[发明专利]信息系统安全性能的评估方法

摘要

本发明公开了一种信息系统安全性能的评估方法，包括对信息系统的安全等级、运行维护等级、机密性、完整性和可用性进行分级评分；对信息系统下属的资产进行分类，并对资产的机密性、完整性和可用性进行分级评分；发现信息系统存在的漏洞；获取漏洞所述的资产分类，对漏洞进行脆弱性评分；计算信息系统所有漏洞的安全风险值，完成对信息系统安全性能进行评估。本发明对信息系统及其下属的资产进行分类和评分，并结合漏洞的脆弱性和所属资产对信息系统进行安全评估，本发明能够实时直观反应信息系统的安全性，采用定量计算的方法对信息系统进行评估，评估结果直观可靠，计算方法简单科学。

主权项

1.一种信息系统安全性能的评估方法，包括如下步骤：S1.根据信息系统的重要程度对信息系统的安全等级、运行维护等级、机密性、完整性和可用性进行分级评分；S2.对信息系统下属的资产的重要程度，对资产进行分类，并对资产的机密性、完整性和可用性进行分级评分；S3.对信息系统进行检查，并发现信息系统存在的漏洞；S4.对步骤S3得到的漏洞，获取漏洞所属的资产类别，并根据漏洞的严重程度对漏洞进行脆弱性评分；S5.利用如下算式计算信息系统所有漏洞的安全风险值，从而对信息系统安全性能进行评估：式中R表示信息系统所有漏洞的安全风险值，R值越大表示信息系统的安全风险越大；∑l表示所有安全等级的评分总和，Vj表示第j个漏洞的脆弱性评分，L表示信息系统的安全等级评分，O表示信息系统的运行维护等级评分、Acp表示信息系统p对应的机密性评分，Acj表示漏洞所属资产的机密性评分，Aip表示信息系统p对应的完整性评分，Aij表示漏洞所属资产的完整性评分，Aap表示信息系统p对应的可用性评分，Aaj表示漏洞所属资产的可用性评分。