CN110750795B - 一种信息安全风险的处理方法及装置 - Google Patents

一种信息安全风险的处理方法及装置 Download PDF

Info

Publication number
CN110750795B
CN110750795B CN201911025965.5A CN201911025965A CN110750795B CN 110750795 B CN110750795 B CN 110750795B CN 201911025965 A CN201911025965 A CN 201911025965A CN 110750795 B CN110750795 B CN 110750795B
Authority
CN
China
Prior art keywords
value
risk
time limit
information system
information
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201911025965.5A
Other languages
English (en)
Other versions
CN110750795A (zh
Inventor
吴永飞
寿弘宇
金建新
杨青
常宗
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hua Xia Bank Co Ltd
Original Assignee
Hua Xia Bank Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hua Xia Bank Co Ltd filed Critical Hua Xia Bank Co Ltd
Priority to CN201911025965.5A priority Critical patent/CN110750795B/zh
Publication of CN110750795A publication Critical patent/CN110750795A/zh
Application granted granted Critical
Publication of CN110750795B publication Critical patent/CN110750795B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G06Q10/063—Operations research, analysis or management
    • G06Q10/0635—Risk analysis of enterprise or organisation activities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Business, Economics & Management (AREA)
  • Human Resources & Organizations (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Theoretical Computer Science (AREA)
  • Entrepreneurship & Innovation (AREA)
  • General Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • Economics (AREA)
  • Strategic Management (AREA)
  • Physics & Mathematics (AREA)
  • Game Theory and Decision Science (AREA)
  • General Business, Economics & Management (AREA)
  • Tourism & Hospitality (AREA)
  • Educational Administration (AREA)
  • Quality & Reliability (AREA)
  • Operations Research (AREA)
  • Development Economics (AREA)
  • Marketing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

本申请公开了一种信息安全风险的处理方法及装置，所述方法包括：查找关键资产值、威胁值与脆弱性值；根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值；其中，所述信息系统的层面包括物理层面、网络层面、主机层面、应用层面、数据层面；将各个层面的风险值中的最大值、除所述最大值外剩余层面的风险值总和的对数值进行求和得到所述信息系统的总风险值；随着所述总风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。根据信息系统的总风险值可以了解信息安全风险对信息系统的影响程度，有效作出决策用以保障信息安全。

