風(fēng)險評估

什么是信息安全風(fēng)險評估？

信息安全風(fēng)險評估是參照風(fēng)險評估標(biāo)準(zhǔn)和管理規(guī)范，對信息系統(tǒng)的資產(chǎn)價值、潛在威脅、薄弱環(huán)節(jié)、已采取的防護措施等進行分析，判斷安全事件發(fā)生的概率以及可能造成的損失，提出風(fēng)險管理措施的過程。

簡單來說就是在信息系統(tǒng)在接入互聯(lián)網(wǎng)之前進行信息安全風(fēng)險評估，提前確定系統(tǒng)的網(wǎng)絡(luò)安全漏洞情況，是否符合系統(tǒng)入網(wǎng)安全評估的測評標(biāo)準(zhǔn)以及網(wǎng)絡(luò)安全等級保護測評的標(biāo)準(zhǔn)。

不做風(fēng)險評估的后果！

如果應(yīng)用系統(tǒng)未經(jīng)上線前檢測直接上線，在上線后由于存在類似SQL注入、跨站腳本、木馬文件上傳等漏洞而遭受攻擊，可能直接影響系統(tǒng)正常業(yè)務(wù)運行，甚至造成經(jīng)濟和名譽的損失，再加上有些漏洞涉及代碼改寫，考慮到業(yè)務(wù)連續(xù)性的要求，上線后再進行代碼整改修復(fù)漏洞，成本更為巨大。因系統(tǒng)漏洞造成網(wǎng)絡(luò)安全事故，違背網(wǎng)絡(luò)安全法，直接責(zé)任人，主管責(zé)任人將會按照網(wǎng)絡(luò)安全法依法處罰。

什么場景需要進行風(fēng)險評估？

1、內(nèi)部信息系統(tǒng)自測評需要

一般一些大型的信息系統(tǒng)，在接入網(wǎng)絡(luò)之前，都需要第三方提供入網(wǎng)安全測評報告，這樣可以作為信息系統(tǒng)正式上線前的測評，為系統(tǒng)是否可以正式開始進行運作提供參考依據(jù)。另外，當(dāng)大型系統(tǒng)進行了功能升級或者系統(tǒng)變更時，也需要出具入網(wǎng)安全評估報告。一般來說，醫(yī)院業(yè)務(wù)系統(tǒng)、電力系統(tǒng)、金融系統(tǒng)、行政系統(tǒng)等等大型信息系統(tǒng)，會通過公開招標(biāo)的方式來尋找合適的入網(wǎng)安評服務(wù)商。

2、第三方開發(fā)的信息系統(tǒng)驗收時

客戶要求在驗收時出具入網(wǎng)安全評估報告時，進行入網(wǎng)安全測評后客戶才可以更放心的使用您為他開發(fā)的信息系統(tǒng)，特別是一些涉及公司或單位的敏感數(shù)據(jù)的系統(tǒng)，更是需要入網(wǎng)安全測評。否則，一旦出現(xiàn)安全事故，對業(yè)主交產(chǎn)生非常嚴重的影響。而對于技術(shù)提供商來說，如果沒有開展入網(wǎng)安全評估，信息系統(tǒng)安全問題帶來的問題，很難分清楚責(zé)任歸屬，而且很有可能會需要承擔(dān)一定的賠償責(zé)任。

3、信息系統(tǒng)或軟件作為產(chǎn)品推廣時

當(dāng)公司開發(fā)了具體一定通用性的信息系統(tǒng)或者軟件并規(guī)劃為產(chǎn)品進行推廣銷售時，入網(wǎng)安全測評是非常重要的，入網(wǎng)安全測評報告是產(chǎn)品參數(shù)非常必要的一項。近幾年國家公安部和網(wǎng)信辦對信息化產(chǎn)品的安全規(guī)范越來越嚴格，產(chǎn)品具備入網(wǎng)安全測評報告不但能滿足安全規(guī)范，同時也能大大提高客戶的信任度和產(chǎn)品的競爭力，有利于產(chǎn)品的推廣和銷售。

做風(fēng)險評估會給企業(yè)帶來的好處！

1.更準(zhǔn)確地認識風(fēng)險

2.系統(tǒng)地評估資產(chǎn)各種風(fēng)險事件發(fā)生的概率大小、概率分布，及發(fā)生后損失的嚴重程度，幫助區(qū)分主要風(fēng)險和次要風(fēng)險。

3.保證規(guī)劃的合理和可行性

4.正確反映各風(fēng)險對信息安全的不同影響，使規(guī)劃的結(jié)果更合理可靠，使在此基礎(chǔ)上制定的計劃具有現(xiàn)實的可行性。

選擇最佳風(fēng)險對策組合

 風(fēng)險對策會付出一定代價，需將不同風(fēng)險對策的適用性與不同風(fēng)險的后果結(jié)合考慮，使不同風(fēng)險選擇適宜的風(fēng)險對策，形成最佳風(fēng)險對策組合。

服務(wù)流程

STEP1 評估準(zhǔn)備

1.項目成員人、工具包、訪談表單、流程

2.制定風(fēng)險評估方案

3.了解應(yīng)用系統(tǒng)、主機、數(shù)據(jù)庫、網(wǎng)絡(luò)環(huán)境、安全設(shè)備、組織架構(gòu)、管理制度等。

STEP2 技術(shù)評估

1.漏掃評估：對主機、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫、中間件(賬戶安全、訪問控制、網(wǎng)絡(luò)安全等27項)；

2.應(yīng)用評估：安全功能、日常維護(身份認證、訪問權(quán)限控制、傳輸安全等12項)；

3.滲透測試：業(yè)務(wù)系統(tǒng)、APP程序、微信小程序(信息泄露、注入漏洞、邏輯漏洞等15項)。

STEP3 管理評估

1.技術(shù)管理評估：物理環(huán)境、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護、業(yè)務(wù)連續(xù)性。

2.組織管理評估：安全策略、組織安全、資產(chǎn)分類與控制、人員安全、符合性。

STEP4 評估報告

1.列出在風(fēng)險評估工作中，發(fā)現(xiàn)的重要資產(chǎn)分布、脆弱性分布及綜合威脅分布。

2.詳細描述發(fā)現(xiàn)的安全風(fēng)險現(xiàn)狀及評估分析結(jié)果。

3.提出相關(guān)風(fēng)險控制方案，為之后的加固整改提出合理化建議。 

服務(wù)優(yōu)勢

專業(yè)化項目管理

嚴格按照項目管理標(biāo)準(zhǔn)，制訂嚴謹?shù)捻椖繉嵤┯媱?，項目?jīng)理全程把控項目進度。

資深評估專家

安全行業(yè)資深領(lǐng)域?qū)＜?，行業(yè)顧問專門負責(zé)資產(chǎn)評估和管理評估工作，保證評估結(jié)果的可靠性。

安全技術(shù)大牛

業(yè)內(nèi)從業(yè)多年的白帽子技術(shù)專家專職負責(zé)技術(shù)評估，技術(shù)培訓(xùn)工作。保證技術(shù)可靠性。

針對性整改方案

全面分析評估結(jié)果報告，形成風(fēng)險控制方案，安全管理制度，漏洞整改建議。全面提升資產(chǎn)安全性，降低安全風(fēng)險。