信息系统安全评估

什么是信息安全风险评估？

信息安全风险评估（Information Security Risk Assessment）是参照风险评估标准和管理规范一种系统性的方法，用于识别、评估和理解组织面临的信息安全风险。这个过程有助于确定潜在的威胁、弱点和漏洞，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。

信息安全评估的意义在于全面识别和管理潜在威胁，优化资源分配，确保合规性，提升业务连续性，防范未知风险，保护声誉，实现持续改进。提前确定系统的网络安全漏洞情况，是否符合系统入网安全评估的测评标准以及网络安全等级保护测评的标准。

1、在上线后由于存在漏洞问题及遭受攻击，需要对漏洞涉及代码改写，考虑到业务连续性的要求，上线后再进行代码整改修复漏洞，成本更为巨大。

2、如果应用系统未经上线前检测直接上线，因系统漏洞造成网络安全事故，甚至造成经济和名誉的损失，违背网络安全法，直接责任人，主管责任人将会按照网络安全法依法处罚。

哪些业务是需要做风险评估？
系统上线、APP安全评估、软件更新、老旧软件系统等都需要做信息安全风险评估。

当组织计划启动一个新项目或开展新的业务时，安全风险评估可以帮助组织确定项目或业务可能面临的潜在威胁和漏洞，以及防范和减轻这些风险的措施。

当组织进行系统或网络架构变更时，例如引入新的技术、升级或替换关键系统、网络或设备，安全风险评估可以帮助组织识别与这些变更相关的安全风险，并提供合适的安全措施。

当组织遭受信息安全事件或数据泄露等安全事件后，安全风险评估可以帮助组织了解事件的原因和影响，并提供必要的措施来防止类似事件的再次发生。

组织可能需要遵守特定的法律、法规或行业合规要求，例如GDPR（《通用数据保护条例》）、PCI DSS（《支付卡行业数据安全标准》）等。安全风险评估可以帮助组织确定与合规要求相关的安全风险，并提供必要的措施来满足合规要求。

当组织与第三方供应商建立业务合作伙伴关系时，安全风险评估可以帮助组织评估供应商的信息安全风险，以确保合作伙伴采取了充分的安全保护措施来保护组织的敏感信息和资产。

信息系统安全风险评估

系统地评估资产各种风险事件发生的概率大小、概率分布，及发生后损失的严重程度，帮助区分主要风险和次要风险。

正确反映各风险对信息安全的不同影响，使规划的结果更合理可靠，使在此基础上制定的计划具有现实的可行性。

风险对策会付出一定代价，需将不同风险对策的适用性与不同风险的后果结合考虑，使不同风险选择适宜的风险对策，形成最佳风险对策组合。

1.确定项目团队、工具包准备、访谈表单、确定整体流程。
2.制定详细的风险评估方案、明确风险评估的目的。
3.收集应用系统的相关信息、主机、数据库、网络环境、安全设备、组织架构、管理制度等。

1.漏扫评估：对主机、网络设备、数据库、中间件。
2.应用评估：安全功能、日常维护。
3.渗透测试：业务系统、APP程序、微信小程序。

1.技术管理评估：物理环境、通信与操作管理、访问控制、系统开发与维护、业务连续性。
2.组织管理评估：安全策略、组织安全、资产分类与控制、人员安全、符合性。

1.列出在风险评估工作中，发现的重要资产分布、脆弱性分布及综合威胁分布。
2.详细描述发现的安全风险现状及评估分析结果。
3.提出相关风险控制方案，为之后的加固整改提出合理化建议。