《网络安全风险评估培训》

《合规无小事，隐患零容忍》

——副标题： 网络安全风险评估培训 主讲：孙灵平老师

【课程背景】

随着网络安全合规监管日趋常态化、严格化，等级保护测评、网信安全专项检查、单位内部安全自查已成为政企信息化部门的刚性常态化工作。风险评估作为网络安全合规建设的前置核心工作，是隐患排查、风险管控、安全整改、合规闭环的基础依据，风险评估的规范性、完整性、准确性，直接决定单位合规通过率与安全考核成绩。

但在企业常态化风险评估与自查工作中，绝大多数信息化、安全岗位人员普遍存在共性难题：

风险评估无标准依据，仅凭个人经验主观判断，评估结果不规范、无法用于合规迎检；

风险识别维度单一，只排查技术漏洞，遗漏管理风险、制度风险与人员合规风险；

风险排查碎片化，资产梳理不完整，导致隐患排查不全、风险漏判、长期遗留；

不会标准化风险分析，无法区分风险发生概率与危害程度，整改优先级混乱；

风险评级无统一标尺，高低风险界定模糊，高危风险遗留造成安全事件隐患；

评估与合规脱节，风险无法对标等保条款，整改无依据、台账无闭环、迎检易扣分。

本课程基于GB/T 20984国标风险评估全生命周期理念，结合等保2.0合规要求与行业真实自查场景，通过标准解读、误区剖析、方法拆解、实战落地的授课模式，搭建完整、规范、可落地的风险评估体系，帮助学员彻底摆脱“经验式自查”，实现评估有依据、识别无遗漏、分析有逻辑、评级有标准、整改有闭环

【课程收益】

系统掌握GB/T 20984、等保2.0风险评估合规标准，厘清风险评估专业定义、流程规范与管控原则，统一企业内部评估工作口径。

熟练掌握全维度资产盘点方法，建立标准化资产台账，实现网络、主机、系统、数据、管理资产全覆盖，杜绝资产遗漏。

掌握威胁识别、脆弱性识别的完整实操方法，覆盖技术、管理、人员、合规全维度风险，实现隐患无死角排查。

掌握风险概率、影响度的量化分析逻辑，熟练运用定性、定量、半定量分析方法，精准研判风险根源与危害等级。

熟练掌握风险矩阵评级工具与四级风险分级标准，彻底解决主观评级、错级、漏级问题，实现风险等级标准化判定。

明确高、中、低风险差异化管控策略，建立“高危清零、中危整改、低危管控”的标准化整改闭环体系。

【课程对象】网络安全运维人员、系统管理员、合规风控人员、信息化管理人员、安全自查与测评对接人员

【课程时间】0.5天（6小时/天）

【课程大纲】

一、风险评估标准体系——合规依据与规范框架搭建

1. 风险评估核心价值：

合规刚需、隐患前置、风险可控、考核兜底的四大核心作用

2. 风险评估五大核心术语标准化定义：

资产

威胁

脆弱性

风险

残余风险

3. 风险评估四大核心原则：

全面性、客观性、动态性、合规性实操落地要求

二、全维度风险识别——资产、威胁、脆弱性全覆盖排查

1、资产确认：

网络设备：边界防火墙、上网行为管理、VPN、入侵防御IPS、核心/汇聚/接入交换机、路由器、负载均衡、堡垒机、无线AC/AP等所有组网及安全防护设备；重点核查设备台账、版本信息、策略配置、在线状态。

主机服务器资产：

物理服务器、Linux/Windows服务器、虚拟化主机、云服务器、数据库服务器、存储设备、运维管理主机、工控主机；覆盖生产区、办公区、DMZ区所有算力设备。

业务系统资产：

官方门户网站、OA办公系统、财务系统、人事系统、业务审批平台、CRM业务管理系统、档案系统、自研业务平台、第三方上线应用、APP/小程序后台服务。

核心数据资产：

用户敏感信息、业务交易数据、财务涉密数据、审批归档数据、系统配置数据、备份数据、日志审计数据、内部公文资料、员工身份信息等需合规保护的核心数据。

安全管理资产：

安全管理制度、运维流程规范、权限管理制度、应急预案、演练台账、安全培训记录、日常巡检记录、自查整改台账、日志留存制度、资产台账、年度评估报告等所有合规纸质/电子台账资料。

