MR王峰的专栏

产生安全威胁的主要因素可以分为人为因素和环境因素。随后利用依据法律法规及规范、技术标准、政策要求形成的度量指标（度量指标分为组织建设度量指标、制度流程度量指标、技术工具度量指标、人员能力度量指标）与识别安全现状结果进行对标分析，形成安全评估报告，在对标分析过程中要保持客观性、独立性，真实性、完整性，一致性、谨慎性，条理清楚及判断准备。数据安全评估是指对重要数据、个人信息等数据资产的价值与权益、合规性、威胁、脆弱性、防护等进行分析和判断，以评估数据安全事件发生的概率和可能造成的损失，并采取相应的措施和建议。

一、系统建设背景 数据是石油、数据是血液、数据是业务的促进剂、数据是“大脑”运转所需的能量。数据在流动过程中产生的价值越来越高，也越来越多样化，与之而来的是，数据生命周期下的问题和风险也越发严重，作为监管部门，如何清晰了解被监管对象的数据安全整体防护能力，作为数据安全建设部门，如何直观化、全面化展示当前数据安全防护能力和清晰化未来数据安全建设方向和内容也越来越迫切。 《数据安全法》（草案）第二十八条明确了对重要数据的处理者应定期对其数据活动定期开展风险评估，并向有关主管部门报送...

完成了资产识别、脆弱性识别及威胁识别后（链接请见文章末尾处），我们可以采用适当的方法和工具确定威胁利用脆弱性导致安全事件发生的可能性。综合安全事件作用资产价值及脆弱性的严重程度，判断事件造成的损失及对组织的影响，即安全风险。风险分析原理本篇将从风险计算、风险结果判定、风险处置、风险评估四个方面进行介绍。一、风险计算形式及关键环节风险计算原理其范式形式如下：风险值=R（A,T...

上篇《基于数据安全的风险评估-脆弱性识别》，是从脆弱性识别内容、识别方式、脆弱性定级，三个部分进行介绍。与脆弱密切相关的是威胁，威胁是一种对组织及资产构成潜在破坏的可能性因素，威胁需要利用资产脆弱性才能产生危害。造成威胁的因素可分为人为因素（恶意和非恶意）和环境因素（不可抗力和其它）。本篇威胁性识别将从威胁来源、威胁识别与分类、威胁等级划分三个部分进行介绍。一、威胁来源在对威胁进行分类前，...

上篇文章《基于数据安全的风险评估-数据资产识别》内容为数据资产识别，数据资产识别是风险评估的开始，而脆弱性是对一个或多个资产弱点的集合，脆弱性识别也可称为弱点识别，而该弱点是资产本身存在的，如果没有威胁利用，单纯的弱点不会引发安全事件。威胁总是利用资产脆弱点才能造成破坏，这也是弱点和威胁的区别。本篇文章将从脆弱性识别内容、识别方式、脆弱性定级，三个部分进行介绍。一、脆弱性识别内容资产脆...

现今信息系统的风险评估体系已非常完善，但数据安全方面并没有形成相关评估内容，整个体系中缺少数据安全相关的检测与评估项，所以近期一直思考数据安全风险评估应是如何，应该从哪些方面进行检测与评估？威胁分类有哪些？脆弱性有哪些？如何与现有评估体系融合等问题。本文产生的目就是希望解决如上一系列数据安全风险评估疑问，尽可能从资产识别、威胁分类、脆弱性识别、风险计算、处置建议等5个环节进行完善，通过不断持续...