CN113656123A - 面向等保测评的信息评估方法、装置及系统 - Google Patents

Abstract

本发明公开了面向等保测评的信息评估方法、装置及系统，涉及网络安全技术领域。所述方法包括步骤：接收用户触发的针对等保测评事项信息的评估请求；获取前述等保测评事项信息，在即时通信工具中建立与等保测评事项信息对应的群联系人对象，并获取等保测评事项信息包含的要素组分后将其作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人；将每个群成员对应的要素组分的组分内容发送至关联联系人进行合规性评估，根据所有要素组分的合规性评估结果来判断等保测评事项信息是否符合等保要求。本发明的评估方法操作简单，便于人员沟通和对接，能够显著提高等保测评的信息交互效率。

Description

面向等保测评的信息评估方法、装置及系统

技术领域

本发明涉及网络安全技术领域，具体涉及一种面向等保测评的信息评估方法、装置及系统。

背景技术

网络安全、应用安全行业中，安全评估方法层出不穷，常用的有等级保护、渗透测试、漏洞扫描、基线核查、风险评估等方法，每一种方法都有其各自特点。其中，信息安全等级保护是指对国家重要信息、法人和其他组织及公民的专有信息以及公开信息和存储、传输、处理这些信息的信息系统(网络设备)分等级实行安全保护，对信息系统中使用的信息安全产品实行按等级管理，对信息系统中发生的信息安全事件分等级响应、处置。为此，国家制定了对应的《信息系统安全等级保护测评要求》等管理规范和技术标准。信息安全等级保护测评（简称等保测评）工作是等级测评机构依据国家信息安全等级保护制度规定，按照有关管理规范和技术标准，对非涉及国家秘密信息系统安全等级保护状况进行检查评估的活动。

等保测评工作涉及的信息系统范围广，敏感性强，传统的测评通常是以人力进行各种安全测试操作，通常是由专业人员现场测试和访谈，然后人工整理和计算测试得到的数据，编写等保测评报告。当前，随着等保2.0的到来，信息系统逐步向云上发展，等级保护基本要求也融入云计算、大数据、移动互联网、物联网等技术，无论公安机关还是测评机构，在信息系统安全等级测评过程中，通常会结合半自动或自动的安全评估方法、技术工具等进行等保测评。作为举例，比如中国专利zl2015101410972公开的一种面向等级保护的信息系统安全合规性检查方法，其包括技术检查工具集和等级保护检查管理系统，技术检查工具集用于搜集IT资产配置和脆弱性数据，等级保护检查管理系统用于把技术检查工具收集的IT资产配置和脆弱性数据进行集中智能关联和合规评判，并利用每一个检查项判定结果以及获得的综合评分，生成该所需检查的IT资产的等级保护合规性报告。上述技术方案一方面可以避免因人员素质问题而影响安全评估工作，提高等保测评的客观、公正和安全性，另一方面可以节约人力成本。

然而，由于等保测评涉及的处理事项较多且繁杂,提供等保测评服务的服务方与等保服务对象（客户）往往需要进行大量的咨询、信息传输等信息交互。目前常用的信息交互方式有面对面交互、即时通信交互、邮件通信交互、电话通信交互等。一方面，现有的上述交互方式收集的信息往往较为散乱，后期还需要花费大量时间整理数据；另一方面，现有的信息交互过程以及评估的过程都存在耗费时间长，客户方无法及时得到反馈，存在沟通效率低、对接过程繁琐且时效性较差的缺陷。

综上所述，如何提供一种操作简单、沟通方便、事项处理效率高的等保测评信息评估方法是当前亟需解决的技术问题。

发明内容

本发明的目的是提供一种面向等保测评的信息评估方法、装置及系统，本发明能够在即时通信工具中建立与等保测评事项对应的群联系人对象，并将等保测评事项信息包含的要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人以便通过专门的关联联系人对前述各要素组分进行合规性评估，方便用户获取要素组分信息，以及根据需要与要素组分对应的关联联系人进行沟通。本发明的评估方法操作简单，便于人员沟通和对接，能够显著提高等保测评的信息交互效率。

