企业官网建设流程全解析

GB/T 20984-2007《信息安全技术 信息安全风险评估规范》

一、风险评估 4 大阶段【必背】

评估准备 → 风险要素识别 → 风险分析 → 风险处置

1. 评估准备：评估工作的起点，保障评估有效性
2. 风险要素识别：识别资产、威胁、脆弱性（核心！）
3. 风险分析：关联信息，计算风险值
4. 风险处置：给出处置建议，加固后评估残余风险

二、基本原则（4 条）

1. 标准性原则：按 GB/T20984-2007 流程实施
2. 关键业务原则：以关键业务为核心，相关系统作为评估重点
3. 可控性原则（4 个子项）
   • 服务可控性
   • 人员与信息可控性（签保密协议）
   • 过程可控性（项目组长负责制）
   • 工具可控性：评估工具、测试策略提前告知用户并获取许可
4. 最小影响原则在线业务评估优先保障稳定；攻击性测试要应急备份、避开业务高峰

三、风险要素识别（重中之重，选择题高频）

1. 资产识别

资产：对组织有价值的信息 / 资源，是安全策略保护对象。风险围绕资产存在。 ✅资产 6 大类：硬件、软件、数据、服务、人员、其他✅资产赋值维度：保密性、完整性、可用性（CIA），等级分 5 档：很高、高、中、低、很低✅资产调查方法：阅读文档、访谈人员、现场查看 ✅资产赋值报告内容：资产名称类别、CIA 赋值、资产价值、承载系统；价值计算方法；关键资产说明

2. 威胁识别

威胁：可能造成损害的潜在起因，客观存在。 ✅威胁 11 大类：软硬件故障、物理环境影响、无作为或操作失误、管理不到位、恶意代码、越权 / 滥用、网络攻击、物理攻击、泄密、篡改、抵赖。

威胁途径（4 种人为威胁手段，考题最爱区分）

1. 主动攻击：修改系统 / 信息。缓冲区溢出、木马病毒、DoS、篡改数据、重放。
2. 被动攻击：不改信息，只窃听侦察，很难发现。流量分析、嗅探、口令截获。
3. 邻近攻击：物理靠近设备。偷看屏幕、偷打印纸、破坏线路。
4. 分发攻击：软硬件生产 / 安装阶段植入后门，厂商预埋恶意功能。

补充：误操作：合法用户无意操作，非恶意，但是破坏系统。

威胁源分类

• 非人为：自然灾害（水灾、地震、火灾、雷击等）
• 人为：内部 / 外部；非恶意（误操作）、恶意攻击攻击者类型：恶意员工、独立黑客、有组织攻击者（竞争者、犯罪团伙、恐怖组织、外国政府）

3. 脆弱性识别【高频一句话考点】

、脆弱性核查（技术 + 管理两大类）

✅ 技术脆弱性核查（5 个方面）

1. 网络安全
   • 脆弱性：网络设备、网络架构安全缺陷
   • 分析维度：结构、功能、安全功能、性能分析；测试方法：白盒、黑盒、灰盒
   • 核查手段：查拓扑 / 策略配置文档、询问人员、硬件配置查看、漏洞扫描、流量 / 负载带宽测试、验证安全措施有效性
2. 主机系统安全
   • 脆弱性：硬件、操作系统、数据库、软件的安全缺陷；非法访问、抢占系统资源
   • 安全措施：身份鉴别、访问控制、安全审计、剩余信息保护、入侵防范、恶意代码防范、资源控制
   • 分析 & 测试：同样结构 / 功能 / 安全功能 / 性能；白 / 黑 / 灰盒测试
3. 应用系统安全
   • 脆弱性：业务应用系统漏洞；非法访问、抢占业务资源
   • 安全措施：身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性、抗抵赖、软件容错、资源控制
   • 核查手段：查阅需求 / 设计 / 测试文档、审查源代码、验证安全功能、日志分析、漏洞扫描、性能测试
4. 数据安全
   • 脆弱性：存储 / 传输安全缺陷；数据泄露、篡改破坏、不可用
   • 安全措施：数据完整性保护、保密性保护、备份与恢复
   • 核查方法：通信协议分析、数据破解、数据完整性校验
5. 物理安全（前面图片开头）

