【正文】 nal Security Solution Provider 風(fēng)險(xiǎn)評估的效果 ?發(fā)現(xiàn)安全問題 ?提出解決方案 ?指導(dǎo)安全規(guī)劃 ?完善安全體系 ?保障安全運(yùn)行 ?運(yùn)行與生產(chǎn)是安全防護(hù)的重點(diǎn) –風(fēng)險(xiǎn)評估不會影響安全運(yùn)行與生產(chǎn) –安全體系建設(shè)保障安全運(yùn)行與生產(chǎn) 68 Professional Security Solution Provider 子提綱－風(fēng)險(xiǎn)評估介紹 ?概念和術(shù)語 ?目的和作用 ?評估的內(nèi)容 ?如何進(jìn)行評估 ?評估的效果 ?操作模式 69 Professional Security Solution Provider 安全風(fēng)險(xiǎn)評估模式 ?評估模式分類方法 ?自評估 ?自評估特點(diǎn) ?檢查評估 ?檢查評估特點(diǎn) ?委托評估 ?委托評估特點(diǎn) ?復(fù)合模式評估 ?復(fù)合模式評估特點(diǎn) ? 評估模式 – 國內(nèi)外現(xiàn)用的風(fēng)險(xiǎn)評估模式 ， 大體分自評估 、 檢查評估與委托評估三種類型 。 更確切地說某一特定資產(chǎn)必然面對某些特定的威脅 19 Professional Security Solution Provider 風(fēng)險(xiǎn) 評估的概念和術(shù)語 ?信息資產(chǎn) ?脆弱性 ?威脅 ?風(fēng)險(xiǎn) ?風(fēng)險(xiǎn)評估 ?風(fēng)險(xiǎn)管理 ? 信息系統(tǒng)的安全風(fēng)險(xiǎn) ， 是指由于系統(tǒng)存在的 脆弱性 ， 人為或自然的 威脅 導(dǎo)致安全事件發(fā)生的可能性及其造成的 影響 。 8 Professional Security Solution Provider **科技安全產(chǎn)品 ? 網(wǎng)絡(luò)入侵檢測系統(tǒng) ? 漏洞掃描系統(tǒng) ? 抗拒絕服務(wù)系統(tǒng) ? 內(nèi)網(wǎng)安全管理系統(tǒng) ? 網(wǎng)絡(luò)入侵保護(hù)系統(tǒng) ? 網(wǎng)絡(luò)流量管理系統(tǒng) 9 Professional Security Solution Provider 專業(yè)安全服務(wù) NSPS 項(xiàng)目經(jīng)驗(yàn) 專業(yè)團(tuán)隊(duì) 服務(wù)方法論 項(xiàng)目組織 經(jīng)過 5年專業(yè)安全服務(wù)的執(zhí)著實(shí)踐，形成了國內(nèi)最完善的專業(yè)安全服務(wù)體系和完善的專業(yè)安全服務(wù)方法論 。 它是以可以接受的代價(jià)識別 、 控制 、 最小化或者避免影響信息系統(tǒng)安全的風(fēng)險(xiǎn)的過程 。 由于具體單位的信息系統(tǒng)應(yīng)用服務(wù)各具特性 ， 這些個(gè)性化的過程和要求往往是敏感的 ，是沒有長期接觸該單位所屬行業(yè)和部門的人難于在短期內(nèi)熟悉和掌握的 。 17:56:2717:56:2717:563/31/2023 5:56:27 PM 1成功就是日復(fù)一日那一點(diǎn)點(diǎn)小小努力的積累。 2023年 3月 下午 5時(shí) 56分 :56March 31, 2023 1業(yè)余生活要有意義，不要越軌。 2023年 3月 下午 5時(shí) 56分 :56March 31, 2023 1少年十五二十時(shí)，步行奪得胡馬騎。 17:56:2717:56:2717:563/31/2023 5:56:27 PM 1以我獨(dú)沈久，愧君相見頻。 ?應(yīng)用層安全：該層的安全考慮網(wǎng)絡(luò)對用戶提供服務(wù)所采用的應(yīng)用軟件和數(shù)據(jù)的安全性 ， 包括：數(shù)據(jù)庫軟件 、 Web服務(wù) 、 電子郵件系統(tǒng) 、 域名系統(tǒng) 、 交換與路由系統(tǒng) 、 防火墻及應(yīng)用網(wǎng)管系統(tǒng) 、 業(yè)務(wù)應(yīng)用軟件以及其它網(wǎng)絡(luò)服務(wù)系統(tǒng)等 。 17 Professional Security Solution Provider 風(fēng)險(xiǎn)評估的概念和術(shù)語 ? 信息資產(chǎn) ? 