为实现上述目标，本发明提供了如下技术方案：

一种面向等保测评的信息评估方法，包括如下步骤：

接收用户触发的针对等保测评事项信息的评估请求；

获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人；

将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估；

根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否符合对应等级的等保要求。

进一步，在即时通信工具的用户界面中设置有事项信息采集栏以采集用户输入的等保测评事项信息，所述等保测评事项信息包括事项名称、事项编号和/或事项图标；对应所述事项名称、事项编号和/或事项图标预设有具体测评内容，所述具体测评内容包括测评对象信息和测评要求信息。

进一步，所述要素组分包括技术要素组分和非技术要素组分，所述技术要素组分的关联联系人为对应技术要素组分所属类型设置的评估人员，所述非技术要素组分的关联联系人为对应前述非技术要素组分所述类型设置的评估人员；

在显示群成员列表时，将技术要素组分和非技术要素组分对应的群成员区分显示。

进一步，判断前述等保测评事项信息是否为符合对应等级的等保要求的步骤包括，

令等保测评事项信息的技术合规性评估分值X和非技术合规性评估分值Y的值为0；

获取等保测评事项信息对应的技术要素组分和非技术要素组分信息；

对于每一个技术要素组分i，获取关联联系人评估出的测评分值S[i]，判断该技术要素组分的测评分值S[i]是否超过预设的第一阈值，判定超过预设的第一阈值时执行X++，否则保持当前X值不变；

以及，对于每一个非技术要素组分j，获取关联联系人评估出的测评分值T[j]，判断该非技术要素组分的测评分值T[j]是否超过预设的第二阈值，判定超过预设的第二阈值时执行Y++，否则保持当前Y值不变；

获取技术合规性评估分值X和非技术合规性评估分值Y的最终值，判断前述X和Y是否均超过对应等级的等保标准分值，超过等保标准分值时判定为符合对应等级的等保要求；未超过等保标准分值时判定为不符合对应等级的等保要求，输出该等保测评事项信息的整改信息。

进一步，采集用户对群成员的触发操作，输出该群成员对应的要素组分的要素交互界面，所述要素交互界面中输出有要素组分的名称、要素组分的组分内容和关联联系人信息；

获取用户在前述要素交互界面中发送的信息，对所述信息进行语义分析，判定该信息与等保测评相关时，将所述信息发送给前述关联联系人。

进一步，所述要素交互界面包括要素组分名称栏、发送信息输出栏、发送信息输入栏和关联信息栏，所述发送信息输入栏用于采集用户输入的信息，所述发送信息输出栏用于输出用户发送的信息记录，所述关联信息栏用于输出关联联系人信息。

进一步，在所述关联信息栏中输出关联联系人的联系人头像图标，采集用户对前述联系人头像图标的触发操作，输出用户与对应关联联系人的即时通信交互界面。

进一步，获取关联联系人的合规性评估结果，并将所述合规性评估结果作为群消息发送至前述群组中，所述关联联系人对应的群成员作为前述群消息的发送方。

本发明还提供了一种面向等保测评的信息评估装置，包括如下结构：

信息采集模块，用于接收用户触发的针对等保测评事项信息的评估请求；

初始化模块，用于获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人；

合规性评估模块，用于将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估；以及，根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否为符合对应等级的等保要求。

本发明还提供了一种面向等保测评的信息评估系统，包括用户客户端和系统服务器；

所述用户客户端，用于接收用户触发的针对等保测评事项信息的评估请求，以及输出前述等保测评事项信息的评估结果；

所述系统服务器，用于获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人，将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估；以及，根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否符合对应等级的等保要求。

本发明由于采用以上技术方案，与现有技术相比，作为举例，具有以下的优点和积极效果：能够在即时通信工具中建立与等保测评事项对应的群联系人对象，并将等保测评事项信息包含的要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人以便通过专门的关联联系人对前述各要素组分进行合规性评估，方便用户获取要素组分信息，以及根据需要与要素组分对应的关联联系人进行沟通。本发明的评估方法操作简单，便于人员沟通和对接，能够显著提高等保测评的信息交互效率。

