CN116094747B - 一种基于因子分解的风险评估方法和系统 - Google Patents

Abstract

本发明涉及一种基于因子分解的风险评估方法和系统,包括：构建特定场景生产控制系统的风险评估模型和风险评估指标体系，形成指标库；根据特定业务特征将指标库中的风险评估指标分解成多个指标因子，形成相应的因子库，包括指标因子、因子间关系；基于因子库建立特定场景生产控制系统风险评估的知识库，根据因子库和知识库进行现场评估，编制风险评估报告。本发明采用指标因子拆分和组合，基于因子的依赖关系，围绕着国家和行业规范的总体要求和不可突破的管理红线,建立一套基于特定场景便于快速进行风险评估的因子库和知识库，形成业务场景、指标规则、风险预判三者关联的风险评估，大幅提高了信息安全风险评估的准确性和评估报告编制的效率。

Description

一种基于因子分解的风险评估方法和系统

技术领域

本发明涉及信息安全风险评估技术领域，特别是涉及一种基于因子分解的风险评估方法和系统。

背景技术

近年来，网络攻击技术发展迅猛，网络安全问题日益严重，随着信息系统的应用规模不断扩大，对系统的安全性和稳定性也提出了更高的要求。为提升网络安全性及网络安全管理水平，优化网络资源，保障业务的安全运行，通常的技术手段是对信息系统进行安全风险评估。

风险评估是信息系统安全的基础性工作，只有在正确、全面地了解和理解安全风险后，才能决定如何处理安全风险，从而在信息安全的投资、信息安全措施的选择、信息安全保障体系的建设等问题中做出合理的决策。风险评估工作主要通过专业的人工检测分析和工具测试服务，识别出信息系统中存在的技术和管理脆弱性，对发展战略及业务、资产、威胁、脆弱性、安全措施等层面进行综合分析，计算和评估客户的安全风险及风险级别，并提出风险控制与管理建议。

目前风险评估工作存在的不足有：

1、由于信息系统风险的影响因素多、变化较为复杂，多种指标复杂性以及指标间的相关性会严重干扰信息系统风险评估；同时，由于风险评估活动往往依靠评估人员的个人能力，对风险评估指标体系理解，脆弱性、威胁的识别以及风险程度分析依赖评估人员的能力和经验，因此导致风险评估指标的准确性不足。

2、信息安全风险评估报告，依据评估人员的检查记录和工具扫描分析来编制，评估按照资产对象的测评指标进行采集信息，测评表单编写耗时耗力，评估报告编制按照风险评估模型编制，编制过程费时费力，在一定程度上降低了工作效率。

3、针对电力领域变电站、光伏电站、风电场这类工业控制领域固定业务场景，有行业规定的防护要求和不可突破的管理红线，需要根据行业规范做出有针对性风险识别和整改建议。

然而，这种依据特定场景的风险评估需要技术人员具备评估对象专业知识和行业背景，还需要具备风险评估专业的技能，依靠人员能力很难提升风险评估的水平。

发明内容

本发明的目的是针对特定业务场景实施风险评估依靠人员能力实施，评估工作质量不稳定的现状，提出一种基于因子分解的风险评估方法和系统，将评估指标分拆为因子和因子间的依赖关系，依赖因子库和知识库的支撑，提升测评人员对特定场景风险评估的专业分析能力，帮助测评专业技术人员和审核人员减轻工作量，提高风险评估工作的准确率和报告编制的效率，提升公司的管理能力。

