風(fēng)險評估是風(fēng)險管理的根本依據(jù)，是對現(xiàn)有網(wǎng)絡(luò)的安全性進行分析的手資料，也是網(wǎng)絡(luò)安全領(lǐng)域內(nèi)重要的內(nèi)容之一。企業(yè)在進行網(wǎng)絡(luò)安全設(shè)備選型、網(wǎng)絡(luò)安全需求分析、網(wǎng)絡(luò)建設(shè)、網(wǎng)絡(luò)改造、應(yīng)用系統(tǒng)試運行、內(nèi)網(wǎng)與外網(wǎng)互聯(lián)、與第三方業(yè)務(wù)伙伴進行網(wǎng)上業(yè)務(wù)數(shù)據(jù)傳輸、電子政務(wù)等業(yè)務(wù)之前，進行風(fēng)險評估會幫助組織在一個安全的框架下進行組織活動。它通過風(fēng)險評估來識別風(fēng)險大小，通過制定信息安全方針，采取適當(dāng)?shù)目刂颇繕?biāo)與控制方式對風(fēng)險進行控制，使風(fēng)險被避免、轉(zhuǎn)移或降至一個可被接受的水平。
風(fēng)險評估準(zhǔn)備是整個風(fēng)險評估過程有效性的保證。由于風(fēng)險評估受到組織的業(yè)務(wù)戰(zhàn)略、業(yè)務(wù)流程、安全需求、系統(tǒng)規(guī)模和結(jié)構(gòu)等方面的影響，因此，在風(fēng)險評估實施前，應(yīng)充分做**估前的各項準(zhǔn)備工作。信息安全風(fēng)險評估涉及組織內(nèi)部有關(guān)重要信息，被評估組織應(yīng)慎重選擇評估單位、評估人員的資質(zhì)和，并遵從國家或行業(yè)相關(guān)管理要求。
在準(zhǔn)備階段需要做的工作內(nèi)容如下：
① 確定評估目標(biāo)；
② 確定評估范圍；
③ 組建評估團隊；
④ 評估工作啟動會議；
⑤ 系統(tǒng)調(diào)研；
⑥ 確定評估依據(jù)和評估方法；
⑦ 選擇相應(yīng)的評估工具；
⑧ 制定評估方案。

信息安全風(fēng)險評估很多時候是用來了解信息系統(tǒng)目前當(dāng)前的網(wǎng)絡(luò)安全防御能力和判斷是否存在一些已知的安全隱患。對于企業(yè)網(wǎng)絡(luò)安全風(fēng)險和信息泄露風(fēng)險有很大的幫助。
風(fēng)險評估是為了查找并發(fā)現(xiàn)信息系統(tǒng)、IT環(huán)境、工作流程中存在的安全風(fēng)險并進行修補，安全隱患，其實際意義包括：
1、通過資產(chǎn)發(fā)現(xiàn)、脆弱點掃描等技術(shù)手段，對現(xiàn)有應(yīng)用系統(tǒng)、網(wǎng)絡(luò)、主機及工作環(huán)境進行的掃描發(fā)現(xiàn)和統(tǒng)計現(xiàn)有資產(chǎn)信息(包括設(shè)備、流程、制度等)，從資產(chǎn)管理角度發(fā)現(xiàn)僵尸設(shè)備，從系統(tǒng)安全性角度發(fā)現(xiàn)隱藏的安全漏洞，了解系統(tǒng)的脆弱性;
根據(jù)資產(chǎn)發(fā)現(xiàn)的結(jié)果進行風(fēng)險掃描，可針對特定漏洞實時進行排查，形成風(fēng)險評估表，計算風(fēng)險的嚴(yán)重性并加以改進和加固。經(jīng)過上述一系列系統(tǒng)信息安全建設(shè)，能夠在很大程度上提高信息系統(tǒng)的系統(tǒng)安全性和業(yè)務(wù)連續(xù)性。
2、通過安全評估和脆弱性分析，制定適合企業(yè)客觀條件、實際業(yè)務(wù)的安全策略、制度和目標(biāo);
通過安全風(fēng)險評估，掌握信息系統(tǒng)的安全現(xiàn)狀，提出安全解決建議；結(jié)合企業(yè)客觀現(xiàn)狀和業(yè)務(wù)需求，制定有針對性的安全策略和短期、長期可落地的信息安全目標(biāo)；協(xié)助進行企業(yè)信息安全體系制度的建設(shè)與落地；提出有實際意義的信息安全體系建設(shè)方針；將安全評估的結(jié)果作為下一階段工作的數(shù)據(jù)基礎(chǔ)；完成安全加固工作；網(wǎng)絡(luò)架構(gòu)、主機安全、中間件及數(shù)據(jù)庫安全、WEB安全和安全管理是安全評估的。

企業(yè)在做信息安全風(fēng)險評估的時候，需要注意這些內(nèi)容
1、風(fēng)險評估不應(yīng)局限于信息化系統(tǒng)和網(wǎng)絡(luò)
風(fēng)險評估所囊括的范圍，應(yīng)該包括企業(yè)運營所涉及到的全部單元，不僅僅是網(wǎng)絡(luò)環(huán)境、信息系統(tǒng)，還應(yīng)包括各類信息化設(shè)備、流程、制度及人員。
2、風(fēng)險評估，不是為了評估而評估
風(fēng)險評估，是為了不斷提高企業(yè)的信息和網(wǎng)絡(luò)安全水平和成熟度，從而變被動防御為主動出擊。
3、注重人員安全意識的培養(yǎng)
很多企業(yè)、公司在信息安全上投入大量的資金，終導(dǎo)致數(shù)據(jù)泄露的原因，往往卻是發(fā)生在人本身。企業(yè)，是由人組成的，因此提高人員的安全意識尤為重要。

信息安全風(fēng)險評估的目的是幫助企業(yè)了解系統(tǒng)目前和未來的風(fēng)險所在，評估這些風(fēng)險可能帶來的安全威脅與影響程度，降低風(fēng)險帶來的損失；也為企業(yè)制定安全策略、建設(shè)和維護信息系統(tǒng)提供有力的依據(jù)。同時通過第三方的評估，也會讓企業(yè)的客戶提高對該企業(yè)所提供的信息技術(shù)產(chǎn)品和系統(tǒng)可靠性的信心，增強企業(yè)及其產(chǎn)品的競爭力。
我們本著“以信為天，以誠為本”的經(jīng)營理念為宗旨，用熱忱、優(yōu)良的服務(wù)，讓顧客滿意。堅守“以人為本、以誠取信、以質(zhì)取勝、以新爭天下”的質(zhì)量方針和“正正直直做人，踏踏實實做事”的企業(yè)精神。
http://www.js-alpha.com