信息安全風(fēng)險(xiǎn)評(píng)估主要內(nèi)容依據(jù)國家標(biāo)準(zhǔn)GB/T20984-2007，應(yīng)至少包括：
| 項(xiàng)目 | 簡(jiǎn)要描述 | |
| 資產(chǎn)識(shí)別 | 資產(chǎn)數(shù)據(jù)采集 | 確定信息系統(tǒng)的資產(chǎn) |
| 資產(chǎn)分類識(shí)別 | 根據(jù)資產(chǎn)使用模式、訪問點(diǎn)等屬性，對(duì)其進(jìn)行分類 | |
| 資產(chǎn)賦值 | 根據(jù)資產(chǎn)在保密性、完整性和可用性方面的損失所引發(fā)的業(yè)務(wù)影響程度，對(duì)其價(jià)值進(jìn)行估值 | |
| 威脅識(shí)別 | 威脅數(shù)據(jù)采集 | 確定信息系統(tǒng)每項(xiàng)資產(chǎn)所面臨的的安全威脅 |
| 威脅分類識(shí)別 | 根據(jù)威脅來源，對(duì)標(biāo)識(shí)出的威脅進(jìn)行分類 | |
| 威脅賦值 | 根據(jù)威脅發(fā)生的可能性和頻度對(duì)其進(jìn)行估價(jià) | |
| 物理脆弱性識(shí)別 | 環(huán)境 | 從場(chǎng)地、供電、監(jiān)控等環(huán)境方面進(jìn)行脆弱性識(shí)別 |
| 系統(tǒng) | 從設(shè)備標(biāo)識(shí)、標(biāo)記、布局等方面進(jìn)行脆弱性識(shí)別 | |
| 設(shè)備 | 從系統(tǒng)備份、設(shè)備管理、性能管理的等方面進(jìn)行脆弱性識(shí)別 | |
| 網(wǎng)絡(luò)脆弱性識(shí)別 | 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) | 從接入方式、子網(wǎng)劃分、入侵檢測(cè)措施等方面進(jìn)行脆弱性識(shí)別 |
| 網(wǎng)絡(luò)通訊基礎(chǔ)設(shè)施 | 從訪問控制措施、遠(yuǎn)程維護(hù)、審計(jì)策略等方面進(jìn)行脆弱性識(shí)別 | |
| 網(wǎng)絡(luò)數(shù)據(jù)傳輸安全體系 | 從SSL協(xié)議配置、傳輸安全機(jī)制等方面進(jìn)行脆弱性識(shí)別 | |
| 網(wǎng)絡(luò)安全基礎(chǔ)設(shè)施 | 從訪問控制措施、遠(yuǎn)程維護(hù)、審計(jì)策略等方面進(jìn)行脆弱性識(shí)別 | |
| 系統(tǒng)脆弱性識(shí)別 | 操作系統(tǒng)系統(tǒng) | 從系統(tǒng)維護(hù)方式、口令策略、網(wǎng)絡(luò)服務(wù)配置等方面進(jìn)行脆弱性識(shí)別 |
| 應(yīng)用服務(wù)器系統(tǒng) | 從系統(tǒng)維護(hù)方式、口令策略、系統(tǒng)資源配置等方面進(jìn)行脆弱性識(shí)別 | |
| 數(shù)據(jù)庫服務(wù)器系統(tǒng) | 從訪問控制策略、用戶配置、審計(jì)策略等方面進(jìn)行脆弱性識(shí)別 | |
| 應(yīng)用脆弱性識(shí)別 | 系統(tǒng)設(shè)計(jì)安全性識(shí)別 | 從應(yīng)用程序設(shè)計(jì)、工程實(shí)現(xiàn)等方面進(jìn)行脆弱性識(shí)別 |
| 業(yè)務(wù)功能脆弱性識(shí)別 | 從業(yè)務(wù)邏輯、功能實(shí)現(xiàn)等方面進(jìn)行脆弱性識(shí)別 | |
| 系統(tǒng)工程實(shí)現(xiàn)脆弱性識(shí)別 | 從系統(tǒng)工程設(shè)計(jì)與實(shí)現(xiàn)、安全功能等方面進(jìn)行脆弱性識(shí)別 | |
| 管理脆弱性識(shí)別 | 組織機(jī)構(gòu) | 從崗位設(shè)置、人員配置、審核等方面進(jìn)行脆弱性識(shí)別 |
| 人員管理 | 從人員錄用離崗、文檔資料等方面進(jìn)行脆弱性識(shí)別 | |
| 制度管理 | 從總體方針和安全策略、制度的修訂和發(fā)布等方面進(jìn)行脆弱性識(shí)別 | |
| 安全策略 | 從總體安全策略、測(cè)試與驗(yàn)收策略、備份與恢復(fù)策略等方面進(jìn)行脆弱性識(shí)別 | |
