一种数据安全风险闭环治理与动态管理方法及系统与流程

本发明涉及数据安全，尤其是涉及一种数据安全风险闭环治理与动态管理方法及系统。

背景技术：

1、随着大数据时代的到来，数据已经成为企业最宝贵的资源之一，然而，数据安全问题也逐渐受到越来越多的关注，为了保障企业数据安全，数据安全治理显得十分必要，现有的数据安全治理主要通过评估工具对数据风险进行评估，再利用台账进行风险记录，若涉及到后续的治理工作，则需要借助人工提醒、办公自动化系统或其他软件来进行任务指派及跟踪，显然，这些方式存在以下不足：

2、(1)评估与治理分离模式：最常见的情况是，使用一种工具（或excel表格）进行评估，生成一份包含风险清单的pdf报告。随后，治理工作通过另一套系统（如oa、项目管理jira、excel任务表）甚至邮件来分发任务和跟踪。这种模式导致风险信息孤岛，治理状态无法自动反馈回评估系统，治理效果难以量化验证。

3、(2)静态台账管理模式：部分系统虽然提供了风险台账功能，但仅仅是记录风险项和责任人，缺乏对治理全过程（计划、执行、验证、关闭）的精细化管理。治理状态更新不及时，治理过程中的举证材料分散存储，无法与风险项关联，导致治理过程“不透明”，验收缺乏依据。

4、(3)缺乏量化反馈机制： 现有方案无法自动将治理行动的成果反馈到原始的风险评估体系中。治理完成后，风险是否真正被消除或降低，只能依靠人工再次评估，无法自动、量化地验证治理措施的有效性，难以形成持续改进的闭环。

5、综上可知，现有的数据安全治理技术由于其评估与治理过程相互独立，导致风险信息需要人工转移，存在效率低下的问题，且容易发生信息错漏现象；此外，在治理任务下发后，无法实时准确获知任务当前状态，在治理任务完成后，也难以验证治理效果，导致实际应用中不能有效地服务于企业进行数据安全治理工作。

技术实现思路

1、本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种数据安全风险闭环治理与动态管理方法及系统，能够对数据安全风险评估中发现的风险项进行高效、可追溯、可量化的闭环治理和持续动态管理。

2、本发明的目的可以通过以下技术方案来实现：一种数据安全风险闭环治理与动态管理方法，包括以下步骤：

3、s1、基于风险评估结果，扫描识别风险项并生成治理工单；

4、s2、基于预设的治理属性，将治理工单对应分配至第一用户；

5、s3、获取第一用户输入的治理数据并更新治理工单内容；

6、s4、判断治理工单的当前状态是否为待验收，若是，则执行步骤s5，否则返回步骤s3；

7、s5、针对治理工单进行有效性量化验证，输出对应于各风险项的治理效果报告，并根据治理效果报告确定是否关闭风险项；

8、s6、记录所有关闭风险项对应的全生命周期数据，并生成相应的趋势分析报告；

9、针对未关闭风险项，将当前对应的治理效果报告和治理工单数据纳入动态追踪池，单独生成专项追踪台账，并反馈重新进行安全风险评估，之后返回步骤s1。

10、进一步地，所述s1具体是针对已有的风险评估结果进行扫描，识别出所有结论为“不符合”或“部分符合”的评估项，以作为风险项，并生成对应于该风险项的治理工单，包括工单编号、风险描述、初始风险等级信息、风险项初始符合度信息，所述风险描述、初始风险等级信息和风险项初始符合度信息均来自风险评估结果。

11、进一步地，所述s2中预设的治理属性包括风险项治理对应的责任人和治理计划，所述责任人即为第一用户，所述治理计划包括治理目标、治理措施和治理期限。

12、进一步地，所述s3中第一用户输入的治理数据包括治理状态、操作日志、举证材料，所述举证材料具体为治理整改证据。

13、进一步地，所述s5包括以下步骤：

14、s51、针对治理工单对应的风险项重新进行安全风险评估，获得该风险项的最新符合度信息；

15、s52、根据风险项的最新符合度信息，确定该风险项是否治理完成，获得该风险项的治理有效性验证结果；

16、s53、将所有风险项的治理有效性验证结果整合为治理效果报告，若某个风险项对应的有效性验证结果为通过，则关闭该风险项；

17、所述治理效果报告用于展示所有风险项在治理前后的对比数据以及未关闭风险项对应的治理建议描述。

18、进一步地，所述s52的过程包括：根据风险项的最新符合度信息，计算风险残留率=（1-最新符合度）/1×100%；

19、根据风险残留率的数值，确定对应的治理效果等级：

20、风险残留率≤10%，对应治理效果等级为a级，表示该风险项存在低残留风险；

21、风险残留率>10%且≤20%，对应治理效果等级为b级，表示该风险项存在中低残留风险；

22、风险残留率>20%且≤50%，对应治理效果等级为c级，表示该风险项存在中残留风险；

23、风险残留率>50%且≤80%，对应治理效果等级为d级，表示该风险项存在中高残留风险；

24、风险残留率>80%，对应治理效果等级为e级，表示该风险项存在高残留风险、待优化；

25、针对治理效果等级为c级、d级、e级的风险项，从当前最新的数据安全风险评估结果以及治理工单中提取对应的风险危害程度、风险发生可能性、治理目标。

26、进一步地，所述s53具体是基于安全治理语料库和风险核验问答对，以整合得到治理效果报告，所述安全治理语料库内包含有数据安全合规类语料、技术治理语料、风险场景语料以及历史案例语料；

