简介
网络安全威胁不断变得更普遍、更复杂，而数据泄露带来的损失也在持续攀升。根据 IBM 的数据，数据泄露的全球平均成本在 2025 年达到 440 万 4,000 美元 。尽管如此，这一数字比 2024 年创纪录的高点下降了 9%，主要得益于更快的泄露检测与遏制。
定期开展网络安全风险评估，有助于您的组织保护其数据——也保护其业务。阅读本指南，了解网络安全风险评估的优势、评估类型以及其关键组成部分。然后下载我们提供的免费信息安全风险评估模板，帮助您从 HIPAA 和 GDPR 合规评估入门。
准备开始了吗？下载下方的免费风险评估模板，以帮助您实现 HIPAA 和 GDPR 合规。
了解网络安全风险评估
一项 网络安全风险评估 会评估组织识别、防御并对其数据与系统所面临的威胁进行优先排序的能力。该评估包括识别 信息安全风险 ——可能利用您资产漏洞的威胁。
无论规模或行业如何，所有组织都应定期开展 网络安全与 IT 风险评估。您从中获得的信息可以帮助您制定并实施有效的安全策略，并合理分配资源来提升安全性。这可能包括修复诸如权限过度的用户账户和错误配置等漏洞，同时还要改进威胁检测与响应能力，以确保对密码猜测、网络钓鱼、勒索软件以及其他攻击的防御更到位。通过加强网络安全，您可以降低数据丢失、财务损失、诉讼以及长期声誉受损的风险。
此外，网络安全风险评估对于实现并维持遵守 HIPAA 和 GDPR 等法规至关重要，因此您可以避免高额罚款和其他处罚。下方链接中提供的模板为开展风险评估提供了框架，有助于 HIPAA 和 GDPR 合规。
网络安全风险评估流程概览
从高层次来看，网络安全风险评估流程包括以下步骤：
- 识别组织中所有可能受到威胁而遭到破坏的有价值资产。示例包括网站、服务器、商业机密以及合作伙伴文档。
- 识别每项资产被破坏时可能带来的后果，包括财务损失、法律费用、数据丢失以及系统停机时间。
- 识别威胁及其严重程度。威胁是任何可能对您的资产和公司安全态势造成伤害的事件。示例包括系统故障、自然灾害、恶意的人为行为以及人为错误。
- 识别漏洞，并评估第三方利用这些漏洞的可能性。漏洞是指可能使第三方突破您的安全防护并对您的资产造成损害的弱点。
- 评估风险。风险是指特定威胁利用环境中的漏洞并对一个或多个资产造成损害、从而导致经济损失的可能性。风险等级可以采用定性类别（例如高、中、低）或数值来表示。较小的组织可能会至少在初期选择定性方法，因为执行更简单；但对于更详细的成本效益分析，定量评估更有帮助。
- 根据收集到的数据制定风险管理计划。下面是一个表格示例：
Threat | Vulnerability | Asset and consequences | Risk | Solution |
|---|---|---|---|---|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
- 制定一项用于缓解最重要漏洞的 IT 基础设施增强策略，并获得管理层的最终批准。
- 明确缓解流程。这将帮助你防止未来发生网络安全事件；即使确实发生，也能使其危害性更低。
网络安全风险评估方法
组织可以从多种网络安全风险评估方法中进行选择，包括以下几种：
- 通用风险评估 遵循模板，适用于广泛的场景。它们通常会提出一些通用问题，以便更好地看见风险，例如“你们是否使用防火墙？”以及“你们是否使用端到端加密？”这是一种基础的风险评估类型，应当使用更复杂的工具进行补充。
- 特定站点（场地）风险评估通常聚焦于特定的使用场景、人员、环境或地点。它们通常与某个地理位置相关，例如某个特定办公室。因此，如果贵公司拥有高度互联的生态系统，风险可能会从一个分支或区域迅速传播到另一个分支或区域，那么这类评估就不太适用。
- 动态风险评估提供持续的跟踪与响应。该方法使团队能够实时持续监测新出现的风险，并尽快将其降到最低。
网络安全风险评估资源
为开展网络安全风险评估，无论组织规模或所属行业如何，都可以参考以下资源。
Center for Internet Security Risk Assessment Method (CIS RAM)