为实现上述目的，本发明提供了如下方案：

一种基于因子分解的风险评估方法，包括：

构建特定场景生产控制系统的风险评估模型，基于所述风险评估模型，以及行业安全防护要求建立风险评估指标体系，形成指标库；

根据特定场景的特定业务特征将所述指标库中的风险评估指标分解成多个指标因子，形成相应的因子库，其中，所述因子库包括所述指标因子和因子间关系；

基于所述因子库建立特定场景生产控制系统风险评估的知识库，根据所述因子库和所述知识库进行现场评估，完成风险评估报告的编制。

进一步地，所述风险评估模型包括：业务、资产、威胁、脆弱性和安全保障能力；

所述风险评估指标包括：物理环境、网络、平台和安全管理；

其中，所述脆弱性包括：物理环境脆弱性、网络脆弱性、计算环境脆弱性和安全管理脆弱性。

进一步地，所述因子为最小指标单元，所述因子间关系包括递进关系、并列关系、互斥关系、多选关系。

进一步地，所述因子间关系的表达过程包括：

设定所述因子间关系公用表示标志，根据所述因子间关系的种类，对所述公用表示标志赋值，根据赋值结果采用不同的表示方式表达所述因子间关系。

进一步地，所述知识库包括：业务场景、指标规则、风险预判，其中，所述业务场景为各种有设计规范的场景；所述指标规则为脆弱性指标的集合；所述风险预判为脆弱性分析。

进一步地，所述脆弱性分析根据所述业务场景下的风险评估模型，融合行业专家知识经验、重大安全风险事件经验以及所述指标因子的因子间关系，形成脆弱性分析级别赋值存入，并在工作中不断完善。

进一步地，进行所述现场评估包括：

根据评估系统类型从所述因子库中拉取相对应的指标因子，按照所述指标因子的因子间关系初始化指标因子测评记录数据，作为符合的结果记录；

根据现场评估采集的指标因子数据，在符合的结果记录中将不符合的指标因子修改为不符合，匹配所述因子库生成不符合的结果记录，并比对知识库进行脆弱性分析，完成所述现场评估，生成测评表单。

进一步地，编制所述风险评估报告包括：

整理所述现场评估中生成的测评表单；依据所述风险评估模型和所述知识库完成特定业务场景的实施风险分析，并计算风险分值，综合研判风险等级；从所述知识库中选取高风险记录的风险处置，结合所述实施风险分析以及所述风险等级，完成风险评估报告的编制。

为了实现上述目的，本申请还提供了一种基于因子分解的风险评估系统，包括：

采集模块：用于通过现场查看、访谈系统管理人员、手工检查相关设备配置、采用工具执行扫描的方式采集数据，所述数据通过因子选择的方式生成采集记录；

分析模块：用于将所述采集记录输入至所述风险评估模型，获取输出结果，所述输出结果即为目标信息数据的信息安全风险等级的评估结果；

报告生成模块：用于根据各类业务数据，以预设的数据规则，以及所述各类业务数据的业务需求和风险评估模型做出分析，按照报告模板的要求，写出报告。

本发明的有益效果为：

(1)本发明采用指标因子拆分和组合。因子库是根据历史积累和专家知识拆解的，指标按照规则拆解成因子库后，能够减少测评表的编写工作，提高数据的准确性，提升了工作效率；基于因子的依赖关系，能够把一些信息重叠、具有错综复杂关系的变量归结为综合因子分析的方式。

(2)本发明在数据采集环节使用了指标选择，在分析环节依赖于因子组合和相关权限，依赖知识库记性评估报告编制，在一定程度上提升了工作效率。

(3)本发明基于行业规定的总体要求和不可突破的管理红线，围绕着国家和行业规范需要建立一套基于特定场景便于快速进行风险评估的知识库，形成业务场景、指标规则、风险预判三者关联的风险评估，大幅提高了信息安全风险评估的准确性和报告编制效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例中一种基于因子分解的风险评估方法流程图；

图2为本发明实施例中因子库的关系实现方式图；

图3为本发明实施例中一种基于因子分解的风险评估系统框图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

在信息安全中风险评价具体是指在风险评估过程中对资产、威胁和脆弱性及当前安全措施进行分析评估后，对风险所做的综合分析和评估，将所评估的信息资产的风险与预先给定的准则做比较，或者比较各种风险的分析结果，从而确定风险的等级。风险评价方法是根据组织或信息系统面临的各种风险等级，通过对不同等级的安全风险进行统计、分析，并依据各等级风险所占全部风险的百分比，确定总体风险状况_。

如图1所示，本发明提供了一种基于因子分解的风险评估方法，包括：

步骤1、构建特定场景生产控制系统的风险评估模型和风险评估指标体系。

工业控制系统风险评估与传统风险评估存在一定程度的区别，工业控制系统与传统信息系统相比，业务模式单一、业务流程固定、系统相对封闭、更关注系统的实时性和可用性。

电力行业制定了调度系统、变电站、火电厂、光伏电站、风电站、配电网等典型生产控制系统的风险评估模型，风险评估模型涉及业务、资产、威胁、脆弱性和安全保障能力，风险模型比较通用。

风险值＝R(B，A，T，V)

其中，R表示安全风险计算函数；B表示业务；A表示资产；T表示威胁；V表示脆弱性。

围绕着风险评估模型，以及行业规范和安全防护要求，梳理变电站、光伏电站、风电站、配电网等典型生产控制系统的业务功能和相关业务处理流程，构建安全风险评估指标体系，形成指标库，涉及到物理环境、网络、平台和安全管理四个方面，常见脆弱性包括如下内容：

