山东第三方安全评估方案免费咨询「多面魔方」

-风险评估的依据是什么

风险评估工作主要遵循以下评估依据，并作为评估工作实施的指导文件，部分评估内容将参考或借鉴指导文件内容。

1) 《---法》

2) 《网络与信息安全协调小组<关于开展信息安全风险评估->;》国信办[2006]5 号

3) 《信息安全技术 信息安全风险评估规范》 gb/t 20984-2007

4) 《信息安全技术 信息安全风险评估实施指南》 gb/t 31509-2015

5) 《信息安全技术 信息安全事件分类分级指南》 gb/z 20986-2007

6) 《计算机场地通用规范》 gb/t 2887-2011

7) 《信息技术 安全技术 信息安全控制实践指南》 gb/t 22081-2016

8) 《信息技术 安全技术 信息安全风险管理》 gb/t 31722-2015

9) 《信息安全技术 数据库管理系统安全技术要求》 gb/t 20273-2019

10) 《信息安全技术 网络基础安全技术要求》 gb/t 20270-2006

11) 《信息安全技术 信息系统通用安全技术要求》 gb/t 20271-2006

12) 《信息安全技术 -等级保护测评要求》 gb/t 28448-2019

13) 《信息技术 安全技术 信息安全管理体系要求》 iso/iec 27001:2013

14) 《信息技术 安全技术 信息安全风险管理》 iso/iec 27005:2018

15) 《信息技术安全评估准则》 iso/iec 15408

做风险评估会带来什么收益

1、资产识别

      帮助您对组织内资产进行梳理，针对在传统资产清理过程中，比较容易被忽略的数据资产，服务资产等，使客户从原有的固定资产保护，提升为信息资产保护。

      帮助您进行组织内资产的分级管理，通过定量分析，明确各信息系统对客户的重要程度，通过有效整合信息系统的安全需求，在有限的资源环境下，-的提高客户的信息安全水平。

2、平衡安全风险和成本

      帮助您在安全建设过程中综合平衡安全风险与成本代价，信息安全工作的主要目标就是实现在较低资源消耗的情况下，达到较高的安全水平。通过对发现的问题和风险进行管理，提供方案建议，使客户避免投入大量资源，但安全工作仍迟迟不见起色的现象。

3、风险识别

     对关键信息资产进行梳理，识别资产的重要性；清晰自身所面临的威胁及其威胁方式方法，便于有针对性地防护。认识自身存在的脆弱性不足，能够有目的性的进行补遗-。同时可以了解网络与信息系统的安全状况，了解自身存在信息安全管理漏洞。

如何保障风险评估服务的效果

为-信息系统的正常运行，并且-安全风险评估效果，评估工作将严格遵循以下原则：

标准化原则

严格遵守和行业的相关法规、标准，并参考国际的标准来实施。

 业务-原则

风险评估主要围绕信息系统所承载业务开展工作，其保障信息系统所承载的业务和业务数据，这种以业务为-的思想将贯穿整个安全风险评估过程的各个阶段。

 规范性原则

制订严谨的工作方案，通过规范的项目管理在人员、项目实施环节、保障和时间进度等方面进行严格-。

保密性原则

-所涉及到用户的任何保密信息，不会泄露给第三方单位或个人，不得利用这些信息损害用户利益。

降低影响原则

评估工作实施对系统和网络的正常运行可能造成的影响得到降低，不对网络系统和业务应用的正常运行产生-影响，同时在工作实施前做好备份和应急措施。

 互动性原则

与用户安全管理员、系统管理员、普通用户等相关工作人员共同参与项目实施的整个过程，从而-项目执行的效果并提高用户的安全技能和安全意识。