组织可以使用 CIS RAM 来根据 CIS Critical Security Controls 评估其网络安全态势。该准则是一套用于提升网络安全的最佳实践。CIS RAM 可通过多种方式使用：
- 风险分析师 可以使用 CIS RAM 来模拟可预见的威胁。
- 经验丰富的网络安全专家 可以使用 CIS RAM 的说明来建模针对资产的威胁，并确定用于保护数据资产的合适配置。
- 网络风险专家 可以使用 CIS RAM，基于攻击路径来分析风险。
NIST SP 800-30
NIST SP 800-30 还提供了开展风险评估的指导。尽管其面向联邦信息系统和组织，但任何希望提升网络安全与风险管理的组织都可以使用它。
探讨如何将风险评估应用于三个风险管理层级：
- 第 1 层级 — 组织
- 第 2 层 — 任务/业务流程
- 第 3 层 — 信息系统
这些层级用于确定风险评估的范围，并影响其影响结果。
ISO/IEC 27000
ISO/IEC 27000 是一套用于信息安全风险管理的国际标准族。它包括：
- ISO/IEC 27000 涵盖任何类型的信息技术的安全要求。
- ISO/IEC 27001 概述了组织如何通过信息安全管理体系（ISMS）来提升信息安全、网络安全和隐私保护。
- ISO/IEC 27002 在ISO/IEC 27001的基础上，提供关于在实施ISMS过程中选择适当安全控制措施的指导。
NIST Risk Management Framework
The NIST Risk Management Framework帮助组织确定其风险管理控制措施是否已正确实施、是否按预期运行，以及在满足其安全与隐私要求方面是否产生了期望的结果。
NIST 风险管理框架可帮助组织完成以下工作：
- 选择风险评估人员和评估团队
- 制定风险评估的行动计划与里程碑
- 制定安全性与隐私评估报告
- 确保按照评估计划开展控制评估
- 根据整改行动和评估结果更新隐私与安全计划，以反映控制实施方面的变更
网络安全风险评估的关键组成部分
健全的网络安全风险评估应包含以下关键组成部分：
- 简介 — 说明公司如何以及为何处理评估流程。包括对已审查的系统和软件的描述，并明确负责收集、提供和评估信息的人员。
- 目的 — 说明为何要进行风险评估。
- 范围 — 定义 IT 系统评估的范围。说明在网络安全风险评估中需要考虑的用户、系统组件以及其他相关细节。
- 系统描述 — 列出已检查的硬件、系统、接口、软件和数据，以及不在评估范围内的内容。
- 参与者 — 列出所有参与者的姓名和职责，包括风险评估团队、资产所有者，以及 IT 和安全团队。
- 评估方法 — 说明风险评估所使用的技术和方法。
- 风险识别与评估 — 汇总评估结果。
- 数据盘点 — 识别范围内所有有价值的资产，包括受监管数据、关键数据、服务器以及其他类型的数据；一旦暴露将对业务运营造成显著影响。
- 系统用户 — 详细说明谁在使用这些系统，包括其访问权限级别和所在位置。
- 威胁 — 编目威胁，例如系统故障、自然灾害、恶意的人为行为以及人为错误。
- 漏洞 — 识别可能使威胁突破你方安全防护的弱点和安全缺口。例如，如果缺少灾难恢复计划，灾难发生时就可能导致重要数据丢失。
- 风险判定 — 评估漏洞导致损害的可能性。务必执行风险发生概率判定、影响分析以及风险等级评估。
- 风险评估结果 — 列出漏洞和威胁，评估每项内容的风险，并提供实施控制措施的建议。
完成评估后，请保持风险数据的最新状态。Netwrix Access Analyzer 会标记过度暴露的数据，Netwrix Data Security Posture Management 则弥合评估之间的差距，Netwrix Identity Governance and Administration 让身份风险保持受控。Netwrix Auditor 会追踪与您最具风险的访问相关的变更，因此您始终知道谁做了什么。如果您需要该流程的更短、更加注重行动的版本，请查看我们的 cybersecurity risk assessment checklist。
下一步
下载包含免费风险评估模板的 PDF，帮助您满足 HIPAA 和 GDPR 合规要求。
分享到