(1)物理环境脆弱性

物理环境脆弱性主要识别工控系统物理环境的安全风险，包括场所环境、电磁环境、设备实体、线路等方面。

(2)网络脆弱性

网络脆弱性主要识别工控系统的网络区域边界和通信网络的安全风险，包括网络结构及网络边界脆弱性、网络设备脆弱性、网络通信和无线连接脆弱性。

(3)计算环境脆弱性

工控系统的硬件、操作系统及其应用软件，包括软硬件本身存在的缺陷、配置不当和缺少必要的维护等问题造成，平台脆弱性包括平台硬件、平台软件和平台配置三个方面的脆弱性。

(4)安全管理脆弱性

安全管理脆弱性指对组织的安全管理策略、制度、人员、运维管理等方面。

步骤2、建立特定场景生产控制系统风险评估的因子库和知识库。

利用降维的思想，在力不失真的情况下将每个测评指标分解成多个指标因子，指标分解时考虑特定业务特征，形成具体业务的因子库。将每条脆弱性测评指标拆解成因子，在评价指标的相关性比较高时，能消除指标间信息的重叠。

每条测评指标拆解后，包括因子、因子间关系，因子是最小指标单元，因子间关系分成四类关系：递进、并列、互斥、多选。

(1)递进关系，是指两个因子为父子关系父不符合所有的子不符合。

(2)并列关系，是指两个因子同事存在互不影响。

(3)互斥关系，是指两个因子之间不能同时为是或否。

(4)多选关系，是指多个因子只有一个符合。

四种关系实现方式如图2所示，其中，四种关系用一个公用字段(relation)来表示因子之间的关系，relation的取值为(A，B，C，D)分别代表四种关系：黑色箭头实线表示因子递进关系，判断因子是否为父节点，如果父节点不符合，递归查找所有子节点为不符合；黑色虚线表示两个因子并列关系，对应的relation的值为B，因子测评表单根据relation值B并列展示因子；黑色点线表示因子互斥关系，对应的relation的值为C,并且保存point互斥因子,因子测评表单根据relation值C和point，对因子展示做互斥展示；黑色实现线表示因子多选关系，对应的relation的值为D,因子测评表单根据relation值D，对因子展示做多选展示。

建立特定场景生产控制系统风险评估的知识库，包括：业务场景、指标规则和风险预判。

其中，业务场景为如变电站、风电场、光伏等各种有设计规范的场景；指标规则为脆弱性指标的集合，通常按照物理环境、网络、计算环境、安全管理四个层面建立；风险预判为脆弱性分析，根据所述业务场景下的风险评估模型，融合行业专家知识经验、重大安全风险事件经验以及指标因子的因子间关系，形成脆弱性分析级别赋值。

步骤3、对被评估系统进行指标因子的脆弱性识别和脆弱性分析，完成现场评估。

现场测评活动准备时，根据被评估系统类型(如风电、变电站等)从因子知识库里拉取相对应的指标因子，按照指标因子的四种关系(递进、并列、互斥、多选)初始化因子测评记录数据，并按照关系显示因子测评表单。

初始化的测评记录全部默认生成符合的结果记录，测评专业人员只根据现场测评情况，对不符合的指标因子符合情况做修改，修改因子为不符合，匹配因子库生成不符合的结果记录。

比对知识库，根据评估系统类型(如风电、变电站等)以及系统规模，对应知识库中问题项，带出常见问题的脆弱性等级分析级别赋值，完成脆弱性分析工作。

对知识库中匹配不成功项，可提交因子库的补充。未匹配成功会提示匹配失败可以提交申请，提交申请后测评表单未匹配到的数据状态变为待审核，并通过消息通知评审专家，专家评审通过后消息通知提交人，此时测评表单的数据状态变为审核通过，并扩充到因子库。

步骤4、从知识库中获取信息，编制风险评估报告。

汇聚测评的各类信息，根据业务场景下的风险评估模型，融合了丰富的行业专家知识经验、重大安全风险事件经验等建立了基于因子库的知识库，因子库分解了指标因子和规则推理的关系，形成业务场景、指标规则、问题描述和风险处置等的风险评估模型和知识库。

