上线安全评估价格承诺守信「多面魔方」

网络安全风险评估流程图

      风险评估工作主要依据GB/T 20984-2015《信息安全技术信息安全风险评估规范》进行，总体的工作流程可以分成资产评估阶段、威胁评估阶段、脆弱性评估阶段、风险综合分析阶段和风险处置计划阶段。对评估范围内的所有资产进行识别，并调查资产破坏后可能造成的损失大小，根据危害和损的大小为资产进行相对赋值；资产包括硬件、软件、服务、信息和人员等。

     风险评估的实施流程，如下图所示：

什么是资产评估     

     资产是构成整个系统的各种元素的组合，它直接的表现了这个系统的业务或任务的重要性，这种重要性进而转化为资产应具有的保护价值。资产评估是与风险评估相关联的重要任务之一，资产评估主要是对资产进行相对估价，而其估价准则就是依赖于对其影响的分析，主要从保密性、完整性、可用性三方面的安全属性进行影响分析，从资产的相对价值中体现了威胁的严重程度；这样，威胁评估就成了对资产所受威胁发生可能性的评估，主要从发生的可能性、发生成功的可能性以及发生成功后的严重性三方面安全属性进行分析；目的是要对组织的归类资产做潜在价值分析，了解其资产利用、维护和管理现状。明确各类资产具备的保护价值和需要的保护层次，从而使组织更合理的利用现有资产，更有效地进行资产管理，更有针对性的进行资产保护，更有合理性的进行新的资产投入。

风险评估中脆弱性有哪些分类

一、技术脆弱性

1、物理环境

从机房场地、机房防火、机房供配电、机房房防静电、机房接地与防雷、电磁防、通信线路的保护、机房区域防护、机房设备管理等方面进行识别。

2、网络结构 

从网络结构设计、边界保护、外部访问控制策略、内部访问控制策略、网络设备安全配置等方面进行识别。

3、系统软件

从补丁安装、物理保护、用户账号、口令策略、资源共享、事件审计、访问控制、新系统配置、注册表加固、网络安全、系统管理等方面进行识别。

4、应用中间件

从协议安全、交易完整性、数据完整性等方面进行识别。

5、应用系统

从审计机制、审计存储、访问控制策略、数据完整性、通信、鉴别机制、密保保护等方面进行识别。

二、管理脆弱性

1、技术管理

从物理和环境安全、通信与操作管理、访问控制、系统开发与维护、业务连续性等方面进行识别。

2、组织管理

从安全策略、组织安全、资产分类与控制、人员安全、符合性等方面进行识别。

防护能力评估

      在影响安全事件发生的内部条件中，除了资产的弱点，另一个就是组织现有的安全措施能否真正提供防护效果。识别已有的安全控制措施，分析安全措施的有效性，确定威胁利用弱点的实际可能性，一方面可以指出当前安全措施的不足，另一方面也可以避免重复投资。所以做好防护能力评估，了解现有真实的防护情况，变的尤为重要。