信息安全风险评估.docxVIP

信息安全风险评估

信息安全风险评估是识别、分析、评价信息系统及业务流程中潜在安全隐患，为安全防护策略制定、资源投入决策提供数据支撑的核心基础性工作，其实施过程需严格贴合《信息安全技术信息安全风险评估规范》（GB/T20984-2022）、《网络安全等级保护测评要求》（GB/T28448-2019）、《关键信息基础设施安全保护条例》等公开标准与法规要求，覆盖资产、威胁、脆弱性、已有安全措施四个核心要素，最终实现风险的可度量、可管控、可追溯。

1.核心范畴与合规要求

信息安全风险评估的覆盖范围不再局限于传统办公系统、业务管理系统，已扩展至工业控制系统、云计算平台、大数据平台、物联网系统、移动互联网应用5类新兴场景，按照实施主体可分为自评估、第三方评估两类，不同场景下的实施频率、资质要求均有明确规范。

从合规要求来看，二级等保保护对象每2年需开展至少1次全面风险评估，三级及以上等保保护对象每年需开展至少1次全面风险评估；关键信息基础设施运营者每年需开展至少2次全面风险评估，其中渗透测试、供应链风险专项评估每半年不少于1次。自评估需由单位内部具备信息安全专业能力的团队开展，每季度需针对新上线业务、新变更配置、新爆发的高危漏洞开展1次增量评估；第三方评估需由具备CNAS检测资质、网络安全等级保护测评资质或CCRC二级及以上信息安全服务资质的机构承接，参与评估的核心人员需持有CISP、