脆弱性 ? 威脅 ? 風(fēng)險(xiǎn) ? 風(fēng)險(xiǎn)評估 ? 風(fēng)險(xiǎn)管理 ? 脆弱性是指資產(chǎn)或資產(chǎn)組中能被威脅利用的弱點(diǎn) 。 ? 一個(gè)信息系統(tǒng)的資產(chǎn)包括： – 物理資產(chǎn) ， 包括服務(wù)器設(shè)備 ， 終端設(shè)備 ， 網(wǎng)絡(luò)設(shè)備及其它設(shè)備等； – 軟件資產(chǎn) ， 包括系統(tǒng)軟件 ， 業(yè)務(wù)應(yīng)用軟件 ， 辦公自動(dòng)化軟件及其它應(yīng)用軟件等； – 數(shù)據(jù)資產(chǎn) ， 包括系統(tǒng)數(shù)據(jù) ， 業(yè)務(wù)數(shù)據(jù) ， 辦公數(shù)據(jù) ， 技術(shù)文檔數(shù)據(jù)及其它數(shù)據(jù)等； – 其他資產(chǎn) ， 包括公司人力 、 聲譽(yù)等 。 ?網(wǎng)絡(luò)層安全：該層的安全問題主要指網(wǎng)絡(luò)信息的安全性 ， 包括網(wǎng)絡(luò)層身份認(rèn)證 ， 網(wǎng)絡(luò)資源的訪問控制 ， 數(shù)據(jù)傳輸?shù)谋Ｃ芘c完整性 、 遠(yuǎn)程接入 、 域名系統(tǒng) 、 路由系統(tǒng)的安全 ， 入侵檢測的手段等 。 , March 31, 2023 雨中黃葉樹，燈下白頭人。 。 2023年 3月 31日星期五 5時(shí) 56分 27秒 17:56:2731 March 2023 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 :56:2717:56Mar2331Mar23 1世間成事，不求其絕對圓滿，留一份不足，可得無限完美。 而且只有擁有者對威脅及其后果的體會最深切 。 – 風(fēng)險(xiǎn)評估分析 – 風(fēng)險(xiǎn)控制 ? 一個(gè)完整的風(fēng)險(xiǎn)評估過程實(shí)際上就是一個(gè)風(fēng)險(xiǎn)管理過程 。 ?豐富的行業(yè)服務(wù)實(shí)踐經(jīng)驗(yàn)。 它包括五類： – 邏輯的威脅 – 通信的威脅 – 技術(shù)故障的威脅 – 人員錯(cuò)誤的威脅 – 物理和環(huán)境的威脅 ? 威脅是客觀存在的 ， 不可能被消滅或改變 。 ?根據(jù)用戶需求決定是否采用 。 2023年 3月 31日星期五 下午 5時(shí) 56分 27秒 17:56: 1比不了得就不比，得不到的就不要。 17:56:2717:56:2717:563/31/2023 5:56:27 PM 1越是沒有本領(lǐng)的就越加自命不凡。 17:56:2717:56:2717:56Friday, March 31, 2023 1知人者智，自知者明。 2023年 3月 下午 5時(shí) 56分 :56March 31, 2023 1行動(dòng)出成果，工作出財(cái)富。 ? 分類依據(jù) – 主要根據(jù)評估方與被評估方的關(guān)系 ， 以及評估方與被評估方和其信息資產(chǎn)的關(guān)系 。 ? 風(fēng)險(xiǎn)只能預(yù)防 、 避免 、 降低 、 轉(zhuǎn)移和接受 ， 但不可能完全被消滅 。 同時(shí)漏洞庫已經(jīng)成為同行業(yè)重要的參考依據(jù)和標(biāo)準(zhǔn) ? 入侵檢測規(guī)則庫從 2023年起出口到美國市場 ，底層技術(shù)獲得國際的廣泛認(rèn)可 ? 多 年來的研究成果 ， 奠定了 **科技在國際安全界的地位 ， 同時(shí)為國家信息安全研究和發(fā)展做出了重大貢獻(xiàn) ? 06年 7月 12日 ， 又獨(dú)立發(fā)現(xiàn)了 MS OFFICE 3個(gè)最為嚴(yán)重的漏洞 雄厚的技術(shù)實(shí)力 7 Professional Security Solution Provider 強(qiáng)大的研發(fā)創(chuàng)新能力 ? 保持每年一款新產(chǎn)品的推出 ? 原有產(chǎn)品每六個(gè)月進(jìn)行一次升級 2023年 2023年 2023年 2023年 2023年 2023年 2023年 國內(nèi)主流安全廠商中， 唯一的全部產(chǎn)品線完 全自主研發(fā)。 21 Professional Security Solution Provider 風(fēng)險(xiǎn) 評估的概念和術(shù)語 ?