南京宏海科技有限公司

信息安全风险评估

COMMUNITY

信息安全风险评估是信息安全保障的基础性工作和重要环节,贯穿于网络和信息系统建设运行的全过程。
服务提供者通过对信息系统提供风险评估服务,系统地分析网络与信息系统所面临的威胁及其存在的脆弱性,评估安全事件一旦发生可能造成的危害程度,提出有针对性的抵御威胁的防护对策和安全整改措施,防范和消除信息安全风险,或将风险控制在可接受的水平,为网络和信息安全保障提供科学依据。

企业对信息系统依赖性不断增强,而且存在无处不在的安全威胁和风险,从组织自身业务的需要和法律法规的要求的角度考虑,更加需要增强对信息风险的管理。风险评估是风险管理的基础,风险管理要依靠风险评估的结果来确定随后的风险控制和审核批准活动,使得组织能够准确“定位”风险管理的策略、实践和工具。从而将安全活动的重点放在重要的问题上,选择成本效益合理的、适用的安全对策。
风险评估可以明确信息系统的安全现状,确定信息系统的主要安全风险,是信息系统安全技术体系与管理体系建设的基础。

风险评估的步骤:
步骤1:描述系统特征
步骤2:识别威胁(威胁评估)
步骤3:识别脆弱性(脆弱性评估)