Description

一种信息安全风险的处理方法及装置
技术领域
本发明涉及信息安全领域，尤其是涉及一种信息安全风险的处理方法及装置。
背景技术
随着信息技术的发展，我国金融机构、企事业单位、商业组织等行业都开始广泛的利用信息化手段提升自身的竞争力，借助信息化，可以更加有效地管理资源，提高运营效率。信息的处理越来越依靠计算机，但是计算机有其固有的弱点，比如病毒威胁、黑客入侵、操作人员违规操作等都会导致信息安全存在风险。每年我国各行各业因信息安全问题而遭受的经济损失难以估量，信息安全问题也日益突出。
随着信息技术的发展，信息系统也在不断的完善与进步。在信息系统中存在着如网络、主机、应用等多种层面，不同的层面均有着不同的信息安全要求，所以对信息系统进行全面正确的分析，才能有效地处理其信息安全风险。如何有效地处理信息安全风险成为亟待解决的难题。
发明内容
本申请提供一种信息安全风险的处理方法及装置，用于解决信息安全风险的处理问题。
在本申请第一方面提供了一种信息安全风险的处理方法，所述方法用于信息系统的信息安全风险处理，所述信息系统中包括一个或多个关键资产、所述信息系统面临着一个或多个威胁、所述信息系统具有一个或多个脆弱性，其中，所述关键资产为具有价值的信息或资源，所述脆弱性为被威胁利用的关键资产或关键资产的薄弱环节，所述方法包括：
查找关键资产值、威胁值与脆弱性值；
根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值；其中，所述信息系统的层面包括物理层面、网络层面、主机层面、应用层面、数据层面；
将各个层面的风险值中的最大值、除所述最大值外剩余层面的风险值总和的对数值进行求和得到所述信息系统的总风险值；
随着所述总风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。
可选的，所述随着所述总风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理包括：
当所述总风险值高于第一阈值时，则在第一时限内采取应急措施使所述风险降为可接受风险；
当所述总风险值低于第一阈值时，则在第二时限内采取应急措施使所述风险降为可接受风险；
其中，第一时限值小于第二时限值。
可选的，所述当所述总风险值低于第一阈值时，则在第二时限内采取应急措施使所述风险降为可接受风险包括：
当所述总风险值低于第一阈值高于第二阈值时，则在第三时限内采取应急措施使所述风险降为可接受风险；
当所述总风险值低于第二阈值时，则在第四时限内采取应急措施使所述风险降为可接受风险；
其中，所述第一阈值大于所述第二阈值，第四时限值大于第三时限值，所述第三时限值大于所述第一时限值。
可选的，所述根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值包括：
计算所述威胁值对数值的平方根得到风险影响程度值；
将所述脆弱性值中的最大值、除所述最大值外剩余的脆弱性值总和的对数值进行求和得到风险可能性值；
通过将所述关键资产值、所述风险影响程度值与所述风险可能性值相乘得到关键资产的风险值；
将所述关键资产的风险值中的最大值、除所述最大值外剩余关键资产的风险值总和的对数值进行求和得到其所处层面的风险值。
可选的，所述信息系统具有一个或多个已有控制措施，所述方法还包括：
查找信息系统中的已有控制措施值；
根据所述已有控制措施值与所述总风险值计算所述信息系统中各个层面的残余风险值；
将各个层面的残余风险值中的最大值、除所述最大值外剩余层面的残余风险值总和的对数值进行求和得到所述信息系统的总残余风险值；
随着所述总残余风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。
可选的，所述随着所述总残余风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理包括：
当所述总残余风险值高于第三阈值时，则在第五时限内采取应急措施使所述信息的风险降为可接受风险；
当所述总残余风险值低于第三阈值时，则在第六时限内采取应急措施使所述信息的风险降为可接受风险；
其中，第五时限值小于第六时限值。
可选的，所述当所述总残余风险值低于第三阈值时，则在第六时限内采取应急措施使所述信息的风险降为可接受风险包括：
当所述总风险值低于第三阈值高于第四阈值时，则在第七时限内采取应急措施使所述信息的风险降为可接受风险；
当所述总风险值低于第四阈值时，则在第八时限内采取应急措施使所述信息的风险降为可接受风险；
其中，所述第三阈值大于所述第四阈值，第八时限值大于第七时限值，所述第七时限值大于所述第五时限值。
可选的于，所述方法之前还包括：
采用关联分析技术分析所述信息系统中所述关键资产。
可选的，所述方法还包括：
采用显示设备显示所述方法的处理过程。
在本申请第二方面提供了一种信息安全风险的处理装置，所述装置用于信息系统的信息安全风险处理，所述信息系统中包括一个或多个关键资产、所述信息系统面临着一个或多个威胁、所述信息系统具有一个或多个脆弱性，其中，所述关键资产为具有价值的信息或资源，所述脆弱性为被威胁利用的关键资产或关键资产的薄弱环节，所述装置包括：
查找单元、计算单元与处理单元；
所述查找单元，用于查找关键资产值、威胁值与脆弱性值；