附图说明

图1为本发明实施例提供的面向等保测评的信息评估方法的流程图。

图2为本发明实施例提供的具有事项信息采集栏的即时通信工具用户界面示例图。

图3为本发明实施例提供的通过事项信息采集栏采集用户输入的针对目标对象的等保测评事项的操作示例图。

图4为本发明实施例提供的在群组列表中生成对应事项的群联系人对象的界面示例图。

图5为本发明实施例提供的向关联联系人发送对应要素组分的组分内容的操作示例图。

图6为本发明实施例提供的要素交互界面的界面示例图。

图7是本发明实施例提供的装置的结构示意图。

附图标记说明：

用户终端100，用户头像110，搜索栏120，联系人列表130，联系人对象131，事项信息采集栏140，群组列表150，常规群联系人对象151，事项群联系人对象152，群成员152-1、152-2；

即时通信交互界面200，联系人对象名称210，交互信息显示栏220，交互信息输入栏230，工具栏240，其它信息显示栏250；

要素交互界面300，要素组分名称栏310，发送信息输出栏320，发送信息输入栏330，关联信息栏340；

装置400，信息采集模块410，初始化模块420，合规性评估模块430。

具体实施方式

以下结合附图和具体实施例对本发明公开的面向等保测评的信息评估方法、装置及系统作进一步详细说明。应当注意的是，下述实施例中描述的技术特征或者技术特征的组合不应当被认为是孤立的，它们可以被相互组合从而达到更好的技术效果。在下述实施例的附图中，各附图所出现的相同标号代表相同的特征或者部件，可应用于不同实施例中。因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步讨论。

需说明的是，本说明书所附图中所绘示的结构、比例、大小等，均仅用以配合说明书所揭示的内容，以供熟悉此技术的人士了解与阅读，并非用以限定发明可实施的限定条件，任何结构的修饰、比例关系的改变或大小的调整，在不影响发明所能产生的功效及所能达成的目的下，均应落在发明所揭示的技术内容所能涵盖的范围内。本发明的优选实施方式的范围包括另外的实现，其中可以不按所述的或讨论的顺序，包括根据所涉及的功能按基本同时的方式或按相反的顺序，来执行功能，这应被本发明的实施例所属技术领域的技术人员所理解。

对于相关领域普通技术人员已知的技术、方法和技术可能不作详细讨论，但在适当情况下，所述技术、方法和技术应当被视为授权说明书的一部分。在这里示出和讨论的所有示例中，任何具体值应被解释为仅仅是示例性的，而不是作为限制。因此，示例性实施例的其它示例可以具有不同的值。

本发明中，所述等保测评事项包含的要素组分，是指与该等保测评事项相关的各种信息中概括出来的能够影响等保测评结果的必要因素。比如根据等保2.0的基本要求，等级保护测评可以分为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理十个方面。其中，涉及技术要求的包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心5个方面，涉及管理要求的包括安全管理制度、安全管理机构、安全人员管理、安全建设管理和安全运维管理5个方面。据此，作为典型方式的举例而非限制，就可以将等保测评事项包含的要素组分分为技术要素组分和管理要素组分两大类。

本发明中，所述技术要素组分是指与等保技术要求相关的因素，具体可以包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心5个类型。所述安全物理环境是针对物理机房提出的安全控制要求，主要评估对象为物理环境、物理设备和物理设施等；涉及的安全控制点包括物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应和电磁防护等。所述安全通信网络是针对通信网络提出的安全控制要求，主要评估对象为广域网、城域网和局域网等；涉及的安全控制点包括网络架构、通信传输和可信验证等。所述安全区域边界是针对网络边界提出的安全控制要求，主要评估对象为系统边界和区域边界等；涉及的安全控制点包括边界防护、访问控制、入侵防范、恶意代码防范、安全审计和可信验证等。所述安全计算环境是针对边界内部提出的安全控制要求，主要评估对象为边界内部的所有对象，包括网络设备、安全设备、服务器设备、终端设备、应用系统、数据对象和其他设备等；涉及的安全控制点包括身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份与恢复、剩余信息保护和个人信息保护等。所述安全管理制度是针对整个管理制度体系提出的安全控制要求，涉及的安全控制点包括安全策略、管理制度、制定和发布以及评审和修订等。

