信息安全風(fēng)險(xiǎn)評(píng)估
由興先道信息安全團(tuán)隊(duì)高級(jí)安全顧問(wèn)和咨詢專家共同組成的評(píng)估團(tuán)隊(duì)，依據(jù)《信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估方法》，從風(fēng)險(xiǎn)管理角度，運(yùn)用科學(xué)的方法和手段，系統(tǒng)地分析信息系統(tǒng)所面臨的威脅及其存在的脆弱性，評(píng)估安全事件一旦發(fā)生可能造成的危害程度，提出有針對(duì)性的抵御威脅的防護(hù)對(duì)策和整改措施；為防范和化解信息安全風(fēng)險(xiǎn)，將風(fēng)險(xiǎn)控制在可接受的水平，從而最大限度地為保障信息安全提供科學(xué)依據(jù)。
→ 安全技術(shù)：網(wǎng)絡(luò)層安全、主機(jī)系統(tǒng)層安全、應(yīng)用層安全、數(shù)據(jù)安全。
→ 安全管理：安全管理組織機(jī)構(gòu)、安全管理制度、人員安全管理、系統(tǒng)建設(shè)管理、系統(tǒng)運(yùn)維管理、物理安全。
→ 資產(chǎn)分析----由評(píng)估人員在委托單位現(xiàn)場(chǎng)根據(jù)調(diào)查內(nèi)容獲取并分析信息系統(tǒng)資產(chǎn)。
→ 工具測(cè)試----由評(píng)估人員采用自動(dòng)化工具對(duì)被評(píng)估系統(tǒng)進(jìn)行漏洞檢測(cè)。
→ 專家訪談----由評(píng)估人員到委托單位同信息安全主管、IT審計(jì)部門、開發(fā)部門及運(yùn)維部門按我中心調(diào)查模版要求進(jìn)行面對(duì)面訪談?wù){(diào)研。
→ 資料審閱----查閱信息系統(tǒng)建設(shè)、運(yùn)維過(guò)程中的過(guò)程文檔、記錄，采用分時(shí)段系統(tǒng)查閱和有針對(duì)性抽樣查閱的方法進(jìn)行。
向客戶提交《信息系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估報(bào)告》，幫助客戶明確當(dāng)前網(wǎng)絡(luò)和系統(tǒng)安全現(xiàn)狀及安全需求，對(duì)可能受到威脅影響的資產(chǎn)確定其價(jià)值、敏感性和嚴(yán)重性以及相應(yīng)的級(jí)別；確定可能對(duì)資產(chǎn)造成的威脅以及最重要的、最敏感的資產(chǎn)一旦威脅發(fā)生所造成的損失。