| 系統(tǒng)建設(shè) | 從工程實(shí)施、項(xiàng)目變更、系統(tǒng)交付等方面進(jìn)行脆弱性識(shí)別 | |
| 系統(tǒng)運(yùn)維 | 從網(wǎng)絡(luò)安全管理、病毒和惡意代碼管理、密碼管理等方面進(jìn)行脆弱性識(shí)別 | |
| 已有安全措施優(yōu)先性識(shí)別 | 預(yù)防性措施 | 識(shí)別威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性 |
| 保護(hù)性措施 | 識(shí)別減少安全事件發(fā)生后對(duì)組織或系統(tǒng)造成的影響 | |
| 風(fēng)險(xiǎn)分析 | 風(fēng)險(xiǎn)值計(jì)算 | 采用適當(dāng)?shù)姆椒ㄅc工具確定威脅利用脆弱性導(dǎo)致安全事件發(fā)生的可能性 |
| 風(fēng)險(xiǎn)結(jié)果判定 | 量化風(fēng)險(xiǎn)，風(fēng)險(xiǎn)處理計(jì)劃，殘余風(fēng)險(xiǎn)評(píng)估 | |
信息安全風(fēng)險(xiǎn)評(píng)估
安賽咨詢擁有一批來自HP，IBM等國內(nèi)國際公司的資深信息安全顧問及國際和國內(nèi)知名認(rèn)證公司的資深審核人員組成的服務(wù)團(tuán)隊(duì)。所有信息安全從業(yè)人員均具有10年以上的企業(yè)信息安全咨詢服務(wù)經(jīng)驗(yàn)。所有人員均具有ISO20000 LA、ISO27001 LA、ISO22301 LA、CISP、CISAW、CIW、 COBIT、ITIL Expert、注冊(cè)審核員、注冊(cè)咨詢師等資質(zhì)。另外安全服務(wù)人員具有不同的背景專長(zhǎng)，技能能夠覆蓋信息安全涉及的方方面面。
我們服務(wù)的客戶包括政府、金融、電信、制造、電力、互聯(lián)網(wǎng)和流程外包行業(yè)，在信息技術(shù)咨詢服務(wù)方面是專注的實(shí)踐者，積累了深厚的實(shí)施經(jīng)驗(yàn) 。是具有CMMI、ISO27001 和ISO20000、ISO22301、ISO9001等多體系集成及技術(shù)實(shí)現(xiàn)能力的咨詢專家。
安賽咨詢將“幫助企業(yè)形成可持續(xù)發(fā)展的核心競(jìng)爭(zhēng)優(yōu)勢(shì)”為己任，秉承“誠信、求實(shí)、創(chuàng)新”的經(jīng)營宗旨，堅(jiān)持“客戶導(dǎo)向、結(jié)果導(dǎo)向、價(jià)值導(dǎo)向”的服務(wù)特色，形成了以“品牌、知識(shí)、人才、執(zhí)行”為核心的競(jìng)爭(zhēng)能力。我們專注于為企業(yè)提供：
流程規(guī)范與落地實(shí)施
管理體系建立（ISO9001)
流程梳理與優(yōu)化、組織管理
IT治理
IT規(guī)劃、數(shù)據(jù)治理、風(fēng)險(xiǎn)評(píng)估、安全加固
信息化建設(shè)標(biāo)準(zhǔn)、滲透測(cè)試服務(wù)、IT審計(jì)
信息安全/隱私安全管理
信息安全管理體系建設(shè)（ISO27001）
隱私安全管理體系建設(shè)（ISO27701、ISO29151)
信息安全規(guī)劃、基礎(chǔ)架構(gòu)安全、數(shù)據(jù)安全
合規(guī)體系建立（GDPR、CPAA、信息安全管理?xiàng)l例）
信息技術(shù)服務(wù)管理
信息技術(shù)服務(wù)管理體系建設(shè)（ISO20000）
IT服務(wù)戰(zhàn)略、運(yùn)營和操作
業(yè)務(wù)連續(xù)性管理
業(yè)務(wù)連續(xù)性管理體系（ISO22301）
BCM、容災(zāi)規(guī)劃、應(yīng)急響應(yīng)
安賽咨詢?cè)谧稍兎?wù)過程中，堅(jiān)持將管理理論的創(chuàng)新成果與現(xiàn)代信息技術(shù)發(fā)展的最新成就相結(jié)合，與企業(yè)共同探討和解決發(fā)展中存在的問題。我們所提供的管理模式、業(yè)務(wù)流程、現(xiàn)代管理技術(shù)、信息集成技術(shù)和服務(wù)，將為企業(yè)提供切實(shí)可行的解決方案，幫助企業(yè)在現(xiàn)實(shí)的環(huán)境下快速達(dá)到可度量的商業(yè)價(jià)值，提升企業(yè)的市場(chǎng)競(jìng)爭(zhēng)力、管理水平和管理績(jī)效。
信息安全咨詢公司