所述非技术要素组分为与等保技术要求无关的其它因素，主要包括管理要素组分。所述管理要素组分具体可以包括安全管理制度、安全管理机构、安全人员管理、安全建设管理和安全运维管理5个类型。所述安全管理制度是针对整个管理制度体系提出的安全控制要求，涉及的安全控制点包括安全策略、管理制度、制定和发布以及评审和修订等。所述安全管理机构，是针对整个管理组织架构提出的安全控制要求，涉及的安全控制点包括岗位设置、人员配备、授权和审批、沟通和合作以及审核和检查。所述安全管理人员是针对人员管理提出的安全控制要求，涉及的安全控制点包括人员录用、人员离岗、安全意识教育和培训以及外部人员访问管理。所述安全建设管理，是针对安全建设过程提出的安全控制要求，涉及的安全控制点包括定级和备案、安全方案设计、安全产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评和服务供应商管理等。所述安全运维管理是针对安全运维过程提出的安全控制要求，涉及的安全控制点包括环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理和外包运维管理等。

需要说明的是，在设置技术要素组分和非技术要素组分时，还可等保测评要求，结合测评对象（等保保护对象）所属类型及对应的等保级别加入其它因素。作为举例，比如设置技术要素组分时，如果测评对象涉及物联网的，要素组分还包括物联网安全扩展要求，其是针对感知层提出的特殊安全要求，涉及感知节点的物理防护、感知节点设备安全、网关节点设备安全、感知节点的管理和数据融合处理等。再比如设置非技术要素组分，加入历史评测结果、专家预审结果等因素。

实施例

参见图1所示，为本发明实施例提供的一种面向等保测评的信息评估方法，包括如下步骤：

S100，接收用户触发的针对等保测评事项信息的评估请求。

所述评估请求用于请求等保测评事项的合规性评估，用户可以通过用户终端上的即时通信工具来触发针对等保测评事项的评估请求，可以在发出所述评估请求之前或之后确定待评估的等保测评事项信息。

所述的用户终端，可以是台式电脑、笔记本电脑、手机或者佩戴式智能终端技术比如智能手表、智能手环等。所述用户终端上安装有即时通信工具。

优选的，在即时通信工具的用户界面中设置有事项信息采集栏以采集用户输入的等保测评事项信息，所述等保测评事项信息包括事项名称、事项编号和/或事项图标。对应所述事项名称、事项编号和/或事项图标预设有具体测评内容。所述具体测评内容可以包括测评对象信息和测评要求信息，是依据等保2.0的相关标准设置的测评对象和测评要求，设置时可以参考现有技术中已有的信息安全评估分析系统或平台中测试对象，在此不再赘述。

优选的，所述事项名称、事项编号和/或事项图标与具体测评内容的对应关系可以由用户或者系统设置并存储在即时通信服务器中，用户可以通过访问前述即时通信服务器来获取事项名称、事项编号和/或事项图标与具体测评内容的对应关系，从而能够通过希望测评的事项内容查找到对应的事项名称、事项编号和/或事项图标。当然，对于熟悉前述事项名称、事项编号和/或事项图标的用户，可以直接输入事项名称、事项编号和/或事项图标来启动对应事项的评估。

作为典型方式的举例，在一个实施方式中，比如用户希望评估的是现场核查相关事项，其对应的事项名称为“现场核查事项”、编号为“DB-ST203”，则可以在事项信息输入事项名称“现场核查事项”或者事项编号“DB-ST203”来触发评估请求。评估请求触发后，会输出对象信息采集窗口以获取具体的等保服务对象（待评估对象）信息，用户在对象信息采集窗口的评估对象信息栏中可以输入等保服务对象的名称——比如企业名称——以便确定评估目标对象。可选的，所述对象信息采集窗口还可以提供事项资料采集栏以供用户输入评估目标对象的事项相关资料，所述事项相关资料可以提供给步骤S200中对应的关联联系人以供进行合规性评估或者辅助合规性评估。

在另一实施方式中，用户也可以在事项信息采集栏中直接输入评估目标对象和针对该对象的等保测评事项。优选的，可以将事项信息采集栏中的数据输入格式预设为2个字段，包括评估目标对象字段和等保测评事项字段，2个字段之间以指定符号——比如“-”、“*”或者“/”进行分隔，指定符号之前的为评估目标对象信息，指定符号之后的为等保测评事项信息。可选的，此时，如果根据事项信息采集栏中的评估目标对象信息无法确认唯一的评估目标对象时，向用户输出包括有所有候选评估对象的询问窗口，采集用户在询问窗口中的选择信息，将选择的候选评估对象作为评估目标对象。可选的，用户界面中还提供事项资料采集栏以供用户输入评估目标对象的事项相关资料，所述事项相关资料可以提供给步骤S200中对应的关联联系人以供进行合规性评估或者辅助合规性评估。

