什么是信息安全风险评估？企业如何做？

什么是信息安全风险评估？

信息安全风险评估是参照风险评估标准和管理规范，对信息系统的资产价值、潜在威胁、薄弱环节、已采取的防护措施等进行分析，判断安全事件发生的概率以及可能造成的损失，提出风险管理措施的过程。当风险评估应用于IT领域时，就是对信息安全的风险评估。

系统存在着脆弱性，就是我们常说的技术上的漏洞，可以被利用的漏洞，我们有时候讲脆弱性。再加上人为或自然的威胁，导致一些信息安全事件的发生的可能性及其造成的影响，特别是负面影响。也就是说脆弱性和威胁是原因，可能性和影响是结果，当然还有一些其他的要素。信息安全风险评估是指对信息系统及其处理的传输和存储的信息的保密性、完整性和可用性等安全属性进行科学识别和评价的过程。

风险评估从早期简单的漏洞扫描、人工审计、渗透性测试这种类型的纯技术操作，逐渐过渡到目前普遍采用国际标准的BS7799、ISO17799、国家标准《信息系统安全等级评测准则》等方法，充分体现以资产为出发点、以威胁为触发因素、以技术/管理/运行等方面存在的脆弱性为诱因的信息安全风险评估综合方法及操作模型。

风险评估的流程

进行风险评估是非常重要的，而且是对于专业性要求比较高的一件事，所以人们也都应该好好地注意好进行评估的各个步骤，每一个步骤都真实到位，才能够确保最终出来的评估效果是可靠、准确的，所以我们也都应该好好地去做好每一个步骤。

第一步：评估准备

1.项目成员人、工具包、访谈表单、流程

2.制定风险评估方案

3.了解应用系统、主机、数据库、网络环境、安全设备、组织架构、管理制度等。

第二步：技术评估

1.漏扫评估：对主机、网络设备、数据库、中间件(账户安全、访问控制、网络安全等27项)；

2.应用评估：安全功能、日常维护(身份认证、访问权限控制、传输安全等12项)；

3.渗透测试：业务系统、APP程序、微信小程序(信息泄露、注入漏洞、逻辑漏洞等15项)。

第三步：管理评估

1.技术管理评估：物理环境、通信与操作管理、访问控制、系统开发与维护、业务连续性。

2.组织管理评估：安全策略、组织安全、资产分类与控制、人员安全、符合性。

第四步：评估报告

1.列出在风险评估工作中，发现的重要资产分布、脆弱性分布及综合威胁分布。

2.详细描述发现的安全风险现状及评估分析结果。

3.提出相关风险控制方案，为之后的加固整改提出合理化建议。

信息安全进行风险评估的意义是什么？

在这个互联网时代，信息安全是每一家企业都应该重视的事情。要知道信息一旦被黑客攻下，那么带来的损失是无法衡量的。因此日常做好信息安全风险评估的工作是非常有必要的。下面我们来介绍一下它的意义有哪些吧。

能够及时发现信息安全中存在的主要问题和矛盾

我们知道，即使是日常使用的电脑也都要定期维护、查杀病毒，来确保安全使用。因此企业的系统更要注重日常的检查，才能及时分析确定系统风险及风险大小，进而采取合适的措施去减少、转移，有效避免风险或将风险控制在可以容忍的范围内，将中心数据进行更好的保护。

能够加强信息安全保障体系建设和管理

要知道所有的信息安全建设都离不开风险评估。也就是说，它是安全信息建设的基础所在。因为只有正确的全面的了解了风险后，才能在怎么控制风险这个问题上做出正确合理的判断。比如调动什么样的资源、付出什么样的代价，采取怎么样样的措施去控制、转移等等。另外，信息安全建设得基于一定的实际去出发，才能更好的去规避风险。要知道风险总是客观存在的，那么如何去规避，需要具体问题具体分析。