风险评估与安全加固手册.docxVIP

风险评估与安全加固手册

第1章总体架构与风险评估方法论

1.1风险评估范围界定与业务边界

首先明确评估对象为全业务域内的核心资产，依据《系统安全分级标准》将数据、服务器、应用系统及物理设施划分为高、中、低三个等级，确保评估覆盖率达到100%。界定业务边界时，需剔除非核心开发环境（如测试服务器）及已部署完毕且无数据变更的离线系统，重点聚焦于正在运行或计划上线的在线业务系统。

明确数据边界包含用户敏感信息（如身份证号、手机号）及业务逻辑数据，明确物理边界涵盖机房物理门禁、网络边界防火墙及云安全组策略。确定时间边界以评估窗口期为准，通常选取过去12个月的历史数据作为基线，并预留