所述即时通信工具，又称即时通讯工具，本领域通常指具有即时通信功能的客户端，比如微信、QQ和钉钉等。作为举例而非限制，所述即时通信工具可以是网络版应用，也可以是PC版应用或者手持终端APP应用。现有技术中，用户通过登录即时通信工具，建立了即时通信客户端与即时通信服务器之间的连接。即时通信工具通过用户终端显示屏向用户输出用户主界面。参见图2所示，所述用户主界面可以显示用户头像110、搜索栏120、以及即时通信服务器推送的联系人列表130和群组（或称群、群聊）列表信息等。该联系人列表130中记录了联系人对象131的头像、昵称、签名、在线状态、会话消息以及排序等好友信息等。若用户针对联系人列表中的某一联系人，和/或群组列表中某一群组，触发了交互操作——常用的，比如触发对应的联系人头像、群组头像——则会相应地生成即时通信交互界面。所述即时通信交互界面，例如，展现历史交互信息、当前交互信息等。

本实施例中，在用户主界面中设置有话题设置事项信息采集栏140，其用于采集等保测评事项信息并发出评估请求。作为典型方式的举例，所述事项信息采集栏140可以设置在用户主界面的搜索工具栏下方区域，参见图2所示。用户可以在事项信息采集栏140输入希望评估的评估目标对象和具体等保测评事项，参见图3所示。

优选的,对应所述事项信息采集栏140还设置有事项查询控件以供用户查询可以进行评估的事项名称、事项编号和/或事项图标以及其对应的具体测评内容。可选的，在事项信息采集栏140中设置有事项图标选择控件，所述事项图标选择控件被触发后能够输出事项图标列表，获取用户在事项图标列表中选中的事项图标，将该事项图标对应的等保测评事项作为需要评估的等保测评事项。

进一步，对应所述事项信息采集栏140可以设置有事项设置控件以供用户设置评估目标对象（比如某个企业）的等保测评事项相关信息。具体的，用户可以在触发评估请求之前，触发所述事项设置控件，所述事项设置控件被触发后能够输出事项设置窗口，用户可以通过事项设置窗口加载或编辑评估目标对象的等保测评事项相关信息。

S200，获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人。

本实施例中，是在即时通信工具中建立与等保测评事项对应的群联系人对象作为事项评估群组，所述事项评估群组可以与其它常规的聊天群组一样显示在群组列表中。

然后，基于预设的要素分析模型对前述等保测评事项进行要素分析，获取前述等保测评事项包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员。各群成员的名称可以体现要素组分的主题、类型和/或关键内容——此时名称优选为要素组分中的主题，也可以仅以编号表示——比如要素组分1，要素组分2，要素组分3等。

最后，通过分析所述事项评估群组中各要素组分的主题所属类型，查询预设的主题类型与评估人员的对应关系表，获取对应的评估人员作为该要素组分的关联联系人。所述主题类型与评估人员的对应关系表可以由用户或系统预设。

具体的，所述要素组分可以包括技术要素组分和非技术要素组分。所述技术要素组分的关联联系人为对应技术要素组分所属类型设置的评估人员。所述非技术要素组分的关联联系人为对应前述非技术要素组分所述类型设置的评估人员。优选的，在显示群成员列表时，将技术要素组分和非技术要素组分对应的群成员区分显示。所述非技术要素组分，具体可以包括管理要素组分。

以IM工具微信为例，比如用户Austus在事项信息采集栏140输入了等保测评事项的事项名称及企业名称（企业作为评估目标对象）后，发出评估请求。即时通信客户端将采集的等保测评事项信息和评估请求发送至服务器，服务器在即时通信工具中建立与等保测评事项对应的群联系人对象以作为事项评估群组。

