安全评估服务——网络安全评估

　　在信息化建设中，往往要对所采购的货物、工程和服务等就是否满足网络需求进行评估。这里我们将被评估的对象分为货物、工程和服务等，是引用《采购法》中的类别。当然，也可以采用不同的类别，不论如何分类，为了满足网络安全的需求，除了对它们进行常规指标（如运算速度、容量、价格……）的评估外，还需要进行专门的评估，目前这方面通常提出的要求是“自主可控、可靠”。也有人员提出要求“自主可控、可信”，这两种提法很接近，是否需要加以细分还有待于研究。

网络安全风险评估的依据是什么

风险评估工作主要遵循以下评估依据，并作为评估工作实施的指导文件，部分评估内容将参考或借鉴指导文件内容。

1) 《中华人民共和国网络安全法》

2) 《***网络与信息安全协调小组<关于开展信息安全风险评估工作的意见>》（国信办[2006]5 号）

3) 《信息安全技术 信息安全风险评估规范》 （GB/T 20984-2007）

4) 《信息安全技术 信息安全风险评估实施指南》 （GB/T 31509-2015）

5) 《信息安全技术 信息安全事件分类分级指南》 （GB/Z 20986-2007）

6) 《计算机场地通用规范》 （GB/T 2887-2011）

7) 《信息技术 安全技术 信息安全控制实践指南》 （GB/T 22081-2016）

8) 《信息技术 安全技术 信息安全风险管理》 （GB/T 31722-2015）

9) 《信息安全技术 数据库管理系统安全技术要求》 （GB/T 20273-2019）

10) 《信息安全技术 网络基础安全技术要求》 （GB/T 20270-2006）

11) 《信息安全技术 信息系统通用安全技术要求》 （GB/T 20271-2006）

12) 《信息安全技术 网络安全等级保护测评要求》 （GB/T 28448-2019）

13) 《信息技术 安全技术 信息安全管理体系要求》 （ISO/IEC 27001:2013）

14) 《信息技术 安全技术 信息安全风险管理》 （ISO/IEC 27005:2018）

15) 《信息技术安全评估准则》 （ISO/IEC 15408）

网络安全风险评估

网络安全所面临的问题？

1、对现阶段安全建设效果不明确；

2、对现阶段的安全缺陷及隐患不明确；

3、对后期安全建设没有方向。

风险评估能够做什么？

1、已有控制措施识别及效力测试；

2、资产、威胁、脆弱性关联分析；

3、根据评估结果设计建设方案。

风险评估能够带来什么？

1、安全防护能力评估结果；

2、风险评估报告；

3、安全建设方案。

脆弱性的分类

脆弱性是针对每一个需要保护的信息资产所存在的弱点，常见的弱点有三类：

1、技术型弱点——系统、程序 、设备中存在的漏洞或缺陷，比如结构设计问题和编程漏洞。

2、操作型弱点——软件和系统在配置、操作、使用中的缺陷，包含人员在日常工作中的不良习惯，审计和备份的缺失等。

3、管理型的弱点——策略、程序 、规章制度、人员意识、***结构等方面的不足。