✅ 安全管理脆弱性核查（管理层面）

1. 安全管理组织：机构、岗位、人员配置、分工、职责是否清晰落地；核查看组织文件、活动记录
2. 安全管理策略：安全策略文件，核查全面性、合理性；询问人员，识别策略缺陷
3. 安全管理制度：制度体系完备性、发布 / 评审修订 / 落地执行情况；审查制度文件、执行记录
4. 人员安全管理：人员录用、培训、考核、离岗；外部人员访问控制；查阅记录、现场测试识别
5. 系统运维管理：物理环境、资产、密码、恶意代码、监控、变更、备份、应急；查阅制度、现场访谈、演示操作识别

脆弱性严重等级：很高、高、中等、低、很低，5 级，级别越高越严重。 脆弱性分析报告内容： ①资产存在的各种脆弱性 ②脆弱性特征及赋值（基本特征、时间特征、环境特征） ③计算脆弱性严重程度的方法 ④严重脆弱性说明 ⑤脆弱性之间的关联分析

二、风险分析阶段工作【高频考点】

1. 风险分析模型

三大基础要素：资产、威胁、脆弱性

• R：安全风险计算函数
• A：资产
• T：威胁
• V：脆弱性

模型逻辑

1. 威胁识别 → 威胁出现频率 →安全事件的可能性
2. 脆弱性识别 → 脆弱性严重程度
3. 资产识别 → 资产价值 →安全事件造成的损失

可能性 + 损失 共同计算得到风险值

建立模型两步： ① 威胁 ↔ 脆弱性关联：哪些威胁可以利用哪些脆弱性，判断安全事件发生可能性② 资产 ↔ 脆弱性关联：哪些资产存在漏洞，事件发生会造成多大损失

2. 风险计算两大类方法

1. 定性计算（考试最常考，工程最常用）将资产、威胁、脆弱性属性等级化赋值，用相乘 / 矩阵法算风险；实际项目中用的最多。
2. 定量计算量化财务价值计算风险；实操很难落地，很少使用。

3. 风险分析与评价

• 风险分析：对风险值等级化，风险值越高，风险等级越高；等级：很高、高、中等、低、很低（5 级，也可简化高 / 中 / 低三级）
• 风险评价：统计不同等级风险占比，判断系统总体风险状况

4. 风险评估报告

👉风险分析阶段的输出文档，是风险处置阶段关键依据 内容要点：风险对业务影响范围、影响程度、法规依据、风险评价结论。 用途：等级保护测评、安全检查、安全建设参考。

三、风险处置建议

1. 风险处置基本原则：适度接受风险根据组织可承受成本，将残余风险控制在可接受范围； ✘ 等保、行业特殊安全要求场景，不适用适度接受风险原则。

2. 4 种风险处置方式：接受、消减、转移、规避

   安全整改属于【消减】风险

3. 整改建议分级策略（简答题背诵） ① 非常严重，需立即降低，加固易实施 →立即整改② 非常严重，需立即降低，但加固难实施 → 制定整改方案，先监控 + 应急预案③ 比较严重，需降低，加固不易实施 →定期整改，前期监控

✅ 评估结束标志：评审会召开参会方：被评估组织、评估机构、专家

• 被评估组织：安全主管领导、业务 / 技术主管
• 评估机构：项目组长、评估人员
• 专家：行业专家、安全领域专家

四、项目各阶段输出文档（选择 / 案例必考）

五、评审会 & 残余风险

1. 评审意见专人记录专家意见；针对评估流程、风险模型计算方法、评估结论、全套文档提意见；评估机构根据意见修订报告，交付被评估组织，作为项目移交文档。
2. 残余风险整改完成后仍然剩余的风险； ✅ 残余风险评估目的：识别、控制、管理残余风险如果加固后残余风险仍不可接受 → 需要进一步加强安全措施。