所述事项评估群组可以与其它常规的聊天群组一样显示在群组列表中，参见图4所示，比如群组列表150中显示有常规群联系人对象151和事项群联系人对象152，常规群联系人对象151对应的是现有技术中的常规的聊天群组，所述事项群联系人对象152对应的是事项评估群组，与常规聊天群组不同，事项评估群组中的群成员对应的是该事项包含的与等保测评相关的要素组分信息，而常规聊天群组中的群成员是用户的聊天对象。

同时，即时通信服务器通过检索关联的企业信息数据库（可以是本地企业信息数据库、网络企业信息数据库和/或其他许可终端的企业信息数据库）获得该企业的等保测评关联信息，然后从等保测评关联信息中获取与前述等保测评事项相关的事项关联信息。然后，即时通信服务器基于预设的要素分析模型对前述事项关联信息进行要素分析，获取前述事项关联信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员。

本实施例中，所述关联的企业信息数据库中的等保测评关联信息可以是预先存储好的，该企业信息数据库可以是即时通信工具自己建立的数据库，也可以是即时通信工具购买的相关数据服务，在此不做限制。

所述要素分析模型采用二要素模型，所述二要素包括等保技术要素和等保管理要素两大类，要素分析模型能够将等保测评事项的事项关联信息划分为技术要素组分和管理要素组分两个大类，每各大类要素组分下还可以包括一个或多个小类要素组分,将等保测评事项包含的各个要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员。作为举例而非限制，比如即时通信服务器基于前述二要素分析模型对等保测评事项的事项关联信息进行要素分析，获取前述等保测评事项包含的10个要素组分，分别为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理，然后将10个要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员。所述10个要素组分中包括5个技术要素组分和5个管理要素组分（属于非技术要素组分），5个技术要素组分的5个关联联系人分别为安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心方面的评估人员，5个管理要素组分的5个关联联系人分别为安全管理制度、安全管理机构、安全人员管理、安全建设管理、安全运维管理方面的评估人员。

优选的，在显示群成员列表时，将技术要素组分和非技术要素组分对应的群成员区分显示。作为举例而非限制，比如在非技术要素组分对应的群成员的头像上端设置区别标识——图4中示例了云朵标识，如此，便于用户辨识联系人列表中的技术要素组分和非技术要素组分。当然，根据需要，还可以采用其它字符或图形标识，在此不作为对本发明的限制。

S300，将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估。

参见图5所示，示例了将群成员“安全物理环境”对应的要素组分的组分内容发送至对应的关联联系人1以进行合规性评估。

所述组分内容根据需要可以是文字格式、音频文件格式和/或图像文件格式（包括静态图像和动态图像），在此不做限制。

S400，根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否符合对应等级的等保要求。

本实施例中，具体的，判断前述等保测评事项信息是否为符合对应等级的等保要求的步骤可以如下：

S410，令等保测评事项信息的技术合规性评估分值X和非技术合规性评估分值Y的值为0。

S420，获取等保测评事项信息对应的技术要素组分和非技术要素组分信息。

S430，对于每一个技术要素组分i，获取关联联系人评估出的测评分值S[i]，判断该技术要素组分的测评分值S[i]是否超过预设的第一阈值，判定超过预设的第一阈值时执行X++，否则保持当前X值不变；以及，对于每一个非技术要素组分j，获取关联联系人评估出的测评分值T[j]，判断该非技术要素组分的测评分值T[j]是否超过预设的第二阈值，判定超过预设的第二阈值时执行Y++，否则保持当前Y值不变。

S440，获取技术合规性评估分值X和非技术合规性评估分值Y的最终值，判断前述X和Y是否均超过对应等级的等保标准分值。超过等保标准分值时判定为符合对应等级的等保要求，未超过等保标准分值时判定为不符合对应等级的等保要求，输出该等保测评事项信息的整改信息。

本发明提供的上述技术方案，对现有的联系人应用的功能进行了改进，能够基于联系人应用建立与等保测评事项对应的群联系人对象以作为事项评估群组以供用户对该事项的评估相关信息（通过要素组分体现）进行获取、沟通、维护或管理。本发明中的事项群联系人对象对应的是事项评估群组，与常规聊天群组不同，事项评估群组中的群成员对应的是该事项包含的、与等保测评相关的要素组分信息，而常规聊天群组中的群成员是用户的聊天对象，触发事项评估群组中的群成员，输出的是对应要素组分的要素交互界面，触发常规聊天群组中的群成员，输出的是用户与该群成员的即时通信交互界面。