所述计算单元，用于根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值；其中，所述信息系统的层面包括物理层面、网络层面、主机层面、应用层面、数据层面；将各个层面的风险值中的最大值、除所述最大值外剩余层面的风险值总和的对数值进行求和得到所述信息系统的总风险值；
所述处理单元，用于随着所述总风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。
可选的，所述处理单元包括：
第一时限处理单元与第二时限处理单元；
所述第一时限处理单元，用于当所述总风险值高于第一阈值时，则在第一时限内采取应急措施使所述风险降为可接受风险；
所述第二时限处理单元，用于当所述总风险值低于第一阈值时，则在第二时限内采取应急措施使所述风险降为可接受风险；
其中，第一时限值小于第二时限值。
可选的，所述第二时限处理单元包括：
第三时限处理单元与第四时限处理单元；
所述第三时限处理单元，用于当所述总风险值低于第一阈值高于第二阈值时，则在第三时限内采取应急措施使所述风险降为可接受风险；
所述第四时限处理单元，用于当所述总风险值低于第二阈值时，则在第四时限内采取应急措施使所述风险降为可接受风险；
其中，所述第一阈值大于所述第二阈值，第四时限值大于第三时限值，所述第三时限值大于所述第一时限值。
可选的，所述计算单元包括：
风险影响程度值计算单元、风险可能性值计算单元与风险值计算单元；
所述风险影响程度值计算单元，用于计算所述威胁值对数值的平方根得到风险影响程度值；
所述风险可能性值计算单元，用于将所述脆弱性值中的最大值、除所述最大值外剩余的脆弱性值总和的对数值进行求和得到风险可能性值；
所述风险值计算单元，用于通过将所述关键资产值、所述风险影响程度值与所述风险可能性值相乘得到关键资产的风险值；将所述关键资产的风险值中的最大值、除所述最大值外剩余关键资产的风险值总和的对数值进行求和得到其所处层面的风险值。
可选的，所述装置还包括：
已有控制措施值查找单元、残余风险值计算单元与残余风险处理单元；
所述已有控制措施值查找单元，用于在对所述信息系统的信息安全风险进行处理，查找信息系统中的已有控制措施值；
所述残余风险值计算单元，用于根据所述已有控制措施值与所述总风险值计算所述信息系统中各个层面的残余风险值；将各个层面的残余风险值中的最大值、除所述最大值外剩余层面的残余风险值总和的对数值进行求和得到所述信息系统的总残余风险值；
所述残余风险值处理单元，用于随着所述总残余风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。
可选的，所述残余风险值处理单元包括：
第五时限处理单元与第六时限处理单元；
所述第五时限处理单元，用于当所述总残余风险值高于第三阈值时，则在第五时限内采取应急措施使所述信息的风险降为可接受风险；
所述第六时限处理单元，用于当所述总残余风险值低于第三阈值时，则在第六时限内采取应急措施使所述信息的风险降为可接受风险；
其中，第五时限值小于第六时限值。
可选的，所述第六处理单元包括：
第七时限处理单元与第八时限处理单元；
所述第七时限处理单元，用于当所述总风险值低于第三阈值高于第四阈值时，则在第七时限内采取应急措施使所述信息的风险降为可接受风险；
所述第八时限处理单元，用于当所述总风险值低于第四阈值时，则在第八时限内采取应急措施使所述信息的风险降为可接受风险；
其中，所述第三阈值大于所述第四阈值，第八时限值大于第七时限值，所述第七时限值大于所述第五时限值。
可选的，其特征在于，所述装置还包括：
分析单元，用于采用关联分析技术分析所述信息系统中所述关键资产。
可选的，其特征在于，所述装置还包括：
显示单元，用于显示所述方法的处理过程。
相对于现有技术，本申请上述技术方案的优点在于：
由于在信息系统的各个层面均有着不同的要求,通过定量与定性相结合的方法对信息系统中各个层面的风险值进行计算最终汇集成为一个总风险值,即，信息系统的总风险值；根据信息系统的总风险值可以了解信息安全风险对信息系统的影响程度，有效作出决策用以保障信息安全；通过对信息系统不同层面的风险值进行计算，也可以尽最大可能减少每个环节所带来的信息安全风险，从而保证信息系统安全地运行。
附图说明
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其它的附图。
图1为本发明实施例提供的一种信息安全风险的处理方法的流程示意图；
图2为本发明实施例提供的另一种信息安全风险的处理方法的流程示意图；
图3为本发明实施例提供的又一种信息安全风险的处理方法的流程示意图；
图4为本发明实施例提供的一种信息安全风险的处理装置的结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
下面结合附图，通过实施例来详细说明本发明实施例中信息安全风险的处理的具体实现方式。
参见图1，示出了本发明实施例中一种信息安全风险的处理方法的流程示意图。信息系统由计算机及其相关的和配套的设备、设施(含网络)构成的，按照一定的应用目标和规则对信息进行采集、加工、存储、传输、检索等处理的人机系统。包括一个或多个关键资产、面临着一个或多个威胁、具有一个或多个脆弱性，其中，所述关键资产为具有价值的信息或资源，所述脆弱性为可能被威胁利用的关键资产或关键资产的薄弱环节。
在本实施例中，所述方法可以包括以下步骤：
步骤101：查找关键资产值、威胁值与脆弱性值。
信息系统的关键资产值、威胁值与脆弱性值可以通过按照国家标准进行赋值的相应赋值表进行查找，以下为本实施例三种表格的示例。
