[发明专利]一种增量风险评估的软件方法及系统

说明书

技术领域

本发明涉及计算机数据处理技术领域，尤其涉及的是一种增量风险评估的软件方法及系统。

背景技术

现有技术中，对电网企业需要做资产的风险管控，因此需要对风险评估，传统的风险评估过程可以分为以下几个阶段：

第一阶段:确定评估范围和资产识别阶段， 调查并了解用户网络系统业务的流程和运行环境,确定评估范围的边界以及范围内的所有网络系统;识别和估价是对评估范围内的所有资产进行识别,并调查资产破坏后可能造成的影响大小,根据影响的大小对资产进行相对赋值。

第二阶段:安全威胁/脆弱性评估阶段。评估评估资产所面临的每种威胁发生的可能性;脆弱性评估则从技术、管理、策略方面进行的脆弱程度检查,特别是技术方面,以远程和本地两种方式进行系统扫描和手动抽查的评估。 这种评估，是针对所有资产进行的。

第三阶段:风险的分析阶段。通过分析上面所评估的数据,进行风险值计算、区分和确认高风险因素。 

第四阶段:风险的管理阶段。这一阶段主要是总结整个风险评估过程,制定相关风险控制策略,建立风险评估报告,实施某些紧急风险控制措施。

风险评估过程不是做完一次就完了，根据PDCA循环，风险评估会持续反复进行。

每次的风险评评估，都需要资产识别、针对资产进行威胁、脆弱性、已有控制措施的识别。

风险评估是一个费时、费人力的过程，其中最费时就是资产识别、对识别的资产进行脆弱性和威胁识别，尤其是电力电网行业。因此，如果通过软件实现风险评估的自动化，以及尤其是在进行过初次的风险评估后，如何进行第二次或者多次的风险评估，就成为迫在眉睫需要解决的问题。如果每次都从头开始，逐一进行评估，则非常费时费力，同时需要很大的评估成本。

因此，现有技术还有待于改进和发展。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种增量风险评估的软件方法及系统，其在首次风险识别之后再进行的风险评估中，能有效地节省资产识别的时间和工作量，降低增量风险评估的人力成本，提高评估效率。

本发明解决技术问题所采用的技术方案如下：

一种增量风险评估的软件方法，其中，包括步骤：

A、获取资产评估信息数据，将获取的资产评估信息数据与之前的资产评估信息数据进行比较判断，判断是前次风险评估，还是增量风险评估，并相应标记不同参数;其中，标记参数为：如果是新增资产状态的风险评估，风险评估状态参数取值是0；如果是前次风险评估完成的，则风险评估状态参数被赋予值为1；

B、对获取的资产评估信息数据进行威胁和脆弱性识别，根据资产的状态来判断是否需要启动新的威胁和脆弱性识别动作；当获取到风险评估状态参数取值是0时，则判断该资产状态为新增加的，进行新的威胁和脆弱性识别；当获取到风险评估状态参数取值是1时，则判断该资产状态为以前的，则自动地把原来威胁和脆弱性识别结果的威胁列表和脆弱性列表输出；

C、根据资产的状态自动判断是否需要启动新的风险分析：当获取到风险评估状态参数取值是0时，则判断该资产状态为新增加的，则进行新的风险分析；当获取到风险评估状态参数取值是1时，则判断该资产状态为以前的，则自动地把原来的分析结果风险列表输出；

D、根据资产状态自动的判断是否需要识别新的风险控制措施：当获取到风险评估状态参数取值是0时，则判断该资产状态为新增加的，则自动采用新的控制措施；当获取到风险评估状态参数取值是1时，则判断该资产状态为以前的，则自动地把原来的风险控制措施输出。

所述的增量风险评估的软件方法，其中，所述步骤A还包括：如果是本次风险评估新增加的，则自动标记资产状态为新增加的，并对风险评估状态参数取值为0；如果是本次风险评估不再存在的，则从资产列表中删除。

所述的增量风险评估的软件方法，其中，所述步骤B中的脆弱性识别是对系统中涉及的重要资产中被对应威胁利用的脆弱性进行识别，并对其等级进行评估，形成脆弱性识别表；

威胁识别是对系统中涉及的重要资产中遇到的威胁进行识别，并对其等级进行评估，形成威胁识别表。

所述的增量风险评估的软件方法，其中，所述步骤C中的风险分析具体包括：风险分析对每个资产信息数据，利用已经获得的威胁列表和脆弱性列表，进行风险值计算、区分和确认风险等级因素。