風(feng)險(xian)評估

什么是信(xin)息安全風(feng)險評估(gu)？

信(xin)息(xi)安(an)全風(feng)(feng)險評估(gu)是參照風(feng)(feng)險評估(gu)標準和(he)管(guan)理規(gui)范，對信(xin)息(xi)系統的(de)資(zi)產價值、潛在威脅(xie)、薄弱環(huan)節、已采(cai)取的(de)防護措施等進行(xing)分析(xi)，判斷安(an)全事件發生的(de)概率以及可(ke)能造成的(de)損(sun)失，提出(chu)風(feng)(feng)險管(guan)理措施的(de)過程(cheng)。

簡單(dan)來(lai)說就是在信(xin)息(xi)系(xi)統在接入互聯網之前(qian)進行信(xin)息(xi)安全風險評估，提(ti)前(qian)確定系(xi)統的(de)網絡(luo)安全漏洞情(qing)況，是否符(fu)合系(xi)統入網安全評估的(de)測評標準以及網絡(luo)安全等級保護測評的(de)標準。

不(bu)做風(feng)險評估的(de)后果！

如果應用系統(tong)未經(jing)上(shang)線(xian)前檢(jian)測直(zhi)接上(shang)線(xian)，在上(shang)線(xian)后(hou)由于存在類似SQL注入、跨站腳本、木(mu)馬文件上(shang)傳等漏(lou)(lou)洞(dong)而遭(zao)受攻擊，可(ke)能直(zhi)接影響(xiang)系統(tong)正常業務(wu)運行(xing)，甚至造成經(jing)濟(ji)和(he)名譽的損失，再加(jia)上(shang)有些漏(lou)(lou)洞(dong)涉及代(dai)碼(ma)改寫(xie)，考(kao)慮到業務(wu)連續性的要求，上(shang)線(xian)后(hou)再進行(xing)代(dai)碼(ma)整(zheng)改修復漏(lou)(lou)洞(dong)，成本更為巨大。因系統(tong)漏(lou)(lou)洞(dong)造成網(wang)絡(luo)安全事(shi)故，違背網(wang)絡(luo)安全法，直(zhi)接責任人(ren)，主管(guan)責任人(ren)將會按照(zhao)網(wang)絡(luo)安全法依法處(chu)罰(fa)。

什(shen)么場景需要進行風(feng)險評估？

1、內(nei)部信息系統自測評需(xu)要

一(yi)般(ban)(ban)一(yi)些大型的(de)信(xin)息(xi)系(xi)統(tong)(tong)，在接入(ru)(ru)網(wang)絡之前，都需要第三方提供入(ru)(ru)網(wang)安(an)(an)(an)全測評報(bao)告(gao)，這(zhe)樣可(ke)(ke)以(yi)作為信(xin)息(xi)系(xi)統(tong)(tong)正式上(shang)線前的(de)測評，為系(xi)統(tong)(tong)是(shi)否可(ke)(ke)以(yi)正式開始進行運作提供參考依據。另外(wai)，當大型系(xi)統(tong)(tong)進行了功能升級或者系(xi)統(tong)(tong)變更時，也需要出具入(ru)(ru)網(wang)安(an)(an)(an)全評估報(bao)告(gao)。一(yi)般(ban)(ban)來說，醫院(yuan)業(ye)務系(xi)統(tong)(tong)、電力系(xi)統(tong)(tong)、金融系(xi)統(tong)(tong)、行政系(xi)統(tong)(tong)等等大型信(xin)息(xi)系(xi)統(tong)(tong)，會通過公開招標(biao)的(de)方式來尋(xun)找合適的(de)入(ru)(ru)網(wang)安(an)(an)(an)評服(fu)務商(shang)。

2、第三方開發的信息系(xi)統驗(yan)收時(shi)

客戶(hu)要求(qiu)在驗收時(shi)出(chu)具入(ru)網(wang)安(an)全(quan)評估報告時(shi)，進行(xing)入(ru)網(wang)安(an)全(quan)測評后(hou)客戶(hu)才可(ke)以更放(fang)心的(de)(de)(de)使用(yong)您為他開發的(de)(de)(de)信息系(xi)統，特別是一些涉及公(gong)司(si)或單位的(de)(de)(de)敏感數據的(de)(de)(de)系(xi)統，更是需要入(ru)網(wang)安(an)全(quan)測評。否則，一旦出(chu)現安(an)全(quan)事(shi)故，對業主(zhu)交產生非常嚴重的(de)(de)(de)影響。而對于技(ji)術提供商來說，如果沒(mei)有(you)(you)開展(zhan)入(ru)網(wang)安(an)全(quan)評估，信息系(xi)統安(an)全(quan)問題帶來的(de)(de)(de)問題，很(hen)難分清楚責任歸屬，而且很(hen)有(you)(you)可(ke)能會需要承擔一定的(de)(de)(de)賠償責任。