(1)关键资产值赋值表
关键资产值是关键资产的重要程度或敏感程度的表征，业务战略对关键资产的依赖程度越高，关键资产值就越大，如表1所示。
表1
Figure GDA0003443261580000071
Figure GDA0003443261580000081
其中，机密性是指信息及信息系统未提供或未泄露给非授权人员、过程的特性；完整性是指信息及信息系统不会被非授权更改或破坏的特性；可用性是指被授权信息及信息系统按要求能被访问和使用的特性；业务相关性是指信息及信息系统基本组成单位的破坏或损坏对本业务影响程度的特性。
(2)威胁值赋值表
信息威胁是可能导致对系统或组织危害的不希望事故潜在起因，可以通过威胁主体、资源、动机、途径等多种属性来描述，如表2所示。
表2
Figure GDA0003443261580000091
(3)脆弱性值赋值表
信息脆弱性是可能被威胁所利用的资产或若干资产的薄弱环节。脆弱性是信息本身存在的，如果没有被相应的威胁利用，单纯的脆弱性本身不会对信息造成损害。而且如果系统足够强健，严重的威胁也不会导致安全事件发生。即，威胁总是要利用信息的脆弱性才可能造成危害。如表3所示。
表3
Figure GDA0003443261580000101
在具体实现时，在步骤101之前，还可以对信息进行“预处理”，具体可以包括：采集、标准化和分析三个步骤，即，如图2所述，在步骤101之前，本实施例提供的信息安全风险的处理方法还可以包括：
步骤201：采集信息系统中所有关键资产的信息。
数据采集和存储采用分布式部署结构，由专门的采集服务引擎进行采集，在Hadoop分布式文件系统上搭建HBase集群，用于历史和实时数据采集和管理，保证数据的可靠传输和可靠计算，通过列模式存储减少存储空间，提高采集数据管理效率。
步骤202：标准化所有关键资产的信息。
由于采集到的海量数据存在着大量的冗余，且数据关联性不明显，需用到数据维数约减算法对原始数据进行转换或标准化处理，提取隐含的、事先未知的、有关联的特征，并找到数据内在联系。
步骤203：标准化所有关键资产的信息。
将信息中面临风险的信息进行关联性分析，其中关联分析技术可以采用离线关联分析和/或实时关联分析。离线关联分析采用Hive分析技术，将存储在Hadoop分布式文件系统中的数据以表的形式展示给用户，同时采用较为通用的数据挖掘算法(如朴素贝叶斯、模式发现等)进行离线关联分析。实时关联分析技术主要采用日志聚合和规则关联分析技术，最终提高风险关联分析效率和效果。
可以理解的是，通过步骤201-203，可以完成对信息系统中所有信息与所面临风险的关联性分析，从而便于更好的查找信息系统中面临风险的信息。
在执行完步骤101之后，可以查找到信息系统中所有的关键资产值、威胁值与脆弱性值，为后续计算各个层面的风险值提供了基础。
步骤102：根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值；其中，所述信息系统的层面包括物理层面、网络层面、主机层面、应用层面、数据层面。
典型的信息系统由三部分组成：硬件系统(计算机硬件系统和网络硬件系统)；系统软件(计算机系统软件和网络系统软件)；应用软件(包括由其处理、存储的信息)。在本实施例中，可以将信息系统划分为五个层面，分别是物理层面、网络层面、主机层面、应用层面、数据层面，相关人员依据收集到的网络拓扑、应用部署、系统功能、运行维护等相关文档，参考表4快速识别出信息系统中的关键资产。如表4所示。
表4
Figure GDA0003443261580000111
Figure GDA0003443261580000121
根据关键资产值、威胁值与脆弱性值，运用定性和定量相结合的方法，采用统计平均数法计算信息各层的风险值。具体计算过程如下：
(1)通过关键资产值表计算关键资产值，计算公式如下：
Figure GDA0003443261580000122
其中，C表示关键资产的机密性，I表示关键资产的完整性，U表示关键资产的可用性，B表示关键资产的业务相关性。Round2是四舍五入最后的结果，并取前两位。
例如，应用数据库服务器是主机类，属于主机层面，通过查表其C、I、U、B的值都为5，计算结果Avalue＝5。
(2)通过威胁值表计算风险影响程度值，计算公式如下：
Figure GDA0003443261580000123
其中，DC、TC分别表示该层面面临的不同威胁的机密性，威胁不限于两种，同理，DI、TI分别表示该层面面临的不同威胁的完整性，DU、TU分别表示该层面面临的不同威胁的可用性，DB、TB分别表示该层面面临的不同威胁的业务相关性。
例如，路由器Cisco 7301属于网络类，面临的威胁可以为系统软件故障、非授权访问网络资源、嗅探(帐户、口令、权限)、滥用权限非正常修改系统配置或数据等。
(3)通过脆弱性值表计算风险可能性值，计算公式如下：
Figure GDA0003443261580000131
其中，V表示脆弱性值，V′表示除脆弱性值的最大值外剩余信息的信息脆弱性值。
因为脆弱性值与威胁有关，还以路由器Cisco 7301为例，路由器Cisco 7301面临系统软件故障威胁时，脆弱性可以为IOS版本过低，通过查表，其值为3；路由器Cisco 7301面临非授权访问网络资源威胁时，脆弱性可以为管理用户密码使用弱口令和管理用户密码加密机制安全性低，通过查表，其值均为1；路由器Cisco 7301面临嗅探(账户、口令、权限)威胁时，脆弱性可以为未禁用Telnet远程登录服务，通过查表，其值为1；路由器Cisco 7301面临滥用权限非正常修改系统配置或数据源威胁时，脆弱性可以为设备SNMP服务共同体串密码使用弱口令和网络设备开启SNMPv2服务，通过查表，前者值为3、后者值为2。通过公式计算路由器Cisco 7301的风险可能性值为3.9。
