CN109167786B - 一种信息安全风险管理*** - Google Patents

Abstract

本发明提供了一种信息安全风险管理***，包括信息采集模块、信息分析模块、风险评估模块、风险预测模块和风险控制模块，所述信息采集模块用于采集信息网络中的基础信息，所述信息分析模块用于对所述采集到的基础信息进行初步的分析，以完成对风险的识别，并将分析所得的数据送至风险评估模块，所述风险评估模块对信息网络进行信息安全风险评估，生成历史信息安全风险评估结果，所述风险预测模块用于分析历史信息安全风险评估结果，发现信息安全风险发展的时间规律，并对未来信息安全风险进行预测，所述风险控制模块根据风险预测模块获得的预测结果进行安全防范。有益效果：提供了一种信息安全风险管理***，实现了信息安全风险的有效防范。

Description

一种信息安全风险管理***

技术领域

本发明涉及信息安全技术领域，具体涉及一种信息安全风险管理***。

背景技术

自互联网问世以来，人类的经济、文化、生活因之发生了翻天覆地的变化。人们可以随时与不同地域的人交流；可以足不出户家中购物，坐等送货到门；离家的人可以通过远程监控洞悉家中的一切；庞大的跨国企业能够通过视频会议将分布于全球的业务骨干组织在一起召开会议；企业与企业间的业务往来往往是鼠标一动，一封邮件轻松搞定。互联网不仅为人们提供了各种便利，而且还改变和推动了整个社会的发展。

网络在带给人类社会划时代变革的同时，所带来的风险也是不可避免的。人们所能做的只有尽量降低风险，并在某种范围内接受风险。为此，风险管理技术应运而生。

发明内容

针对上述问题，本发明旨在提供一种信息安全风险管理***。

本发明的目的采用以下技术方案来实现：

提供了一种信息安全风险管理***，包括信息采集模块、信息分析模块、风险评估模块、风险预测模块和风险控制模块，所述信息采集模块用于采集信息网络中的基础信息，所述信息分析模块用于对所述采集到的基础信息进行初步的分析，以完成对风险的识别，并将分析所得的数据送至风险评估模块，所述风险评估模块对信息网络进行信息安全风险评估，生成历史信息安全风险评估结果，所述风险预测模块用于分析历史信息安全风险评估结果，发现信息安全风险发展的时间规律，并对未来信息安全风险进行预测，所述风险控制模块根据风险预测模块获得的预测结果调整安全策略，进行安全防范。

本发明的有益效果为：提供了一种信息安全风险管理***，通过获取历史信息安全风险评估结果和对未来信息安全风险进行预测，实现了信息安全风险的有效防范。

附图说明

利用附图对本发明作进一步说明，但附图中的实施例不构成对本发明的任何限制，对于本领域的普通技术人员，在不付出创造性劳动的前提下，还可以根据以下附图获得其它的附图。

图1是本发明的结构示意图；

附图标记：

信息采集模块1、信息分析模块2、风险评估模块3、风险预测模块4、风险控制模块5。

具体实施方式

结合以下实施例对本发明作进一步描述。

参见图1，本实施例的一种信息安全风险管理***，包括信息采集模块1、信息分析模块2、风险评估模块3、风险预测模块4和风险控制模块5，所述信息采集模块1用于采集信息网络中的基础信息，所述信息分析模块2用于对所述采集到的基础信息进行初步的分析，以完成对风险的识别，并将分析所得的数据送至风险评估模块3，所述风险评估模块3对信息网络进行信息安全风险评估，生成历史信息安全风险评估结果，所述风险预测模块4用于分析历史信息安全风险评估结果，发现信息安全风险发展的时间规律，并对未来信息安全风险进行预测，所述风险控制模块5根据风险预测模块4获得的预测结果调整安全策略，进行安全防范。

本实施例提供了一种信息安全风险管理***，通过获取历史信息安全风险评估结果和对未来信息安全风险进行预测，实现了信息安全风险的有效防范。

优选的，所述信息分析模块2包括威胁识别模块、脆弱性识别模块和有效性识别模块，所述威胁识别模块用于确定威胁信息网络的威胁来源，所述脆弱性识别模块用于确定信息网络的漏洞，所述有效性识别模块用于确定针对漏洞采取的安全措施的有效性；

