系统风险评估方法、装置、计算设备和介质与流程
本公开涉及计算机技术、信息安全领域，特别是涉及一种系统风险评估方法、一种系统风险评估装置、一种计算设备以及一种计算机可读存储介质。
背景技术：
银行业最新科技不仅给全行业务带来便利，更加快了金融衍生品的发展，是银行业不断创新的基础，但近年来偶有的银行运行故障也多少与银行内部的系统风险有关。相关技术对于银行业的系统风险还没有比较完善的风险评估方法，特别是对银行业的信息科技风险管理目前还没有比较完善的评估方法。为保证银行在第一时间恢复业务，时刻加强系统风险评估是当前信息安全工作的紧迫需求和客观需要。
技术实现要素：
有鉴于此，本公开提供了一种优化的由计算设备执行的系统风险评估方法、系统风险评估装置、计算设备和计算机可读存储介质。
本公开的一个方面提供了一种由计算设备执行的系统风险评估方法，包括：获取原始数据集，所述原始数据集包括第二层级的指标的指标值、第三层级的指标的指标值以及第三层级的指标的评估值，处理所述指标值，得到总体权重值，基于所述评估值和所述总体权重值，确定所述系统的风险水平值，基于所述风险水平值和预设的映射表，确定所述系统的风险等级，其中，所述映射表中存储了多个风险等级与风险水平值的取值范围之间的映射关系。
根据本公开实施例，上述处理所述指标值，得到总体权重值包括：基于第二层级的指标的指标值，计算第二层级的指标的权重值，基于第三层级的指标的指标值，计算第三层级的指标的权重值，基于第二层级的指标的权重值和第三层级的指标的权重值，确定所述总体权重值。
根据本公开实施例，上述总体权重值表征第三层级的指标对第一层级的指标的重要性。所述第一层级的指标包括：系统安全稳定指标。所述第二层级的指标包括：机密性指标、完整性指标、可用性指标。所述第三层级的指标包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标。
根据本公开实施例，上述第二层级的指标的指标值包括：机密性指标、完整性指标、可用性指标中两两之间的相对指标值。第三层级的指标的指标值包括：针对机密性指标、完整性指标、可用性指标中的任意一个指标，辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值。
根据本公开实施例，上述基于第三层级的指标的指标值，计算第三层级的指标的权重值包括：针对机密性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于机密性指标的权重值。针对完整性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于完整性指标的权重值。针对可用性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于可用性指标的权重值。
根据本公开实施例，上述第三层级的指标的评估值包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的评估值。所述总体权重值包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的权重值。其中，基于所述评估值和所述总体权重值，确定所述系统的风险水平值包括：对所述辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的评估值和各自的权重值进行加权求和处理，得到所述系统的风险水平值。
本公开的另一个方面提供了一种系统风险评估装置，包括：获取模块、处理模块、第一确定模块以及第二确定模块。其中，获取模块，用于获取原始数据集，所述原始数据集包括第二层级的指标的指标值、第三层级的指标的指标值以及第三层级的指标的评估值。处理模块，用于处理所述指标值，得到总体权重值。第一确定模块，用于基于所述评估值和所述总体权重值，确定所述系统的风险水平值。第二确定模块，用于基于所述风险水平值和预设的映射表，确定所述系统的风险等级，其中，所述映射表中存储了多个风险等级与风险水平值的取值范围之间的映射关系。
根据本公开实施例，上述处理模块包括：第一计算子模块、第二计算子模块以及确定子模块。其中，第一计算子模块，用于基于第二层级的指标的指标值，计算第二层级的指标的权重值。第二计算子模块，用于基于第三层级的指标的指标值，计算第三层级的指标的权重值。确定子模块，用于基于第二层级的指标的权重值和第三层级的指标的权重值，确定所述总体权重值。
根据本公开实施例，上述第一层级的指标包括：系统安全稳定指标。所述第二层级的指标包括：机密性指标、完整性指标、可用性指标。所述第三层级的指标包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标。