Figure GDA0003443261580000132
(4)计算一种关键资产的风险值，计算公式如下：
Rat(A，T)＝Avalue×Tprobably×Tseverity
(5)计算该层所有资产的风险值，计算公式如下：
Figure GDA0003443261580000133
其中，∑T′Rat(A,T′)表示该层除最大风险值外剩余关键资产的风险值。
通过执行步骤102可以通过不同层面分析，可以更加贴近信息系统，在更加了解信息系统的基础上可以尽最大可能减少每个环节所带来的信息安全风险。
步骤103：将各个层面的风险值中的最大值、除所述最大值外剩余层面的风险值总和的对数值进行求和得到所述信息系统的总风险值。
计算信息系统的总风险值了解信息安全的风险程度，依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行分析的过程。它要分析关键资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响。
根据每层的风险值可以汇总为信息系统的总风险值，计算公式如下：
Figure GDA0003443261580000141
其中，∑A′Ra(A′)表示信息系统中除最大风险值外剩余关键资产的风险值。
通过步骤103计算信息的总风险值就是从风险管理角度，运用科学的方法和手段，系统地分析信息系统所面临的威胁及其存在的脆弱性，当安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和整改措施，为防范和化解信息安全风险，将风险控制在可接受的水平，最大限度地保障信息安全提供科学依据。
步骤104：根据所述总风险值所在的阈值区间不同，采用不同的处理时间对所述信息系统的信息安全风险进行处理。
根据不同的阈值可以将总风险划分为不同的区间，根据总风险值所处的区间采用不同紧急程度的时间采取应急措施使所述风险降为可接受风险，可接受风险就是无需采取措施进行处理的风险。如果阈值为90，可以将总风险值分为两个区间，当所述总风险值高于90时，则在第一时间值内采取应急措施使所述风险降为可接受风险；当所述总风险值低于90时，则在第二时间值内采取应急措施使所述风险降为可接受风险；其中，所述第一时间值小于所述第二时间值。阈值也可以分为第一阈值与第二阈值，判断方式同上。
在本实施例中，为实现对信息安全风险的控制与管理，对总风险值进行等级化处理，将信息安全风险划分为一定的级别，为与上述信息属性的赋值相对应，本实施例将信息安全风险划分为五级，如表5所示，级别越高表示信息越重要，也可以根据组织的实际情况确定信息属性中的赋值依据和等级。每个等级代表了相应信息安全风险的危害程度，等级越高，风险越高。
表5
Figure GDA0003443261580000151
可以根据风险相应的级别采取不同程度的应对，如当所述总风险值的风险等级为极高风险时，则在一个月内采取应急措施使所述信息的风险降为可接受风险；当所述总风险值的风险等级为高风险时，则在三个月内采取应急措施使所述信息的风险降为可接受风险；当所述总风险值的风险等级为中风险时，则在六个月内采取应急措施使所述信息的风险降为可接受风险；当所述总风险值的风险等级为低风险或极低风险时，则判断所述信息的风险是否为可接受风险，如果否，则在十二个月内采取应急措施使所述信息的风险降为可接受风险。
此外，如果已经针对风险等级采取了相应的措施，还可以针对关键资产的残余风险值进行计算，用以保证采取措施的有效性。因为有可能会出现采取了安全措施后，信息系统仍然可能存在信息安全的风险。如图3所示，本实施例提供的信息安全风险的处理方法还可以包括：
步骤301：在对所述信息系统的信息安全风险进行处理，查找信息系统中的已有控制措施值。
根据已有的安全防护措施，如保护资产、抵御威胁、减少脆弱性、降低安全事件的影响，以及打击信息犯罪而实施的各种实践、规程和机制。已有安全措施与脆弱性识别存在一定的联系。一般来说，安全措施的使用将减少系统技术或管理上的脆弱性，但安全措施确认并不需要和脆弱性识别过程那样具体到每条信息、组件的脆弱性，而是一类具体措施的集合，为风险处理计划的制定提供依据和参考。运用定性和定量相结合的方法，采用统计平均数法计算信息的总风险值。具体计算过程如下：
通过查表得到已有控制措施值，如表6所示。安全防护措施分析的目的是比较防护措施需求与现状，考察信息威胁与安全防护措施的关系、安全防护措施等级是否与业务系统保护等级匹配两个因素，得出安全防护措施现状与缺失情况。
表6
Figure GDA0003443261580000161
Figure GDA0003443261580000171
步骤302：根据所述已有控制措施值与所述总风险值计算所述信息系统中各个层面的残余风险值。计算公式如下：
R′a(A)＝Ra(A)×(1-P)
其中，P为对该资产采用的安全防护措施等级赋值。
步骤303：将各个层面的残余风险值中的最大值、除所述最大值外剩余层面的残余风险值总和的对数值进行求和得到所述信息系统的总残余风险值。计算公式如下：
