基于數據資產架構的汽車數據安全風險評估方法及設備

本發明涉及汽車信息安全，適用于評估智能網聯汽車的數據安全風險等級，具體涉及一種基于數據資產架構的汽車數據安全風險評估方法。

背景技術：

1、伴隨著5g、云計算等諸多技術的逐漸成熟，智能網聯汽車成為了人工智能、大數據、5g等技術的載體。智能網聯汽車與傳統汽車相比，需要將多方面的數據進行融合處理，涉及到的數據量極其龐大，存在多樣性、規模性、非結構性、流動性、涉密性等特點。這些數據涉及到車輛的狀態、位置、駕駛行為等多個方面，為智能網聯車輛運行提供了更智能的支持，同時也帶來了潛在的數據安全風險。

2、汽車數據的增加和多樣性使得其數據安全管理變得更加復雜。傳統的車輛只涉及到機械和電氣系統，而智能網聯車輛則涉及到軟件和網絡系統，導致了更多的數據生成和傳輸。這樣龐大、復雜的數據量，使得難以一視同仁地對待所有的汽車數據。因此，通過對汽車數據架構的分析，可以有效明確數據之間的流轉關系，以更有效地進行數據處理和安全管理。

3、隨著車輛互聯性的提升，惡意攻擊者有可能通過網絡入侵，篡改車輛數據或者獲取敏感信息，從而對駕駛安全和用戶隱私構成潛在威脅。智能網聯車輛與傳統車輛的差異化特性使得安全風險評估需要更為個性化的方法，例如，自動駕駛汽車與傳統汽車相比，可能涉及更多的傳感器和決策算法，其數據安全風險具有更為復雜的特點，現有的安全風險評估方法無法滿足這一新興挑戰，需要一種更為細致和精準的評估方法來解決這一問題。

技術實現思路

1、本發明提出的一種基于數據資產架構的汽車數據安全風險評估方法可至少解決背景技術中的技術問題之一。

2、一種基于數據資產架構的汽車數據安全風險評估方法，具體通過以下步驟實現：

3、s1:獲取智能網聯汽車數據資產清單，建立智能網聯汽車數據資產庫；

4、整理智能網聯汽車數據安全風險和己有安全措施，建立汽車數據安全風險評估標準庫和安全措施庫；

5、s2：基于智能網聯汽車數據資產庫進行資產識別以獲得資產數據重要程度；基于所獲得的數據資產重要程度與汽車數據安全風險評估標準庫和安全措施庫以及構建數據流圖進行威脅識別分析以得到數據威脅等級；

6、s3：基于數據資產重要程度與數據威脅等級進行脆弱性識別，基于數據重要程度與脆弱性識別結果進行權重劃分并評估數據安全事件影響，基于數據威脅等級與脆弱性識別結果進行權重劃分并評估數據安全事件發生可能性；

7、s4:基于數據安全事件影響結果與數據安全事件發生可能性結果對數據安全風險進行可視化分析。

8、進一步的，基于資產識別與威脅識別結果進行脆弱性識別以獲得數據脆弱性識別結果的具體步驟如下：

9、s311：對脆弱性分析對象進行分類，其中資產脆弱性主要包括管理型和技術型；

10、s312：基于不同的識別對象對脆弱性影響嚴重程度與脆弱性可利用性進行分析

11、s313:基于上述s312的分析結果，結合漏洞評估方法(cvss?4.0)進行脆弱性的分析與賦值。

12、進一步的，所述s3中基于數據重要程度與脆弱性識別結果進行權重劃分并評估數據安全事件影響和基于數據威脅等級與脆弱性識別結果進行權重劃分并評估數據安全事件發生可能性的方法包括以下步驟；

13、s321:基于資產識別、威脅識別以及脆弱性識別的結果，構建判斷矩陣；

14、s322:對判斷矩陣進行歸一化處理；

15、s323:計算資產識別、威脅識別以及脆弱性識別結果的權重值。

16、進一步的，資產識別、威脅識別以及脆弱性識別完成后，利用層次分析法進行權重劃分。獲得資產識別、威脅識別以及脆弱性識別三者的權重值。

17、進一步的，構建智能網聯汽車數據安全風險評估矩陣，實現風險值可視化。

18、本發明在確定評估對象后，按照資產識別、威脅識別和脆弱性識別等步驟依次進行風險評估；初步風險評估后，生成數據安全事件影響和數據安全事件發生可能性報告，對評估對象所存在的風險進行等級評估，最終生成風險評估報告。本方案更容易地確定各個層面存在潛在的數據安全風險，最大程度的覆蓋當前汽車數據可能遭受的數據安全風險。

