信息系统安全风险评估，让风险看得见！

信息安全风险管理依据等级保护的思想和适度安全的原则，平衡成本与效益，合理部署和利用信息安全的信任体系、监控体系和应急处理等重要的基础设施，确定合适的安全措施，从而确保机构具有完成其使命的信息安全保障能力。亿林依据《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）、《国家网络与信息安全协调小组关于开展信息安全风险评估工作的意见》（国信办[2006]5号）、GB/T 20984-2022《信息安全技术 信息安全风险评估方法》等标准规范，进行信息系统安全保障能力级的符合性测评。

风险评估涉及资产、威胁、脆弱性三个基本要素。每个要素有各自的属性，资产的属性是资产价值；威胁的属性可以是威胁主体、影响对象、出现频率、动机等；脆弱性的属性是资产弱点的严重程度。

风险评估要素：

信息资产价值：软件、硬件、数据、服务、人员等。

威胁可能性：任何可能发生的、为组织或某种特定资产带来所不希望的或不想要结果的事情。

弱点/脆弱性：资产中的弱点或防护措施/对策的缺乏被称为脆弱性。

安全措施：能消除脆弱性或对付一种或多种特定威胁的任何方法。

现场评估实施结束后，亿林团队根据各个评估项的结果记录进行评估分析，汇总评估结果，并进行整体评估分析，从而形成合理、可信任的评估结论，最后完成评估报告的编制及建议。

GB/T 20984-2022《信息安全技术 信息安全风险评估方法》指出：

风险评估应贯穿于评估对象生命周期各阶段中。评估对象生命周期各阶段中涉及的风险评估原则和方法是一致的，但由于各阶段实施内容、对象、安全需求不同，使得风险评估的对象、目的、要求等各方面也有所不同。在规划设计阶段，通过风险评估以确定评估对象的安全目标:在建设验收阶段，通过风险评估以确定评估对象的安全目标达成与否:在运行维护阶段，要持续地实施风险评估以识别评估对象面临的不断变化的风险和脆弱性，从而确定安全措施的有效性，确保安全目标得以实现。因此，每个阶段风险评估的具体实施应根据该阶段的特点有所侧重地进行。

#风险评估##等保测评#