Figure GDA0003443261580000172
其中，∑A′R′a(A′)为表示信息系统中除最大残余风险值外剩余层面的残余风险值。
步骤304：根据所述总残余风险值所在的阈值区间不同，采用不同的处理时间对所述信息系统的信息安全风险进行处理。
具体内容可以参照步骤104。
可以理解的是，上述方法步骤可以通过显示器进行显示。
通过对信息的总风险值进行计算，可以了解信息安全风险对信息安全程度的影响程度，然后根据信息安全风险的风险等级，有效作出决策用于保障信息安全。在采取安全防护措施降低信息安全风险等级后，还可以通过计算残余风险值来验证安全防护措施的有效性。
基于以上实施例提供的方法，本发明实施例还提供了对应的装置，下面结合附图来详细说明其工作原理。
装置实施例
参见图4，图4是本发明提供的一种信息安全风险的处理装置的结构图，如图4所示，该装置可以包括以下单元：
查找单元100、计算单元200与处理单元300；
所述查找单元100，用于查找关键资产值、威胁值与脆弱性值；
所述计算单元200，用于根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值；其中，所述信息系统的层面包括物理层面、网络层面、主机层面、应用层面、数据层面；将各个层面的风险值中的最大值、除所述最大值外剩余层面的风险值总和的对数值进行求和得到所述信息系统的总风险值；
所述处理单元300，用于随着所述总风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。
可选的，所述处理单元包括：
第一时限处理单元与第二时限处理单元；
所述第一时限处理单元，用于当所述总风险值高于第一阈值时，则在第一时限内采取应急措施使所述风险降为可接受风险；
所述第二时限处理单元，用于当所述总风险值低于第一阈值时，则在第二时限内采取应急措施使所述风险降为可接受风险；
其中，第一时限值小于第二时限值。
可选的，所述第二时限处理单元包括：
第三时限处理单元与第四时限处理单元；
所述第三时限处理单元，用于当所述总风险值低于第一阈值高于第二阈值时，则在第三时限内采取应急措施使所述风险降为可接受风险；
所述第四时限处理单元，用于当所述总风险值低于第二阈值时，则在第四时限内采取应急措施使所述风险降为可接受风险；
其中，所述第二阈值小于第一阈值，第四时限值大于第三时限值，所述第三时限值大于所述第一时限值。
可选的，所述计算单元包括：
风险影响程度值计算单元、风险可能性值计算单元与风险值计算单元；
所述风险影响程度值计算单元，用于计算所述威胁值对数值的平方根得到风险影响程度值；
所述风险可能性值计算单元，用于将所述脆弱性值中的最大值、除所述最大值外剩余的脆弱性值总和的对数值进行求和得到风险可能性值；
所述风险值计算单元，用于通过将所述关键资产值、所述风险影响程度值与所述风险可能性值相乘得到关键资产的风险值；将所述关键资产的风险值中的最大值、除所述最大值外剩余关键资产的风险值总和的对数值进行求和得到其所处层面的风险值。
可选的，所述装置还包括：
已有控制措施值查找单元、残余风险值计算单元与残余风险处理单元；
所述已有控制措施值查找单元，用于在对所述信息系统的信息安全风险进行处理，查找信息系统中的已有控制措施值；
所述残余风险值计算单元，用于根据所述已有控制措施值与所述总风险值计算所述信息系统中各个层面的残余风险值；将各个层面的残余风险值中的最大值、除所述最大值外剩余层面的残余风险值总和的对数值进行求和得到所述信息系统的总残余风险值；
所述残余风险值处理单元，用于随着所述总残余风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。
可选的，所述残余风险值处理单元包括：
第五时限处理单元与第六时限处理单元；
所述第五时限处理单元，用于当所述总残余风险值高于第三阈值时，则在第五时限内采取应急措施使所述信息的风险降为可接受风险；
所述第六时限处理单元，用于当所述总残余风险值低于第三阈值时，则在第六时限内采取应急措施使所述信息的风险降为可接受风险；
其中，第五时限值小于第六时限值。
可选的，所述第六处理单元包括：
第七时限处理单元与第八时限处理单元；
所述第七时限处理单元，用于当所述总风险值低于第三阈值高于第四阈值时，则在第七时限内采取应急措施使所述信息的风险降为可接受风险；
所述第八时限处理单元，用于当所述总风险值低于第四阈值时，则在第八时限内采取应急措施使所述信息的风险降为可接受风险；
其中，第四阈值小于第三阈值，第八时限值大于第七时限值，所述第七时限值大于所述第五时限值。
可选的，其特征在于，所述装置还包括：
分析单元，用于采用关联分析技术分析所述信息系统中所述关键资产。
可选的，其特征在于，所述装置还包括：
显示单元，用于显示所述方法的处理过程。
本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述得比较简单，相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元及模块可以是或者也可以不是物理上分开的。另外，还可以根据实际的需要选择其中的部分或者全部单元和模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。
以上所述仅是本发明的具体实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (16)