本实施例中，采集到用户对群成员的触发操作时，输出该群成员对应的要素组分的要素交互界面，所述要素交互界面中输出有要素组分的名称、要素组分的组分内容和关联联系人信息。此时，可以获取用户在前述要素交互界面中发送的信息，对所述信息进行语义分析，判定该信息与等保测评相关时，将所述信息发送给前述关联联系人。

具体的，参见图6所示，所述要素交互界面300可以包括要素组分名称栏310、发送信息输出栏320、发送信息输入栏330和关联信息栏340。所述发送信息输入栏330用于采集用户输入的信息，所述发送信息输出栏320用于输出用户发送的信息记录，所述关联信息栏340用于输出关联联系人信息。

具体的，在所述关联信息栏340中输出关联联系人的联系人头像图标，采集用户对前述联系人头像图标的触发操作，输出用户与对应关联联系人的即时通信交互界面。

本实施例的另一实施方式中，还可以获取关联联系人的合规性评估结果，并将所述合规性评估结果作为群消息发送至前述群组中，所述关联联系人对应的群成员作为前述群消息的发送方。如此，使得用户能够通过事项评估群组获取各关联联系人针对对应要素组分的合规性评估结果。

参见图7所示，本发明的另一实施例，还提供了一种面向等保测评的信息评估装置。

所述装置400包括信息采集模块410，初始化模块420和合规性评估模块430。

信息采集模块410，用于接收用户触发的针对等保测评事项信息的评估请求。

初始化模块420，用于获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人。

合规性评估模块430，用于将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估；以及，根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否为符合对应等级的等保要求。

其它技术特征参考在前实施例，各模块可以被配置为执行相应的信息采集、信息传输和信息处理过程，在此不再赘述。

本发明的另一实施例，还提供了一种面向等保测评的信息评估系统。

所述系统包括用户客户端和系统服务器。

所述用户客户端，用于接收用户触发的针对等保测评事项信息的评估请求，以及输出前述等保测评事项信息的评估结果。

所述系统服务器，用于获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人，将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估；以及，根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否符合对应等级的等保要求。

其它技术特征参考在前实施例，各部件可以被配置为执行相应的信息采集、信息传输和信息处理过程，在此不再赘述。

需要说明的是，本发明中的关联联系人作为要素组分的评估人员，是要素组分所属类型（包括但不限于根据专业类型、行业类型和技术领域进行类型划分）的专业评估人员，其负责该对分配给自己的要素组分进行评估并能够就该要素组分的评估相关信息与用户进行沟通，作为举例而非限制，比如对用户的疑问进行解答、比如根据用户的需求调整评估参数或根据评估要求要求用户提供与该要素组分相关的评估信息等。而关联联系人对要素组分进行合规性评估的具体方式，可以是基于人工评估，也可以基于全自动化的等保测评系统进行自动评估（评估人员只需要将要素组分信息按要求输入对应的等保测评系统中），也可以是人工辅助与半自动化的等保测评系统结合进行评估（需要评估人员输入要素组分信息并收集评估需要的其它相关信息），不作为对本发明的限制。

在上面的描述中，本发明的公开内容并不旨在将其自身限于这些方面。而是，在本公开内容的目标保护范围内，各组件可以以任意数目选择性地且操作性地进行合并。另外，像“包括”、“囊括”以及“具有”的术语应当默认被解释为包括性的或开放性的，而不是排他性的或封闭性，除非其被明确限定为相反的含义。所有技术、科技或其他方面的术语都符合本领域技术人员所理解的含义，除非其被限定为相反的含义。在词典里找到的公共术语应当在相关技术文档的背景下不被太理想化或太不实际地解释，除非本公开内容明确将其限定成那样。本发明领域的普通技术人员根据上述揭示内容做的任何变更、修饰，均属于权利要求书的保护范围。

Claims (10)