2. 资产分级精细化判定与差异化评估策略

核心资产：承载核心业务、存储敏感数据、一旦出事直接造成业务瘫痪、数据泄露、重大合规事故（如业务系统、数据库、边界防火墙），需高频排查、逐项核验、零高危容忍；

重要资产：支撑日常办公、辅助业务运转，故障会造成工作停滞、局部业务异常（OA、办公终端、汇聚交换机），需常规深度排查、按期整改；

一般资产：非核心辅助设备、无敏感数据、故障影响极小（普通接入交换机、闲置设备），常规巡检、常态化监控即可。

3. 四大类威胁精细化场景拆解（全覆盖无死角）

外部攻击威胁：外网暴力破解、SQL注入、XSS跨站、WebShell植入、木马病毒渗透、DDoS攻击、钓鱼邮件诱导、外网非法扫描、横向渗透攻击；

内部操作威胁：员工违规外联、私自安装软件、越权访问系统、私自拷贝数据、误删误改配置、违规插拔设备、弱口令复用；

人为恶意威胁：内部人员恶意篡改数据、窃取敏感信息、恶意破坏系统配置、留后门、私自搭建服务；

环境设备威胁：机房断电、温湿度异常、硬件老化、磁盘故障、网络链路中断、设备死机重启、机房安防缺失。

4. 四大维度脆弱性精细化排查（技术+管理双深挖）

摒弃只查技术漏洞的片面排查，细化全维度隐患短板，精准定位真实风险点：

技术脆弱性：系统高危漏洞、中低危累积漏洞、端口过度开放、弱口令/空口令、权限泛滥、日志留存不足、防护设备策略宽松、设备版本老旧、未打补丁、远程端口对外开放；

配置脆弱性：设备默认密码未修改、策略配置不合理、防火墙规则冗余、访问控制不严、定时任务异常、服务多余开启、备份策略缺失；

管理脆弱性：制度不完善、无定期自查机制、无运维审批流程、权限未定期复核、日志未定期审计、无应急演练、台账缺失；

人员脆弱性：安全意识薄弱、操作不规范、专业能力不足、违规操作频发、未定期参加安全培训。

5. 五大识别工具精细化实操拆解

资产盘点法：逐设备、逐系统核对台账，补录遗漏资产，更新资产状态、责任人、用途；

漏洞扫描法：主机扫描、Web扫描、端口扫描，区分高危、中危、低危漏洞，导出合规扫描报告；

日志审计法：核查登录日志、操作日志、访问日志，发现异常登录、批量访问、越权操作；

现场核查法：现场核对设备配置、制度落地、运维记录、机房环境、人员操作规范；

台账复盘法：对比往期风险台账，核查遗留未整改问题、反复复发风险、长期隐患。

三、专业化风险分析——概率、影响与根源精细化深度研判

1. 风险分析核心价值（精细化落地意义）

风险识别只负责“找出问题”，风险分析负责“量化问题、区分轻重、找准病根”，为后续风险评级、整改优先级排序、资源倾斜、台账闭环提供唯一合规依据，是连接隐患排查与整改落地的关键核心环节。

2. 风险发生概率精细化判定标准（可直接打分研判）

漏洞公开成熟度：漏洞是否公开、是否存在成熟利用工具、是否有批量攻击案例；公开时间越久、工具越普及，概率越高；

历史攻击频次：本单位、本行业是否发生过同类入侵、漏洞利用、违规事件；历史频发则概率偏高；

安全防护能力：边界防火墙、IPS、日志审计、权限管控、备份机制是否完善，防护短板越多，概率越高；

运维规范程度：补丁更新、密码更换、权限复核、日常巡检、策略优化是否常态化落实；运维越松散，风险触发概率越大；

人员安全意识：单位违规外联、私自装软件、弱口令使用、越权操作是否频发，人员不规范行为直接提升风险概率。

3. 风险影响程度五维量化：

业务影响、数据影响、设备影响、合规影响、声誉影响

4. 风险五大根源精准拆解：

技术漏洞根源：系统代码缺陷、开源组件漏洞、系统版本老旧、原生安全短板；

配置缺陷根源：人工配置不当、策略宽松、端口乱开、权限设置不合理、默认配置未加固；

管理疏漏根源：日常巡检不到位、复核机制缺失、运维管控松散、无常态化自查；

制度缺失根源：无对应管理制度、制度不完善、有制度不执行、无考核约束机制；

人员操作根源：专业能力不足、安全意识薄弱、违规操作、误操作、侥幸心理。

四、标准化风险评级

1. 三维风险评级核心逻辑

资产价值权重 + 威胁发生概率权重 + 脆弱性危害权重。

核心资产轻微隐患也会升级评级，普通资产低概率隐患维持低风险，杜绝一刀切评级偏差。

2. 四级风险分级精细化量化标准

极高风险（红线零容忍）：大概率触发、危害覆盖核心业务/核心数据，可直接造成业务瘫痪、数据批量泄露、重大网信通报、合规不达标，必须立即停机整改、紧急清零；

高风险（限期紧急整改）：存在明确攻击路径、可利用性强，能造成局部业务中断、重要数据风险、考核严重扣分，无豁免空间，必须短期闭环；

中风险（阶段性优化整改）：存在安全短板、有一定攻击可能性，但危害可控、无即时入侵风险，可纳入阶段性整改计划，稳步优化；

低风险（常态化管控）：发生概率极低、无实质性危害、不影响合规达标，无即时整改必要，纳入日常巡检动态监控，防止升级。

4. 四级风险精细化管控优先级规则

极高风险：即刻处置、暂停风险业务、临时隔离、24小时内清零复测；

高风险：优先整改、限定短期时限、专人跟进、整改完成立即复测闭环；

中风险：台账跟踪、季度优化、结合运维计划分批整改、定期复盘；

低风险：常态化监控、定期巡检、动态观察、无需紧急整改。

5. 资产差异化精细化定级规则

核心资产风险等级上浮一级、重要风险正常定级、一般资产风险等级不下浮，杜绝“核心资产低风险放任不管、普通资产过度整改浪费资源”的失衡问题。

五、评估结果落地——整改闭环、残余风险管控与报告精细化输出

1. 风险分级整改方案：

不同等级风险的整改时限、责任人、落地措施、复测标准

2. 常态化台账闭环管理：

风险清单、整改记录、复测截图、过程留痕归档规范

3. 残余风险合规管控：

低风险留存判定依据、常态化监控策略、风险预警机制

4. 评估结果多场景应用：

等保自查、网信考核、内部安全复盘、年度安全总结

5. 标准化评估报告撰写：

核心模块、必填要素、合规表述、结论总结规范

6. 常态化风险动态管理：

系统变更、事件发生、季度年度复测的动态评估机制