所述威胁识别模块用于确定威胁信息网络的威胁来源，具体为：

将信息网络的威胁来源确定为数据泄露、病毒入侵和未授权访问；

根据信息网络的威胁来源确定第一安全风险值：

式中，F₁表示第一安全风险值，i表示数据泄露、病毒入侵和未授权访问中的某个威胁，b_i表示第i个威胁发生的概率，c_i表示第i个威胁对信息安全的影响程度，d_i表示第i个威胁的不可控程度；

所述b_i通过下式确定：b_i＝a_i1+a_i2；

式中，a_i1表示第i个威胁的攻击能力度量值，a_i2表示第i个威胁的攻击复杂度度量值，第i个威胁的攻击能力度量值和攻击复杂度度量值为专家对第i个威胁的攻击能力和攻击复杂度的评分，攻击能力和攻击复杂度随评分的增大和增加；

所述c_i通过下式确定：c_i＝a_i3+a_i4；

式中，a_i3表示第i个威胁的完整性影响度量值，a_i2表示第i个威胁的可用性影响度量值，第i个威胁的完整性影响度量值和可用性影响度量值为专家对第i个威胁对信息网络带来的完整性影响和可用性影响的评分，评分越高，表示威胁对信息网络的完整性和可用性的影响越大；

所述d_i通过下式确定：d_i＝a_i5+a_i6；

式中，a_i5表示第i个威胁出现时信息网络的隐蔽性检测能力度量值，a_i6表示第i个威胁出现时信息网络的防御能力度量值，信息网络对第i个威胁的隐蔽性检测能力度量值和防御能力度量值为专家对信息网络对第i个威胁的隐蔽性检测能力和防御能力的评分，评分越高，表示信息网络的隐蔽性检测能力和防御能力越强；

所述脆弱性识别模块用于确定信息网络的漏洞，具体为：

将信息网络的漏洞确定为技术漏洞和管理漏洞；

根据信息网络的漏洞确定第二安全风险值：

F₂＝(p+q)²+2^p+q

式中，F₁表示第二安全风险值，p表示技术漏洞严重程度的度量值，q表示管理漏洞严重程度的度量值，技术漏洞严重程度的度量值和管理漏洞严重程度的度量值通过专家评分得到，评分越高，表示技术漏洞和管理漏洞越严重；

所述有效性识别模块用于确定针对漏洞采取的安全措施的有效性，具体为：

根据安全措施的有效性确定第三安全风险值：

式中，F₃表示第三安全风险值，k₁表示安全措施的有效次数，k表示采取安全措施的总次数；

本优选实施例实现了信息网络的安全风险的识别，具体的，通过确定威胁信息网络的威胁来源、信息网络的漏洞和针对漏洞采取的安全措施的有效性，并将其转化为相应的安全风险值，为后续风险评估奠定了基础。

优选的，所述风险评估模块3对信息网络进行信息安全风险评估，生成历史信息安全风险评估结果，具体为：

根据第一安全风险值、第二安全风险值和第三安全风险值确定安全风险评估值：

G＝2(F₁+F₂+F₃)+ln(F₁+F₂+F₃)

式中，G表示安全风险评估值；所述安全风险评估值越大，表示安全风险越大；将安全风险评估值作为信息网络的历史安全评估结果。

本优选实施例实现了历史安全风险的评估，为后续安全风险预测奠定了基础。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解应当理解，可以以硬件、软件、固件、中间件、代码或其任何恰当组合来实现这里描述的实施例。对于硬件实现，处理器可以在一个或多个下列单元中实现：专用集成电路(ASIC)、数字信号处理器(DSP)、数字信号处理设备(DSPD)、可编程逻辑器件(PLD)、现场可编程门阵列(FPGA)、处理器、控制器、微控制器、微处理器、设计用于实现这里所描述功能的其他电子单元或其组合。对于软件实现，实施例的部分或全部流程可以通过计算机程序来指令相关的硬件来完成。实现时，可以将上述程序存储在计算机可读介质中或作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。计算机可读介质可以包括但不限于RAM、ROM、EEPROM、CD-ROM或其他光盘存储、磁盘存储介质或者其他磁存储设备、或者能够用于携带或存储具有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案，而非对本发明保护范围的限制，尽管参照较佳实施例对本发明作了详细地说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的实质和范围。