1.一种信息安全风险的处理方法，其特征在于，所述方法用于信息系统的信息安全风险处理，所述信息系统中包括一个或多个关键资产、所述信息系统面临着一个或多个威胁、所述信息系统具有一个或多个脆弱性，其中，所述关键资产为具有价值的信息或资源，所述脆弱性为被威胁利用的关键资产或关键资产的薄弱环节，所述方法包括：
查找关键资产值、威胁值与脆弱性值；
根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值；其中，所述信息系统的层面包括物理层面、网络层面、主机层面、应用层面、数据层面；
将各个层面的风险值中的最大值、除所述最大值外剩余层面的风险值总和的对数值进行求和得到所述信息系统的总风险值；
随着所述总风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理；
所述根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值包括：
计算所述威胁值对数值的平方根得到风险影响程度值；
将所述脆弱性值中的最大值、除所述最大值外剩余的脆弱性值总和的对数值进行求和得到风险可能性值；
通过将所述关键资产值、所述风险影响程度值与所述风险可能性值相乘得到关键资产的风险值；
将所述关键资产的风险值中的最大值、除所述最大值外剩余关键资产的风险值总和的对数值进行求和得到其所处层面的风险值；
所述关键资产值
Figure FDA0003443261570000011
其中，C表示关键资产的机密性，I表示关键资产的完整性，U表示关键资产的可用性，B表示关键资产的业务相关性，Round2是四舍五入最后的结果，并取前两位；
所述风险影响程度值
Figure FDA0003443261570000012
其中，DC、TC分别表示所处层面面临的不同威胁的机密性，DI、TI分别表示所处层面面临的不同威胁的完整性，DU、TU分别表示所处层面面临的不同威胁的可用性，DB、TB分别表示所处层面面临的不同威胁的业务相关性；
所述风险可能性值
Figure FDA0003443261570000021
其中，V表示脆弱性值，V'表示除脆弱性值的最大值外剩余信息的信息脆弱性值；
所述关键资产的风险值Rat(A,T)＝Avalue×Tprobably×Tseverity；
所述所处层面的风险值
Figure FDA0003443261570000022
其中，
Figure FDA0003443261570000023
表示所处层除最大风险值外剩余关键资产的风险值总和。
2.根据权利要求1所述的方法，其特征在于，所述随着所述总风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理包括：
当所述总风险值高于第一阈值时，则在第一时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
当所述总风险值低于第一阈值时，则在第二时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
其中，第一时限值小于第二时限值。
3.根据权利要求2所述的方法，其特征在于，所述当所述总风险值低于第一阈值时，则在第二时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险包括：
当所述总风险值低于第一阈值高于第二阈值时，则在第三时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
当所述总风险值低于第二阈值时，则在第四时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
其中，所述第一阈值大于所述第二阈值，第四时限值大于第三时限值，所述第三时限值大于所述第一时限值。
4.根据权利要求1所述的方法，其特征在于，所述信息系统具有一个或多个已有控制措施，所述方法还包括：
查找信息系统中的已有控制措施值；
根据所述已有控制措施值与所述总风险值计算所述信息系统中各个层面的残余风险值；
将各个层面的残余风险值中的最大值、除所述最大值外剩余层面的残余风险值总和的对数值进行求和得到所述信息系统的总残余风险值；
随着所述总残余风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。
5.根据权利要求4所述的方法，其特征在于，所述随着所述总残余风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理包括：
当所述总残余风险值高于第三阈值时，则在第五时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
当所述总残余风险值低于第三阈值时，则在第六时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
其中，第五时限值小于第六时限值。
6.根据权利要求5所述的方法，其特征在于，所述当所述总残余风险值低于第三阈值时，则在第六时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险包括：
当所述总残余风险值低于第三阈值高于第四阈值时，则在第七时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
当所述总残余风险值低于第四阈值时，则在第八时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
其中，所述第三阈值大于所述第四阈值，第八时限值大于第七时限值，所述第七时限值大于所述第五时限值。
7.根据权利要求1所述的方法，其特征在于，所述方法之前还包括：
采用关联分析技术分析所述信息系统中所述关键资产。
8.根据权利要求1-7任一项所述的方法，其特征在于，所述方法还包括：采用显示设备显示所述方法的处理过程。
9.一种信息安全风险的处理装置，其特征在于，所述装置用于信息系统的信息安全风险处理，所述信息系统中包括一个或多个关键资产、所述信息系统面临着一个或多个威胁、所述信息系统具有一个或多个脆弱性，其中，所述关键资产为具有价值的信息或资源，所述脆弱性为被威胁利用的关键资产或关键资产的薄弱环节，所述装置包括：
查找单元、计算单元与处理单元；
所述查找单元，用于查找关键资产值、威胁值与脆弱性值；
所述计算单元，用于根据所述关键资产值、威胁值与脆弱性值得到所述信息系统中各个层面的风险值；其中，所述信息系统的层面包括物理层面、网络层面、主机层面、应用层面、数据层面；将各个层面的风险值中的最大值、除所述最大值外剩余层面的风险值总和的对数值进行求和得到所述信息系统的总风险值；
所述处理单元，用于随着所述总风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理；
所述计算单元包括：
风险影响程度值计算单元、风险可能性值计算单元与风险值计算单元；
所述风险影响程度值计算单元，用于计算所述威胁值对数值的平方根得到风险影响程度值；
所述风险可能性值计算单元，用于将所述脆弱性值中的最大值、除所述最大值外剩余的脆弱性值总和的对数值进行求和得到风险可能性值；
所述风险值计算单元，用于通过将所述关键资产值、所述风险影响程度值与所述风险可能性值相乘得到关键资产的风险值；将所述关键资产的风险值中的最大值、除所述最大值外剩余关键资产的风险值总和的对数值进行求和得到其所处层面的风险值；
所述关键资产值
Figure FDA0003443261570000041
其中，C表示关键资产的机密性，I表示关键资产的完整性，U表示关键资产的可用性，B表示关键资产的业务相关性，Round2是四舍五入最后的结果，并取前两位；
所述风险影响程度值
Figure FDA0003443261570000042
其中，DC、TC分别表示所处层面面临的不同威胁的机密性，DI、TI分别表示所处层面面临的不同威胁的完整性，DU、TU分别表示所处层面面临的不同威胁的可用性，DB、TB分别表示所处层面面临的不同威胁的业务相关性；
所述风险可能性值
Figure FDA0003443261570000043
其中，V表示脆弱性值，V'表示除脆弱性值的最大值外剩余信息的信息脆弱性值；
所述关键资产的风险值Rat(A,T)＝Avalue×Tprobably×Tseverity；
所述所处层面的风险值
Figure FDA0003443261570000051
其中，
Figure FDA0003443261570000052
表示所处层除最大风险值外剩余关键资产的风险值总和。
10.根据权利要求9所述的装置，其特征在于，所述处理单元包括：
第一时限处理单元与第二时限处理单元；
所述第一时限处理单元，用于当所述总风险值高于第一阈值时，则在第一时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
所述第二时限处理单元，用于当所述总风险值低于第一阈值时，则在第二时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
其中，第一时限值小于第二时限值。
11.根据权利要求10所述的装置，其特征在于，所述第二时限处理单元包括：
第三时限处理单元与第四时限处理单元；
所述第三时限处理单元，用于当所述总风险值低于第一阈值高于第二阈值时，则在第三时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
所述第四时限处理单元，用于当所述总风险值低于第二阈值时，则在第四时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
其中，所述第一阈值大于所述第二阈值，第四时限值大于第三时限值，所述第三时限值大于所述第一时限值。
12.根据权利要求9所述的装置，其特征在于，所述装置还包括：
已有控制措施值查找单元、残余风险值计算单元与残余风险处理单元；
所述已有控制措施值查找单元，用于查找信息系统中的已有控制措施值；
所述残余风险值计算单元，用于根据所述已有控制措施值与所述总风险值计算所述信息系统中各个层面的残余风险值；将各个层面的残余风险值中的最大值、除所述最大值外剩余层面的残余风险值总和的对数值进行求和得到所述信息系统的总残余风险值；
所述残余风险值处理单元，用于随着所述总残余风险值所在的阈值区间升高，采用更短的处理时限对所述信息系统的信息安全风险进行处理。
13.根据权利要求12所述的装置，其特征在于，所述残余风险值处理单元包括：
第五时限处理单元与第六时限处理单元；
所述第五时限处理单元，用于当所述总残余风险值高于第三阈值时，则在第五时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
所述第六时限处理单元，用于当所述总残余风险值低于第三阈值时，则在第六时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
其中，第五时限值小于第六时限值。
14.根据权利要求13所述的装置，其特征在于，所述第六时限处理单元包括：
第七时限处理单元与第八时限处理单元；
所述第七时限处理单元，用于当所述总残余风险值低于第三阈值高于第四阈值时，则在第七时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
所述第八时限处理单元，用于当所述总残余风险值低于第四阈值时，则在第八时限内采取应急措施使所述信息系统的信息安全风险降为可接受风险；
其中，所述第三阈值大于所述第四阈值，第八时限值大于第七时限值，所述第七时限值大于所述第五时限值。
15.根据权利要求9所述的装置，其特征在于，所述装置还包括：
分析单元，用于采用关联分析技术分析所述信息系统中所述关键资产。
16.根据权利要求9-15任一项所述的装置，其特征在于，所述装置还包括：显示单元，用于显示所述装置的处理过程。
CN201911025965.5A 2019-10-25 2019-10-25 一种信息安全风险的处理方法及装置 Active CN110750795B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201911025965.5A CN110750795B (zh) 2019-10-25 2019-10-25 一种信息安全风险的处理方法及装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201911025965.5A CN110750795B (zh) 2019-10-25 2019-10-25 一种信息安全风险的处理方法及装置