根据本公开实施例，上述总体权重值表征第三层级的指标对第一层级的指标的重要性。所述第二层级的指标的指标值包括：机密性指标、完整性指标、可用性指标中两两之间的相对指标值。第三层级的指标的指标值包括：针对机密性指标、完整性指标、可用性指标中的任意一个指标，辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值。
根据本公开实施例，上述基于第三层级的指标的指标值，计算第三层级的指标的权重值包括：针对机密性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于机密性指标的权重值。针对完整性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于完整性指标的权重值。针对可用性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于可用性指标的权重值。
根据本公开实施例，上述第三层级的指标的评估值包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的评估值。所述总体权重值包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的权重值。其中，基于所述评估值和所述总体权重值，确定所述系统的风险水平值包括：对所述辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的评估值和各自的权重值进行加权求和处理，得到所述系统的风险水平值。
本公开的另一方面提供了一种计算设备，包括：一个或多个处理器；存储器，用于存储一个或多个程序，其中，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器实现如上所述的方法。
本公开的另一方面提供了一种非易失性可读存储介质，存储有计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。
本公开的另一方面提供了一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。
根据本公开的实施例，利用如上所述的由计算设备执行的系统风险评估方法，可以至少部分地解决相关技术中对于银行业的系统风险还没有比较完善的风险评估方法，特别是对银行业的信息科技风险管理目前还没有比较完善的评估方法的技术问题。因此可以实现可以将系统的风险等级由一般的定性评估转换为定量评估，从而得到客观的评估结果，便于基于评估结果及时采取相关策略来降低系统风险的技术效果。
附图说明
为了更完整地理解本公开及其优势，现在将参考结合附图的以下描述，其中：
图1示意性示出了根据本公开实施例的系统风险评估方法和系统风险评估装置的应用场景；
图2示意性示出了根据本公开实施例的由计算设备执行的系统风险评估方法的流程图；
图3示意性示出了根据本公开实施例的计算总体权重值的流程图；
图4示意性示出了根据本公开实施例的系统风险评估装置的框图；
图5示意性示出了根据本公开实施例的处理模块的框图；以及
图6示意性示出了根据本公开实施例的用于实现系统风险评估的计算机系统的方框图。
具体实施方式
以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。
在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。
在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。
在使用类似于“a、b和c等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有a、b和c中至少一个的系统”应包括但不限于单独具有a、单独具有b、单独具有c、具有a和b、具有a和c、具有b和c、和/或具有a、b、c的系统等)。
附图中示出了一些方框图和/或流程图。应理解，方框图和/或流程图中的一些方框或其组合可以由计算机程序指令来实现。这些计算机程序指令可以提供给通用计算机、专用计算机或其他可编程控制装置的处理器，从而这些指令在由该处理器执行时可以创建用于实现这些方框图和/或流程图中所说明的功能/操作的装置。