3、信息(xi)系統(tong)或軟件作為產(chan)品推廣時

當公司開發了具體一(yi)定通(tong)用性的(de)(de)(de)(de)信(xin)息(xi)系統或(huo)者(zhe)軟(ruan)件并規(gui)劃為產(chan)(chan)(chan)品進行推廣銷售時(shi)，入(ru)(ru)網(wang)(wang)安全測(ce)(ce)評是(shi)非常(chang)重要的(de)(de)(de)(de)，入(ru)(ru)網(wang)(wang)安全測(ce)(ce)評報告是(shi)產(chan)(chan)(chan)品參數非常(chang)必要的(de)(de)(de)(de)一(yi)項。近幾年國家公安部(bu)和網(wang)(wang)信(xin)辦對信(xin)息(xi)化產(chan)(chan)(chan)品的(de)(de)(de)(de)安全規(gui)范(fan)越(yue)來越(yue)嚴格，產(chan)(chan)(chan)品具備入(ru)(ru)網(wang)(wang)安全測(ce)(ce)評報告不但(dan)能滿足(zu)安全規(gui)范(fan)，同時(shi)也能大大提(ti)高客戶的(de)(de)(de)(de)信(xin)任度和產(chan)(chan)(chan)品的(de)(de)(de)(de)競爭力，有利(li)于產(chan)(chan)(chan)品的(de)(de)(de)(de)推廣和銷售。

做風險評估會給企業帶(dai)來的好處！

1.更準確地認識風險

2.系統地評估資產各種(zhong)風險事件發生(sheng)的概率(lv)大小、概率(lv)分布，及發生(sheng)后損失的嚴重程度，幫(bang)助區分主(zhu)要風險和次要風險。

3.保證規劃的合理和可行性

4.正確反(fan)映各風險對信息安全的不同影響，使(shi)規(gui)劃的結(jie)果更合理可(ke)靠，使(shi)在(zai)此(ci)基(ji)礎上制定的計劃具(ju)有現實的可(ke)行性。

選擇最佳風險對策(ce)組合

 風(feng)險(xian)對(dui)策(ce)會付出一定代價，需將(jiang)不(bu)同風(feng)險(xian)對(dui)策(ce)的(de)適(shi)用性與不(bu)同風(feng)險(xian)的(de)后果結(jie)合(he)考慮，使不(bu)同風(feng)險(xian)選擇適(shi)宜(yi)的(de)風(feng)險(xian)對(dui)策(ce)，形成最(zui)佳風(feng)險(xian)對(dui)策(ce)組合(he)。

服務流程

STEP1 評估準備

1.項目成(cheng)員人、工具(ju)包、訪談表單(dan)、流程(cheng)

2.制定風險評估方案

3.了解(jie)應用系統、主(zhu)機、數(shu)據庫、網絡環境、安(an)全設備、組織架構、管理制度等。

STEP2 技術(shu)評估

1.漏掃評估：對主機(ji)、網絡(luo)設備、數據庫、中間(jian)件(賬戶安全、訪問(wen)控制、網絡(luo)安全等27項)；

2.應用評(ping)估：安(an)全功能(neng)、日(ri)常維(wei)護(身份認證、訪問權(quan)限控(kong)制、傳輸安(an)全等12項)；

3.滲透測試：業(ye)務系統(tong)、APP程序、微信(xin)小程序(信(xin)息(xi)泄(xie)露、注入漏(lou)洞(dong)、邏輯漏(lou)洞(dong)等15項)。

STEP3 管理評估(gu)

1.技術管理評估(gu)：物(wu)理環境(jing)、通信(xin)與(yu)操作管理、訪問(wen)控制、系統開發與(yu)維護(hu)、業務連續性。

2.組(zu)織(zhi)管理(li)評估：安全策(ce)略(lve)、組(zu)織(zhi)安全、資產(chan)分類與(yu)控制(zhi)、人(ren)員安全、符合性。

STEP4 評估報告(gao)

1.列出在(zai)風險評(ping)估(gu)工作中，發現的(de)重要資產分布(bu)、脆弱性分布(bu)及綜合威脅分布(bu)。

2.詳(xiang)細描述發現的安(an)全風險現狀及(ji)評估分(fen)析結果(guo)。

3.提出相(xiang)關風險(xian)控制方案，為之(zhi)后的加(jia)固整(zheng)改提出合(he)理化建(jian)議。 

服(fu)務優勢

專業化項(xiang)目管理

嚴(yan)格按(an)照項目(mu)(mu)(mu)管理(li)標準，制訂嚴(yan)謹的項目(mu)(mu)(mu)實施計劃(hua)，項目(mu)(mu)(mu)經理(li)全程把(ba)控(kong)項目(mu)(mu)(mu)進度。

資深評估專(zhuan)家

安全行業(ye)資(zi)深領域專(zhuan)家(jia)，行業(ye)顧(gu)問專(zhuan)門負責資(zi)產評估和管理評估工(gong)作，保證評估結果(guo)的可靠性(xing)。

安全技術大牛

業內從業多年的白帽子技(ji)術專(zhuan)家專(zhuan)職負責技(ji)術評估，技(ji)術培訓(xun)工作。保證(zheng)技(ji)術可靠性。

針對性整(zheng)改方案

全面分(fen)析評(ping)估結(jie)果報告，形(xing)成風(feng)險控制方案，安(an)全管理制度，漏洞整改建議(yi)。全面提升資產(chan)安(an)全性，降低安(an)全風(feng)險。