信息資產(chǎn) ?脆弱性 ?威脅 ?風(fēng)險(xiǎn) ?風(fēng)險(xiǎn)評估 ?風(fēng)險(xiǎn)管理 ? 風(fēng)險(xiǎn)管理是基于風(fēng)險(xiǎn)評估的安全管理方法 。 ? 信息系統(tǒng)的風(fēng)險(xiǎn) ， 不僅僅來自信息系統(tǒng)技術(shù)平臺的共性 ，還來自于特定的應(yīng)用服務(wù) 。 , March 31, 2023 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒有。 2023年 3月 31日星期五 下午 5時(shí) 56分 27秒 17:56: 1最具挑戰(zhàn)性的挑戰(zhàn)莫過于提升自我。 2023年 3月 31日星期五 5時(shí) 56分 27秒 17:56:2731 March 2023 1空山新雨后，天氣晚來秋。 :56:2717:56Mar2331Mar23 1故人江海別，幾度隔山川。 ?風(fēng)險(xiǎn)評估標(biāo)準(zhǔn) ?風(fēng)險(xiǎn)評估原則 ?風(fēng)險(xiǎn)評估策略 ?風(fēng)險(xiǎn)評估方法 –安全掃描 –人工審計(jì) –滲透測試 –調(diào)查問卷 –訪談?wù){(diào)研 ?風(fēng)險(xiǎn)評估工具 ?風(fēng)險(xiǎn)評估過程 ?項(xiàng)目過程控制 ?項(xiàng)目質(zhì)量控制 48 Professional Security Solution Provider 如何進(jìn)行風(fēng)險(xiǎn)評估 ?網(wǎng)絡(luò)接口之間 、 重要的網(wǎng)段之間是否實(shí)現(xiàn)了必要的訪問控制措施； ?網(wǎng)絡(luò)內(nèi)部是否最優(yōu)的劃分了 VLAN和不同的網(wǎng)段 ， 保證了每個(gè)用戶的最小權(quán)限原則； ?路由器 、 交換機(jī)等網(wǎng)絡(luò)設(shè)備的配置是否最優(yōu) ， 是否配置了安全參數(shù)； ?主機(jī)系統(tǒng)的安全配置策略是否最優(yōu) ， 是否進(jìn)行了安全增強(qiáng)； ?安全設(shè)備的接入方式是否正確 ， 是否最大化的利用了其安全功能而又占系統(tǒng)資源最小 ， 是否影響業(yè)務(wù)和系統(tǒng)的正常運(yùn)行 。 ? 弱點(diǎn)可能位于包括物理環(huán)境 、 組織機(jī)構(gòu) 、 業(yè)務(wù)流程 、 人員 、管理 、 硬件 、 軟件及通訊設(shè)施等各個(gè)方面 。 ?DIEM工程實(shí)施模型 ?通過嚴(yán)格的二級服務(wù)資質(zhì)評審 ?經(jīng)過 ISO9001認(rèn)證的服務(wù)過程 形成 積累 總結(jié) 培養(yǎng) **科技 NSPS 專業(yè)安全服務(wù)體系 10 Professional Security Solution Provider 專業(yè)安全服務(wù) 體系構(gòu)成 ? 部分服務(wù)用戶 – 中國電信 – 中國移動(dòng) – 中國聯(lián)通 – 銀河證券 – 華泰證券 – 山東通信 – 國家民政部 – 國家質(zhì)檢總局 – 山東通信 – ? 所獲榮譽(yù) – 2023值得信賴的服務(wù)品牌 – 2023中關(guān)村最佳客戶服務(wù)獎(jiǎng) – 2023值得信賴的服務(wù)品牌 – 2023值得信賴的服務(wù)品牌 NSPS 安全咨詢 ?日常安全咨詢 ?安全架構(gòu)設(shè)計(jì) ?安全體系設(shè)計(jì) 安全管理 ?安全問題通告 ?安全加固 ?補(bǔ)丁管理 ?緊急響應(yīng) 安全評估 ?全面風(fēng)險(xiǎn)評估 ?技術(shù)脆弱性評估 ?應(yīng)用安全評估 ?滲透測試 安全培訓(xùn) ?初級安全培訓(xùn) ?中級安全培訓(xùn) ?高級安全培訓(xùn) 安全外包 集中監(jiān)控 11 Professional Security Solution Provider **科技技術(shù)實(shí)力總結(jié) ? 面向全球提供具備核心競爭力的安全解決方案 ? 公司服務(wù)資質(zhì) – 國家安全服務(wù)資質(zhì) （ 二級 ） – 國家級公共互聯(lián)網(wǎng)應(yīng)急處理試點(diǎn)單位 – ISO9001質(zhì)量管理體系國際國內(nèi)雙認(rèn)證 ? 公司產(chǎn)品資質(zhì)