因此，本公开的技术可以硬件和/或软件(包括固件、微代码等)的形式来实现。另外，本公开的技术可以采取存储有指令的计算机可读存储介质上的计算机程序产品的形式，该计算机程序产品可供指令执行系统使用或者结合指令执行系统使用。在本公开的上下文中，计算机可读存储介质可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，计算机可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。计算机可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(hdd)；光存储装置，如光盘(cd-rom)；存储器，如随机存取存储器(ram)或闪存；和/或有线/无线通信链路。
本公开的实施例提供了一种由计算设备执行的系统风险评估方法，包括：获取原始数据集，原始数据集包括第二层级的指标的指标值、第三层级的指标的指标值以及第三层级的指标的评估值，处理指标值，得到总体权重值，基于评估值和总体权重值，确定系统的风险水平值，基于风险水平值和预设的映射表，确定系统的风险等级，其中，映射表中存储了多个风险等级与风险水平值的取值范围之间的映射关系。
需要说明的是，本公开实施例的系统风险评估方法和系统风险评估装置可用于信息安全领域，也可用于除信息安全领域之外的任意领域，本公开实施例对系统风险评估方法和系统风险评估装置的应用领域不做限定。
图1示意性示出了根据本公开实施例的由计算设备执行的系统风险评估方法和系统风险评估装置的应用场景。需要注意的是，图1所示仅为可以应用本公开实施例的应用场景的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。
如图1所示，根据该实施例的应用场景100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
用户可以使用终端设备101、102、103通过网络104与服务器105交互，以接收或发送消息等。终端设备101、102、103上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。
终端设备101、102、103可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。
服务器105可以是提供各种服务的服务器，例如对用户利用终端设备101、102、103所浏览的网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的用户请求等数据进行分析等处理，并将处理结果(例如根据用户请求获取或生成的网页、信息、或数据等)反馈给终端设备。
需要说明的是，本公开实施例所提供的由计算设备执行的系统风险评估方法一般可以由服务器105执行。相应地，本公开实施例所提供的系统风险评估装置一般可以设置于服务器105中。本公开实施例所提供的由计算设备执行的系统风险评估方法也可以由不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群执行。相应地，本公开实施例所提供的系统风险评估装置也可以设置于不同于服务器105且能够与终端设备101、102、103和/或服务器105通信的服务器或服务器集群中。
应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。
本公开实施例所指的信息科技是指计算机、通信、微电子和软件工程等现代信息技术，在商业银行业务交易处理、经营管理和内部控制等方面的应用，并包括进行信息科技治理，建立完整的管理组织架构，制定完善的管理制度和流程。
本公开实施例所指的信息科技风险，是指信息科技在商业银行运用过程中，由于自然因素、认为因素、技术漏洞和管理缺陷产生的操作、法律和声誉等风险。
信息科技风险管理的目标是通过建立有效的机制，实现对商业银行信息科技风险的识别、计量、监测和控制，促进商业银行安全、持续、稳健运行，推动业务创新，提高信息技术使用水平，增强核心竞争力和可持续发展能力。
本公开实施例的系统风险评估方法例如用于对商业银行的系统进行风险评估。更具体地，可以对商业银行系统中的信息科技风险管理水平进行风险评估。
本公开实施例例如通过层次分析法ahp(analytichierachyprocess)来对商业银行系统进行风险评估。层次分析法是一种定性与定量相结合的多目标决策分析方法。层次分析法首先需要明确风险评估的目标，并建立多层级指标。然后基于多层级指标的指标值计算各层级的权重值，并基于各层级的权重值和各层级的评估值来确定系统的风险水平。
下面结合图1的应用场景，参考图2～图3来描述根据本公开示例性实施方式的由计算设备执行的系统风险评估方法。需要注意的是，上述应用场景仅是为了便于理解本公开的精神和原理而示出，本公开的实施方式在此方面不受任何限制。
图2示意性示出了根据本公开实施例的由计算设备执行的系统风险评估方法的流程图。
如图2所示，本公开实施例的由计算设备执行的系统风险评估方法例如可以包括操作s210～操作s240。
在操作s210，获取原始数据集，原始数据集包括第二层级的指标的指标值、第三层级的指标的指标值以及第三层级的指标的评估值。其中，指标值用于表征多个层级中低层级的指标对高层级的指标的重要性。
根据本公开实施例，多个层级中的每个层级均包括至少一个指标。例如，以多个层级包括第一层级、比第一层级低的第二层级和比第二层级低的第三层级为例。
根据本公开实施例，原始数据集中的低层级的指标的指标值可以包括：第二层级的指标的指标值和第三层级的指标的指标值。其中，第二层级的指标的指标值用于表征第二层级的指标对第一层级的指标的重要性，第三层级的指标的指标值用于表征第三层级的指标对第二层级的指标的重要性。
对于第一层级和第二层级，原始数据集中包括作为低层级的第二层级中各指标的指标值，该指标值用于表征第二层级的各指标对第一层级的指标的重要性。
对于第二层级和第三层级，原始数据集中包括作为低层级的第三层级中各指标的指标值，该指标值用于表征第三层级的各指标对第二层级的指标的重要性。
在一种示例中，原始数据集中的低层级的指标的评估值例如可以包括第三层级的指标的评估值。
在操作s220，处理指标值，得到总体权重值。其中，总体权重值可以表征低层级的指标对高层级的指标的重要性。
根据本公开实施例，可以利用预设的权重模型处理多个层级中低层级的指标的指标值得到总体权重值。在一种示例中，该总体权重值可以表征第三层级的指标对第一层级的指标的重要性。
在操作s230，基于评估值和总体权重值，确定系统的风险水平值。其中，系统的风险水平值可以表征系统的风险程度。
接下来，在操作s240，基于风险水平值和预设的映射表，确定系统的风险等级，其中，映射表中存储了多个风险等级与风险水平值的取值范围之间的映射关系。
在一种示例中，风险等级例如包括优秀等级、良好等级、中等等级、拙劣等级等等。映射表中例如具有与每个等级对应的风险水平值的取值范围。通过风险水平值从映射表中确认该风险水平值所在范围对应的风险等级。
本公开实施例通过建立多个层级指标，并基于指标的指标值来计算指标的权重值，然后基于权重值和评估值来确定系统的风险等级。通过本公开实施例的技术方案，可以将系统的风险等级由一般的定性评估转换为定量评估，从而得到客观的评估结果，便于基于评估结果及时采取相关策略来降低系统风险。
在一种示例中，第一层级的指标可以包括系统安全稳定指标a。第二层级的指标可以包括机密性指标b1、完整性指标b2、可用性指标b3。第三层级的指标包括辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4。
其中，各层级的指标如表1所示。
表1
以下将介绍如何确定各个指标的指标值。
例如，第二层级的指标的指标值包括：机密性指标b1、完整性指标b2、可用性指标b3中两两之间的相对指标值。第二层级的指标的指标值例如以集合{x，y，z}表示。具体地，第二层级的指标的指标值例如如表2所示。
表2
其中，机密性指标b1自身的指标值为1，表明机密性指标b1和自身相比，对第一层级的指标具有同等的重要性。
机密性指标b1和完整性指标b2之间的相对指标值(比值)例如为1/x，x的取值可以是2、3、4等等。表明机密性指标b1对系统安全稳定指标a的重要性小于完整性指标b2对系统安全稳定指标a的重要性。x的取值越大，机密性指标b1对系统安全稳定指标a的重要性越小，完整性指标b2对系统安全稳定指标a的重要性越大。相反地，完整性指标b2和机密性指标b1之间的相对指标值(比值)例如为x。以此类推，可以确定机密性指标b1和可用性指标b3之间的相对指标值(比值)为1/y，可用性指标b3和机密性指标b1之间的相对指标值(比值)为y，y的取值可以是2、3、4等等。
第三层级的指标的指标值包括：针对机密性指标b1、完整性指标b2、可用性指标b3中的任意一个指标，辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4中两两之间的相对指标值。
例如，针对机密性指标b1，辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4中两两之间的相对指标值例如以集合{ab1，bb1，cb1，db1，eb1，fb1}表示。具体如表3所示。
表3
其中，辅助系统管理指标c1自身的指标值为1，表明辅助系统管理指标c1和自身相比，对机密性指标b1具有同等的重要性。
辅助系统管理指标c1和科技制度管理指标c2之间的相对指标值(比值)例如为1/ab1，ab1的取值可以是2、3、4等等。表明辅助系统管理指标c1对机密性指标b1的重要性小于科技制度管理指标c2对机密性指标b1的重要性。ab1的取值越大，辅助系统管理指标c1对机密性指标b1的重要性越小，科技制度管理指标c2对机密性指标b1的重要性越大。相反地，科技制度管理指标c2和辅助系统管理指标c1之间的相对指标值(比值)例如为ab1。以此类推，可以确定辅助系统管理指标c1和主机系统管理指标c3之间的相对指标值(比值)为1/bb1，主机系统管理指标c3和辅助系统管理指标c1之间的相对指标值(比值)为bb1，bb1的取值可以是2、3、4等等。
类似地，针对完整性指标b2，辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4中两两之间的相对指标值例如以集合{ab2，bb2、cb2，db2，eb2，fb2}表示。具体如表4所示。
表4
其中，辅助系统管理指标c1自身的指标值为1，表明辅助系统管理指标c1和自身相比，对完整性指标b2具有同等的重要性。
辅助系统管理指标c1和科技制度管理指标c2之间的相对指标值(比值)例如为1/ab2，ab2的取值可以是2、3、4等等。表明辅助系统管理指标c1对完整性指标b2的重要性小于科技制度管理指标c2对完整性指标b2的重要性。ab2的取值越大，辅助系统管理指标c1对完整性指标b2的重要性越小，科技制度管理指标c2对完整性指标b2的重要性越大。相反地，科技制度管理指标c2和辅助系统管理指标c1之间的相对指标值(比值)例如为ab2。以此类推，可以确定辅助系统管理指标c1和主机系统管理指标c3之间的相对指标值(比值)为1/bb2，主机系统管理指标c3和辅助系统管理指标c1之间的相对指标值(比值)为bb2，bb2的取值可以是2、3、4等等。
类似地，针对可用性指标b3，辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4中两两之间的相对指标值例如以集合{ab3，bb3，cb3，db3，eb3，fb3}表示。具体如表5所示。
表5
其中，辅助系统管理指标c1自身的指标值为1，表明辅助系统管理指标c1和自身相比，对可用性指标b3具有同等的重要性。
辅助系统管理指标c1和科技制度管理指标c2之间的相对指标值(比值)例如为1/ab3，ab3的取值可以是2、3、4等等。表明辅助系统管理指标c1对可用性指标b3的重要性小于科技制度管理指标c2对可用性指标b3的重要性。ab3的取值越大，辅助系统管理指标c1对可用性指标b3的重要性越小，科技制度管理指标c2对完整性指标b2的重要性越大。相反地，科技制度管理指标c2和辅助系统管理指标c1之间的相对指标值(比值)例如为ab3。以此类推，可以确定辅助系统管理指标c1和主机系统管理指标c3之间的相对指标值(比值)为1/bb3，主机系统管理指标c3和辅助系统管理指标c1之间的相对指标值(比值)为bb3，bb3的取值可以是2、3、4等等。
图3示意性示出了根据本公开实施例的计算总体权重值的流程图。
如图3所示，操作s220中关于基于预设的权重模型处理指标值，得到总体权重值可以包括操作s221～s223。
根据本公开实施例，权重模型中例如包括计算函数，例如计算函数可以基于各层级的指标的指标值来计算得到总体权重值。为了便于理解，以下将以一种总体权重值的计算方式为例，但是，总体权重值的计算方式不应仅限于本公开实施例所指的计算方式。
操作s221，基于第二层级的指标的指标值，计算第二层级的指标的权重值。其中，第二层级的指标的权重值表征第二层级的指标对第一层级的指标的重要性。
参考表2，基于第二层级的指标的指标值来计算第二层级的指标的权重值。例如，计算得到的第二层级的机密性指标b1、完整性指标b2、可用性指标b3的权重值分别为w1、w2、w3。
在一种示例中，权重值w1、w2、w3的计算方式如下。但是，本公开实施例中计算权重值w1、w2、w3的方式不仅限于下述方式。
其中，i＝1、2、3，j＝1、2、3。根据公式(1)可得：
m1＝d11×d12×d13＝1×1/x×1/y＝1/xy
m2＝d21×d22×d23＝x×1×1/z＝x/z
m3＝d31×d32×d33＝y×z×1＝yz
其中，根据公式(2)可得：
接下来，进行归一化处理，如公式(3)：
由此得到机密性指标b1、完整性指标b2、可用性指标b3相对于系统安全稳定指标a的权重值w1、w2、w3：
其中，
通过以上计算，得到第二层级中各指标b1、b2、b3相对于第一层级的指标的权重值wn，分别为w1、w2、w3。其中，权重值w1、w2、w3的大小决定了第二层级各指标相对于第一层级的指标的重要性，该重要性可以用量化的形式表现出来。并且w1+w2+w3＝1，通过比较权重值w1、w2、w3的大小，可以确定第二层级各指标b1、b2、b3中哪个指标相对于第一层级的指标更为重要以及重要程度，将重要程度进行了量化处理。可见，通过量化处理的方式，对于风险管理的研究者和管理者可以更为清晰地找到管理的重要点，更容易找到需重视的方面。
操作s222，基于第三层级的指标的指标值，计算第三层级的指标的权重值。其中，第三层级的指标的权重值表征第三层级的指标对第二层级的指标的重要性。
首先，针对机密性指标b1，基于辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4中两两之间的相对指标值，计算第三层级的指标中相对于机密性指标b1的权重值。
参考表3所示，与w1、w2、w3的计算方式类似。利用单一准则下各指标的相对重要性权重值计算方法，求出第三层级各指标相对于机密性指标b1的权重值
例如，权重值
其次，针对完整性指标b2，基于辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4中两两之间的相对指标值，计算第三层级的指标中相对于完整性指标b2的权重值。
参考表4所示，求出权重值
然后，针对可用性指标b3，基于辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4中两两之间的相对指标值，计算第三层级的指标中相对于可用性指标b3的权重值。
参考表5所示，求出权重值
操作s223，基于第二层级的指标的权重值和第三层级的指标的权重值，确定总体权重值。其中，总体权重值表征第三层级的指标对第一层级的指标的重要性。
例如，第二层级的指标的权重值为w1、w2、w3，第三层级指标的权重值为
表6
其中，计算第三层级相对于第一层级的综合权重值可以通过前文中第二层级相对于第一层级所确定的权重值w1、w2、w3以及第三层级相对于第二层级的权重值
综合权重值
其中，综合权重值d1表示辅助系统管理指标c1对应第一层级的指标的重要性。综合权重值d2表示科技制度管理指标c2对应第一层级的指标的重要性。综合权重值d3表示主机系统管理指标c3对应第一层级的指标的重要性。综合权重值d4表示平台系统管理指标c4对应第一层级的指标的重要性。其中d1+d2+d3+d4＝1。可以通过计算综合权重值d1、d2、d3、d4，并比较综合权重值d1、d2、d3、d4的大小，找到第三层级各指标c1、c2、c3、c4中哪个指标相对于第一层级更为重要。可见，在本公开实施例中，通过将重要程度进行了量化处理，使得风险评估结果更为直观。
在计算得到用于表征第三层级的指标对第一层级的指标的重要性的综合权重值d1、d2、d3、d4之后，可以基于综合权重值d1、d2、d3、d4来计算系统的风险水平值。
例如，低层级(第三层级)的指标的评估值包括：辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4各自的评估值，评估值例如表示各指标c1、c2、c3、c4当前的得分，某一指标的得分越高，表明系统关于该指标的风险程度越低。例如，各指标c1、c2、c3、c4的评估值分别为a分、b分、c、分、d分。
其中，操作s240中关于基于评估值和总体权重值，确定系统的风险水平值包括：对辅助系统管理指标c1、科技制度管理指标c2、主机系统管理指标c3、平台系统管理指标c4各自的评估值a分、b分、c、分、d分和各自的权重值d1、d2、d3、d4进行加权求和处理，得到系统的风险水平值g。例如g＝(a分×d1)+(b分×d2)+(c分×d3)+(d分×d4)。
其中，风险水平值越高，可以说明风险管理平水越好，风险水平控制能力也越强。在本公开实施例的信息科技风险管理水平模型中，可以采用十分制来对风险管理水平进行描述，或者也可以采用百分制来对风险管理水平进行描述。
在确定系统的风险水平值g之后，可以基于风险水平值和预设的映射表来确定系统的风险等级。其中，系统的风险等级可以是信息科技风险管理水平等级。其中，映射表为表7所示。
表7
其中，风险等级例如包括优秀等级、良好等级、中等等级、拙劣等级等等，可以根据系统当前的风险等级来采取相关措施以提高系统的风险管理水平。其中，每一个风险水平值范围对应了信息科技风险管理风险等级，本公开实施例以量化的方法使得风险等级变得更加直观。
本公开实施例将信息科技风险评估从一种普遍的定性评估变为定量评估，使评估结果更清晰明了，提升风险评估后的判断依据。
本公开实施例可以及时鉴别风险发生程度，风险评估是信息系统安全的一个持续活动，银行业信息科技风险评估更是鉴别危险及风险发生时对金融业务营运造成影响的方法及依据，因此加强风险评估工作是当前信息安全工作的紧迫需求和客观需要。
本公开实施例可以指导并建设银行信息系统管理体系与安全技术体系，对银行进行信息安全风险评估后，银行科技人员及银行内部高层可以着手对银行信息系统的安全策略及安全解决方案进行研究制定健全的安全管理制度。
图4示意性示出了根据本公开实施例的系统风险评估装置的框图。
如图4所示，系统风险评估装置400例如可以包括获取模块410、处理模块420、第一确定模块430以及第二确定模块440。
获取模块410可以用于获取原始数据集，原始数据集包括第二层级的指标的指标值、第三层级的指标的指标值以及第三层级的指标的评估值。根据本公开实施例，获取模块410例如可以执行上文参考图2描述的操作s210，在此不再赘述。
处理模块420可以用于处理指标值，得到总体权重值。根据本公开实施例，处理模块420例如可以执行上文参考图2描述的操作s220，在此不再赘述。
第一确定模块430可以用于基于评估值和总体权重值，确定系统的风险水平值。根据本公开实施例，第一确定模块430例如可以执行上文参考图2描述的操作s230，在此不再赘述。
第二确定模块440可以用于基于风险水平值和预设的映射表，确定系统的风险等级，其中，映射表中存储了多个风险等级与风险水平值的取值范围之间的映射关系。根据本公开实施例，第二确定模块440例如可以执行上文参考图2描述的操作s240，在此不再赘述。
图5示意性示出了根据本公开实施例的处理模块的框图。
如图5所示，处理模块420例如可以包括第一计算子模块421、第二计算子模块422以及确定子模块423。
第一计算子模块421可以用于基于第二层级的指标的指标值，计算第二层级的指标的权重值。根据本公开实施例，第一计算子模块421例如可以执行上文参考图3描述的操作s221，在此不再赘述。
第二计算子模块422可以用于基于第三层级的指标的指标值，计算第三层级的指标的权重值。根据本公开实施例，第二计算子模块422例如可以执行上文参考图3描述的操作s222，在此不再赘述。
确定子模块423可以用于基于第二层级的指标的权重值和第三层级的指标的权重值，确定总体权重值。根据本公开实施例，确定子模块423例如可以执行上文参考图3描述的操作s223，在此不再赘述。
根据本公开实施例，总体权重值表征第三层级的指标对第一层级的指标的重要性。第一层级的指标包括：系统安全稳定指标。第二层级的指标包括：机密性指标、完整性指标、可用性指标。第三层级的指标包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标。
根据本公开实施例，第二层级的指标的指标值包括：机密性指标、完整性指标、可用性指标中两两之间的相对指标值。第三层级的指标的指标值包括：针对机密性指标、完整性指标、可用性指标中的任意一个指标，辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值。
根据本公开实施例，基于第三层级的指标的指标值，计算第三层级的指标的权重值包括：针对机密性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于机密性指标的权重值。针对完整性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于完整性指标的权重值。针对可用性指标，基于辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标中两两之间的相对指标值，计算第三层级的指标中相对于可用性指标的权重值。
根据本公开实施例，第三层级的指标的评估值包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的评估值。总体权重值包括：辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的权重值。其中，基于评估值和总体权重值，确定系统的风险水平值包括：对辅助系统管理指标、科技制度管理指标、主机系统管理指标、平台系统管理指标各自的评估值和各自的权重值进行加权求和处理，得到系统的风险水平值。
本公开还提供了一种计算设备，该计算设备可以包括：一个或多个处理器和存储装置。该存储装置可以用于存储一个或多个程序。其中，当一个或多个程序被一个或多个处理器执行时，使得一个或多个处理器可以执行上文提及的方法。
本公开的另一方面提供了一种非易失性可读存储介质，该非易失性可读存储介质存储有计算机可执行指令，该指令在被执行时可以用于实现上文提及的方法。
本公开的另一方面提供了一种计算机程序，该计算机程序包括计算机可执行指令，该指令在被执行时可以用于实现上文提及的方法。
根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(fpga)、可编程逻辑阵列(pla)、片上系统、基板上的系统、封装上的系统、专用集成电路(asic)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
例如，获取模块410、处理模块420、第一计算子模块421、第二计算子模块422、确定子模块423、第一确定模块430以及第二确定模块440中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，获取模块410、处理模块420、第一计算子模块421、第二计算子模块422、确定子模块423、第一确定模块430以及第二确定模块440中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(fpga)、可编程逻辑阵列(pla)、片上系统、基板上的系统、封装上的系统、专用集成电路(asic)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，获取模块410、处理模块420、第一计算子模块421、第二计算子模块422、确定子模块423、第一确定模块430以及第二确定模块440中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
图6示意性示出了根据本公开实施例的用于实现系统风险评估的计算机系统的方框图。图6示出的计算机系统仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
如图6所示，计算机系统600包括处理器601、计算机可读存储介质602。该系统600可以执行根据本公开实施例的方法。
具体地，处理器601例如可以包括通用微处理器、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(asic))，等等。处理器601还可以包括用于缓存用途的板载存储器。处理器601可以是用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。
计算机可读存储介质602，例如可以是能够包含、存储、传送、传播或传输指令的任意介质。例如，可读存储介质可以包括但不限于电、磁、光、电磁、红外或半导体系统、装置、器件或传播介质。可读存储介质的具体示例包括：磁存储装置，如磁带或硬盘(hdd)；光存储装置，如光盘(cd-rom)；存储器，如随机存取存储器(ram)或闪存；和/或有线/无线通信链路。
计算机可读存储介质602可以包括计算机程序603，该计算机程序603可以包括代码/计算机可执行指令，其在由处理器601执行时使得处理器601执行根据本公开实施例的方法或其任何变形。
计算机程序603可被配置为具有例如包括计算机程序模块的计算机程序代码。例如，在示例实施例中，计算机程序603中的代码可以包括一个或多个程序模块，例如包括603a、模块603b、……。应当注意，模块的划分方式和个数并不是固定的，本领域技术人员可以根据实际情况使用合适的程序模块或程序模块组合，当这些程序模块组合被处理器601执行时，使得处理器601可以执行根据本公开实施例的方法或其任何变形。
根据本公开的实施例，获取模块410、处理模块420、第一计算子模块421、第二计算子模块422、确定子模块423、第一确定模块430以及第二确定模块440中的至少一个可以实现为参考图6描述的计算机程序模块，其在被处理器601执行时，可以实现上面描述的相应操作。
本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现上述方法。
根据本公开的实施例，计算机可读存储介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(ram)、只读存储器(rom)、可擦式可编程只读存储器(eprom或闪存)、光纤、便携式紧凑磁盘只读存储器(cd-rom)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。而在本公开中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读存储介质，该计算机可读存储介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。计算机可读存储介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、有线、光缆、射频信号等等，或者上述的任意合适的组合。
附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。
尽管已经参照本公开的特定示例性实施例示出并描述了本公开，但是本领域技术人员应该理解，在不背离所附权利要求及其等同物限定的本公开的精神和范围的情况下，可以对本公开进行形式和细节上的多种改变。因此，本公开的范围不应该限于上述实施例，而是应该不仅由所附权利要求来进行确定，还由所附权利要求的等同物来进行限定。
- 还没有人留言评论。精彩留言会获得点赞！