Publications (2)

Publication Number Publication Date
CN110750795A CN110750795A (zh) 2020-02-04
CN110750795B true CN110750795B (zh) 2022-02-08

Family

ID=69280144

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201911025965.5A Active CN110750795B (zh) 2019-10-25 2019-10-25 一种信息安全风险的处理方法及装置

Country Status (1)

Country Link
CN (1) CN110750795B (zh)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116389171B (zh) * 2023-06-05 2023-08-11 汉兴同衡科技集团有限公司 一种信息安全评估检测方法、系统、装置及介质

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20090030751A1 (en) * 2007-07-27 2009-01-29 Bank Of America Corporation Threat Modeling and Risk Forecasting Model
CN101610174B (zh) * 2009-07-24 2011-08-24 深圳市永达电子股份有限公司 一种日志事件关联分析系统与方法
CN102148820A (zh) * 2011-01-14 2011-08-10 中国科学技术大学 一种基于指对数分析的网络安全态势评估系统和方法
CN106713333A (zh) * 2016-12-30 2017-05-24 北京神州绿盟信息安全科技股份有限公司 一种信息系统风险评估方法及装置
CN106790198A (zh) * 2016-12-30 2017-05-31 北京神州绿盟信息安全科技股份有限公司 一种信息系统风险评估方法及系统
CN106960269B (zh) * 2017-02-24 2021-03-02 浙江鹏信信息科技股份有限公司 基于层次分析法的安全应急处置方法及系统
CN109064018A (zh) * 2018-07-31 2018-12-21 郑州向心力通信技术股份有限公司 一种信息安全风险评估系统及方法

Also Published As

Publication number Publication date
CN110750795A (zh) 2020-02-04

Similar Documents

Publication Publication Date Title
CN107239707B (zh) 一种用于信息系统的威胁数据处理方法
US8607353B2 (en) System and method for performing threat assessments using situational awareness
CN107819771A (zh) 一种基于资产依赖关系的信息安全风险评估方法及系统
CN112153047B (zh) 一种基于区块链的网络安全运维及防御方法及系统
Singh et al. An approach to understand the end user behavior through log analysis
CN103413088A (zh) 一种计算机文档操作安全审计系统
Beigh et al. Intrusion Detection and Prevention System: Classification and Quick
US11785036B2 (en) Real-time validation of data transmissions based on security profiles
CN116094817A (zh) 一种网络安全检测系统和方法
CN110750795B (zh) 一种信息安全风险的处理方法及装置
CN117640250A (zh) 一种企业信息安全管理系统
US20230396640A1 (en) Security event management system and associated method
Fagade et al. Malicious insider threat detection: A conceptual model
Meriah et al. A survey of quantitative security risk analysis models for computer systems
Hakkoymaz Classifying database users for intrusion prediction and detection in data security
Toapanta et al. Prototype to mitigate the risks of the integrity of cyberattack information in electoral processes in Latin America
Gheorghică et al. A new framework for enhanced measurable cybersecurity in computer networks
Zhang et al. A qualitative and quantitative risk assessment method in software security
Shao Design and implementation of network security management system based on K-means algorithm
Awotipe Log analysis in cyber threat detection
Popescu The influence of vulnerabilities on the information systems and methods of prevention
Tian et al. A cybersecurity risk assessment method and its application for instrumentation and control systems in nuclear power plants
Prabu et al. An Automated Intrusion Detection and Prevention Model for Enhanced Network Security and Threat Assessment
Liu Construction of Computer Mega Data Security Technology Platform Based on Machine Learning
Cârstea Methods of Identifying Vulnerabilities in the Information Security Incident Management Process

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant