[go: up one dir, main page]

CN103810558A - 信息安全稽核管控系统及方法 - Google Patents

信息安全稽核管控系统及方法 Download PDF

Info

Publication number
CN103810558A
CN103810558A CN201210476879.8A CN201210476879A CN103810558A CN 103810558 A CN103810558 A CN 103810558A CN 201210476879 A CN201210476879 A CN 201210476879A CN 103810558 A CN103810558 A CN 103810558A
Authority
CN
China
Prior art keywords
audit
risk
information security
value
items
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN201210476879.8A
Other languages
English (en)
Inventor
郭建廷
阮鹤鸣
雷钦隆
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Institute for Information Industry
Original Assignee
Institute for Information Industry
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Institute for Information Industry filed Critical Institute for Information Industry
Publication of CN103810558A publication Critical patent/CN103810558A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/57—Certifying or maintaining trusted computer platforms, e.g. secure boots or power-downs, version controls, system software checks, secure updates or assessing vulnerabilities
    • G06F21/577—Assessing vulnerabilities and evaluating computer system security
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q10/00—Administration; Management
    • G06Q10/06—Resources, workflows, human or project management; Enterprise or organisation planning; Enterprise or organisation modelling
    • G06Q10/063—Operations research, analysis or management
    • G06Q10/0635—Risk analysis of enterprise or organisation activities
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Business, Economics & Management (AREA)
  • Human Resources & Organizations (AREA)
  • Computing Systems (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)
  • Entrepreneurship & Innovation (AREA)
  • Economics (AREA)
  • Strategic Management (AREA)
  • Development Economics (AREA)
  • Game Theory and Decision Science (AREA)
  • Educational Administration (AREA)
  • Marketing (AREA)
  • Operations Research (AREA)
  • Quality & Reliability (AREA)
  • Tourism & Hospitality (AREA)
  • General Business, Economics & Management (AREA)

Abstract

本发明揭露一种信息安全稽核管控系统及方法。信息安全稽核管控方法应用于信息安全稽核管控系统，其中信息安全稽核管控方法包含：根据组织的多个组织成员各对应的结构层级及至少一特征计算对应的正规加权值；对组织成员计算对应多个风险稽核项目的多个风险评分值，进一步依据风险评分值以及各组织成员的正规加权值计算各组织成员的正规化风险值；以及判断各组织成员的正规化风险值与多个风险门槛值区间的相对关系，以根据相对关系动态调整风险稽核项目的稽核周期及/或稽核项目数量。

Description

信息安全稽核管控系统及方法
技术领域
本发明是有关于一种信息安全稽核技术，且特别是有关于一种信息安全稽核管控系统及方法。
背景技术
在网络及计算机技术日益发达的今天，大量的信息可透过计算机装置进行处理与储存，亦可通过网络快速地交换与传输。虽然利用网络与计算机可加速信息的处理与控管，带来许多的便利性，但是网络与计算机的漏洞往往也成为骇客攻击的目标。在遭受骇客攻击后，如公司或是公家机关的机密资料将有外泄的疑虑。因此，信息安全的重要性不言而喻。
在信息安全的控管流程中，往往是针对单一弱点或是重要资产进行评估，无法针对组织或企业提供整体信息安全的风险评估。并且，信息安全风险评估多采人力固定周期的方式进行，在信息安全威胁愈来愈多且持续发生的情形下，将无法有效率地进行控管，从而提高发生信息安全事件的机率。
因此，如何设计一个信息安全稽核管控系统及方法，以积极且有效率的进行动态稽核与管控，乃为此一业界亟待解决的问题。
发明内容
因此，本发明的一方面是在提供一种信息安全稽核管控系统，包含：群组分化模块、风险计算模块以及动态稽核模块。群组分化模块根据组织的多个组织成员各对应的结构层级及至少一特征计算对应的正规加权值。风险计算模块对组织成员计算对应多个风险稽核项目的多个风险评分值，进一步依据风险评分值以及各组织成员的正规加权值计算各组织成员的正规化风险值。动态稽核模块判断各组织成员的正规化风险值及/或风险评分值与多个风险门槛值区间的相对关系，以根据相对关系动态调整风险稽核项目的稽核周期及/或稽核项目数量。
依据本发明一实施例，其中当正规化风险值及/或风险评分值由第一风险门槛值区间变动至第二风险门槛值区间，且第一风险门槛值区间小于第二风险门槛值区间，动态稽核模块调降稽核周期及/或调增稽核项目数量。
依据本发明另一实施例，其中当正规化风险值及/或风险评分值由一第一风险门槛值区间变动至一第二风险门槛值区间，且第一风险门槛值区间大于第二风险门槛值区间，动态稽核模块调增稽核周期及/或调降稽核项目数量。
依据本发明又一实施例，其中动态稽核模块是依特定比例或风险稽核项目关联性动态调整稽核周期及/或稽核项目数量。
依据本发明再一实施例，其中动态稽核模块还依据相对关系动态调整警示频率及/或事件处理频率。
依据本发明还具有的一实施例，其中特征包含成员属性、成员资产价值、成员营运绩效或其排列组合。
依据本发明再具有的一实施例，还包含关联数据库，其中群组分化模块进一步将结构层级、特征以及正规加权值储存于关联数据库。
依据本发明一实施例，其中风险计算模块计算各组织成员的正规化风险值是由组织成员中具有最低结构层级者依序计算至具有最高结构层级者。
依据本发明另一实施例，其中组织成员包含至少一人员及/或至少一系统资源。
本发明的另一方面是在提供一种信息安全稽核管控方法，应用于信息安全稽核管控系统，其中信息安全稽核管控方法包含：根据组织的多个组织成员各对应的结构层级及至少一特征计算对应的正规加权值；对组织成员计算对应多个风险稽核项目的多个风险评分值，进一步依据风险评分值以及各组织成员的正规加权值计算各组织成员的正规化风险值；以及判断各组织成员的正规化风险值及/或风险评分值与多个风险门槛值区间的相对关系，以根据相对关系动态调整风险稽核项目的稽核周期及/或稽核项目数量。
依据本发明一实施例，其中动态调整风险稽核项目的步骤还包含当正规化风险值及/或风险评分值由第一风险门槛值区间变动至第二风险门槛值区间，且第一风险门槛值区间小于第二风险门槛值区间，调降稽核周期及/或调增稽核项目数量。
依据本发明另一实施例，其中动态调整风险稽核项目的步骤还包含当正规化风险值及/或风险评分值由第一风险门槛值区间变动至第二风险门槛值区间，且第一风险门槛值区间大于第二风险门槛值区间，调增稽核周期及/或调降稽核项目数量。
依据本发明又一实施例，其中动态调整风险稽核项目的步骤还包含依特定比例或风险稽核项目关联性动态调整稽核周期及/或稽核项目数量。
依据本发明再一实施例，其中信息安全稽核管控方法还包含依据相对关系动态调整警示频率及/或事件处理频率。
依据本发明还具有的一实施例，其中特征包含成员属性、成员资产价值、成员营运绩效或其排列组合。
依据本发明再具有的一实施例，信息安全稽核管控方法还包含将结构层级、特征以及正规加权值储存于关联数据库。
依据本发明一实施例，其中计算各组织成员的正规化风险值的步骤还包含由组织成员中具有最低结构层级者依序计算至具有最高结构层级者。
依据本发明另一实施例，其中组织成员包含至少一人员及/或至少一系统资源。
应用本发明的优点在于通过依据各个成员依结构层级进行正规化后的风险值来动态调整稽核的周期及稽核的项目数量，可对组织的安全性进行更弹性地调整及监控，而轻易地达到上述的目的。
附图说明
为让本发明的上述和其他目的、特征、优点与实施例能更明显易懂，所附附图的说明如下：
图1为本发明一实施例中，一种信息安全稽核管控系统的方块图；
图2为本发明一实施例中，组织架构的示意图；
图3为本发明一实施例中，风险评分的直觉显示界面示意图；
图4为本发明一实施例中，一种信息安全稽核管控方法的流程图；
图5为本发明一实施例中，动态调整风险稽核项目的稽核周期更详细的流程图；以及
图6为本发明一实施例中，动态调整风险稽核项目的稽核项目数量更详细的流程图。
【主要元件符号说明】
1：信息安全稽核管控系统    10：群组分化模块
11：组织信息               12：关联数据库
13：正规加权值             14：风险计算模块
15：风险稽核项目           16：动态稽核模块
17：风险值                 18：操作界面
400：信息安全稽核管控方法  401-407：步骤
501-505步骤                601-605：步骤
具体实施方式
请参照图1。图1为本发明一实施例中，一种信息安全稽核管控系统1的方块图。信息安全稽核管控系统1包含：群组分化模块10、关联数据库12、风险计算模块14、动态稽核模块16以及操作界面18。
操作界面18可用以供使用者输入一个组织的组织信息11，包含多个组织成员各对应的结构层级及至少一特征。其中，“组织”一词可例如但不限于一个公司、一个社团或一个机关，其成员的结构层级可由高结构层级的成员（如事业群、部门等）进行群组分类直至低结构层级的成员（如小组、个人等）。并且，组织的成员可包含人员以及系统资源（如个人主机、开发系统或网管系统等）。
特征于本实施例中，包含可例如但不限于成员属性、成员资产价值、成员营运绩效或其排列组合。举例来说，成员属性可区分为高度机密性、中度机密性及低度机密性。成员资产价值可例如为各小组的系统资源的价值。成员营运绩效则可例如为各事业群单位的总产值。
群组分化模块10可根据包含多个组织成员各对应的结构层级及至少一特征的组织信息11，计算各个组织成员对应的正规加权值13。依上述结构层级以及特征，群组分化模块10可例如但不限于以比例分配的分式计算出正规加权值13。更详细的范例，将于后续的段落有进一步的说明。于本实施例中，组织信息11以及对应的正规加权值13可进一步储存于关联数据库12中。
操作界面18于本实施例中还可供使用者输入各个组织成员对应的多个风险稽核项目15。风险稽核项目15可例如但不限于侦测如个人计算机、开发系统或网管系统的系统资源中防毒软体的版本、更新日期、系统中及/或系统中软体的密码强度、防火墙系统设定或入侵侦测防御系统等防护项目设定、以及系统资源弱点检测项目等等。风险计算模块14可对上述的各个组织成员计算对应多个风险稽核项目15的多个风险评分值。举例来说，风险评分值可为例如但不限于0-100的分数，分数愈高表示其信息安全风险愈大。其中，不同风险稽核项目对应使用的风险值计算方法可由各种已知的方式进行评分，因此不再此进行赘述。风险计算模块14进一步依据风险评分值以及各组织成员的正规加权值13计算各组织成员的正规化风险值。
于一实施例中，风险计算模块14可依组织成员中具有最低结构层级者起始计算风险评分值以及正规化风险值，再依序计算至具有最高结构层级者。
动态稽核模块16判断各组织成员由风险计算模块14计算出，包含正规化风险值及/或风险评分值的风险值17与多个风险门槛值区间的相对关系，以根据相对关系动态调整前述的风险稽核项目15的稽核周期及/或稽核项目数量。其中，稽核周期表示每次稽核的间隔时间。调降或调增稽核周期即表示缩短或拉长每次稽核的间隔时间。例如由每两周进行一次稽核调整为每一周进行一次稽核，即为对稽核周期进行调降，而由每一周进行一次稽核调整为每两周进行一次稽核，即为对稽核周期进行调增。而对于稽核项目数量的调整则例如由对如个人计算机、开发系统或网管系统的系统资源中防毒软体的厂牌及版本的稽核调整为对系统资源中防毒软体的厂牌、版本、更新日期、扫描频率的稽核，即为对稽核项目数量进行调增。而由对系统资源的密码强度、防火墙系统政策设定或入侵侦测防御系统等防护项目设定、以及系统资源弱点检测项目、使用者权限的稽核调整为仅对密码强度的稽核，则为对稽核项目数量进行调降。
于一实施例中，当正规化风险值及/或风险评分值由第一风险门槛值区间变动至第二风险门槛值区间，且第一风险门槛值区间小于第二风险门槛值区间，动态稽核模块16将调降稽核周期及/或调增稽核项目数量。举例来说，当前次稽核的正规化风险值由50分至60分的区间变动至60分至70分的区间，即表示风险升高，则动态稽核模块16动态地调降稽核周期及/或调增稽核项目数量。
于另一实施例中，当正规化风险值及/或风险评分值由第一风险门槛值区间变动至第二风险门槛值区间，且第一风险门槛值区间大于第二风险门槛值区间，动态稽核模块16将调增稽核周期及/或调降稽核项目数量。举例来说，当前次稽核的风险评分值由91分至100分的区间变动至71分至80分的区间，即表示风险降低，则动态稽核模块16动态地调降稽核周期及/或调增稽核项目数量。
于不同的实施例，动态稽核模块16可依特定比例或风险稽核项目关联性动态调整稽核周期及/或稽核项目数量。举例来说，当正规化风险值由51分至60分的区间变动至61分至70分的区间，即将稽核周期缩短一半，而当正规化风险值由61分至70分的区间变动至71分至80分的区间，则将稽核周期缩短为四分之一。稽核项目数量亦可进行类似的调整，例如当正规化风险值由51分至60分的区间变动至61分至70分的区间，则稽核项目的数量由三项增加为六项。而当正规化风险值由61分至70分的区间变动至71分至80分的区间，则稽核项目的数量由六项增加为八项后，则额外依与此八项相关联的稽核项目额外纳入两项成为十项（如原先稽核项目为防毒软体，则与防止计算机系统被入侵的防火墙相关稽核项目亦被纳入）。需注意的是，以上的比例仅为举例，于其他实施例中，可依其他的比例进行调整。
于一实施例中，动态稽核模块16可还依据相对关系动态调整警示频率及/或事件处理频率。举例来说，动态稽核模块16可依据在正规化风险值及/或风险评分值由低风险门槛值区间变动至高风险门槛值区间时，将警示频率及/或事件处理频率提高，以密集地提示相关人员需加紧信息安全漏洞的补强（如透过对软硬体的调整、对人员的信息安全教育训练或对人员的电子邮件警示），或是将数据库更新频率提高等。
因此，通过依据各个成员依结构层级进行正规化后的风险值来动态调整稽核的周期及稽核的项目数量，可对组织的安全性进行更弹性地调整及监控。
请参照图2。图2为本发明一实施例中，组织架构的示意图。此范例中的组织总资产为1000万，并区分为各具600万资产的A组及400万资产的B组两个成员。其中A组又区分为三个成员，即人员A1、A2及A3，各具有300万、150万及150万的资产。B组亦区分为三个成员，即人员B1、B2及B3，各具有200万、100万及100万的资产。各个人员具有三个稽核项目，且其稽核项目的风险评分值于其下列出。
因此，如组织的正规加权值为1，则A组及B组于其同层级架构将被分别由群组分化模块10计算出0.6及0.4的正规加权值，人员A1、A2及A3的正规加权值分别由群组分化模块10计算出为0.5、0.25及0.25，而人员B 1、B2及B3的正规加权值分别由群组分化模块10计算出为0.5、0.25及0.25。
由于对人员A1的稽核项目的风险评分值为40、90及55，因此经过风险计算模块14平均计算后人员A1的正规化风险值将为(40+90+55)/3=61.67。依类似方式风险计算模块14可计算出人员A2及A3的正规化风险值将为65及40。而B 1、B2及B3分别的正规化风险值将为40、36.67及30。A组的正规化风险值将由风险计算模块14计算为61.67*0.5+65*0.25+40*0.25=57.085。B组的正规化风险值将为40*0.5+36.67*0.25+30*0.25=36.66。最后，组织的正规化风险值将由风险计算模块14计算为48.315。
因此，动态稽核模块16将对正规化风险值进行判断。举例来说，人员A1如果在稽核项目2的风险评分值超过门槛值70分，则将使人员A1稽核项目2的稽核周期由两周调整为一周。而如果A组中人员A1及A2的正规化风险值均超过门槛值65，则可将人员A1及A2的所有稽核项目的稽核周期由两周调整为一周，或是将A组所有人员的所有稽核项目的稽核周期均由两周调整为一周。并且由于人员A1在稽核项目2的风险评分值由门槛值区间71-80变动至81-90分，因此亦可同时动态调整其稽核项目的数量为五个。
请参照图3。图3为本发明一实施例中，风险评分的直觉显示界面示意图。于本实施例中，风险计算模块14可进一步将计算出的风险评分值及正规化风险值以图3绘示的方式显示于系统的显示器（未绘示）的显示界面上，将群组、子群组、总体风险评分区间等以直觉颜色深浅方式呈现。于其他实施例中，亦可以其他输出装置以例如但不限于图示大小、音量大小、音频高低等直觉方式呈现组织的信息安全风险情形。
请参照图4。图4为本发明一实施例中，一种信息安全稽核管控方法400的流程图。信息安全稽核管控方法400可应用于如图1所绘示的信息安全稽核管控系统1。此信息安全稽核管控方法400可实作为一计算机程序，并储存于一计算机可读取记录媒体中，而使计算机读取此记录媒体后执行信息安全稽核管控方法。计算机可读取记录媒体可为只读记忆体、快闪记忆体、软盘、硬盘、光盘、随身盘、磁带、可由网络存取的数据库或熟悉此技艺者可轻易思及具有相同功能的计算机可读取记录媒体。信息安全稽核管控方法400包含下列步骤（应了解到，在本实施方式中所提及的步骤，除特别叙明其顺序者外，均可依实际需要调整其前后顺序，甚至可同时或部分同时执行）。
于步骤401，稽核流程开始。
于步骤402，由群组分化模块10根据组织的多个组织成员各对应的结构层级及至少一特征计算对应的正规加权值。
于步骤403，由风险计算模块14对组织成员计算对应多个风险稽核项目的多个风险评分值，进一步依据风险评分值以及各组织成员的正规加权值计算各组织成员的正规化风险值。
于步骤404，由动态稽核模块16判断各组织成员的正规化风险值及/或风险评分值与多个风险门槛值区间的相对关系是否变动。
当相对关系变动，亦即由第一风险门槛值区间变动至第二风险门槛值区间，则流程将于步骤405动态调整风险稽核项目的稽核周期及/或稽核项目数量，并继续进行至步骤406，结束稽核流程，并依照动态调整后及/或恢复预设值调整后的稽核周期及/或稽核项目数量于下次稽核时回至步骤401启始稽核流程。
当相对关系未变动，于步骤407，进一步检查正规化风险值及/或风险评分值所位于风险门槛值区间的稽核周期及/或稽核项目数量是否为对应的预设值。当并非预设值，流程将进行至步骤405调整风险稽核项目的稽核周期及/或稽核项目数量。而如正规化风险值及/或风险评分值所位于风险门槛值区间的稽核周期及/或稽核项目数量是对应的预设值，则流程将进行至步骤406，以结束稽核流程。
请参照图5。图5为本发明一实施例中，图4中的步骤405中动态调整风险稽核项目的稽核周期的步骤更详细的流程图。
于步骤501，稽核周期动态调整流程开始。
于步骤502，判断是否需要依正规化风险值及/或风险评分值调增或调降稽核周期。
当此流程是延续图4中的步骤404进行时，则判断为需要依正规化风险值及/或风险评分值调增或调降稽核周期，并于步骤503将稽核周期依特定比例调增或调降。流程接着将进行至步骤504，结束稽核周期动态调整流程。
当此流程是延续图4中的步骤407进行时，则判断为不需要依正规化风险值及/或风险评分值调增或调降稽核周期，并于步骤505将稽核周期调整回复至预设值。流程接着将进行至步骤504，结束稽核周期动态调整流程。
请参照图6。图6为本发明一实施例中，图4中的步骤405中动态调整风险稽核项目的稽核项目数量的步骤更详细的流程图。
于步骤601，稽核项目数量动态调整流程开始。
于步骤602，判断是否需要依正规化风险值及/或风险评分值调增或调降稽核项目数量。
当此流程是延续图4中的步骤404进行时，则判断为需要依正规化风险值及/或风险评分值调增或调降稽核项目数量，并于步骤603依特定比例调增或调降稽核项目数量或关联稽核项目。流程接着将进行至步骤604，结束稽核项目数量动态调整流程。
当此流程是延续图4中的步骤407进行时，则判断为不需要依正规化风险值及/或风险评分值调增或调降稽核项目数量，并于步骤605将稽核项目数量调整回复至预设值。流程接着将进行至步骤604，结束稽核项目数量动态调整流程。
虽然本发明已以实施方式揭露如上，然其并非用以限定本发明，任何熟悉此技艺者，在不脱离本发明的精神和范围内，当可作各种的更动与润饰，因此本发明的保护范围当视所附的权利要求书所界定的范围为准。

Claims (18)

1.一种信息安全稽核管控系统，其特征在于，包含：
一群组分化模块，用以根据一组织的多个组织成员各对应的一结构层级及至少一特征计算对应的一正规加权值；
一风险计算模块，用以对所述多个组织成员计算对应多个风险稽核项目的多个风险评分值，进一步依据所述多个风险评分值以及各所述组织成员的该正规加权值计算各所述组织成员的一正规化风险值；以及
一动态稽核模块，用以判断各所述组织成员的该正规化风险值及/或所述多个风险评分值与多个风险门槛值区间的一相对关系，以根据该相对关系动态调整所述多个风险稽核项目的一稽核周期及/或一稽核项目数量。
2.根据权利要求1所述的信息安全稽核管控系统，其特征在于，当该正规化风险值及/或所述多个风险评分值由一第一风险门槛值区间变动至一第二风险门槛值区间，且该第一风险门槛值区间小于该第二风险门槛值区间，该动态稽核模块调降该稽核周期及/或调增该稽核项目数量。
3.根据权利要求1所述的信息安全稽核管控系统，其特征在于，当该正规化风险值及/或所述多个风险评分值由一第一风险门槛值区间变动至一第二风险门槛值区间，且该第一风险门槛值区间大于该第二风险门槛值区间，该动态稽核模块调增该稽核周期及/或调降该稽核项目数量。
4.根据权利要求1所述的信息安全稽核管控系统，其特征在于，该动态稽核模块是依一特定比例或一风险稽核项目关联性动态调整该稽核周期及/或该稽核项目数量。
5.根据权利要求1所述的信息安全稽核管控系统，其特征在于，该动态稽核模块还依据该相对关系动态调整一警示频率及/或一事件处理频率。
6.根据权利要求1所述的信息安全稽核管控系统，其特征在于，该特征包含一成员属性、一成员资产价值、一成员营运绩效或其排列组合。
7.根据权利要求1所述的信息安全稽核管控系统，其特征在于，还包含一关联数据库，其中该群组分化模块进一步将该结构层级、该特征以及该正规加权值储存于该关联数据库。
8.根据权利要求1所述的信息安全稽核管控系统，其特征在于，该风险计算模块计算各所述组织成员的该正规化风险值是由所述多个组织成员中具有一最低结构层级者依序计算至具有一最高结构层级者。
9.根据权利要求1所述的信息安全稽核管控系统，其特征在于，所述多个组织成员包含至少一人员及/或至少一系统资源。
10.一种信息安全稽核管控方法，其特征在于，应用于一信息安全稽核管控系统，其中该信息安全稽核管控方法包含：
根据一组织的多个组织成员各对应的一结构层级及至少一特征计算对应的一正规加权值；
对所述多个组织成员计算对应多个风险稽核项目的多个风险评分值，进一步依据所述多个风险评分值以及各所述组织成员的该正规加权值计算各所述组织成员的一正规化风险值；以及
判断各所述组织成员的该正规化风险值及/或所述多个风险评分值与多个风险门槛值区间的一相对关系，以根据该相对关系动态调整所述多个风险稽核项目的一稽核周期及/或一稽核项目数量。
11.根据权利要求10所述的信息安全稽核管控方法，其特征在于，动态调整所述多个风险稽核项目的步骤还包含当该正规化风险值及/或所述多个风险评分值由一第一风险门槛值区间变动至一第二风险门槛值区间，且该第一风险门槛值区间小于该第二风险门槛值区间，调降该稽核周期及/或调增该稽核项目数量。
12.根据权利要求10所述的信息安全稽核管控方法，其特征在于，动态调整所述多个风险稽核项目的步骤还包含当该正规化风险值及/或所述多个风险评分值由一第一风险门槛值区间变动至一第二风险门槛值区间，且该第一风险门槛值区间大于该第二风险门槛值区间，调增该稽核周期及/或调降该稽核项目数量。
13.根据权利要求10所述的信息安全稽核管控方法，其特征在于，动态调整所述多个风险稽核项目的步骤还包含依一特定比例或一风险稽核项目关联性动态调整该稽核周期及/或该稽核项目数量。
14.根据权利要求10所述的信息安全稽核管控方法，其特征在于，还包含依据该相对关系动态调整一警示频率及/或一事件处理频率。
15.根据权利要求10所述的信息安全稽核管控方法，其特征在于，该特征包含一成员属性、一成员资产价值、一成员营运绩效或其排列组合。
16.根据权利要求10所述的信息安全稽核管控方法，其特征在于，还包含将该结构层级、该特征以及该正规加权值储存于一关联数据库。
17.根据权利要求10所述的信息安全稽核管控方法，其特征在于，计算各所述组织成员的该正规化风险值的步骤还包含由所述多个组织成员中具有一最低结构层级者依序计算至具有一最高结构层级者。
18.根据权利要求10所述的信息安全稽核管控方法，其特征在于，所述多个组织成员包含至少一人员及/或至少一系统资源。
CN201210476879.8A 2012-11-06 2012-11-21 信息安全稽核管控系统及方法 Pending CN103810558A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
TW101141166 2012-11-06
TW101141166A TWI482047B (zh) 2012-11-06 2012-11-06 資訊安全稽核管控系統、方法及其電腦可讀取紀錄媒體

Publications (1)

Publication Number Publication Date
CN103810558A true CN103810558A (zh) 2014-05-21

Family

ID=50473826

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201210476879.8A Pending CN103810558A (zh) 2012-11-06 2012-11-21 信息安全稽核管控系统及方法

Country Status (4)

Country Link
US (1) US20140130170A1 (zh)
CN (1) CN103810558A (zh)
GB (1) GB2507598A (zh)
TW (1) TWI482047B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220083694A1 (en) * 2020-09-11 2022-03-17 Fujifilm Business Innovation Corp. Auditing system
CN114254015A (zh) * 2021-12-17 2022-03-29 中电金信软件有限公司 业务数据的检核方法、装置、电子设备及可读存储介质
CN114598502A (zh) * 2022-02-16 2022-06-07 深圳融安网络科技有限公司 攻击路径风险检测方法、电子设备及可读存储介质
US12530479B2 (en) * 2021-08-03 2026-01-20 Panasonic Intellectual Property Corporation Of America Verification method, server, and recording medium

Families Citing this family (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US10084811B1 (en) * 2015-09-09 2018-09-25 United Services Automobile Association (Usaa) Systems and methods for adaptive security protocols in a managed system
US10467632B1 (en) * 2016-12-13 2019-11-05 Massachusetts Mutual Life Insurance Company Systems and methods for a multi-tiered fraud alert review
CN107133864B (zh) * 2017-05-12 2020-10-02 云南电网有限责任公司 一种基于大数据的集团员工挂账审计方法及装置
CN111143837A (zh) * 2019-12-25 2020-05-12 天津南大通用数据技术股份有限公司 一种数据库安全审计记录的存储方法
CN113673828B (zh) * 2021-07-23 2023-04-07 北京信息科技大学 一种基于知识图谱及大数据的审计数据处理方法、系统、介质及装置
CN114676222B (zh) * 2022-03-29 2022-12-02 北京国信网联科技有限公司 快速对进出内部网络数据审计方法
CN115063120B (zh) * 2022-08-05 2022-11-04 国网浙江省电力有限公司金华供电公司 基于云服务的工程审计系统
CN115664695B (zh) * 2022-08-26 2023-11-17 南方电网数字电网研究院有限公司 一种基于二维码反映的网络空间安全形势的综合评估方法
CN117369850B (zh) * 2023-10-27 2024-05-07 全拓科技(杭州)股份有限公司 一种基于大数据的企业信息安全管理方法与系统
CN118485310B (zh) * 2024-06-25 2024-10-22 甘肃衍河石油管道涂层有限公司 一种用于制备防腐防蜡防垢涂料的控制系统及其方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020147803A1 (en) * 2001-01-31 2002-10-10 Dodd Timothy David Method and system for calculating risk in association with a security audit of a computer network
US7278163B2 (en) * 2005-02-22 2007-10-02 Mcafee, Inc. Security risk analysis system and method
CN102147842A (zh) * 2010-07-23 2011-08-10 卡巴斯基实验室封闭式股份公司 防御网络资源上的恶意软件
CN102624696A (zh) * 2011-12-27 2012-08-01 中国航天科工集团第二研究院七〇六所 一种网络安全态势评估方法
US20120215575A1 (en) * 2011-02-22 2012-08-23 Bank Of America Corporation Risk Assessment And Prioritization Framework

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2002256018A1 (en) * 2001-03-29 2002-10-15 Accenture Llp Overall risk in a system
US8572744B2 (en) * 2005-05-02 2013-10-29 Steelcloud, Inc. Information security auditing and incident investigation system
US20060265324A1 (en) * 2005-05-18 2006-11-23 Alcatel Security risk analysis systems and methods
US20070067845A1 (en) * 2005-09-22 2007-03-22 Alcatel Application of cut-sets to network interdependency security risk assessment
US7752125B1 (en) * 2006-05-24 2010-07-06 Pravin Kothari Automated enterprise risk assessment
US8307444B1 (en) * 2006-06-12 2012-11-06 Redseal Networks, Inc. Methods and apparatus for determining network risk based upon incomplete network configuration data
TWI340924B (en) * 2007-04-16 2011-04-21 Object-oriented information management system and the method
US20080288330A1 (en) * 2007-05-14 2008-11-20 Sailpoint Technologies, Inc. System and method for user access risk scoring
TW200947325A (en) * 2008-05-14 2009-11-16 Chunghwa Telecom Co Ltd Risk management system of information security and method thereof
US8402546B2 (en) * 2008-11-19 2013-03-19 Microsoft Corporation Estimating and visualizing security risk in information technology systems
US8418229B2 (en) * 2010-08-17 2013-04-09 Bank Of America Corporation Systems and methods for performing access entitlement reviews
CN102609883A (zh) * 2011-12-20 2012-07-25 吉林省电力有限公司延边供电公司 一种安全风险分析方法及系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020147803A1 (en) * 2001-01-31 2002-10-10 Dodd Timothy David Method and system for calculating risk in association with a security audit of a computer network
US7278163B2 (en) * 2005-02-22 2007-10-02 Mcafee, Inc. Security risk analysis system and method
CN102147842A (zh) * 2010-07-23 2011-08-10 卡巴斯基实验室封闭式股份公司 防御网络资源上的恶意软件
US20120215575A1 (en) * 2011-02-22 2012-08-23 Bank Of America Corporation Risk Assessment And Prioritization Framework
CN102624696A (zh) * 2011-12-27 2012-08-01 中国航天科工集团第二研究院七〇六所 一种网络安全态势评估方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20220083694A1 (en) * 2020-09-11 2022-03-17 Fujifilm Business Innovation Corp. Auditing system
US12530479B2 (en) * 2021-08-03 2026-01-20 Panasonic Intellectual Property Corporation Of America Verification method, server, and recording medium
CN114254015A (zh) * 2021-12-17 2022-03-29 中电金信软件有限公司 业务数据的检核方法、装置、电子设备及可读存储介质
CN114598502A (zh) * 2022-02-16 2022-06-07 深圳融安网络科技有限公司 攻击路径风险检测方法、电子设备及可读存储介质

Also Published As

Publication number Publication date
GB2507598A (en) 2014-05-07
TW201419026A (zh) 2014-05-16
TWI482047B (zh) 2015-04-21
US20140130170A1 (en) 2014-05-08

Similar Documents

Publication Publication Date Title
CN103810558A (zh) 信息安全稽核管控系统及方法
US11856021B2 (en) Detecting and mitigating poison attacks using data provenance
US11212306B2 (en) Graph database analysis for network anomaly detection systems
US11677773B2 (en) Prioritized remediation of information security vulnerabilities based on service model aware multi-dimensional security risk scoring
EP2942731B1 (en) Identifying and securing sensitive data at its source
EP2945091B1 (en) Assessment type-variable enterprise security impact analysis
US8181253B1 (en) System and method for reducing security risk in computer network
US11030311B1 (en) Detecting and protecting against computing breaches based on lateral movement of a computer file within an enterprise
US9531746B2 (en) Generating accurate preemptive security device policy tuning recommendations
US10887325B1 (en) Behavior analytics system for determining the cybersecurity risk associated with first-time, user-to-entity access alerts
US20210034759A1 (en) Systems and methods for attributing security vulnerabilities to a configuration of a client device
US10089473B2 (en) Software nomenclature system for security vulnerability management
US20190044969A1 (en) Aggregation of risk scores across ad-hoc entity populations
US12323427B2 (en) User risk scoring based on role and event risk scores
US10104112B2 (en) Rating threat submitter
WO2008004498A1 (en) Security risk management system, device, method, and program
JP2018508054A (ja) ファイルベースコンテンツが持つリスク判定のための統計分析手法
KR20160004791A (ko) 정보자산의 위험평가시스템 및 그 방법
EP3479279B1 (en) Dynamic ranking and presentation of endpoints based on age of symptoms and importance of the endpoint in the environment
CN105825137B (zh) 一种确定敏感数据扩散行为的方法及装置
US20220263851A1 (en) Determining data risk and managing permissions in computing environments
JP6800744B2 (ja) ホワイトリスト作成装置
US20250141898A1 (en) Security alert prioritization for cloud-based resources
EP4295253B1 (en) Determining data risk and managing permissions in computing environments
CN105912927A (zh) 用于生成应用控制规则的系统和方法

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20140521

WD01 Invention patent application deemed withdrawn after publication