軟件系統風險評估服務方案常用指南「多面魔方」

安全評估服務——網絡安全評估

　　在信息化建設中，往往要對所采購的貨物、工程和服務等就是否滿足網絡需求進行評估。這里我們將被評估的對象分為貨物、工程和服務等，是引用《采購法》中的類別。當然，也可以采用不同的類別，不論如何分類，為了滿足網絡安全的需求，除了對它們進行常規指標（如運算速度、容量、價格……）的評估外，還需要進行專門的評估，目前這方面通常提出的要求是“自主可控、可靠”。也有人員提出要求“自主可控、可信”，這兩種提法很接近，是否需要加以細分還有待于研究。

網絡安全風險評估的必要性

       網絡與信息安全形勢近年發生了巨大變化，以云計算、大數據、物聯網、工業互聯網、移動互聯網為代表的新技術得到了快速應用，科技變革給人們的生活帶來諸多便捷的同時，也帶來了更多的信息安全隱患和安全挑戰。縱觀近幾年國內外網絡與信息安全態勢，可以發現網絡安全事件發生頻率整體呈上升趨勢，安全態勢變得越來越復雜。LS病毒、挖礦病毒、可延續多年的 APT 攻擊、暗網傳播的大量 0day 漏洞以及個人信息泄露等安全問題讓各大組織面臨著挑戰，也嚴重威脅到國家的網絡空間安全。

      同時，《中華人民共和國網絡安全法》（簡稱《網絡安全法》）于 2016 年 11 月 7 日發布，自 2017 年 6 月 1 日起施行。《網絡安全法》提出鼓勵、開展、建立運營單位的網絡與信息安全評估活動、建立健全風險評估體系等系列要求。 2019 年 5月 10 日，GB/T 28448-2019《信息安全技術 網絡安全等級保護測評要求》正式頒布，自 2019 年 12 月 1 日起施行。加上已于 2015 年 5 月 15 日發布， 2016 年 1 月 1 日實施的 GB/T 31509-2015《信息安全技術 信息安全風險評估實施指南》，自此， 近年來陸續發布的具有先進性和前瞻性的國家法律和標準，為各類識別網絡安全風險的評估活動提出了進行風險評估工作的要求。

選擇風險評估服務商應該考慮哪幾點

7、標準化項目管理

風險評估項目團隊將與客戶保持密切的交流和溝通，以保障實施過程中系統的安全性及穩定性。風險評估的實施和管理以國內實施規范和國內化的項目管理規范為指引，指導整個風險評估項目的實施過程， 確保高水平、高標準、高質量的完成風險評估項目交付，為用戶提供更高滿意度的服務。