風(fēng)險評估實施步驟簡介(編輯修改稿)
2025-07-21 12:03 本頁面
【文章內(nèi)容簡介】 團隊、評估方法、評估結(jié)果的形式和實施進度等；（2）風(fēng)險評估程序：明確評估的目的、職責(zé)、過程、相關(guān)的文件要求，并且準(zhǔn)備實施評估需要的文檔；（3）資產(chǎn)識別清單：根據(jù)組織在風(fēng)險評估程序文件中所確定的資產(chǎn)分類方法進行資產(chǎn)識別，形成資產(chǎn)識別清單，清單中應(yīng)明確各資產(chǎn)的責(zé)任人/部門；（4）重要資產(chǎn)清單：根據(jù)資產(chǎn)識別和賦值的結(jié)果，形成重要資產(chǎn)列表，包括重要資產(chǎn)名稱、描述、類型、重要程度、責(zé)任人/部門等； （5）威脅列表：根據(jù)威脅識別和賦值的結(jié)果，形成威脅列表，包括威脅名稱、種類、來源、動機及出現(xiàn)的頻率等；（6）脆弱性列表：根據(jù)脆弱性識別和賦值的結(jié)果，形成脆弱性列表，包括脆弱性名稱、描述、類型及嚴(yán)重程度等； （7）已有安全措施確認表：根據(jù)已采取的安全措施確認的結(jié)果，形成已有安全措施確認表，包括已有安全措施名稱、類型、功能描述及實施效果等；（8）風(fēng)險評估報告：對整個風(fēng)險評估過程和結(jié)果進行總結(jié)，詳細說明被評估對象，風(fēng)險評估方法，資產(chǎn)、威脅、脆弱性的識別結(jié)果，風(fēng)險分析、風(fēng)險統(tǒng)計和結(jié)論等內(nèi)容；（9）風(fēng)險處理計劃：對評估結(jié)果中不可接受的風(fēng)險制定風(fēng)險處理計劃，選擇適當(dāng)?shù)目刂颇繕?biāo)及安全措施，明確責(zé)任、進度、資源，并通過對殘余風(fēng)險的評價確保所選擇安全措施的有效性；（10）風(fēng)險評估記錄：根據(jù)組織的風(fēng)險評估程序文件，記錄對重要資產(chǎn)的風(fēng)險評估過程。評估內(nèi)容重要服務(wù)器的安全配置 登錄安全檢測；用戶及口令安全檢測；共享資源安全檢測；系統(tǒng)服務(wù)安全檢測；系統(tǒng)安全補丁檢測；日志記錄審計檢測；木馬檢測。安全設(shè)備 包括防火墻、入侵檢測系統(tǒng)、網(wǎng)閘、防病毒、桌面管理、審計、加密機、身份鑒別等；查看安全設(shè)備的部署情況。查看安全設(shè)備的配置策略；查看安全的日志記錄；通過漏洞掃描系統(tǒng)對安全進行掃描。通過滲透性測試檢安全配置的有效性。路由器 檢查操作系統(tǒng)是否存在安全漏洞；配置方面，檢測端口開放、管理員口令設(shè)置與管理、口令文件安全存儲形式、訪問控制表；是否能對配置文件進行備份和導(dǎo)出；關(guān)鍵位置路由器是否有冗余配置。物理環(huán)境 包括 UPS、變電設(shè)備、空調(diào)、門禁等。交換機 檢查安全漏洞和補丁的升級情況，各VLAN間的訪問控制策略；口令設(shè)置和管理，口令文件的安全存儲形式；配置文件的備份。風(fēng)險評估流程風(fēng)險評估流程包括系統(tǒng)調(diào)研、資產(chǎn)識別、威脅識別、脆弱性識別（包括現(xiàn)有控制措施確認）、風(fēng)險綜合分析以及風(fēng)險控制計劃六個階段。否是否是風(fēng)險評估準(zhǔn)備已有安全措施的確認風(fēng)險計算風(fēng)險是否接受保持已有的安全措施施施施選擇適當(dāng)?shù)陌踩胧┎⒃u估殘余風(fēng)險實施風(fēng)險管理脆弱性識別威脅識別資產(chǎn)識別是否接受殘余風(fēng)險 風(fēng)險分析評估過程文檔評估過程文檔風(fēng)險評估文件記錄評估結(jié)果文檔…………………系
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1