Claims (1)

1.一种信息安全风险管理***，其特征在于，包括信息采集模块、信息分析模块、风险评估模块、风险预测模块和风险控制模块，所述信息采集模块用于采集信息网络中的基础信息，所述信息分析模块用于对所述基础信息进行初步的分析，以完成对风险的识别，并将分析所得的数据送至风险评估模块，所述风险评估模块对信息网络进行信息安全风险评估，生成历史信息安全风险评估结果，所述风险预测模块用于分析历史信息安全风险评估结果，发现信息安全风险发展的时间规律，并对未来信息安全风险进行预测，所述风险控制模块根据风险预测模块获得的预测结果调整安全策略，进行安全防范；

所述信息分析模块包括威胁识别模块、脆弱性识别模块和有效性识别模块，所述威胁识别模块用于确定威胁信息网络的威胁来源，所述脆弱性识别模块用于确定信息网络的漏洞，所述有效性识别模块用于确定针对漏洞采取的安全措施的有效性；

所述威胁识别模块用于确定威胁信息网络的威胁来源，具体为：

将信息网络的威胁来源确定为数据泄露、病毒入侵和未授权访问；

根据信息网络的威胁来源确定第一安全风险值：

式中，F₁表示第一安全风险值，i表示数据泄露、病毒入侵和未授权访问中的某个威胁，b_i表示第i个威胁发生的概率，c_i表示第i个威胁对信息安全的影响程度，d_i表示第i个威胁的不可控程度；

所述b_i通过下式确定：b_i＝a_i1+a_i2；

式中，a_i1表示第i个威胁的攻击能力度量值，a_i2表示第i个威胁的攻击复杂度度量值，第i个威胁的攻击能力度量值和攻击复杂度度量值为专家对第i个威胁的攻击能力和攻击复杂度的评分，攻击能力和攻击复杂度随评分的增大和增加；

所述c_i通过下式确定：c_i＝a_i3+a_i4；

式中，a_i3表示第i个威胁的完整性影响度量值，a_i4表示第i个威胁的可用性影响度量值，第i个威胁的完整性影响度量值和可用性影响度量值为专家对第i个威胁对信息网络带来的完整性影响和可用性影响的评分，评分越高，表示威胁对信息网络的完整性和可用性的影响越大；

所述d_i通过下式确定：d_i＝a_i5+a_i6；

式中，a_i5表示第i个威胁出现时信息网络的隐蔽性检测能力度量值，a_i6表示第i个威胁出现时信息网络的防御能力度量值，信息网络对第i个威胁的隐蔽性检测能力度量值和防御能力度量值为专家对信息网络对第i个威胁的隐蔽性检测能力和防御能力的评分，评分越高，表示信息网络的隐蔽性检测能力和防御能力越强；

所述脆弱性识别模块用于确定信息网络的漏洞，具体为：

将信息网络的漏洞确定为技术漏洞和管理漏洞；

根据信息网络的漏洞确定第二安全风险值：

F₂＝(p+q)²+2^p+q

式中，F₂表示第二安全风险值，p表示技术漏洞严重程度的度量值，q表示管理漏洞严重程度的度量值，技术漏洞严重程度的度量值和管理漏洞严重程度的度量值通过专家评分得到，评分越高，表示技术漏洞和管理漏洞越严重；

所述有效性识别模块用于确定针对漏洞采取的安全措施的有效性，具体为：

根据安全措施的有效性确定第三安全风险值：

式中，F₃表示第三安全风险值，k₁表示安全措施的有效次数，k表示采取安全措施的总次数；

所述风险评估模块对信息网络进行信息安全风险评估，生成历史信息安全风险评估结果，具体为：

根据第一安全风险值、第二安全风险值和第三安全风险值确定安全风险评估值：

G＝2(F₁+F₂+F₃)+ln(F₁+F₂+F₃)

式中，G表示安全风险评估值；所述安全风险评估值越大，表示安全风险越大；将安全风险评估值作为信息网络的历史安全评估结果。

Images