由于针对敏感数据的威胁每天都在增加，且复杂度也在不断提升，组织无法承受“撒网式”的安全投入方式。相反，他们需要将有限的 IT 预算和资源聚焦到其独特安全态势中存在的具体漏洞。为此，他们必须基于事件发生的可能性以及其对业务造成的影响程度，识别、分析并优先排序对数据或信息系统的机密性、完整性或可用性造成的风险。
这个过程称为 IT 风险评估（IT risk assessment）。在本文中，我们将揭示有关 IT 安全风险评估以及如何在你的 IT 环境中实施它的五个最重要的要点。
1. IT 风险评估应成为你 IT 安全策略的基础
首先，我们需要区分风险评估（risk assessment）和风险管理（risk management）。虽然两者都是构建强大 IT 安全生态系统的必备要素，但它们并不完全相同。更准确地说，风险管理是风险评估的一部分，负责对业务、运营、信息安全以及其他风险进行控制。IT 风险评估则包含更广泛的工作：从整体的、面向全组织的安全方法出发，理解内部与外部的风险态势。
换句话说，IT 安全风险评估可以帮助你了解哪些事件可能以负面方式影响你的组织，以及哪些安全漏洞会对关键数据构成威胁。这样你就能做出更好的安全决策，并采取更聪明的主动防护措施。例如，通过揭示混乱无序的权限结构、影子用户账户（shadow user accounts）或错综复杂的管理权限，风险评估有助于你在为时已晚之前采取正确的风险管理步骤，以尽量降低权限被滥用或数据被盗的风险。
2. IT 风险评估在许多合规法规中是必需的
将风险评估用于信息安全只是整个情况的一部分。 信息安全风险 评估也是许多合规标准的首要要求之一。 例如，如果贵组织必须遵守 HIPAA，或可能从 2018 年 5 月开始面临 GDPR 审计，那么信息安全风险评估对于贵组织来说是必备的，目的是将不合规风险和巨额罚款的可能性降到最低。
尽管法规并未提供有关组织应如何控制和保护其 IT 系统的具体指示，但它们确实要求组织保障这些系统，并向审计员提供证据，证明所需的安全控制已到位，同时用于降低 数据安全风险。
3. 采用合适的框架可以更轻松地启动 IT 风险评估
IT 安全风险评估框架是一套用于定义以下内容的规则：
- 需要评估什么
- 谁必须参与风险评估流程
- 组织面临哪些威胁
- 如何分析并确定这些已识别风险的优先级
- 如何根据可能性和影响来计算风险
- 评估完成后必须收集并产出的哪些文档
显然，这些规则会因每个组织而不同，这取决于其需求与目标、组织规模、业务流程的复杂性与成熟度、涉及的数据类型、IT 部门的规模、已部署的安全控制措施、适用的行业要求等因素，以及更多方面。
然而，您无需从零开始创建信息安全风险评估框架。相反，您可以采用并调整以下这些常用的风险框架：
- Operationally Critical Threat, Asset, and Vulnerability Evaluation（OCTAVE）由卡内基梅隆大学设计
- NIST 风险评估框架，如特别出版物 SP 800-30
- ISO/IEC 27001:2013
请注意，所有这些标准都要求组织对其信息安全风险评估流程进行文档化，以便能够提供证据，证明正在认真遵循所有必需的数据安全程序。
4. IT 风险评估需要是一个持续的过程
安全系统就像高性能赛车——需要不断维护、更新并调校。风险评估并不是一次性事件，它不能为决策者提供永久且最终的资料来指导他们对信息安全风险的应对。相反，由于 IT 环境和风险格局都在不断变化，风险评估必须贯穿系统开发生命周期持续开展：从系统规划到采购与使用，再到系统退役。
安全系统就像高性能赛车——需要不断维护、更新并调校
此外，风险评估必须足够频繁地开展，以便及时发现可能迅速出现的潜在安全漏洞，例如权限蔓延、处于非活动状态的账户，以及因密码设置不当而带来风险的管理账户——这些问题可能会使敏感数据和系统面临威胁。
5. IT 风险评估包括三个阶段
风险评估流程大致可分为三个阶段：
- 风险识别 — 确定信息系统及更广泛的 IT 环境中的漏洞，例如过度的访问权限或错综复杂的组嵌套；如果不及时处理，这些问题可能会导致损害。
- 风险评估（估计） — 通过分析某一威胁能够利用某一漏洞的概率，来评估存在风险的事件发生的可能性。
- 风险优先级排序 — 基于风险评估（估计）与风险一旦发生所造成的影响程度相结合，对风险进行排序。考虑信息被未经授权披露、修改或破坏，或信息系统可用性丧失对业务造成的影响。优先处理概率和影响都最高的威胁。
IT 风险评估对于数据保护和业务连续性至关重要，并且必须定期开展，以便发现新的风险并改进安全策略。如果你的风险评估已经过时，那么你的策略也同样过时——道理就是这么简单。
了解 高效风险评估的第一步你可以从这里开始。想学习如何建立持续的风险评估与缓解流程的最佳实践，请观看这场录制的 IT risk assessment webinar。
你们在 IT 环境中使用 IT 风险评估吗？你们使用哪些工具？
分享到
了解更多
关于作者
Dirk Schrader
安全研究高级副总裁（VP）
Dirk Schrader 是 Netwrix 的常驻 CISO（EMEA）以及安全研究高级副总裁（VP）。他拥有 CISSP（ISC²）和 CISM（ISACA）等资质，是一位在 IT 安全领域拥有 25 年经验的老兵。Dirk 致力于以现代化的方式应对网络威胁，从而推动网络韧性的发展。Dirk 曾参与全球范围内的网络安全项目：职业初期从技术与支持岗位做起，随后在大型跨国公司和小型初创企业中分别担任销售、市场与产品管理等职务。他已发表大量文章，强调为实现网络韧性，需要重视变更管理与漏洞管理。