网络安全风险评估技术原理与应用
网络安全风险评估概述
网络安全风险：由于网络系统所存在的脆弱性，因人为或自然威胁导致安全事件发生所造成的可能性影响
网络安全风险评估：评估威胁者利用网络资产的脆弱性，造成网络资产损失的严重程度。
网络安全风险值=安全事件发生概率（可能性）* 安全事件损失乘积
网络安全风险评估设涉及资产、威胁、脆弱性、安全措施、风险等各个要素，各要素之间相互作用
资产因其价值而受到威胁，威胁者利用资产脆弱性构成威胁
安全措施对资产进行保护，修补资产脆弱性，降低资产风险
风险评估模式
根据评估方与被评估方关系及网络资产所属关系
网络安全风险评估过程
网络安全风险评估环节
包括网络安全风险评估准备、资产识别、威胁识别、脆弱性识别、已有网络安全措施分析、网络安全风险分析、网络安全风险处置与管理等。
网站安全风险评估准备
网站评估范围
资产识别-识别步骤
威胁识别
脆弱性识别
通过各种测试方法，获得网络资产中所存在的缺陷清单
脆弱性识别以资产为核心，针对每项需要保护的资产，识别可能被威胁利用的弱点，并对脆弱性严重程度进行评估
识别依据：网络安全法律法规政策、国内外网络信息安全标准以及行业领域内网络安全要求。
对不同环境中相同弱点，脆弱性严重程度不同，应从组织安全策略角度考虑，判断资产脆弱性及其严重程度
网络安全风险处置与管理
针对网络系统存在的各种风险，给出具体风险控制建议，目标在于降低网络系统安全风险
对不可接受的相关风险，应根据导致该风险脆弱性指定风险处理计划
风险处理计划中明确应采取的弥补弱点的安全措施、预期效果、实施条件、进度安排、责任部门等
安全措施选择：管理+技术
安全措施选择与实施：参照信息安全相关标准进行
网络安全风险管控措施
- 制定明确安全策略
- 建立安全组织
- 实施网络资产分类控制
- 加强人员安全管理
- 保证物理实体和环境安全
- 加强安全通信运行
- 采取访问控制机制
- 进行安全系统开发与维护
- 保证业务持续运行
- 遵循法律法规、安全目标一致性检查
网络安全风险评估技术方法与工具
网络安全风险评估流程和工作内容
网络安全风险评估技术与应用
网络安全风险评估作用是主动掌握网络安全状况，以便于进行网络安全建设和防护