1.一种面向等保测评的信息评估方法，其特征在于包括步骤：

接收用户触发的针对等保测评事项信息的评估请求；

获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人；

将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估；

根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否符合对应等级的等保要求。

2.根据权利要求1所述的方法，其特征在于：在即时通信工具的用户界面中设置有事项信息采集栏以采集用户输入的等保测评事项信息，所述等保测评事项信息包括事项名称、事项编号和/或事项图标；对应所述事项名称、事项编号和/或事项图标预设有具体测评内容，所述具体测评内容包括测评对象信息和测评要求信息。

3.根据权利要求1所述的方法，其特征在于：所述要素组分包括技术要素组分和非技术要素组分，所述技术要素组分的关联联系人为对应技术要素组分所属类型设置的评估人员，所述非技术要素组分的关联联系人为对应前述非技术要素组分所述类型设置的评估人员；

在显示群成员列表时，将技术要素组分和非技术要素组分对应的群成员区分显示。

4.根据权利要求3所述的方法，其特征在于：判断前述等保测评事项信息是否为符合对应等级的等保要求的步骤包括，

令等保测评事项信息的技术合规性评估分值X和非技术合规性评估分值Y的值为0；

获取等保测评事项信息对应的技术要素组分和非技术要素组分信息；

对于每一个技术要素组分i，获取关联联系人评估出的测评分值S[i]，判断该技术要素组分的测评分值S[i]是否超过预设的第一阈值，判定超过预设的第一阈值时执行X++，否则保持当前X值不变；

以及，对于每一个非技术要素组分j，获取关联联系人评估出的测评分值T[j]，判断该非技术要素组分的测评分值T[j]是否超过预设的第二阈值，判定超过预设的第二阈值时执行Y++，否则保持当前Y值不变；

获取技术合规性评估分值X和非技术合规性评估分值Y的最终值，判断前述X和Y是否均超过对应等级的等保标准分值，超过等保标准分值时判定为符合对应等级的等保要求；未超过等保标准分值时判定为不符合对应等级的等保要求，输出该等保测评事项信息的整改信息。

5.根据权利要求1所述的方法，其特征在于：采集用户对群成员的触发操作，输出该群成员对应的要素组分的要素交互界面，所述要素交互界面中输出有要素组分的名称、要素组分的组分内容和关联联系人信息；

获取用户在前述要素交互界面中发送的信息，对所述信息进行语义分析，判定该信息与等保测评相关时，将所述信息发送给前述关联联系人。

6.根据权利要求5所述的方法，其特征在于：所述要素交互界面包括要素组分名称栏、发送信息输出栏、发送信息输入栏和关联信息栏，所述发送信息输入栏用于采集用户输入的信息，所述发送信息输出栏用于输出用户发送的信息记录，所述关联信息栏用于输出关联联系人信息。

7.根据权利要求6所述的方法，其特征在于：在所述关联信息栏中输出关联联系人的联系人头像图标，采集用户对前述联系人头像图标的触发操作，输出用户与对应关联联系人的即时通信交互界面。

8.根据权利要求1所述的方法，其特征在于：获取关联联系人的合规性评估结果，并将所述合规性评估结果作为群消息发送至前述群组中，所述关联联系人对应的群成员作为前述群消息的发送方。

9.一种面向等保测评的信息评估装置，其特征在于包括：

信息采集模块，用于接收用户触发的针对等保测评事项信息的评估请求；

初始化模块，用于获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人；

合规性评估模块，用于将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估；以及，根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否为符合对应等级的等保要求。

10.一种面向等保测评的信息评估系统，包括用户客户端和系统服务器，其特征在于：

所述用户客户端，用于接收用户触发的针对等保测评事项信息的评估请求，以及输出前述等保测评事项信息的评估结果；

所述系统服务器，用于获取前述等保测评事项信息，在即时通信工具中建立与所述等保测评事项信息对应的群联系人对象，并基于预设的要素分析模型对前述等保测评事项信息进行要素分析，获取前述等保测评事项信息包含的要素组分，将所述要素组分作为联系人对象加入前述群联系人对象的群组中形成群成员，并对应每个群成员设置关联联系人，将每个群成员对应的要素组分的组分内容发送至前述关联联系人以进行合规性评估；以及，根据前述等保测评事项信息包含的所有要素组分的合规性评估结果来判断前述等保测评事项信息是否符合对应等级的等保要求。

Images