网络安全测试与评估

网络安全测试与评估是依据相关的安全技术和国家标准，对网络信息系统及由其处理、存储和传输的信息，其内容的可用性、完整性和机密性等属性进行全面分析和评价的过程。根据评估系统面临的威胁、资产存在的脆弱性、系统被威胁后所带来的负面影响、风险事件发生的可能性以及负面影响程度等方面来分析网络系统的安全风险，同时提出合理的防护对策和整改措施，将风险控制在可接受的范围内。网络安全评估的用途广泛，不仅仅可以对整个网络进行评估，也可以对企业的局域网、系统进行局部性的评估。

网络安全控制涵盖预防性控制、侦测控制、纠正性控制三个方面。

风险评估(Risk Assessment)的目的

风险(Risk)是威胁因素(Threat Agent)利用漏洞(Vulnerability)使威胁(Threat)成为现实，从而让资产(Asset)受到影响(Impact)的潜在可能。

识别系统面临的威胁(Threat)
判断这种威胁转变成现实后可能带来的影响(Impact)
判断这种转变的可能性或难易度(Probability)

网络安全风险评估的步骤

前期进行主要为了做安全加固：
资产识别/系统分析 > 威胁分析 > 识别风险 > 制定消减措施 > 产品响应
后期进行主要为了做安全测试来检验安全效果(审计/稽核)：
资产识别/系统分析 > 威胁分析 > 安全测试设计 > 安全测试执行 > 安全问题定级 > 制定消减措施 > 产品响应

woflink · 网络安全测试与评估