19、再一方面，本發明還公開一種計算機設備，包括存儲器和處理器，所述存儲器存儲有計算機程序，所述計算機程序被所述處理器執行時，使得所述處理器執行如上方法的步驟。

20、綜上所述，針對以上問題，本發明提出了一種基于數據資產架構的汽車數據安全風險評估方法。該方法基于不同架構層次的數據對智能網聯汽車數據進行數據安全風險評估，能夠更準確地洞察潛在的風險點和弱點。本發明的技術實現方案是：首先將智能網聯汽車的數據架構分為四個層次，從而識別各層級所包含的智能網聯汽車的數據資產。這四個層次分別為感知層、決策層、網絡層和應用層。通過對汽車數據資產進行架構劃分，將復雜的數據資產對象層層梳理清晰，識別各層級所包含的汽車數據資產。基于安全相關原則、粒度劃分原則以及特征區分原則這三個原則來提取汽車數據資產的特征，作為汽車數據安全風險評估的輸入參數。然后結合汽車數據安全領域已有的風險評估模型和典型的風險評估方法，構建包含資產識別、威脅識別、脆弱性識別、風險評估等模塊的智能網聯汽車數據安全風險評估模型。通過這四個模塊完成對智能網聯汽車數據安全的風險量化。

21、本發明的有益效果在于：

22、(1)本發明提出了一種智能網聯汽車數據資產架構，將智能網聯汽車數據資產架構分為感知層、決策層、網絡層和應用層四個層面，通過數據資產分層架構，可以更容易地確定各個層面存在潛在的數據安全風險。例如，在網絡層可能存在網絡攻擊的風險，在應用層可能存在未經授權的數據訪問風險等，基于對不同層級的數據安全風險評估結果，可以制定針對性的安全策略和措施。

23、(2)本發明構建了包含資產識別、威脅識別、脆弱性識別、風險評估等功能模塊的智能網聯汽車數據安全風險評估模型，通過stride威脅分析方法以及dread威脅評價模型對威脅進行定級，從數據本身以及外在因素考慮了可能存在的數據安全風險，能夠最大程度的覆蓋當前汽車數據可能遭受的數據安全風險。

24、(3)本發明利用層次分析法對資產識別、威脅識別以及脆弱性識別進行權重劃分，在復雜多變的汽車數據安全風險評估中，可以根據不同的應用場景和需求，判斷資產識別、脆弱性識別和威脅識別三個模塊各自的重要性程度，靈活調整各模塊的權重，能夠更加準確的反映智能網聯汽車數據安全風險評估結果，滿足不同應用場景下的智能網聯汽車數據安全風險評估要求。

25、(4)本發明利用cvss?4.0對汽車數據進行脆弱性分析，相對于傳統的脆弱性分析方法，引入了威脅指標組與環境指標組，提供了一種更細粒度的評估方式，可以更準確地描述和比較不同數據的脆弱性的嚴重程度，能夠更準確地反映數據安全漏洞的嚴重程度，更適合用來評估綜合風險。

技術特征：

1.一種基于數據資產架構的汽車數據安全風險評估方法，其特征在于，通過計算機設備執行以下步驟，

2.根據權利要求1所述的基于數據資產架構的汽車數據安全風險評估方法，

3.根據權利要求1所述的基于數據資產架構的汽車數據安全風險評估方法，其特征在于：步驟s2中進行威脅識別分析以得到數據威脅等級，具體步驟如下：

4.根據權利要求1所述的基于數據資產架構的汽車數據安全風險評估方法，其特征在于：所述s3基于數據資產重要程度與數據威脅等級進行脆弱性識別包括以下步驟：

5.根據權利要求1所述的基于數據資產架構的汽車數據安全風險評估方法，其特征在于：所述s3中行權重劃分包括以下步驟；

6.根據權利要求5所述的基于數據資產架構的汽車數據安全風險評估方法，其特征在于：所述步驟s323計算資產識別、威脅識別以及脆弱性識別結果的權重值，包括以下步驟；

7.根據權利要求5所述的基于數據資產架構的汽車數據安全風險評估方法，其特征在于：所述4中基于數據安全事件影響結果與數據安全事件發生可能性結果對數據安全風險進行可視化分析方法如下：

8.一種計算機設備，包括存儲器和處理器，所述存儲器存儲有計算機程序，所述計算機程序被所述處理器執行時，使得所述處理器執行如權利要求1至7中任一項所述方法的步驟。

技術總結
本發明的一種基于數據資產架構的汽車數據安全風險評估方法及設備，包括建立智能網聯汽車數據資產庫和汽車數據安全風險評估標準庫和安全措施庫；進行資產識別以獲得資產數據重要程度；構建數據流圖進行威脅識別分析以得到數據威脅等級；基于數據重要程度、數據威脅等級與弱性識別結果分別權重劃分并評估數據安全事件影響和評估數據安全事件發生可能性；基于數據安全事件影響結果與數據安全事件發生可能性結果對數據安全風險進行可視化分析。本發明利用層次分析法對資產識別、威脅識別以及脆弱性識別進行權重劃分，根據不同的應用場景和需求，判斷資產識別、脆弱性識別和威脅識別三個模塊各自的重要性程度，實現對汽車數據安全風險的量化。

技術研發人員：冀浩杰,金龍,黃小龍,王立勇,賀鵬,陳宇鵬,王璟炎,辛崇實
受保護的技術使用者：北京信息科技大學
技術研發日：
技術公布日：2024/9/9