27、所述风险核验问答对以“问题-判定条件-量化修正规则-治理建议”为固定结构，实现机器自动问答推理；

28、所述s53的过程包括：

29、将风险项对应的治理效果等级、风险危害程度、风险发生可能性、治理目标作为特征项，从安全治理语料库中匹配相应的语料，确定问答对推理规则，根据问答对修正风险项的风险危害程度和治理目标，判断风险项是否满足关闭条件，并生成治理效果报告。

30、进一步地，所述s6中全生命周期数据包括风险项从生成到关闭的所有状态变更、操作日志、举证材料以及治理有效性验证结果数据。

31、一种数据安全风险闭环治理与动态管理系统，包括用户端、服务端和数据存储端，所述用户端和数据存储端分别与服务端交互连接，所述服务端用于识别风险项以生成治理工单、分配治理工单、更新治理工单、验证治理效果并进行相关数据展示；

32、所述用户端用于接受第一用户输入的治理数据以及从服务端获取治理效果报告；

33、所述数据存储端用于更新存储风险评估结果、风险治理工单及对应的治理过程数据。

34、进一步地，所述服务端包括风险项生成引擎、任务分配与工作流引擎、治理过程跟踪模块、效果验证触发模块、量化分析模块、可视化展示模块，所述风险项生成引擎用于对风险评估结果进行扫描，识别出所有结论为“不符合”或“部分符合”的评估项，以作为风险项，并生成对应于该风险项的治理工单；

35、所述任务分配与工作流引擎用于将治理工单对应分配至第一用户，并管理风险项的生命周期状态流转，包括新建、分配、处理中、待验收、关闭；

36、所述治理过程跟踪模块用于从用户端获取治理数据并更新治理工单；

37、所述效果验证触发模块用于监听治理工单状态变化，当状态变为“待验收”时，则输出动作指令给量化分析模块；

38、所述量化分析模块用于执行治理工单前后数据的对比分析，生成对应于各风险项的有效性验证量化指标以及治理效果报告；

39、所述可视化展示模块用于展示治理工单列表、治理工单对应的进度、治理效果和结论数据。

40、进一步地，所述数据存储端包括风险评估结果库、风险治理工单库、治理历史与证据库，所述风险评估结果库用于更新存储已有的风险评估结果；

41、所述风险治理工单库用于更新存储所有治理工单及对应的治理属性数据；

42、所述治理历史与证据库用于更新存储治理过程中产生的所有过程数据和非结构化数据，所述治理历史与证据库内配置有动态追踪池，用于更新存储未关闭风险项对应的治理效果报告和治理工单数据。

43、进一步地，所述风险评估结果库和风险项生成引擎的输入端相连接；

44、所述风险治理工单库分别和风险项生成引擎的输出端、任务分配与工作流引擎的输出端相连接；

45、所述治理历史与证据库分别和治理过程跟踪模块、量化分析模块相连接；

46、所述动态追踪池与量化分析模块相连接。

47、与现有技术相比，本发明具有以下优点：

48、本发明首先基于风险评估结果，扫描识别风险项并生成治理工单；之后基于预设的治理属性，将治理工单对应分配至第一用户；通过获取第一用户输入的治理数据并更新治理工单内容；实时判断治理工单的当前状态是否为待验收，以确定是否针对治理工单进行有效性量化验证，进而输出对应于各风险项的治理效果报告，并根据治理效果报告确定是否关闭风险项；最后记录所有关闭风险项对应的全生命周期数据，并生成相应的趋势分析报告，针对未关闭风险项，则将当前对应的治理效果报告和治理工单数据纳入动态追踪池后反馈重新进行风险评估后再执行闭环治理。由此将风险评估结果与后续的风险治理进行自动全流程整合，能够获得每一个风险项从生成、分配、整改到验证关闭的全过程数据信息，实现高效、可追溯、可量化的闭环治理，同时能够持续追踪未关闭风险项，实现动态管理，通过单独生成未关闭风险项的专项追踪台账，能够精准定位“已治理未关闭”的管控盲区，依托自动化数据采集、智能状态判定、周期性动态复测，实现该类风险项的全生命周期动态管理。

49、本发明针对已有的风险评估结果进行自动扫描，识别出所有结论为“不符合”或“部分符合”的评估项，以作为风险项，并生成对应于该风险项的治理工单，治理工单中的风险描述、初始风险等级信息和风险项初始符合度信息均来自风险评估结果，由此实现风险评估结果到治理工单的自动化转换与关联，能够自动识别评估结果中的风险点并生成治理任务，彻底消除了人工从报告中将风险项逐个誊写到任务列表的繁琐过程，避免了转录错误，实现了评估与治理的“无缝衔接”，极大提升了运营效率。

50、本发明设计通过获取第一用户输入的治理数据（包括治理状态、操作日志、举证材料）来实时更新治理工单内容，能够为每个风险项提供状态跟踪、日志记录和证据上传的功能，实现了治理过程的全程“透明化”和“可审计”，使得管理用户可以实时掌控全局治理进度，验收用户同样有据可依，解决了治理过程“黑盒”和管理脱节的问题。

51、本发明通过实时判断治理工单的当前状态是否为待验收，以确定是否针对治理工单进行有效性量化验证，在进行量化验证时，设计对治理工单对应的风险项重新进行安全风险评估，获得该风险项的最新符合度信息，再利用风险项的最新符合度来计算风险残留率、确定治理效果等级，并结合安全治理语料库和风险核验问答对来获得风险项的治理有效性验证结果和治理效果报告，由此为治理效果提供了一个客观、量化的衡量标准，使得风险治理真正实现了治理工作的闭环量化管理，不同于传统依赖专家经验和团队的定性治理，通过量化治理确保了治理措施的有效性，能够为企业积累宝贵的风险治理有效性数据资产。