[发明专利]一种网络资产价值评估方法、系统、介质、设备及终端

说明书

本发明属于网络空间安全风险评估技术领域，公开了一种网络资产价值评估方法、系统、介质、设备及终端，基于业务所依赖的资产以及业务本身的特点，建立业务重要性指标体系，利用资产自身的客观属性，得出每个指标所占权重；根据各指标所占权重及各业务对象在每个指标的取值，评估业务重要性；利用业务重要性、资产的机密性、完整性和可用性对资产价值进行量化，有效区分不同资产上相同类型业务的价值。本发明有效满足风险评估和风险管理的需要，使资产价值的评估结果更加准确；基于业务所依赖的资产以及业务本身的特点建立业务重要性指标体系，有效区分不同资产上相同类型业务的价值，降低主观影响。

技术领域

本发明属于网络空间安全风险评估技术领域，尤其涉及一种网络资产价值评估方法、系统、介质、设备及终端。

背景技术

近年来，信息安全事件层出不穷，给人们的生活及工作带来了严重影响，因此对信息系统开展风险评估是十分必要的。资产价值的量化是风险评估的必要环节，为下一步的风险评估和风险管理奠定基础，有利于后续工作的顺利开展。目前传统方法评估资产价值是由机密性、完整性和可用性这3个安全属性的风险等级得出，没有考虑资产所承担的业务重要程度。《GB/T31509—2015信息安全技术信息安全风险评估规范》中提出资产保密性、完整性和可用性的量化过程易带有主观性，可以考虑资产所承载业务的重要性这一因素，利用加权等方法综合得出资产的价值，但并未给出具体方法。文献《基于业务的信息资产识别方法》基于业务对资产分类，运用层次分析法对资产进行赋值。层次分析法作为定性与定量相结合的方法，缓解了完全主观赋权的弊端，但需要多个有丰富经验的专家才能给出可靠的判断矩阵，且该方法还涉及一致性检验等计算，增加了计算的复杂性。文献《基于资产相关性的信息系统安全评估模型》采用粗糙集的方法对决定资产价值的机密性、完整性和可用性以及所承担的业务重要程度因素进行权重分配，计算各个资产价值，但对业务重要性的评估是通过人为评判的，会造成同一资产出现不同价值的情况。上述方法在量化资产价值时都没有考虑业务所依赖资产的重要性，不能区分不同资产上相同业务的价值。为解决上述问题，亟需设计一种新的网络资产价值评估方法及系统。

通过上述分析，现有技术存在的问题及缺陷为：

(1)目前传统方法评估资产价值是由机密性、完整性和可用性3个属性的风险等级得出，没有考虑资产所承担的业务重要程度。

(2)信息安全技术信息安全风险评估规范中提出资产保密性、完整性和可用性的量化过程易带有主观性，可以考虑资产所承载业务的重要性这一因素，利用加权等方法综合得出资产的价值，但并未给出具体方法。

(3)现有业务重要性评估方法在量化资产价值时没有考虑业务所依赖资产的重要性，没有基于业务所依赖的资产以及业务本身的特点建立业务重要性指标体系，不能区分不同资产上相同业务的价值。

发明内容

针对现有技术存在的问题，本发明提供了一种网络资产价值评估方法、系统、介质、设备及终端。

本发明是这样实现的，一种网络资产价值评估方法包括：

基于业务所依赖的资产以及业务本身建立业务重要性指标数据库，利用资产自身的客观属性，得出每个指标所占权重；根据各指标所占权重及各业务对象在每个指标的取值，评估业务重要性；利用业务重要性、资产的机密性、完整性和可用性对资产价值进行量化，区分不同资产上相同类型业务的价值。

进一步，所述网络资产价值评估方法包括以下步骤：

步骤一，获取网络资产信息：基于网络资产搜索引擎获取相关网络资产信息，基于每个业务对网络资产信息如设备型号、版本信息、IP地址信息、开放服务端口、外部提供的协议类型、设备地理分布及其他相关信息分类处理，建立资产基础信息数据库；