汇聚测评的各类信息，从知识库中获取信息，自动生成风险评估报告。

(1)整理现场测评中脆弱性识别和分析过程中生成的测评表单；

(2)根据风险评估模型和知识库，比对相应业务场景的脆弱性描述的实施风险分析；

(3)根据风险评估模型，在知识库的支撑下计算风险分值，综合研判风险等级；

(4)从知识库中选取高风险记录的风险处置，结合实施风险分析以及风险等级，完成风险评估报告。

进一步优化方案，本发明还提供了一种基于因子分解的风险评估系统，如图3所示，建立一个管理平台包括：

采集模块：现场通过查看、访谈系统管理人员、手工检查相关设备配置、采用工具执行扫描的方式采集数据，数据通过因子选择的方式生成采集记录；

分析模块：将采集记录输入至所述风险评估模型，获取输出结果，输出结果即为目标信息数据的信息安全风险等级的评估结果；

报告生成模块：根据各类业务数据，以预设的数据规则，以及各类业务数据的业务需求和风险评估模型做出分析，按照报告模板的要求，写出报告。

本发明采用的指标因子基于指标进行规则性的拆解，细化指标并匹配与之对应的结果记录及解决方案，指标因子化后测评技术人员不用编写测评表文件，可在线填写电子测评表，填写时只需选择对应指标因子符合情况是和否，通过调用因子库会得到相应的结果记录和解决方案，由于因子库的数据是通过专业人员录入到因子库，保证了数据的准确性，减少了评审人员的工作量，整体上大大减少了从数据采集到报告的时间；基于行业规定的总体要求和不可突破的管理红线，围绕着国家和行业规范需要建立了一套基于特定场景便于快速进行风险评估的知识库，形成业务场景、指标规则、风险预判三者关联的风险评估，大幅提高了信息安全风险评估的准确性和报告编制效率。

以上所述的实施例仅是对本发明优选方式进行的描述，并非对本发明的范围进行限定，在不脱离本发明设计精神的前提下，本领域普通技术人员对本发明的技术方案做出的各种变形和改进，均应落入本发明权利要求书确定的保护范围内。

Claims (2)

1.一种基于因子分解的风险评估方法，其特征在于，包括：

构建特定场景生产控制系统的风险评估模型，基于所述风险评估模型，以及行业安全防护要求建立风险评估指标体系，形成指标库；

所述风险评估模型包括：业务、资产、威胁、脆弱性和安全保障能力；

所述指标库中的风险评估指标包括：物理环境、网络、平台和安全管理；

其中，所述脆弱性包括：物理环境脆弱性、网络脆弱性、计算环境脆弱性和安全管理脆弱性；

根据特定场景的特定业务特征将所述指标库中的风险评估指标分解成多个指标因子，形成相应的因子库，其中，所述因子库包括所述指标因子和因子间关系，所述指标因子为最小指标单元，所述因子间关系包括递进关系、并列关系、互斥关系、多选关系，所述因子间关系的表达过程包括：

设定所述因子间关系公用表示标志，根据所述因子间关系的种类，对所述公用表示标志赋值，根据赋值结果采用不同的表示方式表达所述因子间关系；

基于所述因子库建立特定场景生产控制系统风险评估的知识库，根据所述因子库和所述知识库进行现场评估，完成风险评估报告的编制；

所述知识库包括：业务场景、指标规则和风险预判，其中，所述业务场景为各种有设计规范的场景；所述指标规则为脆弱性指标的集合；所述风险预判为脆弱性分析；

所述脆弱性分析用于根据所述业务场景下的风险评估模型，融合行业专家知识经验、重大安全风险事件经验以及所述指标因子的因子间关系，形成脆弱性分析级别赋值；

进行所述现场评估包括：

根据评估系统类型从所述因子库中拉取相对应的指标因子，按照所述指标因子的因子间关系初始化指标因子测评记录数据，作为符合的结果记录；

根据现场评估采集的指标因子数据，在符合的结果记录中将不符合的指标因子修改为不符合，匹配所述因子库生成不符合的结果记录，并比对知识库进行脆弱性分析，完成所述现场评估，生成测评表单。

2.根据权利要求1所述的基于因子分解的风险评估方法，其特征在于，编制所述风险评估报告包括：

整理所述现场评估中生成的测评表单；依据所述风险评估模型和所述知识库完成特定业务场景的实施风险分析，并计算风险分值，综合研判风险等级；从所述知识库中选取高风险记录的风险处置，结合所述实施风险分析以及所述风险等级，完成风险评估报告的编制。