发生后，对客户信息泄露事件产生的权重影响(危害大小)，经验总结出各个基本事件的取值。在本公开中，系统的风险评估结果分值为0-100，结合分值预期结果，确定了各个基本事件的取值。

采用本公开方法对客户信息泄露风险进行评价时，首先分析系统特点，即分析当前待评估系统对应基本事件A1-A7，B1-B3，C1-C4的状况，依据表格中的取值方法，对全部基本事件赋值，例如，一系统特点为，有监控、不允许打印、允许拷贝、不允许转移、允许截屏、系统不可导出客户信息文件、没有临时文件存放客户信息、没有使用互联网、使用安全扫描工具没有发现漏洞、内部网络用户不存在安全威胁、可以查询任一客户的客户信息、存在某一功能可以展示较多的客户信息(1000条以上)、不存在超级用户可以访问任意客户信息、无操作记录。这种情况下，该系统基本事件的取值依次为：0.5，0，1，0，4，0，0，0，0，0，10，15，0，1；赋值之后通过故障树的逻辑算法计算出风险结果。

其中，故障树的每个树杈节点为“与、或”门逻辑运算符号。在故障树逻辑自顶向下建立好，树杈位置的逻辑运算符确定之后，顶事件可以通过基本事件节点的逻辑运算实现。

故障树的逻辑算法可以简化为：风险值r＝a1×[a2×(a5+a6)+a3×(a5+a6+a7)+a4×(a5+a6+a7)]+b1+b2+b3+(c1+c2+c3)×c4。

另外，本公开还提供了一种所述基于故障树的信息系统风险评估装置。图3为依据本公开实施例基于故障树的信息系统风险评估装置模块示意图。如图3所示，所述基于故障树的信息系统风险评估装置，包括：

处理模块，用于以客户信息泄露事件为顶事件，确定中间事件及基本事件，建立故障树，并基于故障树分析法对所述信息系统进行风险评估。

进一步的，还包括：赋值模块，用于接收所述处理模块发送的故障树信息，对所述故障树的基本事件进行赋值；以及

计算模块，用于根据基本事件的赋值，及各事件之间的事件关系，通过故障树的逻辑算法计算信息系统的风险值。

本公开一种基于故障树的信息系统风险评估装置及方法，采用故障树对信息系统风险评估(获取风险情况/风险值)，能够准确计算出客户信息泄露的风险值，具有精确性，同时具备稳定性和普遍适用性，便于定位风险、分级保护。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

需要说明的是，在附图或说明书正文中，未绘示或描述的实现方式，均为所属技术领域中普通技术人员所知的形式，并未进行详细说明。此外，上述对各元件和方法的定义并不仅限于实施例中提到的各种具体结构、形状或方式，本领域普通技术人员可对其进行更改或替换。

以上所述的具体实施例，对本公开的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本公开的具体实施例而已，并不用于限制本公开，凡在本公开的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本公开的保护范围之内。

Claims (10)

1.一种基于故障树的信息系统风险评估方法，包括：

以客户信息泄露事件为顶事件，确定中间事件及基本事件，建立故障树；以及

基于故障树分析法对所述信息系统进行风险评估。

2.根据权利要求1所述的基于故障树的信息系统风险评估方法，其中，所述顶事件与中间事件之间，中间事件彼此之间，中间事件与底事件之间，底事件彼此之间的事件关系为逻辑与或逻辑或关系。

3.根据权利要求2所述的基于故障树的信息系统风险评估方法，其中，所述基于故障树分析法对信息系统进行风险评估的步骤包括：

对所述故障树的基本事件进行赋值；

根据基本事件的赋值，及各事件之间的事件关系，通过故障树的逻辑算法计算信息系统的风险值。

4.根据权利要求3所述的基于故障树的信息系统风险评估方法，其中，所述中间事件为导致顶事件发生的原因事件，所述基本事件为导致顶事件发生的最初始的原因事件；基于事故案例搜集、事故统计确定所述中间事件及基本事件；通过调查或模糊分析确定所述基本事件的取值大小。

5.根据权利要求1所述的基于故障树的信息系统风险评估方法，其中，所述中间事件包括：

物理泄露事件，以物理存储介质方式承载的客户信息被泄露；

网络泄露事件，客户信息通过网络被泄露；以及

系统泄露事件，在系统使用时，由于权限过大或功能展现内容或数量过多造成客户信息泄露事件。

6.根据权利要求1所述的基于故障树的信息系统风险评估方法，其中，所述基本事件包括：

A类基本事件，与所述物理泄露事件相关，包括：无监控、允许打印、允许拷贝、允许转移、允许截屏、系统可导出客户信息文件、临时文件存放了客户信息；

B类基本事件，与所述网络泄露事件相关，包括：联通互联网、使用安全扫描程序发现漏洞、内部网络用户存在安全威胁；以及

C类基本事件，与所述系统泄露事件相关，包括：可以查询任一客户的客户信息、存在某一功能能够展现较多客户信息、存在超级用户可以访问任意客户信息、无操作记录。

7.根据权利要求6所述的基于故障树的信息系统风险评估方法，其中，风险值r＝a1×[a2×(a5+a6)+a3×(a5+a6+a7)+a4×(a5+a6+a7)]+b1+b2+b3+(c1+c2+c3)×c4；式中，a1为无监控基本事件的取值；a2为允许打印基本事件的取值、a3为允许拷贝基本事件的取值；a4为允许转移基本事件的取值；a5为允许截屏基本事件的取值；a6为系统可导出客户信息文件基本事件的取值；a7为临时文件存放了客户信息基本事件的取值；b1为联通互联网基本事件的取值；b2为使用安全扫描程序发现漏洞基本事件的取值；b3为内部网络用户存在安全威胁基本事件的取值；c1为可以查询任一客户的客户信息基本事件的取值；c2为存在某一功能能够展现较多客户信息基本事件的取值；c3为存在超级用户可以访问任意客户信息基本事件的取值；c4为无操作记录基本事件的取值。

8.一种基于故障树的信息系统风险评估装置，包括：

处理模块，用于以客户信息泄露事件为顶事件，确定中间事件及基本事件，建立故障树，并基于故障树分析法对所述信息系统进行风险评估。

9.根据权利要求8所述的基于故障树的信息系统风险评估装置，还包括：

赋值模块，用于接收所述处理模块发送的故障树信息，对所述故障树的基本事件进行赋值；以及

计算模块，用于根据基本事件的赋值，及各事件之间的事件关系，通过故障树的逻辑算法计算信息系统的风险值。

10.一种机器可读的记录介质，其中，当所述机器可执行指令被执行时，使得机器实施权利要求1至7中任意一项所述的方法。