[发明专利]一种基于企业数字轨迹的数字资产风险评估方法

说明书

本发明公开了一种基于企业数字轨迹的数字资产风险评估方法，它包含如下步骤：S1搜集企业的暴露的数字资产及其轨迹信息；S2针对每一个数字资产，识别对其存在影响的影响因子；通过分析影响因子与资产之间的关联因素，设定关联影响因子权重值，再计算出其他资产对指定资产的风险影响程度；S3根据某一数字资产所有关联因子的危害程度、影响因子权重值及资产自身的价值因素，即可评估计算得到该数字资产的风险评估结果；本发明将每个影响因子拆分为三维权重因子、三维风险因子、及因子脆弱点和各脆弱点的严重级别，从而实现数字资产量化风险评估。

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于企业数字轨迹的数字资产风险评估方法。

背景技术

近年来，数字经济迅猛发展，数据成为了国家、政府、企业的重要资产。中国数字产业化规模急剧扩大，不断催生出新产业、新业态、新模式，正在向全球高端产业链迈进。与此同时，数据价值的提升导致泄密风险显著增加，传统的数字资产风险评估方法已无法适应数据安全的新要求。云计算、5G、物联网等技术的发展使企业的数字资产环境变得越发复杂，使得企业的数字资产散落在各处，让企业数字资产的管理面临不小的挑战。由于黑客攻击的形式持续升级，从单纯的网络资产识别，延伸到企业暴露的知识产权信息、商务信息、参与招投标的痕迹、第三方关联服务企业及软件供应链等一切与企业相关的数字化资产信息的识别，每类资产都存在直接或间接导致企业敏感信息泄露或网络被入侵的风险。例如，在金融行业，企业邮件充满敏感数据，数字资产防泄露成为了金融行业的当务之急。这也促使需要一种方法从多种关联维度定量评估企业暴露的主要数字资产风险，以便确定企业存在的攻击面风险信息。

现有的资产风险评估方式大多是以GBT20984-2007《信息安全技术信息安全风险评估规范》为基础，以资产、威胁、脆弱性三个维度进行评估，且在实际过程中资产仅用于网络资产，威胁仅用于主机和web漏洞，所以评估内容过于单一，很难真正识别和确认企业实际的安全风险。

发明内容

本发明的目的在于针对现有技术的缺陷和不足，提供一种基于企业数字轨迹的数字资产风险评估方法。

为实现上述目的，本发明采用的技术方案是：它包含如下步骤：

S1：搜集企业的暴露的数字资产及其轨迹信息，包括网络资产信息、供应链信息、知识产品信息、商务轨迹、企业敏感信息；

S2：针对每一个数字资产，识别对其存在影响的因子α；所述的影响因子α指对某一数字资产的安全风险存在有一定关联影响的其他数字资产元素；通过分析影响因子α与资产之间的关联因素，包括资产间的路由距离、资产间的连通性、资产归属部门、资产归属关联企业情况，设定关联影响因子权重值w，再计算出其他资产对指定资产的风险影响程度。

S3：根据某一数字资产所有关联因子的危害程度、影响因子权重值及资产自身的价值因素，即可评估计算得到该数字资产的风险评估结果E。

所述风险评估结果E通过下式确定：

其中，E表示对指定数字资产风险评估的结果值；v表示该数字资产自身的价值,v∈(0,1]；δ_αi表示关联因子αi的危害程度值；w_αi表示影响因子αi对该数字资产的影响权重，满足w_α1+w_α2+…+w_αn＝1。

进一步地，步骤S1中，所述的网络资产信息包括IP、端口、服务、域名、中间件的信息；

进一步地，步骤S1中，所述的供应链信息包括合作企业、子公司、母公司、服务客户企业的信息；

进一步地，步骤S1中，所述的商务轨迹包括公开招投标信息、参加的重要组织团体活动、企业大事件、对外发布的招聘信息；

进一步地，步骤S1中，所述的企业敏感信息包括企业内部相关人员的个人信息；