♦GB/T 20984-2007《信息安全技術(shù)信息安全風(fēng)險評估規(guī)范》
♦GB/T 31509-2015《信息安全技術(shù)信息安全風(fēng)險評估實施指南》
♦GB/Z 24364-2009《信息安全技術(shù)信息安全風(fēng)險管理指南》
♦信息安全管理標(biāo)準(zhǔn)ISO17799(GB/T19716)、ISO27001
♦信息安全管理指南ISO13335(GB/T19715)
♦信息安全通用準(zhǔn)則ISO 15408(GB/T18336)
♦系統(tǒng)安全工程能力成熟模型SSE-CMM
1. 對資產(chǎn)進行識別 ,并對資產(chǎn)的價值進行賦值。
2. 對威脅進行識別 ,描述威脅的屬性 ,并對威脅出現(xiàn)的頻率賦值。
3. 對脆弱性進行識別,并對具體資產(chǎn)的脆弱性的嚴重程度賦值。
4. 根據(jù)威脅及威脅利用脆弱性的難易程度判斷安全事件發(fā)生的可能性。
5. 根據(jù)脆弱性的嚴重程度及安全事件所作用的資產(chǎn)的價值計算安全事件造成的損失。
6. 根據(jù)安全事件發(fā)生的可能性以及安全事件出現(xiàn)后的損失 ,計算安全事件一旦發(fā)生對組織的影響,即風(fēng)險值。
1.項目成員人、工具包、訪談表單、流程;
2.制定風(fēng)險評估方案;
3.了解應(yīng)用系統(tǒng)、主機、數(shù)據(jù)庫、網(wǎng)絡(luò)環(huán)境、安全設(shè)備、組織架構(gòu)、管理制度等。
1.基線評估:對主機、網(wǎng)絡(luò)設(shè)備、數(shù)據(jù)庫、中間件(賬戶安全、訪問控制、網(wǎng)絡(luò)安全等27項);
2.應(yīng)用評估:安全功能、日常維護(身份認證、訪問權(quán)限控制、傳輸安全等12項);
3.滲透測試:業(yè)務(wù)系統(tǒng)、APP程序、微信小程序(信息泄露、注入漏洞、邏輯錯誤等15項)。
1.技術(shù)管理評估:物理環(huán)境、通信與操作管理、訪問控制、系統(tǒng)開發(fā)與維護、業(yè)務(wù)連續(xù)性;
2.組織管理評估:安全策略、組織安全、資產(chǎn)分類與控制、人員安全、符合性。
1.列出在風(fēng)險評估工作中,發(fā)現(xiàn)的重要資產(chǎn)分布、脆弱性分布及綜合威脅分布;
2.詳細描述安全風(fēng)險現(xiàn)狀及評估分析結(jié)果;
3.提出風(fēng)險控制方案,為之后的加固整改提出合理化建議。
技術(shù)支持:悟安
Copyright ? 2014-2020 北京旗云天下科技有限公司 版權(quán)所有
京公網(wǎng)安備 11011202000939號
京ICP備17058884號-1